ประกาศมาตรการรักษาความมั่นคงปลอดภัยข้อมูลส่วนบุคคล
เพื่อให้ผู้ใช้บริการทุกท่านมั่นใจในความปลอดภัยของข้อมูลส่วนบุคคล สถาบันฯ ได้กำหนดและปฏิบัติตามมาตรการรักษาความมั่นคงปลอดภัยทางสารสนเทศที่เข้มงวดตามมาตรฐาน โดยครอบคลุมหลักการสำคัญ 3 ด้าน ดังต่อไปนี้
1. มาตรการเชิงองค์กรและการบริหารจัดการ
- การจำกัดสิทธิ์การเข้าถึง (Access Control): กำหนดสิทธิ์ในการเข้าถึงและประมวลผลข้อมูลส่วนบุคคลเฉพาะเจ้าหน้าที่ที่มีหน้าที่รับผิดชอบโดยตรงเท่านั้น เพื่อป้องกันการเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต
- การกำกับดูแลภายใน: มีการจัดตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล เพื่อทำหน้าที่ตรวจสอบและให้คำแนะนำ ตลอดจนกำหนดนโยบายภายในองค์กรอย่างเป็นลายลักษณ์อักษร
- การสร้างความตระหนักรู้: จัดให้มีการฝึกอบรมด้าน Cybersecurity และ PDPA แก่เจ้าหน้าที่ทุกระดับอย่างต่อเนื่อง เพื่อลดความเสี่ยงที่เกิดจากความผิดพลาดของบุคลากร
2. มาตรการเชิงเทคนิค
- การเข้ารหัสข้อมูล (Encryption): ข้อมูลส่วนบุคคลที่รับส่งผ่านระบบเครือข่ายอินเทอร์เน็ต จะได้รับการเข้ารหัสความปลอดภัยด้วยโปรโตคอลมาตรฐานสากล (เช่น SSL/TLS) และมีการเข้ารหัสข้อมูลสำคัญในระบบฐานข้อมูล
- ระบบพิสูจน์ตัวตนที่ปลอดภัย: รองรับและส่งเสริมการเข้าสู่ระบบผ่านกลไกที่น่าเชื่อถือ เช่น ระบบ ThaiD หรือการยืนยันตัวตนแบบหลายปัจจัย (Multi-Factor Authentication: MFA) เพื่อความปลอดภัยสูงสุดของผู้ใช้งาน
- การตรวจสอบช่องโหว่และการป้องกันขั้นสูง: ติดตั้งระบบไฟร์วอลล์ (Firewall) และซอฟต์แวร์ป้องกันมัลแวร์ (Anti-malware) รวมถึงการสำรองข้อมูล (Data Backup) เป็นประจำ พร้อมทบทวนและทดสอบระบบเพื่อป้องกันภัยคุกคามไซเบอร์รูปแบบใหม่ๆ ตลอดเวลา
3. มาตรการทางกายภาพ
- ความปลอดภัยของศูนย์ข้อมูล: จัดเก็บฐานข้อมูลไว้ในห้องแม่ข่าย ที่มีการควบคุมการเข้า-ออก และมีระบบรักษาความปลอดภัยตลอด 24 ชั่วโมง
- การทำลายข้อมูลอย่างปลอดภัย: ในกรณีที่มีการจัดเก็บข้อมูลในรูปแบบเอกสารกระดาษ จะมีกระบวนการจัดเก็บอย่างมิดชิด และมีขั้นตอนการทำลายเอกสาร (เช่น การย่อยทำลาย) อย่างถูกวิธีเมื่อสิ้นสุดความจำเป็นในการใช้งาน
กระบวนการจัดการเหตุละเมิดข้อมูลส่วนบุคคล
สถาบันฯ ได้กำหนดมาตรการและกระบวนการตอบสนองต่อเหตุละเมิดข้อมูลส่วนบุคคลอย่างเป็นระบบตามมาตรฐานกฎหมาย (PDPA มาตรา 37 (4)) เพื่อตรวจจับ ระงับเหตุ และเยียวยาผลกระทบที่อาจเกิดขึ้นกับผู้ใช้บริการอย่างทันท่วงที โดยมีขั้นตอนการดำเนินงานดังนี้:
1. การตรวจจับและรับแจ้งเหตุ
- การเฝ้าระวัง: สถาบันฯ มีระบบตรวจจับการบุกรุกและตรวจสอบความผิดปกติของระบบฐานข้อมูล
- ช่องทางรับแจ้งเหตุ: หากผู้ใช้บริการพบข้อบ่งชี้หรือสงสัยว่าข้อมูลส่วนบุคคลเกิดการรั่วไหล สามารถแจ้งเหตุมายัง เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ของสถาบันฯ ได้โดยตรงผ่านช่องทางบนหน้าเว็บไซต์
2. การตรวจสอบและบันทึกแจ้งเหตุละเมิด
- การประเมินความเสี่ยง: ทันทีที่ได้รับแจ้งเหตุ คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล และ เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล จะร่วมกันตรวจสอบเพื่อประเมินระดับความรุนแรงและผลกระทบต่อเจ้าของข้อมูล
- การจัดทำบันทึก: สถาบันฯ จะทำการบันทึกรายละเอียดของเหตุละเมิด(Incident log) ข้อมูลที่ได้รับผลกระทบ สาเหตุ และมาตรการที่ได้ดำเนินการแก้ไขไว้เพื่อเป็นหลักฐานในการตรวจสอบ
3. การระงับเหตุและแจ้งเตือนตามกฎหมาย
- การควบคุมสถานการณ์: เจ้าหน้าที่จะดำเนินการจำกัดวงความเสียหาย เช่น การปิดกั้นช่องทางที่ถูกโจมตี หรือการเปลี่ยนรหัสผ่านระบบทันทีภายในเวลาที่สั้นที่สุด
- การแจ้งเตือน: * หากประเมินแล้วพบว่ามีความเสี่ยงที่จะกระทบต่อสิทธิและเสรีภาพของบุคคล สถาบันฯ จะดำเนินการแจ้งเหตุละเมิดไปยัง สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ภายใน 72 ชั่วโมง นับแต่ทราบเหตุ
- ในกรณีที่เหตุละเมิดนั้นมีความเสี่ยงสูงมากที่จะกระทบต่อเจ้าของข้อมูล สถาบันฯ จะแจ้งเหตุพร้อมแนวทางการป้องกันและเยียวยาให้ ผู้ใช้บริการที่ได้รับผลกระทบ ทราบโดยตรงทันทีผ่านทางอีเมล ข้อความ (SMS) หรือประกาศผ่านหน้าเว็บไซต์
4. การติดตาม สรุปผล และแนวทางป้องกันระยะยาว
- การสรุปผล: หลังจากการระงับเหตุเสร็จสิ้น คณะทำงานจะประชุมร่วมกันเพื่อสรุปรายงานถอดบทเรียน ชี้แจงถึงสาเหตุและผลลัพธ์การจัดการ
- การปรับปรุงระบบ: นำผลสรุปมาวางแผนปรับปรุงอัปเดตระบบรักษาความปลอดภัย ซ่อมแซมช่องโหว่ทางเทคนิค และปรับปรุงนโยบายภายใน เพื่อป้องกันไม่ให้เกิดเหตุการณ์ซ้ำเดิมในอนาคต