รู้จัก PDPA Awareness และ Security Awareness

01-PDPA-awareness-for-user-feature-image

เนื้อหาในบทความ

ในปีพ.ศ. 2565 นี้ สังคมไทยกำลังก้าวเข้าสู่สังคมแห่งความปลอดภัยทางด้านไซเบอร์มากขึ้น ด้วยการบังคับใช้กฎหมาย PDPA (พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล) ควบคู่กับกฎหมายไซเบอร์ที่มีมาก่อนหน้านี้อย่าง พ.ร.บ การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 ซึ่งกฎหมายทั้งสองก่อให้เกิด PDPA Awareness และ Security Awareness ซึ่งจะมีความสำคัญต่อองค์กรอย่างไรนั้น วันนี้เราจะพาทุกท่านมาหาคำตอบกันในบทความนี้

กฎหมายด้านไซเบอร์ที่เกี่ยวข้อง

ก่อนที่จะเริ่มรู้จักการสร้างความตระหนักในข้อมูลส่วนบุคคล และความปลอดภัยทางไซเบอร์ทุกคนต้องรู้จักกฎหมายที่เกี่ยวข้องกับทั้งสองก่อน ซึ่งได้แก่ กฎหมาย PDPA (พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล) กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล และให้สิทธิ์แก่เจ้าของข้อมูลส่วนบุคคล รวมไปถึงการสร้างมาตรฐานของสังคมไทยในการเก็บ รวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ถ้าผู้ใดไม่ปฏิบัติตามกฎหมายฉบับนี้ ย่อมได้รับโทษทั้งทางแพ่ง ทางอาญา หรือทางปกครอง ในรูปแบบจำคุก ปรับ และทั้งจำทั้งปรับ โดยกฎหมายฉบับนี้มีผลบังคับใช้ในวันที่ 1 มิถุนายน พ.ศ. 2565 ซึ่งเมื่อมีผลบังคับใช้จะช่วยส่งเสริมให้เกิดความตระหนักรู้ในข้อมูลส่วนบุคคคลมากยิ่งขึ้นในสังคมไทย ผู้ที่สนใจสามารถอ่านกฎหมายฉบับเต็ม สามารถอ่านได้ที่ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562 พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 นิยมเรียกกันสั้น ๆ ว่า พ.ร.บ.ไซเบอร์ฯ เป็นกฎหมายที่ออกมาเพื่อให้การรักษาความมั่นคงปลอดภัยไซเบอร์นั้นมีประสิทธิภาพ และเพิ่มมาตรการป้องกันความเสี่ยงจากภัยคุกคามทางไซเบอร์อันกระทบต่อความมั่นคงของรัฐและความสงบเรียบร้อยภายในประเทศ ซึ่งถือว่าเป็นข้อกฎหมายที่ออกมารองรับสังคมดิจิทัลที่กำลังขับเคลื่อนประเทศไทยอยู่ในขณะนี้ กฎหมายฉบับนี้บังคับใช้มาตั้งแต่ปีพ.ศ. 2562 ซึ่งเป็นกฎหมายที่ช่วยสร้างการตระหนักรู้ด้านไซเบอร์ให้เพิ่มขึ้นในตัวบุคคล และองค์กรมากยิ่งขึ้น ผู้ที่สนใจสามารถอ่านกฎหมายฉบับเต็มได้ที่ พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ.2562

PDPA Awareness คืออะไร? ทำไมต้องตระหนักรู้เกี่ยวกับข้อมูลส่วนบุคคล ?

การตระหนักรู้ในการเก็บ รวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลของตนเอง และผู้อื่นที่ให้ข้อมูลส่วนบุคคลแก่องค์กร โดยสิ่งนี้ถูกระบุในกฎหมาย PDPA (พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล) ของประกาศกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมเรื่อง มาตรฐานการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๓ ข้อ 4 ความว่า
“ผู้ควบคุมข้อมูลส่วนบุคคลต้องแจ้งมาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลตามประกาศนี้ ให้แก่บุคลากร พนักงาน ลูกจ้างหรือบุคคลที่เกี่ยวข้องทราบ รวมถึงสร้างเสริมความตระหนักรู้ด้านความสำคัญของการคุ้มครองข้อมูลส่วนบุคคลให้กับกลุ่มบุคคลดังกล่าว ปฏิบัติตามมาตรการที่กาหนดอย่างเคร่งครัด”

ซึ่งสรุปง่าย ๆ ก็คือ
“องค์กรที่เป็นผู้ควบคุมข้อมูลส่วนบุคคล ต้องมีการอบรมด้านการตระหนักรู้ในข้อมูลส่วนบุคคลให้แก่พนักงานทุกภาคส่วนในบริษัท”
ดังนั้นการจัดเทรนนิ่งสร้างความตระหนักรู้ในข้อมูลส่วนบุคคล ถือเป็นเรื่องสำคัญที่องค์กรต้องทำ เพราะนอกจากจะช่วยให้พนักงานเข้าใจในสิทธิ์ของการเป็นเจ้าของข้อมูลส่วนบุคคลแล้ว ตัวพนักงานยังสามารถใช้งานข้อมูลส่วนบุคคลของผู้อื่นได้อย่างถูกต้องตามข้อบังคับกฎหมายอีกด้วย

จะเกิดอะไรขึ้น ถ้าองค์กรไม่ได้มีการสร้าง PDPA Awareness ให้แก่พนักงานในองค์กร

ยุคนี้เป็นยุคแห่งสังคมดิจิทัลที่คนส่วนใหญ่นำเทคโนโลยีออนไลน์มาใช้อำนวยความสะดวกในการทำงานต่าง ๆ รวมถึงการจัดเก็บข้อมูลส่วนบุคคล ถ้าพนักงานในองค์กรไม่ได้มีการสร้างความตระหนักรู้ในความสำคัญของข้อมูลส่วนบุคคล ก็มีสิทธิ์ที่ข้อมูลส่วนบุคคลจะถูกนำไปใช้อย่างผิดกฎหมาย รวมถึงมีการรั่วไหลข้อมูลจากความผิดพลาดที่เกิดจากตัวพนักงานเอง นำไปสู่การเสื่อมเสียชื่อเสียงขององค์กรในเรื่องความน่าเชื่อถือ และการรักษาความปลอดภัยของข้อมูลได้

ปัญหาความผิดพลาดที่กล่าวมานั้น สามารถแก้ไขให้ตรงจุดด้วยการจัดเทรนนิ่งการสร้างความตระหนักในข้อมูลส่วนบุคคลควบคู่ไปกับการสร้างความตระหนักรู้ในเรื่องความปลอดภัยทางไซเบอร์

Security Awareness คืออะไร ทำไมต้องมีการอบรมในทุกองค์กร?

การสร้างความรู้ ความเข้าใจด้านการรักษาความมั่นคงปลอดภัยให้กับบุคลากรในองค์กร เพื่อให้บุคลากรสามารถดูแลรักษา และใช้งานทรัพยากรสารสนเทศขององค์กรได้อย่างปลอดภัย ระวัง ป้องกันภัยต่อการอาชญากรรม การโจมตี การทำลาย และความผิดพลาดต่าง ๆ ที่อาจเกิดขึ้น โดยคำนึงถึงความปลอดภัยของทรัพย์สินเป็นอันดับแรก

ปัจจุบันเราอาจจะได้ยินข่าวเกี่ยวกับข้อมูลรั่วไหล ไม่ว่าจะเป็นข้อมูลทั่วไป หรือข้อมูลส่วนบุคคล ซึ่งบางครั้งมีสาเหตุมาจากการไม่รู้เท่าทันภัยไซเบอร์ของคน หรือพนักงานในองค์กร ดังนั้นการอบรมเทรนนิ่งเกี่ยวกับ Security Awareness จึงเป็นเรื่องที่สำคัญ และองค์กรต้องอบรมเรื่องนี้ให้แก่พนักงานเป็นประจำในทุก ๆ ปีเพื่ออัพเดตภัยอันตรายที่เกิดขึ้น และสร้างภูมิคุ้มกันในตัวพนักงานที่จะเกิดขึ้นจากการคุมคามทางไซเบอร์

สรุปเกี่ยวกับ PDPA Awareness และ Security Awareness

จากที่กล่าวมาทั้งหมด หลายท่านคงเห็นความสำคัญของการสร้างความตระหนักในการใช้ข้อมูลส่วนบุคคล และความปลอดภัยทางไซเบอร์แล้ว เพื่อให้รองรับต่อ พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ.2562 และพ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล ที่จะมีผลบังคับใช้ในอีกไม่กี่เดือนข้างหน้า การเทรนนิ่งอบรมจึงเป็นเรื่องที่ทุกองค์กรห้ามพลาด ซึ่งการจัดอบรมที่ดีต้องอาศัยทั้งผู้เชี่ยวชาญด้านกฎหมาย PDPA และพ.ร.บ.ไซเบอร์ มีการวัดภูมิคุ้มกันทางไซเบอร์ของพนักงาน และมีการทดลองสถานการณ์จริงหลังจากอบรม