บริษัทประกาศว่าเก็บข้อมูลส่วนบุคคลของลูกค้ากว่า 10 ล้านคน และต้องปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล (PDPA - Personal Data Protection Act) การปฏิบัติตามกฎหมายนี้ต้องการให้บริษัททำอะไรเป็นหลัก
กเก็บข้อมูลให้ได้มากที่สุดเท่าที่เป็นไปได้เพื่อการตรวจสอบในอนาคต
ขเก็บข้อมูลทั้งหมดไว้ในเซิร์ฟเวอร์เพียงแค่สาขาเดียว
คขายข้อมูลให้บริษัทอื่นโดยไม่ต้องแจ้งลูกค้า
งได้รับการยินยอมจากผู้บุคคลก่อนการเก็บรวบรวมข้อมูล ปกป้องความปลอดภัยของข้อมูล มีกระบวนการการขอเข้าถึงข้อมูล และมีนโยบายการจัดการข้อมูล
เฉลยอธิบาย
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (PDPA) และกฎหมายคุ้มครองข้อมูลสมัยใหม่อื่น ๆ ต้องการให้องค์กร (1) ได้รับการยินยอมที่ชัดเจนจากผู้บุคคลก่อนการเก็บรวบรวมข้อมูล (2) ปกป้องความปลอดภัยของข้อมูล (3) มีกระบวนการในการให้สิทธิผู้บุคคลเข้าถึง แก้ไข หรือลบข้อมูล (4) มีนโยบายที่ชัดเจนเกี่ยวกับการรักษาข้อมูล ตัวเลือก ข-ค-ง ไม่สอดคล้องกับข้อกำหนดของ PDPA ต้องพิจารณาการแบ่งความรับผิดชอบ คน กระบวนการ เทคโนโลยี และวงจรเหตุการณ์ครบถ้วน; ตรวจทานตาม NIST CSF 2.0 เอกสารมาตรฐาน/คำแนะนำของ สกมช. และ พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562