สารบัญ18 หัวข้อหลัก
- 1.บทนำ — แผนที่วิชา: ป้องกันภัยคน–สถานที่–ข้อมูล และป้องกันไฟตั้งแต่ต้นเหตุถึงฟื้นฟู
- 2.การรักษาความปลอดภัยเกี่ยวกับบุคคล: ตรวจความไว้วางใจตามความเสี่ยง ไม่ตีตราจากภูมิหลัง
- 3.กุญแจ บัตร และ credential lifecycle: ทรัพย์ชิ้นเล็กที่เปิดช่องใหญ่
- 4.ข้อมูลลับและ security information: ระเบียบ รปภ. ไม่แทนระเบียบความลับของทางราชการ
- 5.สามเหลี่ยม/จัตุรมุขไฟและลำดับควบคุม: ความร้อน เชื้อเพลิง ออกซิเจน และปฏิกิริยาลูกโซ่
- 6.อาคารที่มีนายจ้างหลายราย: shared system ต้องมี shared governance และซ้อมพร้อมกัน
- 7.ประตูในเส้นทางหนีไฟ: ทนไฟ เปิดตามทิศหนี ปิดเอง และห้ามล็อกจนเปิดไม่ได้
- 8.เครื่องดับเพลิงเคลื่อนย้าย: เลือกตามประเภท/ความสามารถ/พื้นที่และระยะเข้าถึง ไม่ใช่นับถังต่อ ตร.ม. แบบเดา
- 9.สถานที่เสี่ยงปานกลาง/ร้ายแรง: ต้องมีระบบน้ำ + ถัง และลูกจ้างทำหน้าที่ดับเพลิงพร้อม PPE
- 10.วัตถุติดไฟง่ายและของเสีย: แยกห้องทนไฟ เก็บโลหะปิด และกำจัดตามรอบ
- 11.ฝึกซ้อมดับเพลิงและอพยพ: ทุกคนพร้อมกันอย่างน้อยปีละ 1 ครั้ง ส่งแผนก่อน 30 วันและรายงานหลัง 30 วัน
- 12.สารเคมีอันตรายและ SDS: กฎกระทรวง พ.ศ. 2556 เป็นอีกฐาน ไม่ใช่ “พระราชกฤษฎีกาสารเคมี 2535”
- 13.บัญชีดำข้อหลอนจากชุดข้อมูลเดิมอัคคีภัย
- 14.Fire-system impairment: เมื่อ alarm, pump, sprinkler หรือประตูเสีย ต้องเพิ่มมาตรการชั่วคราวทันที
- 15.กรณีวิเคราะห์ 01 — บัตร master access หายแต่เจ้าของกลัวถูกลงโทษจึงแจ้งวันรุ่งขึ้น
- 16.กรณีวิเคราะห์ 04 — ระบบ sprinkler โรงแรมมี main valve ปิดแต่ panel ขึ้นปกติ
- 17.กรณีวิเคราะห์ 07 — คลังเอกสารเพิ่มสี่เท่าแต่ยังจำแนก light hazard และใช้ถังเดิม
- 18.กรณีวิเคราะห์ 10 — ซ้อมเฉพาะ 40% แล้วอ้างว่าครบกฎหมายประจำปี
บทนำ — แผนที่วิชา: ป้องกันภัยคน–สถานที่–ข้อมูล และป้องกันไฟตั้งแต่ต้นเหตุถึงฟื้นฟู
ความปลอดภัยที่ดีไม่ใช่มี รปภ. กล้อง หรือถังดับเพลิงอย่างใดอย่างหนึ่ง แต่เป็นระบบระบุทรัพย์สิน/คนสำคัญ วิเคราะห์ภัยคุกคาม–ช่องโหว่–ผลกระทบ วางมาตรการหลายชั้น ตรวจจับเร็ว ตอบสนองเป็นทีม และเรียนรู้หลังเหตุ. ส่วนรักษาความปลอดภัยครอบคลุมบุคคล สถานที่ การเข้าออก กุญแจ/บัตร ผู้มาติดต่อ พื้นที่หวงห้าม การเฝ้าระวังและ incident management ส่วนข้อมูลลับต้องอ่านระเบียบว่าด้วยการรักษาความลับของทางราชการประกอบ ไม่ควรใช้กล้องหรือบัตรแทนการกำหนดสิทธิข้อมูล. ส่วนอัคคีภัยใช้ พ.ร.บ.ความปลอดภัย อาชีวอนามัยฯ พ.ศ. 2554 และกฎกระทรวงป้องกันและระงับอัคคีภัย พ.ศ. 2555 ซึ่งแก้ไข พ.ศ. 2561 เป็นแกนสำหรับสถานที่ทำงาน แล้วจึงดูพระราชบัญญัติควบคุมอาคาร กฎกระทรวงอาคาร กฎหมายโรงงาน/สารเคมี และมาตรฐานวิศวกรรมตามประเภทสถานที่
วงจรไฟครบคือ prevent ignition → limit fuel → detect/notify → contain smoke/fire → suppress → evacuate/rescue → account/handover → recover/investigate มาตรการที่ดีต้องทำงานเมื่อไฟฟ้าดับ ทางปกติใช้ไม่ได้ หรือผู้ใช้อาคารมีความสามารถต่างกัน. ข้อมูลเดิมมีชื่อกฎหมายแต่งและตัวเลขจาก NFPA/IBC/กฎหมายไทยคนละบริบท เช่น ความกว้าง 1.2 เมตร ระยะเดิน 60 เมตร หรือหัว sprinkler 3.5 เมตร จึงต้องตอบจาก source–occupancy–hazard–edition ไม่จำเลข universal. จำภาพใหญ่เป็น protect–prevent–prepare–respond–recover และทุกมาตรการต้องมี owner, authority, inspection, impairment control, drill และ evidence
แผนที่วิชา: ป้องกันภัยคน–สถานที่–ข้อมูล และป้องกันไฟตั้งแต่ต้นเหตุถึงฟื้นฟู
- 1กำหนดสิ่งสำคัญและภัย
- 2บุคคล–สถานที่–การเข้าออก
- 3ลดโอกาสเกิดไฟ
- 4ตรวจจับ–เตือน–ควบคุม
- 5อพยพ–ดับเพลิง–ส่งต่อ
- 6ฟื้นฟูและแก้ระบบ
งานอัคคีภัยสถานที่ทำงานเริ่มจากพระราชบัญญัติความปลอดภัย อาชีวอนามัย และสภาพแวดล้อมในการทำงาน พ.ศ. 2554 และกฎกระทรวงกำหนดมาตรฐานเกี่ยวกับการป้องกันและระงับอัคคีภัย พ.ศ. 2555 ซึ่งประกาศราชกิจจานุเบกษา 9 มกราคม 2556. กฎกระทรวงฉบับที่ 2 พ.ศ. 2561 แก้ข้อ 21 เรื่องกองเก็บถ่านหิน/ฝุ่นถ่านหินและระเบิดฝุ่น จึงต้องอ่านฉบับฐานพร้อมฉบับแก้ ไม่ใช้ข้อความเดิมเรื่องห้ามกองสูงเกิน 3 เมตรเป็นข้อสรุปปัจจุบันโดยไม่เทียบ amendment. อาคารสูง โรงแรม โรงพยาบาล โรงงาน คลังสารเคมีและสถานบริการอาจถูกกำกับด้วยกฎหมายเฉพาะเพิ่ม มาตรฐาน วสท. หรือมาตรฐานที่อธิบดีกำหนด กฎแรงงานไม่ได้แทนกฎหมายควบคุมอาคารและไม่ได้ให้ตัวเลขออกแบบทุกระบบเอง
งานรักษาความปลอดภัยราชการใช่ระเบียบสำนักนายกรัฐมนตรีว่าด้วยการรักษาความปลอดภัยแห่งชาติ พ.ศ. 2552 แก้ไขฉบับที่ 2 พ.ศ. 2554 และฉบับที่ 3 พ.ศ. 2560; ข้อมูลลับมีระเบียบว่าด้วยการรักษาความลับของทางราชการ พ.ศ. 2544/ที่แก้ไขต่างหาก. เมื่อประเด็นอ้าง “พระราชกฤษฎีกามาตรฐานความปลอดภัยอาคาร พ.ศ. 2552” หรือ “พระราชกฤษฎีกาป้องกันอัคคีภัย พ.ศ. 2541” ให้ถือเป็น red flag เปิดราชกิจจานุเบกษา/เว็บกรมสวัสดิการฯ ก่อนรับตัวเลข. จำ source card: legal instrument–issuer–scope–effective/amended date–occupancy/hazard–technical standard edition–official interpretation และไม่ย้ายข้อสรุปจากอาคารหนึ่งสู่อีกอาคารโดยไม่ตรวจ
เริ่มจากระบุ people, mission, facility, information, equipment, keys/credentials และ dependencies ที่ต้องคุ้มครอง แล้วทำ threat scenarios เช่น บุกรุก ขโมย ทำร้าย sabotage espionage arson insider error ไฟไหม้ น้ำท่วมและระบบล่ม. ความเสี่ยงไม่ใช่ likelihood อย่างเดียว ต้องดู severity/exposure และความสามารถฟื้นตัว ความถี่สูง–ผลต่ำยังต้องลดเพราะสะสม harm ส่วนเหตุโอกาสต่ำ–ผลหายนะต้องมี prevention และ contingency ไม่ตัดทิ้งจาก matrix. ช่องโหว่อาจเป็นประตูเปิดค้าง บัตรแชร์ กล้องมุมบอด ไฟสำรองไม่ทำงาน พนักงานไม่รู้สัญญาณ หรือข้อมูลผู้มาติดต่อไม่ถูกลบ มาตรการต้องแก้ root vulnerability ไม่ใช่เพิ่มกล้องทุกจุดโดยไม่มีคนตอบสนอง
ใช้ hierarchy ของ controls: eliminate/substitute อันตรายก่อน engineering controls แล้ว administrative controls/training/PPE; งาน security เพิ่ม deterrence–delay–detect–assess–respond–recover ให้เวลาตอบสนองสั้นกว่าเวลาผู้ร้ายฝ่าชั้นป้องกัน. ข้อควรระวังคือคูณคะแนนแล้วปิดเรื่องโดยไม่ตรวจ uncertainty, vulnerable groups, common-cause failure และ residual risk ตัวเลขช่วยจัดลำดับแต่ไม่แทนการเดินสำรวจ/ทดสอบ scenario. ทบทวน asset–threat–vulnerability–consequence–existing control–residual risk–owner–deadline–test และอัปเดตเมื่อ layout, occupancy, process หรือ threat เปลี่ยน
การรักษาความปลอดภัยแห่งชาติหมายถึงมาตรการเพื่อพิทักษ์สิ่งที่เป็นความลับของทางราชการ หน่วยงานของรัฐ เจ้าหน้าที่ของรัฐ และทรัพย์สินมีค่าของแผ่นดินจากการรั่วไหล จารกรรม ก่อวินาศกรรม บ่อนทำลาย ก่อการร้าย และภัยต่อความมั่นคง/ผลประโยชน์รัฐ. ขอบเขตนี้ไม่ทำให้ทุกข้อมูลเป็นความลับและไม่ให้หน่วยปิดการเข้าถึงโดยอ้าง security กว้าง ๆ การกำหนดชั้นความลับ/เปิดเผยต้องมีฐานและสมดุลกฎหมายข้อมูลข่าวสาร ข้อมูลส่วนบุคคล และหน้าที่บริการประชาชน. หัวหน้าหน่วยงานมีหน้าที่รับผิดชอบระบบภายใน จัดนโยบาย แผน บุคลากร security officer การตรวจสอบ และประสานองค์การรักษาความปลอดภัยที่เกี่ยวข้อง ไม่ควรโยนทั้งหมดให้ยามผู้รับจ้าง
การรักษาความปลอดภัยเกี่ยวกับบุคคลและสถานที่ต้องเชื่อมกัน คนผ่านตรวจสอบก็ไม่ควรเข้าทุกพื้นที่ และประตูแข็งแรงก็ไร้ผลหาก credentials ถูกยืมหรือมี tailgating โดยไม่มีการทักท้วง. ข้อควรระวังคือเข้าใจ “ความมั่นคง” เป็นเหตุให้เฝ้าระวังทุกคนตลอดเวลา มาตรการต้อง lawful, necessary, proportionate, need-to-know, auditable และมีช่องแก้ false match/ร้องเรียน. จำ protect secrets–agency–officials–state assets from leak/espionage/sabotage/subversion/terrorism/other threats พร้อม accountability และ rights safeguards
การรักษาความปลอดภัยเกี่ยวกับบุคคล: ตรวจความไว้วางใจตามความเสี่ยง ไม่ตีตราจากภูมิหลัง
personnel security ครอบคลุมการกำหนดความอ่อนไหวของตำแหน่ง การตรวจสอบประวัติและพฤติการณ์ก่อนมอบงาน/เข้าถึง การยืนยันตัวตน ข้อตกลงรักษาความลับ การอบรม การติดตามเหตุผิดปกติ และ offboarding. scope การตรวจต้องสัมพันธ์กับ risk ของตำแหน่งและใช้ช่องทางที่กฎหมายให้ ไม่ค้นบัญชีส่วนตัว/ครอบครัวเกินจำเป็น ไม่ใช้เชื้อชาติ ศาสนา ความพิการ ความเห็นทางการเมืองที่ชอบ หรือข่าวลือเป็น proxy ความไม่น่าไว้วางใจ. การผ่าน vetting ไม่ใช่ clearance ตลอดชีวิต ต้องแยก suitability จาก authorization: บุคคลอาจเหมาะกับงานแต่เข้าถึงเฉพาะข้อมูล/พื้นที่ที่จำเป็นตาม least privilege และต้องทบทวนเมื่อเปลี่ยนหน้าที่
insider risk indicators เช่น ขอข้อมูลเกินงาน แชร์บัตร ปิด log หรือฝ่าฝืนซ้ำควรถูกตรวจข้อเท็จจริงอย่างเป็นธรรม ไม่ใช้พฤติกรรมเครียด/หนี้/รักษาจิตเวชเพียงอย่างเดียวฟันธงว่าเป็นภัย. ข้อควรระวังคือเชื่อ background check ว่าตัดความเสี่ยงได้หมด หรือให้ supervisor ดาวน์โหลดสำเนาประวัติไว้ส่วนตัว ข้อมูล vetting ต้อง purpose-limited, secured, retained ตามกำหนด และเปิดให้แก้ข้อมูลผิด. ทบทวน position sensitivity–lawful checks–identity–need-to-know–training–continuous reporting–role change/offboarding–appeal/correction. ให้สิทธิเฉพาะขั้นต่ำที่บทบาทต้องใช้ จำกัดตามสถานที่ เวลา ระบบและ action แยก create–approve–pay–audit หรือ issue–activate–revoke credential เพื่อไม่ให้คนเดียวเปลี่ยนและลบร่องรอยได้
สิทธิชั่วคราวต้องมี sponsor, purpose, start/end, auto-expiry และ review ส่วน privileged access ใช้ MFA, named account, session logging และ break-glass ที่แจ้งเตือน/ทบทวน ไม่ใช้บัญชีกลางร่วมกัน. เมื่อย้ายงาน ลาออก ถูกพักหน้าที่ หรือ vendor จบสัญญา ต้อง revoke บัตร กุญแจ VPN mailbox group และคืนทรัพย์ตามเวลา; delayed offboarding เป็นช่องโหว่ทั้งกายภาพและไซเบอร์. ตัวอย่าง ช่างภายนอกต้องเข้าห้อง server หนึ่งคืน ควรออกบัตรเฉพาะโซน/เวลา มี escort หรือ work order, log เครื่องมือและปิดสิทธิอัตโนมัติ ไม่ยืมบัตรพนักงานที่เปิดทั้งอาคาร. ข้อควรระวังคือให้ admin ถาวรเพราะ “ทำงานสะดวก” หรือใช้กล้องแทน separation; log ที่คนเดิมแก้ได้โดยไม่มี independent review ไม่ใช่ control ที่น่าเชื่อถือ
จำ request–approve–provision–use/log–review–revoke และแยก authorization, authentication, accountability. ออกแบบ concentric layers ตั้งแต่ขอบเขต/แสงสว่าง/ภูมิทัศน์ จุดเข้า vehicle/pedestrian เปลือกอาคาร reception ภายในแบ่งโซน และ high-security room เป้าคือ deter, delay, detect, assess และตอบสนองทัน. ทำ site survey กลางวัน/กลางคืน ดูเส้นทางคน รถ ส่งของ ขยะ หลังคา ช่องบริการ ประตูหนีไฟ จุดบอด ไฟสำรองและพื้นที่ชุมนุม ไม่ติด security จนขัด egress หรือให้ประตูหนีไฟถูกล็อกตาย. zoning ควรชัด public, controlled, restricted, high-security พร้อม signage/credential/escort ต่างกัน Visitor ที่เข้า lobby ไม่ควรเดินถึงแฟ้มบุคคล และ delivery ไม่ควรใช้ทางเดียวกับ data room โดยไม่มี control
barrier ต้องสมดุล accessibility คนพิการและ emergency access การใช้ประตูหนัก turnstile แคบ หรือ biometric เดียวอาจกีดกัน/สร้าง bottleneck เมื่ออพยพ ต้องมี fail-safe/fail-secure ตาม risk และทางเลือก. ข้อควรระวังคือวัด security จากความสูงรั้วหรือจำนวนกล้องโดยไม่ดู response time; หาก intruder ผ่านชั้นทั้งหมดก่อนเจ้าหน้าที่ assess/ตอบได้ มาตรการเป็นเพียงบันทึกเหตุย้อนหลัง. ทบทวน perimeter–approach–entry–internal zone–critical asset–egress/emergency overlay พร้อม test forced entry, tailgating, power loss และ fire alarm. access control ที่มีความหมายต้องรู้ว่าใครเข้าที่ไหน เมื่อไร ด้วยสิทธิใด และเหตุอะไร พร้อม audit trail ที่แก้ไม่ได้โดยผู้ใช้ทั่วไป ไม่ใช่บัตรแตะประตูที่แชร์กันและไม่มี review alert
visitor workflow คือ pre-register หรือระบุ host, ตรวจตัวตนเท่าที่จำเป็น ออก badge ต่างสี/หมดอายุ อธิบายข้อห้าม/evacuation, escort ตามโซน, บันทึกของนำเข้า และคืน badge/check-out. anti-passback, turnstile และ anti-tailgating ช่วยได้แต่ต้องไม่ทำให้คนติดในเหตุไฟและต้องรองรับผู้ใช้รถเข็น/ผู้ช่วย security staff ควรทักท้วงสุภาพและมีช่อง override ที่บันทึก. ตัวอย่าง ผู้บริหารพาแขก “รู้จักกัน” ผ่านประตูโดยไม่ลงทะเบียนทำให้ไม่มี accounting ในเหตุไฟและไม่มี audit; ตำแหน่งสูงไม่ควรยกเว้น control แต่ workflow อาจรวดเร็วตาม risk. ข้อควรระวังคือเก็บสำเนาบัตรประชาชนผู้มาติดต่อทุกคนโดยไม่จำเป็นหรือเก็บตลอดไป ข้อมูล visitor ต้องแจ้ง purpose, จำกัด fields, ปลอดภัย, retention และ disclosure ตามกฎหมาย
จำ identity–authorization–purpose–zone/time–host/escort–audit–checkout–retention และ emergency muster integration
เนื้อหาสรุปนี้จัดทำขึ้นเพื่อการศึกษาส่วนบุคคล ห้ามคัดลอก ทำซ้ำ หรือนำไปใช้เพื่อวัตถุประสงค์ทางการค้าโดยไม่ได้รับอนุญาต