สารบัญ6 หัวข้อหลัก
- 1.บทที่ 1 ภาษาของกฎหมายและความมั่นคงปลอดภัยคอมพิวเตอร์
- 2.บทที่ 2 กลุ่มความผิดเกี่ยวกับระบบ ข้อมูล และเนื้อหาคอมพิวเตอร์
- 3.บทที่ 3 ผู้ให้บริการ ข้อมูลจราจร และพยานหลักฐานดิจิทัล
- 4.บทที่ 4 ธรรมาภิบาลและการบริหารความเสี่ยงไซเบอร์
- 5.บทที่ 5 การป้องกันหลายชั้นและวงจรพัฒนาระบบที่ปลอดภัย
- 6.บทที่ 6 การจัดการเหตุ ฟื้นคืน และเรียนรู้โดยรักษาหลักฐาน
บทที่ 1 ภาษาของกฎหมายและความมั่นคงปลอดภัยคอมพิวเตอร์
พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 ซึ่งแก้ไขเพิ่มเติมใน พ.ศ. 2560 เป็นกฎหมายหลักที่กำหนดฐานความผิดต่อระบบ ข้อมูล และการใช้คอมพิวเตอร์ ตลอดจนอำนาจรวบรวมหลักฐานและหน้าที่บางประการของผู้ให้บริการ ส่วนพระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 วางกลไกนโยบาย มาตรฐาน การป้องกัน รับมือ และลดความเสี่ยง โดยเน้นหน่วยงานของรัฐ หน่วยงานกำกับ และโครงสร้างพื้นฐานสำคัญทางสารสนเทศ กฎหมายแรกถามว่าการกระทำใดเป็นความผิดและดำเนินคดีอย่างไร กฎหมายหลังถามว่าระบบสำคัญต้องเตรียมและประสานการรับมืออย่างไร ทั้งสองส่วนสัมพันธ์กันแต่ไม่ใช่กฎหมายฉบับเดียว
ระบบคอมพิวเตอร์ตามกฎหมายหมายถึงอุปกรณ์หรือชุดอุปกรณ์ที่เชื่อมการทำงานและประมวลผลข้อมูลโดยอัตโนมัติตามคำสั่ง ข้อมูลคอมพิวเตอร์ครอบคลุมข้อมูล ข้อความ คำสั่ง หรือชุดคำสั่งที่ระบบประมวลผลได้ รวมถึงข้อมูลอิเล็กทรอนิกส์ตามกฎหมายธุรกรรมทางอิเล็กทรอนิกส์ ข้อมูลจราจรทางคอมพิวเตอร์เป็นข้อมูลเกี่ยวกับการติดต่อสื่อสาร เช่น แหล่งกำเนิด ต้นทาง ปลายทาง เส้นทาง วันเวลา ปริมาณ ระยะเวลา และชนิดบริการ จึงช่วยเชื่อมเหตุการณ์กับการใช้บริการ แต่ไม่จำเป็นต้องเป็นเนื้อหาที่ผู้ใช้สื่อสารกัน ผู้วิเคราะห์ต้องแยกสามคำนี้ก่อนพิจารณาฐานความผิดหรือหลักฐาน (มักออกสอบ)
ผู้ให้บริการครอบคลุมผู้ให้บุคคลอื่นเข้าสู่อินเทอร์เน็ตหรือติดต่อกันผ่านระบบ และผู้เก็บรักษาข้อมูลคอมพิวเตอร์เพื่อประโยชน์ของผู้อื่น ไม่จำกัดเฉพาะผู้ขายอินเทอร์เน็ตรายใหญ่ ผู้ใช้บริการคือผู้ใช้บริการไม่ว่าจะเสียค่าบริการหรือไม่ คำเหล่านี้กำหนดว่าใครมีหน้าที่เก็บข้อมูลจราจร ตอบคำร้องตามกระบวนการ หรืออาจรับผิดเมื่อร่วมมือ ยินยอม หรือรู้เห็นเป็นใจต่อข้อมูลต้องห้ามในระบบที่ควบคุม การมีระบบภายในองค์กรจึงต้องตรวจบทบาทจริงว่าให้บริการแก่ใครและเก็บข้อมูลแทนใคร ไม่สรุปจากชื่อทางธุรกิจเพียงอย่างเดียว
การรักษาความมั่นคงปลอดภัยมักอธิบายด้วยความลับหรือ confidentiality ความถูกต้องครบถ้วนหรือ integrity และความพร้อมใช้หรือ availability ความลับทำให้ข้อมูลเข้าถึงโดยผู้มีสิทธิ ความถูกต้องทำให้ข้อมูลกับระบบไม่ถูกแก้ ทำลาย หรือประมวลผลผิดโดยไม่ได้รับอนุญาต ความพร้อมใช้ทำให้ผู้มีสิทธิใช้บริการได้เมื่อจำเป็น เหตุหนึ่งอาจกระทบหลายด้าน เช่น ransomware เข้ารหัสข้อมูลทำให้ใช้ไม่ได้ เปลี่ยนสภาพข้อมูล และอาจขโมยข้อมูลก่อนเรียกค่าไถ่ การควบคุมจึงต้องพิจารณาคุณสมบัติทั้งสามพร้อมความแท้จริง การติดตามย้อนกลับ และความปลอดภัยของบุคคลตามบริบท
ความเสี่ยงเกิดจากทรัพย์สินหรือบริการที่มีคุณค่าเผชิญภัยคุกคามซึ่งใช้ช่องโหว่และก่อผลกระทบ ทรัพย์สินมิใช่เพียงเครื่องแม่ข่าย แต่รวมข้อมูล บัญชี ซอฟต์แวร์ เครือข่าย กระบวนการ ชื่อเสียง และบริการประชาชน ภัยคุกคามอาจเป็นผู้โจมตี บุคลากรผิดพลาด ผู้รับจ้าง ซอฟต์แวร์บกพร่อง ไฟฟ้าดับ หรือภัยกายภาพ ช่องโหว่อาจอยู่ที่เทคนิค การตั้งค่า กระบวนการ หรือการกำกับ การซื้อเครื่องมือราคาแพงโดยไม่รู้บริการสำคัญ เจ้าของความเสี่ยง และผลที่ยอมรับได้จึงไม่ทำให้ปลอดภัย การตัดสินใจต้องเชื่อมข้อกฎหมาย ภารกิจ ความเสี่ยง และหลักฐานการควบคุมเข้าด้วยกัน
บทที่ 2 กลุ่มความผิดเกี่ยวกับระบบ ข้อมูล และเนื้อหาคอมพิวเตอร์
กลุ่มแรกคุ้มครองการควบคุมการเข้าถึง ระบบที่มีมาตรการป้องกันโดยเฉพาะและไม่ได้จัดไว้สำหรับผู้กระทำ หากถูกเข้าถึงโดยมิชอบ มีโทษจำคุกไม่เกินหกเดือน ปรับไม่เกินหนึ่งหมื่นบาท หรือทั้งจำทั้งปรับ การเข้าถึงข้อมูลที่มีมาตรการป้องกันโดยมิชอบมีโทษสูงกว่า คือจำคุกไม่เกินสองปี ปรับไม่เกินสี่หมื่นบาท หรือทั้งจำทั้งปรับ ส่วนผู้ล่วงรู้มาตรการป้องกันเฉพาะแล้วเปิดเผยโดยมิชอบในลักษณะที่น่าจะเกิดความเสียหาย มีโทษจำคุกไม่เกินหนึ่งปี ปรับไม่เกินสองหมื่นบาท หรือทั้งจำทั้งปรับ ความผิดจึงพิจารณาทั้งสิทธิ มาตรการ การกระทำ และความเสียหายที่กฎหมายกำหนด มิใช่เห็นคำว่าแฮ็กแล้วใช้ฐานเดียวทุกกรณี
กลุ่มต่อมาคุ้มครองข้อมูลระหว่างส่งและสภาพของข้อมูล การดักรับข้อมูลของผู้อื่นระหว่างส่งด้วยวิธีอิเล็กทรอนิกส์โดยมิชอบ เมื่อข้อมูลมิได้มีไว้เพื่อสาธารณะหรือบุคคลทั่วไป มีโทษจำคุกไม่เกินสามปี ปรับไม่เกินหกหมื่นบาท หรือทั้งจำทั้งปรับ การทำให้ข้อมูลของผู้อื่นเสียหาย ทำลาย แก้ไข เปลี่ยนแปลง หรือเพิ่มเติมโดยมิชอบ มีโทษจำคุกไม่เกินห้าปี ปรับไม่เกินหนึ่งแสนบาท หรือทั้งจำทั้งปรับ ส่วนการทำให้ระบบของผู้อื่นระงับ ชะลอ ขัดขวาง หรือรบกวนจนทำงานตามปกติไม่ได้ มีกรอบโทษระดับเดียวกัน การแก้ไฟล์กับโจมตีให้บริการล่มจึงเป็นคนละองค์ประกอบแม้เกิดในเหตุเดียวกัน
การส่งข้อมูลหรืออีเมลโดยปกปิดหรือปลอมแหล่งที่มาและรบกวนการใช้ระบบโดยปกติสุข มีโทษปรับไม่เกินหนึ่งแสนบาท หากส่งในลักษณะก่อความเดือดร้อนรำคาญโดยไม่เปิดช่องให้ผู้รับบอกเลิกหรือปฏิเสธได้โดยง่าย โทษปรับอาจไม่เกินสองแสนบาท อีกกลุ่มหนึ่งคือการจำหน่ายหรือเผยแพร่ชุดคำสั่งที่จัดทำขึ้นโดยเฉพาะเป็นเครื่องมือกระทำความผิด ความรับผิดขึ้นกับลักษณะเครื่องมือ ความรู้หรือการเล็งเห็น และผลจากการนำไปใช้ เครื่องมือดูแลระบบหรือทดสอบความปลอดภัยจึงไม่ผิดเพียงเพราะมีศักยภาพโจมตี ต้องดูการจัดทำ วัตถุประสงค์ การอนุญาต และพฤติการณ์ร่วม
| กลุ่มพฤติการณ์ | สิ่งที่กฎหมายคุ้มครอง | หลักฐานที่ช่วยวิเคราะห์ |
|---|---|---|
| เข้าถึงระบบหรือข้อมูลโดยมิชอบ | สิทธิและมาตรการป้องกันการเข้าถึง | บัญชี สิทธิ บันทึกยืนยันตัวตน การอนุมัติ และขอบเขตงาน |
| เปิดเผยมาตรการหรือดักรับข้อมูล | ความลับของกลไกป้องกันและข้อมูลระหว่างส่ง | ช่องทางส่ง การเข้ารหัส การตั้งค่า บันทึกเครือข่าย และผู้รับข้อมูล |
| ทำลาย เปลี่ยน หรือรบกวน | ความถูกต้องของข้อมูลและความพร้อมใช้ของระบบ | ประวัติเปลี่ยนแปลง ค่าแฮช ภาพระบบ บันทึกเหตุ และเส้นเวลาบริการ |
| ส่งข้อมูลรบกวนหรือเผยแพร่เครื่องมือ | การใช้ระบบโดยปกติและการจำกัดเครื่องมือเฉพาะเพื่อทำผิด | แหล่งส่ง ช่องยกเลิก โค้ด วัตถุประสงค์ การแจกจ่าย และความรู้ของผู้เกี่ยวข้อง |
| นำเข้า เผยแพร่ หรือส่งต่อข้อมูลต้องห้าม | ประชาชน ความมั่นคง ความปลอดภัย และบุคคลในภาพ | ต้นฉบับ การแก้ไข ผู้โพสต์ เวลา กลุ่มผู้เข้าถึง เจตนา และบริบทการส่งต่อ |
ความผิดเกี่ยวกับข้อมูลที่นำเข้าสู่ระบบต้องอ่านองค์ประกอบอย่างเคร่งครัด กฎหมายครอบคลุมการนำข้อมูลบิดเบือน ปลอม หรือเท็จโดยทุจริตหรือหลอกลวงซึ่งน่าจะเสียหายแก่ประชาชนและไม่ใช่ความผิดฐานหมิ่นประมาท การนำข้อมูลเท็จที่น่าจะกระทบความมั่นคง ความปลอดภัยสาธารณะ เศรษฐกิจ หรือโครงสร้างพื้นฐาน หรือทำให้ประชาชนตื่นตระหนก ตลอดจนข้อมูลเกี่ยวกับความมั่นคง การก่อการร้าย และข้อมูลลามกที่ประชาชนทั่วไปเข้าถึงได้ ผู้เผยแพร่หรือส่งต่อจะเกี่ยวข้องเมื่อรู้อยู่แล้วว่าเป็นข้อมูลในกลุ่มที่กฎหมายกำหนด กรอบโทษหลักคือจำคุกไม่เกินห้าปี ปรับไม่เกินหนึ่งแสนบาท หรือทั้งจำทั้งปรับ
ภาพของผู้อื่นที่ถูกสร้าง ตัดต่อ เติม หรือดัดแปลงแล้วนำเข้าสู่ระบบซึ่งประชาชนเข้าถึงได้ โดยน่าจะทำให้เสียชื่อเสียง ถูกดูหมิ่น ถูกเกลียดชัง หรืออับอาย เป็นอีกฐานหนึ่ง มีโทษจำคุกไม่เกินสามปีและปรับไม่เกินสองแสนบาท พร้อมมีข้อยกเว้นเมื่อเป็นการนำเข้าโดยสุจริตอันเป็นการติชมด้วยความเป็นธรรม การวินิจฉัยทุกฐานต้องถามว่าใครทำอะไร ต่อระบบหรือข้อมูลของใคร มีสิทธิหรือไม่ รู้หรือมุ่งหมายสิ่งใด เกิดหรือมีแนวโน้มเกิดผลตามกฎหมายหรือไม่ และมีข้อยกเว้นใด การแชร์โดยไม่อ่านหรืออ้างว่าไม่ใช่ผู้สร้างไม่ทำให้พ้นผิดอัตโนมัติ หากพิสูจน์ได้ว่ารู้ลักษณะข้อมูลแล้วส่งต่อ
เนื้อหาสรุปนี้จัดทำขึ้นเพื่อการศึกษาส่วนบุคคล ห้ามคัดลอก ทำซ้ำ หรือนำไปใช้เพื่อวัตถุประสงค์ทางการค้าโดยไม่ได้รับอนุญาต