สารบัญ18 หัวข้อหลัก
- 1.บทนำ — วิชานี้มีสามชั้น: ความผิด หน้าที่กำกับ และวิธีควบคุมความเสี่ยง
- 2.นิยามระบบ ข้อมูล ข้อมูลจราจร ผู้ให้บริการ และผู้ใช้บริการ
- 3.มาตรา 10 รบกวนระบบจนทำงานตามปกติไม่ได้
- 4.มาตรา 15 ความรับผิดผู้ให้บริการไม่ใช่อัตโนมัติจากเนื้อหาผู้ใช้
- 5.CII คือภารกิจสำคัญที่ความเสียหายมีผลกว้าง ไม่ใช่แค่ระบบราคาแพง
- 6.เหตุเดียวต้องประสาน Cyber–Privacy–Legal–Business
- 7.asset inventory ต้องตอบว่าอะไรสำคัญ ใครเป็นเจ้าของ และพึ่งอะไร
- 8.MFA ลด credential risk แต่ยังแพ้ fatigue และ phishing บางแบบ
- 9.log ที่ดีต้องตอบใคร ทำอะไร ที่ไหน เมื่อใด และผลเป็นอย่างไร
- 10.web shell หรือ malware persistence: อย่าลบทันทีแล้วคิดว่าจบ
- 11.backup ที่กู้ไม่ได้ยังไม่ใช่ control ที่ยืนยัน
- 12.server-side authorization ป้องกัน IDOR/BOLA
- 13.password storage และ credential recovery
- 14.third-party risk ต้องติดตามตลอดอายุสัญญา
- 15.vulnerability disclosure และ bug bounty ต้องมี safe channel
- 16.กรณี 5 backup อยู่โดเมนเดียวและถูกลบพร้อม production
- 17.กรณี 10 malware alert เพียงครั้งเดียว
- 18.กรณี 15 ผู้ทดสอบปิด finding จากคำบอกว่าแก้แล้ว
บทนำ — วิชานี้มีสามชั้น: ความผิด หน้าที่กำกับ และวิธีควบคุมความเสี่ยง
พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ตอบว่า “การกระทำใดอาจเป็นความผิดและเจ้าหน้าที่ได้พยานอย่างไร” พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ตอบว่า “หน่วยงานใดต้องเตรียมระบบและรับมือภัย” ส่วนกฎหมายคุ้มครองข้อมูลส่วนบุคคลตอบว่า “ข้อมูลบุคคลถูกประมวลผลและละเมิดแล้วมีหน้าที่อย่างไร”. มาตรฐานอย่าง NIST CSF, NIST SP 800-61, OWASP หรือแนวทาง Zero Trust ช่วยออกแบบและตรวจมาตรการ แต่ไม่ได้สร้างโทษอาญาเอง การวิเคราะห์ประเด็นต้องไม่เขียนว่าองค์กร “ผิด NIST จึงติดคุก” หรือ “ทำตาม OWASP แล้วพ้นกฎหมาย”
เหตุเดียวอาจแตะหลายชั้น เช่น ransomware เข้าระบบโดยมิชอบ ทำลายข้อมูล กระทบบริการ CII และทำข้อมูลส่วนบุคคลรั่ว การแจ้ง สกมช. ไม่แทนการประเมินแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล และการแจ้งหน่วยงานรัฐไม่แทนการรักษาหลักฐาน. วิธีอ่านฉบับนี้คือระบุทรัพย์สิน ผู้มีสิทธิ การกระทำ ผลกระทบ กฎหมายที่ใช้ หน้าที่แจ้ง และมาตรการทางเทคนิคแยกกัน แล้วเชื่อมเป็นการตอบสนองเดียวที่ได้สัดส่วน
วิชานี้มีสามชั้น: ความผิด หน้าที่กำกับ และวิธีควบคุมความเสี่ยง
- 1ระบุเหตุและขอบเขต
- 2คุมความเสียหาย
- 3รักษาหลักฐาน
- 4วิเคราะห์องค์ประกอบกฎหมาย
- 5แจ้งตามหน้าที่แต่ละฉบับ
- 6กำจัด–กู้คืน–ปรับระบบ
Confidentiality คือข้อมูลไม่เปิดแก่ผู้ไม่มีสิทธิ Integrity คือข้อมูล ระบบและหลักฐานไม่ถูกแก้โดยมิชอบ Availability คือบริการและข้อมูลพร้อมใช้ตามความต้องการ ภัยหนึ่งกระทบได้มากกว่าหนึ่งด้าน เช่น ransomware ทั้งทำข้อมูลใช้ไม่ได้และอาจขโมยออก. Authentication พิสูจน์ว่าใครกำลังขอใช้ Authorization ตัดสินว่าทำอะไรได้ Accountability ทำให้ย้อนกลับได้ว่าใครทำอะไรเมื่อใด ส่วน non-repudiation มุ่งลดการปฏิเสธการกระทำเมื่อมีหลักฐานที่เหมาะสม. Resilience คือยังให้บริการสำคัญหรือฟื้นกลับได้ภายในเป้าหมาย ไม่ใช่หวังว่าจะไม่มีเหตุเลย องค์กรจึงต้องออกแบบทั้งป้องกัน ตรวจจับ ตอบสนอง กู้คืน และเรียนรู้
ประเด็นสถานการณ์ควรถามว่า control ลดความเสี่ยงด้านใดและเหลือช่องใด เช่นเข้ารหัสดิสก์ช่วยเมื่อ laptop สูญหาย แต่ไม่ป้องกันบัญชีที่ยัง active หรือไฟล์ที่ถูกส่งออกก่อนเครื่องล็อก. ความผิดคอมพิวเตอร์ใช้พระราชบัญญัติ พ.ศ. 2550 ซึ่งแก้ไขโดยฉบับที่ 2 พ.ศ. 2560 และควรอ่านฉบับรวมที่หน่วยงานรัฐเผยแพร่ ไม่อ่านมาตรา 14 ฉบับเดิมแยกจนเอาหมิ่นประมาทออนไลน์มาเป็นมาตรา 14 ทุกกรณี. ข้อมูลจราจรคอมพิวเตอร์ต้องดูมาตรา 26 พร้อมประกาศกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมเรื่องหลักเกณฑ์การเก็บรักษาข้อมูลจราจรของผู้ให้บริการ พ.ศ. 2564 และคำสั่งที่ชอบด้วยกฎหมายตามประเภทบริการ
กฎหมายไซเบอร์ใช้พระราชบัญญัติ พ.ศ. 2562 และประมวลแนวทางปฏิบัติ/กรอบมาตรฐาน พ.ศ. 2564; สกมช. เผยแพร่แนวทางการจัดทำฉบับ พ.ศ. 2568 เพิ่ม จึงต้องตรวจประกาศที่มีผลในวันเกิดเหตุ ไม่ถือข่าวประชาพิจารณ์เป็นกฎหมายมีผลแล้ว. แนวทางเทคนิคปัจจุบันที่ใช้อธิบาย ได้แก่ NIST CSF 2.0, NIST SP 800-61 Rev.3 ฉบับสุดท้ายปี 2025, NIST SP 800-63B-4 ปี 2025 และ OWASP Top 10:2025 โดยปรับใช้ตามความเสี่ยง ไม่ยกเป็นข้อบังคับไทยโดยอัตโนมัติ. การเข้าถึงชอบหรือไม่ชอบดูการอนุญาตและขอบเขต ไม่ได้ดูเพียงว่าผู้กระทำรู้รหัสหรือระบบยอมรับ token ผู้รับเหมาที่สัญญาหมด พนักงานที่ย้ายงาน หรือผู้ทดสอบที่เกิน scope อาจไม่มีอำนาจแม้ credential ยังใช้ได้
การอนุญาตควรระบุระบบ ข้อมูล วิธีทดสอบ เวลา อัตราการส่งคำขอ ข้อห้าม จุดหยุด การจัดการข้อมูลที่พบ และช่องรายงาน เพื่อแยกงานวิจัยสุจริตจากการทดลองเกินขอบเขต. เจตนาดีเป็นพฤติการณ์สำคัญแต่ไม่ขยายสิทธิเอง การเปิดดูข้อมูลจริงจำนวนมาก “เพื่อพิสูจน์ช่องโหว่” อาจเกินจำเป็นและสร้าง breach เพิ่ม. องค์กรต้องปิดสิทธิเมื่อหมดเหตุผ่าน joiner–mover–leaver process ไม่ผลักความผิดทั้งหมดให้ผู้ใช้เมื่อระบบรู้ว่าสัญญาหมดแต่ยังเปิดบัญชีไว้. คำว่า “แฮ็ก” อาจหมายถึงเดารหัส เข้าระบบ เปิดข้อมูล ดักข้อมูล แก้ไฟล์ ทำระบบล่ม หรือเผยแพร่เครื่องมือ ความผิดและพยานของแต่ละการกระทำต่างกัน
phishing อาจประกอบด้วยการหลอกเอารหัส การใช้รหัสเข้าบัญชี การนำข้อมูลเท็จหลอกประชาชน และการโอนเงิน แต่ต้องพิสูจน์องค์ประกอบของแต่ละฐาน ไม่ใช้คำว่า phishing แทนคำวินิจฉัยทั้งหมด. DDoS เน้นรบกวนการทำงานของระบบ ransomware เน้นการเข้าถึง/แก้หรือทำข้อมูลใช้ไม่ได้และอาจกรรโชก ส่วน web shell เป็นกลไกคงอยู่หลังบุกรุก ไม่มีชื่อใดทำให้ข้ามการพิสูจน์ผู้กระทำ เวลาและผลได้. บันทึก incident ควรใช้ข้อเท็จจริงที่ตรวจได้ เช่น process, account, IP, hash, timestamp, request, file change และผลต่อบริการ แทนคำกว้างอย่าง “ถูกโจมตีหนัก”. การนำข้อความเท็จลงระบบอาจแตะมาตรา 14 เมื่อครบองค์ประกอบ แต่ข้อพิพาทชื่อเสียงระหว่างบุคคลอาจอยู่กฎหมายหมิ่นประมาท ไม่ควรใช้มาตรา 14 เป็นเครื่องมือแทนโดยอัตโนมัติหลังการแก้ไขปี 2560
การนำภาพคนมาตัดต่ออาจแตะมาตรา 16 และยังอาจมีเรื่องข้อมูลส่วนบุคคล ลิขสิทธิ์ หรือความผิดอื่นร่วม ขึ้นกับวิธีได้ภาพ การเผยแพร่ ผลและข้อยกเว้น. การทำข้อมูลหายเพราะประมาทอาจไม่เข้าองค์ประกอบ “โดยมิชอบ” แบบผู้โจมตี แต่สร้างความรับผิดตามสัญญา ละเมิด วินัย PDPA หรือมาตรฐานกำกับได้. ข้อสรุปที่ดีจึงใช้ถ้อยคำ “อาจเข้า ต้องตรวจ...” เมื่อข้อเท็จจริงยังไม่ครบ ไม่ฟันธงอาญาจากอาการทางเทคนิคชิ้นเดียว
นิยามระบบ ข้อมูล ข้อมูลจราจร ผู้ให้บริการ และผู้ใช้บริการ
ระบบคอมพิวเตอร์คืออุปกรณ์หรือชุดอุปกรณ์ที่ทำงานตามคำสั่งเพื่อประมวลผลโดยอัตโนมัติ ข้อมูลคอมพิวเตอร์คือข้อมูล ข้อความ คำสั่ง ชุดคำสั่งหรือสิ่งอื่นที่ระบบประมวลผลได้ รวมข้อมูลอิเล็กทรอนิกส์ตามที่กฎหมายกำหนด. ข้อมูลจราจรทางคอมพิวเตอร์เป็นข้อมูลเกี่ยวกับการติดต่อสื่อสาร เช่นแหล่งกำเนิด ต้นทาง ปลายทาง เส้นทาง เวลา วันที่ ปริมาณ ระยะเวลา ชนิดบริการ หรือข้อมูลอื่นที่สัมพันธ์กับการสื่อสาร ไม่ใช่เนื้อหาทุกข้อความโดยตัวมันเอง. ผู้ให้บริการครอบคลุมผู้ให้บริการเข้าถึงอินเทอร์เน็ตหรือสื่อสารและผู้เก็บรักษาข้อมูลเพื่อประโยชน์บุคคลอื่นตามนิยาม ส่วนผู้ใช้บริการคือผู้ใช้บริการของผู้ให้บริการ ไม่ควรเรียกทุกองค์กรเป็นผู้ให้บริการโดยไม่ตรวจบทบาท
นิยามมีผลต่อหน้าที่เก็บ log และความรับผิดของผู้ให้บริการ จึงต้องวิเคราะห์บริการจริง เช่นระบบองค์กรที่เปิดบัญชีแก่ผู้อื่น cloud, hosting, platform หรือ access service ตามประกาศที่ใช้. ผู้ที่เข้าถึงระบบคอมพิวเตอร์ของผู้อื่นซึ่งมีมาตรการป้องกันการเข้าถึงโดยเฉพาะและมาตรการนั้นมิได้มีไว้สำหรับตน อาจเข้าฐานมาตรา 5 แม้ยังไม่แก้ข้อมูล. พยานสำคัญคือระบบของใคร มีมาตรการใด ผู้กระทำรู้หรือฝ่ามาตรการอย่างไร และมีการอนุญาตขอบเขตใด การล็อกอินสำเร็จไม่พิสูจน์สิทธิ. พนักงานเดารหัสเพื่อน ผู้รับเหมาหลังสัญญา หรือบัญชีที่ถูกถอนสิทธิแล้วกลับใช้ token เดิมจึงต้องตรวจมาตรานี้ก่อนฐานทำลายข้อมูล
ระบบสาธารณะที่เปิดให้บุคคลทั่วไปเข้าไม่ทำให้ทุก endpoint เปิดเสรี ส่วน admin interface หรือ API หลัง authentication อาจยังเป็นระบบมีมาตรการเฉพาะ. การล่วงรู้มาตรการป้องกันที่ผู้อื่นจัดทำขึ้นเฉพาะและนำไปเปิดเผยโดยมิชอบในประการที่น่าจะเกิดความเสียหาย เป็นคนละฐานกับการใช้มาตรการนั้นเข้าระบบ. รหัสผ่าน private key token recovery code หรือข้อมูล bypass บางชนิดอาจเป็นมาตรการเฉพาะ ต้องพิสูจน์ว่าผู้เปิดเผยรู้ลักษณะและผลที่น่าจะเกิด ไม่ใช่ข้อมูลเทคนิคทุกชิ้นเป็นมาตรา 6. การส่งรหัสที่ขโมยมาให้เพื่อนเจาะระบบมีทั้งประเด็นการเปิดเผยมาตรการและการสนับสนุนความผิดภายหลัง จึงควรเก็บข้อความส่ง เวลา แหล่งได้มา และความสัมพันธ์กับการโจมตี
องค์กรควรใช้ secret manager จำกัดการมองเห็น หมุนคีย์และติดตามการใช้ เพราะการอบรมว่าห้ามแชร์อย่างเดียวไม่ลดผลเมื่อ secret ถูกคัดลอกแล้ว. มาตรา 7 มุ่งการเข้าถึงข้อมูลคอมพิวเตอร์ของผู้อื่นที่มีมาตรการป้องกันเฉพาะและไม่ใช่สำหรับผู้กระทำ แม้ผู้กระทำอาจเข้าใช้ระบบบางส่วนได้โดยชอบ. ตัวอย่างพนักงานมีบัญชีระบบแต่เปลี่ยนเลข ID ใน API เพื่อเปิดระเบียนของคนอื่น ระบบเปิดให้ล็อกอินถูกต้องแต่ไม่ได้ให้สิทธิข้อมูลนั้น จึงเกิดประเด็น authorization ระดับวัตถุและมาตรา 7. ต้องเก็บหลักฐาน object, endpoint, account role, policy, request และข้อมูลที่ตอบกลับ เพื่อพิสูจน์ขอบเขตสิทธิ ไม่ใช้เพียงภาพหน้าจอที่ไม่บอกคำขอ. การป้องกันต้องตรวจสิทธิฝั่ง server ทุก request ไม่เชื่อการซ่อนปุ่มหรือเมนูหน้าเว็บ เพราะผู้ใช้เรียก API โดยตรงได้
การดักรับข้อมูลคอมพิวเตอร์ของผู้อื่นระหว่างส่งในระบบโดยมิชอบ โดยข้อมูลนั้นไม่ได้มีไว้เพื่อประโยชน์สาธารณะหรือให้บุคคลทั่วไปใช้ อาจเข้าฐานมาตรา 8. ประเด็นต้องตรวจคืออยู่ระหว่างการส่ง มีความคาดหมายความเป็นส่วนตัว วิธีดัก และการอนุญาต เช่น packet capture ในวงทดสอบที่ได้รับอนุญาตต่างจากดักเครือข่ายบุคคลอื่น. TLS/VPN ช่วยป้องกันช่องทางแต่ไม่ได้แก้สิทธิปลายทาง ผู้ดูแลที่ถอดรหัส traffic เพื่อความปลอดภัยต้องมีนโยบาย วัตถุประสงค์ การแจ้ง และสิทธิจำกัด. ไฟล์ที่พักอยู่ใน storage ไม่ใช่ “ระหว่างส่ง” โดยอัตโนมัติ อาจต้องพิจารณามาตราเข้าถึงข้อมูลหรือกฎหมายข้อมูลส่วนบุคคลแทน. การทำให้เสียหาย ทำลาย แก้ไข เปลี่ยนแปลง หรือเพิ่มเติมข้อมูลคอมพิวเตอร์ของผู้อื่นโดยมิชอบอยู่ในแกนมาตรา 9 คำว่า “ข้อมูล” รวมสำเนาสำรองที่ใช้กู้ระบบ
ลบ backup จนกู้ไม่ได้ เข้ารหัสไฟล์ เปลี่ยนยอด หรือแก้ log จึงต้องตรวจฐานนี้นอกเหนือจากการเข้าถึง แม้ข้อมูลยังมีไฟล์อยู่แต่ใช้การไม่ได้ก็อาจเกิดผลตามมาตรา. ต้องพิสูจน์สภาพก่อน–หลัง การเป็นข้อมูลของผู้อื่น เจตนา/ความมิชอบ และความเชื่อมโยงกับผู้กระทำผ่าน log, hash, snapshot หรือ audit trail. การสำรองแบบ immutable หรือ offline แยก credential ช่วยลดผล แต่สำรองอย่างเดียวไม่ป้องกันการแก้ข้อมูลผลิตที่ค่อย ๆ ถูกคัดลอกเข้า backup จึงต้องตรวจความถูกต้องด้วย
เนื้อหาสรุปนี้จัดทำขึ้นเพื่อการศึกษาส่วนบุคคล ห้ามคัดลอก ทำซ้ำ หรือนำไปใช้เพื่อวัตถุประสงค์ทางการค้าโดยไม่ได้รับอนุญาต