จรรยาบรรณของนักวิชาการคอมพิวเตอร์

Security ethics: Authorization, Scope และ Least privilege

• Explicit authorization — การปฏิบัติ: มีผู้มีอำนาจอนุมัติเป็นลายลักษณ์อักษร ระบุระบบ บัญชี วิธี เวลา และข้อมูล
• Scope/Rules of engagement — การปฏิบัติ: กำหนดสิ่งทำได้/ห้าม ผลกระทบสูง stop condition การติดต่อฉุกเฉิน และการเก็บหลักฐาน
• Least privilege — การปฏิบัติ: ให้สิทธิ์เท่าที่งานต้องใช้ แยก admin/use, just-in-time เมื่อเหมาะ และทบทวน/เพิกถอน
• Purpose limitation — การปฏิบัติ: สิทธิ์ดูแลฐานข้อมูลไม่อนุญาตให้ค้นประวัติคนเพราะอยากรู้
• Safe environment — การปฏิบัติ: ใช้ test data/sanitized copy; หลีกเลี่ยงฐานลูกค้าจริงบน laptop หรือ tool ที่ไม่อนุมัติ
• Secrets — การปฏิบัติ: ไม่ใส่ token/password ใน source, chat, ticket หรือ log; ใช้ secret manager, rotate และตรวจการรั่ว
• Evidence integrity — การปฏิบัติ: preserve log/artifact, time/source/hash/chain of handling ตามความเสี่ยง; ไม่แก้เพื่อลดความผิดตน
• Emergency access — การปฏิบัติ: break-glass ต้องมีเหตุ ขอบเขต เวลา alert และ review หลังใช้—not บัญชีลับถาวร

• ไม่เรียกค่าไถ่ ไม่ข่มขู่ ไม่เผยข้อมูลเหยื่อ และไม่คงการเข้าถึง — ฝ่ายเจ้าของระบบ: มีช่องทางรับ ตอบรับ triage และสื่อสารสถานะ
• อธิบายข้อเท็จจริง/สมมติฐานและลดข้อมูลสำคัญ — ฝ่ายเจ้าของระบบ: ไม่ตอบโต้ผู้รายงานสุจริตที่ทำตามขอบเขต; แยกจากผู้โจมตีจริงตามหลักฐาน
• รักษาความลับก่อน remediation และประสานเมื่อหลาย vendor — ฝ่ายเจ้าของระบบ: แก้ root cause, rotate/revoke, หา exposure, แจ้งผู้เกี่ยวข้อง และเรียนรู้
• เคารพ authorization; หากเผลอพบเกิน scope ให้หยุดและแจ้ง — ฝ่ายเจ้าของระบบ: ประกาศ policy/safe harbor ให้ชัด แต่ไม่สัญญาเกินอำนาจ

Logging, Monitoring และ Incident ethics

• Logging content — สมดุลที่ต้องรักษา: พอให้ตรวจ security/operation แต่ไม่เก็บ password, token, full payload หรือ identifier เกินจำเป็น
• Admin monitoring — สมดุลที่ต้องรักษา: ตรวจการใช้อำนาจสูงด้วย independent alerts/audit—not แอบสอดส่องทุกคนไร้ขอบเขต
• Incident statement — สมดุลที่ต้องรักษา: เร็วแต่ไม่เดา แยก known/unknown/action/next update และแก้ข้อความเมื่อข้อมูลเปลี่ยน
• Evidence — สมดุลที่ต้องรักษา: รักษาต้นฉบับ เวลา access และข้อจำกัด; ไม่ลบเพื่อปกป้องชื่อเสียง
• Containment — สมดุลที่ต้องรักษา: ลดอันตรายเร่งด่วนโดยบันทึก trade-off และไม่ทำลายหลักฐานโดยไม่จำเป็น
• Notification — สมดุลที่ต้องรักษา: ประเมินผู้ได้รับผลกระทบ เนื้อหาที่ช่วยเขาลด harm และช่องทางตาม authority/policy
• Post-incident — สมดุลที่ต้องรักษา: blameless ต่อความผิดพลาดสุจริต แต่ไม่ responsibility-free; แก้ระบบและจัดการการจงใจ/ประมาทอย่างเป็นธรรม

ทรัพย์สินทางปัญญา License Open source และการให้เครดิต

• Source/code/document — หน้าที่วิชาชีพ: รู้เจ้าของ สิทธิ์ที่ได้รับ ขอบเขตการใช้/ดัดแปลง/เผยแพร่ และเก็บ notice ตาม license
• Open source — หน้าที่วิชาชีพ: ฟรีค่าใช้ไม่เท่ากับไม่มีเงื่อนไข ตรวจ license compatibility, attribution, source/disclosure obligation และ dependency
• Copy/paste/AI-generated code — หน้าที่วิชาชีพ: ตรวจ provenance, similarity, license, security และความถูกต้อง; ผู้รวมงานรับผิดชอบ
• Idea vs expression — หน้าที่วิชาชีพ: ให้เครดิตแนวคิด/ผลงานตามธรรมเนียมวิชาชีพ แม้คำถามสิทธิ์ทางกฎหมายจะแยกต่างหาก
• Authorship — หน้าที่วิชาชีพ: ผู้เขียนต้องมีส่วนร่วมจริงและรับผิดชอบ ไม่ใส่ชื่อเป็นของขวัญหรือถอดชื่อผู้ทำงาน
• Plagiarism — หน้าที่วิชาชีพ: การเปลี่ยนคำ/แปลโดยไม่อ้างยังเป็นการนำผลงานผู้อื่นมาเป็นของตน
• Trade secret/confidential code — หน้าที่วิชาชีพ: อย่านำโค้ด/ข้อมูลนายจ้างเดิมไปใช้เพราะตนเคยเข้าถึง
• License exit — หน้าที่วิชาชีพ: ก่อนเปลี่ยน/ยุติบริการต้องรู้สิทธิ์ export, format, key, dependency และการรักษาข้อมูล

Research integrity: จากคำถามถึงการเผยแพร่

• Question/protocol — หน้าที่: ตั้งคำถามไม่หลอก กำหนด hypothesis/outcome/exclusion/analysis ก่อนเมื่อทำได้
• Ethics/authorization — หน้าที่: รับ approval ที่เหมาะกับคน ข้อมูล ระบบ และความเสี่ยง; เปลี่ยน protocol ต้องทบทวน
• Consent/recruitment — หน้าที่: อธิบาย purpose, procedure, risk, benefit, withdrawal และ incentive โดยไม่บีบบังคับ
• Collection — หน้าที่: เก็บตาม protocol/minimization ปกป้อง participant และบันทึก deviation
• Analysis — หน้าที่: ไม่ fabrication, falsification, p-hacking หรือเลือก subgroup/metric เพื่อข้อสรุปที่ต้องการ
• Reproducibility — หน้าที่: บันทึก code, environment, version, seed, data provenance และขั้นตอนเท่าที่แบ่งปันได้
• Reporting — หน้าที่: รายงาน null/negative result, limitation, uncertainty, conflict, funding และ correction
• Sharing — หน้าที่: เปิดข้อมูล/โค้ดเมื่อเหมาะ แต่ privacy, consent, security และ license อาจต้องใช้ restricted access
• Dangerous knowledge — หน้าที่: ประเมิน dual use; ลดรายละเอียดที่เอื้ออันตราย ประสาน mitigation โดยไม่ปิดกั้นวิทยาศาสตร์เกินจำเป็น

NIST AI RMF 1.0 — Core: Govern, Map, Measure, Manage

• Govern — คำถามสำคัญ: ใครรับผิด นโยบาย/บทบาท/วัฒนธรรม/ทรัพยากร/third party จัดความเสี่ยงอย่างไร; ตัวอย่างหลักฐาน: risk policy, owner, inventory, training, independent review, escalation
• Map — คำถามสำคัญ: บริบท การใช้ ผู้ได้รับผลกระทบ benefit/harm dependency limitation และ risk tolerance คืออะไร; ตัวอย่างหลักฐาน: use-case boundary, stakeholder map, impact assessment, intended/prohibited use
• Measure — คำถามสำคัญ: จะทดสอบคุณลักษณะ ความไม่แน่นอน subgroup failure/security/privacy ก่อนและหลังใช้ได้อย่างไร; ตัวอย่างหลักฐาน: dataset/model card, test protocol, benchmark, red-team, monitoring thresholds
• Manage — คำถามสำคัญ: จัดลำดับ รับ ลด หลีกเลี่ยง โอน และติดตามความเสี่ยงอย่างไร; เมื่อใดหยุด/rollback/retire; ตัวอย่างหลักฐาน: risk register, treatment, approval, incident/appeal, fallback, retirement plan

AI ที่น่าเชื่อถือ: คุณลักษณะที่ต้องจัดการร่วมกัน

• Valid and reliable — ความหมายเชิงปฏิบัติ: ทำงานตาม intended context ด้วย metric/uncertainty ที่เหมาะ ไม่สรุปเกิน test distribution
• Safe — ความหมายเชิงปฏิบัติ: ไม่สร้างความเสี่ยงต่อชีวิต สุขภาพ ทรัพย์สิน สิทธิ หรือระบบเกิน tolerance; มี fallback/stop
• Secure and resilient — ความหมายเชิงปฏิบัติ: ทน attack, manipulation, data/model compromise และฟื้นจากเหตุผิดปกติ
• Accountable and transparent — ความหมายเชิงปฏิบัติ: มีมนุษย์/องค์กรรับผิด รู้ข้อมูลสำคัญ provenance decision และ oversight
• Explainable and interpretable — ความหมายเชิงปฏิบัติ: ให้เหตุผล/ความหมายที่เหมาะกับผู้ใช้ ผู้ตรวจ และผู้ได้รับผล—not คำอธิบายสวยแต่ไม่ faithful
• Privacy-enhanced — ความหมายเชิงปฏิบัติ: ลดการเก็บ/อนุมาน/เปิดเผย ใช้ privacy controls ตลอด lifecycle
• Fair—with harmful bias managed — ความหมายเชิงปฏิบัติ: ตรวจและจัดการ bias ที่สร้าง harm ตามบริบท กลุ่ม และ error consequence—not ตัวเลขเดียว