พร้อมหรือยังกับการดูแล ‘ข้อมูลส่วนบุคคล’

ปี 2564 นี้สำคัญกับทุกองค์กรไทยเป็นอย่างมากครับ เพราะ “พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล” จะเริ่มบังคับใช้ในปีนี้แล้ว ดังนั้นองค์กรใดให้พนักงานทำงานที่บ้าน (Work From Home) ที่เสี่ยงต่อการถูกโจมตีมากขึ้น 

ก็ขอให้ท่านรีบเตรียมมาตรการรักษาความปลอดภัยให้รัดกุมไม่ให้เกิดความผิดพลาดขึ้น เพราะถึงแม้ว่าความผิดพลาดคือบ่อเกิดของการเรียนรู้ แต่คงไม่ดีถ้าความผิดพลาดนั้นเกิดขึ้นกับองค์กรของท่าน

บทความนี้ผมได้รวบรวมเหตุการณ์ใหญ่ๆ ที่คิดว่าน่าสนใจในปีที่แล้ว มาสรุปให้ท่านทราบว่าองค์กรที่ตกเป็นเหยื่อนั้นผิดพลาดในเรื่องใดกันบ้างครับ

มากันที่รายแรกธุรกิจร้านสะดวกซื้อและปั๊มน้ำมันชื่อดังในสหรัฐ ทำข้อมูลลูกค้ากว่า 30 ล้านรายการรั่วไหล จนข้อมูลของลูกค้าเหล่านั้นถูกนำไปขายในตลาดออนไลน์ โดยหนึ่งเดือนก่อนหน้านั้นบริษัทได้ออกมายอมรับว่าถูกฝังมัลแวร์ลงในระบบขายหน้าร้าน (Point-of-Sale Systems)

ถัดมาเป็นฝั่งของหน่วยงานราชการครับ โดยพบว่าเว็บไซต์เกี่ยวกับภาษีของประเทศเดนมาร์กเกิดความขัดข้องในซอฟต์แวร์ที่ใช้ จนเป็นเหตุให้หมายเลขประจำตัวผู้เสียภาษีของพลเมืองเดนมาร์ก 1.26 ล้านคนถูกเปิดเผย 

ขณะที่รัฐอิลลินอยส์ สหรัฐ หน่วยงานด้านความปลอดภัยในการจ้างงานก็ทำข้อมูลของพลเมืองที่ยื่นขอสวัสดิการว่างงานรั่วไหลเช่นกัน นอกจากนั้นเครือโรงแรมสัญชาติอเมริกันชื่อดังเองก็ถูกแฮกข้อมูลผ่านอีเมลของพนักงานสองคนที่ทำงานอยู่หนึ่งในสาขาของโรงแรม จนทำให้ข้อมูลส่วนบุคคลของลูกค้าโรงแรมกว่า 5.2 ล้านคนที่ใช้แอปพลิเคชันของโรงแรมรั่วไหล

ต่อมาผู้พัฒนาเกมชื่อดังจากประเทศญี่ปุ่นก็ได้ออกมายอมรับว่าบัญชีผู้ใช้ของลูกค้า 160,000 คนถูกลักลอบนำไปใช้โดยไม่ได้รับอนุญาต ทำให้ข้อมูลส่วนบุคคลรวมถึงข้อมูลบัตรเครดิตของลูกค้ารั่วไหล

นอกจากนี้ มีธุรกิจสายการบินที่ตกเป็นเหยื่อ โดยบริษัทสายการบินราคาประหยัดที่ประเทศอังกฤษต้องเผชิญกับคดีที่มีค่าปรับสูงหลายล้านปอนด์ เมื่อทำข้อมูลลูกค้ากว่า 9 ล้านคนรั่วไหล ซึ่งในนั้นมีข้อมูลบัตรเครดิตของลูกค้ารวมอยู่ด้วย

โรงเรียนก็ตกเป็นเหยื่อได้เช่นกันครับ เมื่อโรงเรียนแห่งหนึ่งในรัฐเนวาดา สหรัฐ ถูกโจมตีด้วยแรนซัมแวร์ หรือมัลแวร์เรียกค่าไถ่ ซึ่งทางโรงเรียนได้ปฏิเสธที่จะจ่ายเงินค่าไถ่ให้กับแฮกเกอร์ เป็นเหตุให้แฮกเกอร์นำข้อมูลส่วนบุคคลของนักเรียนหลายพันคนไปเผยแพร่เป็นการตอบโต้

ถึงคราวของธุรกิจประกันภัย เมื่อผู้ให้บริการซอฟต์แวร์เกี่ยวกับการประกันภัยได้ออกมายอมรับว่า ข้อมูลของผู้ขับขี่รถยนต์กว่า 27 ล้านคนรั่วไหล โดยสาเหตุน่าจะมาจากความผิดพลาดที่เกิดจากมนุษย์หรือที่เรียกว่า Human Error เพราะพบว่ามีข้อมูล 3 ไฟล์ที่ถูกเก็บไว้ที่ผู้ให้บริการเก็บข้อมูลภายนอกระบบของบริษัท

ยังมีอีกหลายองค์กรที่ตกเป็นเหยื่อและเป็นข่าวให้ท่านได้เห็นครับ ไม่ว่าองค์กรจะทำธุรกิจเกี่ยวกับอะไรก็มีสิทธิ์ที่จะตกเป็นเหยื่อได้ทั้งนั้น เมื่อมีข้อมูลส่วนบุคคลอยู่ในกำมือ

ส่วนของประเทศไทยเราก็ต้องติดตามกันต่อไปครับว่า เมื่อบังคับใช้พ.ร.บ.ฉบับนี้แล้ว องค์กรใดจะพลาดท่าตกเป็นเหยื่อและค่าปรับจะมีมูลค่าสูงเท่าไหร่ ในระหว่างนี้องค์กรของท่านได้เตรียมความพร้อมในการดูแลข้อมูลส่วนบุคคลแล้วหรือยังครับ