กสทช.ตั้งกก.สอบ- เอไอเอส แจงมาตรการเข้มคุมพนง.

กสทช. ตั้ง “ก่อกิจ” นั่งประธานกรรมการสอบพนักงาน เอไอเอส ขายข้อมูล ย้ำโอเปอเรเตอร์เปิดเผยข้อมูลอาจถูกยึดใบอนุญาต ขณะที่ผู้กระทำผิดมีโทษสูงสุดจำคุกไม่เกิน 2 ปี ด้าน “เอไอเอส” ร่อนหนังสือแจง ทำทุกวิถีทางป้องความปลอดภัยข้อมูลลูกค้า

นายฐากร ตัณฑสิทธิ์ เลขาธิการคณะกรรมการกิจการกระจายเสียง กิจการโทรทัศน์ และ กิจการโทรคมนาคมแห่งชาติ (กสทช.) กล่าวว่า สำนักงาน กสทช.ได้แต่งตั้งคณะกรรมการสอบข้อเท็จจริงกรณีที่มีผู้โพสต์ข้อความลงเว็บไซต์พันทิปว่ามีพนักงาน บริษัท แอดวานซ์ อินโฟร์ เซอร์วิส จำกัด (มหาชน) หรือ เอไอเอส โดยมอบหมายให้นายก่อกิจ ด่านชัยวิจิตร รองเลขาธิการ กสทช. ด้านกิจการโทรคมนาคม เป็นประธานคณะกรรมการโดยกสทช.จะเชิญเอไอเอสมาร่วมประชุมเพื่อสอบถามข้อเท็จจริงนัดแรกในวันที่ 19 ก.ย. 2559คาดว่าจะใช้เวลาทราบข้อเท็จจริงภายใน 30 วัน

นอกจากนี้ยังได้ส่งหนังสือกำชับไปยังผู้ประกอบการโทรศัพท์มือถือ (โอเปอเรเตอร์ ) ทุกราย หากเปิดเผยข้อมูลลูกค้า พนักงานคนที่กระทำความผิด จะมีความผิดตามมาตรา 74 แห่งพ.ร.บ.ประกอบกิจการโทรคมนาคม พ.ศ. 2544 โดยมีโทษสูงสุดจำคุกไม่เกิน 2 ปี ในส่วนของผู้ประกอบการก็อาจมีความผิดในทางปกครองตามประกาศ มาตรการคุ้มครองสิทธิของผู้ใช้บริการโทรคมนาคมเกี่ยวกับข้อมูลส่วนบุคคล สิทธิในความเป็นส่วนตัว และเสรีภาพในการสื่อสารถึงกันโดยทางโทรคมนาคม ซึ่งโทษสูงสุดถึงขั้นยึดใบอนุญาตประกอบกิจการ ซึ่งการเปิดเผยข้อมูลได้นั้นต้องมีหมายจากศาลเท่านั้นถึงจะทำได้

“ส่วนตัวผมคิดว่าผู้ประกอบการไม่รู้ เพราะเป็นการทำผิดของส่วนบุคคล แต่ตามหลักการแล้ว กสทช.ก็ต้องตรวจสอบก็เพื่อสร้างความมั่นใจให้กับประชาชน และหากจะกลัวว่าผู้ประกอบการจะมีการบันทึกการสนทนาของลูกค้าหรือไม่ ผมคิดว่าไม่มีแน่นอน เพราะเขาคงไม่มีคาพาซิตี้ใหญ่ขนาดนั้น แค่บันทึกข้อมูลพิกัดการโทรก็คงเก็บได้แค่เดือน สองเดือนเท่านั้น เขาก็ต้องลบแล้ว” นายฐากร กล่าว

อย่างไรก็ตาม ในส่วนของผู้เสียหายยังไม่ได้ประสานงานมายัง กสทช. แต่ กสทช.จะประสานงานกับสถานีตำรวจท้องที่ที่เอไอเอสแจ้งความให้ทราบว่าผู้กระทำความผิดต้องได้รับโทษดังกล่าวเพิ่มขึ้นด้วย และมีหากผลการสอบออกมาเมื่อได้ข้อเท็จจริง กสทช. อาจจะร่วมเป็นผู้เสียหายแจ้งความกับตำรวจด้วย แม้ว่าเอไอเอสจะได้ไล่พนักงานคนดังกล่าวออกไป และแจ้งความต่อสถานีตำรวจแล้วก็ตาม

เอไอเอสร่อนหนังสือชี้แจง
นางวิไล เคียงประดู่ ผู้ช่วยกรรมการผู้อำนวยการอาวุโส ส่วนงานประชาสัมพันธ์ บมจ.แอดวานซ์ อินโฟร์ เซอร์วิส (เอไอเอส) เผยว่า เอไอเอสรู้สึกเสียใจและขออภัยลูกค้าที่ได้รับผลกระทบจากเหตุการณ์ที่เกิดขึ้น และเมื่อทราบเรื่องดังกล่าวบริษัท ก็มิได้นิ่งนอนใจ ได้ดำเนินการตรวจสอบอย่างเข้มข้นทันที

"ขอยืนยันว่า การปกป้องและรักษาข้อมูลส่วนบุคคลของลูกค้าเป็นเรื่องที่บริษัทให้ความสำคัญสูงสุดมาโดยตลอด ปัจจุบันบริษัทกำหนดให้มี “นโยบายการคุ้มครองสิทธิและการรักษาข้อมูลส่วนบุคคลของผู้ใช้บริการ” “นโยบายความปลอดภัยข้อมูลและระบบสารสนเทศ” และ “ประมวลจริยธรรมทางธุรกิจ” ที่ระบุถึงความสำคัญของการคุ้มครองและรักษาข้อมูลส่วนบุคคลของลูกค้า ความหมายของข้อมูลส่วนบุคคล ช่องทางการรับข้อร้องเรียน กระบวนการตรวจสอบเมื่อมีการละเมิด บทลงโทษ และการคุ้มครองผู้ให้ข้อมูล

รวมทั้งมีคณะกรรมการกำกับดูแลเรื่องความปลอดภัยข้อมูลและระบบสารสนเทศ ประกอบด้วยผู้บริหารระดับสูงจากแต่ละสายงานที่เกี่ยวข้อง ,อบรมให้ความรู้ด้านความปลอดภัยของระบบเทคโนโลยีสารสนเทศกับผู้พัฒนาระบบตามมาตรฐานการพัฒนาซอฟแวร์อย่างปลอดภัย (Secure Software Development Life Cycle :SSDLC) การรักษาข้อมูลส่วนบุคคลของลูกค้าโดยพนักงานจะต้องทำแบบทดสอบภายหลังการฝึกอบรม และการสร้างจิตสำนึกเรื่องจริยธรรมทางธุรกิจให้แก่พนักงานตั้งแต่วันปฐมนิเทศ

สิ่งสำคัญในกระบวนการทำงาน คือ การกำหนดสิทธิในการเข้าถึงข้อมูลส่วนบุคคลของลูกค้าตามอำนาจหน้าที่ความรับผิดชอบ และกำหนดให้มีรหัสผ่านในการเข้าถึงข้อมูลทุกครั้ง , การยกระดับความปลอดภัยของระบบสารสนเทศตามมาตรฐาน ISO270001 ที่ดาต้าเซ็นเตอร์ และการจัดให้มีการตรวจสอบโดยส่วนงานตรวจสอบภายในและโดยผู้เชี่ยวชาญอิสระจากภายนอกเป็นประจำ

อย่างไรก็ตาม จากเหตุการณ์ที่เกิดขึ้น แม้จะเป็นความผิดจากตัวบุคคล ซึ่งใช้สิทธิในการเข้าถึงข้อมูลดังกล่าวเพื่อปฏิบัติหน้าที่ประจำวันไปในทางมิชอบ บริษัทได้ทบทวนและยกระดับการควบคุมการทำงานภายใน เพื่อป้องกันการกระทำผิดและการทุจริตในองค์กร

รวมถึงเพิ่มมาตรการรักษาระบบรักษาความปลอดภัยทางด้านสารสนเทศของบริษัท เพื่อป้องกันไม่ให้เกิดเหตุการณ์ในลักษณะนี้ขึ้นอีกในอนาคต ขั้นแรก กำหนดให้ดำเนินการ อาทิ การเข้าถึงข้อมูลบนระบบสารสนเทศ ซึ่งเก็บรักษาข้อมูลส่วนบุคคลของลูกค้าแต่ละครั้ง ให้พนักงานผู้มีสิทธิจำนวน 2 คนกรอกรหัสผ่านเข้าสู่ระบบ (Double Password) จากเดิมที่พนักงานผู้มีสิทธิสามารถใช้รหัสของตนเองเข้าถึงข้อมูลได้, ปรับปรุงให้ระบบการทำงานของผู้ที่มีสิทธิเข้าถึงข้อมูลส่วนบุคคลของลูกค้ามีลักษณะการทำงานแบบปิด (Close working environment) กล่าวคือ กำหนดให้พนักงานห้ามนำโทรศัพท์เคลื่อนที่ อุปกรณ์บันทึกข้อมูล เช่น USB Thumb drive เข้าไปในบริเวณสถานที่ปฏิบัติงาน เป็นต้น

มาตรการถัดไป บริษัทจะพิจารณาเพิ่มเรื่องการป้องกันทั้งในด้านบุคลากร กระบวนการทำงานทั้งภายในและภายนอกองค์กร และระบบรักษาความปลอดภัย ระบบตรวจสอบความผิดปกติในการทำงานที่อาจนำไปสู่การละเมิดข้อมูลส่วนบุคคลของลูกค้า

"ขอให้ลูกค้าทุกท่านมั่นใจว่าบริษัทจะทำทุกวิถีทางเพื่อดูแลความปลอดภัยข้อมูลส่วนบุคคลของลูกค้า” นางวิไล กล่าว