<h2>ดีลอยท์ เผยผลสำรวจภาคธุรกิจไทยกับความพร้อมรับ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) นำโดยกลุ่มธุรกิจบริการทางการเงิน และชีววิทยาศาสตร์และการดูแลสุขภาพ ปฏิบัติตามพ.ร.บ.ป้องกันข้อมูลส่วนบุคคลเป็นอันดับต้นๆ โดยส่วนใหญ่กลัวถูกปรับ ฟ้องร้อง และต้องการสร้างความเชื่อมั่นกับลูกค้า</h2>
ดีลอยท์ ประเทศไทย ผู้ให้บริการวิชาชีพชั้นนำ ด้านการสอบบัญชี การบริหารจัดการ การเงิน ความเสี่ยง ภาษีและกฎหมาย และอื่นๆ ที่เกี่ยวข้องให้กับลูกค้าทั้งภาครัฐและเอกชนในอุตสาหกรรมด้านต่างๆ เผยแพร่ผลสำรวจภาคธุรกิจไทยกับการเตรียมพร้อมรับ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562 (PDPA) จากการเก็บข้อมูลและการใช้ข้อมูลส่วนบุคคลที่เพิ่มมากขึ้น การจัดการและความเป็นส่วนตัวของข้อมูลจึงเป็นสิ่งที่ธุรกิจทุกภาคส่วนมีความกังวลมากขึ้นไปด้วย

ที่สำคัญกว่านั้น คือการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลของประเทศไทย พ.ศ. 2562 จะมีผลบังคับใช้อย่างเป็นทางการในเดือนมิถุนายน พ.ศ. 2565 หลังจากเลื่อนออกจากกำหนดการเดิมสองปี เพื่อให้การจัดการข้อมูลส่วนบุคคลมีความโปร่งใสและสามารถตรวจสอบได้มากยิ่งขึ้น แม้ว่าการบังคับใช้กฎหมายที่ล่าช้าจะทำให้ธุรกิจมีเวลาเตรียมตัวพร้อมปฏิบัติตามกฎระเบียบใหม่มากขึ้น แต่พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลจะเปลี่ยนแนวคิดในเรื่องความเป็นส่วนตัวสำหรับภาคธุรกิจอย่างมาก

ในเดือนตุลาคม 2564 ดีลอยท์ ประเทศไทย ได้จัดทำแบบสำรวจการเตรียมพร้อมรับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) จากกลุ่มตัวอย่างองค์กรและอุตสาหกรรมต่างๆ ในประเทศไทย โดยมีเป้าหมายคือเพื่อทำความเข้าใจว่าองค์กรมีแนวทางการเตรียมความพร้อมเพื่อปฏิบัติตามพระราชบัญญัติดังกล่าวอย่างไร องค์กรมีแผนการดำเนินงานครอบคลุมถึงขั้นตอนใดบ้าง และความท้าทายที่อาจเผชิญระหว่างการดำเนินการคืออะไร ผู้ตอบแบบสำรวจส่วนใหญ่มาจากกลุ่มอุตสาหกรรมอุปโภคบริโภค (40%) รองลงมาคือกลุ่มอุตสาหกรรมบริการทางการเงิน (27%) โดยสรุปแล้ว ผู้ตอบแบบสอบถามมากกว่าครึ่งหนึ่งประกอบด้วยบริษัทขนาดใหญ่ที่มีจำนวนพนักงานในองค์กร 500 คนขึ้นไป

ผลการสำรวจชี้ให้เห็นว่า ความรวดเร็วในการดำเนินงาน และแผนการดำเนินงานให้เป็นไปตามพระราชบัญญัติดังกล่าวนั้นแตกต่างกันในแต่ละอุตสาหกรรม ซึ่งปัจจุบันกลุ่มอุตสาหกรรมบริการทางการเงินมีการดำเนินที่คืบหน้ามากกว่าภาคธุรกิจอื่นๆ โดยดำเนินงานเป็นไปตามพระราชบัญญัติอย่างเต็มรูปแบบ และมีความพร้อมตามกำหนดบังคับใช้ในเดือนมิถุนายน 2565 ประมาณ 81% ได้มีการปฏิบัติตามอย่างเต็มรูปแบบ หรือคาดการณ์การปฏิบัติตามพระราชบัญญัติดังกล่าวอย่างเต็มรูปแบบภายในเดือนมีนาคม 2565 เนื่องจากอุตสาหกรรมดังกล่าวมีกฎข้อบังคับอย่างเข้มงวด รวมถึงการที่ธนาคารแห่งประเทศไทยให้การสนับสนุนในเรื่องการป้องกันข้อมูลส่วนบุคคลของลูกค้าธนาคาร

“ความเข้าใจที่ชัดเจนในกฎข้อบังคับใหม่จะช่วยให้บริษัทต่างๆ เตรียมความพร้อมอย่างรับผิดชอบและครอบคลุมในเรื่องความเป็นส่วนตัวซึ่งเป็นหัวใจสำคัญของพระราชบัญญัตินี้ เจ้าของธุรกิจจำเป็นต้องดำเนินการปกป้องข้อมูลและความเป็นส่วนตัวในลักษณะองค์รวม เพื่อให้มั่นใจว่าสามารถดำเนินกิจการได้อย่างรัดกุม เพื่อประโยชน์สูงสุดในการให้บริการลูกค้าและขับเคลื่อนการเติบโตธุรกิจในอนาคต” ศมกฤต กฤษณามระ พาร์ตเนอร์ ที่ปรึกษาด้านความเสี่ยงทางการเงินกล่าว

<figure><img class="wp-image-58084 size-full" src="https://forbesthailand.com/wp-content/uploads/2022/02/สมเกียรติ์.jpg" alt="" width="400" height="600" /><figcaption> ศมกฤต กฤษณามระ พาร์ตเนอร์ ที่ปรึกษาด้านความเสี่ยงทางการเงิน</figcaption></figure>

สำหรับปัจจัยหลักที่ขับเคลื่อนให้เกิดการปฏิบัติตามพระราชบัญญัติดังกล่าว ได้แก่ ความเกรงกลัวต่อการถูกฟ้องร้องดำเนินคดีหากมีการละเมิดข้อมูลส่วนบุคคล รองลงมา คือ การเสียชื่อเสียงและสูญเสียความเชื่อมั่นของผู้บริโภค  ซึ่งแรงขับเคลื่อนส่วนใหญ่เกิดจากกฎเกณฑ์ข้อบังคับมากกว่าผลประโยชน์ที่เกี่ยวข้อง โดยการไม่ปฏิบัติตามกฎหมายในประเด็นดังกล่าวอาจส่งผลให้องค์กรต้องเผชิญกับค่าใช้จ่ายที่สูงตามมา

นอกจากนั้น ผู้ตอบแบบราวร้อยละ 45 คาดหวังประโยชน์ที่มีนัยสำคัญจากการปฏิบัติตามพระราชบัญญัติดังกล่าว อย่างไรก็ตาม เมื่อเปรียบเทียบในแต่ละอุตสาหกรรมพบว่าประมาณร้อยละ 80 ของธุรกิจในกลุ่มอุตสาหกรรมบริการทางการเงินและชีววิทยาศาสตร์และการดูแลสุขภาพคาดหวังผลประโยชน์ในขอบเขตจำกัด หรือไม่คาดหวังผลประโยชน์อื่นนอกเหนือจากการปฏิบัติตามข้อบังคับ เนื่องมาจากกลุ่มอุตสาหกรรมทั้งสองต้องเกี่ยวข้องกับข้อมูลที่มีความอ่อนไหวซึ่งมีข้อกำหนดที่เข้มงวดกำกับอยู่แล้ว

ขณะที่การผนวกรวมนโยบายและกระบวนการใหม่ในการดำเนินธุรกิจ ตามด้วยการตีความข้อกำหนดของพระราชบัญญัติดังกล่าวได้รับเลือกให้เป็นความท้าทายอันดับต้นๆ ของทุกกลุ่มอุตสาหกรรมในระหว่างการดำเนินการ เพื่อปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA)

<figure><img class="wp-image-58083 size-full" src="https://forbesthailand.com/wp-content/uploads/2022/02/Anthony-Visate-Loh_Partner-Tax-and-Legal.jpg" alt="" width="400" height="600" /><figcaption> แอนโทนี่ วิเศษ โลห์ พาร์ตเนอร์ ที่ปรึกษาด้านภาษีและกฎหมาย</figcaption></figure>

แอนโทนี่ วิเศษ โลห์ พาร์ตเนอร์ ที่ปรึกษาด้านภาษีและกฎหมาย กล่าวเสริมว่า “ก่อนการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) องค์กรควรให้ความสำคัญกับความพร้อมในด้านกฎหมายเป็นอันดับแรกๆ เพื่อให้ธุรกิจสามารถดำเนินงานด้วยความมั่นใจและสามารถสร้างความเชื่อมั่นให้กับบุคลากรในองค์กรและบุคคลภายนอก เช่น ลูกค้า  สำหรับดีลอยท์ เราให้พิจารณาในด้านกฎหมายที่เกี่ยวเนื่องไปกับการทำธุรกิจ ไม่ใช่เพียงสิ่งที่กฎหมายกำหนดแต่ยังครอบคลุมถึงผลลัพธ์และวิธีการที่กฎหมายจะช่วยให้ธุรกิจสามารถสร้างโอกาสในการเติบโตอีกด้วย”

“การจัดการกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) และกฎระเบียบข้อบังคับด้านการคุ้มครองข้อมูลในวงกว้างจำเป็นต้องมีกระบวนการการเปลี่ยนแปลงแบบองค์รวม โดยผนวกรวมเทคโนโลยี กฎหมาย การปฏิบัติตามกฎระเบียบ และรูปแบบการทำงานขององค์กรเข้าด้วยกัน เพื่อสร้างความเชื่อมั่นว่าองค์กรได้มีการปฏิบัติตามและปกป้องข้อมูลอย่างครบถ้วนในทุกแง่มุมและกระบวนการ” ศมกฤต กล่าวเสริม

อ่านเพิ่มเติม: <a href="https://forbesthailand.com/news/it/%e0%b8%9a%e0%b8%a5%e0%b8%b9%e0%b8%9a%e0%b8%b4%e0%b8%84-%e0%b8%a1%e0%b8%ad%e0%b8%87-5-initiatives-%e0%b8%94%e0%b8%b1%e0%b8%99%e0%b8%81%e0%b8%b2%e0%b8%a3%e0%b8%97%e0%b8%b3-digital-transformation.html">บลูบิค มอง 5 Initiatives ดันการทำ Digital Transformation สำเร็จ</a>

<hr />

<a href="https://www.facebook.com/ForbesThailandMagazine/">ไม่พลาดบทความและเรื่องราวน่าสนใจอื่นๆ ติดตามเราได้ที่เฟซบุ๊ก Forbes Thailand Magazine</a>

&nbsp;

สำรวจความพร้อมธุรกิจไทยรับ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล

<h2>ในอีก 7 เดือนข้างหน้านี้ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือ Personal Data Protection Act (PDPA) จะมีผลบังคับใช้ แล้วธุรกิจองค์กรจะต้องเตรียมอย่างไร</h2>
ในยุคดิจิทัล "ข้อมูล" กลายเป็นขุมทรัพย์สำคัญสำหรับธุรกิจ ดังคำกล่าวที่ว่า "Data is a new oil" ยิ่งองค์กรใดมีข้อมูลที่สามารถนำไปใช้ประโยชน์ หรือต่อยอดทางธุรกิจได้มากเท่าใด องค์กรนั้นยิ่งมีศักยภาพในการแข่งขันสูงขึ้น นอกจากยกระดับศักยภาพการแข่งขัน องค์กรยังต้องเตรียมความพร้อม อุดช่องโหว่ของการจัดเก็บข้อมูลภายใน ก่อนพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือ Personal Data Protection Act (PDPA) จะมีผลบังคับใช้ในอีก 7 เดือนข้างหน้านี้

อย่างไรก็ดี องค์กรจำนวนมาก โดยเฉพาะองค์กรขนาดใหญ่ยังไม่สามารถนำข้อมูลไปใช้ให้เกิดประโยชน์สูงสุด เนื่องจากปัญหาการเก็บข้อมูลทับซ้อนกันจากหลายส่วนงาน ข้อมูลที่จัดเก็บไม่ครบสมบูรณ์ ไม่มีการเก็บข้อมูลอย่างเป็นระบบ รวมถึงไม่มีการควบคุมและขาดมาตรการรักษาความปลอดภัยข้อมูล

ด้วยเหตุนี้ การเปลี่ยนขุมทรัพย์ข้อมูลให้กลายเป็นขุมกำลังขับเคลื่อนธุรกิจได้อย่างแท้จริง ต้องเริ่มที่การจัดการข้อมูลให้พร้อมใช้งานเสียก่อน หรือที่เรียกว่า Data Management เพื่อให้นำข้อมูลไปใช้อย่างมีประสิทธิภาพ

สำหรับขั้นตอนการบริหารจัดการข้อมูล สามารถดำเนินการได้ดังนี้

[1] กำหนดโครงสร้างการกำกับดูแลข้อมูล (Data Governance)

โครงสร้างการกำกับดูแลข้อมูล เป็นการแบ่งหน้าที่ความรับผิดชอบของผู้มีส่วนได้ส่วนเสียในการบริหารจัดการข้อมูล เพื่อให้การได้มาและการนำข้อมูลไปใช้งาน ถูกต้อง ครบถ้วน เป็นปัจจุบัน รักษาความเป็นส่วนบุคคล เชื่อมโยงและนำไปใช้งานได้จริง ซึ่งสามารถแบ่งออกเป็น 3 ส่วน ได้แก่

- คณะกรรมการกำกับดูแลข้อมูล (Data Governance Council)

ประกอบด้วยกลุ่มผู้บริหารระดับสูงของบริษัท ซึ่งดูแลรับผิดชอบในการวางกลยุทธ์การกำกับดูแลข้อมูล และดูแลกระบวนการจัดการข้อมูลในภาพรวม

- ทีมบริกรข้อมูล (Data Steward)

มีหน้าที่ความรับผิดชอบคือ กำหนดความต้องการข้อมูลและร่างนโยบายการกำกับดูแลข้อมูลร่วมกับทุกฝ่ายที่เกี่ยวข้อง รวมถึงดำเนินการกำกับดูแล ติดตาม และรายงานผลการดำเนินการกำกับดูแล

- ผู้มีส่วนได้ส่วนเสียกับข้อมูล (Data Stakeholders)

ทำหน้าที่ให้การสนับสนุนการกำกับดูแลข้อมูลต่อทีมบริกรข้อมูลและคณะกรรมการธรรมาภิบาลข้อมูล ประกอบไปด้วย เจ้าของข้อมูล (Data Owners) ทีมบริหารจัดการข้อมูล (Data Management Team) ผู้สร้างข้อมูล (Data Creators) และผู้ใช้ข้อมูล (Data Users)

[2] จัดทำ เมทาดาต้า (Metadata) 

การจัดทำ เมทาดาต้า (Metadata) หมายถึงการนิยามคำอธิบายรายละเอียดและคุณลักษณะของข้อมูล เพื่อช่วยให้นำข้อมูลไปใช้ได้อย่างมีประสิทธิภาพ โดยเมทาดาต้าประกอบด้วย 4 ประเภทหลัก ได้แก่ 1. Structural Metadata สำหรับใช้อธิบายโครงสร้างของข้อมูล เช่น ตาราง คอลัมน์ ดัชนี ว่าข้อมูลถูกจัดระบบอย่างไร 2. Guide Metadata

เมทาดาต้าที่ช่วยผู้ใช้ค้นหาข้อมูลหรือเอกสารที่เฉพาะเจาะจง 3. Descriptive Metadata เมทาดาต้าที่ใช้เพื่อค้นหาและระบุตัวเนื้อหาข้อมูล เช่น ชื่อเรื่อง หัวเรื่อง คำสำคัญ และ 4. Administrative Metadata คือเมทาดาต้าเพื่อการจัดการ ให้ข้อมูลเพื่อช่วยจัดการแหล่งข้อมูล อ้างอิง ข้อมูลเชิงเทคนิค รวมถึงประเภทของไฟล์ และไฟล์นั้นถูกสร้างเมื่อไหร่

[3] รักษาความเป็นส่วนตัวและความปลอดภัย

การกำหนดข้อมูลที่มีความอ่อนไหว เช่น ข้อมูลส่วนบุคคล และข้อมูลที่มีเกี่ยวข้องกับกฎหมาย เป็นต้น เพื่อให้แนวทางในการปฏิบัติการจัดการข้อมูลมีความสอดคล้องกับกฎหมาย รวมไปถึงการสร้างความเชื่อมั่นทางธุรกิจ โดยเฉพาะการรักษาความเป็นส่วนตัวและความปลอดภัยของข้อมูลลูกค้า

[4] ควบคุมคุณภาพข้อมูล

การเก็บรักษาข้อมูลในองค์กร ควรมีการจัดทำการประเมินคุณภาพของข้อมูลทั้ง 6 ด้านประกอบด้วย ความถูกต้อง ความครบถ้วน ความสอดคล้องกัน ความเป็นปัจจุบัน วัตถุประสงค์การใช้งาน และความพร้อมในการใช้งาน เพื่อที่จะให้คุณภาพของข้อมูลที่เก็บรักษามีความถูกต้อง สมบูรณ์ และสอดคล้องกับข้อกฎหมายต่างๆ

[5] นำข้อมูลไปวิเคราะห์เชิงธุรกิจ

ในการวางแนวทางให้การปฏิบัติงานต่างๆ ให้สอดคล้องกับการกำกับดูแลข้อมูลขององค์กร ควรมีการกำหนดนโยบายและวางข้อกำหนดสำหรับการนำข้อมูลไปใช้อย่างถูกต้องตามกฎหมาย ตั้งแต่การขอความยินยอมจากขอความยินยอม (Consent) จากบุคคลก่อนหรือระหว่างการเก็บ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ชี้แจงวัตถุประสงค์การนำไปใช้งาน แจ้งขออนุญาตก่อนบันทึก Cookies เป็นตัน รวมไปถึงการทำสัญญาร่วมกับ Third party ในกรณีที่ต้องมีการรับและประมวลผลข้อมูลของผู้บริโภค

[6] บริหารจัดการข้อมูลหลัก (Master Data) 

ข้อมูลหลัก หมายถึงขัอมูลที่สร้างและถูกใช้งานภายในองค์กร เช่น ข้อมูลพนักงาน ข้อมูลลูกค้า ข้อมูลผู้ขาย ข้อมูลสินค้า เป็นต้น โดยการบริหารข้อมูลหลักเป็นการรวบรวมและจัดเก็บข้อมูลมาไว้ในแหล่งเดียวเพื่อลดความซ้ำซ้อนของการจัดเก็บข้อมูล และเพื่อให้ทั้งหน่วยงานสามารถเข้าถึงและใช้ข้อมูลร่วมกันได้

[7] จัดทำระบบบริหารและกระบวนการจัดการข้อมูล

ขั้นตอนนี้เป็นการวางระบบจัดลำดับกระบวนการจัดการข้อมูล ตั้งแต่การวางแผนการนำข้อมูลไปใช้งาน กระบวนการเก็บข้อมูล การสำรองข้อมูล (Backup) การกู้คืนข้อมูล (Restore) การจัดเก็นข้อมูลถาวร (Archive) การโอนย้ายข้อมูล (Migration) ไปจนถึงการทำลายข้อมูล เพื่อให้ข้อมูลพร้อมใช้ตลอดเวลา และรักษาความถูกต้องของข้อมูล

<img class="alignnone wp-image-36333" src="https://forbesthailand.com/wp-content/uploads/2020/10/2020_10_21_Forbes_PDPA-01.jpg" alt="" width="600" height="750" />

หลายองค์กรอาจคิดว่าการบริหารจัดการข้อมูล หรือ Data Management คือการลงทุนซื้อเครื่องมือราคาสูงเพื่อนำไปใช้จัดการข้อมูลโดยเฉพาะ แต่แท้ที่จริงแล้ว การบริหารจัดการข้อมูลที่ดีควรเริ่มจากการวางระบบภายในองค์กรก่อน ตั้งแต่การกำหนดโครงสร้างการกำกับดูแลข้อมูล จัดทำเมทาดาต้า รักษาความเป็นส่วนตัวและความปลอดภัย ไปจนถึงการจัดทำระบบบริหารและกระบวนการจัดการข้อมูล

แล้วหลังจากนั้นค่อยศึกษาเลือกใช้ข้อมูลที่เหมาะสมกับองค์กร หรือให้ผู้เชี่ยวชาญเข้ามาช่วยแนะนำแนวทางในการทำระบบบริหารจัดการข้อมูล ทั้งเพื่อรองรับ PDPA และเพิ่มขีดความสามารถในการแข่งขันขององค์กรให้เต็มประสิทธิภาพสูงสุด

<img class="alignnone size-full wp-image-30842" src="https://forbesthailand.com/wp-content/uploads/2020/06/ฉันทชา-สุวรรณจิตร์-04.jpg" alt="" width="300" height="300" />

บทความโดย
ฉันทชา สุวรรณจิตร์
ประธานเจ้าหน้าที่ฝ่ายปฏิบัติการ Chief Operation Officer (COO)
บริษัท บลูบิค กรุ๊ป จำกัด

&nbsp;

อ่านเพิ่มเติม: <a href="https://forbesthailand.com/people/dine-with-the-boss/%E0%B8%A7%E0%B8%B4%E0%B9%80%E0%B8%8A%E0%B8%90-%E0%B8%95%E0%B8%B1%E0%B8%99%E0%B8%95%E0%B8%B4%E0%B8%A7%E0%B8%B2%E0%B8%99%E0%B8%B4%E0%B8%8A-%E0%B8%9C%E0%B8%AA%E0%B8%B2%E0%B8%99%E0%B8%8A.html">“วิเชฐ ตันติวานิช” ผสานชุดความรู้ใหม่-เก่าสืบทอดธุรกิจ</a>

<hr />

ไม่พลาดบทความด้านกลยุทธ์องค์กรและธุรกิจ ติดตามเราได้ที่ <a href="https://www.facebook.com/ForbesThailandMagazine/">เพจเฟซบุ๊ก Forbes Thailand Magazine</a>
และ <a href="https://twitter.com/Forbes_TH">ทวิตเตอร์ Forbes Thailand</a>

7 ขั้นตอนบริหารจัดการข้อมูล เตรียมความพร้อมรับ PDPA

เอบีม คอนซัลติ้ง เผยแนวโน้มการใช้งานข้อมูลส่วนบุคคล แนะองค์กรปรับตัว รองรับ PDPA

4 หลักคิดสร้างสมดุลระหว่าง ข้อมูลส่วนบุคคล กับ การวิเคราะห์พฤติกรรมลูกค้า

<h2>Marriott กำลังถูกฟ้องร้องดำเนินคดีแบบกลุ่มและหุ้นยังร่วงอย่างต่อเนื่องไปถึง 5.6% หลังบริษัทยอมรับว่ามีการรั่วไหลของข้อมูลลูกค้ากว่า 500 ล้านราย และ 327 ล้านรายในนั้นถูกจารกรรมไปทั้งข้อมูลชื่อ ที่อยู่ และหมายเลขพาสปอร์ต ผลักดันให้ Chuck Schumer สมาชิกวุฒิสภา ถึงกับเรียกร้องให้บริษัทออกค่าใช้จ่ายทำพาสปอร์ตใหม่ให้ และเขาไม่ใช่สมาชิกวุฒิสภารายเดียวที่เดือดจัดกับเรื่องนี้</h2>
“ซีอีโอหลายคนไม่เคยมองประเด็นการป้องกันการจัดเก็บข้อมูลของพวกเราอย่างจริงจัง นอกเสียจากว่าจะมีผลกับหน้าที่การงานของตัวเอง” Elizabeth Warren สมาชิกวุฒิสภาอีกรายหนึ่งกล่าว “สภาคองเกรสควรเน้นย้ำการเรียกร้องความรับผิดชอบจากบริษัทต่อเหตุความผิดพลาดครั้งใหญ่นี้”

ด้าน Marriott International เปิดเผยว่าบริษัทกำลังศึกษาหารอยรั่วที่ทำให้เกิดการจารกรรมข้อมูล ขณะเดียวกัน วิธีปฏิบัติของบริษัทก็สร้างคำถามว่า ทำไม Marriott จึงเพิ่งจะตรวจพบปัญหาซึ่งมีหลักฐานว่าเกิดขึ้นมาตั้งแต่ 4 ปีก่อน

&nbsp;
<h2>จุดบอดจากการควบรวม Starwood ปี 2015</h2>
Andrei Barysevich นักวิจัยด้านภัยคุกคามอัจฉริยะ (threat intelligence) บริษัท Recorded Future กล่าวว่า บริษัทที่มีทรัพยากรในระดับนี้ควรจะชี้เป้านักจารกรรมข้อมูลที่เข้ามาในระบบได้ตั้งแต่ปี 2015

นั่นคือช่วงที่ Marriott ประกาศการควบรวมกิจการ Starwood Hotels and Resorts Worldwide และนั่นคือจุดที่ทำให้เกิดปัญหาทั้งหมดขึ้น เนื่องจากจุดรั่วไหลของข้อมูลเกี่ยวพันถึงระบบฐานข้อมูลการจองห้องพักของลูกค้า Starwood แต่เป็นเรื่องเหลือเชื่อว่า Marriott จะมองไม่เห็นความเสี่ยงในขณะนั้น

หนึ่งในความเสี่ยงที่ปรากฏคือ หลังจากการควบรวมกิจการเพียง 2 เดือน Starwood เพิ่งรายงานว่าบริษัทถูกจารกรรมข้อมูลบัตรเครดิตขนานใหญ่ตั้งแต่เมื่อปี 2014 นอกจากนี้ Alex Holden ผู้ก่อตั้งบริษัท Hold Security ยังเปิดเผยกับ FORBES ว่า ในปีเดียวกันนั้นเว็บไซต์ของบริษัท Starwood ยังเป็นฐานฝังบั๊กการจารกรรมข้อมูลแบบ SQL injection และมีข้อเสนอให้แฮกเว็บไซต์นี้แพร่กระจายไปในเว็บไซต์ใต้ดินต่างๆ

<figure><img class="size-full wp-image-2433" src="http://forbesthailand.com/wp-content/uploads/2018/12/99071_17060510240053464536-e1544160141969.jpg" alt="Marriott International ควบรวบกิจการเครือ Starwood ในปี 2015 และนั่นอาจเป็นจุดเริ่มต้นของการรั่วไหลของข้อมูลลูกค้า (PHOTO CREDIT: hospitality-on.com)" width="800" height="595" /><figcaption> Marriott International ควบรวบกิจการเครือ Starwood ในปี 2015 และนั่นอาจเป็นจุดเริ่มต้นของการรั่วไหลของข้อมูลลูกค้า (PHOTO CREDIT: hospitality-on.com)</figcaption></figure>

ดังนั้นการควบรวมกิจการ Starwood โดย Marriott นั้น จะต้องมีการประเมินความเสี่ยงมาแล้ว เพียงแต่ว่าเหตุผลของการนิ่งเฉยของ Marriott นั้นจะเป็นเพราะบริษัทไม่ได้ตระหนักถึงอันตรายที่จะเกิดขึ้น หรือพวกเขาเพียงแค่เป็นอีกเวอร์ชันหนึ่งของระบบ ‘recall coordinator’s formula’ (อ้างอิงภาพยนตร์ Fight Club ซึ่งตัวเอกของเรื่องเป็นพนักงานเรียกคืนรถยนต์ เขาอธิบายว่าบริษัทเลือกที่จะไม่เรียกคืนรถยนต์ที่มีปัญหา ถ้าหากประเมินแล้วว่าค่าชดเชยที่จ่ายให้กับลูกค้าหลังปัญหาเกิดขึ้นแล้วจะต่ำกว่าค่าใช้จ่ายในการเรียกคืนสินค้าทั้งหมด - ผู้แปล) โดย Marriott อาจให้ผู้บริโภครับความเสี่ยง เพราะบริษัทประเมินแล้วว่าค่าใช้จ่ายชดเชยการรั่วไหลของข้อมูลจะต่ำกว่าค่าใช้จ่ายในการเพิ่มการป้องกันความปลอดภัยให้ดีกว่าเดิม

&nbsp;
<h2>กฎหมายต้านการเก็บและซื้อขายข้อมูลส่วนบุคคล</h2>
“ขณะนี้หลายบริษัทเลือกที่จะใช้ระบบรักษาความปลอดภัยที่ไม่ดีพอเพราะราคาถูก มากกว่าจะคิดถึงผลที่จะตามมาหากเกิดการรั่วไหลของข้อมูล” John M. Simpson ผู้อำนวยการโครงการด้านเทคโนโลยีและความเป็นส่วนตัวจาก Consumer Watchdog กล่าว “พ.ร.บ.ความเป็นส่วนตัวของลูกค้าจะช่วยแก้ไขปัญหาดังกล่าวและบีบให้บริษัทมีความรับผิดชอบมากขึ้น”

Simpson เชื่อว่าเหตุการณ์การรั่วไหลข้อมูลของ Marriott จะเป็นหลักฐานชั้นดีถึงความจำเป็นของกฎหมาย California Consumer Privacy Act (CCPA) เขากล่าวว่า ถ้าหากกฎหมาย CCPA บังคับใช้แล้วในวันนี้ Marriott จะต้องหลังชนฝาเพราะเหยื่อของเหตุการณ์แฮกข้อมูลจะสามารถฟ้องร้องบริษัทได้

กฎหมาย CCPA นั้นให้สิทธิพลเมืองรัฐ California ที่จะรับรู้ว่าข้อมูลส่วนตัวใดบ้างที่บริษัทนำไปเก็บสะสมไว้ รวมถึงได้มีการขายหรือเปิดเผยข้อมูลนั้นให้ใครหรือไม่ และยังสามารถเลือกปฏิเสธไม่ให้มีการขายข้อมูลได้ด้วย ซึ่งกฎหมายฉบับนี้จะเริ่มมีผลบังคับใช้ในปี 2020 ถึงแม้ว่าจะเป็นการออกกฎหมายที่ฟังดูเป็นเหตุเป็นผล แต่ก็ต้องเผชิญการต่อต้านอย่างรุนแรง

ทั้ง Amazon, Facebook, Google, Microsoft, Twitter, Uber แม้แต่บริษัทผู้ให้บริการอินเทอร์เน็ตอย่าง AT&amp;T และ Verizon ต่างพยายามล็อบบี้เพื่อเอาชนะการออกกฎหมาย CCPA อย่างไรก็ตาม กฎหมายลักษณะนี้เป็นกระแสที่กำลังมาแรงในโลก ตัวอย่างเช่นการออกกฎหมาย General Data Protection Regulation (GDPR) ในสหภาพยุโรป และกฎหมายควบคุมการซื้อขายข้อมูลในรัฐ Vermont ซึ่งเพิ่งตราขึ้นเมื่อเดือนพฤษภาคมที่ผ่านมา
<ul>
 	<li>อ่านประกอบ <a href="http://forbesthailand.com/commentaries/insights/gdpr-%E0%B8%81%E0%B8%B2%E0%B8%A3%E0%B8%9B%E0%B8%A3%E0%B8%B1%E0%B8%9A%E0%B8%95%E0%B8%B1%E0%B8%A7%E0%B8%98%E0%B8%B8%E0%B8%A3%E0%B8%81%E0%B8%B4%E0%B8%88.html">GDPR กับการปรับตัวของธุรกิจ</a></li>
</ul>
&nbsp;
<h2>ผลกระทบลูกโซ่: ไม่ใช่แค่การรั่วไหลของข้อมูลส่วนตัว แต่เป็นความมั่นคงของชาติ</h2>
สำหรับภาคธุรกิจโรงแรม การต้องเผชิญกับคลื่นการออกกฎหมายความปลอดภัยทางข้อมูลเป็นสิ่งที่ดีเช่นกัน เพราะผลกระทบลูกโซ่จากการรั่วไหลข้อมูลของธุรกิจโรงแรมนั้นจะส่งผลมากกว่าลูกค้ารายบุคคล

“ด้วยการโยงใยระหว่างธุรกิจที่อยู่ภายในโรงแรม ไม่ว่าจะเป็นร้านค้า ร้านอาหาร บริการซักแห้ง ศูนย์ธุรกิจ และอื่นๆ การรั่วไหลข้อมูลสามารถแพร่กระจายไปได้ทั่วองค์กรและอาจจะซับซ้อนรวมถึงมีค่าใช้จ่ายสูงเกินกว่าจะเยียวยาได้” บริษัทประกัน Axa XL ให้ความเห็น

<figure><img class="size-full wp-image-2434" src="http://forbesthailand.com/wp-content/uploads/2018/12/table-3084384_1920-e1544160298647.jpg" alt="ภายในโรงแรมยังมีร้านค้า ร้านอาหาร บริการซักแห้ง ศูนย์ธุรกิจ และอื่นๆ ทำให้การรั่วไหลของข้อมูลสามารถแพร่กระจายไปมากกว่าที่คิด" width="800" height="532" /><figcaption> ภายในโรงแรมยังมีร้านค้า ร้านอาหาร บริการซักแห้ง ศูนย์ธุรกิจ และอื่นๆ ทำให้การรั่วไหลของข้อมูลสามารถแพร่กระจายไปมากกว่าที่คิด</figcaption></figure>

ภัยคุกคามดิจิทัลยังขยายวงกว้างได้มากกว่านั้น เมื่อปีก่อน Fancy Bear กลุ่มนักจารกรรมข้อมูลชาวรัสเซีย ซึ่งมีความเชื่อมโยงกับหน่วยสายลับทหาร GRU ใน Moscow ถูกพบว่าพวกเขาใช้เครื่องมือจารกรรมข้อมูล Eternal Blue ที่รั่วไหลออกมาจาก NASA ในการแฮกข้อมูลเหยื่อผ่านการเชื่อมต่อสัญญาณไวไฟของโรงแรม

ถ้าหากคุณสงสัยว่าทำไมรัฐบาลรัสเซียต้องสนใจว่าคุณเช็กอีเมลกี่ครั้งระหว่างไปพักผ่อนที่ Santo Domingo ลองอ่านข้อความนี้จาก Michael Daly ซีทีโอด้านความปลอดภัยทางไซเบอร์ของ Raytheon Intelligence ด้านล่าง

“นี่เป็นสิ่งที่มากกว่าแค่การรั่วไหลของข้อมูลส่วนตัวของลูกค้า ถ้าใช้มุมคิดแบบสายลับที่กำลังรวบรวมข้อมูลต่างๆ ข้อมูลเหล่านี้จะฉายภาพให้เห็นวิถีดำเนินชีวิตของผู้นำทางการเมืองและผู้นำธุรกิจทั่วโลก รวมไปถึงว่าพวกเขาเดินทางกับใคร ที่ไหน และเมื่อไหร่ สิ่งนี้เปรียบเหมือนการบินลาดตระเวนที่ทรงประสิทธิภาพอย่างเหลือเชื่อในการรวบรวมข้อมูล และกลายเป็นการยกระดับการรั่วไหลของข้อมูลสู่ปัญหาความมั่นคงของชาติ”

&nbsp;

แปลและเรียบเรียงบางส่วนจาก <a href="https://www.forbes.com/sites/davidvolodzko/2018/12/04/marriott-breach-exposes-far-more-than-just-data/#179757256297">Marriott Breach Exposes Far More Than Just Data</a> โดย David Volodzko บรรณาธิการของ Brightwire บริษัทด้านเทคโนโลยีข้อมูล ตีพิมพ์ใน forbes.com

&nbsp;

News

Forbes lists

World

Leaderboard

Commentaries

Forbes life

Events