ทำไม Cybersecurity ไม่ใช่แค่เรื่องของฝ่ายไอที

ในแต่ละวันที่เราตื่นขึ้นมา · สมาร์ทโฟนที่วางข้างหมอนจะแจ้งเตือนข่าวสาร อีเมล และข้อความ · เราเช็คยอดเงินในธนาคาร สั่งอาหาร ซื้อของออนไลน์ · และเข้าประชุมผ่านแอป · ทั้งหมดนี้เกิดขึ้นผ่านข้อมูลส่วนตัวที่เรามอบให้กับบริษัท และบริการนับร้อย · คำถามสำคัญที่หลายคนไม่เคยถามตัวเองคือ · เราดูแลข้อมูลของตัวเราเองดีพอหรือยัง · และองค์กรที่เก็บข้อมูลเราไว้ มีภาระหน้าที่อะไรบ้างตามกฎหมาย

หลายคนคิดว่า cybersecurity เป็นเรื่องซับซ้อน · เป็นหน้าที่ของผู้เชี่ยวชาญในฝ่าย IT · และไม่ใช่เรื่องที่คนธรรมดาต้องเข้าใจ · บทความนี้จะชวนมองต่างออกไป · เพราะในความเป็นจริง · เราทุกคนคือเป้าหมายได้ · ไม่ว่าจะเป็นพนักงานออฟฟิศ · นักเรียน · ผู้สูงอายุ · หรือผู้บริหารระดับสูง

ลองนึกดูว่าในช่วงไม่กี่ปีที่ผ่านมา · ในประเทศไทยมีกรณี SMS ปลอมจากธนาคาร · call center อ้างเป็นเจ้าหน้าที่ DSI · แอปกู้เงินปลอมที่ขโมยข้อมูลในมือถือ · หรือ ransomware ที่ทำให้โรงพยาบาลและหน่วยงานราชการหยุดชะงัก · ทั้งหมดนี้ไม่ใช่เหตุการณ์ที่เกิดในหนัง · แต่เป็นข่าวที่เราอ่านเจอในหน้าหนังสือพิมพ์

บทความนี้จะสำรวจเรื่อง cybersecurity ใน สามมิติ · มิติแรกคือกฎหมายไทยที่กำหนดให้องค์กรและบุคคลมีภาระหน้าที่และสิทธิ · มิติที่สองคือความเสี่ยงของฝั่งองค์กรที่อาจถูกโจมตี · และมิติที่สามซึ่งอาจเป็นสิ่งที่ใกล้ตัวเราที่สุด · คือเรื่องความปลอดภัยในชีวิตประจำวันของคนทั่วไป

01 มุมมอง กฎหมายไทย

ประเทศไทยมีกฎหมายที่เกี่ยวข้องกับ cybersecurity หลายฉบับ · แต่ฉบับที่สำคัญและกระทบชีวิตคนส่วนใหญ่มีอยู่ สามฉบับ · ซึ่งควรทำความเข้าใจทั้งในฐานะเจ้าของธุรกิจและในฐานะประชาชนทั่วไป

1.1 พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA)

กฎหมายฉบับนี้บังคับใช้เต็มรูปแบบตั้งแต่ 1 มิถุนายน 2565 · เป็นกฎหมายที่กำหนดว่า องค์กรที่เก็บข้อมูลส่วนบุคคลของผู้อื่น · ต้องมีมาตรการรักษาความปลอดภัยที่เหมาะสม · และต้องแจ้งเจ้าของข้อมูลเมื่อเกิดเหตุการณ์ข้อมูลรั่วไหลภายใน 72 ชั่วโมง

บทลงโทษทางปกครองสำหรับองค์กรที่ละเมิดมีค่าปรับสูงสุด 5 ล้านบาทต่อกรณี · และในกรณีร้ายแรงอาจมีโทษทางอาญาเพิ่มเติม · รวมถึงการถูกฟ้องร้องแพ่ง โดยเจ้าของข้อมูลที่ได้รับผลกระทบ · กฎหมายนี้จึงไม่ใช่แค่เรื่องที่ควรรู้ · แต่เป็นเรื่องที่ธุรกิจ ต้อง ปฏิบัติตาม

1.2 พ.ร.บ. การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562

กฎหมายฉบับนี้กำกับดูแลหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (Critical Information Infrastructure · CII) เช่น หน่วยงานรัฐ · ภาคการเงินการธนาคาร · พลังงาน · สาธารณสุข · และคมนาคม · โดยมี สำนักงานคณะกรรมการการรักษา ความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช./NCSA) เป็นผู้กำกับดูแล

หน่วยงาน CII มีภาระหน้าที่ต้องจัดให้มีมาตรการป้องกัน · ตรวจสอบ · และแจ้งเตือนเมื่อเกิดเหตุการณ์ภัยคุกคามไซเบอร์ · การไม่ปฏิบัติตามอาจมีบทลงโทษทั้งทางปกครองและอาญา

1.3 พ.ร.บ. ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ (2550 · แก้ไข 2560)

กฎหมายฉบับนี้ครอบคลุมการกระทำผิดในโลกดิจิทัลหลายรูปแบบ · ตั้งแต่ การเข้าถึงระบบคอมพิวเตอร์ของผู้อื่นโดยไม่ได้รับอนุญาต · การดักรับข้อมูลระหว่างการส่ง · การเผยแพร่ข้อมูลอันเป็นเท็จ · การหมิ่นประมาทออนไลน์ · ไปจนถึงการก่อกวนระบบให้ไม่สามารถทำงานได้ (Denial of Service)

สิ่งที่หลายคนอาจไม่ทราบคือ · กฎหมายนี้ มีผลกับบุคคลทั่วไปด้วย · ไม่ใช่แค่ hacker หรือผู้เชี่ยวชาญ · เช่นการแชร์ข่าวปลอมที่รู้ว่าเป็นเท็จ · หรือการเจาะเข้าบัญชี social media ของคนอื่น · ล้วนมีความผิดตามกฎหมายทั้งสิ้น

02 มุมมอง องค์กร

สำหรับผู้บริหารและเจ้าของธุรกิจ · ความเสี่ยงด้าน cybersecurity ไม่ได้จำกัดอยู่แค่เรื่องเทคนิคอีกต่อไป · แต่กลายเป็นความเสี่ยงทางธุรกิจที่ส่งผลต่อ การเงิน · ชื่อเสียง · และความไว้วางใจของลูกค้า

ความเสียหายด้านการเงิน

เมื่อเกิดเหตุการณ์ data breach หรือการโจมตีแบบ ransomware · องค์กรต้องรับค่าใช้จ่ายหลายส่วนพร้อมกัน · ทั้งค่าปรับทางกฎหมาย · ค่าจ้างทีมสืบสวนเหตุการณ์ (incident response) · ค่าทนาย · ค่า downtime ของธุรกิจ · และในบางกรณีคือค่าไถ่ที่ถูกเรียกร้องจากผู้โจมตี

ตัวเลขจาก สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) ระบุว่า ในช่วง 3 ปีที่ผ่านมา (2565-2567) คนไทยสูญเสียเงิน จาก online fraud ไปมากถึง 79,569 ล้านบาท · เฉลี่ย 77 ล้านบาทต่อวัน · ข้อมูลนี้มาจาก 773,118 เรื่องร้องเรียนที่เข้ามาผ่านศูนย์รับเรื่องออนไลน์ของ สกมช.1

ในปี 2567 · ประเทศไทยตรวจพบการหลอกลวงผ่านการโทรศัพท์และ SMS 168 ล้านครั้ง · เพิ่มขึ้นกว่า 112% เมื่อเทียบกับปีก่อนหน้า · สาเหตุหลักมาจากการที่ผู้โจมตีเริ่มใช้ generative AI ในการสร้างเนื้อหาหลอกลวงที่แนบเนียนและเยอะขึ้น2

ตัวเลขเหตุการณ์ cyber incident ในประเทศไทยเพิ่มขึ้นต่อเนื่อง · จาก 64,609 เหตุการณ์ในไตรมาส 2 ของปี 2566 · กลายเป็น 196,078 ในปี 2567 · และ 223,700 เหตุการณ์ ในไตรมาส 2 ของปี 2568 · คิดเป็นการเพิ่มขึ้นกว่า 3.5 เท่าในเวลาเพียง 2 ปี3

สำหรับ data breach ที่เกิดกับองค์กร · ตัวเลขเฉลี่ยของ data breach ทั่วโลกในปี 2566 อยู่ที่ประมาณ 4.45 ล้าน USD ต่อเหตุการณ์ · อ้างอิงจาก IBM Cost of a Data Breach Report4 · สำหรับบริษัทไทยขนาดกลาง · ค่าใช้จ่ายอาจน้อยกว่านี้ · แต่เมื่อเทียบกับค่าใช้จ่าย ในการ ป้องกันล่วงหน้า แล้ว · ความแตกต่างมักห่างกันเป็นหลักสิบเท่า

ความเสียหายด้านชื่อเสียง

ค่าใช้จ่ายทางการเงินอาจคำนวณได้ · แต่ความเสียหายต่อชื่อเสียงองค์กรประเมินยากกว่ามาก · เมื่อข่าว data breach ปรากฏบนหน้าหนึ่งของสื่อ · ลูกค้าที่สูญเสียความไว้วางใจ อาจใช้เวลาหลายปีกว่าจะกลับมา · ในบางกรณี · องค์กรไม่เคยฟื้นตัวเต็มที่

โดยเฉพาะในยุค social media · ข่าวลบกระจายเร็วกว่าข่าวบวกหลายเท่า · และ screenshot ของการตอบสนองที่ไม่ดีจะอยู่บน internet ตลอดไป · การรับมือกับวิกฤตินี้ต้องใช้ทั้งทีม PR · ทีม legal · และทีม executive ทำงานร่วมกันอย่างรวดเร็ว

ความเสียหายด้านการดำเนินงาน

Ransomware attack ในประเทศไทยช่วงไม่กี่ปีที่ผ่านมา · ส่งผลกระทบต่อโรงพยาบาลหลายแห่ง · หน่วยงานราชการ · บริษัทขนส่ง · และสถาบันการศึกษา · ในปี 2567 มีรายงานการโจมตีแบบ ransomware ต่อผู้ใช้ในประเทศไทย 13,958 ครั้ง จาก Kaspersky เพียงรายเดียว6 · ผลที่ตามมาไม่ใช่แค่การสูญเสียข้อมูล · แต่รวมถึง การหยุดให้บริการ · ซึ่งกระทบชีวิตประชาชนโดยตรง

ที่น่ากังวลคือ · ข้อมูลจาก สกมช. ระบุว่า SME ไทยกว่า 25% ยังไม่มีมาตรการรักษาความปลอดภัยที่เหมาะสม7 · และ 91% ของการโจมตีในไทยเป็น malware · 77% เป็น phishing · ซึ่งส่วนใหญ่สามารถป้องกันได้ด้วยมาตรการพื้นฐาน

เหตุผลที่การป้องกันสำคัญกว่าการตามแก้

ค่าใช้จ่ายในการทำ vulnerability scan หรือ pentest อย่างสม่ำเสมอ · เริ่มต้นที่หลักหมื่นบาทต่อปีสำหรับองค์กรขนาดกลาง · ในขณะที่ค่าใช้จ่ายเมื่อเกิดเหตุการณ์จริงอยู่ในหลักล้านเป็นอย่างน้อย · สัดส่วน ROI ของการป้องกันจึงมักอยู่ที่ 10:1 ขึ้นไป

ในวันนี้ · CEO และคณะกรรมการไม่สามารถบอกว่า "ไม่รู้เรื่อง IT" ได้อีกต่อไป · เพราะกฎหมาย PDPA และกฎหมายกำกับอุตสาหกรรมต่างๆ กำหนดให้ security เป็นหน้าที่รับผิดชอบของระดับบริหารโดยตรง · ไม่ใช่แค่เรื่องของฝ่าย IT

03 มุมมอง ชีวิตประจำวัน

ถ้าสองมิติแรกดูเหมือนเป็นเรื่องไกลตัว · มิตินี้คือสิ่งที่ เราทุกคน สัมผัสได้ทุกวัน · ตั้งแต่ตอนตื่นนอนจนถึงเข้านอน · ต่อไปนี้คือเรื่องพื้นฐานที่ไม่ซับซ้อน · แต่ทำให้ความปลอดภัยในชีวิตดิจิทัล แตกต่างได้อย่างมหาศาล

รหัสผ่าน · ด่านแรกที่เราตั้งได้เอง

จากการวิเคราะห์ข้อมูลรหัสผ่านที่รั่วไหลในหลายปีที่ผ่านมา · รหัสผ่านยอดนิยม อันดับต้นๆ ยังคงเป็น 123456 · password · qwerty · ชื่อตัวเอง · หรือวันเดือนปีเกิด · รหัสเหล่านี้ถูกเจาะได้ในเวลาไม่ถึง 1 วินาที โดยใช้เครื่องมือพื้นฐาน

หลักการตั้งรหัสผ่านที่ปลอดภัย

• ความยาวสำคัญกว่าความซับซ้อน · 15 ตัวอักษรขึ้นไป ดีกว่า 8 ตัวที่มี @#$
• ใช้ passphrase · คำสี่-ห้าคำต่อกัน (เช่น "บ้านสีเขียวมีต้นไม้ใหญ่")
• ไม่ใช้รหัสผ่านเดียวกันในบริการที่ต่างกัน
• เปลี่ยนรหัสผ่านเมื่อได้รับแจ้งว่าบริการนั้นโดน data breach

Password manager · ตัวช่วยที่ทำให้ทุกอย่างง่ายขึ้น

การจำรหัสผ่านที่แตกต่างกันสำหรับทุกบริการเป็นไปไม่ได้ในทางปฏิบัติ · นี่คือเหตุผลที่ password manager เป็นเครื่องมือสำคัญ · ตัวเลือกที่น่าเชื่อถือได้แก่ Bitwarden (ฟรี · open source) · 1Password · หรือ password manager ที่มาพร้อม Apple Keychain และ Google Password Manager

2FA · ชั้นป้องกันที่สอง

การเปิด Two-Factor Authentication (2FA) ทำให้แม้รหัสผ่านจะถูกขโมย · ผู้โจมตีก็ยังต้องมีรหัสยืนยันชั้นที่สอง · แนะนำให้ใช้ authenticator app เช่น Google Authenticator หรือ Authy · มากกว่าการรับ OTP ทาง SMS · เพราะ SMS สามารถถูกดักรับได้ผ่านเทคนิค SIM swap

Passkeys · อนาคตของการ login

ในปี 2026 · เทคโนโลยี Passkeys ที่แทนที่รหัสผ่านด้วยการพิสูจน์ตัวตนด้วยอุปกรณ์ · ได้รับการรองรับโดย Apple · Google · Microsoft · และบริการใหญ่ๆ แล้ว · หากบริการไหนรองรับ · การเปลี่ยนมาใช้ Passkeys จะทำให้ account ปลอดภัยกว่ารหัสผ่านมาก

หน้าจอล็อค · เส้นแบ่งระหว่างความเป็นส่วนตัวกับคนอื่น

ลองคิดดูว่าในสมาร์ทโฟนของคุณมีอะไรอยู่บ้าง · แอปธนาคาร · อีเมล · แชทส่วนตัว · ภาพถ่าย · ตารางงาน · ตำแหน่งที่อยู่ · ถ้ามือถือหลุดไปอยู่ในมือคนไม่รู้จักสักครึ่งชั่วโมง · ความเสียหายที่อาจเกิดขึ้นมีมากมาย

• ตั้ง auto-lock 30 วินาที ถึง 1 นาที · สั้นที่สุดเท่าที่ใช้งานสะดวก
• ใช้ Face ID หรือ Fingerprint เป็นหลัก · แต่ต้องตั้ง PIN สำรอง 6 หลักขึ้นไป
• หลีกเลี่ยง pattern lock · เพราะมีโอกาสถูกแกะจากรอยนิ้วบนหน้าจอ
• เปิด Find My Device (iOS/Android) ไว้เสมอ · เพื่อให้ทำ remote wipe ได้หากหาย

App บนมือถือ · สิทธิที่ให้ไปโดยไม่รู้ตัว

เคยสังเกตไหมว่า app สภาพอากาศขอเข้าถึงรายชื่อติดต่อ · หรือ app เกมขอเข้าถึง microphone ตลอดเวลา · permission ที่ไม่จำเป็นต่อฟังก์ชันหลักของ app คือสัญญาณว่าควรสงสัย

กฎสำคัญอีกข้อคือ โหลด app จาก official store เท่านั้น · ทั้ง Apple App Store และ Google Play Store · การติดตั้ง APK จากแหล่งอื่น มีความเสี่ยงที่ไฟล์จะถูกแทรก malware ไว้ · โดยเฉพาะ app กู้เงินด่วนหรือ app ผิดกฎหมายที่หลีกเลี่ยง store review

การตรวจสอบก่อนให้ข้อมูล

รูปแบบการหลอกลวงในประเทศไทยวิวัฒนาการไปไวมาก · แต่แก่นของมันยังเหมือนเดิม · คือการสร้างความตื่นกลัวหรือโลภ · เพื่อให้เหยื่อตัดสินใจอย่างเร่งรีบ

รูปแบบที่พบบ่อย

• SMS ธนาคาร · หน่วยงานรัฐปลอม · ส่งลิงก์ให้กดเพื่อ "ยืนยันข้อมูล"
• Call center อ้างเป็นตำรวจ · DSI · ปปง. · เรื่องคดีและบัญชีธนาคารถูกอายัด
• App ลงทุนปลอม · ผลตอบแทนสูงผิดปกติ · บังคับโอนก่อนถอน
• Romance scam · บน dating app หรือ social media · สร้างความผูกพันก่อนขอเงิน
• Delivery/shipping ปลอม · อ้างว่ามีพัสดุค้าง · ต้องจ่ายเงินเพื่อรับ

ธงสีแดงที่ควรจับตา

1. URL หรือเบอร์โทรที่ไม่ตรงกับเว็บไซต์/แอปทางการ
2. ภาษาสะกดผิด · grammar แปลกๆ · หรือใช้ emoji มากเกินปกติสำหรับองค์กร
3. การบังคับให้ตัดสินใจด่วน · ขู่จะระงับบัญชี · ขู่จะแจ้งตำรวจ
4. ขอ OTP · รหัสผ่าน · เลขหลังบัตรเครดิต · องค์กรจริงไม่ขอสิ่งเหล่านี้ทางโทรศัพท์หรือ SMS
5. ให้โอนเงินไปบัญชีส่วนตัว ไม่ใช่บัญชีนิติบุคคลขององค์กร

หลักการง่ายๆ ที่ช่วยได้เกือบทุกกรณี · เมื่อได้รับการติดต่อที่น่าสงสัย · วางสาย · ใจเย็น · แล้วโทรกลับที่เบอร์ทางการ ที่หาได้จาก เว็บไซต์หรือแอปของหน่วยงานนั้นโดยตรง

Wi-Fi สาธารณะ · สะดวกแต่ต้องระวัง

Wi-Fi ฟรีในร้านกาแฟหรือห้างสรรพสินค้า · เปิดโอกาสให้ผู้โจมตีในเครือข่ายเดียวกัน สามารถดักรับข้อมูลที่ส่งผ่านได้ (man-in-the-middle attack) · ถ้าจำเป็นต้องใช้ · ควรเปิด VPN เพื่อเข้ารหัสการสื่อสาร · และหลีกเลี่ยงการ login เข้าบริการสำคัญ เช่น ธนาคารหรืออีเมล

Social Media · ข้อมูลที่เราแชร์โดยไม่รู้ตัว

การโพสต์ว่ากำลังไปเที่ยวต่างประเทศอาจส่งสัญญาณว่าบ้านไม่มีคน · การแชร์ภาพบัตรเครดิตใบใหม่เผยเลขสุดท้ายของบัตร · การตั้งวันเกิดเป็น public เปิดโอกาสให้ใช้ตอบ security question · และการเช็คอินตามร้านเดิมๆ เผยตารางชีวิตประจำวัน

แนะนำให้เช็ค privacy setting ของ social media ทุกบัญชี อย่างน้อยทุก 6 เดือน · เพราะแพลตฟอร์มมักมีการเปลี่ยนแปลง default setting · และสิ่งที่เคยเป็น private อาจกลายเป็น public โดยที่เราไม่ทราบ

04 Checklist · เริ่มจากวันนี้

สำหรับบุคคลทั่วไป · ใช้เวลาประมาณ 10 นาที

1. เปลี่ยนรหัสผ่านของ 3 บัญชีสำคัญที่สุด · อีเมล · ธนาคาร · social media หลัก
2. เปิด 2FA ด้วย authenticator app (ไม่ใช่ SMS) ในบัญชีเหล่านั้น
3. ติดตั้ง password manager · แนะนำ Bitwarden ถ้างบจำกัด
4. ตรวจสอบ permissions ของ app บนมือถือ · ปิด permission ที่ไม่จำเป็น
5. ตั้ง auto-lock หน้าจอมือถือเป็น 30 วินาที
6. เช็ค haveibeenpwned.com ว่าอีเมลเคยอยู่ใน data breach หรือไม่
7. เปิด Find My Device (iOS/Android) และทดสอบว่าใช้งานได้
8. Backup ข้อมูลสำคัญขึ้น cloud storage ที่เชื่อถือได้
9. ทบทวน privacy setting ของ social media ที่ใช้เป็นประจำ
10. ลบ app ที่ไม่ได้ใช้งานในช่วง 3 เดือนที่ผ่านมาออกจากมือถือ

สำหรับองค์กร · ใช้เวลาประมาณ 1 สัปดาห์

1. แต่งตั้ง Data Protection Officer (DPO) · หรือมอบหมายผู้รับผิดชอบ PDPA อย่างเป็นทางการ
2. ทำ inventory ของข้อมูลส่วนบุคคลที่องค์กรเก็บ · เก็บที่ไหน · ใครเข้าถึงได้
3. ทบทวน Privacy Policy และ Consent Form · ให้สอดคล้องกับ PDPA
4. จัด training พื้นฐานด้าน security ให้พนักงานทุกคน · อย่างน้อยปีละครั้ง
5. เริ่มทำ vulnerability scanning กับระบบที่เปิดสู่อินเทอร์เน็ต · อย่างน้อยไตรมาสละครั้ง
6. จัดทำ incident response plan · มีขั้นตอนชัดเจนเมื่อเกิดเหตุการณ์
7. ตั้งระบบ backup และทดสอบการ restore อย่างสม่ำเสมอ
8. ทบทวนสิทธิ์การเข้าถึงระบบ (access control) · ปิดสิทธิ์ของอดีตพนักงานทันที
9. ประเมินความเสี่ยงของ third-party vendor ที่มีสิทธิ์เข้าถึงข้อมูล
10. วางแผน pentest โดยผู้เชี่ยวชาญภายนอก · อย่างน้อยปีละครั้ง

บทสรุป

Cybersecurity ในปี 2026 ไม่ใช่เรื่องไกลตัวอีกต่อไป · เป็นเรื่องที่ สัมผัสชีวิตของทุกคนในทุกๆ วัน · ตั้งแต่การแจ้งเตือนบน smartphone ไปจนถึงการอนุมัติงบของคณะกรรมการบริษัท

กฎหมายไทยที่เกี่ยวข้องได้ถูกวางไว้แล้ว · สิทธิของประชาชนในการคุ้มครองข้อมูลมีชัดเจน · และภาระหน้าที่ขององค์กรก็มีตั้งแต่ระดับ operational ไปจนถึงระดับคณะกรรมการ · สิ่งที่เหลือคือการ เริ่มลงมือทำ

การเปลี่ยนแปลงไม่จำเป็นต้องเริ่มจากเรื่องใหญ่ · บางครั้งแค่ 10 นาทีในวันนี้ ที่คุณใช้ในการเปลี่ยนรหัสผ่าน · เปิด 2FA · และตรวจสอบ permission ของ app · อาจสร้างความแตกต่างมหาศาลเมื่อเกิดเหตุการณ์ขึ้นจริง

เพราะในท้ายที่สุด · security ที่ดีที่สุดคือ security ที่เริ่มตั้งแต่วันที่ยังไม่เกิดอะไร