การละเมิดข้อมูลและการรั่วไหลของข้อมูลส่วนบุคคล
เจ้าของความเสี่ยง (Risk Owner)สดท.
ก่อนมีมาตรการควบคุม Inherent risk
20สูงมาก
- โอกาสเกิด
- 4
- ผลกระทบ
- 5
ระดับที่บันทึก: สูงมาก
54●3◆2112345
โอกาสเกิด ↑ผลกระทบ →
- ● ก่อนควบคุม
- ◆ หลังควบคุม
หลังมีมาตรการควบคุม Residual risk
6ปานกลาง
- โอกาสเกิด
- 3
- ผลกระทบ
- 2
ระดับที่บันทึก: ปานกลาง
▼ ลดลง 14 คะแนน
01ปัจจัยความเสี่ยง Risk Factor
1. ปัจจัยด้านเทคนิค
- ระบบเทคโนโลยีล้าสมัยเป็นช่องโหว่สำคัญ โดยเฉพาะซอฟต์แวร์ที่ไม่ได้รับการอัปเดต
- อุปกรณ์เครือข่ายอายุเกิน 5 ปี เสี่ยงต่อการโจมตีแบบ DDoS
- การใช้ระบบจัดเก็บข้อมูลส่วนกลางเพียงแห่งเดียวเพิ่มความเสี่ยงการล่มทั้งระบบ
2. ปัจจัยด้านมนุษย์
- การตระหนักรู้ด้านดิจิทัล พฤติกรรมการใช้งานระบบดิจิทัล และการโต้ตอบ (Response) เมื่อเกิดปัญหาจากผู้ใช้เบื้องต้น
3. ปัจจัยด้านการจัดการ
- ขาดกรอบการบริหารความเสี่ยงแบบบูรณาการ
- ขาดการประเมินผลกระทบด้านข้อมูลส่วนบุคคล (DPIA) ทำให้ไม่สามารถระบุความเสี่ยงล่วงหน้า
- มาตรฐาน/มาตรการการแลกเปลี่ยนข้อมูลระหว่างหน่วยงาน กทม. และ ระหว่าง กทม. กับหน่วยงานภายนอก
4. บังคับใช้นโยบายการจำแนกชั้นความลับของข้อมูล (Data Classification) ของหน่วยงาน
- ระบบเทคโนโลยีล้าสมัยเป็นช่องโหว่สำคัญ โดยเฉพาะซอฟต์แวร์ที่ไม่ได้รับการอัปเดต
- อุปกรณ์เครือข่ายอายุเกิน 5 ปี เสี่ยงต่อการโจมตีแบบ DDoS
- การใช้ระบบจัดเก็บข้อมูลส่วนกลางเพียงแห่งเดียวเพิ่มความเสี่ยงการล่มทั้งระบบ
2. ปัจจัยด้านมนุษย์
- การตระหนักรู้ด้านดิจิทัล พฤติกรรมการใช้งานระบบดิจิทัล และการโต้ตอบ (Response) เมื่อเกิดปัญหาจากผู้ใช้เบื้องต้น
3. ปัจจัยด้านการจัดการ
- ขาดกรอบการบริหารความเสี่ยงแบบบูรณาการ
- ขาดการประเมินผลกระทบด้านข้อมูลส่วนบุคคล (DPIA) ทำให้ไม่สามารถระบุความเสี่ยงล่วงหน้า
- มาตรฐาน/มาตรการการแลกเปลี่ยนข้อมูลระหว่างหน่วยงาน กทม. และ ระหว่าง กทม. กับหน่วยงานภายนอก
4. บังคับใช้นโยบายการจำแนกชั้นความลับของข้อมูล (Data Classification) ของหน่วยงาน
02ผลกระทบภายใน Internal Impact
1. ผู้ปฏิบัติงานขาดความรู้ และความเข้าใจด้านการจัดการข้อมูล
03ผลกระทบภายนอก External Impact
1. การแอบอ้างตัวตน
2. โทษทางกฎหมาย
2. โทษทางกฎหมาย
04การควบคุมที่มีอยู่ Control in Place
1. มาตรการป้องกัน (Preventive Controls)
- การเข้ารหัสข้อมูล: ใช้ AES-256 สำหรับข้อมูลอ่อนไหวตามข้อกำหนด PDPA มาตรา 37
- การควบคุมการเข้าถึง: กำหนดสิทธิ์การใช้งานแบบ Role-Based Access Control (RBAC) พร้อมระบบ Multi-Factor Authentication
2. มาตรการตรวจสอบ (Detective Controls)
- ระบบ DLP (Data Loss Prevention): ตรวจสอบการส่งออกข้อมูลผ่านอีเมลและ USB 24/7
- ระบบตรวจสอบย้อนหลัง: บันทึก Log การเข้าถึง/แก้ไขข้อมูลด้วยระบบ SIEM ที่ติดตามได้ตามมาตรฐาน ISO 27001
- การตรวจสอบโดยบุคคลที่สาม: จ้างบริษัทภายนอกทำ Penetration Testing ปีละ 2 ครั้ง
- เทคโนโลยี Privacy Enhancing: ใช้ Data Pseudonymization และ Differential Privacy
3. มาตรการตอบสนอง (Responsive Controls)
- มาตรการ เช่น แจ้ง PDPC ภายใน 72 ชม.: หากประเมินว่าเสี่ยงสูงต่อสิทธิเสรีภาพ, แจ้งเจ้าของข้อมูล: พร้อมแนวทางเยียวยา
- ตรวจสอบข้อเท็จจริงภายใน 24 ชั่วโมง พร้อมวิเคราะห์ช่องโหว่ด้วย Framework เช่น NIST CSF
- ประเมินระดับความเสี่ยงตามปัจจัย เช่น ประเภทข้อมูล (สุขภาพ/พื้นฐาน), จำนวนผู้ใช้, ความสามารถในการระบุตัวตน
- ระบบแจ้งเตือนอัตโนมัติ: ติดตั้ง EDR ที่ส่ง Alert ไปยัง SOC เมื่อพบกิจกรรมผิดปกติ
4. มาตรการฟื้นฟู (Recovery Controls) :
- แบบฝึกหัด Red Team/Blue Team
- ทบทวนมาตรการรักษาความปลอดภัยภายใน 30 วันหลังเกิดเหตุ
- อัปเดตแผน Business Continuity Plan (BCP) ให้สอดคล้องกับบทเรียนที่ได้รับ
5. มาตรการด้านการจัดการ-กฎหมาย
- แต่งตั้ง DPO: เจ้าหน้าคุ้มครองข้อมูลส่วนบุคคลทำหน้าที่ตรวจสอบและให้คำแนะนำตามมาตรา 41
- สัญญากับผู้ประมวลผล: กำหนดให้คู่สัญญามีมาตรการรักษาความปลอดภัยไม่ต่ำกว่าข้อ 4 ของ PDPA
- ประเมินความเสี่ยง (DPIA)
-จัดทำนโยบายและแนวปฏิบัติที่ชัดเจน เช่น แบบฟอร์มความยินยอม (Consent Form) ฉบับมาตรฐาน, ประกาศการคุ้มครองข้อมูลส่วนบุคคล (Privacy Notice) สำหรับประชาชน เจ้าหน้าที่ คู่ค้า และกล้อง CCTV รวมถึงข้อตกลงการแบ่งปันข้อมูล (Data Sharing Agreement) ESG S3.1 และ S3.2
- การเข้ารหัสข้อมูล: ใช้ AES-256 สำหรับข้อมูลอ่อนไหวตามข้อกำหนด PDPA มาตรา 37
- การควบคุมการเข้าถึง: กำหนดสิทธิ์การใช้งานแบบ Role-Based Access Control (RBAC) พร้อมระบบ Multi-Factor Authentication
2. มาตรการตรวจสอบ (Detective Controls)
- ระบบ DLP (Data Loss Prevention): ตรวจสอบการส่งออกข้อมูลผ่านอีเมลและ USB 24/7
- ระบบตรวจสอบย้อนหลัง: บันทึก Log การเข้าถึง/แก้ไขข้อมูลด้วยระบบ SIEM ที่ติดตามได้ตามมาตรฐาน ISO 27001
- การตรวจสอบโดยบุคคลที่สาม: จ้างบริษัทภายนอกทำ Penetration Testing ปีละ 2 ครั้ง
- เทคโนโลยี Privacy Enhancing: ใช้ Data Pseudonymization และ Differential Privacy
3. มาตรการตอบสนอง (Responsive Controls)
- มาตรการ เช่น แจ้ง PDPC ภายใน 72 ชม.: หากประเมินว่าเสี่ยงสูงต่อสิทธิเสรีภาพ, แจ้งเจ้าของข้อมูล: พร้อมแนวทางเยียวยา
- ตรวจสอบข้อเท็จจริงภายใน 24 ชั่วโมง พร้อมวิเคราะห์ช่องโหว่ด้วย Framework เช่น NIST CSF
- ประเมินระดับความเสี่ยงตามปัจจัย เช่น ประเภทข้อมูล (สุขภาพ/พื้นฐาน), จำนวนผู้ใช้, ความสามารถในการระบุตัวตน
- ระบบแจ้งเตือนอัตโนมัติ: ติดตั้ง EDR ที่ส่ง Alert ไปยัง SOC เมื่อพบกิจกรรมผิดปกติ
4. มาตรการฟื้นฟู (Recovery Controls) :
- แบบฝึกหัด Red Team/Blue Team
- ทบทวนมาตรการรักษาความปลอดภัยภายใน 30 วันหลังเกิดเหตุ
- อัปเดตแผน Business Continuity Plan (BCP) ให้สอดคล้องกับบทเรียนที่ได้รับ
5. มาตรการด้านการจัดการ-กฎหมาย
- แต่งตั้ง DPO: เจ้าหน้าคุ้มครองข้อมูลส่วนบุคคลทำหน้าที่ตรวจสอบและให้คำแนะนำตามมาตรา 41
- สัญญากับผู้ประมวลผล: กำหนดให้คู่สัญญามีมาตรการรักษาความปลอดภัยไม่ต่ำกว่าข้อ 4 ของ PDPA
- ประเมินความเสี่ยง (DPIA)
-จัดทำนโยบายและแนวปฏิบัติที่ชัดเจน เช่น แบบฟอร์มความยินยอม (Consent Form) ฉบับมาตรฐาน, ประกาศการคุ้มครองข้อมูลส่วนบุคคล (Privacy Notice) สำหรับประชาชน เจ้าหน้าที่ คู่ค้า และกล้อง CCTV รวมถึงข้อตกลงการแบ่งปันข้อมูล (Data Sharing Agreement) ESG S3.1 และ S3.2
05หน่วยงานที่เกี่ยวข้อง Risk Relative
ทุกหน่วยงาน