ความเสี่ยงไซเบอร์ ข้อมูลรั่วไหล และ PDPA ในงานบัญชี

การหลอกให้โอนเงินผ่านอีเมลปลอมเป็นความเสียหายอันดับต้นของฝ่ายบัญชีไทย รูปแบบคือคนร้ายเข้าถึงหรือปลอมอีเมลของซัพพลายเออร์แล้วส่งใบแจ้งหนี้ที่เปลี่ยนเลขบัญชีในนาทีสุดท้าย มาตรการที่ได้ผลจริงมีสามชั้น ชั้นแรกคือกฎเหล็กว่าการเปลี่ยนเลขบัญชีผู้รับเงินทุกครั้งต้องตรวจสอบซ้ำโดยโทรกลับตามหมายเลขที่บันทึกไว้ในทะเบียนคู่ค้าเดิมเท่านั้น ห้ามใช้เบอร์ที่อยู่ในอีเมลฉบับนั้น ชั้นที่สองคือแยกหน้าที่ระหว่างคนตั้งเจ้าหนี้ คนอนุมัติ และคนกดโอน ให้ไม่ใช่คนเดียวกัน และกำหนดวงเงินที่ต้องอนุมัติสองคน ชั้นที่สามคือตั้งการยืนยันตัวตนสองขั้นตอนกับอีเมลบริษัททุกบัญชี พร้อมเปิดการแจ้งเตือนเมื่อมีการตั้งกฎส่งต่ออีเมลอัตโนมัติ เพราะคนร้ายมักตั้งกฎซ่อนอีเมลไว้ก่อนลงมือ ถ้าโอนไปแล้วให้แจ้งธนาคารทันทีเพื่อขออายัด และแจ้งความออนไลน์ให้เร็วที่สุดเพราะโอกาสได้เงินคืนลดลงตามเวลา

ในทางปฏิบัติงานบัญชีแทบไม่ต้องพึ่งความยินยอมเป็นฐานหลัก เพราะพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 24 ให้ฐานอื่นที่เหมาะกว่า ฐานที่ใช้บ่อยที่สุดคือความจำเป็นเพื่อปฏิบัติตามสัญญาที่ทำกับลูกค้า และความจำเป็นเพื่อปฏิบัติตามกฎหมาย เช่น การจัดทำและเก็บรักษาบัญชีตามพระราชบัญญัติการบัญชี พ.ศ. 2543 การหักและนำส่งภาษี ณ ที่จ่าย และการยื่นแบบตามประมวลรัษฎากร ส่วนฐานประโยชน์โดยชอบด้วยกฎหมายใช้กับงานอย่างการรักษาความปลอดภัยระบบและการตรวจสอบภายใน โดยต้องทำบันทึกการชั่งน้ำหนักประโยชน์ไว้ด้วย จุดที่ต้องระวังคือข้อมูลอ่อนไหวตามมาตรา 26 เช่น ข้อมูลสุขภาพในใบรับรองแพทย์ประกอบการลาป่วย ประวัติอาชญากรรม หรือข้อมูลศาสนาบนบัตรประชาชน ข้อมูลกลุ่มนี้ต้องมีฐานเฉพาะและโดยมากต้องขอความยินยอมโดยชัดแจ้ง ทางที่ปลอดภัยกว่าคือไม่เก็บถ้าไม่จำเป็น เช่น ปิดทับข้อมูลศาสนาบนสำเนาบัตรก่อนจัดเก็บ

กฎหมายบัญชีกำหนดขั้นต่ำไว้ พระราชบัญญัติการบัญชี พ.ศ. 2543 มาตรา 14 ให้เก็บบัญชีและเอกสารประกอบการลงบัญชีไว้ไม่น้อยกว่า 5 ปีนับแต่วันปิดบัญชี และสารวัตรบัญชีอาจสั่งให้เก็บนานขึ้นได้ถึง 7 ปีในบางกรณี ด้านภาษี ประมวลรัษฎากรให้เจ้าพนักงานประเมินย้อนหลังได้ภายในกรอบเวลาที่กำหนด โดยกรณีปกติกำหนดไว้ 2 ปี ซึ่งขยายได้สูงสุด 5 ปีหากมีเหตุอันควรเชื่อว่าแสดงรายการไม่ถูกต้อง แนวปฏิบัติที่ปลอดภัยของกิจการส่วนใหญ่จึงเก็บ 5 ถึง 10 ปี ด้าน PDPA หลักการคือเก็บได้ไม่เกินความจำเป็นตามวัตถุประสงค์ ดังนั้นการเก็บนานเกินโดยไม่มีเหตุผลไม่ใช่ความปลอดภัยแต่เป็นความเสี่ยง สิ่งที่ควรทำคือเขียนตารางระยะเวลาเก็บรักษาแยกตามประเภทเอกสาร ระบุปีที่ครบกำหนด วิธีทำลาย และผู้รับผิดชอบ แล้วทำลายจริงตามรอบพร้อมบันทึกการทำลาย เอกสารกระดาษใช้เครื่องย่อยแบบตัดขวาง ไฟล์ดิจิทัลต้องลบให้ครบทุกสำเนารวมถึงสำเนาสำรอง

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล มาตรา 37(4) กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลรายงานกรณีข้อมูลส่วนบุคคลรั่วไหลต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลโดยไม่ชักช้าและภายใน 72 ชั่วโมงนับแต่ทราบเหตุ เว้นแต่เหตุดังกล่าวไม่ก่อความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล และหากเหตุดังกล่าวเสี่ยงสูงต่อสิทธิเสรีภาพของบุคคล ก็ต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาด้วย นาฬิกาเริ่มเดินตั้งแต่ทราบเหตุ ไม่ใช่ตอนสอบสวนเสร็จ สิ่งที่ควรเตรียมไว้ล่วงหน้าคือรายชื่อผู้รับผิดชอบพร้อมเบอร์ติดต่อ แบบฟอร์มบันทึกเหตุการณ์ที่ระบุเวลา ระบบที่ถูกกระทบ ประเภทและจำนวนข้อมูล มาตรการหยุดความเสียหาย และร่างข้อความแจ้งเจ้าของข้อมูล การซ้อมสถานการณ์ปีละครั้งช่วยได้มาก เพราะปัญหาที่พบจริงไม่ใช่ไม่รู้กฎหมาย แต่คือไม่มีใครรู้ว่าตัวเองต้องทำอะไรในชั่วโมงแรก

โดยทั่วไปกิจการผู้ว่าจ้างเป็นผู้ควบคุมข้อมูลส่วนบุคคลเพราะเป็นผู้กำหนดวัตถุประสงค์ ส่วนสำนักงานบัญชีที่ทำงานตามคำสั่งเป็นผู้ประมวลผลข้อมูลส่วนบุคคล มาตรา 40 กำหนดให้ต้องมีข้อตกลงระหว่างกันเป็นหนังสือ ซึ่งอย่างน้อยควรระบุขอบเขตและวัตถุประสงค์ในการประมวลผล ชนิดของข้อมูล ตลอดจนกลุ่มเจ้าของข้อมูล ระยะเวลา หน้าที่ในการรักษาความมั่นคงปลอดภัย เงื่อนไขการใช้ผู้ประมวลผลช่วง หน้าที่แจ้งเหตุละเมิดกลับมายังผู้ควบคุมโดยไม่ชักช้า และการคืนหรือลบข้อมูลเมื่อสิ้นสุดสัญญา ข้อควรระวังคือถ้าสำนักงานบัญชีนำข้อมูลไปใช้เพื่อวัตถุประสงค์ของตนเอง เช่น การตลาด จะกลายเป็นผู้ควบคุมข้อมูลเองและรับผิดชอบเต็มตัว อีกจุดคือการส่งข้อมูลออกนอกประเทศ เช่น ใช้ระบบคลาวด์ที่เซิร์ฟเวอร์อยู่ต่างประเทศ ต้องพิจารณามาตรา 28 เรื่องมาตรฐานการคุ้มครองที่เพียงพอ และควรระบุที่ตั้งของข้อมูลไว้ในสัญญาให้ชัด

ตั้งต้นด้วยหลักให้สิทธิเท่าที่จำเป็น คนที่ต้องเห็นเงินเดือนรายบุคคลจริง ๆ มักมีไม่เกินสามถึงห้าคน คือผู้จัดทำ ผู้ตรวจสอบ ผู้อนุมัติ และผู้บริหารสูงสุด หัวหน้าแผนกทั่วไปควรเห็นเฉพาะยอดรวมของแผนกไม่ใช่รายบุคคล มาตรการที่ทำได้ทันทีคือเก็บไฟล์เงินเดือนในโฟลเดอร์ที่กำหนดสิทธิเฉพาะ ไม่ส่งไฟล์สลิปรวมทางแชตกลุ่ม ตั้งรหัสผ่านไฟล์ที่ส่งออกและส่งรหัสผ่านคนละช่องทาง ใช้ระบบสลิปออนไลน์ที่พนักงานเข้าดูเฉพาะของตัวเอง และเปิดบันทึกการเข้าถึงเพื่อให้ตรวจย้อนได้ว่าใครเปิดไฟล์เมื่อใด สำหรับการส่งข้อมูลให้ธนาคารเพื่อจ่ายเงินเดือน ให้ใช้ช่องทางของธนาคารโดยตรงแทนการแนบไฟล์ทางอีเมล และเมื่อพนักงานลาออก ต้องมีขั้นตอนยกเลิกสิทธิเข้าถึงทุกระบบภายในวันสุดท้ายของการทำงาน ซึ่งเป็นช่องโหว่ที่พบบ่อยที่สุดในการตรวจสอบภายใน

หลักที่ใช้กันทั่วโลกคือสำรองข้อมูลแบบสามสองหนึ่ง คือมีข้อมูลอย่างน้อยสามชุด เก็บบนสื่อสองประเภทที่ต่างกัน และหนึ่งชุดอยู่นอกสถานที่หรือแยกออกจากเครือข่ายอย่างสมบูรณ์ จุดที่หลายกิจการพลาดคือสำรองไว้บนไดรฟ์ที่เชื่อมต่อกับเครื่องตลอดเวลา ซึ่งจะถูกเข้ารหัสไปพร้อมกัน สิ่งที่ต้องทำเพิ่มคือทดสอบกู้คืนจริงอย่างน้อยปีละสองครั้ง เพราะสำรองที่กู้ไม่ได้เท่ากับไม่มีสำรอง และควรจับเวลาว่ากู้ระบบให้กลับมาทำงานได้ใช้เวลากี่ชั่วโมง เพื่อรู้ว่าธุรกิจทนได้หรือไม่ ในเชิงป้องกัน ให้ปิดการใช้บัญชีผู้ดูแลระบบในงานประจำวัน อัปเดตระบบปฏิบัติการและซอฟต์แวร์บัญชีตามรอบ และอบรมพนักงานเรื่องไฟล์แนบและลิงก์ปลอมอย่างน้อยปีละครั้ง ในทางกฎหมาย เหตุแรนซัมแวร์ที่กระทบข้อมูลส่วนบุคคลเข้าข่ายต้องพิจารณาแจ้งเหตุละเมิดภายใน 72 ชั่วโมงเช่นกัน และการจ่ายค่าไถ่ไม่รับประกันว่าจะได้ข้อมูลคืนและอาจมีความเสี่ยงทางกฎหมายเพิ่ม

โดยเฉลี่ยผู้ให้บริการคลาวด์ที่ได้มาตรฐานมีความปลอดภัยเชิงเทคนิคสูงกว่าเครื่องคอมพิวเตอร์ในสำนักงานทั่วไปมาก เพราะมีการเข้ารหัสข้อมูล การสำรองอัตโนมัติ การแยกสภาพแวดล้อม และทีมเฝ้าระวังตลอดเวลา ความเสี่ยงจึงย้ายจากตัวระบบไปอยู่ที่การจัดการบัญชีผู้ใช้ของเราเอง กว่าเก้าในสิบของเหตุที่เกิดจริงมาจากรหัสผ่านซ้ำกับบริการอื่น การไม่เปิดการยืนยันตัวตนสองขั้นตอน และการไม่ถอนสิทธิพนักงานที่ลาออก สิ่งที่ควรตรวจก่อนเลือกผู้ให้บริการคือมีการรับรองมาตรฐานความปลอดภัยที่ตรวจสอบได้หรือไม่ ข้อมูลจัดเก็บที่ประเทศใด มีสัญญาประมวลผลข้อมูลตามมาตรา 40 ให้ลงนามหรือไม่ นโยบายการสำรองและระยะเวลาเก็บย้อนหลังเป็นอย่างไร และถ้าเลิกใช้บริการเราดึงข้อมูลออกในรูปแบบใดได้บ้าง ข้อสุดท้ายสำคัญมากเพราะการติดอยู่กับผู้ให้บริการที่ส่งออกข้อมูลไม่ได้คือความเสี่ยงทางธุรกิจที่มองข้ามบ่อย

เริ่มจากถามว่าทำไมต้องเก็บ ถ้าเก็บเพื่อพิสูจน์ตัวผู้รับเงินตามข้อกำหนดของกรมสรรพากรหรือเพื่อปฏิบัติตามกฎหมายป้องกันการฟอกเงิน ก็มีฐานทางกฎหมายรองรับ แต่ถ้าเก็บเพราะเคยทำกันมาโดยไม่มีเหตุผล ควรเลิกเก็บ สำหรับสำเนาที่จำเป็นต้องเก็บ ให้ปิดทับข้อมูลที่ไม่จำเป็นต่อวัตถุประสงค์ เช่น ศาสนาและหมู่โลหิต และเขียนกำกับบนสำเนาว่าใช้เพื่อวัตถุประสงค์ใดพร้อมวันที่ เพื่อป้องกันการนำไปใช้ต่อ จัดเก็บในตู้ที่ล็อกได้หรือโฟลเดอร์ที่กำหนดสิทธิ ไม่วางบนโต๊ะหรือในเครื่องถ่ายเอกสารส่วนกลาง กำหนดระยะเวลาเก็บให้สอดคล้องกับเอกสารทางบัญชีที่เกี่ยวข้อง แล้วทำลายด้วยเครื่องย่อยเมื่อครบกำหนด สุดท้ายควรมีบันทึกรายการกิจกรรมการประมวลผลตามมาตรา 39 ที่ระบุว่าเก็บข้อมูลอะไร เพื่ออะไร เก็บนานเท่าใด และใครเข้าถึงได้ ซึ่งเป็นเอกสารชิ้นแรกที่ถูกขอดูเมื่อมีการร้องเรียน

หนึ่ง เปิดการยืนยันตัวตนสองขั้นตอนกับอีเมลและระบบธนาคารทุกบัญชี สอง เลิกใช้รหัสผ่านซ้ำโดยใช้โปรแกรมจัดการรหัสผ่าน สาม แยกบัญชีผู้ใช้ของแต่ละคน ห้ามใช้บัญชีกลางร่วมกัน สี่ ตั้งกฎยืนยันทางโทรศัพท์ทุกครั้งที่มีการเปลี่ยนเลขบัญชีผู้รับเงิน ห้า สำรองข้อมูลแบบสามสองหนึ่งและทดสอบกู้คืนจริง หก อัปเดตระบบปฏิบัติการและโปรแกรมบัญชีอัตโนมัติ เจ็ด กำหนดสิทธิเข้าถึงไฟล์เงินเดือนและข้อมูลลูกค้าเฉพาะผู้ที่จำเป็น แปด เขียนตารางระยะเวลาเก็บเอกสารและทำลายตามรอบ เก้า จัดทำบันทึกรายการกิจกรรมการประมวลผลและนโยบายความเป็นส่วนตัวที่เผยแพร่จริง สิบ ซ้อมแผนรับมือเหตุละเมิดข้อมูลปีละครั้งพร้อมรายชื่อผู้รับผิดชอบ ทั้งสิบข้อนี้ใช้งบน้อยมากแต่ตัดความเสี่ยงส่วนใหญ่ที่เกิดจริงออกไปได้ ถ้าต้องการให้ทีมเราช่วยประเมินความพร้อมด้าน PDPA และวางระบบเอกสารให้สอดคล้องกับงานบัญชี ติดต่อเข้ามาเพื่อนัดประเมินเบื้องต้นได้