คุยเฟื่องเรื่อง (ร่าง) พรบ.คุ้มครองข้อมูลส่วนบุคคล

คุยเฟื่องเรื่อง (ร่าง) พรบ.คุ้มครองข้อมูลส่วนบุคคล

เมื่ออุปกรณ์อิเล็กทรอนิกส์และเทคโนโลยีสารสนเทศที่ทันสมัยเข้ามามีบทบาทกับชีวิตประจำวันของเราทั้งในเรื่องงานและเรื่องส่วนตัว ข้อมูลมากมายจึงถูกเก็บรวบรวมไว้ในอุปกรณ์ไอที หรือไม่ก็บนระบบสุดไฮเทค ซึ่งเป็นการเพิ่มความเสี่ยงให้ข้อมูลนั้นถูกนำไปเปิดเผยเพื่อแสวงหาผลประโยชน์โดยไม่ได้รับความยินยอมจากเจ้าของ จนอาจสร้างความเดือนร้อนเสียหายไม่ว่าจะเป็นชื่อเสียง เงินทอง หรือความรำคาญใจ เช่น แอบเอาข้อมูลส่วนบุคคลไปขายให้บริษัทบัตรเครดิตหรือบริษัทขายตรงต่างๆ หรือ มีการลักลอบนำบทสนทนาใน Line ส่วนตัวมาโพสต์ประจานต่อสาธารณะ เป็นต้น

ดังนั้น หน่วยงานด้านกฏหมายของรัฐจึงจำเป็นต้องให้ความคุ้มครองข้อมูลส่วนบุคคลให้เป็นไปตามรัฐธรรมนูญแห่งราชอาณาจักรไทย ซึ่งตลอดช่วงเวลาที่รัฐบาลคณะต่างๆ หมุนเปลี่ยนวาระกันไป ต่างก็มีความพยายามผลักดันกฏหมายดังกล่าวแต่จนแล้วจนรอดก็ยังคงไม่ประสบผลสำเร็จ จวบจนถึงขณะนี้ รัฐบาลชุดปัจจุบันและคณะ คสช. ก็กำลังสานต่อโดยนำเสนอร่างกฏหมายฉบับนี้เข้าสู่วาระการพิจารณาของสภานิตินบัญญัติแห่งชาติ (สนช.)  เพื่อที่จะได้ตราออกเป็นกฏหมายและประกาศบังคับใช้งานต่อไป

วันนี้ผมจึงขอสรุปสาระสำคัญที่ระบุไว้ใน (ร่าง) พรบ.คุ้มครองข้อมูลส่วนบุคคล เพื่อให้คุณได้รับทราบและทำความเข้าใจเบื้องต้น ดังนี้

สาระสำคัญของกฎหมายที่ควรรู้..

o กฏหมายนี้มีชื่อว่า   “(ร่าง) พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ….”  บังคับใช้หลักจากประกาศในราชกิจจานุเบกษา 180 วัน

o (ร่าง) พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลฉบับนี้ ประกอบไปด้วย 6 หมวด 61 มาตรา

o “ข้อมูลส่วนบุคคล” หมายความว่า ข้อมูลเกี่ยวกับสิ่งเฉพาะตัวของบุคลล เช่น การศึกษา ฐานะการเงิน ประวัติสุขภาพ ประวัติอาชญากรรม ประวัติการทำงาน หรือประวัติกิจกรรมที่มีชื่อบุคคลนั้นหรือมีเลขหมาย รหัส หรือสิ่งบอกลักษณะอื่นที่ทำให้รู้ตัวบุคคลนั้นได้ เช่น ลายพิมพ์นิ้วมือ แผ่นบันทึกลักษณะเสียงของคน หรือรูปถ่าย และให้หมายความรวมถึงข้อมูลเกี่ยวกับสิ่งเฉพาะตัวของผู้ที่ถึงแก่กรรมแล้วด้วย

o “ผู้ควบคุมข้อมูลส่วนบุคคล”  หมายความว่า  ผู้ที่ทำหน้าที่รับผิดชอบในการเก็บ รวบรวม และควบคุมการใช้และการเปิดเผยข้อมูลส่วนบบุคคล

o พระราชบัญญัตินี้ไม่ใช้บังคับแก่ หน่วยงานของรัฐที่อยู่ภายใต้กฏหมายว่าด้ยข้อมูลข่าวสารของราชการ  บุคคลหรือนิติบุคคลที่ทำการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อใช้ประโยชน์ส่วนตนหรือนิติบุคคเท่านั้น  บุคคลหรือนิติบุคคลซึ่งใช้หรือเปิดเผยข้อมูลส่วนบุคคลที่ทำการเก็บรวบรวมไว้เฉพาะเพื่อกิจการสื่อมวลชน งานศิลปกรรม หรืองานวรรณกรรมเท่านั้น

o ”คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล”  จะเป็นคนกำหนดนโยบาย มาตรการ หรือแนวทางการดำเนินการเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล กำหนดหลักเกณฑ์ใบรับรองและมาตรฐานการคุ้มครองข้อมูลส่วนบุคคล  รวมถึงหลักปฎิบัติอื่นใดตาม พรบ. ฉบับนี้กำหนดขึ้น

o มาตรา 16  ผู้ควบคุมข้อมูลส่วนบุคคลจะกระทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบบุคลไม่ได้หากเจ้าขงข้อมูลส่วนบุคคลไม่ได้ให้ความยินยอม เว้นแต่บทบัญญัติแห่งพระราชบัญญัตินี้หรือกฏหมายอื่นบัญญัติให้กระทำได้

o มาตรา 17 ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ดูแลรักษาความมั่นคงปลอดภัยมิให้ข้อมูลส่วนบุคคลสุญหาย ถูกแก้ไขหรือเปลี่ยนแปลง   และมีหน้าที่ดูแลข้อมูลส่วนบุคคลที่ใช้หรือเปิดเผยให้มีความถูกต้อง ครบถ้วน และเป็นปัจจุบัน

o มาตรา 19 การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในกรณีดังต่อไปนี้ให้ผู้ควบคุมข้อมูลส่วนบุคคลได้รับการยกเว้นไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล เช่น  เป็นการปฎิบัติตามกฏหาย เพื่อประโยชน์ของเจ้าของข้อมูลส่วนบุคคลและการยินยิมไม่สามารถดำเนินการได้ในวลานั้น  เพื่อประโยชน์ที่เกียวกับชีวิต สุขภาพ หรือความปลอดภัยของเจ้าของข้อมูล  เพื่อประโยชน์แก่การสอบสอนตามประมวลกฏหมายอาญา  เพื่อประโยชน์การศึกษาวิจัยหรือสถิติและได้เก็บข้มูลไว้เป็นความลับ  กรณือื่นตามที่กำหนดในกฏกระทรวง

o มาตรา 20  ให้คณะกรรมการมีอำนาจประกาศกำหนดประมวลจริยธรรมเพื่อให้ผู้ควบคุมข้อมูลส่วนบุคคลต้องปฎิบัติตามเกี่ยวกับการคุ้มครอง  การเก็บรักษา การลบหรือการทำลายข้อมูล  การเก็บรวบรวม การใช้ หรือการเปิดเผยข้อมูลส่วนบุคคลที่ถูกต้อง ไม่เลือกปฎิบัติ ไม่ผิดกฎหมายหรือวัตถุประสงค์ 

o มาตรา 23 ห้ามมิให้ผู้ควบคุมข้อมูลส่วนบุคคลเก็บรวบรวมข้อมูลส่วนบุคคลอันมีลักษณะต้องห้าม ดังเช่น  ข้อมูลเกี่ยวกับพฤติกรรมทางเพศ ประวัติอาชญากรรม ประวัติสุขภาพ ความคิดเห็นทางการเมือง ความเชื่อทางศาสนา  หรือข้อมูลอื่นตามที่กำหนดในกฏกระทรวง เป็นต้น  ให้ผู้ควบคุมข้อมูลส่วนบุคคลเก็บรวบรวมข้อมูลส่วนบุคคลอันมีลักษณะต้องห้ามได้เมื่อได้รับความยินยอมเป็นหนังสือจากเจ้าของข้อมูลส่วนบุคคลหรือในกรณีที่ พรบ. นี้ได้กำหนดไว้

o มาตรา 24 ในการเก็บรวบรวมข้อมูลส่วนบุคคล ให้ผู้ควบคุมข้อมูลส่วนบุคคลแจ้งต่อเจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะที่จะดำเนินการถึงรายละเอียด ดังต่อไปนี้  ชื่อ สถานที่และสถานภาพของผู้ควบคุมข้อมูลส่วนบุคคล  วัตถุประสงค์การเก็บรวบรวม ประเภทของข้อมูล ระยะเวลาในการเก็บรักษา รายละเอียดอื่นๆตามที่คณะกรรมการกำหนด

o มาตรา 29 ห้ามมิให้ผู้ควบคุมข้อมูลส่วนบุคคลเปิดเผยข้อมูลส่วนบุคคลไปนอกราชอาณาจักรโดยไม่ได้รับความยินยอมเป็นหนังสือจากเจ้าของข้อมูลส่วนบุคคล เว้นแต่ได้รับการยกเว้น  หรือเพื่อดำเนินคดีนอกราชอาณาจักร หรือ เป็นการปฎิบัติตามสัญญากับเจ้าของข้อมูล  หรือเพื่อป้องกันการฟอกเงินการก่อการร้าย หรืออื่นใดตามที่คณะกรรมการกำหนด

o มาตรา 30 ห้ามมืให้ผู้ควบคุมข้อมูลส่วนบุคคลเปิดเผยข้อมูลส่วนบุคคลไปยังประเทศที่มิได้มีบทบัญญัติในการให้ความคุ้มครองข้อมูลส่วนบุคคลหรือมีแต่มีสาระสำคัญต่ำกว่าบทบัญญัตินี้โดยไม่ได้รับความยินยอมเป็นหนังสือจากเจ้าของข้อมูลส่วนบุคคล เว้นแต่มีความจำเป็นตามที่คณะกรรมการกำหนด

o มาตรา 31 ผู้ควบคุมข้อมูลส่วนบุคคลจะเก็บรักษาข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลไว้ได้เท่าที่ระยะเวลาที่กำหนด หรือเท่าที่จำเป็นตามวัตถุประสงค์ของการเก็บรวบรวมข้อมูลส่วนบุคคล

o มาตรา 34 “ผู้ควบคุมข้อมูลส่วนบุคคลเชิงธุรกิจหรือการพาณิชย์” หมายความว่า ผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลโดยมีวัตถุประสงค์ในการประกอบกิจการเชิงธุรกิจหรือการพาณิชย์

o มาตรา 36 ผู้ควบคุมข้อมูลส่วนบุคคลเชิงธุรกิจหรือการพาณิชย์ต้องจัดให้มีข้อปฎิบัติเกี่ยวกับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลที่มีมาตรฐานไม่ต่ำกว่าข้อปฎิบัติตามประมวลจริยธรรมที่ประกาศนี้กำหนดไว้

o มาตรา 37 ผู้ควบคุมข้อมูลส่วนบุคคลเชิงธุรกิจหรือการพาณิชย์ต้องปฎิบัติ ดังต่อไปนี้  จัดให้มีมาตรการคุ้มครองข้อมูลส่วนบุคคล  จัดให้มีระบบบริหารจัดการความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลตามที่คณะกรรมการประกาศ   ฝึกอบรมลูกจ้างหรือผู้รับจ้างให้ปฎิบัติตามพระราชบัญญัตินี้   และรายงานการดำเนินงานตามหลักเกณฑ์ วิธีการ และแบบที่คณะกรรมการกำหนด

o มาตรา 39 ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลเชิงธุรกิจหรือการพาณิชย์ว่าจ้างผู้ใดให้เก็บรวบรวมข้อมูลแทนตน ต้องกำหนดมาตรการคุ้มครองข้อมูลส่วนบุคคลในสัญญาว่าจ้างไม่น้อยกว่าหลักเหณฑ์ที่บัญญัติไว้ใน พรบ. นี้

o มาตรา 41 เจ้าของข้อมูลส่วนบุคคลมีสิทธิ ดังต่อไปนี้  ขอตรวจดูข้อมูลส่วนบุคคลที่เกี่ยวกับตน  ขอให้แจ้งถึงการมีอยู่ การใช้หรือการเปิดเผยข้อมูลที่เกี่ยวกับตน  ขอให้ดำเนินการแก้ไข ปรับปรุงข้อมูลให้เป็นปัจจุบัน  ขอให้ระงับการใช้หรือการเปิดเผยข้อมูลส่วนบุคคลที่เกี่ยวกับตน  ขอให้เปิดเผยถึงการได้มาซึ่งข้อมูลส่วนบุคคลที่เกี่ยวกับตน

o มาตรา 45 ให้คณะกรรมการแต่งตั้งคณะกรรมการตรวจสอบข้อมูลส่วบุคคลขึ้นโดยมีอำนาจ พิจารณาเรื่องร้องเรียน ตรวจสอบการกรำใดๆของผู้ควบคุมข้อมูล ไกล่เกลียข้อพิพาท รายงานผลการปฎิบัติงาน ปฎิบัติการอื่นใดตามที่ พรบ นี้กำหนด

o มาตรา 50 ให้มีเครื่องหมายรับรองมาตรฐานการคุ้มครองข้อมูลส่วนบุคคล

o มาตรา 52 ในกรณีที่ผู้กระทำความผิดซึ่งต้องรับโทษตามพระราชบัญญตินี้เป็นนิติบุคคล ให้กรรมการผู้จัดการ ผู้จัดการ หรือบุคคลใดซึ่งรับผิดชอบในการดำเนินงานของนิติบุคคลนั้นต้องระวางโทษตามที่บัญญัตไว้สำหรับความผิดนั้นๆ ด้วย เว้นแต่จะพิสูจน์ได้ว่าตนมิได้รู้เห็นหรือยินยอมในการกระทำความผิดของนิติบุคคลนั้น

o มาตรา 58 ผู้ใดกระทำการใดๆ เกี่ยวกับข้อมูลส่วนบุคคลเพื่อให้ตนเองหรือผู้อื่นได้รับประโยชน์อันไม่ชอบด้วยกฎหมาย หรือเพื่อให้ผู้อื่นเสียหาย ต้องระวางโทษจำคุกไม่เกินสามปีหรือปรับไม่เกินหกหมื่นบาท หรือทั้งจำทั้งปรับ  ถ้าการกระทำนั้นเป็นการเผยแพร่ข้อมูลส่วนบุคคลทางสิ่งพิมพ์ วิทยุกระจายเสียง วิทยุโทรทัศน์ หรือสื่อิเล็กทรอนิกส์อื่น  ผู้กระทำต้องระวางโทษจำคุกไม่เกินห้าปีหรือปรับไม่เกินหนึ่งแสนบาม หรือทั้งจับทั้งปรับ

อย่างไรก็ตาม ข้อมูลที่ผมกล่าวไว้ข้างต้นยังอยู่ในระหว่างการเป็น “(ร่าง) คุ้มครองข้อมูลส่วนบุคคล พ.ศ….” เท่านั้น ดังนั้น เมื่อมีการประกาศเป็นกฏหมายฉบับใช้งานจริงออกมา อาจจะมีการปรับปรุงหรือเปลี่ยนแปลงข้อมูลก็ได้นะครับ

Content Cr : DestinationOne Counselor

ความมั่นคงปลอดภัยทางกายภาพที่ดี ตามมาตรฐาน ISO 27001

ความมั่นคงปลอดภัยทางกายภาพที่ดี ตามมาตรฐาน ISO 27001

อาคารสำนักงานเป็นอีกหนึ่งสิ่งที่ใช้บ่งบอกถึงภาพลักษณ์อันดีงามขององค์กร ออฟฟิสหลายแห่งได้รับการออกแบบอย่างสวยงามหรูหรา ตกแต่งด้วยวัสดุนำเข้าชั้นดี เพื่อตอกย้ำความน่าเชื่อถือของบริษัท แต่คุณทราบหรือไม่ว่า การออกแบบโครงสร้างสำนักงานที่ดีนั้น ยังจำเป็นต้องตอบโจทย์ด้านความมั่นคงปลอดภัยทางกายภาพอีกด้วย

ลักษณะทางกายภาพของสำนักงานที่ดีนั้น จะต้องสามารถปกป้องคุ้มครองทรัพย์สินจากภัยคุกคามต่างๆ ได้ ไม่ว่าเหตุร้ายนั้นจะเกิดขึ้นจากภายนอกหรือภายใน เพราะเราไม่สามารถคาดการณ์ได้ล่วงหน้าว่าจะมีภัยเกิดขึ้นที่ไหน เมื่อไหร่ อย่างไร ดังนั้น เราจึงควรวางแผนล่วงหน้าไว้อย่างรอบคอบ เริ่มตั้งแต่การเลือกทำเลที่ตั้งอย่างเหมาะสม ไปจนถึงการกำหนดมาตรการรักษาความปลอดภัยต่างๆ ถ้าหากคุณยังลังเลไม่แน่ใจว่าควรจะดำเนินการในเรื่องนี้ยังไง ผมมีตัวช่วยดีๆ มาบอกครับ

 

ตามมาตรฐาน ISO 27001 ได้มีหัวข้อสำคัญ ที่กล่าวถึงแนวทางในการบริหารจัดการความมั่นคงปลอดภัยทางกายภาพ ซึ่งเป็นที่ยอมรับอย่างแพร่หลายในระดับสากล และผมได้สรุปใจความสำคัญมาเล่าสู่กันฟัง ดังนี้

ความมั่นคงปลอดภัยทางโครงสร้าง – คุณต้องเริ่มต้นพิจารณาตั้งแต่ทำเลที่ตั้ง สภาพแวดล้อมโดยรอบเป็นอย่างไร ใกล้แหล่งที่มีความเสี่ยงใดๆ บ้างหรือไม่ มีสาธารณูปโภคครบถ้วนเพียงพอไหม สำนักงานของเราตั้งอยู่ชั้นไหน มีรั้วรอบขอบชิดไหม โครงสร้างอาคารทนต่อแผ่นดินไหวไหม มีผนังกันไฟหรือไม่ มีระบบดับเพลิงที่มีประสิทธิภาพหรือเปล่า ตำแหน่งเส้นทางหนีไฟอยู่จุดใด เป็นต้น

การควบคุมการเข้าออกพื้นที่ – คุณควรจัดให้มีเจ้าหน้าที่ควบคุมการเข้าออก ผู้ที่มาติดต่อต้องมีการแลกบัตรประจำตัวและลงบันทึกการเข้าพื้นที่ มีการติดตั้งกล้องวงจรปิด และระบบตรวจสอบตัวตนผู้มีสิทธิ์เข้าใช้พื้นที่ เช่น ระบบสแกนบัตรประจำตัวพนักงาน นอกจากนี้ ในพื้นที่บางส่วนอาจจะต้องมีการทำเอกสารขออนุญาตเข้าออกล่วงหน้า มีระเบียบขอเข้าใช้พื้นที่ในวันหยุด มีแบบฟอร์มควบคุมการนำพัสดุออกนอกพื้นที่ เป็นต้น

การแบ่งแยกพื้นที่ – พื้นที่แต่ละส่วนภายในสำนักงานย่อมมีระดับความสำคัญไม่เท่ากัน จึงควรมีการแบ่งแยกอย่างชัดเจน เพื่อให้สามารถกำหนดมาตรการรักษาความมั่นคงปลอดภัยได้อย่างเหมาะสมสอดคล้องตามระดับความเสี่ยง เช่น พื้นที่รับรองผู้มาติดต่อ พื้นที่รับส่งสินค้า พื้นที่ทำงาน พื้นที่มั่นคง พื้นที่ตั้งอุปกรณ์โทรคมนาคม เป็นต้น

ขั้นตอนปฏิบัติงานในพื้นที่ควบคุม – คุณจะต้องกำหนดว่าในแต่ละพื้นที่นั้น มีสิ่งใดที่ทำได้และสิ่งใดที่ทำไม่ได้บ้าง ยิ่งพื้นที่ที่มีความเสี่ยงสูงยิ่งจะต้องมีกติการการเข้าทำงานที่เข้มงวด เพื่อความมั่นคงปลอดภัยของทั้งต่อทรัพย์สินและสวัสดิภาพของพนักงาน เช่น การห้ามถ่ายรูป การห้ามนำอาหารและเครื่องดื่มเข้าพื้นที่ การห้ามนำสื่อบันทึกข้อมูลเข้าพื้นที่ เป็นต้น

ระบบป้องกันและระบบตรวจจับสิ่งผิดปกติ – ระบบเหล่านี้ยิ่งมีมากก็ยิ่งมั่นใจในความปลอดภัยได้มากขึ้น ซึ่งในปัจจุบันนี้มีอยู่มากมายหลายระบบ เช่น ระบบตรวจจับความเคลื่อนไหว ระบบตรวจจับผู้บุกรุก ระบบตรวจจับความร้อน ระบบตรวจจับความชื้น ระบบดับเพลิง เป็นต้น โดยในการพิจารณาเลือกใช้นั้น ควรตัดสินจากความจำเป็น และงบประมาณขององค์กรเป็นสำคัญ

ระบบสนับสนุน – ทุกองค์กรควรจะมีการวางแผนรับมือล่วงหน้าในกรณีที่ระบบหลักต่างๆ เกิดเหตุหยุดชะงัก เช่น ระบบไฟฟ้าสำรอง ระบบสายสัญญาณสำรอง ระบบสื่อสารหรือโทรคมนาคมสำรอง รวมถึงระบบสำรองที่จำเป็นอื่นๆ เพื่อให้ธุรกิจสามารถดำเนินต่อไปได้อย่างราบรื่นต่อเนื่อง

การจัดวางตำแหน่ง – อุปกรณ์และระบบต่างๆ จะต้องมีการจัดวางตำแหน่งให้เหมาะสมตามคุณสมบัติ รูปลักษณ์ และความมั่นคงปลอดภัยเป็นสำคัญ ไม่ว่าจะเป็นโต๊ะทำงาน อุปกรณ์สำนักงาน ระบบไอที ระบบสื่อสาร ฯลฯ ยิ่งมีความสำคัญมาก ก็ต้องตั้งอยู่ในตำแหน่งที่ยากต่อการเข้าถึง ไม่สามารถแอบมองหรือดักฟังได้ เป็นต้น

พื้นที่สำนักงานทีได้รับการวางแผนจัดการเป็นอย่างดี ย่อมสะท้อนให้เห็นถึงความมุ่งมั่นตั้งใจขององค์กรในการรักษาความมั่นคงปลอดภัย ซึ่งเป็นการแสดงออกถึงความรับผิดชอบที่มีต่อธุรกิจ พนักงาน และผู้มีส่วนเกี่ยวข้องทุกฝ่าย และเป็นปัจจัยหนึ่งที่ช่วยให้องค์กรสามารถมุ่งสู่ความสำเร็จได้อย่างยั่งยืน

Content Cr : DestinationOne Counselor

Photo Cr : Freeimages.com

ความรู้เบื้องต้นเกี่ยวกับการจัดการกระบวนการ (Process Management) ตอนที่ 2

ความรู้เบื้องต้นเกี่ยวกับการจัดการกระบวนการ (Process Management) ตอนที่ 2

จากบทความเดิมในตอนที่ 1 เราได้ทราบกันไปแล้วว่าทุกองค์กรย่อมต้องมีกระบวนการทำงาน ซึ่งในแต่ละกระบวนการจะประกอบขึ้นด้วยกิจกรรมต่างๆ เพื่อให้เกิดผลลัพธ์ตามวัตถุประสงค์ โดยการจัดการกระบวนการที่มีประสิทธิภาพนั้น เราจะต้องเริ่มต้นจากการ “วางแผน” ก่อนเป็นอันดับแรก

ผมขออธิบายเกี่ยวกับการวางแผนโดยยกตัวอย่างอิงกีฬายอดฮิตอย่างฟุตบอล ซึ่งคณะโค้ชของแต่ละทีมจะต้องวางแผนกำหนดตำแหน่งผู้เล่น ในบางครั้งก็ต้องพิจารณาซื้อตัวนักเตะเพิ่ม บางทีก็จะต้องมีการสลับตำแหน่งกันบ้างเพื่อความเหมาะสม โดยกำหนดบทบาทหน้าที่ของแต่ละตำแหน่ง แจกแจงแผนการเล่นอย่างรัดกุมว่าจะจัดทัพแบบใด  จะเป็น 4-3-3 ดี หรือ 4-4-2 ดี เรื่อยไปจนถึงจะใช้แทคติกแบบไหนเพื่อให้ทีมทำประตูเอาชนะฝ่ายตรงข้ามได้อย่างเด็ดขาด เปรียบไปก็เหมือนกับองค์กรที่มีเป้าหมายในการเอาชนะสนามแข่งขันทางธุรกิจ จึงต้องมีการวางแผนอย่างรอบคอบ มีการควบคุมและปรับปรุงกระบวนการอย่างสม่ำเสมอ ซึ่งจะช่วยลดการสิ้นเปลืองงบประมาณ ทรัพยากร และเวลา ส่งผลให้ต้านทุนต่ำลงในขณะที่ผลกำไรเพิ่มขึ้น

การออกแบบกระบวนการก็จัดเป็นการวางแผนอย่างหนึ่ง ที่จะช่วยให้มองเห็นภาพรวมและความสัมพันธ์ของแต่ละกระบวนการที่เชื่อมโยงกัน ดังนั้น แผนงานที่ดีจะสะท้อนถึงภาพลักษณ์และตัวตนขององค์กรในทางที่ดีด้วยเช่นกัน

การออกแบบกระบวนการนั้น จะต้องคำนึงถึงปัจจัยที่เกี่ยวข้องหลายด้าน เช่น ระยะเวลา ต้นทุน ทรัพยากร ความเสี่ยง เป็นต้น ยกตัวอย่างเช่นในการพัฒนาระบบสารสนเทศ จำเป็นต้องมีการวางแผนกิจกรรมต่างๆ ที่ต้องทำไว้ล่วงหน้า เพื่อควบคุมการดำเนินโครงการให้เป็นไปตามต้องการภายใต้ระยะเวลา งบประมาณ และทรัพยากรที่มีอยู่

หลายท่านอาจจะสงสัยว่า แล้วแผนงานที่ดีจะต้องมีอะไรบ้างล่ะ? ผมจึงขอไขข้อข้องใจให้ทราบว่าคุณควรจะมีสิ่งเหล่านี้เป็นอย่างน้อยครับ

      กำหนดวัตถุประสงค์ – เช่น เพื่อให้มีมาตรฐานในการทำงาน, เพื่อให้สอดคล้องตามบทบัญญัติของกฎหมาย

     กำหนดขอบเขต – เช่น ครอบคลุมบุคลากรทุกคนในองค์กร, ครอบคลุมอุปกรณ์ที่อยู่ภายใต้การดูแลของแผนกไอที

     กำหนดเป้าหมาย – ซึ่งจะต้องตอบสนองภารกิจหลักขององค์กร เช่น เพิ่มยอดขาย +10% จากปีที่แล้ว

     ประเมินระยะเวลา ทรัพยากร และค่าใช้จ่ายที่จำเป็นต้องใช้ในแต่ละกิจกรรม รวมถึงกำหนดตารางกิจกรรม

     กำหนดบทบาทหน้าที่และความรับผิดชอบของคนที่เกี่ยวข้อง

     ประเมินความเสี่ยงและผลกระทบอันอาจจะเกิดขึ้น

     จัดทำแผนภาพความสัมพันธ์ของกิจกรรมและกระบวนการทั้งกระบวนการหลักและสนับสนุน

     กำหนดกระบวนการควบคุมติดตาม KPI (Key Performance Indicator)

การออกแบบกระบวนการนั้นจะเกิดขึ้นในระหว่างการวิเคราะห์ความต้องการและการเริ่มต้นสร้างกระบวนการทำงาน ขนาดและความซับซ้อนของมันจะขึ้นอยู่กับวัตถุประสงค์ขององค์กร ในช่วงการออกแบบนี่เองจะช่วยให้คุณมองเห็นโครงสร้างทั้งหมดและตัดสินใจเลือกวิธีการ (Solution) ที่มีประสิทธิภาพ.. คุณลองนึกภาพตามผมดูนะครับว่ามีลูกฟุตบอลวางขายอยู่ข้างกัน 2 ลูก ถึงจะเป็นคนละยี่ห้อแต่ทั้งคู่ก็มีรูปร่างลักษณะเหมือนกันทุกประการ ซึ่งคนทั่วไปอย่างเราคงไม่มีทางแยกแยะความแตกต่างได้ แต่เบื้องหลังการผลิตของแต่ละยี่ห้อนั้นอาจจะมีกระบวนการผลิตที่ไม่เหมือนกันโดยสิ้นเชิง ด้วยคุณภาพสินค้าที่เท่าเทียมกันนี้ ยี่ห้อหนึ่งอาจจะสามารถควบคุมกระบวนการผลิตให้ได้ต้นทุนที่ต่ำกว่า ส่งผลให้ได้สัดส่วนกำไรที่สูงกว่า ซึ่งถือเป็นข้อได้เปรียบในการเอาชนะการแข่งขันเชิงการค้า และสามารถอยู่รอดได้อย่างยั่งยืนกว่าอีกฝ่ายนั่นเอง

ขั้นตอนการออกแบบกระบวนการ

     1. พิจารณาข้อกำหนดที่ต้องการ

     2. พิจารณาขั้นตอนในการดำเนินการ เพื่อให้ได้ผลลัพธ์ตามข้อกำหนด 

          รวมถึงทบทวนเงื่อนไขของสภาพปัจจุบัน

     3. กำหนดทรัพยากรที่จำเป็นต้องใช้

     4. กำหนดผู้รับผิดชอบในการดำเนินการในแต่ละขั้นตอน

     5. กำหนดวิธีการในการควบคุมและตรวจสอบ

     6. พิจารณาเอกสารแบบฟอร์มที่จำเป็นต้องใช้ในแต่ละขั้นตอน

     7. ทดลองปฏิบัติตามกระบวนการที่ได้ออกแบบไว้

     8.  ตรวจสอบ และนำมาปรับปรุงแก้ไขให้เหมาะสม

     9. จัดทำเป็นเอกสารมาตรฐาน เพื่อใช้ในการอ้างอิงในองค์กร

กระบวนการทำงานที่ดีจะต้องมาจากการออกแบบที่ดี จึงจะส่งผลให้สามารถทำงานได้อย่างมีประสิทธภาพ บรรลุตามความต้องการหรือวัตถุประสงค์ที่วางไว้ โดยกระบวนการที่ดีจะต้องมีความคล่องตัวสูงสามารถปรับเปลี่ยนได้ตามความเหมาะสมของสถานการณ์ ที่สำคัญจะต้องไม่ซับซ้อนเกินความจำเป็น และมีความรอบคอบ รัดกุม ชัดเจนครับ

Content Cr: DestinationOne Counselor

วิธี “ทำลายข้อมูล” อย่างมั่นคงปลอดภัยตามมาตรฐาน ISO 27001:2013

วิธี “ทำลายข้อมูล” อย่างมั่นคงปลอดภัยตามมาตรฐาน ISO 27001:2013

“ข้อมูล” มหาศาลถือเป็นสิ่งจำเป็นที่ใช้ประกอบการดำเนินธุรกิจ ไม่ว่าจะเป็นข้อมูลผลิตภัณฑ์ ข้อมูลการตลาด ข้อมูลระบบ ข้อมูลการเงิน ข้อมูลลูกค้า ฯลฯ ซึ่งบางอย่างก็เป็นข้อมูลลับ ในขณะที่บางอย่างคงต้องเรียกว่า “ลับสุดยอด” ซึ่งโดยทั่วไปแล้วเราจะต้องดูแลรักษาข้อมูลเหล่านี้ตามระดับชั้นความลับหรือความเสี่ยงของมัน แต่คุณเคยคิดไปถึงวาระสุดท้ายของข้อมูลนั้นบ้างหรือไม่

ข้อมูลเองก็มีวงจรชีวิต เมื่อเราใช้มันไปเป็นระยะเวลาหนึ่ง ข้อมูลเหล่านั้นก็จะล้าสมัยหรือหมดความจำเป็น นั่นก็คือถึงเวลาที่เราต้องกำจัดข้อมูลนั้นทิ้งไป เมื่อถึงจุดนี้หลายท่านอาจจะใช้วิธีโยนกองเอกสารลงถังขยะ ลบไฟล์ข้อมูลแล้วขายทอดตลาดฮาร์ดไดรฟ์ไปเป็นเศษเหล็ก โดยที่หลงลืมไปว่าถึงแม้ข้อมูลจะหมดความจำเป็นในการใช้งาน แต่มันก็ยังคงความลับอยู่ จึงไม่แปลกที่เรามักจะได้ข่าวข้อมูลรั่วไหลอยู่บ่อยๆ จากคนที่บังเอิญได้เอกสารนั้นไปอยู่ในมือ หรือกู้คืนข้อมูลจากเศษเหล็กที่คุณขายทิ้งไปแล้วนั้นได้

 ดังนั้น องค์กรของคุณจึงควรกำหนดวิธีการทำลายข้อมูลตามแนวทางของมาตรฐานสากล อาทิเช่น DoD 5220.22-M และ SP 800-88 เป็นต้น ซึ่งมีความมั่นคงปลอดภัยและสามารถตรวจสอบได้ ซึ่งวิธีการนั้นก็มีอยู่หลากหลายรูปแบบ ขึ้นอยู่กับประเภทของข้อมูล และประเภทของสื่อบันทึกข้อมูล มีตั้งแต่การทุบทำลาย การใช้เครื่องย่อยเอกสาร การใช้โปรแกรมลบข้อมูลถาวรต่างๆ ฯลฯ โดยคุณจะต้องพิจารณาตามความเหมาะสมกับความเสี่ยงและการตกลงร่วมกันภายในองค์กร

ตารางด้านล่างนี้ แสดงตัวอย่างของวิธีการทำลายข้อมูล

ตารางด้านล่างนี้ แสดงตัวอย่างโปรแกรมทำลายข้อมูล

 
วิธีการทำลายข้อมูลอย่างมั่นคงปลอดภัยนั้น จะต้องได้รับการประกาศใช้ภายในองค์กรอย่างเป็นทางการ และต้องมีการสื่อสารไปยังพนักงานทุกคนให้รับทราบและปฏิบัติตาม รวมถึงต้องคอยมีการตรวจสอบอย่างสม่ำเสมอ เพื่อให้มั่นใจว่าข้อมูลเหล่านั้นจะสาปสูญอย่างไร้ร่องรอย และไม่มีวันย้อนกลับมารั่วไหลโดยเด็ดขาด!!

Content Cr : DestinationOne Counselor