ความเสี่ยงเกี่ยวกับการบริหารข้อมูล

โดย...สุรพล โอภาสเสถียร

มีคนถามผมอยู่เสมอว่า การที่ต้องนั่งทำงานบริหารจัดการ ดูแลข้อมูลอันเป็นความลับที่หวงแหนของผู้คน โดยเฉพาะอย่างยิ่งข้อมูลคนที่เป็นลูกหนี้สินเชื่อ ไม่ว่าจะเป็นสินเชื่อบ้าน บัตรเครดิต รถยนต์ หรือสินเชื่อส่วนบุคคลสินเชื่อธุรกิจ สินเชื่อ... ว่าท่านๆ เหล่านั้นก่อหนี้กี่บัญชี เป็นหนี้อะไรบ้างปิดไปแล้วกี่บัญชี ชำระครบชำระตรงหรือไม่ หรือมีการค้างชำระหรือไม่ ถ้าคิดเป็นจำนวนลูกหนี้ที่ยังมีบัญชีเดินอยู่ก็ร่วมๆ ยี่สิบล้านราย การบริหารจัดการที่ต้องไม่ก้าวล่วงในความเป็นส่วนตัวนั้น ผมมีความกังวลอะไรบ้าง โดยเฉพาะในปี 2560 ที่กำลังใกล้เข้ามา ผมก็จะตอบท่านๆ เหล่านั้นว่า สิ่งที่กังวลใจมากที่สุดและต้องป้องกันมิให้เกิดขึ้นใน 2 เรื่องสำคัญคือ

(1) การที่ข้อมูลเกิดการรั่วไหลออกไป ไม่ว่าจะเกิดจากการบุกรุกจากภายนอกผ่านระบบ การขโมยข้อมูล การทุจริต หรือไม่ว่าเหตุใดๆ ก็ตาม เรื่องนี้เป็นความเสี่ยง เป็นความท้าทายที่จะต้องบริหารจัดการให้ได้ กับ

(2) การจัดให้มีมาตรการ Cyber Security ที่เพียงพอเหมาะสม ในการดูแลความเสี่ยงเหล่านั้น

ผมและทีมงานได้วางกรอบการบริหารไว้เป็นหลักการที่ต้องดำเนินการ โดยได้รับความเห็นชอบจากบอร์ดดังนี้ครับ

1.กำหนดและจัดระบบกระบวนการทำงาน End to End Process ในการทำงาน ในการให้บริการ ให้ครบถ้วน

2.ในแต่ละกระบวนการจะมีสิ่งที่เข้ามาเกี่ยวข้องในหลายมิติที่ต้องคิดประกอบด้วย สถานที่ บุคลากร ซอฟต์แวร์ ฮาร์ดแวร์ และตัวของบริการ ต้องคิดให้ครบ

3.ในแต่ละมิตินั้นให้ไปกำหนดมาตรการควบคุมกำกับดูแลที่เรียกว่า Control ให้ครบถ้วน เราเอามาจากไหน ที่บริษัทผมเราเอามาจากมาตรฐาน ISO 27001 : 2013 หรือ ISMS อันหมายถึง Information Security Management System ในเวอร์ชั่นล่าสุดของมาตรฐาน

4.เมื่อได้ 1 ถึง 3 แล้วก็ไปกำหนดนโยบาย คู่มือการปฏิบัติ วิธีการ ให้ครบถ้วน จากนั้นให้ฝ่ายตรวจสอบภายในเข้าไปตรวจสอบติดตาม ประเมินผลอย่างเข้มข้น

5.องค์กรหรือคณะที่เข้ามาดูแลจะประกอบด้วย คณะกรรมการบริษัท คณะกรรมการตรวจสอบ คณะกรรมการบริหารความเสี่ยง และฝ่ายบริหารที่เป็นผู้รับไปดำเนินการ โดยจะใช้กรอบความรับผิดชอบตามที่กฎหมายอันได้แก่ พ.ร.บ.การประกอบธุรกิจข้อมูลเครดิต ประกาศของคณะกรรมการคุ้มครองข้อมูลเครดิต มาเป็นตัวกำหนดกรอบของสิ่งที่ต้องทำ สิ่งที่ต้องไม่ทำให้ชัดเจน

6.จัดให้มีบุคคลภายนอกที่ไม่มีส่วนได้เสียเข้ามาตรวจสอบ สอบทานการดำเนินการ แล้วจัดส่งรายงานผลการตรวจสอบให้กับธนาคารแห่งประเทศไทย ตามข้อกำหนดเป็นประจำทุกปี

ท่านผู้อ่านครับ ข้อมูลส่วนตัวของเราๆ ท่านๆ เป็นสิ่งที่ต้องดูแลรักษานะครับ การให้ข้อมูลบนสื่อสังคมออนไลน์แบบมากเกินไปจะเป็นเหตุให้เกิดความเสี่ยงในการรั่วไหลนะครับ การที่เราให้ลายนิ้วมือของเราออกไปเพียงเพราะต้องการเปิดโทรศัพท์มือถือ

มันคุ้มหรือไม่ลองคิดดู วันนี้เราได้ปกปักรักษาสิ่งที่ควรเก็บรักษาไว้อย่างเพียงพอเหมาะสมแล้วหรือไม่ มันอันตรายนะครับ ข้อมูลของท่านๆ มาอยู่กับผม เราต้องใช้เงินดูแลนับล้านๆ บาท ทำไมข้อมูลต้นทางอยู่ที่ตัวของเรา เราจึงชอบเสี่ยงให้ใครต่อใครรู้ เพียงเพราะอยากมีตัวตน คนรู้จักมากในโลกเสมือนจริง...เท่านั้นหรือ อย่าลืมนะครับ ปี 2560 ความเสี่ยงที่ผมและทีมงานต้องบริหารก็คือ (1) ป้องกันการที่ข้อมูลเกิดการรั่วไหลออกไปให้ได้อย่างมีประสิทธิภาพ และ (2) การจัดให้มีมาตรการ Cyber Security ที่เพียงพอเหมาะสม

ขอบคุณครับที่ติดตามบทความมาโดยตลอด