คำตอบสั้น — Quick Answer / TL;DR
ผู้ให้บริการ MSSP ที่ประมวลผลข้อมูลส่วนบุคคลตามคำสั่งของผู้ว่าจ้างมีหน้าที่แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลให้ผู้ว่าจ้างทราบตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 40 (2) โดยกฎหมายมิได้กำหนดระยะเวลาไว้ ส่วนผู้ว่าจ้างในฐานะผู้ควบคุมข้อมูลส่วนบุคคลต้องแจ้งเหตุแก่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลโดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้ตามมาตรา 37 (4) เว้นแต่การละเมิดนั้นไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล สัญญาจึงควรกำหนดเวลาแจ้งเหตุของ MSSP ให้สั้นกว่า 72 ชั่วโมงอย่างมาก
สรุป 3 ประเด็นทางกฎหมายสำคัญ:
- การกำหนด SLAs ด้านความปลอดภัยเชิงปฏิบัติการ (Operational Cyber SLAs): ผู้ว่าจ้างและ MSSP ควรตกลงระยะเวลาตรวจจับภัยคุกคาม (Mean Time to Detect: MTTD) และระยะเวลาตอบสนองหรือยับยั้งภัยคุกคาม (Mean Time to Respond: MTTR) ตามระดับความรุนแรงไว้ในสัญญา เช่น 15 นาทีและ 1 ชั่วโมงสำหรับเหตุระดับวิกฤต (P1/Critical) ซึ่งเป็นตัวอย่างข้อตกลงทางการค้าที่นิยมใช้ โดยไม่มีกฎหมายไทยกำหนดตัวเลขเหล่านี้ สัญญาควรแยกให้ชัดว่าเป็นกำหนดเวลาต่อเหตุการณ์แต่ละครั้งหรือค่าเฉลี่ยรายเดือน และกำหนดผลของการไม่เป็นไปตามเงื่อนไข พร้อมระบบเฝ้าระวังตลอด 24 ชั่วโมง 365 วัน (24/7/365 Monitoring)
- หน้าที่การแจ้งเตือนตามกฎหมายความมั่นคงไซเบอร์และ PDPA (Statutory Breach Notification Protocols): เมื่อตรวจพบเหตุภัยคุกคามไซเบอร์ระดับร้ายแรง ผู้ให้บริการ MSSP ต้องแจ้งผู้ว่าจ้างทันทีตามเวลาที่ตกลงในสัญญา เพื่อให้ผู้ว่าจ้างปฏิบัติตามหน้าที่ของตนได้ทัน หากผู้ว่าจ้างเป็นหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ ผู้ว่าจ้างต้องรายงานต่อสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) และหน่วยงานควบคุมหรือกำกับดูแลเมื่อมีเหตุภัยคุกคามทางไซเบอร์เกิดขึ้นอย่างมีนัยสำคัญตามพระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 มาตรา 57 และต้องตรวจสอบ รับมือ และแจ้งโดยเร็วตามมาตรา 58 ส่วนในฐานะผู้ควบคุมข้อมูลส่วนบุคคล ผู้ว่าจ้างต้องแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ตามมาตรา 37 (4) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และหากการละเมิดมีความเสี่ยงสูงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล ต้องแจ้งเจ้าของข้อมูลส่วนบุคคลพร้อมแนวทางการเยียวยาโดยไม่ชักช้าด้วย ทั้งนี้ ตามหลักเกณฑ์และวิธีการที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด
- การจัดสรรความรับผิดกรณีถูกโจมตีด้วยมัลแวร์เรียกค่าไถ่ (Ransomware Liability & Forensic Audits): ข้อสัญญายกเว้นความรับผิดของผู้ให้บริการ MSSP มักอ้างว่าความปลอดภัย 100% ไม่มีอยู่จริง แต่ความตกลงทำไว้ล่วงหน้าที่ยกเว้นมิให้ MSSP ต้องรับผิดเพื่อกลฉ้อฉลหรือความประมาทเลินเล่ออย่างร้ายแรงของตนเป็นโมฆะตามประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 373 และข้อจำกัดความรับผิดในกรณีอื่นมีผลบังคับได้เพียงเท่าที่เป็นธรรมและพอสมควรแก่กรณีตามพระราชบัญญัติว่าด้วยข้อสัญญาที่ไม่เป็นธรรม พ.ศ. 2540 มาตรา 8 วรรคสอง สัญญาที่ดีจึงต้องระบุข้อยกเว้นดังกล่าวให้ชัดเจน และต้องให้สิทธิผู้ว่าจ้างนำผู้เชี่ยวชาญอิสระเข้ามาตรวจพิสูจน์พยานหลักฐานดิจิทัล (Forensic Audit Rights) พร้อมบังคับให้ MSSP ต้องมีกรมธรรม์ประกันภัยความรับผิดทางไซเบอร์ (Cyber Liability Insurance) คุ้มครองความเสียหาย
สถานการณ์ที่ผู้ประกอบการมักพบจริง
- เหตุการณ์: องค์กรว่าจ้างผู้ให้บริการ MSSP เพื่อเฝ้าระวัง SOC ตลอด 24 ชั่วโมง แต่กลับถูกมัลแวร์เรียกค่าไถ่ (Ransomware) โจมตีฐานข้อมูลสำคัญกลางดึก โดย MSSP ตรวจพบความผิดปกติแต่แจ้งเตือนล่าช้าไปหลายชั่วโมง ส่งผลให้ระบบล่ม และเกิดข้อมูลรั่วไหล
- ความเข้าใจผิด: ผู้ว่าจ้างมักเข้าใจผิดว่าการจ้าง MSSP และมีสัญญา Managed SOC จะทำให้ MSSP ต้องรับผิดชอบความเสียหายทั้งหมดเต็มจำนวนโดยอัตโนมัติหากถูก Ransomware โจมตี ขณะที่ MSSP มักอ้างข้อจำกัดความรับผิด (Limitation of Liability) ว่ารับผิดชอบไม่เกินค่าบริการที่ได้รับ
- จุดพลิก: ศาลและหน่วยงานกำกับดูแลพิจารณาจากเงื่อนไขในสัญญา (SLAs) และการพิสูจน์ความประมาทเลินเล่ออย่างร้ายแรง (Gross Negligence) หากสัญญาไม่ได้ระบุค่า MTTD/MTTR ที่ชัดเจน หรือขาดข้อกำหนดเรื่องสิทธิการตรวจพิสูจน์พยานหลักฐานดิจิทัล (Forensic Audit) จะทำให้ผู้ว่าจ้างไม่สามารถพิสูจน์ความบกพร่องของ MSSP ได้ และอาจต้องรับโทษปรับตามกฎหมายเพียงลำพัง
- สิ่งที่ได้จากบทความ: โครงสร้างสัญญาและ Checklist 10 จุดตรวจ เพื่อปิดช่องโหว่ทางกฎหมาย จัดทำ SLA เชิงปฏิบัติการ จัดสรรความรับผิด รองรับการแจ้งเหตุตามพระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 และพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) พร้อมกลไก Cyber Insurance Interlock
ภูมิทัศน์สัญญาให้บริการเฝ้าระวังความมั่นคงปลอดภัยทางไซเบอร์ (MSSP & SOC) ในประเทศไทย
การเอาต์ซอร์ส (Outsourcing) งานด้านความมั่นคงปลอดภัยทางไซเบอร์ให้แก่ผู้ให้บริการ Managed Security Service Provider (MSSP) และ Security Operations Center (SOC) ตลอด 24 ชั่วโมง ได้กลายเป็นมาตรฐานสำคัญสำหรับองค์กรในประเทศไทย อย่างไรก็ดี รูปแบบสัญญามักมีความซับซ้อน เพราะลักษณะของสัญญา MSSP ต้องวินิจฉัยจากสาระของบริการที่ตกลงกันจริง ซึ่งอาจเป็นสัญญาจ้างทำของตามประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 587 หรือสัญญาอื่นที่มีลักษณะผสมกับการให้บริการเชิงเทคนิคอย่างต่อเนื่อง
ปัญหาหลักในภูมิทัศน์ปัจจุบันคือ ช่องว่างระหว่างความคาดหวังเชิงธุรกิจและข้อกำหนดทางกฎหมายในสัญญา สัญญามาตรฐานของ MSSP มักออกแบบมาเพื่อจำกัดความรับผิดชอบของผู้ให้บริการ (Limitation of Liability) และกำหนดเงื่อนไขการรับประกันที่แคบ ในขณะที่หน้าที่ของผู้ว่าจ้างในฐานะผู้ควบคุมข้อมูลส่วนบุคคลต่อหน่วยงานกำกับดูแลยังคงเป็นของผู้ว่าจ้าง แม้จะจ้าง MSSP ดำเนินการแทนก็ตาม (Non-delegable Statutory Duties) ส่วน MSSP ในฐานะผู้ประมวลผลข้อมูลส่วนบุคคลมีหน้าที่และความรับผิดของตนเองตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) มาตรา 40 มาตรา 77 และมาตรา 86
สำหรับพระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 หน้าที่ประเมินความเสี่ยงและตรวจสอบตามมาตรา 54 หน้าที่จัดให้มีกลไกเฝ้าระวังตามมาตรา 56 และหน้าที่รายงานเหตุภัยคุกคามทางไซเบอร์ต่อสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติตามมาตรา 57 เป็นหน้าที่ของหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ คือหน่วยงานที่มีภารกิจหรือให้บริการในด้านที่คณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติประกาศกำหนดลักษณะไว้ตามมาตรา 49 เช่น ด้านการเงินการธนาคาร หรือด้านสาธารณสุข องค์กรผู้ว่าจ้างทั่วไปจึงไม่มีหน้าที่รายงานตามมาตรา 57 เสมอไป และต้องตรวจสอบก่อนว่าตนเข้าลักษณะดังกล่าวตามประกาศของคณะกรรมการหรือไม่ [ต้องยืนยันแหล่งที่มา]
ผลกระทบเชิงธุรกิจ Business Consequences
ความบกพร่องในการจัดทำสัญญา MSSP & Managed SOC นำมาซึ่งผลกระทบเชิงธุรกิจที่ร้ายแรง 3 ประการ:
- เซิร์ฟเวอร์องค์กรถูกแรนซัมแวร์ล็อกข้อมูลทั้งระบบเพราะ SOC ละเลย Alert: หากสัญญาไม่กำหนดหน้าที่การวิเคราะห์ Alert และระดับความสำคัญ (Severity Levels) ทีม SOC อาจมองข้ามสัญญาณเตือนภัยต้นทาง (Early Warning Indicators) ส่งผลให้ Ransomware แพร่กระจายและล็อกระบบเซิร์ฟเวอร์หลัก ก่อให้เกิดความเสียหายต่อการดำเนินธุรกิจหยุดชะงัก (Business Interruption)
- ถูกลงโทษปรับเพราะแจ้งเหตุล่าช้า: หาก MSSP ไม่แจ้งเตือนผู้ว่าจ้างทันทีเมื่อเกิดเหตุการณ์ละเมิด ผู้ว่าจ้างอาจไม่สามารถแจ้ง สคส. หรือรายงาน สกมช. ได้ภายในระยะเวลาที่กฎหมายกำหนด ผู้ควบคุมข้อมูลส่วนบุคคลที่ไม่แจ้งเหตุละเมิดตามมาตรา 37 (4) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ต้องระวางโทษปรับทางปกครองไม่เกิน 3,000,000 บาทตามมาตรา 83 โดยคณะกรรมการผู้เชี่ยวชาญเป็นผู้มีอำนาจสั่งลงโทษตามมาตรา 90 ส่วนหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศที่ไม่รายงานตามมาตรา 57 แห่งพระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 โดยไม่มีเหตุอันสมควร ต้องระวางโทษปรับไม่เกิน 200,000 บาทตามมาตรา 73
- ข้อมูลลูกค้าหลุดขายใน Dark Web: การรั่วไหลของข้อมูลส่วนบุคคลหรือข้อมูลความลับทางธุรกิจ นำไปสู่การสูญเสียความเชื่อมั่น ชื่อเสียงองค์กรถูกทำลาย และการถูกฟ้องร้องดำเนินคดีแบบกลุ่ม (Class Action) จากเจ้าของข้อมูลส่วนบุคคล
กรอบกฎหมายและ Claim Ledger Legal Framework
| Claim ID | ฐานกฎหมาย (Statutory Provision) | สิทธิ/หน้าที่ทางกฎหมาย (Legal Right/Duty) | ผลทางกฎหมายกรณีผิดสัญญา/ฝ่าฝืน |
|---|---|---|---|
| C-CC-31-01 | พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 มาตรา 49 มาตรา 54 มาตรา 57 มาตรา 58 และมาตรา 73 | หน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศตามลักษณะที่คณะกรรมการประกาศกำหนดตามมาตรา 49 ต้องประเมินความเสี่ยงและตรวจสอบด้านความมั่นคงปลอดภัยไซเบอร์อย่างน้อยปีละหนึ่งครั้งตามมาตรา 54 ต้องรายงานต่อสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติและหน่วยงานควบคุมหรือกำกับดูแลเมื่อมีเหตุภัยคุกคามทางไซเบอร์เกิดขึ้นอย่างมีนัยสำคัญตามมาตรา 57 และต้องตรวจสอบ รับมือตามประมวลแนวทางปฏิบัติ และแจ้งโดยเร็วตามมาตรา 58 | หน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศที่ไม่รายงานตามมาตรา 57 โดยไม่มีเหตุอันสมควรต้องระวางโทษปรับไม่เกิน 200,000 บาทตามมาตรา 73 |
| C-CC-31-02 | พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) มาตรา 37 (4) มาตรา 40 (2) มาตรา 78 มาตรา 83 มาตรา 86 และมาตรา 90 | ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่แจ้งเหตุละเมิดแก่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลโดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้ตามมาตรา 37 (4) ส่วนผู้ประมวลผลข้อมูลส่วนบุคคลมีหน้าที่แจ้งให้ผู้ควบคุมข้อมูลส่วนบุคคลทราบถึงเหตุละเมิดตามมาตรา 40 (2) ระยะเวลาที่ MSSP ต้องแจ้งผู้ว่าจ้างจึงเป็นเรื่องที่ต้องกำหนดในสัญญา | ผู้ควบคุมข้อมูลส่วนบุคคลที่ไม่ปฏิบัติตามมาตรา 37 ต้องระวางโทษปรับทางปกครองไม่เกิน 3,000,000 บาทตามมาตรา 83 ผู้ประมวลผลข้อมูลส่วนบุคคลที่ไม่ปฏิบัติตามมาตรา 40 โดยไม่มีเหตุอันควรต้องระวางโทษปรับทางปกครองไม่เกิน 3,000,000 บาทตามมาตรา 86 โดยคณะกรรมการผู้เชี่ยวชาญเป็นผู้มีอำนาจสั่งลงโทษตามมาตรา 90 และศาลมีอำนาจสั่งให้จ่ายค่าสินไหมทดแทนเพื่อการลงโทษเพิ่มขึ้นได้ไม่เกินสองเท่าของค่าสินไหมทดแทนที่แท้จริงตามมาตรา 78 |
| C-CC-31-03 | ประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 373 | ความตกลงทำไว้ล่วงหน้าเป็นข้อความยกเว้นมิให้ลูกหนี้ต้องรับผิดเพื่อกลฉ้อฉลหรือความประมาทเลินเล่ออย่างร้ายแรงของตนเป็นโมฆะ | MSSP ไม่อาจอ้างข้อตกลงยกเว้นความรับผิดเพื่อกลฉ้อฉลหรือความประมาทเลินเล่ออย่างร้ายแรงของตนเองได้ การนำหลักนี้ไปใช้กับเพดานความรับผิดเป็นเรื่องการตีความ และข้อจำกัดความรับผิดในกรณีอื่นอยู่ภายใต้พระราชบัญญัติว่าด้วยข้อสัญญาที่ไม่เป็นธรรม พ.ศ. 2540 (ดูแถว C-CC-31-06) |
| C-CC-31-04 | ประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 368 และมาตรา 587 | มาตรา 587 นิยามสัญญาจ้างทำของ และมาตรา 368 กำหนดให้ตีความสัญญาไปตามความประสงค์ในทางสุจริต โดยพิเคราะห์ถึงปกติประเพณีด้วย | มาตรฐานการให้บริการและความระมัดระวังของ MSSP (Professional Standard of Care) ควรกำหนดไว้ในสัญญา และลักษณะของสัญญา MSSP ต้องวินิจฉัยจากสาระของบริการจริง ซึ่งอาจเป็นสัญญาจ้างทำของหรือสัญญาอื่นที่มีลักษณะผสมกัน |
| C-CC-31-05 | พ.ร.บ.ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 มาตรา 26 | ผู้ให้บริการตามนิยามในมาตรา 3 ที่อยู่ในประเภทซึ่งรัฐมนตรีประกาศกำหนด [ต้องยืนยันแหล่งที่มา] ต้องเก็บรักษาข้อมูลจราจรทางคอมพิวเตอร์ไว้ไม่น้อยกว่า 90 วันนับแต่วันที่ข้อมูลเข้าสู่ระบบคอมพิวเตอร์ และพนักงานเจ้าหน้าที่อาจสั่งให้เก็บเกิน 90 วันแต่ไม่เกินสองปีเป็นกรณีพิเศษเฉพาะรายและเฉพาะคราว | ผู้ให้บริการที่ไม่ปฏิบัติตามมาตรา 26 ต้องระวางโทษปรับไม่เกิน 500,000 บาท ส่วนระยะเวลาเก็บบันทึกด้านความมั่นคงปลอดภัยประเภทอื่นของระบบ SIEM ให้กำหนดตามสัญญา |
| C-CC-31-06 | พระราชบัญญัติว่าด้วยข้อสัญญาที่ไม่เป็นธรรม พ.ศ. 2540 มาตรา 4 มาตรา 8 และมาตรา 10 | หากสัญญาของ MSSP เป็นสัญญาสำเร็จรูป ข้อตกลงยกเว้นหรือจำกัดความรับผิดที่เกิดจากการผิดสัญญาเป็นข้อตกลงที่อาจถือได้ว่าทำให้ได้เปรียบคู่สัญญาอีกฝ่ายหนึ่งตามมาตรา 4 และข้อตกลงที่ทำไว้ล่วงหน้าเพื่อยกเว้นหรือจำกัดความรับผิดซึ่งไม่เป็นโมฆะมีผลบังคับได้เพียงเท่าที่เป็นธรรมและพอสมควรแก่กรณีตามมาตรา 8 วรรคสอง | ศาลวินิจฉัยว่าข้อจำกัดความรับผิดของ MSSP มีผลบังคับเพียงใดโดยพิเคราะห์ถึงพฤติการณ์ทั้งปวงตามมาตรา 10 เช่น อำนาจต่อรอง ปกติประเพณีของสัญญาชนิดนั้น และการรับภาระที่หนักกว่ามากของคู่สัญญาฝ่ายหนึ่ง |
วิเคราะห์ตัวชี้วัดความมั่นคงปลอดภัย: MTTD, MTTR, False Positive Rate และ SIEM/SOAR Rule Tuning
การแปลงภาระผูกพันทางกฎหมายให้เป็นตัวชี้วัดเชิงปฏิบัติการ (Operational Metrics) เป็นหัวใจสำคัญของ Managed SOC Agreement:
Mean Time to Detect (MTTD) & Mean Time to Respond (MTTR)
ไม่มีกฎหมายไทยกำหนดตัวเลขระยะเวลาตรวจจับและตอบสนองต่อภัยคุกคาม ผู้ว่าจ้างและ MSSP จึงควรตกลงระยะเวลาเหล่านี้ตามระดับความรุนแรงไว้ในสัญญา ตัวเลข 15 นาทีและ 1 ชั่วโมงด้านล่างเป็นตัวอย่างข้อตกลงทางการค้าที่นิยมใช้ และเนื่องจากคำว่า Mean Time ในทางเทคนิคหมายถึงค่าเฉลี่ย สัญญาควรแยกให้ชัดว่าเป็นกำหนดเวลาต่อเหตุการณ์แต่ละครั้งหรือค่าเฉลี่ยรายเดือน พร้อมกำหนดผลของการไม่เป็นไปตามเงื่อนไข เพราะหากใช้ค่าเฉลี่ยอาจพิสูจน์การผิดสัญญาจากเหตุการณ์เดียวได้ยาก
- MTTD (Mean Time to Detect): ตัวอย่างข้อตกลง: MSSP ต้องตรวจพบภัยคุกคามระดับวิกฤต (P1 / Critical Incident) ภายในเวลา ไม่เกิน 15 นาที นับตั้งแต่ Event Log ถูกบันทึกเข้าสู่ระบบ SIEM (Security Information and Event Management)
- MTTR (Mean Time to Respond): MSSP ต้องดำเนินการตอบสนองและยับยั้งภัยคุกคาม (Containment & Mitigation) ภายในเวลา ไม่เกิน 1 ชั่วโมง นับตั้งแต่ตรวจพบ
False Positive Rate & SIEM/SOAR Rule Tuning
- สัญญาต้องกำหนดภาระของ MSSP ในการปรับแต่ง กฎเกณฑ์ (Rule Tuning) ของ SIEM และ SOAR (Security Orchestration, Automation, and Response) อย่างสม่ำเสมอ
- การมี False Positive Rate ที่สูงเกินไป จนเกิด Alert Fatigue ถือเป็นความบกพร่องในการให้บริการตามมาตรฐานวิชาชีพ หากเป็นเหตุให้มองข้าม Alert จริง MSSP จะปฏิเสธความรับผิดไม่ได้
ระเบียบวิธีปฏิบัติเมื่อเกิดเหตุการณ์ละเมิด (Incident Response Plan - IRP) และการประสานงาน CERT
เมื่อเกิดเหตุการณ์ภัยคุกคามไซเบอร์ สัญญาต้องกำหนดให้ MSSP ปฏิบัติตาม Incident Response Plan (IRP) ที่สอดคล้องกับมาตรฐานสากล:
- Detection & Triaging: วิเคราะห์และจัดลำดับความสำคัญของเหตุการณ์ทันทีตาม Matrix ที่ตกลงกัน
- Notification Protocol: แจ้งเตือนผู้ว่าจ้างผ่านช่องทางด่วน (Primary & Secondary Contact Channels) ที่ระบุในสัญญา
- Containment & Eradication: ตัดการเชื่อมต่อระบบที่ติดเชื้อ ปิดกั้น IP/Domain ที่เป็นอันตราย และล้างมัลแวร์ตามขั้นตอน
- Coordination with CERT: สนับสนุนข้อมูลทางเทคนิคแก่ผู้ว่าจ้างในการประสานงานกับ ThaiCERT หรือ สกมช. ตามกฎหมาย
หน้าที่ของ MSSP ในฐานะ Data Processor ตาม PDPA และการเก็บรักษาข้อมูลจราจรทางคอมพิวเตอร์ (Log) ตามพระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 มาตรา 26
ในบริบทของการเฝ้าระวัง SOC และ MSSP:
- Data Processor Duties: ในกรณีที่ Log หรือ Traffic ที่ MSSP ตรวจสอบมีข้อมูลส่วนบุคคล MSSP จะมีฐานะเป็น "ผู้ประมวลผลข้อมูลส่วนบุคคล" (Data Processor) ตาม PDPA มาตรา 40 สัญญาต้องมีข้อตกลงประมวลผลข้อมูล (Data Processing Agreement - DPA) ที่บังคับให้ MSSP ประมวลผลข้อมูลตามคำสั่งของผู้ว่าจ้างเท่านั้น และต้องแจ้งเหตุละเมิดแก่ผู้ว่าจ้าง ทันทีโดยไม่ช้า (Without Undue Delay)
- Log Retention Compliance: มาตรา 26 แห่งพระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 ใช้กับผู้ให้บริการตามนิยามในมาตรา 3 ที่อยู่ในประเภทซึ่งรัฐมนตรีประกาศกำหนด [ต้องยืนยันแหล่งที่มา] ผู้ให้บริการดังกล่าวต้องเก็บรักษาข้อมูลจราจรทางคอมพิวเตอร์ไว้ ไม่น้อยกว่า 90 วัน นับแต่วันที่ข้อมูลเข้าสู่ระบบคอมพิวเตอร์ และพนักงานเจ้าหน้าที่อาจสั่งให้เก็บเกิน 90 วันแต่ไม่เกินสองปีเป็นกรณีพิเศษเฉพาะรายและเฉพาะคราว ผู้ว่าจ้างและ MSSP จึงต้องวินิจฉัยก่อนว่าตนเป็นผู้ให้บริการดังกล่าวหรือไม่ ส่วนระยะเวลาเก็บบันทึกด้านความมั่นคงปลอดภัยประเภทอื่นให้กำหนดตามสัญญา โดย Log ต้องถูกจัดเก็บแบบไม่สามารถแก้ไขเปลี่ยนแปลงได้ (Integrity Preserved) และมีการลงตราเวลา (Timestamp) ที่เที่ยงตรง
LAS Practice Note: การออกแบบข้อสัญญา Forensic Investigation Cooperation, Chain of Custody และ Cyber Insurance Interlock
Forensic Investigation Cooperation & Chain of Custody
สัญญาต้องระบุสิทธิของผู้ว่าจ้างในการเข้าตรวจสอบและแต่งตั้งผู้เชี่ยวชาญอิสระ (Third-Party Forensic Auditor) เข้าทำการตรวจพิสูจน์พยานหลักฐานดิจิทัลทันทีที่เกิดเหตุการณ์ MSSP ต้องมอบ Log Files, Memory Dumps และ System Snapshots โดยต้องรักษากระบวนการสั่งสมและจัดเก็บพยานหลักฐาน (Chain of Custody) ตามมาตรฐานสากลเพื่อใช้เป็นพยานหลักฐานในชั้นศาล
Cyber Insurance Interlock
เพื่อลดความเสี่ยงทางการเงิน สัญญา MSSP ต้องมีข้อกำหนด Interlock กับกรมธรรม์ประกันภัยไซเบอร์ (Cyber Insurance Alignment):
- บังคับให้ MSSP ต้องถือครองกรมธรรม์ Cyber Liability Insurance และ Professional Indemnity Insurance วงเงินคุ้มครองไม่ต่ำกว่าที่ตกลงกัน
- กำหนดให้ MSSP ต้องปฏิบัติตามเงื่อนไขของบริษัทประกันภัยของผู้ว่าจ้าง ในการจัดเก็บและส่งมอบหลักฐาน เพื่อไม่ให้สิทธิการเคลมประกันภัยของผู้ว่าจ้างต้องเสียไป
ข้อต่อสู้ของผู้ให้บริการ MSSP กับองค์กรผู้ว่าจ้าง Devil's Advocate
ข้อต่อสู้ทางกฎหมายและสัญญา
| ฝ่าย MSSP (ผู้ให้บริการ) | ฝ่ายผู้ว่าจ้าง (องค์กร) |
|---|---|
| 1. "ไม่มีระบบความปลอดภัยใด 100%" อ้างข้อจำกัดความรับผิด (Cap Limit) เท่ากับค่าบริการที่ได้รับ 2. "ผู้ว่าจ้างไม่ปฏิบัติตามคำแนะนำ ในการ Patch ระบบ หรือเป็นข้อผิดพลาด ของพนักงานภายใน (Internal Threat)" | 1. "MSSP ตกเป็นผู้ผิดสัญญาหากละเลย Alert ตาม SLA และหากความประมาทเลินเล่ออย่างร้ายแรงเป็นของ MSSP เอง MSSP จะอ้างข้อตกลงยกเว้นความรับผิดไม่ได้ (ประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 373)" 2. "MSSP ต้องพิสูจน์ว่าได้เตือนและ ดำเนินการยับยั้ง (Containment) ตาม มาตรฐานวิชาชีพแล้วอย่างครบถ้วน" |
ข้อวิเคราะห์ของ LAS: ความตกลงทำไว้ล่วงหน้าที่ยกเว้นมิให้ MSSP ต้องรับผิดเพื่อกลฉ้อฉลหรือความประมาทเลินเล่ออย่างร้ายแรงของตนเองเป็นโมฆะตามประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 373 แต่สำหรับความผิดของเจ้าหน้าที่ที่ MSSP ใช้ในการชำระหนี้ มาตรา 220 ให้ MSSP รับผิดเสมือนเป็นความผิดของตนเอง โดยมิให้นำมาตรา 373 มาใช้บังคับ ส่วนเพดานความรับผิด (Cap) ที่ไม่เป็นโมฆะมีผลบังคับได้เพียงเท่าที่เป็นธรรมและพอสมควรแก่กรณีตามพระราชบัญญัติว่าด้วยข้อสัญญาที่ไม่เป็นธรรม พ.ศ. 2540 มาตรา 8 วรรคสอง และหากสัญญาของ MSSP เป็นสัญญาสำเร็จรูป ข้อตกลงยกเว้นหรือจำกัดความรับผิดที่เกิดจากการผิดสัญญาเป็นข้อตกลงที่อาจถือได้ว่าทำให้ได้เปรียบคู่สัญญาอีกฝ่ายหนึ่งตามมาตรา 4 โดยศาลพิเคราะห์ถึงพฤติการณ์ทั้งปวงตามมาตรา 10
ตัวอย่างสถานการณ์จำลอง Worked Example
- เหตุการณ์ (ตัวอย่างสมมติ): โรงพยาบาลเอกชนแห่งหนึ่ง ทำสัญญาจ้าง MSSP เพื่อเฝ้าระวัง SOC 24/7 ต่อมาเวลา 02:00 น. ระบบของโรงพยาบาลถูก Ransomware เข้าโจมตีล็อกฐานข้อมูลผู้ป่วย ระบบ SIEM ของ MSSP ได้รับ Alert ระดับ Critical แต่เจ้าหน้าที่ SOC ของ MSSP ไม่ได้เข้าตรวจสอบเนื่องจากเข้าใจว่าเป็น False Positive จนกระทั่งเวลา 08:00 น. จึงแจ้งเตือนโรงพยาบาล เหตุการณ์นี้ทำให้เกิดความเสียหายรวม 33 ล้านบาท ได้แก่ ค่ากู้ระบบ 10 ล้านบาท ค่าปรับทางปกครองที่คณะกรรมการผู้เชี่ยวชาญสั่งลงโทษโรงพยาบาลในฐานะผู้ควบคุมข้อมูลส่วนบุคคลตามมาตรา 83 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งมีอัตราไม่เกิน 3,000,000 บาท โดยสมมติว่าถูกปรับเต็มอัตรา 3 ล้านบาท และความเสียหายเชิงธุรกิจ 20 ล้านบาท
- การดำเนินคดีและการพิสูจน์ความรับผิด:
- โรงพยาบาลใช้สิทธิตามสัญญาแต่งตั้ง Forensic Auditor เข้าตรวจสอบ Log ในระบบ SIEM ของ MSSP
- ผล Forensic พิสูจน์ได้ว่า Alert แจ้งเตือนเกิดขึ้นตั้งแต่ 02:05 น. แต่เจ้าหน้าที่ MSSP ละเลย ไม่ดำเนินการตาม SLA (MTTD/MTTR) ซึ่งกำหนดไว้ที่ 15 นาที และ 1 ชั่วโมง
- สมมติว่าศาลพิจารณาว่า การมองข้าม Alert ระดับ Critical ในช่วงเวลาดังกล่าวโดยไม่ตรวจสอบถือเป็น "ความประมาทเลินเล่ออย่างร้ายแรง" (Gross Negligence) ตาม ป.พ.พ. มาตรา 373
- ผลทางกฎหมาย: หากความประมาทเลินเล่ออย่างร้ายแรงเป็นของ MSSP เอง เช่น การจัดกำลังคนหรือระบบงานของ SOC ไม่เป็นไปตามที่สัญญากำหนด ข้อตกลงจำกัดความรับผิด (Limitation of Liability Cap) ที่กำหนดให้รับผิดไม่เกินค่าบริการ 3 เดือนย่อมตกเป็นโมฆะในส่วนนั้นตามประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 373 และผลต่อส่วนที่เหลือของข้อตกลงเป็นไปตามมาตรา 173 แต่หากความประมาทเป็นของเจ้าหน้าที่ SOC ซึ่ง MSSP ใช้ในการชำระหนี้ มาตรา 220 ให้ MSSP รับผิดเสมือนเป็นความผิดของตนเอง โดยมิให้นำมาตรา 373 มาใช้บังคับ ผลบังคับของเพดานความรับผิดในกรณีนี้จึงต้องพิจารณาตามพระราชบัญญัติว่าด้วยข้อสัญญาที่ไม่เป็นธรรม พ.ศ. 2540 มาตรา 8 วรรคสอง ซึ่งให้มีผลบังคับได้เพียงเท่าที่เป็นธรรมและพอสมควรแก่กรณี ไม่ว่ากรณีใด MSSP ต้องชดใช้เฉพาะความเสียหายที่พิสูจน์ได้ว่าเป็นความเสียหายเช่นที่ตามปกติย่อมเกิดขึ้นแต่การไม่ชำระหนี้ หรือเกิดแต่พฤติการณ์พิเศษที่คู่กรณีได้คาดเห็นหรือควรจะได้คาดเห็นล่วงหน้าตามมาตรา 222 มิใช่เต็มจำนวนเสมอไป ส่วนการที่ผู้รับประกันภัยตามกรมธรรม์ Cyber Liability ของ MSSP ต้องจ่ายหรือไม่ เป็นไปตามเงื่อนไขและข้อยกเว้นในกรมธรรม์
Checklist 10 จุดตรวจสัญญา MSSP & Managed SOC Agreement
- [ ] Scope of Monitoring & Coverage: ระบุ Scope ของ Asset, IP, Log Sources, และ cloud environments ที่ต้องได้รับการเฝ้าระวังอย่างชัดเจน
- [ ] Operational SLAs (MTTD & MTTR): ตกลง MTTD และ MTTR แยกตามระดับความรุนแรงของภัยคุกคาม (Severity Matrix) เช่น 15 นาทีและ 1 ชั่วโมงสำหรับเหตุระดับวิกฤต ซึ่งเป็นข้อตกลงทางการค้า มิใช่ตัวเลขที่กฎหมายกำหนด และระบุให้ชัดว่าเป็นกำหนดเวลาต่อเหตุการณ์หรือค่าเฉลี่ยรายเดือน พร้อมผลของการไม่เป็นไปตามเงื่อนไข
- [ ] 24/7/365 SOC Availability: ระบุข้อตกลงการทำงานของเจ้าหน้าที่ Tier 1, Tier 2, และ Tier 3 ตลอด 24 ชั่วโมง ไม่มีวันหยุด
- [ ] SIEM/SOAR Tuning & False Positive Reduction: กำหนดหน้าที่ของ MSSP ในการปรับปรุง Tuning Rule ทุกเดือนเพื่อลด False Positive Rate
- [ ] Statutory Breach Notification Protocol: กำหนดเวลาที่ MSSP ต้องแจ้งเหตุละเมิดแก่ผู้ว่าจ้างให้สั้นกว่า 72 ชั่วโมงอย่างมาก และให้ MSSP ส่งข้อมูลที่ผู้ว่าจ้างต้องใช้ประเมินว่าการละเมิดมีความเสี่ยงหรือมีความเสี่ยงสูงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคลหรือไม่ เพื่อให้ผู้ว่าจ้างแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลและเจ้าของข้อมูลส่วนบุคคลได้ทันตามมาตรา 37 (4) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และรายงานตามมาตรา 57 แห่งพระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 หากผู้ว่าจ้างเป็นหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ
- [ ] Data Processor & DPA Terms: มีข้อตกลงการประมวลผลข้อมูลส่วนบุคคล รักษาความลับ และห้ามนำข้อมูลไปใช้นอกเหนือคำสั่ง
- [ ] Log Retention Compliance: วินิจฉัยก่อนว่าผู้ว่าจ้างหรือ MSSP เป็นผู้ให้บริการที่ต้องเก็บรักษาข้อมูลจราจรทางคอมพิวเตอร์ไม่น้อยกว่า 90 วันตามมาตรา 26 แห่งพระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 หรือไม่ และกำหนดระยะเวลาเก็บบันทึกด้านความมั่นคงปลอดภัยอื่นตามสัญญา พร้อม Integrity & Timestamp Verification
- [ ] Forensic Audit & Chain of Custody Rights: ให้สิทธิผู้ว่าจ้างและ Third-Party Auditor เข้าตรวจสอบและขอรับข้อมูลหลักฐานดิจิทัลทันทีเมื่อเกิดเหตุ
- [ ] Ransomware & Gross Negligence Exception: ข้อสัญญาจำกัดความรับผิดต้องระบุยกเว้นกรณีกลฉ้อฉลหรือความประมาทเลินเล่ออย่างร้ายแรงของ MSSP ตามประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 373 และควรระบุให้ครอบคลุมความประมาทเลินเล่ออย่างร้ายแรงของเจ้าหน้าที่ที่ MSSP ใช้ในการชำระหนี้ด้วย เพราะมาตรา 220 ไม่ให้นำมาตรา 373 มาใช้บังคับแก่กรณีนั้น และตรวจว่าเพดานความรับผิดเป็นธรรมและพอสมควรแก่กรณีตามพระราชบัญญัติว่าด้วยข้อสัญญาที่ไม่เป็นธรรม พ.ศ. 2540
- [ ] Cyber Insurance Interlock: บังคับให้ MSSP ต้องทำประกันภัย Cyber / Professional Indemnity Insurance และให้ความร่วมมือในการเคลมประกันของผู้ว่าจ้าง
คำถามที่พบบ่อย Frequently Asked Questions
หาก MSSP อ้างว่า Ransomware เป็น Zero-day Attack ที่ไม่มี Signature ในระบบ MSSP จะหลุดพ้นจากความรับผิดหรือไม่?
ไม่เสมอไป แม้จะเป็น Zero-day แต่หากระบบเฝ้าระวัง SOC แสดงพฤติกรรมความผิดปกติ (Behavioral Anomaly / Threat Intelligence Alert) แล้วเจ้าหน้าที่ SOC ไม่เข้าตรวจสอบตาม SLA หรือล่าช้าเกินกว่ามาตรฐาน MSSP ยังคงต้องรับผิดในความบกพร่องเชิงปฏิบัติการและการละเว้นหน้าที่
ค่าปรับทางปกครองที่ผู้ว่าจ้างถูกลงโทษตาม PDPA สามารถผลักภาระไปให้ MSSP ชดใช้ได้หรือไม่?
คู่สัญญาอาจกำหนดในข้อสัญญาชดใช้ความเสียหาย (Indemnification Clause) ให้ MSSP ชดใช้ความเสียหายที่เกิดจากการผิดสัญญาของตน เช่น การแจ้งเหตุละเมิดล่าช้ากว่าที่สัญญากำหนดได้ แต่ผลบังคับของข้อสัญญาที่ให้ MSSP ชดใช้ค่าปรับทางปกครองซึ่งคณะกรรมการผู้เชี่ยวชาญสั่งลงโทษผู้ว่าจ้างในฐานะผู้ควบคุมข้อมูลส่วนบุคคลเพราะการฝ่าฝืนหน้าที่ของผู้ว่าจ้างเอง ยังไม่มีบทบัญญัติรองรับโดยตรง และอาจถูกโต้แย้งว่าขัดต่อความสงบเรียบร้อยของประชาชนตามประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 150 [ต้องยืนยันแหล่งที่มา]
อ้างอิง — References
- พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562: มาตรา 49 มาตรา 54 มาตรา 56 มาตรา 57 มาตรา 58 และมาตรา 73 (การประกาศกำหนดลักษณะหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ การประเมินความเสี่ยง กลไกเฝ้าระวัง หน้าที่รายงานและรับมือเหตุภัยคุกคามทางไซเบอร์ และโทษกรณีไม่รายงาน)
- พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA): มาตรา 37 (4) มาตรา 40 มาตรา 77 มาตรา 78 มาตรา 83 มาตรา 86 และมาตรา 90 (หน้าที่แจ้งเหตุการละเมิดข้อมูลส่วนบุคคล หน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคล ความรับผิดทางแพ่ง และโทษปรับทางปกครอง)
- พ.ร.บ.ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 (และที่แก้ไขเพิ่มเติม): มาตรา 26 (การเก็บบันทึกข้อมูลจราจรทางคอมพิวเตอร์)
- ประมวลกฎหมายแพ่งและพาณิชย์: มาตรา 150 มาตรา 173 มาตรา 220 มาตรา 222 มาตรา 368 มาตรา 373 และมาตรา 587 (โมฆะกรรม ความรับผิดของลูกหนี้ในความผิดของบุคคลที่ตนใช้ในการชำระหนี้ ค่าสินไหมทดแทน การตีความสัญญา ความตกลงทำไว้ล่วงหน้ายกเว้นความรับผิดเพื่อกลฉ้อฉลหรือความประมาทเลินเล่ออย่างร้ายแรงของลูกหนี้เอง และสัญญาจ้างทำของ)
- พระราชบัญญัติว่าด้วยข้อสัญญาที่ไม่เป็นธรรม พ.ศ. 2540: มาตรา 4 มาตรา 8 และมาตรา 10 (ข้อจำกัดความรับผิดในสัญญาสำเร็จรูปและข้อตกลงยกเว้นหรือจำกัดความรับผิดที่ไม่เป็นโมฆะมีผลบังคับได้เพียงเท่าที่เป็นธรรมและพอสมควรแก่กรณี ส่วนข้อตกลงล่วงหน้าที่ยกเว้นความรับผิดเพื่อกลฉ้อฉลหรือความประมาทเลินเล่ออย่างร้ายแรงของลูกหนี้เองเป็นโมฆะตามประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 373 บทความนี้ไม่อ้างคำพิพากษาในประเด็นมาตรฐานความระมัดระวังของผู้มีวิชาชีพ)
- สำนักงานคณะกรรมการกฤษฎีกา — ระบบสืบค้นกฎหมาย (OCS)
บทความที่เกี่ยวข้อง
ข้อสงวน (Disclaimer): บทความนี้จัดทำโดย Legal Advance Solution Co., Ltd. เพื่อเป็นข้อมูลทั่วไปด้านกฎหมายเท่านั้น ไม่ถือเป็นคำปรึกษากฎหมายเฉพาะกรณี และไม่ก่อให้เกิดความสัมพันธ์ทนาย-ลูกความ กฎหมายอาจมีการเปลี่ยนแปลง กรุณาปรึกษาทนายความที่มีใบอนุญาตก่อนดำเนินการใด ๆ ตามกฎหมาย | LAS Legal Hub — ข้อมูลกฎหมายเพื่อธุรกิจ