แนวทางการปฎิบัติสำหรับการประมวลผลและจัดเก็บข้อมูลชีวภาพ (Biometrics) โดย ดร.มนต์ศักดิ์ โซ่เจริญธรรม

บทความน่าสนใจ

Loading

บทความนี้เรียบเรียง สรุป (และอธิบายขยายความเพิ่มเติม) จากเอกสาร Guidelines on processing of personal data through video devices Version 2.0 (เผยแพร่เมื่อ มกราคม 2020) โดยมีวัตถุประสงค์เพื่อใช้เป็นเอกสารแนะนำการทำงานเกี่ยวกับกล้อง CCTV และข้อมูล Biometrics (ข้อมูลชีวมิติ/ชีวภาพ) การเรียบเรียงเอกสารฉบับนี้ ไม่ใช่การแปลตรง ๆ แต่เป็นการเขียนสรุปความ และเรียบเรียงขึ้นใหม่ในสำนวนและภาษาของผู้เขียนเอง คำอธิบายและตัวอย่างบางส่วนมิได้มาจากเอกสารข้างต้นที่อ้างถึง แต่หยิบยกจากประสบการณ์และความรู้ของผู้เขียนเอง โดยเฉพาะอย่างยิ่ง เนื้อหาในหัวข้อแรก “พื้นฐานความเข้าใจเบื้องต้น” ที่อธิบายเพื่อปูพื้นฐานให้ผู้อ่านเข้าใจความเชื่อมโยงระหว่างเทคโนโลยีดิจิทัล ปัญญาประดิษฐ์ และข้อมูลส่วนบุคคล ว่าเชื่อมโยงไปที่ Biometrics อย่างไร เพื่อให้ผู้อ่านสามารถอ่านติดตามทำความเข้าใจได้ดียิ่งขึ้น 1. พื้นฐานความเข้าใจเบื้องต้น ข้อมูลชีวภาพ ใน พรบ. คุ้มครองข้อมูลส่วนบุคคล  เทียบได้กับคำว่า Biometric ใน GDPR (General Data Protection Regulation) ทั้งนี้…

Linksys แจ้งเตือนผู้ใช้เปลี่ยนรหัสผ่านบัญชี Smart Wi-Fi หลังพบเราเตอร์จำนวนมากถูกแฮกแพร่กระจายมัลแวร์ COVID-19

ข่าวประจำวัน

Loading

บริษัท Linksys ผู้ผลิตเราเตอร์ ได้แจ้งเตือนให้ผู้ใช้เปลี่ยนรหัสผ่านของบัญชี Smart Wi-Fi ให้เป็นรหัสผ่านที่ไม่ซ้ำกับที่เคยใช้ในบริการอื่น เนื่องจากพบว่าบัญชี Smart Wi-Fi จำนวนมากถูกแฮกแล้วผู้ไม่หวังดีได้เข้าไปแก้ไขการตั้งค่าเราเตอร์เพื่อพาไปยังหน้าเว็บไซต์ที่หลอกให้ดาวน์โหลดแอปพลิเคชันมัลแวร์ที่อ้างว่าใช้ติดตามข้อมูลไวรัส COVID-19 เราเตอร์ของ Linksys รุ่นใหม่ ๆ นั้นสามารถผูกเข้ากับบัญชี Smart Wi-Fi เพื่อให้สามารถตั้งค่าและจัดการเราเตอร์ได้ผ่านเว็บไซต์ www.linksyssmartwifi.com ซึ่งบริการนี้สามารถช่วยให้ผู้ดูแลระบบสามารถจัดการเราเตอร์หลายเครื่องพร้อมกันได้จากระยะไกล อย่างไรก็ตาม หากผู้ไม่หวังดีสามารถล่วงรู้อีเมลและรหัสผ่านสำหรับเข้าถึงบริการดังกล่าว ก็สามารถเข้ามาแก้ไขการตั้งค่าเราเตอร์ที่ผู้กับบัญชีนั้นได้ เมื่อช่วงปลายเดือนมีนาคม 2563 มีรายงานการโจมตีเราเตอร์ตามบ้านเพื่อแก้ไขการตั้งค่า DNS ให้พาไปยังเว็บไซต์ที่หลอกแพร่กระจายมัลแวร์โดยอ้างว่าเป็นแอปพลิเคชันสำหรับติดตามข่าวสารเรื่องไวรัส COVID-19 (ข่าวเก่า https://www.thaicert.or.th/newsbite/2020-03-24-02.html) ต่อมาทางบริษัท Bitdefender ได้วิเคราะห์ข้อมูลเพิ่มเติมแล้วพบว่าเราเตอร์ส่วนใหญ่ที่ถูกโจมตีนั้นเป็นยี่ห้อ Linksys โดยในบทความได้วิเคราะห์ว่าสาเหตุของการโจมตีน่าจะมาจากการแฮกบัญชี Smart Wi-Fi จากเหตุการณ์ดังกล่าว ทาง Linksys ได้เผยแพร่แถลงการณ์แจ้งเตือนให้ผู้ใช้เปลี่ยนรหัสผ่านของบัญชี Smart Wi-Fi เนื่องจากพบการโจมตีในลักษณะ credential stuffing ซึ่งเป็นการนำรหัสผ่านที่รั่วไหลจากบริการอื่นมาทดลองล็อกอิน หากผู้ใช้ตั้งรหัสผ่านเดียวกันในหลายบริการ ก็มีโอกาสที่จะถูกแฮกบัญชีของบริการอื่น ๆ ที่ใช้อีเมลและรหัสผ่านเดียวกันด้วย ทาง Linksys…

กรณีศึกษา ข้อควรพิจารณาก่อนโพสต์ภาพการประชุม video conference ออกสู่อินเทอร์เน็ต

ข่าวประจำวัน

Loading

จากกรณีไวรัสโคโรน่าหรือ COVID-19 แพร่ระบาด ทำให้หลายองค์กรได้มีมาตรการ work from home เพื่อให้พนักงานทำงานจากที่บ้านได้ โดยอาจมีการประชุมออนไลน์แบบ video conference เป็นระยะๆ อย่างไรก็ตาม การนำภาพในขณะที่มีการประชุมออนไลน์มาเผยแพร่ออกสู่อินเทอร์เน็ตนั้นอาจมีความเสี่ยงทั้งด้านความมั่นคงปลอดภัยไซเบอร์และความเป็นส่วนตัวได้ โดยตัวอย่างนี้จะเป็นการยกกรณีศึกษาการประชุมรัฐสภาของประเทศอังกฤษ เมื่อวันที่ 31 มีนาคม 2563 นายกรัฐมนตรีของประเทศอังกฤษได้โพสต์ภาพในบัญชี Twitter (https://twitter.com/BorisJohnson/status/1244985949534199808) ซึ่งเป็นภาพที่ใช้กล้องถ่ายหน้าจอคอมพิวเตอร์ที่เปิดโปรแกรม Zoom เพื่อใช้ในการทำ video conference เหตุการณ์ดังกล่าวผู้เชี่ยวชาญด้านความมั่นคงปลอดภัยไซเบอร์หลายรายได้แสดงความเห็นว่าในหน้าจอนั้นมีข้อมูลหลายอย่างที่ผู้ไม่หวังดีอาจนำไปใช้เพื่อการโจมตีได้ ตัวอย่างเช่น ใน title bar ของโปรแกรม Zoom ได้มีการระบุหมายเลข ID ของห้องประชุม ซึ่งผู้ประสงค์ร้ายอาจเชื่อมต่อเข้าไปยังห้องประชุมนี้ได้หากไม่ได้มีการตั้งรหัสผ่านที่ปลอดภัยเพียงพอ ในหน้าจอคอมพิวเตอร์ที่ใช้ประชุม แสดงให้เห็นว่าระบบปฏิบัติการที่ใช้งานคือ Windows 10 ที่ติดตั้ง Google Chrome, Microsoft Powerpoint, และ Microsoft Outlook ซึ่งผู้ประสงค์ร้ายอาจโจมตีผ่านช่องโหว่ของโปรแกรมเหล่านั้นได้ (หากมี) หรืออาจใช้วิธีโจมตีแบบ social engineering…

8 ข้อควรรู้เกี่ยวกับ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

ข่าวประจำวัน

Loading

พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (Personal Data Protection Act: PDPA) จะเริ่มมีผลบังคับใช้ในวันที่ 27 พฤษภาคมนี้ สาระสำคัญของ พ.ร.บ. นี้มีอะไรบ้างและเราต้องเตรียมตัวอย่างไร Cisco ได้ออกมาสรุปประเด็นคำถามที่พบบ่อยรวม 8 ข้อ ดังนี้ 1. ความสำคัญของ PDPA PDPA เป็นกฎหมายที่ทั้งบุคคลและนิติบุคคลในประเทศไทยต้องปฏิบัติตาม หากฝ่าฝืนจะมีโทษปรับสูงสุด 5 ล้านบาท จำคุกสูงสุด 1 ปี และต้องจ่ายค่าเสียหายตามจริง ในขณะที่กรรมการของนิติบุคคลอาจต้องรับผิดชอบต่อเหตุการณ์ที่เกิดขึ้นด้วย 2. ใครต้องปฏิบัติตาม บุคคลและนิติบุคคลที่จัดตั้งในราชอาณาจักรไทย รวมไปถึงนิติบุคคลที่จัดตั้งในต่างประเทศที่มีการเก็บ ใช้ เปิดเผย หรือถ่ายโอนข้อมูลส่วนบุคคลของบุคคลในประเทศไทยจะต้องปฏิบัติตามกฎหมายดังกล่าว 3. ข้อมูลที่ได้รับความคุ้มครอง PDPA มีวัตถุประสงค์เพื่อคุ้มครองข้อมูลส่วนบุคคล ซึ่งหมายถึง ข้อมูลใดๆ ที่ทำให้สามารถระบุตัวบุคคลนั้นได้ ไม่ว่าจะทางตรงหรือทางอ้อม รวมไปถึงข้อมูลลูกค้า พนักงาน หุ้นส่วนทางธุรกิจ เป็นต้น 4. สาระสำคัญของ PDPA…

โปแลนด์สั่งปรับโรงเรียนตามกฎหมาย GDPR จากการใช้ไบโอเมตริกตรวจสอบสิทธิ์ในการรับอาหารของนักเรียน

ข่าวประจำวัน

Loading

ภาพโดย MichaelGaida/Pixabay โรงเรียนในประเทศโปแลนด์ถูกทางการสั่งปรับเป็นเงิน 20,000 zloty (หน่วยเงินของโปแลนด์ คิดเป็นเงินไทยราว 166,000 บาท) ตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลยุโรปหรือ GDPR หลังจากทางโรงเรียนประมวลผลข้อมูลลายนิ้วมือของนักเรียนเพื่อตรวจสอบการจ่ายเงินค่าอาหารกลางวัน Jan Nowak ประธานของ UODO หน่วยงานด้านการปกป้องข้อมูลส่วนตัวในโปแลนด์ระบุว่าทางโรงเรียนได้ประมวลผลลายนิ้วมือของเด็กนับร้อยคนโดยไม่มีมาตรฐานตามกฎหมาย ซึ่งโรงเรียนมีทางเลือกมากมายในการจัดการอาหารของโรงเรียนที่ไม่จำเป็นต้องใช้ลายนิ้วมือ UODO ระบุว่า โรงเรียนแห่งนี้ใช้เครื่องอ่านไบโอเมตริกตรวจสอบนักเรียนที่ทางเข้าโรงอาหารมาตั้งแต่ปี 2015 เพื่อตรวจสอบสิทธิ์การรับอาหารของนักเรียน โดยถ้านักเรียนปฏิเสธที่จะใช้ไบโอเมตริกจะต้องไปต่อท้ายแถว และต้องรอจนกว่าเด็กที่ใช้ไบโอเมตริกจะเข้าโรงอาหารจนหมดก่อนเด็กที่ไม่ใช้จึงจะเข้าได้ ซึ่งประธาน UODO ให้ความเห็นว่ากฎเหล่านี้สร้างการปฏิบัติอย่างไม่เท่าเทียมต่อเด็กและสร้างความแตกต่างอย่างไม่มีเหตุผล แม้ว่าโครงการไบโอเมตริกของโรงเรียนแห่งนี้จะมีคำยินยอมจากผู้ปกครองก็ตาม แต่ UODO พบว่าตามวัตถุประสงค์คือการระบุสิทธิ์ในการรับอาหารกลางวันของนักเรียน ก็ไม่ได้มีความจำเป็นต้องใช้ไบโอเมตริก รวมถึง GDPR ระบุไว้ชัดเจนตาม Retical 38 ว่าข้อมูลส่วนบุคคลของเด็กต้องได้รับการปกป้องเป็นพิเศษเนื่องจากเด็กไม่สามารถตระหนักถึงความเสี่ยงและสิทธิในข้อมูลของตนเอง และไบโอเมตริกก็คือข้อมูลเฉพาะตัวตนที่เปลี่ยนแปลงไม่ได้ หากหลุดออกไปจะถือเป็นความเสี่ยงขั้นรุนแรงต่อเสรีภาพของบุคคลนั้น ๆ ————————————————— ที่มา : Blognone / 7 มีนาคม 2563 Link : https://www.blognone.com/node/115049

Cathay Pacific โดนปรับกว่า 20 ล้านบาทจากเหตุทำข้อมูลลูกค้ารั่ว

ข่าวประจำวัน

Loading

Credit: CathayPacific.com สายการบิน Cathay Pacific ถูกสั่งปรับเป็นเงิน £500,000 (ราว 20 ล้านบาท) จากเหตุความล้มเหลวในการปกป้องข้อมูลส่วนบุคคลของลูกค้าให้มั่นคงปลอดภัยในช่วงปี 2014 – 2018 ส่งผลให้ข้อมูลเกือบ 10 ล้านรายการรั่วไหลสู่ภายนอก Information Commissioner’s Office (ICO) ระบุว่า ช่วงระหว่างเดือนตุลาคม 2014 ถึงเดือนพฤษภาคม 2018 ที่ผ่านมา ระบบคอมพิวเตอร์ของสายการบิน Cathay Pacific ขาดมาตรการควบคุมด้านความมั่นคงปลอดภัยที่เหมาะสม ส่งผลให้ข้อมูลส่วนบุคคลของลูกค้าซึ่งประกอบด้วย ชื่อ พาสปอร์ต วันเกิด อีเมล เบอร์โทรศัพท์ ข้อมูลการเดินทาง และอื่นๆ จากลูกค้าในสหราชอาณาจักร 111,578 ราย และประเทศอื่นๆ ทั่วโลกราว 9,400,000 รายถูกเข้าถึงโดยมิชอบจากบุคคลภายนอก ICO ยังระบุอีกว่า การโจมตีเกิดขึ้นเนื่องจากข้อมููลสำรอง (Backups) ไม่มีการใส่รหัสผ่านหรือเข้ารหัสไว้ เซิร์ฟเวอร์ที่เชื่อมต่อจากอินเทอร์เน็ตก็ไม่มีการแพตช์ช่องโหว่ มีการใช้ระบบปฏิบัติการที่ไม่มีการซัพพอร์ต การใช้แอนตี้ไวรัสไม่เหมาะสม รวมไปถึงการอนุญาตให้เข้าถึงระบบจากภายนอกได้โดยไม่มีการพิสูจน์ตัวตนแบบ…