การจัดการความรู้ (KM): การปรับนโยบายการเข้าถึงไฟล์ในระบบ Google Workspace เพื่อความปลอดภัยและสอดคล้องกับ PDPA

เอกสารฉบับนี้จัดทำขึ้นเพื่อเป็นแนวทางในการจัดการความรู้ (Knowledge Management) เกี่ยวกับการปรับนโยบายสิทธิการเข้าถึงไฟล์ในระบบ Google Workspace for Education ของมหาวิทยาลัย เพื่อยกระดับความปลอดภัยของข้อมูลส่วนบุคคลให้สอดคล้องกับ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล (PDPA) และการเปลี่ยนแปลงนโยบายพื้นที่จัดเก็บข้อมูลของ Google

1. ความจำเป็นในการปรับเปลี่ยนนโยบาย

ในอดีตการแชร์ไฟล์แบบ “ทุกคนที่มีลิงก์ (Anyone with the link)” ถูกใช้งานอย่างแพร่หลายเนื่องจากความสะดวก แต่ในปัจจุบันมีปัจจัยสำคัญที่ทำให้มหาวิทยาลัยต้องทบทวนนโยบาย ดังนี้:

• ข้อกำหนดทางกฎหมาย (PDPA): การแชร์ลิงก์สาธารณะทำให้ข้อมูลส่วนบุคคล เช่น เกรดนักศึกษา, เลขบัตรประชาชน หรือเบอร์โทรศัพท์ มีความเสี่ยงที่จะหลุดไปอยู่ในระบบค้นหาของ Google หรือถูกเข้าถึงโดยบุคคลที่ไม่สามารถระบุตัวตนได้ (Anonymous) ซึ่งไม่สามารถตรวจสอบย้อนกลับ (Audit Trail) ได้เมื่อเกิดความเสียหาย
• นโยบายพื้นที่จัดเก็บของ Google: การยกเลิกพื้นที่จัดเก็บแบบไม่จำกัด (Unlimited) เปลี่ยนมาเป็นแบบจำกัดพื้นที่ส่วนรวม (Pooled Storage) ทำให้มหาวิทยาลัยต้องควบคุมการใช้งานพื้นที่ให้เป็นไปตามวัตถุประสงค์และลดไฟล์ขยะที่อาจค้างอยู่ในระบบ

2. ทางเลือกและแนวทางการจัดการสิทธิการเข้าถึงไฟล์ 4 ระดับ

มหาวิทยาลัยสามารถพิจารณาปรับใช้ระดับการควบคุมความปลอดภัยตามความเหมาะสมของบริบทการทำงาน ดังนี้:

ระดับที่ 1: เข้มงวดสูงสุด (Strict)

• รูปแบบ: บล็อกการแชร์ไฟล์ออกนอกโดเมนของมหาวิทยาลัย 100% และห้ามแอปพลิเคชันภายนอกเชื่อมต่อ
• ผลกระทบ: มีความปลอดภัยสูงสุด แต่ผู้ใช้งานจะลำบากในการประสานงานกับคนนอก ต้องใช้วิธีดาวน์โหลดไฟล์แล้วส่งแนบทางอีเมลเท่านั้น ระบบอัตโนมัติต่างๆ ที่เชื่อมต่อภายนอกจะไม่สามารถทำงานได้

ระดับที่ 2: ยืดหยุ่นแบบมีเงื่อนไข (Moderate) – ทางเลือกที่แนะนำ

• รูปแบบ: ยกเลิกการแชร์แบบลิงก์สาธารณะ แต่เปิดฟีเจอร์ Visitor Sharing (รหัส PIN) โดยผู้ใช้งานต้องพิมพ์ระบุอีเมลผู้รับเท่านั้น ระบบจะส่งรหัส PIN ไปยังอีเมลนั้นเพื่อยืนยันตัวตนก่อนเข้าถึงไฟล์
• ผลกระทบ: ป้องกันลิงก์หลุดสู่สาธารณะได้เด็ดขาดและมี Audit Log ตรวจสอบประวัติการเข้าใช้งานได้ ผู้ใช้อาจเสียเวลาเพิ่มขึ้นเล็กน้อยในการระบุอีเมลผู้รับ

ระดับที่ 3: แบ่งโซนพื้นที่ทำงาน (Zone-Based)

• รูปแบบ: ล็อกสิทธิในพื้นที่ส่วนตัว (My Drive) อย่างเข้มงวด แต่เปิดพื้นที่ส่วนรวมพิเศษ (Shared Drive) สำหรับโครงการที่ต้องทำงานกับคนนอกจำนวนมาก โดยไอทีจะเป็นผู้สร้างพื้นที่ให้เป็นรายกรณี
• ผลกระทบ: สะดวกสำหรับงานอีเวนต์ใหญ่หรือการรับสมัครนักศึกษา แต่เพิ่มภาระงานให้ทีมไอทีในการดูแลและอนุมัติเป็นรายโครงการ

ระดับที่ 4: เปิดกว้างอิสระ (Maximum Flexibility) – นโยบายเดิมที่ควรยกเลิก

• รูปแบบ: อนุญาตการแชร์ลิงก์สาธารณะแบบเดิมที่ใครมีลิงก์ก็เข้าถึงได้
• ผลกระทบ: สะดวกที่สุดสำหรับผู้ใช้ แต่มีความเสี่ยงทางกฎหมาย PDPA ในระดับวิกฤต และไม่สามารถหาตัวผู้รับผิดชอบได้หากข้อมูลรั่วไหล

3. ผลกระทบต่อการใช้งานแอปพลิเคชันภายนอก (Third-party Apps)

การจำกัดสิทธิการเข้าถึงส่งผลโดยตรงต่อเครื่องมือที่เคยใช้ “ทางลัด” ผ่านลิงก์สาธารณะ โดยมีแนวทางแก้ไขดังนี้:

4. ตารางสรุปเปรียบเทียบแนวทางนโยบาย 4 ระดับ

บทสรุปและข้อแนะนำสำหรับการทำ KM

เพื่อให้มหาวิทยาลัยก้าวไปสู่มาตรฐานความปลอดภัยข้อมูลที่มีประสิทธิภาพ ก็ขอให้เลือกนโยบายที่เหมาะสม

NOPPACHART LERDPOONSAWAT

More Posts