พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) ได้เข้ามาเปลี่ยนภาพรวมความเสี่ยงของทุกองค์กรที่ต้องเก็บ รวบรวม ใช้ หรือจัดเก็บข้อมูลส่วนบุคคลอย่างสิ้นเชิง ยิ่งในปัจจุบันที่มีการบังคับใช้กฎหมายอย่างเข้มงวดมากขึ้น ผลกระทบจากการดูแลข้อมูลผิดพลาดจึงไม่ใช่เรื่องที่จะมองข้ามได้อีกต่อไป ไม่ว่าจะเป็นการถูกตรวจสอบจากหน่วยงานกำกับดูแล ค่าใช้จ่ายในการแก้ไขระบบ โทษปรับสูงสุดหลักหลายล้านบาท ไปจนถึงความเสียหายต่อชื่อเสียง
ในขณะเดียวกัน ภัยคุกคามทางไซเบอร์ทั่วประเทศไทยก็กำลังทวีความรุนแรงขึ้นเรื่อย ๆ ส่งผลให้ภาคธุรกิจต้องรับศึกหนักสองด้านพร้อมกัน นั่นคือการรับมือผลกระทบต่อการดำเนินงานเมื่อเกิดเหตุภัยไซเบอร์ ควบคู่ไปกับการเตรียมรับมือโทษทางกฎหมายที่อาจตามมาหากมีข้อมูลส่วนบุคคลรั่วไหลออกไป
สำหรับหลาย ๆ องค์กร คำถามวันนี้จึงไม่ใช่เพียงแค่ PDPA สร้างความเสี่ยงหรือไม่ แต่เราพร้อมรับมือและจัดการความเสี่ยงนี้ได้อย่างมั่นใจแล้วหรือยัง
ทำไม PDPA ถึงเป็นเรื่องเร่งด่วนที่ไม่ควรมองข้ามอีกต่อไป
แม้หลายธุรกิจจะเข้าใจภาพรวมของ PDPA เป็นอย่างดี แต่มีน้อยรายที่จะเห็นภาพชัดเจนว่าหากเกิดเหตุการณ์ข้อมูลรั่วไหลขึ้นมาจริง ๆ จะส่งผลกระทบต่อการเงินและการดำเนินงานรุนแรงขนาดไหน
เหตุการณ์ภัยคุกคามไซเบอร์เพียงครั้งเดียวที่กระทบถึงข้อมูลส่วนบุคคลสามารถบานปลายกลายเป็นภาระค่าใช้จ่ายมหาศาลรอบด้านในเวลาเดียวกัน ไม่ว่าจะเป็น
- ค่าใช้จ่ายในการสู้คดีและการถูกตรวจสอบโดยหน่วยงานภาครัฐ
- ค่าใช้จ่ายในการแจ้งเตือนผู้เสียหายตามที่กฎหมายบังคับ และการรับมือเหตุการณ์ฉุกเฉิน
- ความเสียหายจากการที่ธุรกิจต้องหยุดชะงัก และค่าใช้จ่ายในการกู้คืนระบบ
- ความรับผิดชอบต่อบุคคลภายนอก และการถูกเรียกร้องค่าชดเชย
- ความเสียหายต่อชื่อเสียง ความน่าเชื่อถือที่ลดลง และผลกระทบต่อการเติบโตในอนาคต
ความเสี่ยงด้านข้อมูลส่วนบุคคลกับความเสี่ยงทางไซเบอร์นั้นไม่สามารถพิจารณาแยกกันได้ ไม่ว่าจะเป็นการโจมตีด้วยมัลแวร์เรียกค่าไถ่ (Ransomware) การหลอกลวงทางอีเมล (Phishing) หรือแม้แต่ระบบขัดข้องโดยไม่ได้ตั้งใจ นอกจากจะทำให้ธุรกิจชะงักแล้ว ยังอาจทำให้ข้อมูลรั่วไหลจนนำไปสู่การถูกตรวจสอบและลงโทษทางกฎหมายได้ทันที
โดยเฉพาะในประเทศไทยที่ภัยทางไซเบอร์เพิ่มสูงขึ้นเรื่อย ๆ องค์กรต่าง ๆ จึงตกอยู่ภายใต้ความกดดันที่ต้องพิสูจน์ให้เห็นถึงระบบความปลอดภัยและการกู้คืนข้อมูลที่มีประสิทธิภาพ มีการกำหนดผู้รับผิดชอบอย่างชัดเจน และพร้อมตอบสนองต่อเหตุการณ์ได้อย่างรวดเร็ว
3 จุดความเสี่ยงสำคัญที่ทุกธุรกิจต้องเร่งรับมือ
1. ความเสี่ยงด้านข้อกฎหมายและการลงโทษภายใต้ PDPA
การบังคับใช้กฎหมาย PDPA เกิดขึ้นอย่างรวดเร็วและมีรายละเอียดซับซ้อน ทั้งการสอบสวน โทษปรับ และมาตรการแก้ไข ซึ่งต้องอาศัยผู้เชี่ยวชาญด้านกฎหมาย ความปลอดภัยไซเบอร์ และทีมสื่อสารวิกฤตเข้ามาดูแลทันที หากไม่มีการเตรียมพร้อมที่ถูกต้อง ค่าใช้จ่ายอาจบานปลายได้อย่างรวดเร็ว
2. ธุรกิจหยุดชะงักจากเหตุการณ์ทางไซเบอร์
ไม่ว่าจะเป็นการโจมตีจากผู้ไม่หวังดี หรือข้อผิดพลาดทางเทคนิคภายใน ก็สามารถทำให้ระบบล่ม รายได้หยุดชะงัก และเกิดค่าใช้จ่ายในการกู้ระบบมหาศาล ยิ่งหากมีข้อมูลส่วนบุคคลรั่วไหล ผลกระทบจะไม่หยุดอยู่แค่ความเสียหายทางธุรกิจ แต่จะลามไปถึงโทษทางกฎหมาย ความเสียหายต่อชื่อเสียง และอาจถูกฟ้องร้องทางแพ่งเพิ่มเติมด้วย
3. ความเสี่ยงจากบุคลากรและการจัดการข้อมูลผิดพลาด
ข้อผิดพลาดจากบุคลากร (Human error) ยังคงเป็นสาเหตุหลักของข้อมูลรั่วไหล ต่อให้มีเครื่องมือความปลอดภัยที่ดีแค่ไหน แต่หากขาดความตระหนักรู้ด้านความปลอดภัยทางไซเบอร์ การจัดการข้อมูลที่ไม่สม่ำเสมอ หรือขาดผู้รับผิดชอบที่ชัดเจน ก็อาจส่งผลให้เกิดเหตุข้อมูลรั่วไหลและทำให้ความพยายามในการปฏิบัติตามกฎหมายไร้ผล
Marsh สามารถช่วยเหลือธุรกิจของคุณได้อย่างไร
การบริหารจัดการความเสี่ยงตามกฎหมาย PDPA ควบคู่ไปกับความเสี่ยงทางไซเบอร์ ไม่สามารถพึ่งพาทางออกเพียงด้านเดียวได้ แต่ต้องอาศัยการประเมินความเสี่ยงที่แม่นยำ การเข้าใจผลกระทบอย่างแท้จริง และการวางแนวทางปฏิบัติเพื่อเสริมสร้างความแข็งแกร่งให้องค์กรอย่างยั่งยืน
Marsh พร้อมช่วยองค์กรของคุณรับมือกับความเสี่ยงอย่างครบวงจรครอบคลุมทุกระยะ ได้แก่
ประเมินและเข้าใจระดับความเสี่ยง (Understand your exposure)
เครื่องมือ Marsh Cyber Self-Assessment ช่วยให้องค์กรประเมินระดับความเสี่ยง ความพร้อมด้านไซเบอร์ และความพร้อมในการทำประกันภัย ช่วยค้นหาช่องโหว่ในการควบคุม เปรียบเทียบกับมาตรฐานในอุตสาหกรรมเดียวกัน เพื่อวางแผนปิดจุดอ่อนได้อย่างตรงจุด
ประเมินผลกระทบที่อาจเกิดขึ้น (Measure the potential impact)
บริการ Cyber Risk Quantification ช่วยเปลี่ยนความเสี่ยงทางไซเบอร์และข้อมูลส่วนบุคคลให้เห็นเป็นตัวเลขทางการเงิน ช่วยให้ผู้บริหารตัดสินใจทางธุรกิจได้แม่นยำยิ่งขึ้น พร้อมบริการ OT/IT Health Check ตรวจสุขภาพระบบเทคโนโลยีเพื่อประสิทธิภาพสูงสุด
บริหารความเสี่ยงทางการเงิน (Manage financial risk)
ประกันภัยคือหัวใจสำคัญในการบริหารความเสี่ยง PDPA และภัยไซเบอร์ ประกันภัยความเสี่ยงทางไซเบอร์ (Cyber Insurance) และประกันภัยอาชญากรรมทางการค้า (Commercial Crime Insurance) ช่วยรองรับภาระค่าใช้จ่ายจากเหตุการณ์ข้อมูลรั่วไหล การถูกมัลแวร์เรียกไถ่ การหยุดชะงักของธุรกิจ การทุจริต รวมถึงค่าใช้จ่ายที่เกี่ยวข้องในการรับมือกับเหตุการณ์
ก้าวสู่อนาคตอย่างมั่นใจ ปลอดภัยด้วยมาตรการรองรับ PDPA
ในยุคที่กฎหมาย PDPA เข้มงวดขึ้นเรื่อย ๆ และภัยไซเบอร์ทวีความซับซ้อน องค์กรที่เริ่มลงมือทำตั้งแต่วันนี้ ย่อมพร้อมกว่าในการลดความสูญเสีย ปกป้องความไว้วางใจของลูกค้า และรับมืออย่างมั่นใจ Marsh พร้อมช่วยให้คุณเข้าใจ ประเมิน บริหารจัดการ และรับมือกับความเสี่ยง PDPA และภัยไซเบอร์ ก่อนที่เหตุการณ์ไม่คาดคิดจะกลายเป็นวิกฤตขององค์กร