กรณีศึกษา ข้อควรพิจารณาก่อนโพสต์ภาพการประชุม video conference ออกสู่อินเทอร์เน็ต

ข่าวประจำวัน

จากกรณีไวรัสโคโรน่าหรือ COVID-19 แพร่ระบาด ทำให้หลายองค์กรได้มีมาตรการ work from home เพื่อให้พนักงานทำงานจากที่บ้านได้ โดยอาจมีการประชุมออนไลน์แบบ video conference เป็นระยะๆ อย่างไรก็ตาม การนำภาพในขณะที่มีการประชุมออนไลน์มาเผยแพร่ออกสู่อินเทอร์เน็ตนั้นอาจมีความเสี่ยงทั้งด้านความมั่นคงปลอดภัยไซเบอร์และความเป็นส่วนตัวได้ โดยตัวอย่างนี้จะเป็นการยกกรณีศึกษาการประชุมรัฐสภาของประเทศอังกฤษ เมื่อวันที่ 31 มีนาคม 2563 นายกรัฐมนตรีของประเทศอังกฤษได้โพสต์ภาพในบัญชี Twitter (https://twitter.com/BorisJohnson/status/1244985949534199808) ซึ่งเป็นภาพที่ใช้กล้องถ่ายหน้าจอคอมพิวเตอร์ที่เปิดโปรแกรม Zoom เพื่อใช้ในการทำ video conference เหตุการณ์ดังกล่าวผู้เชี่ยวชาญด้านความมั่นคงปลอดภัยไซเบอร์หลายรายได้แสดงความเห็นว่าในหน้าจอนั้นมีข้อมูลหลายอย่างที่ผู้ไม่หวังดีอาจนำไปใช้เพื่อการโจมตีได้ ตัวอย่างเช่น ใน title bar ของโปรแกรม Zoom ได้มีการระบุหมายเลข ID ของห้องประชุม ซึ่งผู้ประสงค์ร้ายอาจเชื่อมต่อเข้าไปยังห้องประชุมนี้ได้หากไม่ได้มีการตั้งรหัสผ่านที่ปลอดภัยเพียงพอ ในหน้าจอคอมพิวเตอร์ที่ใช้ประชุม แสดงให้เห็นว่าระบบปฏิบัติการที่ใช้งานคือ Windows 10 ที่ติดตั้ง Google Chrome, Microsoft Powerpoint, และ Microsoft Outlook ซึ่งผู้ประสงค์ร้ายอาจโจมตีผ่านช่องโหว่ของโปรแกรมเหล่านั้นได้ (หากมี) หรืออาจใช้วิธีโจมตีแบบ social engineering…

8 ข้อควรรู้เกี่ยวกับ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

ข่าวประจำวัน

พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (Personal Data Protection Act: PDPA) จะเริ่มมีผลบังคับใช้ในวันที่ 27 พฤษภาคมนี้ สาระสำคัญของ พ.ร.บ. นี้มีอะไรบ้างและเราต้องเตรียมตัวอย่างไร Cisco ได้ออกมาสรุปประเด็นคำถามที่พบบ่อยรวม 8 ข้อ ดังนี้ 1. ความสำคัญของ PDPA PDPA เป็นกฎหมายที่ทั้งบุคคลและนิติบุคคลในประเทศไทยต้องปฏิบัติตาม หากฝ่าฝืนจะมีโทษปรับสูงสุด 5 ล้านบาท จำคุกสูงสุด 1 ปี และต้องจ่ายค่าเสียหายตามจริง ในขณะที่กรรมการของนิติบุคคลอาจต้องรับผิดชอบต่อเหตุการณ์ที่เกิดขึ้นด้วย 2. ใครต้องปฏิบัติตาม บุคคลและนิติบุคคลที่จัดตั้งในราชอาณาจักรไทย รวมไปถึงนิติบุคคลที่จัดตั้งในต่างประเทศที่มีการเก็บ ใช้ เปิดเผย หรือถ่ายโอนข้อมูลส่วนบุคคลของบุคคลในประเทศไทยจะต้องปฏิบัติตามกฎหมายดังกล่าว 3. ข้อมูลที่ได้รับความคุ้มครอง PDPA มีวัตถุประสงค์เพื่อคุ้มครองข้อมูลส่วนบุคคล ซึ่งหมายถึง ข้อมูลใดๆ ที่ทำให้สามารถระบุตัวบุคคลนั้นได้ ไม่ว่าจะทางตรงหรือทางอ้อม รวมไปถึงข้อมูลลูกค้า พนักงาน หุ้นส่วนทางธุรกิจ เป็นต้น 4. สาระสำคัญของ PDPA…

โปแลนด์สั่งปรับโรงเรียนตามกฎหมาย GDPR จากการใช้ไบโอเมตริกตรวจสอบสิทธิ์ในการรับอาหารของนักเรียน

ข่าวประจำวัน

ภาพโดย MichaelGaida/Pixabay โรงเรียนในประเทศโปแลนด์ถูกทางการสั่งปรับเป็นเงิน 20,000 zloty (หน่วยเงินของโปแลนด์ คิดเป็นเงินไทยราว 166,000 บาท) ตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลยุโรปหรือ GDPR หลังจากทางโรงเรียนประมวลผลข้อมูลลายนิ้วมือของนักเรียนเพื่อตรวจสอบการจ่ายเงินค่าอาหารกลางวัน Jan Nowak ประธานของ UODO หน่วยงานด้านการปกป้องข้อมูลส่วนตัวในโปแลนด์ระบุว่าทางโรงเรียนได้ประมวลผลลายนิ้วมือของเด็กนับร้อยคนโดยไม่มีมาตรฐานตามกฎหมาย ซึ่งโรงเรียนมีทางเลือกมากมายในการจัดการอาหารของโรงเรียนที่ไม่จำเป็นต้องใช้ลายนิ้วมือ UODO ระบุว่า โรงเรียนแห่งนี้ใช้เครื่องอ่านไบโอเมตริกตรวจสอบนักเรียนที่ทางเข้าโรงอาหารมาตั้งแต่ปี 2015 เพื่อตรวจสอบสิทธิ์การรับอาหารของนักเรียน โดยถ้านักเรียนปฏิเสธที่จะใช้ไบโอเมตริกจะต้องไปต่อท้ายแถว และต้องรอจนกว่าเด็กที่ใช้ไบโอเมตริกจะเข้าโรงอาหารจนหมดก่อนเด็กที่ไม่ใช้จึงจะเข้าได้ ซึ่งประธาน UODO ให้ความเห็นว่ากฎเหล่านี้สร้างการปฏิบัติอย่างไม่เท่าเทียมต่อเด็กและสร้างความแตกต่างอย่างไม่มีเหตุผล แม้ว่าโครงการไบโอเมตริกของโรงเรียนแห่งนี้จะมีคำยินยอมจากผู้ปกครองก็ตาม แต่ UODO พบว่าตามวัตถุประสงค์คือการระบุสิทธิ์ในการรับอาหารกลางวันของนักเรียน ก็ไม่ได้มีความจำเป็นต้องใช้ไบโอเมตริก รวมถึง GDPR ระบุไว้ชัดเจนตาม Retical 38 ว่าข้อมูลส่วนบุคคลของเด็กต้องได้รับการปกป้องเป็นพิเศษเนื่องจากเด็กไม่สามารถตระหนักถึงความเสี่ยงและสิทธิในข้อมูลของตนเอง และไบโอเมตริกก็คือข้อมูลเฉพาะตัวตนที่เปลี่ยนแปลงไม่ได้ หากหลุดออกไปจะถือเป็นความเสี่ยงขั้นรุนแรงต่อเสรีภาพของบุคคลนั้น ๆ ————————————————— ที่มา : Blognone / 7 มีนาคม 2563 Link : https://www.blognone.com/node/115049

Cathay Pacific โดนปรับกว่า 20 ล้านบาทจากเหตุทำข้อมูลลูกค้ารั่ว

ข่าวประจำวัน

Credit: CathayPacific.com สายการบิน Cathay Pacific ถูกสั่งปรับเป็นเงิน £500,000 (ราว 20 ล้านบาท) จากเหตุความล้มเหลวในการปกป้องข้อมูลส่วนบุคคลของลูกค้าให้มั่นคงปลอดภัยในช่วงปี 2014 – 2018 ส่งผลให้ข้อมูลเกือบ 10 ล้านรายการรั่วไหลสู่ภายนอก Information Commissioner’s Office (ICO) ระบุว่า ช่วงระหว่างเดือนตุลาคม 2014 ถึงเดือนพฤษภาคม 2018 ที่ผ่านมา ระบบคอมพิวเตอร์ของสายการบิน Cathay Pacific ขาดมาตรการควบคุมด้านความมั่นคงปลอดภัยที่เหมาะสม ส่งผลให้ข้อมูลส่วนบุคคลของลูกค้าซึ่งประกอบด้วย ชื่อ พาสปอร์ต วันเกิด อีเมล เบอร์โทรศัพท์ ข้อมูลการเดินทาง และอื่นๆ จากลูกค้าในสหราชอาณาจักร 111,578 ราย และประเทศอื่นๆ ทั่วโลกราว 9,400,000 รายถูกเข้าถึงโดยมิชอบจากบุคคลภายนอก ICO ยังระบุอีกว่า การโจมตีเกิดขึ้นเนื่องจากข้อมููลสำรอง (Backups) ไม่มีการใส่รหัสผ่านหรือเข้ารหัสไว้ เซิร์ฟเวอร์ที่เชื่อมต่อจากอินเทอร์เน็ตก็ไม่มีการแพตช์ช่องโหว่ มีการใช้ระบบปฏิบัติการที่ไม่มีการซัพพอร์ต การใช้แอนตี้ไวรัสไม่เหมาะสม รวมไปถึงการอนุญาตให้เข้าถึงระบบจากภายนอกได้โดยไม่มีการพิสูจน์ตัวตนแบบ…

Apple สั่งบล็อก “Clearview AI” ฐานละเมิดกฎซอฟต์แวร์

ข่าวประจำวัน

เขียนโดย :   Talil เมื่อไม่กี่วันมานี้ Apple ได้มีการประกาศสั่งบล็อกแอปฯ ‘Clearview AI’ เทคโนโลยีจดจำใบหน้า เพราะละเมิดกฎโปรแกรมซอฟต์แวร์ของบริษัท โดย Clearview AI ที่ให้บริการแอปฯ เฉพาะเจ้าหน้าที่ผู้บังคับใช้กฎหมาย รวมถึงองค์กรบางรายเท่านั้น เช่น Macy’s, Walmart และ Wells Fargo ได้ใช้ใบรับรองระดับองค์กรทำให้ผู้ใช้สามารถติดตั้งซอฟต์แวร์ได้โดยไม่ผ่าน App Store โดยทำผิดกฎของ Apple ที่จำกัดให้ผู้ใช้เข้าถึงซอฟต์แวร์เฉพาะบุคคลภายในองค์กรที่กำหนดเท่านั้น ขณะที่ปกติแล้วเทคโนโลยีการจดจำใบหน้าขั้นสูงของ Clearview AI ผู้ใช้ iPhone ทั่วไปจะเข้าถึงไม่ได้ แต่ลองนึกภาพว่าเราเดินอยู่ในที่สาธารณะ และมีคนแปลกหน้าเดินสวนกับคุณ จนกระทั่งเขาหยิบโทรศัพท์มือถือขึ้นมาถ่ายรูปคุณ ก่อนจะอัพโหลดรูปนั้นลงในแอปฯ เพื่อให้แมตช์กับฐานข้อมูล จนสามารถพบข้อมูลของคุณบนสื่อโซเชียลมีเดีย พบแอคเคาท์  Facebook , instagram หรืออื่นๆ จากนั้นตามด้วยชื่อจริง ที่อยู่ ซึ่งหลังจากนั้นมันจะเป็นอย่างไรต่อ ? แน่นอนว่ามันคือหายนะ เพราะนั่นอาจหมายถึงอันตรายที่จะเกิดขึ้นตามมาในภายหลัง “เพื่อความปลอดภัย” หรือ “รุกล้ำความเป็นส่วนตัว” สำหรับ ‘Clearview AI’ เป็นเทคโนโลยีจดจำใบหน้าที่ถูกพัฒนาโดยบริษัทสตาร์ทอัพเล็กๆ ในสหรัฐอเมริกา ก่อตั้งโดย “ฮอน ทอน-แทต” หนุ่มหน้าตาดี อดีตนายแบบเชื้อสายเวียดนาม ซึ่งได้รับเงินทุนจากอภิมหาเศรษฐีคนหนึ่งในสหรัฐอเมริกา…

เทคโนโลยีจดจำใบหน้า ละเมิดสิทธิส่วนบุคคลหรือไม่

บทความน่าสนใจ

จากความก้าวหน้าทางด้านเทคโนโลยีในโลกปัจจุบัน ทำให้เกิดเทคโนโลยีหนึ่ง ก็คือ การจดจำใบหน้า แม้ภาครัฐอ้างว่าจะใช้เพื่อป้องกันภัยจากการก่อการร้ายหรืออาชญากรรม แต่ประชาชนกลับมองว่านี้อาจลิดรอนสิทธิขั้นพื้นฐานของตัวเอง เพระาไม่สามารถตรวจสอบการเข้าถึงได้ รัฐนำความก้าวหน้าทางเทคโนโลยีในโลกปัจจุบันมาใช้ โดยอ้างว่าเพื่อปกป้องและป้องกันภัยจากการก่อการร้ายและอาชญากรที่พัฒนาขึ้นทุกวัน แต่ประชาชนทั่วไปรู้สึกว่า สิทธิขั้นพื้นฐานของพวกเขากำลังถูกลิดรอน เพราะไม่สามารถตรวจสอบหน่วยงานรัฐได้ว่าเข้าถึงข้อมูลส่วนตัวมากน้อยเพียงใด โปรแกรมหนึ่งที่กำลังถูกพูดถึงคือ โปรแกรมจดจำใบหน้า หรือ face-recognition technology ซึ่งหน่วยงานความมั่นคงนำมาใช้เพื่อช่วยให้สืบหาตัวคนร้ายได้รวดเร็วฉับไวมากยิ่งขึ้น ทางการของเกาะฮ่องกง นำเทคโนโลยีนี้มาใช้กับกลุ่มผู้ประท้วง เพื่อหาทางจัดการทางกฎหมายกับผู้ประท้วงที่ฮ่องกง เริ่มมาตั้งแต่ประมาณเดือนมีนาคม 2562 ในช่วงแรกการชุมนุมเป็นไปอย่างสงบ ก่อนที่เหตุการณ์จะเริ่มรุนแรงในเวลาต่อมา หลายต่อหลายครั้งทำให้เกิดการปะทะกันระหว่างผู้ชุมนุมและตำรวจ ต้นตอเริ่มแรกของการประท้วงมาจากความไม่พอใจร่างกฎหมายส่งผู้ร้ายข้ามแดน ซึ่งผู้ชุมนุมมองว่า รัฐบาลจีน กำลังแทรกแซงสิทธิเสรีภาพของชาวฮ่องกง การประท้วงยืดเยื้อข้ามปี เพราะผู้ประท้วงต้องการเรียกร้องสิทธิในการออกเสียงเลือกตั้งทั่วไป โดยระบุว่ารัฐบาลฮ่องกงไม่ได้ทำตามคำมั่นสัญญาเกี่ยวกับสิทธิดังกล่าว นับตั้งแต่จีนได้เข้าปกครองฮ่องกงในปี 2540 ว่ากันว่า ตอนนี้ทั้งสองฝ่ายพยายามยั่วยุกัน โดยทางการฮ่องกงเชื่อว่า หากปล่อยให้มีการประท้วงต่อไปเรื่อยๆ ผู้ประท้วงเองจะเลิกราไปเอง ส่วนผู้ประท้วงก็พยายามยั่วยุ เพื่อให้ทางการหมดความอดทน ครั้งหนึ่งมีการเผยแพร่ภาพหนึ่งในโลกออนไลน์ที่เข้าใจว่า เป็นภาพของผู้ประท้วงชาวฮ่องกงคาดศีรษะด้วยอุปกรณ์ดิจิทัล ประกอบด้วยจอโปรเจ็คเตอร์ ซึ่งจะฉายเป็นภาพบุคคลอื่นบนใบหน้าของคนๆ นั้น เพื่อพรางตัวไม่ให้โปรแกรมจดจำใบหน้าจำได้ แต่ต่อมามีการเปิดเผยว่า ภาพดังกล่าวนั้นเป็นส่วนหนึ่งของโครงการที่คิดค้นโดย จิง ไซ หลิว นักศึกษาของ Utrecht School of the Arts…