ความปลอดภัยไซเบอร์สำหรับร้านค้าออนไลน์ไทยและ E-commerce

ร้านค้าออนไลน์เป็นเป้าหมายที่น่าดึงดูดผิดปกติ เพราะประมวลผลการชำระเงิน เก็บข้อมูลส่วนบุคคล ทำงานโดยไม่มีคนเฝ้าตลอด 24 ชั่วโมง และมักสร้างบนแพลตฟอร์มที่ใช้กันแพร่หลาย ซึ่งช่องโหว่กลายเป็นข้อมูลสาธารณะภายในไม่กี่ชั่วโมงหลังเปิดเผย การถูกเจาะระบบทำให้เสียความเชื่อใจ เสียยอดขาย และภายใต้ PDPA อาจเสียมากกว่านั้นมาก

ส่วนที่น่ายินดีคือการโจมตี E-commerce คาดเดาได้ผิดปกติ มันกระจุกอยู่ที่จุดอ่อนไม่กี่จุด และวิธีป้องกันเป็นที่เข้าใจกันดีแล้ว

จะทำให้ร้านค้าออนไลน์ไทยปลอดภัยได้อย่างไร

ห้าเรื่องครอบคลุมความเสี่ยงที่เป็นไปได้จริงส่วนใหญ่ คือใช้ Payment Gateway เพื่อไม่ให้ข้อมูลบัตรแตะเซิร์ฟเวอร์ของท่าน อัปเดตแพตช์แพลตฟอร์มและปลั๊กอินทุกตัว บังคับ MFA กับบัญชีผู้ดูแลทั้งหมด เก็บข้อมูลส่วนบุคคลให้น้อยที่สุด และมีแผนรับมือเหตุละเมิดที่ทันกรอบแจ้ง 72 ชั่วโมงตาม PDPA

สังเกตว่าอะไรไม่อยู่ในรายการนั้น คือผลิตภัณฑ์ความปลอดภัยราคาแพง การเจาะระบบ E-commerce ในไทยส่วนใหญ่อาศัยปลั๊กอินที่ไม่ได้อัปเดต หรือบัญชีผู้ดูแลที่ถูกขโมย ทั้งสองอย่างแก้ได้ฟรี และไม่ต้องใช้เครื่องมือที่ท่านยังไม่มี

อย่าให้ข้อมูลบัตรแตะเซิร์ฟเวอร์ของท่านเลย

ใช้ Payment Gateway ที่มีชื่อเสียง แบบ Hosted Checkout หรือ Tokenisation เพื่อให้หมายเลขบัตรไม่มาถึงระบบของท่าน วิธีนี้ตัดขอบเขต PCI DSS ออกไปเกือบทั้งหมด และหมายความว่าการถูกเจาะร้านค้าของท่านเปิดเผยข้อมูลบัตรไม่ได้ เพราะท่านไม่เคยเก็บไว้เลย

สำหรับร้านค้าไทยเรื่องนี้ทำได้ง่าย เพราะ Gateway รายใหญ่ในประเทศรองรับ Hosted Checkout หรือ Tokenisation ทั้งหมด ความอยากสร้างหน้าเช็คเอาท์เองเพื่อประสบการณ์ที่ลื่นไหลกว่านั้นมีจริง และแทบไม่เคยคุ้มกับความรับผิดที่สร้างขึ้น หากท่านจัดการข้อมูลบัตร ท่านก็รับภาระ PCI DSS และผลที่ตามมาหากทำข้อมูลหลุด

ให้บริการทุกอย่างผ่าน HTTPS ไม่ใช่เฉพาะหน้าเช็คเอาท์ เนื้อหาที่ปนกันบนหน้าสินค้าบั่นทอนสัญญาณความน่าเชื่อถือที่ลูกค้ามองหา และเบราว์เซอร์สมัยใหม่เตือนเรื่องนี้มากขึ้นเรื่อย ๆ

อัปเดตแพลตฟอร์มและปลั๊กอินทุกตัว

ปลั๊กอินที่ล้าสมัยคือจุดเข้าที่พบบ่อยที่สุดของการเจาะระบบ E-commerce ช่องโหว่ในส่วนขยายยอดนิยมของ WooCommerce, Magento และ OpenCart ถูกเผยแพร่อย่างเปิดเผย และการสแกนอัตโนมัติหาร้านที่ยังไม่อัปเดตเจอภายในไม่กี่ชั่วโมง ควรอัปเดตทุกสัปดาห์ และลบปลั๊กอินทุกตัวที่ไม่ได้ใช้งานจริง

ปลั๊กอินที่ท่านลืมไปแล้วคือตัวที่อันตราย ปลั๊กอินที่ปิดใช้งานมักยังถูกโจมตีได้ เพราะไฟล์ยังอยู่บนเซิร์ฟเวอร์และเข้าถึงได้ การปิดใช้งานไม่เท่ากับการลบ ควรตรวจรายการทุกไตรมาสและลบทิ้ง ไม่ใช่แค่ปิด

ก่อนติดตั้งอะไรใหม่ ให้ดูว่าอัปเดตครั้งล่าสุดเมื่อไร ส่วนขยายที่ถูกทิ้งร้างมาสองปีจะไม่มีวันได้รับแพตช์ ไม่ว่าตอนนี้มันจะทำงานได้ดีแค่ไหน

ล็อกบัญชีผู้ดูแลทุกบัญชี

บังคับ MFA กับบัญชีผู้ดูแล พนักงาน และบัญชีโฮสติ้ง ให้แต่ละคนมีบัญชีของตัวเองแทนการใช้ร่วมกัน และให้สิทธิ์ผู้ดูแลเฉพาะคนที่จำเป็นจริง การถูกยึดบัญชีคือเส้นทางที่เร็วที่สุดสู่ทั้งการฉ้อโกงและการขโมยข้อมูล และ MFA นั้นฟรี

บัญชีที่ใช้ร่วมกันคือรูปแบบแรกที่ควรกำจัด เมื่อสี่คนใช้บัญชีผู้ดูแลเดียวกัน ท่านบอกไม่ได้ว่าใครทำอะไร เพิกถอนสิทธิ์รายคนไม่ได้ และรหัสผ่านไม่เคยเปลี่ยนเมื่อพนักงานลาออก บัญชีแยกรายคนพร้อมกำหนดบทบาทที่เหมาะสมไม่มีค่าใช้จ่าย และแก้ได้ทั้งสามปัญหา

อย่าลืมบัญชีที่คนมักลืม ทั้งแผงควบคุมโฮสติ้ง ผู้รับจดทะเบียนโดเมน และบัญชีอีเมลที่รีเซ็ตรหัสของทั้งสองอย่างได้ บัญชีผู้รับจดทะเบียนโดเมนที่ถูกยึดคือความสูญเสียโดยสิ้นเชิง ไม่ว่าตัวร้านค้าจะปลอดภัยดีแค่ไหน

มองข้อมูลลูกค้าเป็นภาระ ไม่ใช่สินทรัพย์

ภายใต้ PDPA ทุกระเบียนที่ท่านเก็บไว้คือความรับผิดทางกฎหมาย เก็บเฉพาะที่จำเป็นต่อการส่งของ ลบสิ่งที่ไม่ต้องใช้แล้ว เข้ารหัสสิ่งที่เก็บไว้ และต้องสามารถส่งมอบหรือลบข้อมูลของลูกค้าหนึ่งรายได้ภายใน 30 วันนับจากที่เขาร้องขอ

ร้านค้าออนไลน์ส่วนใหญ่เก็บข้อมูลไว้มากเกินความจำเป็น ประวัติการสั่งซื้อเมื่อหกปีก่อน บันทึกตะกร้าที่ถูกทิ้งพร้อมข้อมูลติดต่อครบ และไฟล์ที่ Export ออกมานั่งอยู่ในอีเมลของใครสักคน ล้วนเป็นภาระที่ไม่มีคุณค่าต่อการดำเนินงาน ข้อมูลที่ท่านลบไปแล้วขโมยไม่ได้และไม่ต้องปกป้อง การจำกัดระยะเวลาเก็บรักษาจึงเป็นมาตรการความปลอดภัย ไม่ใช่แค่เรื่องการปฏิบัติตามกฎ

ควรมีแผนรับมือเหตุละเมิดก่อนที่จะต้องใช้ PDPA คาดหวังการแจ้งเหตุที่เข้าเงื่อนไขภายใน 72 ชั่วโมง ซึ่งไม่พอสำหรับการมานั่งคิดว่าใครตัดสินใจ ใครแจ้ง สคส. และจะบอกลูกค้าที่ได้รับผลกระทบอย่างไร ควรเขียนไว้ตอนนี้ ตอนที่ยังไม่มีอะไรไหม้

• มีประกาศความเป็นส่วนตัวที่เผยแพร่แล้ว อธิบายว่าเก็บอะไรและเพื่ออะไรหรือไม่
• ท่านเก็บความยินยอมสำหรับการตลาดแยกต่างหากจากการประมวลผลคำสั่งซื้อหรือไม่
• ท่านหาและลบข้อมูลของลูกค้าหนึ่งรายจากทุกระบบได้ภายใน 30 วันหรือไม่
• เก็บข้อมูลคำสั่งซื้อไว้นานเท่าไร และอะไรบังคับให้เป็นไปตามนั้น
• หากร้านค้าถูกเจาะคืนนี้ ท่านจะโทรหาใครเป็นคนแรก