บทเรียน 2.1 — ความเสี่ยงและการปฏิบัติตามกฎ

เป้าหมาย

เมื่อจบบทเรียนนี้ คุณจะ

1. ระบุหลักความปลอดภัยพื้นฐานของอุปกรณ์ IoT และแหล่งอ้างอิงมาตรฐาน
2. ตัดสินได้ว่าผลิตภัณฑ์เก็บข้อมูลส่วนบุคคลหรือข้อมูลอ่อนไหวหรือไม่ และรู้ว่าใครกำกับ
3. รู้ว่าผลิตภัณฑ์แบบไหนต้องตรวจเรื่องมาตรฐานกับหน่วยงานใด
4. ระบุความเสี่ยงด้านห่วงโซ่อุปทานและวิธีลดความเสี่ยง

ข้อควรทราบ บทนี้ให้ภาพรวมเพื่อช่วยถามคำถามที่ถูก ไม่ใช่คำปรึกษาทางกฎหมาย ก่อนวางขายจริง ให้ตรวจกับหน่วยงานที่เกี่ยวข้องโดยตรงและปรึกษานักกฎหมายหรือห้องทดสอบที่ได้รับการรับรอง กฎและประกาศเปลี่ยนได้ ให้เปิดดูฉบับล่าสุดจากแหล่งทางการเสมอ

ก่อนเริ่ม / ดูของจริงก่อน

ก่อนเริ่ม จากบทที่แล้ว ค่าทดสอบรับรองมาตรฐานอยู่ในต้นทุนก้อนไหน และอุปกรณ์ของคุณส่งข้อมูลด้วยคลื่นวิทยุ (WiFi, Bluetooth, LoRa, เครือข่ายมือถือ) หรือไม่

ดูของจริงก่อน สองเรื่องสมมติที่เกิดขึ้นได้จริง และป้องกันได้ตั้งแต่ขั้นออกแบบด้วยต้นทุนต่ำกว่าการแก้ทีหลังมาก

• บริษัทหนึ่งขายกล้องในบ้านที่ใช้รหัสผ่านเริ่มต้นเหมือนกันทุกเครื่อง และไม่มีวิธีอัปเดตเฟิร์มแวร์ — มีคนพบวิธีเข้าถึงกล้องทุกเครื่องจากอินเทอร์เน็ต
• บริษัทหนึ่งสั่งผลิตล็อตแรกแล้ว เพิ่งรู้ว่าชิ้นส่วนสำคัญตัวหนึ่งมีผู้ขายรายเดียว และผู้ขายประกาศหยุดผลิต

แนวคิด (1) — ความปลอดภัยไซเบอร์ของตัวอุปกรณ์

หลักพื้นฐานที่มาตรฐานสากลด้าน IoT พูดตรงกันหลายข้อ

• ไม่มีรหัสผ่านเริ่มต้นที่เหมือนกันทุกเครื่อง
• อัปเดตซอฟต์แวร์ได้อย่างปลอดภัยตลอดอายุผลิตภัณฑ์ และบอกลูกค้าว่าจะดูแลนานเท่าไร
• เก็บกุญแจและข้อมูลลับอย่างปลอดภัย เช่นในชิปความปลอดภัย (secure element)
• สื่อสารแบบเข้ารหัส เช่น TLS และยืนยันตัวตนทั้งอุปกรณ์และเซิร์ฟเวอร์
• มีช่องทางรับแจ้งช่องโหว่และมีคนรับผิดชอบตอบ

แหล่งอ้างอิง: ETSI EN 303 645 · NIST IR 8259 · OWASP IoT Project — เป็นมาตรฐานยุโรป/สหรัฐฯ ไม่ใช่กฎหมายไทย แต่ใช้เป็นรายการตรวจที่ดีได้ และจำเป็นถ้าวางแผนส่งออก

แนวคิด (2) — ข้อมูลส่วนบุคคลตาม PDPA

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หน่วยงานกำกับคือ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.)

คำถามที่ต้องตอบให้ได้ตั้งแต่ขั้นออกแบบ

• ข้อมูลที่อุปกรณ์เก็บ ระบุตัวบุคคลได้ไหม (ภาพใบหน้า เสียงพูด ตำแหน่งของคนคนหนึ่ง)
• เป็นข้อมูลอ่อนไหวไหม (มาตรา 26 เช่น ข้อมูลสุขภาพ ข้อมูลชีวภาพ)
• เก็บเท่าที่จำเป็นหรือเปล่า (เซนเซอร์ที่ไม่เก็บภาพ เช่นเรดาร์ หรือประมวลผลบนอุปกรณ์แล้วส่งเฉพาะผล ช่วยลดข้อมูลส่วนบุคคลที่ต้องดูแล — เหตุผลหนึ่งที่ edge สำคัญ)
• ใครเป็นผู้ควบคุมข้อมูล ใครเป็นผู้ประมวลผล
• เก็บนานเท่าไร ลบอย่างไร และแจ้งเจ้าของข้อมูลอย่างไร

แนวคิด (3) — มาตรฐานและการรับรองก่อนวางขาย

ถามห้องทดสอบตั้งแต่ขั้นต้นแบบว่าต้องทดสอบอะไรบ้าง ใช้เวลาเท่าไร และการเลือกใช้โมดูลวิทยุที่ผ่านการรับรองแล้วช่วยลดขอบเขตการทดสอบได้หรือไม่ ถ้าวางแผนส่งออก แต่ละประเทศมีข้อกำหนดของตัวเอง ต้องตรวจแยกกัน

แนวคิด (4) — ห่วงโซ่อุปทาน

• ชิ้นส่วนมีผู้ขายรายเดียว หาชิ้นส่วนทดแทนไว้ตั้งแต่ออกแบบ (second source)
• ชิ้นส่วนใกล้หยุดผลิต ถามสถานะวงจรชีวิตของชิ้นส่วนหลัก เลือกรุ่นที่ผู้ผลิตยังสนับสนุนระยะยาว
• ระยะเวลาสั่งซื้อนาน วางแผนสต็อกชิ้นส่วนสำคัญ
• ชิ้นส่วนปลอม ซื้อจากผู้แทนจำหน่ายที่ได้รับแต่งตั้ง
• การใส่กุญแจและเฟิร์มแวร์ในโรงงาน ตกลงว่าใครถือกุญแจ และป้องกันการรั่วอย่างไร

ฝึกเติม

ทำ ทะเบียนความเสี่ยง ของโครงการคุณอย่างน้อยสี่แถว แถวละหนึ่งกลุ่มความเสี่ยง

เช็กความเข้าใจ

ตอบคำถามใน quiz.yaml ถูกตั้งแต่ 80% ขึ้นไปถือว่าผ่าน

ไปต่อ / สะท้อนคิด

ทะเบียนความเสี่ยงที่ทำในบทนี้จะถูกนำไปใส่ใน decision canvas ในบทสุดท้าย บทถัดไปพูดเรื่องทำเอง ซื้อ หรือหาพันธมิตร ซึ่งเปลี่ยนว่าใครเป็นคนรับความเสี่ยงแต่ละข้อ

สะท้อนคิด ความเสี่ยงข้อไหนในทะเบียนของคุณที่ถ้าเกิดขึ้นแล้ว แก้ทีหลังไม่ได้เลย ข้อนั้นควรได้งบก่อน