จัดชั้นข้อมูลก่อนส่งให้ AI
แยกข้อมูลสาธารณะ ภายใน ลับ และข้อมูลส่วนบุคคล พร้อมกำหนดเครื่องมือและการปกปิด
เป้าหมาย: สร้าง data handling matrix สำหรับงาน AI · ใช้เวลาประมาณ 15 นาที
ขั้นตอนควบคุม
ระบุทรัพย์สิน ภัยคุกคาม เจ้าของ และหลักฐานก่อนเปิดใช้
Map
วาดข้อมูล ระบบ คน และ trust boundary
Limit
จำกัดข้อมูล สิทธิ์ เครื่องมือ เวลา และผลกระทบ
Detect
บันทึก trace และเตือนเมื่อเกิด exception
Respond
กำหนด owner, stop, escalation และ recovery
หลักฐานที่ต้องเก็บ
PDPA
ตรวจ PDPA ในกระบวนการนี้และระบุสิ่งที่ยังไม่มีหลักฐาน
ใช้ข้อมูลเท่าที่จำเป็น ปกปิดตัวระบุ และส่งเฉพาะระบบที่เจ้าของข้อมูลอนุมัติ
เจ้าของข้อมูล
ตรวจ เจ้าของข้อมูล ในกระบวนการนี้และระบุสิ่งที่ยังไม่มีหลักฐาน
ใช้ checklist และเอกสารจริง ไม่ถือว่าคำตอบของโมเดลเป็นหลักฐาน
retention
ตรวจ retention ในกระบวนการนี้และระบุสิ่งที่ยังไม่มีหลักฐาน
ใช้ checklist และเอกสารจริง ไม่ถือว่าคำตอบของโมเดลเป็นหลักฐาน
data minimization
ตรวจ data minimization ในกระบวนการนี้และระบุสิ่งที่ยังไม่มีหลักฐาน
ใช้ checklist และเอกสารจริง ไม่ถือว่าคำตอบของโมเดลเป็นหลักฐาน
ความเข้าใจผิดที่อันตราย
มี policy แต่ไม่มี control
พนักงานยังทำผิดได้โดยระบบไม่หยุด
แปลงข้อกำหนดเป็น access, validation และ log
เชื่อ vendor หรือโมเดลจากคำโฆษณา
ไม่รู้การไหลของข้อมูลและข้อจำกัด
ขอหลักฐาน สัญญา และทดสอบ
ไม่มีเจ้าของเหตุการณ์
ช้าและข้อมูลสูญหาย
กำหนด runbook และซ้อม
ออกแบบ control จากสถานการณ์
ทีมต้องสรุปข้อความ LINE OA ที่มีชื่อ เบอร์ และเลขคำสั่งซื้อ
ระบุทรัพย์สิน ภัยคุกคาม การป้องกัน การตรวจพบ ผู้อนุมัติ และวิธีกู้คืน
ดูคำตอบตัวอย่าง
จัดชั้นข้อมูลและลดข้อมูลก่อนใช้ ตรวจสิทธิ์แบบ least privilege แยกเนื้อหาที่ไม่น่าเชื่อถือ บันทึก trace ตั้ง hard gate และให้เจ้าของกระบวนการอนุมัติ หากผิดให้หยุดระบบ เก็บหลักฐาน แจ้งทีม และ rollback เวอร์ชัน
- ทรัพย์สิน/ข้อมูล
- threat
- prevent
- detect
- owner
- stop/rollback
บันทึกช่วยจำ
- บทเรียนนี้ไม่ใช่คำปรึกษากฎหมาย ให้ตรวจ PDPA และข้อกำหนดอุตสาหกรรมกับผู้รับผิดชอบ
- ทบทวน control เมื่อ vendor รุ่นโมเดล หรือข้อมูลเปลี่ยน
สรุปบทเรียนนี้
- รู้ว่าปกป้องอะไร
- จำกัดสิทธิ์และข้อมูล
- ตรวจพบ หยุด และกู้คืนได้