“ข้อมูลพนักงานจากภายนอกรั่วไหล บริษัทก็ต้องรับผิดชอบด้วย”... เสียงระฆังดังขึ้นจากเหตุการณ์ Deepfake ที่ปูซาน

จากเหตุการณ์ล่าสุดที่พนักงานบำรุงรักษาและบำรุงรักษาจากภายนอกได้ลบไฟล์คอมพิวเตอร์ของคณาจารย์และเจ้าหน้าที่จำนวน 220,000 ไฟล์ออกจากโรงเรียนแห่งหนึ่งในพื้นที่ปูซาน และสร้างสื่อการแสวงหาผลประโยชน์ทางเพศที่เป็นการปลอมแปลงอย่างล้ำลึก มีการเรียกร้องให้มีการตรวจสอบระบบการจัดการทรัพยากรบุคคลภายนอกของบริษัทต่างๆ อีกครั้ง

เหตุการณ์นี้ได้รับการประเมินว่าเป็นกรณีที่นอกเหนือไปจากอาชญากรรมส่วนบุคคลทั่วไป และเปิดช่องโหว่ในความรับผิดชอบด้านการจัดการและการกำกับดูแลของบริษัทเอาท์ซอร์สและระบบปกป้องข้อมูล โดยเฉพาะอย่างยิ่ง มีการหยิบยกข้อกังวลว่าเหตุการณ์การรั่วไหลของข้อมูลที่คล้ายกันอาจเกิดขึ้นในสภาพแวดล้อมขององค์กรที่บุคลากรภายนอกเกี่ยวข้องบ่อยครั้ง เช่น การบำรุงรักษาด้านไอที (ข้อมูลและการสื่อสาร) และการจัดการสิ่งอำนวยความสะดวก

ตามที่ชุมชนกฎหมายเมื่อวันที่ 14 มาตรา 26 ของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลในปัจจุบันกำหนดว่าบริษัทที่ได้รับมอบหมายให้ทำงานจะต้องจัดการและดูแลกระบวนการประมวลผลข้อมูลส่วนบุคคลของผู้ดูแลผลประโยชน์ คำอธิบายก็คือ หากบุคลากรภายนอกเข้าถึงพีซีที่ทำงานหรือระบบคลาวด์และข้อมูลรั่วไหล ก็เป็นเรื่องยากสำหรับบริษัทภายนอกที่จะหลีกเลี่ยงความรับผิดชอบเช่นกัน

Ji-woon Jang ทนายความของสำนักงานกฎหมาย Daeryun อธิบายว่า “ศาลตัดสินว่าภาระหน้าที่ด้านการจัดการและการกำกับดูแลของผู้ดูแลผลประโยชน์ได้รับการปฏิบัติอย่างซื่อสัตย์เพียงใด หากบริษัทไม่ได้สร้างระบบควบคุมอย่างเหมาะสม มีความเป็นไปได้สูงที่แม้แต่การกระทำที่ผิดกฎหมายของผู้ดูแลผลประโยชน์ก็จะนำไปสู่ความรับผิดขององค์กร”

ทนายความจางแสดงความกังวลเป็นพิเศษเกี่ยวกับข้อเท็จจริงที่ว่าบริษัทหลายแห่งเชื่อว่าพวกเขาได้ปฏิบัติตามภาระผูกพันทางกฎหมายโดยการเขียนข้อตกลงไม่เปิดเผยข้อมูล (NDA) ในระหว่างกระบวนการทำสัญญาจ้างบุคคลภายนอก เขาชี้ให้เห็นว่า “NDA สามารถใช้เป็นพื้นฐานในการรับผิดชอบหลังจากเกิดอุบัติเหตุได้ แต่ก็มีข้อจำกัดในการพิสูจน์ว่ามีระบบการจัดการล่วงหน้า”

เขากล่าวเสริมว่า “มีหลายกรณีที่เป็นเรื่องยากตามความเป็นจริงที่จะเรียกร้องค่าชดเชยหลังจากที่บริษัทเอาท์ซอร์สมีขนาดเล็กหรือขาดเงินทุน” และเสริมว่า “ในท้ายที่สุด มีความเป็นไปได้สูงที่บริษัทจะต้องรับภาระทางการเงินและกฎหมายโดยตรง”

ทนายความจางยังเน้นย้ำว่าระบบรักษาความปลอดภัยขององค์กรกำลังเปลี่ยนจากวิธี "อิงความน่าเชื่อถือ" ไปเป็นวิธี "Zero-Trust" คำอธิบายก็คือ จำเป็นต้องมีโครงสร้างเพื่อควบคุมอย่างเป็นระบบไม่เพียงแต่บุคลากรภายนอกเท่านั้น แต่ยังรวมถึงพนักงานภายในด้วย และเก็บบันทึกทั้งหมด

เขาแนะนำว่า "จำเป็นต้องสร้างการล็อกหน้าจออัตโนมัติสำหรับพีซีภายในองค์กร ระบบป้องกันข้อมูลรั่วไหล (DLP) และโซลูชันการควบคุมสื่อจัดเก็บข้อมูล นอกจากนี้ เรายังจำเป็นต้องมีระบบการจัดการบันทึกที่สามารถตรวจสอบได้อย่างเป็นกลางว่าบุคลากรภายนอกทำงานโดยลำพังและบันทึกการเข้าถึงไฟล์หรือไม่"

นอกจากนี้เขายังกล่าวอีกว่า “แทนที่จะเป็นเงื่อนไขการชดเชยธรรมดา บทลงโทษที่สามารถเรียกร้องได้โดยไม่ต้องพิสูจน์ความเสียหายที่แท้จริงควรรวมอยู่ในสัญญา” และ “การกำหนดให้บริษัทเอาท์ซอร์สสมัครรับประกันภัยความรับผิดด้านความปลอดภัยทางไซเบอร์ก็เป็นมาตรการตอบสนองความเสี่ยงที่สมจริงเช่นกัน”

ทนายความจางเน้นย้ำว่า “เหตุการณ์นี้แสดงให้เห็นในที่สุดว่าการปกป้องข้อมูลเป็นไปไม่ได้ด้วยความไว้วางใจจากผู้คนเพียงอย่างเดียว” และเสริมว่า “การรักษาความปลอดภัยขององค์กรควรดำเนินการตามระบบควบคุมที่ตรวจสอบได้และบันทึกได้ ไม่ใช่จรรยาบรรณส่วนบุคคล”

[ดูบทความเต็ม]

“การรั่วไหลของข้อมูลพนักงานจากภายนอก บริษัทต่างๆ ก็ต้องรับผิดชอบ”... เสียงเตือนเกี่ยวกับเหตุการณ์ Deepfake ที่ปูซาน (ลิงก์)