IT Select Lab

ที่ทำงาน · เริ่มต้น · ประมาณ 8 นาที

ใครขอตามเข้าประตู ให้แตะบัตรเอง

ข้อมูลรั่วไม่ได้มาทางอินเทอร์เน็ตอย่างเดียว ประตูที่ถือให้คนแปลกหน้า หน้าจอที่เปิดค้าง และกระดาษที่ทิ้งไม่ถูกวิธี ก็พาข้อมูลออกจากบริษัทได้

0/5

เปิดโหมดสอน (สไลด์เต็มจอ)

จำภาพนี้ภาพเดียว

หนึ่งบัตร หนึ่งคน คนแปลกหน้า พาไปลงทะเบียน

  • แตะบัตรเอง
  • ลุกแล้วล็อกจอ
  • เอกสารลงถังล็อก
ภัยทางกายภาพในที่ทำงาน · IT Select Lab

สรุปใน 3 บรรทัด

  1. ภัยทางกายภาพคือการเข้าถึงข้อมูลโดยไม่ต้องเจาะระบบ เช่น เดินตามเข้าประตู แอบมองหน้าจอ หยิบเอกสารที่เครื่องพิมพ์ หรือค้นกระดาษที่ทิ้งโดยไม่ทำลาย [5][6][11]
  2. กฎหมายคุ้มครองข้อมูลส่วนบุคคลครอบคลุมเอกสารกระดาษด้วย และ สคส. เคยปรับโรงพยาบาลเอกชน 1,210,000 บาท เพราะเวชระเบียนที่ส่งทำลายหลุดไปเป็นถุงขนม [1][3]
  3. นิสัยไม่กี่อย่างช่วยได้มาก หนึ่งบัตรหนึ่งคน พาผู้มาติดต่อไปลงทะเบียน ล็อกจอทุกครั้งที่ลุก และทิ้งเอกสารลับในถังที่ล็อกหรือเครื่องย่อย [5][11][8]

ทำสิ่งนี้ตอนนี้

  • ซ้อมกด Windows + L (Mac กด Control + Command + Q) ก่อนลุกจากโต๊ะ และตรวจว่าเครื่องตั้งล็อกจออัตโนมัติไว้แล้ว [5]
  • เดินไปดูเครื่องพิมพ์ใกล้โต๊ะ ถ้ามีเอกสารของคุณค้างอยู่ให้เก็บ แล้วถามฝ่าย IT ว่ามีระบบปล่อยงานพิมพ์ด้วยบัตรหรือรหัสหรือไม่ [5]
  • ถาม รปภ. หรือแผนกต้อนรับว่า "ถ้ามีคนแปลกหน้าตามเข้าประตู หรือบัตรหาย ต้องแจ้งใคร" แล้วบันทึกเบอร์นั้นไว้ในโทรศัพท์ [11]

1 ลองคิด

ถ้าเช้านี้มีชายใส่เสื้อช่างแอร์ ถือกล่องเครื่องมือเต็มสองมือ ขอให้คุณช่วยถือประตูที่ต้องแตะบัตร เพราะ "ผู้จัดการตามด่วน" คุณจะทำอย่างไร

ยิ้มแล้วพาเขาไปลงทะเบียนที่แผนกต้อนรับ ช่างตัวจริงมีนัด มีชื่อในระบบ และรอได้

ไม่ต้องตอบใคร แค่ตอบในใจ แล้วอ่านต่อ

2 ดูสัญญาณ

เรื่องนี้เกิดขึ้นอย่างไร

ภัยทางกายภาพคือการเข้าถึงข้อมูลผ่านพื้นที่จริง โดยไม่ต้องเจาะระบบ เช่น เดินตามพนักงานเข้าประตูที่ต้องแตะบัตร แอบมองหน้าจอ หยิบเอกสารที่ค้างที่เครื่องพิมพ์ หรือค้นกระดาษที่ทิ้งโดยไม่ทำลาย [5][6][11] ผู้บุกรุกอาจดูเหมือนผู้มาติดต่อหรือผู้รับเหมาธรรมดา [11] และอาจอ้างเป็นพนักงานใหม่หรือช่างซ่อม พร้อมเอกสารยืนยันตัว [13]

เครื่องมือหลักของเขาคือความเกรงใจ ลองนึกภาพว่าคุณกำลังแตะบัตรเข้าออฟฟิศ แล้วมีคนถือกล่องเต็มมือเดินมาข้างหลัง การปล่อยประตูปิดใส่หน้าเขาดูเสียมารยาท คนส่วนใหญ่จึงถือประตูให้ นี่คือการเดินตามเข้าประตู (tailgating) ซึ่ง NIST นับเป็นกลวิธีหลอกลวงทางสังคม (social engineering) ที่องค์กรต้องสอนให้พนักงานรู้จักและรายงาน [5]

ในไทย ตัวอย่างที่ชัดที่สุดมาจากกระดาษ วันที่ 1 ส.ค. 2568 สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) แถลงปรับโรงพยาบาลเอกชนแห่งหนึ่ง เพราะเวชระเบียนผู้ป่วยกว่า 1,000 ฉบับหลุดในขั้นตอนส่งทำลาย และถูกนำไปทำถุงใส่ขนม [3] โรงพยาบาลจ้างผู้รับทำลายแต่ไม่ได้ติดตามหรือตรวจสอบ ส่วนผู้รับจ้างนำเอกสารไปพักไว้ที่บ้านและไม่แจ้งเหตุ โรงพยาบาลจึงถูกปรับ 1,210,000 บาท และผู้รับจ้างถูกปรับ 16,940 บาท [3]

ประกาศ สคส. เรื่องมาตรการรักษาความมั่นคงปลอดภัย พ.ศ. 2565 ระบุว่ามาตรการต้องครอบคลุมข้อมูลทั้งในรูปเอกสารและอิเล็กทรอนิกส์ อาจรวมมาตรการทางกายภาพตามระดับความเสี่ยง และองค์กรต้องสร้างความตระหนักรู้ให้พนักงาน [1] พูดง่าย ๆ คือกระดาษหนึ่งแผ่นบนโต๊ะสำคัญไม่น้อยกว่าไฟล์ในเครื่อง

ดูกลโกงทีละขั้น

‹ช่างแอร์ เย็นฉ่ำ เซอร์วิส
พรุ่งนี้ 8:50 ผมเข้าไปเช็กแอร์ห้องเซิร์ฟเวอร์นะครับ ผู้จัดการสั่งด่วน
ยังไม่เห็นนัดในระบบผู้มาติดต่อเลยค่ะ
ไม่ต้องลงทะเบียนครับ สงสัยโทรเบอร์ผม 08x-xxx-2741 ได้เลย

ขั้นที่ 1 จาก 5

นัดเข้ามาแบบช่างด่วน

ผู้บุกรุกมักอ้างตัวเป็นช่างซ่อม พนักงานใหม่ หรือผู้ส่งของ และอาจมีเอกสารมายืนยันตัว [13] เขาอ้างเรื่องด่วน ขอเข้าห้องสำคัญ และให้เบอร์ของตัวเองไว้ "ยืนยัน" แทนที่จะให้คุณเช็กกับผู้ว่าจ้างจริง [11][13]

ใช้บัตรได้ทีละคน

บัตรพนักงาน: คุณภาณุ (ผ่าน 1 คน)
ตรวจพบคนเดินผ่านประตู 2 คน

แจ้ง รปภ.

ขั้นที่ 2 จาก 5 · จุดที่หยุดได้ง่ายที่สุด

ขอให้ช่วยถือประตูที่ต้องแตะบัตร

เขาถือกล่องเต็มมือ แล้วขอให้คุณช่วยเปิดประตูให้ อาศัยความเกรงใจ NIST เรียกการเดินตามผู้มีสิทธิเข้าพื้นที่แบบนี้ว่า tailgating หรือ piggybacking [5][11]

หยุดได้ตรงนี้: ประตูที่ต้องแตะบัตรใช้ได้ทีละคน ยิ้มแล้วพูดว่า "ขอให้แตะบัตรเองนะคะ ถ้าไม่มีบัตร เดี๋ยวพาไปลงทะเบียนที่ต้อนรับ" ช่างตัวจริงมีนัดและรอได้

ขั้นที่ 3 จาก 5

เดินดูจอที่เปิดค้างและโน้ตบนโต๊ะ

ระหว่างเดิน ผู้บุกรุกมองหาหน้าจอที่ไม่ได้ล็อก รหัสที่จดแปะไว้ และเอกสารบนโต๊ะว่าง หรือยืนใกล้ ๆ ขณะคนพิมพ์รหัส [5][4][12]

มีเอกสารค้างในถาด 12 หน้า

งานพิมพ์: รายชื่อลูกค้าพร้อมเลขบัตรประชาชน
สั่งพิมพ์เมื่อ 40 นาทีที่แล้ว ยังไม่มีคนรับ

ขั้นที่ 4 จาก 5

หยิบเอกสารที่เครื่องพิมพ์หรืออุปกรณ์

เอกสารที่ค้างอยู่ที่เครื่องพิมพ์หรือโน้ตบุ๊กที่วางทิ้งไว้ หยิบติดมือออกไปได้ในไม่กี่วินาที ข้อมูลส่วนบุคคลบนกระดาษได้รับการคุ้มครองเหมือนข้อมูลในคอมพิวเตอร์ และองค์กรต้องป้องกันการลักขโมยอุปกรณ์ด้วย [5][1]

‹ฟีด

กลุ่มซื้อขายของมือสอง (สมมติ)

ซื้อขนมได้ถุงกระดาษที่พับจากเอกสาร มีชื่อและเลขประจำตัวคนไข้ด้วย ของใครเนี่ย

1.2K

ขั้นที่ 5 จาก 5

ค้นกระดาษที่ทิ้งไม่ถูกวิธี

เอกสารที่ทิ้งลงถังธรรมดา หรือส่งทำลายแต่ไม่ถูกทำลายจริง หลุดไปถึงคนค้นถังขยะหรือที่สาธารณะได้ ในไทยเคยมีเวชระเบียนผู้ป่วยกลายเป็นถุงขนมมาแล้ว [6][3][22]

กดตัวเลขด้านบน ปุ่มลูกศร หรือ "เล่นอัตโนมัติ" หน้าจอทั้งหมดเป็นตัวอย่างสมมติ

สัญญาณเตือน

  • คนไม่ติดบัตรหรือซ่อนบัตร พยายามตามเข้าประตูที่ต้องแตะบัตร หรือขอให้ "ช่วยถือประตู" เพราะมือไม่ว่าง [5][11]
  • "ช่าง" หรือ "ผู้ส่งของ" ที่ไม่มีนัด ไม่มีชื่อในระบบผู้มาติดต่อ อ้างเรื่องด่วน หรือขอเข้าห้องเซิร์ฟเวอร์และห้องเอกสาร [7][13][12]
  • ผู้มาติดต่อเดินในพื้นที่ทำงานคนเดียว ไม่มีพนักงานพา หรือไม่ได้ติดบัตรผู้มาติดต่อ [5][11]
  • มีคนขอยืมบัตร หรือขอให้แตะบัตรให้ "แป๊บเดียว" [5]
  • คนยืนใกล้เกินจำเป็นขณะคุณพิมพ์รหัสผ่านหรือ PIN หรือหน้าจอหันออกทางเดินและหน้าต่าง [12][18]
  • เอกสารวางทิ้งที่เครื่องพิมพ์ โต๊ะว่าง ห้องประชุม ถังขยะธรรมดา หรือกล่อง "รอทำลาย" ที่ไม่ล็อก [5][8][6]
  • หน้าจอเปิดค้างโดยไม่มีคนอยู่ [5][4]
  • ผู้รับจ้างทำลายเอกสารไม่มีสัญญาหรือใบรับรองการทำลาย หรือขนเอกสารไปเก็บที่อื่นก่อน [3][8]

สัญญาณที่ชัดที่สุดคือคนที่ขอให้คุณข้ามขั้นตอน ไม่ว่าจะเป็น "ไม่ต้องแตะบัตร" "ไม่ต้องลงทะเบียน" หรือ "ไม่ต้องโทรเช็ก"

ของจริง หรือของปลอม

อ่านตัวอย่างแล้วตัดสินใจก่อน จากนั้นกดเปิดเฉลย จุดที่ควรสังเกตจะมีหมุดตัวเลขชี้ให้ดู

ตัวอย่างเพื่อการศึกษา — ชื่อบุคคล หน่วยงาน เบอร์ และโดเมนในตัวอย่างเป็นชื่อสมมติ

แชตจาก "ช่าง" ที่หน้าประตู

‹ช่างแอร์ (ไม่มีชื่อในระบบ)
สวัสดีครับ ผมช่างที่ผู้จัดการเรียกด่วน ตอนนี้อยู่หน้าประตูชั้น 5 มือไม่ว่าง รบกวนลงมาแตะบัตรให้หน่อยครับ ไม่ต้องลงทะเบียนให้เสียเวลา ถ้าสงสัยโทรเบอร์ผม 08x-xxx-2741 ได้เลย

สายขอให้อ่านเอกสารที่เครื่องพิมพ์

สายเรียกเข้า

02-xxx-5120

ปลายสายพูดว่าสวัสดีค่ะ ฝ่ายบัญชีสาขาเหนือนะคะ เมื่อกี้สั่งพิมพ์รายชื่อลูกค้าไปผิดเครื่อง ไปค้างที่ชั้นของคุณ รบกวนช่วยอ่านชื่อกับเลขบัตรประชาชนในหน้าแรกให้หน่อย ด่วนมากค่ะ ผู้บริหารรออยู่

โพสต์รูปทีมที่ตรวจฉากหลังแล้ว

‹ฟีด

ทีมขาย บริษัท นาคราช ซอฟต์แวร์ (สมมติ)

ฉลองปิดดีลค่ะ ถ่ายที่มุมพักผ่อน ลบไวท์บอร์ดและเก็บบัตรพนักงานก่อนถ่ายแล้ว ไม่มีหน้าจอในฉากหลัง ทุกคนในรูปยินยอมให้โพสต์

3 ลองเลือก

สถานการณ์จำลอง สายจาก "ช่างแอร์" หน้าประตู

ตัวอย่างเพื่อการศึกษา — ชื่อบุคคล หน่วยงาน เบอร์ และโดเมนในตัวอย่างเป็นชื่อสมมติ

ลองรับสายนี้ดู เลือกคำตอบที่คุณจะพูดจริง ๆ แล้วดูว่าแต่ละทางพาไปไหน ชื่อ บริษัท และเบอร์ในสถานการณ์นี้เป็นเรื่องสมมติ

08x-xxx-2741 "ช่างแอร์"

สายเรียกเข้า

    ลองตอบ

    1. มีคนถือกล่องเต็มมือ ขอให้คุณช่วยถือประตูที่ต้องแตะบัตร ควรทำอย่างไร
    2. เอกสารรายชื่อลูกค้าที่มีเลขบัตรประชาชน ใช้เสร็จแล้วควรทิ้งอย่างไร
    3. กล่องเอกสารลูกค้าหายระหว่างรอส่งทำลาย ควรทำอะไรก่อน

    4 วิธีรับมือ

    วิธีป้องกัน

    ที่ประตู หนึ่งบัตร หนึ่งคน แตะบัตรเองทุกครั้ง ไม่ให้ใครตามเข้าและไม่ให้ใครยืมบัตร ถ้ามีคนตามมา พูดสุภาพว่า "ขอให้แตะบัตรเองนะครับ ถ้าไม่มีบัตร เดี๋ยวพาไปลงทะเบียน" หรือแจ้ง รปภ. [5][11]

    ผู้มาติดต่อและช่าง ตรวจนัดกับผู้ว่าจ้างจริงผ่านเบอร์ที่องค์กรมีอยู่ ไม่ใช้เบอร์ที่ผู้มาติดต่อให้มา แล้วออกบัตรผู้มาติดต่อและให้มีพนักงานพาตลอด [5][13][11]

    หน้าจอและโต๊ะ ล็อกจอทุกครั้งที่ลุก (Windows กด Win+L, Mac กด Control+Command+Q) และตั้งล็อกอัตโนมัติ [5][4] หันจอไม่ให้ออกทางเดินหรือหน้าต่าง ใช้ฟิล์มกันมองจอในพื้นที่เปิด [12][11] เก็บเอกสารลับเข้าตู้ล็อกก่อนเลิกงาน และเก็บของติดตัวแม้ลุกไปครู่เดียว [4][11]

    เครื่องพิมพ์ รับงานพิมพ์ทันที หรือใช้ระบบที่ต้องแตะบัตรหรือใส่รหัสที่เครื่องก่อนเอกสารจะออกมา (pull printing) [5]

    การทิ้งเอกสาร เอกสารที่มีข้อมูลส่วนบุคคลต้องทำลายจริง เช่น ย่อยแบบตัดขวาง (cross-cut) หรือแบบละเอียด (micro-cut) [8][6] อย่านำกระดาษที่มีข้อมูลกลับมาใช้ซ้ำ [21] ถ้าจ้างผู้รับทำลาย ต้องมีข้อตกลงที่ให้สิทธิตรวจสอบ มีคนรับผิดชอบติดตาม และเทียบใบรับรองการทำลายกับรายการที่ส่งไป [1][8][21]

    อุปกรณ์ การกด Delete ไม่พอก่อนทิ้งหรือส่งต่ออุปกรณ์ และเครื่องพิมพ์หรือเครื่องถ่ายเอกสารก็มีที่เก็บข้อมูล [10]

    ถ้าพลาดไปแล้ว ทำอะไรก่อน

    1. ปล่อยคนแปลกหน้าเข้ามา หรือสงสัยว่ามีผู้บุกรุก แจ้ง รปภ. หรือแผนกต้อนรับทันที บอกลักษณะ เวลา และจุดที่เห็น ไม่ต้องเผชิญหน้าเอง [11][5] ถ้าเขาเข้าห้องไปแล้ว ให้ IT ตรวจอุปกรณ์ที่ถูกแตะหรือเสียบ และบันทึกชื่อ บริษัท เวลา [13][11]
    2. บัตรพนักงานหาย หรือให้คนอื่นยืมไป แจ้งระงับบัตรทันที องค์กรต้องเปลี่ยนหรือยกเลิกบัตรที่หาย [5][11]
    3. คิดว่ามีคนเห็นรหัสผ่านหรือ PIN เปลี่ยนรหัสทันที ไม่ใช้รหัสซ้ำ และแจ้งฝ่าย IT ให้เฝ้าระวัง [13]
    4. เอกสารหรืออุปกรณ์ที่มีข้อมูลส่วนบุคคลหาย ทิ้งผิดที่ หรือส่งผิดคน แจ้งหัวหน้าและเจ้าหน้าที่คุ้มครองข้อมูล (DPO) ทันที เหตุจากความประมาทหรืออุบัติเหตุก็นับเป็นการละเมิด และองค์กรต้องแจ้ง สคส. โดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุ ถ้ามีความเสี่ยงต่อสิทธิของเจ้าของข้อมูล [2]
    5. เจอเอกสารข้อมูลของคนอื่นนอกองค์กร อย่าโพสต์หรือแชร์ภาพ แจ้งหน่วยงานเจ้าของข้อมูล หรือแจ้ง สคส. ที่ 02-111-8800 [22][3]
    6. หลังเหตุ ทบทวนมาตรการ ประกาศ สคส. ถือว่าเมื่อเกิดเหตุละเมิดต้องทบทวนมาตรการเสมอ แล้วนำกรณีนี้ไปเล่าให้ทีมฟัง [1]

    การรายงานเร็วไม่ใช่การฟ้องตัวเอง หน่วยงานรัฐของสหราชอาณาจักรแนะให้องค์กรทำให้การรายงานเรื่องน่าสงสัยหรือบัตรที่วางผิดที่เป็นเรื่องปกติ [11]

    ข้อผิดพลาดที่พบบ่อย

    • ถือประตูให้เพราะเกรงใจ ความสุภาพที่ถูกคือพาไปลงทะเบียน ไม่ใช่เปิดทางให้ [5][11]
    • เชื่อเพราะใส่เสื้อช่างหรือมีบัตร เคยมีคนแสดงบัตรพนักงานปลอมแอบอ้างเป็นเจ้าหน้าที่การไฟฟ้า [24] ต้องเช็กกับต้นสังกัดโดยตรง [13]
    • โทรเช็กเบอร์ที่เขาให้มา คนรับสายอาจเป็นพวกเดียวกัน ให้ใช้เบอร์ที่องค์กรมีอยู่ [13]
    • คิดว่าลุกแป๊บเดียวไม่ต้องล็อกจอ แนวปฏิบัติให้เก็บเอกสารและอุปกรณ์แม้ลุกไปสั้น ๆ [11][5]
    • ส่งทำลายแล้วคิดว่าจบ องค์กรยังต้องติดตามผู้รับจ้าง โรงพยาบาลถูกปรับเพราะไม่ได้ตรวจสอบ [1][3]
    • คิดว่าอุปกรณ์ส่วนใหญ่ถูกขโมย รายงาน Verizon DBIR 2026 (ข้อมูล พ.ย. 2567 ถึง ต.ค. 2568) พบว่าการทำหายเกิดบ่อยกว่าถูกขโมยราว 4 เท่า [15]

    ใช้ในชีวิตจริงและที่ทำงาน

    ที่บ้าน การแอบอ้างต่อหน้าเกิดที่บ้านด้วย ส.ค. 2569 มีกลุ่มแต่งกายคล้ายตำรวจอ้างเป็นเจ้าหน้าที่ ตม. ตำรวจแนะให้ขอดูบัตร ตรวจชื่อผ่านแอป Police Care และสอบถามต้นสังกัด [25] สำเนาบัตรประชาชนก็ควรทำลายก่อนทิ้ง เพราะเคยมีคนซื้อไข่แล้วได้กระดาษห่อเป็นสำเนาบัตรพร้อมลายเซ็น [23]

    ที่ทำงาน ก่อนโพสต์รูปจากที่ทำงาน ตรวจฉากหลังว่าไม่มีหน้าจอ เอกสาร ไวท์บอร์ด หรือบัตรพนักงาน และขอความยินยอมจากเพื่อนร่วมงานก่อน [14][12] ผู้บริหารควรถามทีมวันนี้ว่า "เอกสารที่เราส่งทำลาย ใครตรวจว่าถูกทำลายจริง" [1][8]

    ในที่สาธารณะ งานวิจัย CHI 2017 ที่สำรวจคน 174 คน พบว่าเหตุแอบมองที่ผู้ตอบเล่า 67.4% เกิดบนขนส่งสาธารณะ และคนถูกมองรู้ตัวเพียง 7% ของเหตุที่ผู้แอบมองเล่า [18] ถ้าทำงานในรถไฟฟ้าหรือร้านกาแฟ ให้ใช้ฟิล์มกันมองจอ และคุยเรื่องลับในห้องปิด [11]

    ถ้าแหล่งข้อมูลเห็นต่าง

    • ข้อสอบ Security+ SY0-701 เอกสารวัตถุประสงค์ข้อสอบฉบับนี้ไม่มีคำว่า tailgating, shoulder surfing หรือ dumpster diving มีเพียงหัวข้อที่เกี่ยวข้อง เช่น การแอบอ้างตัว (impersonation) และการสังเกตสิ่งรอบตัว (situational awareness) [17]
    • tailgating กับ piggybacking NIST ใช้สองคำในความหมายเดียวกัน [5] บางบทความแยกว่า piggybacking คือพนักงานรู้และยอมให้ตามเข้า ผลเหมือนกันคือคนไม่มีสิทธิเข้ามาได้
    • มาตรการทางกายภาพบังคับหรือไม่ ตัวบทประกาศ สคส. ใช้คำว่า "อาจรวมถึง" ตามความเสี่ยง [1] แต่บทสรุปของบริษัทที่ปรึกษาบางแห่งเขียนว่า "ต้อง" [19] บทนี้ยึดตัวบท ส่วนวันมีผลคือ 21 มิ.ย. 2565 ไม่ใช่ 20 มิ.ย. ตามที่บางแหล่งเขียน [1]
    • ค่าปรับโรงพยาบาล ข่าวบางแห่งปัดเป็น 1.2 ล้านบาท ตัวเลขทางการคือ 1,210,000 บาท [3][20]
    • ตัวเลขอุปกรณ์หายของ Verizon ปี 2025 นับได้ 149 เหตุ ปี 2026 นับได้ 525 เหตุ แต่ยืนยันข้อมูลรั่วเพียง 88 กรณี [16][15] วิธีนับต่างกัน จึงไม่ควรสรุปว่าภัยเพิ่มหลายเท่า
    • สถิติสหราชอาณาจักร คำนวณจากข้อมูล ICO ปี 2025 มี 13,462 เหตุ ราว 76% ไม่ใช่เหตุไซเบอร์ [9] ตัวเลขนี้ผู้ค้นคว้านับเอง และใช้แทนสถานการณ์ไทยไม่ได้
    • ไวท์บอร์ด ยังไม่พบแนวทางทางการที่พูดถึงโดยตรง คำแนะนำให้ลบหลังประชุมอนุมานจากหลักโต๊ะสะอาด [4][12]

    5 จำให้ได้

    ทำได้วันนี้

    ติ๊กแล้วจำไว้ในเครื่องนี้เท่านั้น

    ประโยคจำง่าย

    หนึ่งบัตร หนึ่งคน ไม่มีใครตามเข้า
    จากบท ภัยทางกายภาพในที่ทำงาน
    ลุกจากโต๊ะ ล็อกจอ เก็บเอกสาร
    จากบท ภัยทางกายภาพในที่ทำงาน
    กระดาษมีชื่อคน ทิ้งลงถังล็อกเท่านั้น
    จากบท ภัยทางกายภาพในที่ทำงาน

    คำศัพท์ในบทนี้

    เดินตามเข้าประตู (tailgating / piggybacking)
    การที่คนไม่มีสิทธิเดินตามผู้มีสิทธิเข้าพื้นที่ควบคุมโดยไม่แตะบัตรเอง NIST ใช้สองคำนี้ในความหมายเดียวกัน [5]
    แอบมอง (shoulder surfing)
    การมองหน้าจอ คีย์บอร์ด หรือรหัส PIN ของคนอื่นจากด้านหลังหรือด้านข้าง หน่วยงานไซเบอร์ของออสเตรเลียกำหนดให้ป้องกันการมองจอและคีย์บอร์ด รวมถึงการมองผ่านหน้าต่าง [12]
    ค้นถังขยะ (dumpster diving)
    การหาข้อมูลจากเอกสารที่ถูกทิ้งโดยไม่ทำลาย NIST ระบุว่าเอกสารที่ออกจากองค์กรโดยไม่ทำลายเป็นช่องโหว่สำคัญต่อคนค้นถังขยะ [6]
    โต๊ะสะอาด หน้าจอสะอาด (clear desk, clear screen)
    แนวปฏิบัติที่ไม่ทิ้งเอกสารหรือสื่อบันทึกข้อมูลไว้ให้คนไม่มีสิทธิเข้าถึง และออกจากระบบเมื่อเลิกใช้งาน [4]
    ใบรับรองการทำลาย (certificate of destruction)
    หลักฐานจากผู้รับทำลายเอกสาร ซึ่งองค์กรควรเทียบกับรายการที่ส่งไปว่าครบตรงกัน [8]
    ผู้ประมวลผลข้อมูลส่วนบุคคล
    คนหรือบริษัทที่ทำงานกับข้อมูลตามคำสั่งขององค์กร เช่น ผู้รับจ้างทำลายเอกสาร องค์กรต้องทำข้อตกลงให้ผู้รับจ้างมีมาตรการที่เหมาะสมและแจ้งเหตุละเมิด [1][3]

    ดูอภิธานศัพท์ทั้งเว็บ

    แหล่งอ้างอิง

    ตรวจทานล่าสุด 29 ต.ค. 2569 · ระดับความมั่นใจของเนื้อหา: ปานกลาง

    1. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 — สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) — ราชกิจจานุเบกษา เล่ม 139 ตอนพิเศษ 140 ง, 2022-06-20 · ระดับแหล่ง 1 (pdpc.or.th)
    2. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 — สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) — ราชกิจจานุเบกษา เล่ม 139 ตอนพิเศษ 292 ง, 2022-12-15 · ระดับแหล่ง 1 (pdpc.or.th)
    3. สคส. เข้มเดินหน้าบังคับใช้ PDPA ลงโทษปรับหน่วยงานที่ปล่อยข้อมูลประชาชนรั่วไหล ไม่เว้นทั้งภาครัฐ-ภาคเอกชน — สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.), 2025-08-01 · ระดับแหล่ง 1 (pdpc.or.th)
    4. Notification of the Electronic Transactions Commission: Policy and Practice in the Information Security of a State Agency B.E. 2553 (Unofficial Translation) — ETDA / คณะกรรมการธุรกรรมทางอิเล็กทรอนิกส์, 2010-06-23 · ระดับแหล่ง 1 (etda.or.th)
    5. SP 800-53 Rev. 5 Security and Privacy Controls for Information Systems and Organizations — NIST, 2020-09-23 · ระดับแหล่ง 2 (nvlpubs.nist.gov)
    6. SP 800-88 Rev. 2 Guidelines for Media Sanitization — NIST, 2025-09-26 · ระดับแหล่ง 2 (nvlpubs.nist.gov)
    7. A guide to data security — ICO (UK), 2023-05-19 · ระดับแหล่ง 2 (ico.org.uk)
    8. Records management toolkit: Disposal and deletion — ICO (UK) · ระดับแหล่ง 2 (ico.org.uk)
    9. Data security incident trends (CSV download Q1 2019 to Q3 2026) — ICO (UK) · ระดับแหล่ง 2 (ico.org.uk)
    10. Secure sanitisation of storage media — NCSC UK, 2016-09-23 · ระดับแหล่ง 2 (ncsc.gov.uk)
    11. Shared Workspaces – Users Guidance — NPSA (ร่วมกับ NCSC), 2025-03-10 · ระดับแหล่ง 2 (npsa.gov.uk)
    12. Information Security Manual – Guidelines for physical security (September 2026) — ACSC / ASD (Australia), 2026-09-07 · ระดับแหล่ง 2 (cyber.gov.au)
    13. Avoiding Social Engineering and Phishing Attacks (ST04-014) — CISA, 2021-02-01 · ระดับแหล่ง 2 (cisa.gov)
    14. Think before posting — USPS (United States Postal Service), 2020-04-23 · ระดับแหล่ง 2 (news.usps.com)
    15. 2026 Data Breach Investigations Report — Verizon, 2026-05-19 · ระดับแหล่ง 3 (verizon.com)
    16. 2025 Data Breach Investigations Report — Verizon, 2025-04-23 · ระดับแหล่ง 3 (verizon.com)
    17. CompTIA Security+ SY0-701 Certification Exam: Exam Objectives Version 5.0 — CompTIA · ระดับแหล่ง 3 (assets.ctfassets.net)
    18. Understanding Shoulder Surfing in the Wild: Stories from Users and Observers (CHI '17) — Eiband, Khamis, von Zezschwitz, Hussmann, Alt — LMU Munich · ระดับแหล่ง 3 (medien.ifi.lmu.de)
    19. PDPA Alert: PDPC Notifications (26 September 2022) — Deloitte Thailand, 2022-09-26 · ระดับแหล่ง 3 (www2.deloitte.com)
    20. Thai hospital fined 1.2 million baht for data breach via snack bags — The Thaiger, 2025-08-03 · ระดับแหล่ง 4 (thethaiger.com)
    21. สธ. ย้ำ 6 มาตรการเข้มจัดการ "เวชระเบียน" หลังรพ.เอกชนทำข้อมูลหลุด — ฐานเศรษฐกิจ, 2025-08-05 · ระดับแหล่ง 4 (thansettakij.com)
    22. PDPC เร่งสอบเคส 'ถุงขนมเบื้อง' งานวัด หลังมีข้อมูลผู้ป่วย-การจ่ายยารั่วไหล — ไทยรัฐออนไลน์, 2024-09-07 · ระดับแหล่ง 4 (thairath.co.th)
    23. สุดงง ลูกค้าซื้อไข่ได้กระดาษห่อ เลขบัตรปชช.-ลายเซน แห่ห่วงความปลอดภัยอยู่ไหน — The Thaiger (ภาษาไทย), 2025-09-21 · ระดับแหล่ง 4 (thethaiger.com)
    24. กฟน. เตือนระวังมิจฉาชีพบุกถึงบ้าน แอบอ้างขอเก็บค่าไฟฟ้า หากไม่จ่ายขู่ตัดไฟ — ไทยโพสต์ (อ้าง การไฟฟ้านครหลวง), 2018-08-29 · ระดับแหล่ง 4 (thaipost.net)
    25. เตือนภัย มิจฉาชีพแอบอ้างเป็นเจ้าหน้าที่ ตม. แนะขอดูบัตรประจำตัว-ถ่ายคลิป — ไทยรัฐออนไลน์ (อ้าง บก.ตม.3), 2026-08-14 · ระดับแหล่ง 4 (thairath.co.th)

    กฎหมายไทยและกรณีปรับของ สคส. อ่านจากต้นฉบับทางการ แต่ยังไม่มีข้อมูลไทยเรื่องการเดินตามเข้าประตูหรือแอบมองจอในสำนักงาน ส่วนนี้จึงใช้แนวปฏิบัติสากลจาก NIST และหน่วยงานรัฐต่างประเทศ

    เนื้อหาเพื่อการศึกษา ไม่ใช่คำแนะนำทางกฎหมายหรือการเงินเฉพาะบุคคล ตัวอย่างข้อความ ชื่อบุคคล หน่วยงาน และโดเมนในแบบฝึกเป็นชื่อสมมติ · เนื้อหาตรวจทานตามนโยบายเนื้อหา

    บทที่เกี่ยวข้อง