ภัยทางกายภาพในที่ทำงาน
1 / 19
ที่ทำงาน · เริ่มต้น
ใครขอตามเข้าประตู ให้แตะบัตรเอง
ข้อมูลรั่วไม่ได้มาทางอินเทอร์เน็ตอย่างเดียว ประตูที่ถือให้คนแปลกหน้า หน้าจอที่เปิดค้าง และกระดาษที่ทิ้งไม่ถูกวิธี ก็พาข้อมูลออกจากบริษัทได้
IT Select Lab · รู้ทันภัยไซเบอร์ ป้องกันได้ด้วยตัวเอง
ลองคิด
ถ้าเช้านี้มีชายใส่เสื้อช่างแอร์ ถือกล่องเครื่องมือเต็มสองมือ ขอให้คุณช่วยถือประตูที่ต้องแตะบัตร เพราะ "ผู้จัดการตามด่วน" คุณจะทำอย่างไร
ยิ้มแล้วพาเขาไปลงทะเบียนที่แผนกต้อนรับ ช่างตัวจริงมีนัด มีชื่อในระบบ และรอได้
หนึ่งบัตร หนึ่งคน คนแปลกหน้า พาไปลงทะเบียน
- แตะบัตรเอง
- ลุกแล้วล็อกจอ
- เอกสารลงถังล็อก
กลโกงขั้นที่ 1 จาก 5
นัดเข้ามาแบบช่างด่วน
ผู้บุกรุกมักอ้างตัวเป็นช่างซ่อม พนักงานใหม่ หรือผู้ส่งของ และอาจมีเอกสารมายืนยันตัว เขาอ้างเรื่องด่วน ขอเข้าห้องสำคัญ และให้เบอร์ของตัวเองไว้ "ยืนยัน" แทนที่จะให้คุณเช็กกับผู้ว่าจ้างจริง
ใช้บัตรได้ทีละคน
บัตรพนักงาน: คุณภาณุ (ผ่าน 1 คน)
ตรวจพบคนเดินผ่านประตู 2 คน
กลโกงขั้นที่ 2 จาก 5
ขอให้ช่วยถือประตูที่ต้องแตะบัตร
เขาถือกล่องเต็มมือ แล้วขอให้คุณช่วยเปิดประตูให้ อาศัยความเกรงใจ NIST เรียกการเดินตามผู้มีสิทธิเข้าพื้นที่แบบนี้ว่า tailgating หรือ piggybacking
ประตูที่ต้องแตะบัตรใช้ได้ทีละคน ยิ้มแล้วพูดว่า "ขอให้แตะบัตรเองนะคะ ถ้าไม่มีบัตร เดี๋ยวพาไปลงทะเบียนที่ต้อนรับ" ช่างตัวจริงมีนัดและรอได้
รายชื่อพนักงานและเงินเดือน เดือนตุลาคม
ฝ่ายบุคคล (อีเมลภายใน)
โพสต์อิทข้างจอ: รหัสเข้าระบบ ********
กลโกงขั้นที่ 3 จาก 5
เดินดูจอที่เปิดค้างและโน้ตบนโต๊ะ
ระหว่างเดิน ผู้บุกรุกมองหาหน้าจอที่ไม่ได้ล็อก รหัสที่จดแปะไว้ และเอกสารบนโต๊ะว่าง หรือยืนใกล้ ๆ ขณะคนพิมพ์รหัส
มีเอกสารค้างในถาด 12 หน้า
งานพิมพ์: รายชื่อลูกค้าพร้อมเลขบัตรประชาชน
สั่งพิมพ์เมื่อ 40 นาทีที่แล้ว ยังไม่มีคนรับ
กลโกงขั้นที่ 4 จาก 5
หยิบเอกสารที่เครื่องพิมพ์หรืออุปกรณ์
เอกสารที่ค้างอยู่ที่เครื่องพิมพ์หรือโน้ตบุ๊กที่วางทิ้งไว้ หยิบติดมือออกไปได้ในไม่กี่วินาที ข้อมูลส่วนบุคคลบนกระดาษได้รับการคุ้มครองเหมือนข้อมูลในคอมพิวเตอร์ และองค์กรต้องป้องกันการลักขโมยอุปกรณ์ด้วย
กลุ่มซื้อขายของมือสอง (สมมติ)
ซื้อขนมได้ถุงกระดาษที่พับจากเอกสาร มีชื่อและเลขประจำตัวคนไข้ด้วย ของใครเนี่ย
1.2K
กลโกงขั้นที่ 5 จาก 5
ค้นกระดาษที่ทิ้งไม่ถูกวิธี
เอกสารที่ทิ้งลงถังธรรมดา หรือส่งทำลายแต่ไม่ถูกทำลายจริง หลุดไปถึงคนค้นถังขยะหรือที่สาธารณะได้ ในไทยเคยมีเวชระเบียนผู้ป่วยกลายเป็นถุงขนมมาแล้ว
จริงหรือปลอม
แชตจาก "ช่าง" ที่หน้าประตู
ให้ผู้ฟังโหวตก่อน: ปลอม หรือ จริง
ปลอม
- ขอให้คุณแตะบัตรพาเข้าไป คือการเดินตามเข้าประตู บัตรหนึ่งใบใช้ได้กับคนเดียว
- ผู้มาติดต่อทุกคนต้องลงทะเบียน ได้บัตรผู้มาติดต่อ และมีพนักงานพา คนที่ขอข้ามขั้นตอนนี้น่าสงสัย
- เบอร์ที่เขาให้มายืนยันอะไรไม่ได้ ต้องเช็กกับผู้ว่าจ้างจริงผ่านเบอร์ที่องค์กรมีอยู่เอง
สายเรียกเข้า
02-xxx-5120
จริงหรือปลอม
สายขอให้อ่านเอกสารที่เครื่องพิมพ์
ให้ผู้ฟังโหวตก่อน: ปลอม หรือ จริง
ปลอม
- เอกสารที่ค้างเครื่องพิมพ์คือข้อมูลส่วนบุคคลบนกระดาษ ซึ่งต้องคุ้มครองเหมือนไฟล์ในคอมพิวเตอร์ ห้ามอ่านให้ใครฟังทางโทรศัพท์
- อ้างผู้บริหารและความด่วนเพื่อให้คุณข้ามการยืนยันตัวตน ให้วางสายแล้วโทรกลับเบอร์ที่องค์กรมีอยู่
ทีมขาย บริษัท นาคราช ซอฟต์แวร์ (สมมติ)
ฉลองปิดดีลค่ะ ถ่ายที่มุมพักผ่อน ลบไวท์บอร์ดและเก็บบัตรพนักงานก่อนถ่ายแล้ว1 ไม่มีหน้าจอในฉากหลัง2 ทุกคนในรูปยินยอมให้โพสต์3
จริงหรือปลอม
โพสต์รูปทีมที่ตรวจฉากหลังแล้ว
ให้ผู้ฟังโหวตก่อน: ปลอม หรือ จริง
ของจริง (หรือทำแบบนี้ได้)
- รูปที่ทำงานอาจมีข้อมูลที่ไม่ควรเผยแพร่ การเก็บของออกจากฉากก่อนถ่ายจึงเป็นนิสัยที่ดี
- หน้าจอต้องไม่ให้คนไม่มีสิทธิมองเห็น รวมถึงผ่านภาพถ่าย
- ขอความยินยอมจากเพื่อนร่วมงานก่อนโพสต์รูปที่มีพวกเขาอยู่
สัญญาณเตือน
- คนไม่ติดบัตรหรือซ่อนบัตร พยายามตามเข้าประตูที่ต้องแตะบัตร หรือขอให้ "ช่วยถือประตู" เพราะมือไม่ว่าง
- "ช่าง" หรือ "ผู้ส่งของ" ที่ไม่มีนัด ไม่มีชื่อในระบบผู้มาติดต่อ อ้างเรื่องด่วน หรือขอเข้าห้องเซิร์ฟเวอร์และห้องเอกสาร
- ผู้มาติดต่อเดินในพื้นที่ทำงานคนเดียว ไม่มีพนักงานพา หรือไม่ได้ติดบัตรผู้มาติดต่อ
- มีคนขอยืมบัตร หรือขอให้แตะบัตรให้ "แป๊บเดียว"
- คนยืนใกล้เกินจำเป็นขณะคุณพิมพ์รหัสผ่านหรือ PIN หรือหน้าจอหันออกทางเดินและหน้าต่าง
- เอกสารวางทิ้งที่เครื่องพิมพ์ โต๊ะว่าง ห้องประชุม ถังขยะธรรมดา หรือกล่อง "รอทำลาย" ที่ไม่ล็อก
- หน้าจอเปิดค้างโดยไม่มีคนอยู่
- ผู้รับจ้างทำลายเอกสารไม่มีสัญญาหรือใบรับรองการทำลาย หรือขนเอกสารไปเก็บที่อื่นก่อน
ถ้าพลาดไปแล้ว ทำตามลำดับนี้
- ปล่อยคนแปลกหน้าเข้ามา หรือสงสัยว่ามีผู้บุกรุก แจ้ง รปภ. หรือแผนกต้อนรับทันที บอกลักษณะ เวลา และจุดที่เห็น ไม่ต้องเผชิญหน้าเอง ถ้าเขาเข้าห้องไปแล้ว ให้ IT ตรวจอุปกรณ์ที่ถูกแตะหรือเสียบ และบันทึกชื่อ บริษัท เวลา
- บัตรพนักงานหาย หรือให้คนอื่นยืมไป แจ้งระงับบัตรทันที องค์กรต้องเปลี่ยนหรือยกเลิกบัตรที่หาย
- คิดว่ามีคนเห็นรหัสผ่านหรือ PIN เปลี่ยนรหัสทันที ไม่ใช้รหัสซ้ำ และแจ้งฝ่าย IT ให้เฝ้าระวัง
- เอกสารหรืออุปกรณ์ที่มีข้อมูลส่วนบุคคลหาย ทิ้งผิดที่ หรือส่งผิดคน แจ้งหัวหน้าและเจ้าหน้าที่คุ้มครองข้อมูล (DPO) ทันที เหตุจากความประมาทหรืออุบัติเหตุก็นับเป็นการละเมิด และองค์กรต้องแจ้ง สคส. โดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุ ถ้ามีความเสี่ยงต่อสิทธิของเจ้าของข้อมูล
- เจอเอกสารข้อมูลของคนอื่นนอกองค์กร อย่าโพสต์หรือแชร์ภาพ แจ้งหน่วยงานเจ้าของข้อมูล หรือแจ้ง สคส. ที่ 02-111-8800
- หลังเหตุ ทบทวนมาตรการ ประกาศ สคส. ถือว่าเมื่อเกิดเหตุละเมิดต้องทบทวนมาตรการเสมอ แล้วนำกรณีนี้ไปเล่าให้ทีมฟัง
ลองตอบ ข้อ 1 จาก 3
มีคนถือกล่องเต็มมือ ขอให้คุณช่วยถือประตูที่ต้องแตะบัตร ควรทำอย่างไร
- ถือประตูให้ เพราะเขาดูเหมือนช่างจริง
- บอกสุภาพว่าขอให้แตะบัตรเอง ถ้าไม่มีบัตรให้พาไปลงทะเบียนที่ต้อนรับ
- ให้ยืมบัตรของคุณไปแตะ
บัตรหนึ่งใบใช้ได้กับคนเดียว ผู้มาติดต่อต้องลงทะเบียนและมีพนักงานพา การถือประตูให้คือช่องที่ผู้บุกรุกใช้เดินตามเข้ามา
ลองตอบ ข้อ 2 จาก 3
เอกสารรายชื่อลูกค้าที่มีเลขบัตรประชาชน ใช้เสร็จแล้วควรทิ้งอย่างไร
- ทิ้งถังขยะธรรมดา เพราะไม่มีใครค้นหรอก
- เก็บไว้ใช้เป็นกระดาษทดด้านหลัง
- ใส่ถังเอกสารลับที่ล็อก หรือย่อยด้วยเครื่องแบบ cross-cut
กฎหมายคุ้มครองข้อมูลบนกระดาษเหมือนข้อมูลอิเล็กทรอนิกส์ และ NIST ระบุว่ากระดาษต้องใช้วิธีทำลายจริง เช่น ย่อย ไม่ใช่แค่ทิ้งหรือใช้ซ้ำ
ลองตอบ ข้อ 3 จาก 3
กล่องเอกสารลูกค้าหายระหว่างรอส่งทำลาย ควรทำอะไรก่อน
- แจ้งหัวหน้าและเจ้าหน้าที่คุ้มครองข้อมูล (DPO) ทันที
- รอดูสักสัปดาห์ว่าจะหาเจอไหม
- เงียบไว้ เพราะไม่ได้ตั้งใจ
เหตุจากความประมาทหรืออุบัติเหตุก็นับเป็นการละเมิดข้อมูล และองค์กรต้องแจ้ง สคส. ภายใน 72 ชั่วโมงนับแต่ทราบเหตุถ้ามีความเสี่ยงต่อเจ้าของข้อมูล การแจ้งช้าทำให้แก้ไม่ทัน
จำให้ได้
- หนึ่งบัตร หนึ่งคน ไม่มีใครตามเข้า
- ลุกจากโต๊ะ ล็อกจอ เก็บเอกสาร
- กระดาษมีชื่อคน ทิ้งลงถังล็อกเท่านั้น
ทำได้วันนี้
- ตั้งล็อกหน้าจออัตโนมัติ และกด Windows + L ทุกครั้งที่ลุกจากโต๊ะ
- หันจอไม่ให้ออกทางเดินหรือหน้าต่าง หรือขอฟิล์มกันมองจอถ้านั่งในพื้นที่เปิด
- เก็บเอกสารลับเข้าตู้ล็อกก่อนเลิกงาน และลบไวท์บอร์ดหลังประชุม
- รับงานพิมพ์ทันทีที่สั่ง หรือใช้ระบบปล่อยงานพิมพ์ด้วยบัตร
- บันทึกเบอร์ รปภ. แผนกต้อนรับ และช่องทางแจ้งบัตรหายไว้ในโทรศัพท์
- ตรวจฉากหลังทุกครั้งก่อนโพสต์รูปจากที่ทำงาน
จบบท
เฝ้าประตูเป็น
อ่านต่อ ทำแบบฝึก และดูแหล่งอ้างอิง 25 รายการได้ที่หน้าบทเรียน
itsl-security-awareness.pages.dev/topics/physical-security/
เนื้อหาเพื่อการศึกษา ไม่ใช่คำแนะนำทางกฎหมายหรือการเงินเฉพาะบุคคล ตัวอย่างข้อความ ชื่อบุคคล หน่วยงาน และโดเมนในแบบฝึกเป็นชื่อสมมติ
→ หรือ Space = ถัดไป (เปิดเฉลยทีละจุด) · ← = ย้อน · F = เต็มจอ · Esc = ออก · ทุกชื่อ เบอร์ และลิงก์ในสไลด์เป็นตัวอย่างสมมติ