IT Select Lab

ที่ทำงาน · เริ่มต้น · ประมาณ 8 นาที

แจ้งเร็ว ไม่ถูกตำหนิ บริษัทปลอดภัย

ข้อมูลรั่วในที่ทำงานส่วนใหญ่เริ่มจากเรื่องเล็กในวันธรรมดา และสิ่งที่ช่วยได้มากที่สุดคือคนที่กล้าบอกว่า "ผมพลาดไปแล้ว"

0/5

สรุปใน 3 บรรทัด

  1. เหตุข้อมูลรั่วในที่ทำงานมักเริ่มจากเรื่องเล็ก เช่น ส่งอีเมลผิดคน เสียบ USB แปลกหน้า ทิ้งหน้าจอไว้ไม่ล็อก หรือเอาข้อมูลงานไปใส่เครื่องมือส่วนตัว [11][8][6]
  2. หน่วยงานความมั่นคงไซเบอร์ของสหราชอาณาจักร (NCSC) ยืนยันว่าการโทษคนที่พลาดไม่ได้ผล มีแต่ทำให้คนไม่กล้ารายงาน องค์กรจึงควรวัดที่ "การรายงาน" ไม่ใช่ "จำนวนคนกด" [5]
  3. นิสัยพื้นฐาน 4 อย่างที่ใช้ได้ทุกที่ คือรู้ทันฟิชชิง ใช้รหัสผ่านแข็งแรง เปิดยืนยันตัวตนหลายขั้น และอัปเดตซอฟต์แวร์ [9]

ทำสิ่งนี้ตอนนี้

  • ซ้อมกดล็อกหน้าจอด้วยปุ่ม Windows + L (หรือ Control + Command + Q บน Mac) ให้เป็นนิสัยก่อนลุกจากโต๊ะทุกครั้ง [13]
  • ถามหัวหน้าหรือฝ่ายไอทีวันนี้ว่า "ถ้าผมกดลิงก์แปลกหรือส่งไฟล์ผิดคน ต้องแจ้งใคร ทางไหน" แล้วบันทึกช่องทางนั้นไว้ [5]
  • ตรวจว่ามี USB หรือไฟล์งานอยู่ในไดรฟ์หรือคลาวด์ส่วนตัวหรือไม่ ถ้ามี ขอให้ฝ่ายไอทีช่วยย้ายเข้าระบบที่อนุมัติ [6][8]

1 ลองคิด

ถ้าคุณเพิ่งกดส่งอีเมลที่มีไฟล์เงินเดือนทั้งบริษัทไปให้คนนอกโดยไม่ตั้งใจ คุณจะบอกใครเป็นคนแรก หรือจะเงียบไว้ก่อน

คำตอบที่ถูกคือบอกหัวหน้าหรือฝ่ายไอทีทันที เพราะยิ่งรู้เร็ว ยิ่งแก้ได้มาก และองค์กรที่ดีจะไม่ลงโทษคนที่รายงาน

ไม่ต้องตอบใคร แค่ตอบในใจ แล้วอ่านต่อ

2 ดูสัญญาณ

เรื่องนี้เกิดขึ้นอย่างไร

เหตุข้อมูลรั่วในที่ทำงานส่วนใหญ่ไม่ได้เริ่มจากแฮกเกอร์เก่งกาจ แต่เริ่มจากเรื่องเล็กในวันธรรมดา อีเมลที่ส่งผิดคนเพราะระบบเติมชื่อผู้รับให้ ไดรฟ์ USB ที่เสียบโดยไม่รู้ที่มา หน้าจอที่เปิดค้างไว้ตอนลุกไปชงกาแฟ หรือไฟล์ลูกค้าที่ถูกวางในคลาวด์ส่วนตัวเพราะระบบบริษัท "ใช้ยาก" ในสหราชอาณาจักร การส่งอีเมลหรือเอกสารผิดผู้รับเป็นประเภทเหตุข้อมูลรั่วที่ถูกรายงานต่อหน่วยงานกำกับดูแลข้อมูล (ICO) มากที่สุด [11][12]

องค์กรหลายแห่งตอบสนองด้วยการหาคนผิด แต่หน่วยงานความมั่นคงไซเบอร์ของสหราชอาณาจักร (NCSC) ระบุชัดว่าการโทษคนที่กดลิงก์ไม่ได้ผล การลงโทษทำลายความไว้วางใจและทำให้พนักงานไม่กล้ารายงาน องค์กรจึงรู้ตัวช้าลง NCSC แนะให้วัดผลจาก "จำนวนคนที่รายงาน" ไม่ใช่ "จำนวนคนที่กด" [5] หลักเดียวกันใช้กับไอทีเงา (Shadow IT คือเครื่องมือที่พนักงานใช้ทำงานโดยองค์กรไม่รู้หรือไม่อนุมัติ) เพราะการลงโทษทำให้ความเสี่ยงซ่อนตัว และสาเหตุหลักมักเป็นความต้องการของงาน ไม่ใช่เจตนาแหกกฎ [6]

ลองนึกภาพว่าที่ทำงานคือบ้านหลังใหญ่ที่ทุกคนถือกุญแจคนละดอก ประตูจะแข็งแรงแค่ไหนก็ไม่มีความหมาย ถ้ามีใครเปิดทิ้งไว้ หรือเปิดให้คนแปลกหน้าที่เดินตามหลังมาเพราะเกรงใจ ความปลอดภัยในที่ทำงานจึงไม่ใช่เรื่องของฝ่ายไอทีคนเดียว แต่เป็นนิสัยเล็ก ๆ ของทุกคนที่ถือกุญแจ

ความเสี่ยงใหม่คือการนำข้อมูลองค์กรไปป้อนแชตบอต AI ส่วนตัว ซึ่ง NCSC จัดเป็นไอทีเงารูปแบบหนึ่ง เช่นเดียวกับคลาวด์ส่วนตัวและแอปแชตที่ไม่ได้รับอนุมัติ [6] ส่วนภาพรวม รายงาน DBIR ปี 2026 ของ Verizon ระบุว่า 48% ของเหตุข้อมูลรั่วเกี่ยวข้องกับแรนซัมแวร์ และ 31% เริ่มจากช่องโหว่ซอฟต์แวร์ [14] การอัปเดตเครื่องตามที่ฝ่ายไอทีแจ้งจึงเป็นการปิดประตูบานที่คนร้ายใช้บ่อยที่สุด

เส้นทางการหลอก ทีละขั้น

  1. มีข้อความทางแชตหรืออีเมลอ้างเป็นผู้บริหาร บอกว่าติดประชุม โทรไม่สะดวก ขอให้ช่วยเรื่องด่วน ชื่อและรูปโปรไฟล์ดูเหมือนจริงเพราะหาได้จากเว็บบริษัทและโซเชียล NCSC ชี้ว่าองค์กรไม่ควรพึ่งการ "ดูออก" ของพนักงานเพียงอย่างเดียว [5]

ใช้ปุ่มลูกศรซ้าย/ขวา หรือกดแต่ละขั้นเพื่อดูรายละเอียด

สัญญาณเตือน

  • ข้อความจาก "ผู้บริหาร" หรือ "คู่ค้า" ขอให้โอนเงิน ซื้อบัตรของขวัญ เปลี่ยนเลขบัญชี หรือส่งไฟล์ด่วน โดยให้ทำนอกขั้นตอนปกติ NCSC แนะให้มีขั้นตอนยืนยันที่ปลอมยาก ไม่พึ่งการ "ดูออก" ของพนักงานอย่างเดียว [5]
  • พบไดรฟ์ USB หรืออุปกรณ์ไม่ทราบที่มาวางอยู่ในออฟฟิศหรือลานจอดรถ [8]
  • คนแปลกหน้าอยู่ในพื้นที่ทำงานโดยไม่มีบัตรหรือผู้พา หรือขอให้ "ช่วยเปิดประตูหน่อย"
  • หน้าจอเปิดค้างไว้โดยไม่มีคนอยู่ หรือเอกสารค้างอยู่บนเครื่องพิมพ์ [10]
  • เพื่อนร่วมงานเก็บไฟล์ลูกค้าในไดรฟ์ส่วนตัว หรือส่งงานผ่านแอปแชตส่วนตัว [6]
  • ตัวคุณเองเพิ่งกดลิงก์หรือเปิดไฟล์แนบ แล้วรู้สึกว่า "แปลก ๆ" ความรู้สึกนี้คือสัญญาณให้แจ้ง ไม่ใช่ให้เงียบ [5]

สัญญาณที่ชัดที่สุดคือความเร่งด่วนที่มาพร้อมการขอให้ข้ามขั้นตอน งานด่วนจริงยังผ่านขั้นตอนได้ งานที่ "ด่วนจนห้ามตรวจสอบ" คือกลโกง

ของจริง หรือของปลอม

อ่านตัวอย่างแล้วตัดสินใจก่อน จากนั้นกดเปิดเฉลย

ตัวอย่างเพื่อการศึกษา — ชื่อบุคคล หน่วยงาน เบอร์ และโดเมนในตัวอย่างเป็นชื่อสมมติ

แชตจาก "ซีอีโอ" ขอบัตรของขวัญ

ผมวิชัยนะ ติดประชุมกับลูกค้าอยู่ โทรไม่สะดวก ช่วยซื้อบัตรของขวัญร้านออนไลน์ใบละ 5,000 บาท 4 ใบ แล้วถ่ายรหัสหลังบัตรส่งมาด่วน เดี๋ยวเบิกคืนให้ เรื่องนี้ยังไม่ต้องบอกใครนะ

อีเมลจากฝ่ายไอทีแจ้งอบรม

คู่ค้าแจ้งเปลี่ยนเลขบัญชี

3 ลองเลือก

สถานการณ์จำลอง แชตจาก "ซีอีโอ" ตอนห้าโมงเย็น

ตัวอย่างเพื่อการศึกษา — ชื่อบุคคล หน่วยงาน เบอร์ และโดเมนในตัวอย่างเป็นชื่อสมมติ

คุณเป็นพนักงานฝ่ายธุรการ ห้าโมงเย็นวันศุกร์ มีแชตเข้ามาจากบัญชีที่ใช้ชื่อและรูปของซีอีโอ ลองเลือกคำตอบที่คุณจะพิมพ์จริง ๆ ชื่อทุกชื่อในนี้เป็นเรื่องสมมติ

คุณวิชัย (CEO) ผ่านแอปแชต

แชทเข้า

    ลองตอบ

    1. เพื่อนร่วมงานกดลิงก์ในอีเมลไปแล้ว แล้วเพิ่งรู้สึกว่าแปลก ๆ ควรทำอย่างไร
    2. เจอไดรฟ์ USB วางอยู่ในลานจอดรถของบริษัท เขียนว่า "เงินเดือนผู้บริหาร" ควรทำอย่างไร
    3. อยากใช้แชตบอต AI ช่วยสรุปรายงานที่มีชื่อและเบอร์ลูกค้า ทำอย่างไรจึงปลอดภัย

    4 วิธีรับมือ

    วิธีป้องกัน

    โต๊ะสะอาด หน้าจอสะอาด ล็อกหน้าจอทุกครั้งที่ลุกจากโต๊ะ และไม่ทิ้งเอกสารลับหรือสื่อบันทึกข้อมูลไว้ให้คนอื่นเห็น นี่คือการควบคุมหนึ่งในมาตรฐาน ISO/IEC 27001:2022 [10] และเป็นมาตรการที่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ใช้กับบุคลากรของตนเองเมื่อทำงานจากบ้าน โดยให้กด Windows + L ทุกครั้งที่ลุกจากโต๊ะ [13]

    ไดรฟ์ USB CISA เตือนว่ามัลแวร์แพร่ผ่านไดรฟ์ได้ อุปกรณ์บางชิ้นติดมัลแวร์มาตั้งแต่ต้น และไดรฟ์หายง่าย จึงไม่ควรเสียบไดรฟ์ที่ไม่รู้ที่มา ให้ส่งฝ่ายไอทีแทน แยกไดรฟ์งานกับส่วนตัว เข้ารหัสข้อมูล และปิดการเปิดไฟล์อัตโนมัติ (Autorun) [8]

    ก่อนกดส่ง อ่านชื่อผู้รับและชื่อไฟล์แนบอีกหนึ่งครั้ง โดยเฉพาะเมื่อระบบเติมชื่อให้เอง เพราะการส่งผิดผู้รับคือเหตุที่พบมากที่สุดในสถิติของ ICO [11][12]

    ใช้เครื่องมือที่องค์กรอนุมัติ ทั้งคลาวด์ แอปแชต และ AI ถ้าเครื่องมือไม่พอใช้ ให้ขอผ่านฝ่ายไอที ไม่ใช่หาทางเองเงียบ ๆ NCSC ชี้ว่าองค์กรมีหน้าที่จัดหาทางเลือกที่ปลอดภัยและทำให้ขอได้เร็ว [6] ถ้าใช้มือถือส่วนตัวทำงาน ตกลงกับองค์กรให้ชัดว่าจะดูแลเครื่องอย่างไร เพราะองค์กรเป็นเจ้าของข้อมูลแต่คุณเป็นเจ้าของเครื่อง [7] ก่อนวางข้อความลงแชตบอต AI ให้ถามตัวเองว่า "ถ้าข้อความนี้หลุดไปข้างนอก จะเดือดร้อนไหม" ชื่อลูกค้า เลขบัตร เงินเดือน สัญญา และซอร์สโค้ด ไม่ควรเข้าเครื่องมือส่วนตัว [6]

    สี่นิสัยพื้นฐาน CISA สรุปว่าทุกคนควรรู้ทันและรายงานฟิชชิง ใช้รหัสผ่านแข็งแรง เปิดยืนยันตัวตนหลายขั้น (MFA) และอัปเดตซอฟต์แวร์ [9]

    ผู้มาเยือนและประตู ติดบัตรให้เห็น พาผู้มาเยือนตลอดเวลา และถ้ามีคนขอให้ช่วยเปิดประตูโดยไม่มีบัตร ให้พาไปจุดต้อนรับแทน

    สำหรับองค์กร ทำช่องทางรายงานให้ง่าย เร็ว มีคำตอบกลับ และประกาศชัดว่าคนที่รายงานจะไม่ถูกลงโทษ โดยมีฝ่ายบุคคลและผู้บริหารหนุน [5][6] NIST SP 800-50 Rev. 1 (กันยายน 2024) แนะให้มีโปรแกรมการเรียนรู้ที่วางแผน วิเคราะห์ ลงมือ และประเมินต่อเนื่อง โดยมุ่งเปลี่ยนพฤติกรรมและสร้างวัฒนธรรม ไม่ใช่แค่อบรมปีละครั้ง [1][3]

    ถ้าพลาดไปแล้ว ทำอะไรก่อน

    1. ส่งอีเมลหรือไฟล์ผิดคน แจ้งหัวหน้า ฝ่ายไอที หรือเจ้าหน้าที่คุ้มครองข้อมูล (DPO) ทันที อย่าปิดบัง ยิ่งรู้เร็วยิ่งตามเก็บได้มาก [5] ถ้าไฟล์มีข้อมูลส่วนบุคคล องค์กรต้องประเมินความเสี่ยงและอาจต้องแจ้ง สคส. ภายใน 72 ชั่วโมง (อ่านต่อในบท "เมื่อเกิดเหตุ ทำอะไรก่อน")
    2. เสียบไดรฟ์แปลกหน้าหรือกดลิงก์ไปแล้ว ถอดสายเครือข่ายหรือปิด Wi-Fi แจ้งฝ่ายไอที อย่าลบหลักฐาน และเปลี่ยนรหัสผ่านตามคำแนะนำของฝ่ายไอที [8][9]
    3. เครื่องหรือไดรฟ์หาย แจ้งฝ่ายไอทีเพื่อลบข้อมูลระยะไกลและเพิกถอนสิทธิ์เข้าระบบ [7]
    4. เผลอใช้เครื่องมือนอกระบบ แจ้งเพื่อย้ายข้อมูลเข้าระบบที่อนุมัติ NCSC แนะให้องค์กร "ย้าย" ไม่ใช่ "ลงโทษ" [6]
    5. เหตุระดับระบบ เช่น ไฟล์ถูกเข้ารหัสเรียกค่าไถ่ ทีมไอทีขอคำแนะนำจาก ThaiCERT ภายใต้ สกมช. ได้ (ดูช่องทางในบท "เมื่อเกิดเหตุ ทำอะไรก่อน")

    ข้อผิดพลาดที่พบบ่อย

    • เงียบไว้เพราะกลัวถูกตำหนิ ข้อผิดพลาดที่แพงที่สุด เพราะทำให้องค์กรรู้ช้า [5]
    • เสียบไดรฟ์ "แค่ดูว่าของใคร" การเสียบครั้งเดียวก็พอให้มัลแวร์ทำงาน [8]
    • เชื่อว่าระบบกรองจับได้หมด NCSC ยกกรณีบริษัทที่ได้รับอีเมลหลอก 1,800 ฉบับ ตัวกรองหยุดได้ 1,750 มีคนกด 14 คน และระบบที่อัปเดตทันทำให้ติดเพียงเครื่องเดียว ความปลอดภัยมีหลายชั้น และคนที่รายงานคือชั้นสำคัญ [5]
    • คิดว่าแนวปฏิบัติพวกนี้เป็นกฎหมายไทย บทนี้เป็นแนวปฏิบัติสากลจาก NIST, NCSC และ CISA ข้อบังคับจริงขึ้นกับนโยบายของแต่ละองค์กร [1][5][9]

    ใช้ในชีวิตจริงและที่ทำงาน

    ที่บ้าน เมื่อทำงานจากบ้าน ใช้เฉพาะอุปกรณ์และระบบที่องค์กรอนุมัติ เปิดยืนยันตัวตนสองขั้น เลี่ยง Wi-Fi สาธารณะ ไม่ดาวน์โหลดไฟล์สำคัญลงเครื่องส่วนตัวโดยไม่จำเป็น และไม่โพสต์ลิงก์ห้องประชุมในที่สาธารณะ ตามมาตรการที่ สคส. ใช้กับบุคลากรของตนเอง [13] ถ้าใช้มือถือส่วนตัวอ่านอีเมลงาน ตั้งรหัสล็อกเครื่องและตกลงกับฝ่ายไอทีเรื่องการลบข้อมูลระยะไกลเมื่อเครื่องหาย [7]

    ที่ทำงาน ตกลงทั้งทีมว่าคำสั่งโอนเงิน ซื้อของ หรือส่งข้อมูลที่มาทางแชตหรืออีเมล ต้องยืนยันผ่านช่องทางที่สองเสมอ ไม่ว่าจะมาจากใคร และซ้อมประโยค "ขอโทรกลับเบอร์ที่บริษัทมีนะคะ" ให้พูดได้โดยไม่ลังเล ผู้บริหารควรเป็นคนแรกที่บอกว่า "ถ้าผมสั่งอะไรทางแชต โทรเช็กผมได้เสมอ" [5]

    ในร้านกาแฟหรือระหว่างเดินทาง ล็อกหน้าจอทุกครั้งที่ลุกไปสั่งเครื่องดื่ม นั่งหันหลังชิดผนังถ้าต้องเปิดเอกสารลับ และเลี่ยง Wi-Fi สาธารณะสำหรับงาน [13]

    ถ้าแหล่งข้อมูลเห็นต่าง

    • ตัวเลข "ส่งผิดผู้รับ" บทวิเคราะห์ของ Osterman Research ที่อ่านจากแดชบอร์ด ICO ระบุว่าคิดเป็น 21% ของเหตุช่วงตุลาคมถึงธันวาคม 2024 [11] แต่แดชบอร์ดของ ICO เองดึงตัวเลขออกมาตรวจไม่ได้ และแหล่งอื่นให้ตัวเลขต่างกันตามช่วงเวลา [12] บทนี้จึงใช้เพียงว่า "เป็นประเภทที่พบมากที่สุด"
    • ISO/IEC 27001 เว็บไซต์ของ ISO เปิดไม่ได้ในวันที่ค้น จึงยืนยันชื่อมาตรฐานและหมายเลขการควบคุมผ่านผลค้นหาเท่านั้น [10]
    • การเดินตามเข้าประตู ไม่พบหน้าทางการของ NCSC, CISA หรือ สกมช. ที่พูดเรื่องนี้โดยตรง คำแนะนำในบทนี้จึงเป็นหลักปฏิบัติทั่วไป
    • มาตรการทำงานจากบ้านของ สคส. ยืนยันได้จากรายงานข่าวเท่านั้น และเป็นมาตรการภายในสำนักงาน ไม่ใช่ข้อบังคับสำหรับทุกองค์กร [13]
    • สัดส่วน "ความผิดพลาดของคน" ใน DBIR หน้ารายงานปี 2026 ไม่แสดงตัวเลขนี้ บทนี้จึงไม่ใช้ตัวเลขที่จำกันมาจากฉบับก่อน [14]

    5 จำให้ได้

    ทำได้วันนี้

    ติ๊กแล้วจำไว้ในเครื่องนี้เท่านั้น

    ประโยคจำง่าย

    ลุกจากโต๊ะ ล็อกจอก่อน
    จากบท ความปลอดภัยในที่ทำงาน
    ไดรฟ์ไม่รู้ที่มา ไม่เสียบ ส่งไอที
    จากบท ความปลอดภัยในที่ทำงาน
    ด่วนแค่ไหน ก็โทรถามอีกช่องทาง
    จากบท ความปลอดภัยในที่ทำงาน

    คำศัพท์ในบทนี้

    โต๊ะสะอาด หน้าจอสะอาด (clear desk, clear screen)
    แนวปฏิบัติที่ไม่ทิ้งเอกสารลับ สื่อบันทึกข้อมูล หรือหน้าจอที่เปิดค้างไว้เมื่อไม่มีคนอยู่ เป็นหนึ่งในการควบคุมของมาตรฐาน ISO/IEC 27001:2022 [10]
    ไอทีเงา (Shadow IT)
    เครื่องมือที่พนักงานใช้ทำงานโดยองค์กรไม่รู้หรือไม่อนุมัติ เช่น คลาวด์ส่วนตัว แอปแชตส่วนตัว หรือแชตบอต AI ที่ป้อนข้อมูลองค์กรเข้าไป [6]
    เดินตามเข้าประตู (tailgating)
    การที่คนไม่มีสิทธิ์เดินตามพนักงานเข้าพื้นที่ควบคุมโดยไม่สแกนบัตร มักอาศัยความเกรงใจ เช่น ถือของเต็มมือแล้วขอให้ช่วยเปิดประตู
    ส่งผิดผู้รับ (misdelivery)
    การส่งอีเมลหรือเอกสารไปยังคนที่ไม่ควรได้รับ มักเกิดจากระบบเติมชื่อผู้รับอัตโนมัติหรือแนบไฟล์ผิด เป็นประเภทเหตุข้อมูลรั่วที่ถูกรายงานมากที่สุดในสหราชอาณาจักร [11][12]
    ใช้อุปกรณ์ส่วนตัวทำงาน (BYOD)
    การใช้มือถือหรือโน้ตบุ๊กของตัวเองเข้าถึงข้อมูลองค์กร องค์กรเป็นเจ้าของข้อมูลแต่พนักงานเป็นเจ้าของเครื่อง จึงต้องตกลงกันว่าจะดูแลเครื่องอย่างไร [7]
    วัฒนธรรมรายงานโดยไม่ตำหนิ (no-blame reporting)
    แนวทางที่องค์กรทำให้การรายงานเหตุง่าย เร็ว มีคำตอบกลับ และยืนยันว่าคนที่รายงานจะไม่ถูกลงโทษ เพื่อให้รู้ปัญหาเร็วขึ้น [5][6]

    ดูอภิธานศัพท์ทั้งเว็บ

    แหล่งอ้างอิง

    ตรวจทานล่าสุด 28 ต.ค. 2569 · ระดับความมั่นใจของเนื้อหา: ปานกลาง

    1. SP 800-50 Rev. 1, Building a Cybersecurity and Privacy Learning Program (CSRC page) — NIST, 2024-09-12 · ระดับแหล่ง 2 (csrc.nist.gov)
    2. NIST SP 800-50r1 full PDF — NIST, 2024-09 · ระดับแหล่ง 2 (nvlpubs.nist.gov)
    3. Top Tips for Staff: help your staff keep your organisation safe online — NCSC (UK), 2025-05-19 · ระดับแหล่ง 2 (ncsc.gov.uk)
    4. Phishing attacks: defending your organisation (v2.0) — NCSC (UK), 2024-02-13 · ระดับแหล่ง 2 (ncsc.gov.uk)
    5. Shadow IT guidance (v1.0) — NCSC (UK), 2023-07-27 · ระดับแหล่ง 2 (ncsc.gov.uk)
    6. Bring your own device (BYOD) - Device Security Guidance v2.1 — NCSC (UK), 2025-05-13 · ระดับแหล่ง 2 (ncsc.gov.uk)
    7. Using Caution with USB Drives — CISA, 2021-02-01 · ระดับแหล่ง 2 (cisa.gov)
    8. Secure Our World — CISA, 2026-10 · ระดับแหล่ง 2 (cisa.gov)
    9. ISO/IEC 27001:2022 Information security management systems (overview page) — ISO, 2022 · ระดับแหล่ง 2 (iso.org)
    10. Misdirected communications - 2024 update from the ICO — Osterman Research, 2025-03-27 · ระดับแหล่ง 4 (ostermanresearch.com)
    11. Data security incident trends — ICO (UK), 2025-10-10 · ระดับแหล่ง 2 (ico.org.uk)
    12. สคส. กำหนด 6 มาตรการเข้ม ยกระดับความปลอดภัยข้อมูล รับมือ work from home — ฐานเศรษฐกิจ (อ้าง สคส.), 2026-03-17 · ระดับแหล่ง 4 (thansettakij.com)
    13. 2026 Data Breach Investigations Report (summary page) — Verizon, 2026 · ระดับแหล่ง 3 (verizon.com)

    แนวปฏิบัติหลักมาจาก NIST, NCSC และ CISA ซึ่งเปิดอ่านได้จริง แต่ยังไม่พบแหล่งไทยทางการที่พูดถึงแนวปฏิบัติของพนักงานโดยตรง บทนี้จึงเป็น "แนวปฏิบัติสากล" ไม่ใช่ข้อบังคับตามกฎหมายไทย

    เนื้อหาเพื่อการศึกษา ไม่ใช่คำแนะนำทางกฎหมายหรือการเงินเฉพาะบุคคล ตัวอย่างข้อความ ชื่อบุคคล หน่วยงาน และโดเมนในแบบฝึกเป็นชื่อสมมติ · เนื้อหาตรวจทานตามนโยบายเนื้อหา

    บทที่เกี่ยวข้อง