สำนักงานกฎหมายใช้รหัสแม่ข้ามบัญชี ทำให้ข้อมูลลูกค้าเสี่ยงละเมิด

การเปิดเผยจากผู้ร่วมงานด้านไอทีของสำนักงานกฎหมายหนึ่งว่า ระบบจัดการข้อมูลลูกค้าของบริษัทใช้ รหัสผ่านหลักเดียว เพื่อเข้าสู่บัญชีผู้ใช้ทุกประเภท ทำให้ใครก็สามารถแอบอ้างเป็นพนักงานหรือแม้แต่ลูกค้าเพื่อเข้าถึงข้อมูลส่วนบุคคลที่ละเอียดอ่อนได้ง่าย ๆ ความเสี่ยงดังกล่าวส่งสัญญาณเตือนถึงความสำคัญของการจัดการสิทธิ์เข้าถึงในองค์กรที่ต้องปกป้องข้อมูลความลับของลูกค้าอย่างเคร่งครัด

Overview

ระบบที่ถูกใช้โดยสำนักงานกฎหมายแห่งนี้เป็นแพลตฟอร์มเว็บแบบรวมศูนย์ซึ่งแบ่งส่วนหน้าต่างผู้ใช้ตามประเภทคดี เช่น คดีอันตรายต่อร่างกายและการขอคืนเงินค่าเดินทาง การเข้าถึงทั้งหมดถูกรวบรวมไว้ภายใน อินเทอร์เฟซเดียว ที่ทำงานร่วมกับฐานข้อมูลเก่าอายุประมาณ 15 ปี ตามที่ Manny ซึ่งเป็นผู้ดูแลไอทีของบริษัทให้ข้อมูล

Manny พบว่ามีช่องโหว่หลักคือ **รหัสผ่านผู้ดูแลองค์กร (master password) ซึ่งสามารถใช้ล็อกอินในชื่อใดก็ได้โดยไม่ต้องยืนยันตัวตนเพิ่มเติม การมีรหัสนี้อยู่ในมือของหลายคนทำให้การเข้าถึงข้อมูลส่วนบุคคลของลูกค้ารวมถึงบันทึกสุขภาพกลายเป็นเรื่องง่ายมาก

Security Flaw Details

การใช้ master password เป็นแนวทางที่ขัดต่อหลักการ “least privilege” ซึ่งควรจำกัดสิทธิ์ของผู้ใช้งานให้เท่าที่จำเป็นเท่านั้น การที่ทุกคนในสำนักงานสามารถใช้รหัสเดียวกันได้ ทำให้ไม่มีระบบตรวจสอบหรือบันทึกการกระทำของผู้ใช้ใดผู้หนึ่งอย่างชัดเจน

จากข้อมูลของ Manny รหัสนี้ยังสามารถใช้ร่วมกับ อีเมลของผู้ใช้งาน เพื่อสวมบทบาทเป็นบุคคลนั้นโดยตรง ไม่ว่าจะเป็นพนักงานที่ขาดสายหรือแม้แต่ลูกค้า ทำให้ผู้ไม่ประสงค์ดีสามารถ:

• แก้ไขข้อมูลกรณีของลูกค้าโดยไม่ต้องแจ้งให้เจ้าของทราบ
• ย้ายภาระงานจากพนักงานที่ลาป่วยไปยังคนอื่นได้ทันที

การไม่มีระบบ audit trail ที่บันทึกว่าใครเป็นผู้ทำการเปลี่ยนแปลง ทำให้ยากต่อการสืบค้นเหตุการณ์และตรวจจับการละเมิดความปลอดภัย

Management Response

เมื่อ Manny รายงานปัญหาให้ผู้บริหารรับทราบ เขาได้รับคำตอบว่า “นี่คือรหัสผ่านผู้ดูแลระบบ, ทุกคนใช้กันอยู่” และถูกสั่งห้ามแก้ไขโดยตรง การตอบสนองเช่นนี้สะท้อนถึงความเข้าใจที่จำกัดของฝ่ายบริหารต่อความเสี่ยงด้านไซเบอร์

แม้ว่าระบบจะเก่าและต้องการการเปลี่ยนแปลง Manny ถูกมอบหมายให้สร้างระบบใหม่ แต่เมื่อเขาปฏิเสธไม่ใส่ “back door” ตามที่หัวหน้าต้องการ ระบบก็ยังคงเปิดให้ **ผู้ใช้ทุกคนเป็นผู้ดูแลระบบ (admin) ต่อไปโดยไม่มีการปรับเปลี่ยนโครงสร้างสิทธิ์

Technical Implications

ระบบเก่าอายุ 15 ปีมีข้อจำกัดหลายด้าน:

• ไม่รองรับมาตรฐานการเข้ารหัสสมัยใหม่ เช่น TLS 1.3 หรือ AES‑256
• ขาดการจัดการ **multi‑factor authentication (MFA) ซึ่งเป็นขั้นตอนสำคัญในการป้องกันการแอบอ้างตัวตน
• การบันทึกกิจกรรมผู้ใช้ (logging) มีความละเอียดต่ำ ทำให้ไม่สามารถตรวจสอบเหตุการณ์ที่ผิดปกติได้

ผลกระทบต่อข้อมูลของลูกค้ากฎหมายคือการละเมิด **ข้อกำหนดการคุ้มครองข้อมูลส่วนบุคคล (PDPA) ซึ่งอาจทำให้สำนักงานต้องรับโทษทางกฎระเบียบและเสียชื่อเสียงอย่างรุนแรง

Industry Impact

กรณีนี้เป็นตัวอย่างที่ชัดเจนของการที่ ความเข้าใจด้าน IT ของผู้บริหาร ยังไม่สอดคล้องกับความเสี่ยงจริงในยุคดิจิทัล การใช้ “password shared across all accounts” ยังคงพบได้บ่อยในองค์กรขนาดเล็กหรือที่มีการอัปเดตเทคโนโลยีช้า

สำหรับสำนักงานกฎหมายซึ่งต้องปฏิบัติตามมาตรฐานความปลอดภัยของข้อมูลลูกค้า (เช่น ISO 27001 หรือ NIST CSF) การละเลยด้านนี้อาจทำให้เสียสัญญากับลูกค้าและพลาดโอกาสทางธุรกิจ นอกจากนี้ยังเป็นเหตุกระตุ้นให้ผู้ให้บริการซอฟต์แวร์ทางกฎหมายต้องเร่งปรับปรุงผลิตภัณฑ์ให้รองรับการจัดการสิทธิ์ที่ละเอียดขึ้น

Summary

การใช้ master password เป็นรากฐานของระบบจัดการข้อมูลในสำนักงานกฎหมายทำให้เกิดช่องโหว่ด้านความปลอดภัยอย่างรุนแรง แม้ผู้เชี่ยวชาญไอทีจะเตือนแต่การตัดสินใจของผู้บริหารที่ไม่คำนึงถึงหลักการ “least privilege” ทำให้ความเสี่ยงยังคงอยู่ การเปลี่ยนแปลงระบบโดยไม่มีการจัดโครงสร้างสิทธิ์ใหม่จึงเป็นเรื่องสำคัญต่อการปกป้องข้อมูลส่วนบุคคลและการปฏิบัติตามกฎระเบียบ.