'ขาดดุลดิจิทัล' ความเสี่ยงที่ซ่อนอยู่ ในกล่อง 'อีเมล' ของทุกองค์กร
การขาดดุลดิจิทัล
กำลังกลายเป็นโจทย์ที่มากกว่าการไหลออกของเม็ดเงินจากประเทศไทย
เมื่อผู้บริโภคและภาคธุรกิจจ่ายเงินให้บริการออนไลน์จากต่างประเทศเป็นจำนวนมาก
ขณะเดียวกันข้อมูลสำคัญขององค์กรจำนวนไม่น้อยยังถูกจัดเก็บและประมวลผลบนโครงสร้างพื้นฐานที่อยู่ภายใต้กฎหมายของประเทศอื่น
ข้อมูลจาก “ภาวุธ พงษ์วิทยภานุ”
สมาชิกสภาผู้แทนราษฎร พรรคประชาชน ระบุว่า ในช่วง 4 ปีที่ผ่านมา
ผู้บริโภคและภาคธุรกิจไทยจ่ายเงินให้ผู้ให้บริการออนไลน์จากต่างประเทศรวมมากกว่า
420,000 ล้านบาท
ตัวเลขดังกล่าวคำนวณจากการชำระเงินให้บริษัทต่างประเทศ
258 บริษัทที่จดทะเบียนอยู่ในระบบภาษีของไทย และยังไม่ถูกรวมอยู่ในบัญชีรายได้ประชาชาติของประเทศ
การไหลออกของเงินครอบคลุมตั้งแต่บริการสตรีมมิง
แพลตฟอร์มโฆษณา ระบบคลาวด์ ไปจนถึงเครื่องมือปัญญาประดิษฐ์ (AI)
ซึ่งสะท้อนถึงโครงสร้างเศรษฐกิจดิจิทัลของไทยยังต้องพึ่งพาผู้ให้บริการจากต่างประเทศในหลายระดับ
‘อีเมล’ ไม่ใช่แค่เครื่องมือสื่อสาร
ในมุมของ เบรต คันนิงแฮม
ประธานเจ้าหน้าที่ฝ่ายผลิตภัณฑ์ บริษัท Zimbra ผู้ให้บริการระบบอีเมลและแพลตฟอร์มการทำงานร่วมกันสำหรับองค์กร
มีมุมมองว่า
ประเด็นที่ถูกพูดถึงน้อยกว่าคือเงินที่ไหลออกผ่านโครงสร้างพื้นฐานดิจิทัลที่องค์กรใช้งานทุกวัน
โดยเฉพาะอีเมล การทำงานร่วมกัน (Collaboration) และระบบจัดการเอกสาร
บริการเหล่านี้อาจไม่ปรากฏในรูปแบบค่าใช้จ่ายที่ผู้บริโภคเห็นได้ชัดเหมือนค่าสมาชิกแพลตฟอร์มสตรีมมิงหรือค่าโฆษณา
แต่เป็นระบบที่รองรับการดำเนินงานขององค์กร
และเป็นพื้นที่จัดเก็บข้อมูลที่มีความอ่อนไหวสูง
อีเมลและแพลตฟอร์ม Collaboration
เป็นแหล่งเก็บข้อมูลสำคัญขององค์กร ทั้งข้อมูลลูกค้า
รายละเอียดทางการเงิน การสื่อสารภายใน และข้อมูลเกี่ยวกับการตัดสินใจทางธุรกิจ
ข้อมูลเหล่านี้ยังถูกนำไปใช้ในการวิเคราะห์ข้อมูลและการทำงานของ
AI
มากขึ้น ทำให้ตำแหน่งที่จัดเก็บข้อมูล รวมถึงเขตอำนาจทางกฎหมายที่ข้อมูลอยู่ภายใต้กลายเป็นประเด็นสำคัญ
หากระบบดังกล่าวถูกโฮสต์อยู่ในต่างประเทศและอยู่ภายใต้กฎหมายของประเทศอื่น
ความสามารถขององค์กรในการควบคุมข้อมูลที่มีความอ่อนไหวย่อมมีข้อจำกัด
PDPA เพิ่มแรงกดดันองค์กร
สำหรับประเทศไทยได้เห็นว่าทิศทางการบังคับใช้กฎหมายคุ้มครองข้อมูลส่วนบุคคลเริ่มมีความชัดเจนมากขึ้น
ในเดือน ส.ค. 2568 คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส. หรือ PDPC)
ออกคำสั่งปรับทางปกครองรวม 8 คำสั่งใน 5 คดี
ภายใต้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (PDPA) คิดเป็นมูลค่ารวม
14.5 ล้านบาทในการประกาศครั้งเดียว
ส่งผลให้ยอดค่าปรับสะสมนับตั้งแต่เริ่มบังคับใช้กฎหมายอยู่ที่ประมาณ 21.5 ล้านบาท
คดีดังกล่าวครอบคลุมทั้งหน่วยงานรัฐ
โรงพยาบาล ธุรกิจค้าปลีก และบริษัทเครื่องสำอาง โดยข้อบกพร่องที่พบ ได้แก่
การรักษาความมั่นคงปลอดภัยของข้อมูลไม่เพียงพอ การไม่รายงานเหตุละเมิดข้อมูล
และการกำกับดูแลผู้ประมวลผลข้อมูลหรือบุคคลที่สามที่ยังไม่มีประสิทธิภาพ
ต่อมาในเดือน ต.ค. 2568 ราชกิจจานุเบกษาประกาศให้หน่วยงานของรัฐทุกแห่งต้องแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล
หรือ Data
Protection Officer (DPO)
การเปลี่ยนแปลงดังกล่าวทำให้โจทย์ขององค์กรไม่ได้จำกัดอยู่ที่การมีนโยบายคุ้มครองข้อมูล
แต่รวมถึงความสามารถในการควบคุมและตรวจสอบระบบที่ใช้จัดเก็บข้อมูลด้วย
คำถามสำคัญจึงขยับจาก
“จะปฏิบัติตามกฎหมายหรือไม่” ไปสู่
“องค์กรสามารถควบคุมระบบและข้อมูลของตัวเองได้จริงเพียงใด”
SME แบกรับความเสี่ยงมากกว่า
ผลกระทบจากการขาดดุลดิจิทัลจึงไม่ได้หยุดอยู่ที่ระดับเศรษฐกิจมหภาค
แต่เชื่อมโยงกับความเสี่ยงในการดำเนินธุรกิจ
โดยเฉพาะกลุ่มธุรกิจขนาดกลางและขนาดย่อม (SME)
องค์กรขนาดใหญ่ เช่น
ธนาคารหรือบริษัทข้ามชาติ มีทรัพยากรในการต่อรองเงื่อนไขกับผู้ให้บริการระดับโลก
รวมถึงมีทีมงานด้านกฎหมาย การกำกับดูแล และความปลอดภัยไซเบอร์รองรับ
ในทางกลับกัน SME
มีอำนาจต่อรองกับผู้ให้บริการแพลตฟอร์มต่างประเทศน้อยกว่า
และอาจมองไม่เห็นอย่างชัดเจนว่าข้อมูลถูกประมวลผลที่ใด
หรืออยู่ภายใต้เขตอำนาจศาลใด ขณะเดียวกันยังมีงบประมาณจำกัดกว่าในการลงทุนด้านทีมรักษาความปลอดภัยและการกำกับดูแลข้อมูล
ความแตกต่างดังกล่าวทำให้ผลกระทบจากเหตุข้อมูลรั่วไหลหรือค่าปรับมีน้ำหนักไม่เท่ากัน
อาจส่งผลกระทบต่อการดำเนินธุรกิจอย่างมีนัยสำคัญ
อยู่ในจุดที่ต้องรับทั้งแรงกดดันจากต้นทุนดิจิทัลและความเสี่ยงด้านข้อมูล
จากต้นทุนไอทีสู่ ‘อธิปไตยข้อมูล’
อีกประเด็นที่ถูกหยิบยกขึ้นมาคือ
ข้อจำกัดของการใช้ระบบที่ติดตั้งและดำเนินงานภายในประเทศ หรือแนวทาง Data
Sovereignty ซึ่งมักถูกตั้งคำถามว่าจะต้องแลกกับประสิทธิภาพ
ฟังก์ชันการใช้งาน หรือประสบการณ์ของผู้ใช้หรือไม่
สำหรับองค์กรที่ต้องการลดความเสี่ยง
แนวคิดสำคัญจึงไม่จำเป็นต้องเป็นการรื้อระบบทั้งหมด
แต่คือการเปลี่ยนมุมมองต่อโครงสร้างพื้นฐานด้านการสื่อสารขององค์กร
คันนิงแฮมเสนอให้มองโครงสร้างพื้นฐานดังกล่าวในฐานะ
“Sovereign-Critical
Infrastructure” หรือโครงสร้างพื้นฐานที่มีความสำคัญต่ออธิปไตยของข้อมูล
เช่นเดียวกับโครงสร้างพื้นฐานสำคัญอื่น ๆ
สิ่งที่องค์กรควรเริ่มต้นคือการตอบคำถาม
3 ข้อ คือ
1. ข้อมูลที่มีความละเอียดอ่อนที่สุดขององค์กรจัดเก็บอยู่ที่ใดในทางกายภาพ
2.
ข้อมูลดังกล่าวอยู่ภายใต้กฎหมายของประเทศใดเมื่อเกิดปัญหาขึ้น
3. องค์กรสามารถตรวจสอบ
พิสูจน์ และรับรองการกำกับดูแลข้อมูลได้ด้วยตัวเองหรือไม่
โดยไม่ต้องพึ่งพาคำกล่าวอ้างของผู้ให้บริการเพียงฝ่ายเดียว
คำถามทั้งสามข้อทำให้การเลือกโครงสร้างพื้นฐานไม่ใช่เพียงการพิจารณาต้นทุนหรือฟังก์ชันการใช้งาน
แต่กลายเป็นการตัดสินใจด้านความเสี่ยงและธรรมาภิบาลข้อมูล
ขณะเดียวกัน
การรักษาข้อมูลไว้ภายในประเทศไม่ได้หมายความว่าจะต้องแลกกับประสิทธิภาพการทำงานเสมอไป
‘ข้อมูล’ อยู่ที่ใด?
ใครควบคุม?
ท้ายที่สุดประเด็น Digital
Deficit จึงไม่ได้จำกัดอยู่ที่จำนวนเงินที่ไหลออกนอกประเทศ
แต่เชื่อมโยงกับคำถามว่า คุณค่าและอำนาจในการควบคุมข้อมูลขององค์กรควรอยู่ที่ใด
ในบรรดาต้นทุนดิจิทัลขององค์กร
ระบบสื่อสารอย่างอีเมลและ Collaboration อาจเป็นส่วนที่ถูกมองข้ามมากที่สุด
ทั้งที่เป็นพื้นที่จัดเก็บข้อมูลสำคัญและเป็นโครงสร้างพื้นฐานที่องค์กรใช้งานทุกวัน
ประเทศไทยมีโครงสร้างพื้นฐานสำหรับการดำเนินงานภายในประเทศอยู่แล้ว
ขณะที่โจทย์ต่อไปคือการขยายการใช้งานไปยังภาคเอกชนและ SME
ซึ่งต้องรับมือทั้งต้นทุนจากการพึ่งพาบริการดิจิทัลต่างประเทศและความเสี่ยงจากการสูญเสียการควบคุมข้อมูล
การตัดสินใจเลือกโครงสร้างพื้นฐานดิจิทัลจึงไม่ได้เป็นเพียงเรื่องของระบบไอที
แต่เกี่ยวข้องกับคำถามว่า
รากฐานของระบบดิจิทัลที่สำคัญที่สุดขององค์กรจะตั้งอยู่ที่ใด
และข้อมูลจะอยู่ภายใต้การควบคุมของใคร
ในอดีตองค์กรอาจมองว่าการใช้บริการจากต่างประเทศเป็นการแลกเปลี่ยนระหว่างความสะดวก
ประสิทธิภาพ และต้นทุน แต่การบังคับใช้กฎหมายด้านข้อมูลที่เข้มข้นขึ้นทำให้เรื่องดังกล่าวกลายเป็นประเด็นด้านความเสี่ยงและธรรมาภิบาล
ที่มา : กรุงเทพธุรกิจ
วันที่ 18 สิงหาคม 2569
