มาตรฐานความปลอดภัยขั้นต่ำตาม PDPA: รหัสผ่าน การเข้ารหัส สิทธิ์แอดมิน และ log ที่ระบบต้องมี

กฎหมายไม่ได้ระบุเทคโนโลยีตายตัว แต่ให้มาตรการครอบคลุมการรักษาความลับ ความถูกต้องครบถ้วน และความพร้อมใช้งาน (Confidentiality, Integrity, Availability) และเหมาะสมกับความเสี่ยงของข้อมูล ข้อมูลอ่อนไหวหรือข้อมูลการเงินจึงต้องป้องกันเข้มกว่าข้อมูลทั่วไป

ต้องมี audit log ว่าใครเข้าถึงข้อมูลอะไร และในฐานะผู้ให้บริการยังมีหน้าที่เก็บข้อมูลจราจรคอมพิวเตอร์ตาม พ.ร.บ.คอมพิวเตอร์ฯ แต่ log เองก็เป็นข้อมูลส่วนบุคคล ไม่ควรพิมพ์รหัสผ่าน token เลขบัตร หรือเนื้อหาข้อความลงใน log

ถ้าใช้ผู้ประมวลผลข้อมูล เช่น คลาวด์ ผู้รับจ้างพัฒนา ต้องมีสัญญากำหนดมาตรการความปลอดภัย และผู้ประมวลผลมีหน้าที่แจ้งเหตุละเมิดกลับมาโดยไม่ชักช้า (มาตรา 40) ตรวจว่าผู้ให้บริการมีมาตรฐาน เช่น ISO/IEC 27001 หรือ SOC 2 เป็นหลักฐานประกอบ