ระบบสแกนใบหน้าเข้างาน: รายการข้อมูลทางเทคนิคสำหรับกฎหมายและ DPO

ขอบเขตบทความ: เนื้อหานี้เป็นแนวทางสำรวจระบบทางเทคนิค ไม่ใช่คำปรึกษา การตีความ หรือการรับรองทางกฎหมาย ข้อกำหนดที่ใช้จริงต้องให้ที่ปรึกษากฎหมายหรือ DPO ขององค์กรพิจารณา จากข้อเท็จจริง นโยบาย สัญญา และบริบทการใช้งานขององค์กรนั้น

การทบทวนระบบชีวมิติควรเริ่มจากข้อเท็จจริงที่ตรวจสอบได้ ไม่ใช่การคาดเดาจากชื่อผลิตภัณฑ์หรือโบรชัวร์ เป้าหมายของทีมเทคนิคคือทำให้ผู้รับผิดชอบตอบได้ว่าระบบเก็บอะไร ข้อมูลไหลไปที่ใด ใครทำอะไรได้ และระบบรองรับนโยบายที่องค์กรอนุมัติอย่างไร

1. ทำแผนที่ข้อมูลที่ระบบใช้จริง

ตรวจจากคู่มือ การตั้งค่า ฐานข้อมูล อุปกรณ์ และการรับส่งข้อมูล แล้วบันทึกว่า:

• ระบบรับภาพต้นฉบับ เวกเตอร์หรือ template ข้อมูลเวลา และข้อมูลประจำตัวใดบ้าง
• ข้อมูลใดถูกเก็บถาวร เก็บชั่วคราว หรือส่งต่อไปยังระบบอื่น
• ข้อมูลอยู่บนอุปกรณ์ เซิร์ฟเวอร์ขององค์กร หรือบริการภายนอก
• มีสำเนาใน log, backup, export หรืออุปกรณ์ของผู้ให้บริการหรือไม่

อย่าสรุปว่า template สามารถหรือไม่สามารถย้อนกลับเป็นภาพได้โดยอัตโนมัติ ความเสี่ยงขึ้นกับเทคโนโลยี การตั้งค่า และข้อมูลประกอบที่มีอยู่ จึงควรขอเอกสารเทคนิคจากผู้ผลิตมาประกอบการประเมิน

2. ระบุบัญชี สิทธิ์ และหลักฐานการเข้าถึง

จัดทำรายชื่อบัญชีผู้ใช้ ผู้ดูแล ผู้ให้บริการ และการเชื่อมต่อระบบ พร้อมสิทธิ์ที่แต่ละบัญชีมี ตรวจว่าระบบบันทึกการเข้าสู่ระบบ การดู แก้ไข ส่งออก และลบข้อมูลได้ละเอียดเพียงใด

สิทธิ์และระยะเวลาเก็บ log ที่เหมาะสมต้องให้เจ้าของระบบ ฝ่ายความปลอดภัย และผู้รับผิดชอบด้านกฎหมายหรือ DPO กำหนดร่วมกัน ทีมเทคนิคไม่ควรตั้งค่าโดยอาศัยสมมติฐานทางกฎหมายเอง

3. แยกนโยบายออกจากความสามารถของระบบ

คำถามว่าองค์กรควรเก็บข้อมูลใด เก็บนานเท่าไร ใช้ฐานใด แจ้งผู้ใช้อย่างไร หรือมีทางเลือกแบบใด เป็นการตัดสินใจของผู้รับผิดชอบตามบริบทองค์กร ส่วนทีมเทคนิคควรตอบว่า:

• ระบบตั้งระยะเวลาเก็บแยกตามประเภทข้อมูลได้หรือไม่
• การลบครอบคลุมข้อมูลหลัก สำเนา log export และ backup อย่างไร
• มีขั้นตอนอนุมัติก่อนดู ส่งออก แก้ไข หรือลบหรือไม่
• เมื่อมีคำสั่งที่อนุมัติแล้ว ระบบค้นหา ตรวจสอบ และดำเนินการได้อย่างไร

หากระบบทำตามนโยบายที่อนุมัติไม่ได้ ให้บันทึกเป็นข้อจำกัดหรือความเสี่ยง ไม่ควรอ้างว่า “ผ่าน” หรือ “ไม่ผ่าน” กฎหมายจากข้อจำกัดทางเทคนิคเพียงจุดเดียว

4. เตรียมข้อมูลให้กฎหมายหรือ DPO พิจารณา

ชุดข้อมูลส่งต่อควรประกอบด้วย data flow, รายการข้อมูล, ผู้รับข้อมูล, ที่เก็บ, ระยะเวลาเก็บปัจจุบัน, บัญชีและสิทธิ์, log ที่มี, ผู้ให้บริการภายนอก, ขั้นตอนลบ และข้อจำกัดที่พบ

ที่ปรึกษากฎหมายหรือ DPO จะเป็นผู้กำหนดว่าต้องใช้เอกสาร การแจ้ง การอนุมัติ ฐานการประมวลผล ช่องทางคำขอ หรือกรอบเวลาใด ทีมเทคนิคจึงค่อยแปลงข้อสรุปที่ได้รับอนุมัติเป็น requirement และ test case

5. ทดสอบจากสถานการณ์จริง

หลังยืนยัน requirement แล้ว ควรทดสอบสถานการณ์ที่อยู่ในขอบเขต เช่น เปลี่ยนสิทธิ์ ปิดบัญชีผู้ให้บริการ ค้นหาข้อมูลของบุคคลหนึ่งราย ลบข้อมูลตามคำสั่งที่อนุมัติ ตรวจ log และกู้คืนจาก backup

ผลทดสอบบอกได้ว่ามาตรการทางเทคนิคทำงานตามที่กำหนดหรือไม่ แต่ไม่ใช่หลักฐานรับรองว่าทั้งองค์กร ปฏิบัติตามกฎหมายแล้ว เพราะยังมีเรื่องนโยบาย สัญญา บุคลากร และการปฏิบัติงานจริงที่อยู่นอกระบบ

สรุป

การตรวจระบบสแกนใบหน้าที่ปลอดภัยเริ่มจากการแยกบทบาทให้ชัด: ทีมเทคนิครวบรวมข้อเท็จจริง เสนอทางเลือก และทดสอบ control ส่วนฝ่ายกฎหมายหรือ DPO ตีความข้อกำหนดและอนุมัตินโยบาย ขอบเขต งานส่งมอบ ระยะเวลา และค่าใช้จ่ายของการประเมินต้องยืนยันเป็นรายโครงการ

ดูรายละเอียด แนวทางพัฒนาและประเมินระบบ Computer Vision

อ่านต่อ: ตรวจสอบโค้ดที่พัฒนาด้วย AI