จากข่าวเรื่อง OTP สู่คำถามที่ใหญ่กว่า
ลองนึกภาพลูกค้ากำลังจะโอนเงินก้อนใหญ่จากแอปธนาคาร สิ่งที่เคยเกิดขึ้นอาจเป็นเพียงระบบส่งรหัส SMS มาให้กรอกแล้วทำรายการต่อ
แต่แนวทางใหม่ที่ ธปท. เปิดรับฟังความเห็นกำลังพาธุรกรรมลักษณะนี้ไปอีกขั้น ทั้งการใช้การยืนยันตัวตนแบบหลายปัจจัย การเลิกใช้ SMS OTP สำหรับยืนยันธุรกรรม และการใช้การตรวจสอบใบหน้าที่มีระบบป้องกันการปลอมแปลงสำหรับธุรกรรมวงเงินสูง
ประเด็นสำคัญจึงไม่ใช่แค่ “ธนาคารต้องเปลี่ยนเทคโนโลยีอะไร” แต่คือ “เมื่อเทคโนโลยีเปลี่ยน ข้อมูลอะไรจะถูกเก็บ ใช้ ส่งต่อ และเก็บไว้นานเท่าไร”
เรื่องนี้สำคัญสำหรับองค์กรที่อยู่ใต้การกำกับของ ธปท. เพราะระยะเวลารับฟังความเห็นสิ้นสุดไปแล้วเมื่อวันที่ 24 สิงหาคม 2026 และจากนี้สิ่งที่ควรทำไม่ใช่รอให้ประกาศสุดท้ายออกแล้วค่อยเริ่มต้น แต่ควรใช้ช่วงเวลานี้ตรวจสอบความพร้อมของระบบและข้อมูลภายในองค์กร
ข้อเท็จจริง: ธปท. กำลังขยาย “พื้นที่” ที่ต้องรักษาความปลอดภัย
เมื่อวันที่ 23 กรกฎาคม 2026 ธปท. เผยแพร่ร่างประกาศเรื่องความมั่นคงปลอดภัยของช่องทางดิจิทัลเพื่อรับฟังความเห็น โดยข้อเสนอมีลักษณะสำคัญคือขยายมาตรการเดิมให้ครอบคลุมช่องทางและผู้ให้บริการมากขึ้น
หนึ่งในการเปลี่ยนแปลงคือการขยายขอบเขตไปยังผู้ให้บริการบัตรเครดิตและผู้ให้บริการสินเชื่อบางประเภทที่มีบริการโอนเงินไปยังผู้ให้บริการทางการเงินอื่นหรือมีบริการถอนเงินสดสำหรับลูกค้ารายบุคคล และไม่ได้จำกัดอยู่เฉพาะ Mobile Banking แต่รวม Internet Banking ด้วย
ในระดับธุรกรรม ร่างประกาศเสนอให้ใช้การยืนยันตัวตนสองปัจจัยสำหรับการโอนเงิน การถอนเงินไม่ใช้บัตร และการเพิ่มวงเงินทำรายการ ขณะเดียวกันเสนอให้ยุติการใช้ SMS OTP สำหรับการยืนยันธุรกรรม
ยังมีมาตรการเพิ่มเติมสำหรับการสมัครใช้บริการหรือเปลี่ยนอุปกรณ์ เช่น การยืนยันตัวตนที่เข้มงวดขึ้น การแจ้งผลผ่านช่องทางอื่น และมาตรการหน่วงเวลาเพื่อลดความเสี่ยงจากการสวมรอย
สำหรับธุรกรรมมูลค่าสูง ร่างประกาศกำหนดให้มีการตรวจสอบใบหน้าพร้อมเทคโนโลยีป้องกันการปลอมแปลง เมื่อยอดโอนเกิน 50,000 บาทต่อครั้ง หรือเกิน 200,000 บาทต่อวัน
นอกจากนี้ยังเสนอให้ผู้ให้บริการหยุดการส่ง SMS และอีเมลที่มีลิงก์ฝังอยู่ และต้องมีมาตรการรับมือกรณีแอปพลิเคชันหรือเว็บไซต์ปลอมด้วย
ทิศทางนี้สอดคล้องกับแนวทางของ ธปท. ที่ยกระดับความปลอดภัยของ Mobile Banking และมองว่ารูปแบบการทุจริตทางการเงินเปลี่ยนไปตามเทคโนโลยีและช่องทางที่คนร้ายเลือกใช้
ผลกระทบต่อธุรกิจในประเทศไทย: งานนี้ไม่ใช่แค่ของทีม IT
จุดที่บริษัทไม่ควรมองข้ามคือ การเปลี่ยนจาก SMS OTP ไปสู่การยืนยันตัวตนรูปแบบใหม่ ทำให้ “ข้อมูลที่ใช้รักษาความปลอดภัย” มีความสำคัญมากขึ้นทันที
โดยเฉพาะกรณีการตรวจสอบใบหน้า เพราะข้อมูลชีวภาพเป็นข้อมูลส่วนบุคคลที่มีความละเอียดอ่อนตามมาตรา 26 ของ PDPA การนำระบบลักษณะนี้เข้ามาจึงไม่ได้จบที่การซื้อ SDK หรือ เชื่อมต่อ API จากผู้ให้บริการเทคโนโลยีเท่านั้น
องค์กรต้องตอบให้ได้ว่าเก็บข้อมูลอะไรจริง เก็บเพื่อวัตถุประสงค์ใด ใครเข้าถึงได้ ผู้ให้บริการรายใดเป็นผู้ประมวลผลข้อมูล ข้อมูลถูกเก็บไว้ที่ไหน เก็บนานเท่าไร และเมื่อหมดความจำเป็นแล้วลบอย่างไร
เรื่องนี้ยังเกี่ยวข้องกับ RoPA โดยตรง เพราะเมื่อกระบวนการประมวลผลเปลี่ยน รายการกิจกรรมที่องค์กรบันทึกไว้ก็ควรสะท้อนระบบจริงด้วย มาตรา 39 กำหนดให้ผู้ควบคุมข้อมูลจัดทำบันทึกรายการประมวลผลเพื่อให้สามารถตรวจสอบกิจกรรมเกี่ยวกับการเก็บ ใช้ และเปิดเผยข้อมูลได้
ด้าน Security ก็เช่นกัน มาตรา 37 วางหน้าที่ให้องค์กรมีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม และต้องทบทวนมาตรการเมื่อมีความจำเป็นหรือเมื่อเทคโนโลยีเปลี่ยนแปลง
ดังนั้น หากองค์กรเปลี่ยนวิธียืนยันตัวตนครั้งใหญ่ แต่ยังใช้เอกสาร PDPA ชุดเดิม กระบวนการ Vendor Management แบบเดิม หรือไม่ทบทวนการประเมินความเสี่ยงเลย ช่องว่างจะไม่ได้เกิดอยู่เฉพาะในระบบ IT แต่จะเกิดในเอกสารและกระบวนการกำกับดูแลข้อมูลด้วย
อีกเรื่องที่มีต้นทุนสูงคือ Vendor Management ผู้ให้บริการทางการเงินอาจไม่ได้พัฒนาระบบตรวจสอบใบหน้าด้วยตนเอง แต่ใช้ผู้ให้บริการภายนอก ซึ่งหมายความว่าฝ่ายกฎหมาย ฝ่ายจัดซื้อ ฝ่าย Security และ DPO ต้องคุยกันตั้งแต่ต้น ไม่ใช่รอให้ระบบขึ้น Production แล้วค่อยตรวจสัญญา
สำหรับธุรกิจขนาดใหญ่ นี่อาจกลายเป็นโครงการ Transformation ที่ต้องผูกกับงบประมาณและแผนเปลี่ยนระบบ ส่วนธุรกิจที่อยู่ในห่วงโซ่ของธนาคารหรือผู้ให้บริการการเงินควรเตรียมพร้อมรับคำถามจากลูกค้าเรื่องมาตรฐาน Security, การคุ้มครองข้อมูล, การจัดเก็บ Log และการควบคุมผู้รับจ้างภายนอกด้วย
พูดให้ตรงที่สุด: การเปลี่ยนวิธียืนยันตัวตนครั้งนี้ไม่ได้เพิ่มแค่ “ความปลอดภัย” แต่กำลังเพิ่ม “ความรับผิดชอบในการอธิบายว่าข้อมูลถูกใช้และควบคุมอย่างไร” ด้วย
สิ่งที่ควรทำต่อ
- ตรวจว่าธุรกิจขององค์กรอยู่ในขอบเขตของร่างมาตรการหรือไม่ โดยดูทั้งประเภทใบอนุญาต ประเภทบริการ และช่องทางที่ให้บริการ
- ทำรายการธุรกรรมที่ยังใช้ SMS OTP และประเมินผลกระทบหากต้องเปลี่ยนไปใช้วิธีอื่น
- ตรวจระบบที่เกี่ยวข้องกับ Face Verification ว่าจะมีการเก็บ “ข้อมูลชีวภาพ” หรือเพียงประมวลผลเพื่อยืนยันตัวตน และใครเป็นผู้ควบคุม/ผู้ประมวลผลข้อมูล
- ทบทวน RoPA, Privacy Notice, สัญญากับผู้ให้บริการภายนอก และมาตรการรักษาความปลอดภัยให้ตรงกับระบบใหม่
- ทำ Gap Assessment ระหว่างระบบปัจจุบันกับมาตรการที่เสนอ และกำหนดเจ้าของงานร่วมกันระหว่าง IT, Security, Compliance, Legal และ DPO
แหล่งอ้างอิง
ต้นทางข่าว: Mondaq โดยอ้างอิงข้อมูลจาก Tilleke & Gibbins เผยแพร่วันที่ 3 สิงหาคม 2026 เรื่องข้อเสนอของ ธปท. เกี่ยวกับมาตรฐานความปลอดภัยของช่องทางดิจิทัล
เอกสารและข้อมูลประกอบจากธนาคารแห่งประเทศไทยเกี่ยวกับมาตรฐานความมั่นคงปลอดภัยของ Mobile Banking
ข้อมูลประกอบด้าน PDPA เรื่องมาตรการรักษาความมั่นคงปลอดภัยและการจัดทำ RoPA
