แนวปฏิบัติ CCTV ฉบับใหม่ของไทยกำลังจะเปลี่ยนวิธีที่คอนโด โรงงาน และห้างเลือกซื้อและดูแลกล้องวงจรปิด ลองนึกภาพนิติบุคคลคอนโดที่ซื้อกล้อง AI ราคาประหยัดมาติดทั่วอาคาร ต่อแอปดูภาพผ่านมือถือ แล้วไม่เคยเปลี่ยนรหัสผ่านเลยตั้งแต่วันติดตั้ง วันนี้ (30 กันยายน 2569) สกมช. และสมาคม iCA เปิดตัวแนวปฏิบัติความปลอดภัยกล้อง CCTV ที่เรียกว่า TCSG ซึ่งพูดถึงกล้องแบบนี้โดยตรง
สรุปสั้น: แนวปฏิบัติ CCTV (TCSG) ของ สกมช. และสมาคม iCA วางมาตรฐานความปลอดภัยกล้องวงจรปิด 7 ด้าน ได้แก่ Cybersecurity, Privacy by Design, Responsible AI, Cloud & Data Security, Trusted Supply Chain, Secure Procurement และ Lifecycle Management ครอบคลุมตั้งแต่ก่อนซื้อจนถึงปลดระวางกล้อง เจ้าของอาคารและธุรกิจที่ใช้กล้องควรเริ่มจากทำรายการกล้องทุกตัว แล้วใช้ 7 ด้านนี้เป็นเช็กลิสต์ทั้งเรื่องไซเบอร์และ PDPA
แนวปฏิบัติ CCTV (TCSG) คืออะไร เกิดอะไรขึ้น
แนวปฏิบัติ CCTV (TCSG) คือแนวปฏิบัติด้านความปลอดภัยของกล้องวงจรปิดที่ สกมช. ร่วมกับสมาคม iCA จัดทำ และมีกำหนดเปิดตัววันที่ 30 กันยายน 2569 ตามที่ฐานเศรษฐกิจรายงาน จุดเด่นคือไม่ได้ดูแค่ตัวกล้อง แต่ดูทั้งวงจรชีวิตของกล้อง ตั้งแต่ก่อนซื้อ ติดตั้ง ใช้งาน บำรุงรักษา จนถึงวันที่ปลดระวาง
แนวปฏิบัติ CCTV ฉบับนี้แบ่งเป็น 7 ด้าน สามด้านแรกเป็นเรื่องความปลอดภัยและสิทธิของคน (Cybersecurity, Privacy by Design, Responsible AI) อีกสี่ด้านเป็นเรื่องระบบหลังบ้านและการบริหาร (Cloud & Data Security, Trusted Supply Chain, Secure Procurement, Lifecycle Management)
| ประเด็น | ข้อเท็จจริงตามข่าว |
|---|---|
| ผู้จัดทำ | สกมช. และสมาคม iCA |
| ชื่อ | แนวปฏิบัติความปลอดภัยกล้อง CCTV (TCSG) |
| วันเปิดตัว | 30 กันยายน 2569 |
| ขอบเขต | ทั้งวงจรชีวิต: ก่อนซื้อ ติดตั้ง ใช้งาน บำรุงรักษา ปลดระวาง |
| จำนวนด้าน | 7 ด้าน |
| 7 ด้าน | Cybersecurity, Privacy by Design, Responsible AI, Cloud & Data Security, Trusted Supply Chain, Secure Procurement, Lifecycle Management |
| แหล่งข่าว | ฐานเศรษฐกิจ (29 กันยายน 2569) |
ข่าวไม่ได้ระบุว่าแนวปฏิบัติ CCTV ฉบับนี้มีสภาพบังคับทางกฎหมายหรือมีบทลงโทษ จึงควรมองว่าเป็นมาตรฐานอ้างอิงที่ดี ไม่ใช่กฎหมายใหม่
แนวปฏิบัติ CCTV กระทบธุรกิจไทยอย่างไร
แนวปฏิบัติ CCTV กระทบธุรกิจไทยเพราะมีแนวโน้มจะกลายเป็นเกณฑ์อ้างอิงในการจัดซื้อกล้องของทั้งรัฐและเอกชน และเชื่อมกับหน้าที่ตาม PDPA โดยตรง ส่วนนี้เป็นการวิเคราะห์ของผู้เขียนจากข้อเท็จจริงในข่าว แยกตามกลุ่มที่ใช้กล้องมากที่สุด
นิติบุคคลคอนโดและหมู่บ้านจัดสรรต้องระวังอะไร
นิติบุคคลคอนโดและหมู่บ้านจัดสรรเป็นกลุ่มที่ใช้กล้องเยอะที่สุดแต่มักมีคนดูแลระบบน้อยที่สุด กล้องหลายสิบตัวถูกติดตั้งโดยผู้รับเหมา แล้วส่งต่อรหัสผ่านกันผ่านกลุ่ม LINE ของกรรมการ
ด้าน Lifecycle Management ในแนวปฏิบัติ CCTV ชี้ให้เห็นจุดที่คนมักลืม เช่น เครื่องบันทึกภาพเก่าที่ถูกถอดออกแล้วทิ้งไปพร้อมฮาร์ดดิสก์ที่ยังมีภาพลูกบ้านอยู่ ตัวอย่างสมมติ: ถ้าเครื่องบันทึกเก่าหลุดไปอยู่ร้านรับซื้อของเก่า แล้วภาพเข้าออกของลูกบ้านถูกนำไปเผยแพร่ นิติบุคคลต้องตอบคำถามว่าดูแลข้อมูลอย่างไร
โรงงานและสำนักงานเสี่ยงเรื่องอะไร
โรงงานและสำนักงานเสี่ยงเรื่องกล้องกลายเป็นประตูหลังเข้าระบบเครือข่ายของบริษัท กล้องที่ต่ออินเทอร์เน็ตโดยใช้รหัสผ่านค่าโรงงานเป็นเป้าหมายที่ง่าย และถ้ากล้องอยู่วงเดียวกับเครือข่ายที่ใช้ทำงาน ผู้บุกรุกอาจใช้กล้องเป็นทางเข้าไปยังส่วนอื่น
ด้าน Cybersecurity และ Trusted Supply Chain ในแนวปฏิบัติ CCTV จึงสำคัญกับโรงงาน เพราะบังคับให้ถามตั้งแต่ก่อนซื้อว่า ผู้ผลิตออกอัปเดตแก้ช่องโหว่ไหม และซอฟต์แวร์ในกล้องมาจากไหน
ห้าง ร้านค้า และธุรกิจที่ใช้กล้อง AI ต้องคิดเรื่องอะไรเพิ่ม
ห้าง ร้านค้า และธุรกิจที่ใช้กล้อง AI นับคน วิเคราะห์พฤติกรรม หรือจดจำใบหน้า ต้องคิดเรื่อง Responsible AI เพิ่มจากเรื่องความปลอดภัยทั่วไป เพราะภาพใบหน้าที่ถูกประมวลผลเพื่อระบุตัวตนอาจเข้าข่ายข้อมูลชีวภาพ ซึ่งเป็นข้อมูลอ่อนไหวตาม PDPA มาตรา 26
ในมุมของผู้เขียน กล้อง AI และบริการคลาวด์ราคาถูกที่ไม่ตอบได้ว่าภาพถูกเก็บที่ไหน ใครเข้าถึงได้ และ AI ตัดสินอะไรบ้าง จะเสียเปรียบเมื่อผู้ซื้อเริ่มใช้แนวปฏิบัติ CCTV เป็นเกณฑ์คัดเลือก
ผู้ขายและผู้ติดตั้งกล้องได้อะไร เสียอะไร
ผู้ขายและผู้ติดตั้งกล้องที่ทำตามแนวปฏิบัติ CCTV ได้ได้เปรียบในการเสนองาน เพราะด้าน Secure Procurement ทำให้ผู้ซื้อมีภาษากลางในการเขียนสเปก ส่วนผู้ขายที่แข่งด้วยราคาอย่างเดียวอาจต้องตอบคำถามเรื่องการอัปเดตซอฟต์แวร์ การเก็บข้อมูลบนคลาวด์ และห่วงโซ่อุปทานมากขึ้น
แนวปฏิบัติ CCTV เชื่อมกับ PDPA ตรงไหน
แนวปฏิบัติ CCTV เชื่อมกับ PDPA อย่างน้อย 4 จุด ภาพจากกล้องที่ระบุตัวคนได้คือข้อมูลส่วนบุคคล ดังนั้นเจ้าของกล้องต้องแจ้งเจ้าของข้อมูลตามมาตรา 23 (ป้ายแจ้งและ Privacy Notice) ต้องมีมาตรการรักษาความมั่นคงปลอดภัยตามมาตรา 37(1) ต้องแจ้งเหตุละเมิดต่อ สคส. ภายใน 72 ชั่วโมงตามมาตรา 37(4) ถ้าภาพรั่ว และควรบันทึกกิจกรรมกล้องไว้ใน RoPA ตามมาตรา 39
ถ้าภาพถูกเก็บบนคลาวด์ต่างประเทศ ต้องดูเงื่อนไขการส่งข้อมูลไปต่างประเทศตามมาตรา 28–29 ด้วย ด้าน Cloud & Data Security ในแนวปฏิบัติ CCTV จึงช่วยตอบหน้าที่ตาม PDPA ได้ในตัว อ่านประเด็น PDPA เพิ่มเติมได้ที่ หมวด PDPA & Privacy
ถ้าไม่ทำอะไรเลย จะเสี่ยงอะไร
ถ้าไม่ทำอะไรเลย กล้องวงจรปิดที่ติดไว้เพื่อความปลอดภัยอาจกลายเป็นจุดที่ทำให้ไม่ปลอดภัยเสียเอง ภาพคนในอาคารอาจรั่ว ระบบเครือข่ายอาจถูกเจาะผ่านกล้อง และเมื่อเกิดเหตุ องค์กรจะอธิบายไม่ได้ว่าได้ใช้มาตรการที่เหมาะสมตาม PDPA แล้ว ส่วนผู้ขายกล้องที่ไม่ปรับตัวเสี่ยงหลุดจากรายชื่อผู้เสนอราคาเมื่อผู้ซื้อเริ่มอ้างอิงแนวปฏิบัติ CCTV ในสเปก
เจ้าของอาคารและธุรกิจที่ใช้กล้องวงจรปิดควรทำอะไรตอนนี้
เจ้าของอาคารและธุรกิจที่ใช้กล้องวงจรปิดควรเริ่มจากการรู้ว่าตัวเองมีกล้องอะไรอยู่บ้าง แล้วใช้ 7 ด้านของแนวปฏิบัติ CCTV เป็นเช็กลิสต์ งาน 5 ข้อนี้ทำได้โดยไม่ต้องรอให้มีกฎหมายใหม่
- 1. ทำรายการกล้องทุกตัว ระบุยี่ห้อ รุ่น จุดติดตั้ง ใครดูแล ภาพเก็บที่เครื่องบันทึกหรือบนคลาวด์ และคลาวด์อยู่ประเทศไหน
- 2. ปิดช่องโหว่พื้นฐานทันที เปลี่ยนรหัสผ่านค่าโรงงาน อัปเดตเฟิร์มแวร์ แยกเครือข่ายกล้องออกจากเครือข่ายที่ใช้ทำงาน และจำกัดคนที่ดูภาพได้
- 3. ตรวจเอกสาร PDPA ของกล้อง ป้ายแจ้งหน้าพื้นที่ Privacy Notice ระยะเวลาเก็บภาพ และรายการใน RoPA ให้ตรงกับการใช้งานจริง
- 4. เขียนแผนปลดระวางกล้อง กำหนดว่าก่อนทิ้งหรือขายต่อเครื่องบันทึก ต้องลบข้อมูลอย่างไร และใครเป็นคนเซ็นรับรอง
- 5. ใส่ 7 ด้านของแนวปฏิบัติ CCTV ลงในสเปกจัดซื้อรอบหน้า ถามผู้ขายเรื่องการอัปเดตซอฟต์แวร์ ที่เก็บข้อมูล ห่วงโซ่อุปทาน และถ้าเป็นกล้อง AI ให้ถามว่า AI ตัดสินอะไรบ้าง
ถ้าองค์กรต้องการคนช่วยประเมินกล้องวงจรปิดทั้งมุมไซเบอร์และ PDPA ดูรายละเอียดได้ที่ บริการ AI Governance และ PDPA ของ Kooru และติดตามเรื่องการใช้ AI อย่างรับผิดชอบได้ที่ หมวด AI & Governance
มุมมองผู้เชี่ยวชาญ
ผมเห็นกล้องวงจรปิดถูกติดตั้งเหมือนหลอดไฟ ติดแล้วลืม ไม่มีใครรู้ว่ารหัสผ่านคืออะไร หรือภาพไปอยู่ที่ไหน กล้องที่ไม่มีใครดูแล ไม่ได้เฝ้าอาคารให้คุณ แต่มันเฝ้าคุณให้คนอื่น สิ่งที่ผมชอบในแนวปฏิบัติฉบับนี้คือมันมองตั้งแต่วันซื้อจนวันทิ้ง ซึ่งตรงกับหลัก PDPA ที่ต้องดูแลข้อมูลตลอดอายุ ผมแนะนำให้นิติบุคคลและฝ่ายจัดซื้อหยิบ 7 ด้านนี้ไปใช้ในการซื้อรอบหน้าเลย
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับแนวปฏิบัติ CCTV
แนวปฏิบัติ CCTV (TCSG) คืออะไร
แนวปฏิบัติ CCTV (TCSG) คือแนวปฏิบัติด้านความปลอดภัยของกล้องวงจรปิดที่ สกมช. และสมาคม iCA จัดทำ มี 7 ด้าน ครอบคลุมตั้งแต่ก่อนซื้อ ติดตั้ง ใช้งาน บำรุงรักษา จนถึงปลดระวางกล้อง
แนวปฏิบัติ CCTV บังคับใช้เป็นกฎหมายหรือไม่
ข่าวไม่ได้ระบุว่าแนวปฏิบัติ CCTV ฉบับนี้มีสภาพบังคับหรือบทลงโทษ จึงควรมองเป็นมาตรฐานอ้างอิง แต่หน้าที่รักษาความปลอดภัยของภาพจากกล้องตาม PDPA มีผลบังคับอยู่แล้ว
กล้องวงจรปิดเกี่ยวกับ PDPA อย่างไร
ภาพจากกล้องที่ระบุตัวคนได้คือข้อมูลส่วนบุคคล เจ้าของกล้องต้องแจ้งผู้ถูกถ่าย รักษาความปลอดภัยของภาพ และแจ้งเหตุภายใน 72 ชั่วโมงถ้าภาพรั่ว ถ้าใช้ระบบจดจำใบหน้าอาจเข้าข่ายข้อมูลอ่อนไหวตามมาตรา 26
คอนโดขนาดเล็กควรเริ่มทำอะไรก่อน
เริ่มจากทำรายการกล้องทุกตัว เปลี่ยนรหัสผ่านค่าโรงงาน และตรวจป้ายแจ้งกับระยะเวลาเก็บภาพ สามเรื่องนี้ใช้เงินน้อยแต่ลดความเสี่ยงได้มาก
แหล่งอ้างอิง
- ฐานเศรษฐกิจ — (อ่านต้นฉบับ) — อ่านที่ฐานเศรษฐกิจ
อ่านหลักการคัดเลือกและตรวจสอบข่าวของเราได้ที่ นโยบายบรรณาธิการ
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
