🛡️ เงื่อนไขคุ้มครองกรณีข้อมูลรั่วไหล

โครงการเช่าและติดตั้งอุปกรณ์ EM 7,000 ชุด · สำนักงานศาลยุติธรรม
️ ความเสี่ยงสูง · ค่าปรับ 500,000 บาท/ครั้ง
📋 สรุปผู้บริหาร

TOR กำหนดค่าปรับ 500,000 บาท/ครั้ง หากข้อมูลผู้สวมใส่อุปกรณ์รั่วไหล โดยไม่จำกัดจำนวนครั้งและไม่มีเพดานความรับผิดชอบ

🎯 เป้าหมาย: เจรจาเพิ่มเงื่อนไข 7 ข้อ + ทำประกันภัย 10 ล้านบาท + ปฏิบัติตาม ISO 27001 เพื่อลดความเสี่ยงจาก ไม่จำกัด เหลือ สูงสุด 10 ล้านบาท
📜 สภาพปัญหาจาก TOR

ผนวก 1 ข้อ 13.5 (ฉบับเดิม)

"ในกรณีที่มีการเปิดเผยข้อมูลตามข้อ 5.5 ผู้ยื่นข้อเสนอต้องเสียค่าปรับให้แก่ สำนักงานศาลยุติธรรมเป็นรายครั้ง ในอัตราครั้งละ 500,000 บาท"

⚠️ ช่องโหว่ของเงื่อนไขเดิม

  • ❌ ไม่จำกัดจำนวนครั้ง → 10 ครั้ง = 5,000,000 บาท
  • ❌ ไม่มีเพดานความรับผิดชอบ → อาจเกินมูลค่าสัญญา
  • ❌ ไม่แยกสาเหตุ → รับผิดชอบแม้ไม่ใช่ความผิดของตน
  • ❌ ไม่มี Cure Period → ถูกปรับทันที tanpa โอกาสแก้ไข
  • ไม่รวม Force Majeure → รับผิดชอบแม้ถูก hacker ระดับรัฐ
✅ เงื่อนไข 7 ข้อที่ควรเจรจา
1

กำหนดขอบเขตความรับผิดชอบชัดเจน

"ผู้รับจ้างจะรับผิดชอบค่าปรับเฉพาะกรณีที่พิสูจน์ได้ว่า การรั่วไหลของข้อมูลเกิดจากความประมาทเลินเล่ออย่างร้ายแรง (gross negligence) หรือการกระทำโดยเจตนา (willful misconduct) ของพนักงานผู้รับจ้างเท่านั้น"
ป้องกันถูกปรับจากเหตุที่ควบคุมไม่ได้ เช่น human error ของเจ้าหน้าที่ศาล, cyber attack ระดับสูง
2

กำหนดเพดานความรับผิดชอบสูงสุด (Liability Cap)

"ความรับผิดชอบรวมทั้งหมดของผู้รับจ้างจากค่าปรับตามข้อ 13.5 จะต้องไม่เกินร้อยละ 10 ของมูลค่าสัญญาทั้งหมด และต้องไม่เกินจำนวนเงิน 10,000,000 บาท"
ป้องกันความเสี่ยงที่อาจทำให้บริษัทล้มละลาย (สัญญา 130 ล้าน → cap ที่ 10 ล้าน)
3

กำหนดระยะเวลาแก้ไขก่อนถูกปรับ (Cure Period)

"ก่อนการเรียกค่าปรับ ผู้ว่าจ้างต้องแจ้งเป็นลายลักษณ์อักษร ให้ผู้รับจ้างทราบ และให้ผู้รับจ้างมีระยะเวลา 30 วัน ในการตรวจสอบและแก้ไขปัญหาดังกล่าว"
ให้โอกาสทีมพัฒนาแก้ไขก่อนถูกปรับ แสดงความรับผิดชอบ
4

แยกความรับผิดชอบตามสาเหตุ

สาเหตุผู้รับผิดชอบ
ช่องโหว่ในระบบที่ผู้พัฒนาสร้างผู้พัฒนา (ตามเงื่อนไข)
เจ้าหน้าที่ศาล/ศูนย์ควบคุมทำข้อมูลรั่วผู้ว่าจ้าง
การโจมตีจากภายนอก (Hacker)แบ่งตามความประมาท
Third-party service (Cloud/SMS)ผู้ให้บริการนั้น
Force Majeure (ภัยธรรมชาติ/สงคราม)ไม่ต้องรับผิดชอบ
5

กำหนดมาตรฐานความปลอดภัยที่ชัดเจน

"ผู้รับจ้างจะดำเนินการตามมาตรฐาน: - ISO 27001 (Information Security Management) - OWASP Top 10 (Web Application Security) - PDPA Compliance หากผู้รับจ้างปฏิบัติตามมาตรฐานดังกล่าวอย่างครบถ้วน และยังเกิดการรั่วไหล ให้ถือว่าได้ใช้ความระมัดระวัง ตามสมควรแล้ว (due diligence) และไม่ต้องรับผิดชอบค่าปรับ"
ถ้าทำตามมาตรฐานสากลแล้ว ยังถูก hack = ไม่ใช่ความประมาท
6

กำหนดเงื่อนไขการประกันภัย

"ผู้รับจ้างจะต้องจัดทำประกันภัยความรับผิดทางวิชาชีพ (Professional Indemnity Insurance) โดยมีจำนวนเงินเอาประกันภัยไม่น้อยกว่า 10,000,000 บาท เพื่อคุ้มครองความเสียหายจากการรั่วไหลของข้อมูล"
โอนความเสี่ยงให้บริษัทประกันภัย ค่าเบี้ย ~100,000 บาท/ปี (ถูกกว่าค่าปรับมาก)
7

กำหนดกระบวนการแจ้งเตือนเมื่อเกิดเหตุ

"เมื่อเกิดการรั่วไหลของข้อมูล ผู้รับจ้างจะแจ้งเตือนผู้ว่าจ้าง ภายใน 24 ชั่วโมง และส่งรายงานสาเหตุเบื้องต้นภายใน 7 วัน พร้อมแผนการแก้ไขภายใน 30 วัน"
แสดงความโปร่งใสและความรับผิดชอบ ลดโอกาสถูกฟ้อง
💰 เปรียบเทียบต้นทุนป้องกัน vs ค่าปรับ
🛡️ ต้นทุนป้องกัน/ปี
800,000
บาท (0.6% ของสัญญา)
⚠️ ค่าปรับ/ครั้ง
500,000
บาท (ไม่จำกัดครั้ง)
✅ ถ้าป้องกันได้แม้แต่ 2 ครั้ง ก็คุ้มทุนแล้ว!

📊 รายละเอียดต้นทุนป้องกัน

รายการต้นทุน/ปีหมายเหตุ
Professional Indemnity Insurance100,000คุ้มครอง 10 ล้านบาท
Penetration Test (2 ครั้ง/ปี)200,000External firm
SIEM License300,000Splunk/ELK
WAF + DDoS Protection150,000Cloud-based
Security Training50,000Internal + External
รวม800,0000.6% ของสัญญา
🔧 มาตรการทางเทคนิคที่ควรทำ

️ ระดับระบบ (System Level)

หมวดมาตรการ
EncryptionAES-256 (at rest), TLS 1.3 (in transit), TDE (database)
👤 Access ControlMFA บังคับ, RBAC 10 บทบาท, Least Privilege, Session timeout 15 นาที
📊 MonitoringSIEM, Real-time alert, Audit log 5 ปี (PDPA)
🌐 NetworkWAF, DDoS Protection, VPN, IP Whitelist
🔍 App SecurityOWASP Top 10, SAST/DAST ทุก sprint, Pen test 2 ครั้ง/ปี

ระดับกระบวนการ (Process Level)

หมวดมาตรการ
🎓 Trainingอบรมทุก 6 เดือน, Phishing simulation ทุกไตรมาส
🚨 Incident Responseทีม CSIRT, Playbook, Drill 2 ครั้ง/ปี
🗂️ Data ClassificationPublic / Internal / Confidential / Restricted
🤝 Vendor Managementตรวจสอบ security ทุกปี, NDA + DPA
📝 ตัวอย่างข้อความที่ควรเพิ่มในสัญญา
ข้อ 13.5 (ฉบับแก้ไข)

13.5.1 ในกรณีที่มีการเปิดเผยข้อมูลตามข้อ 5.5 อันเกิดจาก
ความประมาทเลินเล่ออย่างร้ายแรงหรือการกระทำโดยเจตนา
ของพนักงานผู้รับจ้าง ผู้รับจ้างต้องเสียค่าปรับให้แก่ผู้ว่าจ้าง
เป็นรายครั้งในอัตราครั้งละ 500,000 บาท

13.5.2 ความรับผิดชอบรวมทั้งหมดของผู้รับจ้างตามข้อ 13.5.1
จะต้องไม่เกินร้อยละ 10 ของมูลค่าสัญญาทั้งหมด

13.5.3 ผู้รับจ้างไม่ต้องรับผิดชอบค่าปรับตามข้อ 13.5.1 หาก
(ก) การรั่วไหลเกิดจากปัจจัยนอกเหนือการควบคุมของผู้รับจ้าง
    เช่น การโจมตีทางไซเบอร์ระดับรัฐ ภัยธรรมชาติ
    หรือความผิดพลาดของเจ้าหน้าที่ผู้ว่าจ้าง
(ข) ผู้รับจ้างได้ปฏิบัติตามมาตรฐาน ISO 27001 และ
    OWASP Top 10 อย่างครบถ้วน
(ค) ผู้รับจ้างสามารถแก้ไขปัญหาดังกล่าวได้ภายใน 30 วัน
    นับแต่วันที่ได้รับแจ้ง

13.5.4 ก่อนการเรียกค่าปรับ ผู้ว่าจ้างต้องแจ้งเป็นลายลักษณ์อักษร
ให้ผู้รับจ้างทราบ และให้ผู้รับจ้างมีระยะเวลา 30 วัน
ในการตรวจสอบและแก้ไขปัญหา

13.5.5 ผู้รับจ้างจะต้องจัดทำประกันภัยความรับผิดทางวิชาชีพ
โดยมีจำนวนเงินเอาประกันภัยไม่น้อยกว่า 10,000,000 บาท
✅ Checklist การดำเนินการ

✅ สิ่งที่ควรทำทันที

  • ✓ เจรจาเพิ่ม Liability Cap 10%
  • ✓ เจรจาเพิ่ม Cure Period 30 วัน
  • ✓ ทำ Professional Indemnity Insurance 10 ล้าน
  • ✓ ปฏิบัติตาม ISO 27001 + OWASP Top 10
  • ✓ มี Incident Response Plan

❌ สิ่งที่ควรหลีกเลี่ยง

  • ✗ รับเงื่อนไข "รับผิดชอบทุกกรณี"
  • ✗ รับเงื่อนไข "ไม่จำกัดจำนวนครั้ง"
  • รับเงื่อนไข "รับผิดชอบแม้ไม่ใช่ความผิด"
  • ✗ เซ็นสัญญาโดยไม่มีการป้องกัน
  • ✗ ไม่มีหลักฐานการปฏิบัติตามมาตรฐาน

📋 สิ่งที่ควรเตรียม

  • เอกสารหลักฐาน ISO 27001
  • 📊 Log การเข้าถึงข้อมูล (5 ปี)
  • 🎓 บันทึกอบรมพนักงาน security
  • 🔍 รายงาน Penetration Test
  • 📝 Incident Response Playbook

🎯 บทสรุป

สร้างเมื่อ: ตุลาคม 2567 | 📋 โครงการ EM 7,000 ชุด | 🏛️ สำนักงานศาลยุติธรรม