จากกรณีที่มีลูกค้า AIS โพสต์เรื่องราวลงเว็บพันทิปว่าตนกำลังถูกผู้มีอิทธิพลข่มขู่ และโชว์หลักฐานการติดตามตัวจากข้อมูลการใช้งานโทรศัพท์ของ AIS จนกลายเป็นประเด็นในเรื่องการรักษาความปลอดภัยลูกค้า หลังจาก AIS ได้แถลงว่าได้ไล่พนักงานที่ทำความผิดดังกล่าวออกพร้อมแจ้งความเพื่อดำเนินการทางกฎหมายในทันที วันนี้ AIS ได้แถลงมาตรการรักษาข้อมูลลูกค้าเพื่อป้องกันไม่ให้เกิดเหตุการณ์แบบนี้ขึ้นอีก
โดยมาตรการของ AIS นั้นมีตั้งแต่การกำหนดนโยบายความปลอดภัยเพิ่มเติม รวมถึงมาตรการการดำเนินงานที่ปรับให้ต้องใช้พนักงาน 2 คนขึ้นไปยืนยันตัวร่วมกัน (Double Password) ถึงจะเข้าถึงข้อมูลที่อ่อนไหวได้ และกำหนดพื้นที่การทำงานที่เกี่ยวข้องกับข้อมูลในลักษณะนี้เป็นพื้นที่แบบปิด ห้ามนำสมาร์ทโฟนหรืออุปกรณ์บันทึกข้อมูลเข้าพื้นที่ ซึ่งอ่านแถลงการทั้งหมดของ AIS ดังนี้
เอไอเอส ทำทุกวิถีทาง เพื่อดูแลความปลอดภัยข้อมูลส่วนบุคคลของลูกค้า
นางวิไล เคียงประดู่ ผู้ช่วยกรรมการผู้อำนวยการอาวุโส ส่วนงานประชาสัมพันธ์ บริษัท แอดวานซ์ อินโฟร์ เซอร์วิส จำกัด (มหาชน) หรือ เอไอเอส เปิดเผยว่า “จากการที่มีลูกค้าเอไอเอสโพสต์ลงเว็ปไซต์พันทิป เรื่องพนักงานเอไอเอสอาศัยอำนาจหน้าที่ที่ตนได้รับมอบหมายนำข้อมูลรายละเอียดการโทรเข้า-ออกของลูกค้าไปให้กับบุคคลภายนอก ซึ่งเป็นการกระทำผิดของพนักงานต่อ “นโยบายการคุ้มครองสิทธิและการรักษาข้อมูลส่วนบุคคลของผู้ใช้บริการ” และ “ประมวลจริยธรรมทางธุรกิจ” ของบริษัท ซึ่งเอไอเอสรู้สึกเสียใจและขออภัยลูกค้าที่ได้รับผลกระทบจากเหตุการณ์ที่เกิดขึ้น และเมื่อทราบเรื่องดังกล่าวบริษัทฯ ก็มิได้นิ่งนอนใจ ได้ดำเนินการตรวจสอบอย่างเข้มข้นทันที
บริษัทฯ ขอยืนยันว่าการปกป้องและรักษาข้อมูลส่วนบุคคลของลูกค้าเป็นเรื่องที่บริษัทให้ความสำคัญอย่างสูงสุดมาโดยตลอด โดยปัจจุบันบริษัทฯได้กำหนดให้มี
- นโยบายการคุ้มครองสิทธิและการรักษาข้อมูลส่วนบุคคลของผู้ใช้บริการ
- นโยบายความปลอดภัยข้อมูลและระบบสารสนเทศ
- ประมวลจริยธรรมทางธุรกิจ
ที่ระบุถึงความสำคัญของการคุ้มครองและรักษาข้อมูลส่วนบุคคลของลูกค้า ความหมายของข้อมูลส่วนบุคคล ช่องทางการรับข้อร้องเรียน กระบวนการตรวจสอบเมื่อมีการละเมิด บทลงโทษ และการคุ้มครองผู้ให้ข้อมูล รวมทั้งการมีคณะกรรมการกำกับดูแลเรื่องความปลอดภัยข้อมูลและระบบสารสนเทศซึ่งประกอบด้วยผู้บริหารระดับสูงจากแต่ละสายงานที่เกี่ยวข้อง , การอบรมให้ความรู้ด้านความปลอดภัยของระบบเทคโนโลยีสารสนเทศกับผู้พัฒนาระบบตามมาตรฐานการพัฒนาซอฟแวร์อย่างปลอดภัย (Secure Software Development Life Cycle :SSDLC)) การรักษาข้อมูลส่วนบุคคลของลูกค้าโดยพนักงานจะต้องทำแบบทดสอบภายหลังการฝึกอบรม และการสร้างจิตสำนึกเรื่องจริยธรรมทางธุรกิจให้แก่พนักงานตั้งแต่วันปฐมนิเทศ
และสิ่งสำคัญในกระบวนการทำงาน คือ การกำหนดสิทธิในการเข้าถึงข้อมูลส่วนบุคคลของลูกค้าตามอำนาจหน้าที่ความรับผิดชอบ และกำหนดให้มีรหัสผ่านในการเข้าถึงข้อมูลทุกครั้ง , การยกระดับความปลอดภัยของระบบสารสนเทศตามมาตรฐาน ISO270001 ที่ดาต้าเซ็นเตอร์ และการจัดให้มีการตรวจสอบโดยส่วนงานตรวจสอบภายในและโดยผู้เชี่ยวชาญอิสระจากภายนอกเป็นประจำ
อย่างไรก็ตาม จากเหตุการณ์ที่เกิดขึ้น แม้จะเป็นความผิดจากตัวบุคคลซึ่งใช้สิทธิในการเข้าถึงข้อมูลดังกล่าวเพื่อปฏิบัติหน้าที่ประจำวันไปในทางมิชอบ บริษัทฯก็มิได้นิ่งนอนใจ ได้มีการทบทวนและยกระดับการควบคุมการทำงานภายในเพื่อป้องกันการกระทำผิดและการทุจริตในองค์กร รวมถึงการเพิ่มมาตรการรักษาระบบรักษาความปลอดภัยทางด้านสารสนเทศของบริษัท เพื่อป้องกันไม่ให้เกิดเหตุการณ์ในลักษณะนี้ขึ้นอีกในอนาคต
โดยในขั้นแรก บริษัทฯ ได้กำหนดให้ดำเนินการ อาทิ
- ในการเข้าถึงข้อมูลบนระบบสารสนเทศซึ่งเก็บรักษาข้อมูลส่วนบุคคลของลูกค้าแต่ละครั้ง ให้พนักงานผู้มีสิทธิจำนวน 2 คนกรอกรหัสผ่านในการเข้าสู่ระบบ (Double Password) จากเดิมที่พนักงานผู้มีสิทธิสามารถใช้รหัสของตนเองเข้าถึงข้อมูลได้
- ปรับปรุงให้ระบบการทำงานของผู้ที่มีสิทธิเข้าถึงข้อมูลส่วนบุคคลของลูกค้ามีลักษณะการทำงานแบบปิด (Close working environment) กล่าวคือ กำหนดให้พนักงานห้ามนำโทรศัพท์เคลื่อนที่ อุปกรณ์บันทึกข้อมูล เช่น USB Thumb drive เข้าไปในบริเวณสถานที่ปฏิบัติงาน เป็นต้น
สำหรับมาตรการในขั้นถัดไป บริษัทจะพิจารณาเพิ่มเรื่องการป้องกันทั้งในด้านบุคคลากร กระบวนการทำงานทั้งภายในและภายนอกองค์กร และระบบรักษาความปลอดภัย ระบบตรวจสอบความผิดปกติในการทำงานที่อาจนำไปสู่การละเมิดข้อมูลส่วนบุคคลของลูกค้า และขอให้ลูกค้าทุกท่านมั่นใจว่าบริษัทฯ จะทำทุกวิถีทางเพื่อดูแลความปลอดภัยข้อมูลส่วนบุคคลของลูกค้า” นางวิไล กล่าวสรุป