โครงการจัดตั้งสถาบันพัฒนาบุคลากรไอซีทีของกระทรวงไอซีที ตอนที่ 1

หลายท่านคงจะได้ข่าวแล้วว่า กระทรวงเทคโนโลยีสารสนเทศและการสื่อสาร มีโครงการจัดตั้งสถาบันพัฒนาบุคลากรด้านเทคโนโลยีสารสนเทศและการสื่อสารแห่งชาติ มีสถานภาพเป็นองค์การมหาชน หลายคนได้ตั้งข้อสังเกตว่า โครงการนี้จะซ้ำซ้อนกับภารกิจของสถาบันการศึกษา รวมทั้งหน่วยงานฝึกอบรมวิชาสาขาไอซีที ของทั้งภาครัฐและเอกชนหรือไม่ และมีความจำเป็นเพียงใด ที่กระทรวงไอซีทีต้องจัดตั้งสถาบันนี้ ก่อนที่จะวิเคราะห์เรื่องนี้ในรายละเอียด ขอยกข้อความตอนหนึ่ง เกี่ยวกับวัตถุประสงค์ของโครงการ จากหนังสือของกระทรวงไอซีที มาแจงพอเป็นพื้นฐาน

“….[สถาบันพัฒนาบุคลากรด้านเทคโนโลยีและการสื่อสารแห่งชาติ (องค์การมหาชน)] ทำหน้าที่เป็นศูนย์กลางการพัฒนาบุคลากร เพื่อสนับสนุนความเป็นเลิศ (Center of Excellence) ในวิทยาการเทคโนโลยีสารสนเทศและการสื่อสาร ภารกิจหลักคือ วางแผนกำลังคนด้านไอซีที ยกระดับมาตรฐานหลักสูตรด้านไอซีทีของสถาบันการศึกษา พัฒนาการฝึกอบรมรูปแบบใหม่ เป็นแกนกลางประสานเครือข่ายทั้งในและต่างประเทศ ตลอดจนประสานการจัดตั้งองค์กรวิชาชีพไอซีที เพื่อทำ Career Path การให้บริการของสถาบันฯ จะมุ่งเน้นการเสริมสร้างความเชี่ยวชาญและทักษะด้านไอซีทีให้เข้มข้นขึ้น โดยเฉพาะสาขาที่ภาคอุตสาหกรรมต้องการ โดยเน้นการต่อยอดจากสถาบันการศึกษาปกติ เพื่อเข้าสู่ตลาดแรงงานด้วยสมรรถนะที่เหมาะสม

การจัดตั้งสถาบันฯ เป็นการดำเนินการที่สอดคล้องกับนโยบายรัฐบาล ด้านเทคโนโลยีสารสนเทศ และแผนพัฒนาเศรษฐกิจฯ ฉบับที่ 11 รวมทั้งกรอบนโยบายไอซีทีระยะที่ 2 ของประเทศไทย (พ.ศ. 2554-2563) และแผนแม่บทไอซีทีฉบับที่ 2 (พ.ศ. 2552-2556) ทั้งนี้ การจัดตั้งสถาบันฯ ถือได้ว่าเป็นการขับเคลื่อนของภาครัฐ เพื่อส่งเสริมและสนับสนุนภาคอุตสาหกรรมเทคโนโลยีสารเทศและการสื่อสารอย่างเป็นรูปธรรม….”

ในบทความนี้ จะวิเคราะห์สองเรื่อง ที่ปรากฎอยู่ในพันธกิจของโครงการจัดตั้งสถาบันฯ คือ เรื่องความไม่ซ้ำซ้อนกับสถาบันการศึกษา และการพัฒนาฝึกอบรมแบบใหม่

1.          ความซ้ำซ้อนกับภารกิจของสถาบันการศึกษาภาคปกติ

สถาบันฯใหม่นี้ จะทำงานซ้ำซ้อนกับสถาบันการศึกษา โดยเฉพาะระดับอุดมศึกษา หรือไม่อย่างไร ขึ้นอยู่ที่คณะบริหารขององค์การมหาชนที่จะตั้งขึ้นใหม่ ว่าจะเลือกกลยุทธ์อย่างไร ถ้าเลือกไม่ถูกทาง ก็จะเกิดความซ้ำซ้อนอย่างหลีกเลี่ยงไม่ได้ แต่ถ้าเลือกถูกทาง ก็น่าจะเป็นประโยชน์ต่อประเทศ และภาคอุตสาหกรรมโดยร่วม ขอเริ่มวิเคราะห์จากภาพที่ 1 ที่แสดงให้เห็น Supply-Demand ในเรื่องพัฒนา บุคลาการสายไอซีทีจากอดีตสู่อนาคต

                    ภาพที่ 1 ช่องว่างระหว่าง Demand และ Supply ด้านพัฒนาทักษะไอซีที

ในรอบ 30 ปีที่ผ่านมา ความสามารถด้านการสอนกลุ่มวิชาไอซีทีของสถาบันการศึกษาของประเทศทั้งระบบ เกือบจะย่ำอยู่กับที่ ในขณะที่เทคโนโลยีไอซีที ทั้งด้านฮาร์ดแวร์ ซอฟต์แวร์ เทคโนโลยีสื่อสารและเครือข่าย ได้พัฒนาอย่างรวดเร็ว และต่อเนื่อง กล่าวอีกนัยหนึ่ง เราไม่สามารถพัฒนาการเรียนการสอน ให้ได้ทั้งความใหม่ของเนื้อหา และปริมาณบัณฑิตที่มีความรู้ตามสมัย ได้ทันต่อความต้องการของภาคอุตสาหกรรม กลุ่มวิชาสายไอซีที แตกต่างจากวิชาสาขาอื่น ในระดับของพลวัต การเปลี่ยนแปลงด้านเนื้อหา และจำนวนเรื่องใหม่ ๆ ที่เกิดในสาขาไอซีทีนั้น มีมากมาย จนครูและอาจารย์ผู้สอน ส่วนใหญ่ ไม่สามารถติดตามเรียนรู้สิ่งใหม่ ๆ มาสอนนักเรียนนักศึกษาได้อย่างทันการณ์  ซึ่งยังไม่รวมถึงการขาดโอกาสที่อาจารย์จะค้นคว้าวิจัย ให้ได้ความรู้ที่แตกฉาน และเรียนสิ่งใหม่ ๆ เพื่อพัฒนาเด็กไทย ให้ได้ความรู้ที่ทันสมัยสำหรับการพัฒนาประเทศ  ผลก็คือ ในรอบสิบปีที่ผ่านมา ดัชนีตัวชี้วัดด้านความพร้อม ความสามารถในการแข่งขัน และด้านพัฒนาเทคโนโลยีของไทย ในเวทีโลก ไม่ว่า จะเป็นค่าย WEF, UN e-Government Survey, Economist Intelligence Unit e-readiness rankings, Networked Readiness Index, etc. ต่างลดอันดับลงปีแล้วปีเล่า แทนที่จะก้าวหน้า แต่กลับถอยหลังอย่างไม่น่าเชื่อ ที่น่าเป็นห่วง คือ สังคมของเราส่วนหนึ่งยังไม่ยอมรับรู้ปัญหานี้ และยังไม่มีมาตรการแก้ไขปัญหาอย่างเด่นชัด

จากการพูดคุยกับผู้ใช้บัณฑิตสายไอซีทีในตลาดแรงงานไทย พอสรุปได้ว่า ในภาคการศึกษาระดับอุดมศึกษาของไทย มีมหาวิทยาลัยจำนวนน้อยมาก ที่สามารถผลิตบัณฑิตคุณภาพสูงตามที่ตลาดต้องการ ในปริมาณเพียงพอ ที่จะป้อนตลาด แม้จะเพียงป้อนให้แก่กลุ่มสถานบันเกรด A เช่นบริษัทข้ามชาติ สถาบันการเงิน องค์การขนาดใหญ่ที่เกี่ยวข้องกับเครือข่ายธุรกิจนา ๆ ชาติ ก็ยังไม่เพียงพอ การที่จะเพิ่มคุณภาพ และเพิ่มผลผลิตบัณฑิตตามความต้องการของตลาดนั้น ต้องลงทุนค่อนข้างสูง จึงยากที่จะคาดหวังได้ว่า จะมีสถาบันใดพร้อมลงทุน ถึงแม้ในกลุ่มสถาบันการศึกษาของรัฐก็ตาม

ภาพที่ 1 สะท้อนให้เห็นถึงช่องว่าง ระหว่าง Supply—Demand ของบัณฑิตสายไอซีที ที่เรียนจบหลักสูตรที่ได้รับการปรับปรุงให้ทันสมัย และมีคุณภาพ วงกลมภายใน แสดงให้เห็นว่า ความสามารถในการผลิตบัณฑิตสายไอซีทีในระบบอุดมศึกษามีข้อจำกัด ไม่สามารถสนองตอบความต้องการของตลาดได้ เมื่อเทียบกับวงกลมวงนอก ที่แสดงการขยายความต้องการที่จะใช้เทคโนโลยีใหม่ ๆ  ภาพที่ 1 ต้องการสะท้อนให้เห็นว่า ช่องว่างระหว่างสองวงกลมนี้ มีแนวโน้มจะห่างมากขึ้น ถ้าไม่มีมาตรการที่จะแก้ไขอย่างจริงจัง และถ้าปล่อยให้เป็นเช่นนี้ต่อไป ความพร้อมด้านไอซีทีของประเทศคงจะต้องถดถอยต่อไป ซึ่งจะสร้างปัญหาต่อการพัฒนาเศรษฐกิจและสังคมของภาคอื่น ๆ ของประเทศด้วย

เพื่อให้เห็นประเด็นปัญหาที่กล่าวข้างต้นได้ชัดเจน ขอเปรียบเทียบทักษะด้านไอซีที กับทักษะของงานก่อสร้าง งานก่อสร้างมีทั้งโครงการขนาดเล็ก เช่นสร้างบ้านเดี่ยว หรืออาคารห้องแถว และทักษะการสร้างอาคารใหญ่สูงระฟ้า ทั้งสองกลุ่ม เป็นงานสร้างอาคารเหมือนกัน แต่อาศัยองค์ความรู้ ทักษะ ประสบการณ์ รวมทั้งการใช้เทคนิค และการออกแบบที่แตกต่างกันอย่างสิ้นเชิง ความสามารถของนักพัฒนาซอฟต์แวร์ไทยที่ได้เล่าเรียนมา และมีโอกาสได้สร้างผลงานที่ผ่านมา ส่วนใหญ่เปรียบได้กับการสร้างบ้านเดี่ยว หรืออาคารห้องแถว มีน้อยรายมาก ที่มีโอกาสได้สร้างผลงาน ที่เปรียบเทียบได้กับการสร้างอาคาร 10-20 ชั้น แต่ถ้าพูดถึงนักซอฟต์แวร์ไทยที่สามารถสร้างซอฟต์แวร์ที่เทียบได้กับโครงการอาคาร 30-60 ชั้น หรือมากกว่า คงจะนับตัวได้ หรือไม่มีเลย ดังนั้น ตลาดไทยในส่วนซอฟต์แวร์ขนาดใหญ่ ที่เทียบได้กับอาคารระฟ้าที่ผ่านมา จึงเป็นตลาดของบริษัทต่างชาติเกือบทั้งหมด ถ้าจะพัฒนาให้อุตสาหกรรมซอฟต์แวร์ไทย มีความสามารถเท่ากับอุตสาหกรรมก่อสร้างของไทย ที่สามารถออกแบบ ทำการก่อสร้าง และควบคุมโครงการก่อสร้างขนาดใหญ่ได้ จำเป็นต้องให้ความสำคัญกับการพัฒนาการศึกษา ทั้งในระบบ และนอกระบบ เพื่อให้มีหลักสูตร และมีผู้สอน ที่สามารถผลิตนักพัฒนาซอฟต์แวร์ ที่ใช้เทคโนโลยีไอซีทีที่ทันสมัย ในจำนวนที่เพียงพอต่อการพัฒนาเศรษฐกิจและสังคมของประเทศ และภูมิภาคได้

ถ้าสถาบันฯ ที่กระทรวงไอซีทีจะจัดตั้งขึ้นนี้ เน้นแก้ปัญหาที่อยู่ในช่องว่างระหว่างวงกลมสองวงในภาพที่ 1 และไม่เข้าไปให้บริการส่วนที่อยู่ภายในวงกลมเล็กภายใน ปัญหาความซ้ำซ้อนก็จะไม่เกิดขึ้น โครงการจัดตั้งสถาบันฯ ก็จะถูกมองว่า เป็นมาตรการหนึ่งที่รัฐ โดยกระทรวงไอซีที จะเข้ามาช่วยแก้ไขความขาดแคลนบุคลากรซอฟต์แวร์ในส่วนที่ตลาดต้องการ แต่ถ้าหลงทาง เข้าไปทำในสิ่งที่คนอื่นได้ทำอยู่แล้ว คือในส่วนของวงกลมวงในตามภาพ ก็ถือว่าเป็นข่าวร้ายของพวกเรา ในฐานะคนไทย

ยังมีต่ออีกหลายตอนนะครับ

การคุ้มครองข้อมูลส่วนบุคคลและความมั่นคงปลอดภัยจากการใช้คลาวด์ ตอนที่ 3

ในตอนที่ 1 เราพูดถึงความจำเป็นที่ต้องมีมาตรการสร้างความมั่นใจให้แก่ผู้ใช้บริการคลาวด์ด้านความมั่นคงปลอดภัย และในตอนที่ 2 เราพูดถึงสถานภาพการคุ้มครองข้อมูลส่วนบุคคลของไทย สำหรับตอนที่ 3 นี้ เราจะพูดเรื่องกรอบของการคุ้มครองความมั่นคงและปลอดภัยการใช้บริการคลาวด์ ในลักษณะคุ้มครองขั้นต่ำ (Minimum coverage) ที่จะต้องถูกกำหนดไว้ในสัญญาที่ทำขึ้นระหว่างผู้ให้บริการและผู้รับบริการ ข้อกำหนดและเงื่อนไขในสัญญา จะเข้มข้นเพียงใด มักจะต้องเจรจาระหว่างสองฝ่าย  ผู้ให้บริการที่มีจิตสำนึกในความรับผิดชอบต่อลูกค้า ก็จะเสนอข้อกำหนดและเงื่อนไขไว้อย่างครบถ้วน อย่างสมเหตุสมผล แต่บางรายก็พยายามหลีกเลี่ยงความรับผิดชอบให้ได้มากที่สุด ถ้าลูกค้าไม่ระวังและรอบคอบ ก็จะบริหารความเสี่ยงที่เกิดจากการใช้บริการคลาวด์ได้ยาก แต่อย่าลืมว่า บริการทุกขั้นตอนมีต้นทุน การคุ้มครองเกินความจำเป็น ก็อาจทำให้มีค่าใช้จ่ายสูงได้ การแข่งขันในธุรกิจบริการคลาวด์ทั่วโลก จะแข่งขันกันด้วยข้อเสนอที่จะคุ้มครองความมั่นคงปลอดภัยของลูกค้าด้วยราคาที่เหมาะสม ที่สะท้อนออกมาในรูปของสัญญาบริการ ที่ต้องทำให้เกิดผลจริงตามข้อสัญญาได้

ขอกล่าวย้ำว่า ทันทีที่เราเริ่มใช้บริการคลาวด์ เราได้มอบการจัดการงานที่เกี่ยวกับความมั่นคงปลอดภัยของระบบข้อมูล และเสถียรภาพของการใช้ระบบไอซีทีไปให้ผู้อื่นรับผิดชอบแทน ซึ่งก็คือผู้ให้บริการคลาวด์ โดยเราไม่สามารถเข้าไปมีส่วนในการบริหารจัดการ ชะตากรรมขององค์กร และของธุรกิจได้ส่งมอบไปอยู่ในมือของผู้ให้บริการ ที่เราจะไม่สามารถเข้าไปควบคุมดูแลได้ การกำกับดูแลที่ดี (Good governance) ที่องค์กรเคยสร้างมาอย่างดี จะต้องนำมาปรับปรุง ต่อเติมด้วยมาตรการการทำงานร่วมกับผู้ให้บริการคลาวด์ และมีมาตรการข้อผูกพันทางด้านกฎหมาย และผูกพันผู้ให้บริการในความรับผิดชอบ ทั้งด้านพันธะสัญญาบริการ (Service Level Agreement) และด้านความมั่นคงปลอดภัยของข้อมูล ที่สำคัญกว่านี้ ผู้ใช้บริการคลาวด์ยังต้องตระหนักว่า ความรับผิดชอบ และพันธะผูกผันทางกฎหมายบางชนิดไม่สามารถโอนย้ายไปให้ผู้ให้บริการได้ ตัวอย่างเช่น บริษัทมหาชนต้องไม่เปิดเผยข้อมูลบางชนิดขององค์กรให้แก่สาธารณชนก่อนเวลาอันควร ตามกฎหมายบริษัทมหาชน (มาตรา ๒๒๐ ผู้ใดได้ล่วงรู้กิจการของบริษัทใดเนื่องจากการปฏิบัติตามอำนาจหน้าที่ที่กำหนดไว้ในพระราชบัญญัตินี้ อันเป็นกิจการที่ตามปกติวิสัยของบริษัทจะพึงสงวนไว้ไม่เปิดเผย…..) ถ้าข้อมูลที่อยู่ในข่ายดังกล่าวเกิดหลุดไปสู่สาธารณชนด้วยวิธีใดวิธีหนึ่ง ผ่านการใช้บริการคลาวด์ ความรับผิดชอบก็ยังตกอยู่กับบริษัท การกำกับดูแลที่ดีต้องครอบคลุมถึงประเด็นสำคัญเหล่านี้ด้วย

ข้อกำหนดและเงื่อนไขของสัญญาใช้บริการคลาวด์

              สัญญาใช้บริการคลาวด์ มีกำหนดเงื่อนไขที่สำคัญอยู่สองหมวด หมวดแรกคือเรื่องที่เกี่ยวข้องกับกฎหมายบ้านเมือง ในด้าน

·      คุ้มครองไม่ให้เกิดความเสียหายจากการเข้าถึงข้อมูลจากบุคคลที่สาม (ข้อมูลของเราในฐานะลูกค้า ที่เก็บรักษาไว้ในศูนย์บริการคลาวด์ของผู้ให้บริการ อาจถูกบุคคลที่สามละเมิด หรือถูกบังคับให้เปิดเผยโดยมิชอบ)

·      คุ้มครองข้อมูลส่วนบุคคล

·      คุ้มครองด้านทรัพย์สินทางปัญญา

·      คุ้มครองการเคลื่อนย้ายข้อมูล ได้อย่างปลอดภัย หรือไม่ถูกเคลื่อนย้ายไปสู่ประเทศอื่น อันเป็นการละเมิดกฎหมายว่าด้วยการเคลื่อนย้ายข้อมูลออกนอกประเทศ

ดังที่ได้กล่าวมาแล้วในตอนที่ 2 ว่ารัฐบาลไทยยังไม่มีความชัดเจนเรื่องกฎหมายคุ้มครองข้อมูลส่วนบุคคล (เข้าใจว่า ร่างพรบว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ฉบับที่ได้ผ่านความเห็นชอบของรัฐบาลสมัยประชาธิปัตย์ ได้กลับเข้าสู่กระบวนการระลอกใหม่ หลังจากเปลี่ยนรัฐบาล ยังไม่แน่ใจว่า กระบวนการใหม่นี้จะใช้เวลานานแค่ไหน ยังไม่มีใครรู้อนาคต) สิ่งที่เรามีอยู่ในมือ คือ พระราชบัญญัติลิขสิทธิ์ พ.ศ. 2537 อย่างอื่นล้วนไม่มีความชัดเจนในขณะนี้ จึงยากที่ผู้ใช้บริการ และผู้ให้บริการ จะสามารถตกลงกำหนดเงื่อนไข และความรับผิดชอบ ไว้ในสัญญาบริการคลาวด์ได้

                             หมวดที่สองของตัวสัญญาใช้บริการ เป็นเรื่องข้อกำหนดการใช้บริการ เรื่องคุณภาพการให้บริการ ซึ่งมักจะกำหนดเป็นพันธะสัญญาบริการ (Service Level Agreement) และเรื่องข้อกำหนดในตัวหน้าที่ของผู้ใช้บริการ (Acceptable Use Policy)

                             โดยสรุป สัญญาใช้บริการ จะต้องมีอย่างน้อย 4 เรื่องดังนี้

1.          ข้อกำหนดและเงื่อนไขของบริการ (Terms of Service) ระบุ เงื่อนไข และข้อตกลงการใช้บริการคลาวด์ ระบุหน้าที่และความรับผิดชอบอย่างกว้าง ๆ ของคู่สัญญาทั้งสองฝ่าย ชนิดของบริการ รูปแบบการใช้บริการ ระยะเวลาการใช้บริการ เงื่อนไขการเลิกสัญญา โดยสรุป รูปแบบของข้อกำหนดและเงื่อนไขของบริการ ไม่แตกต่างจากสัญญาบริการทั่วไป แต่ผู้ใช้ต้องระวัง เงื่อนไขเมื่อเลิกใช้บริการ ไม่ว่ากรณีใดก็ตาม ต้องให้มีความชัดเจน ในเรื่องกรรมสิทธิในข้อมูล และระบบซอฟต์แวร์ของตนเอง (ถ้ามี) พูดกันชัด ๆ คือเมื่อไรที่เลิกใช้บริการ ไม่ว่าจะเป็นกรณีใด เราต้องมีข้อตกลงว่า เราในฐานะผู้ใช้บริการ เป็นเจ้าของข้อมูล และมีสิทธิที่จะนำข้อมูลออกมาใช้ได้

2.          พันธะสัญญาบริการ (Service Level Agreement, SLA) เป็นสัญญาที่ผู้ให้บริการ สัญญาจะให้บริการอย่างมีคุณภาพ และตกลงที่จะทดแทนผู้ใช้บริการ ในกรณีที่เกิดเหตุอันทำให้ไม่สามารถบริการตามที่สัญญาไว้ พันธะสัญญาบริการมักจะต้องกำหนดรายละเอียดเกี่ยวกับ Performance หรือ Up time ของอุปกรณ์ และระบบหลัก ๆ เช่น ระบบเซิร์ฟเวอร์ ระบบบันทึกข้อมูล ระบบสื่อสารข้อมูลและอินเทอร์เน็ต ถ้าสัญญาบริการรวมถึงระบบซอฟต์แวร์ ก็จะต้องระบุเงื่อนไขการทำงานอย่างมีคุณภาพของระบบซอฟต์แวร์ที่เกี่ยวข้องด้วย นอกจากนี้ ยังต้องมีการกำหนดระยะเวลาของการแก้ไขปัญหา และความฉับไวในการตอบรับการบริการ (Support response time) รวมทั้งข้อสัญญาเกี่ยวกับระบบรักษาความปลอดภัย ทั้งความปลอดภัยทางกายภาพ และความปลอดภัยที่เกี่ยวกับการใช้ไอซีทีด้วย

นอกจากนี้ พันธะสัญญาบริการยังต้องมีข้อกำหนดเกี่ยวกับการทดแทน หรือชดใช้ ในกรณีที่ผู้ให้บริการไม่สามารถบริการได้ตามสัญญา รวมทั้งข้อสัญญาที่จะชดใช้ในกรณีที่มีความเสียหายอื่น ๆ เกิดขึ้นด้วย

ตัวอย่างของพันธะสัญญา สามารถดูได้จาก Link นี้ http://www.gogrid.com/legal/sla.php

3.          นโยบายการใช้งาน (Acceptable Use Policy) เป็นข้อกำหนดและเงื่อนไขที่ต้องการปกป้องตัวผู้ให้บริการ จากเหตุการณ์ที่ไม่พึ่งปรารถนา ที่อาจเกิดจากตัวลูกค้า โดยเจตนาหรือไม่เจตนาก็ตาม ที่อาจก่อเกิดความเสียหาย โดยเฉพาะแก่บุคคลที่สาม เพื่อผู้ให้บริการหลุดพ้นจากความรับผิดชอบ โดยเฉพาะการใช้อินเทอร์เน็ต ความเสี่ยงที่พนักงานของผู้ใช้บริการคลาวด์อาจทำสิ่งผิดกฎหมาย หรือไปละเมิดสิทธิ หรือละเมิดลิขสิทธิ์ของบุคคลอื่น มีค่อนข้างสูง จึงจำเป็นที่ผู้ให้บริการจะกำหนดเงื่อนไขเพื่อปกป้องตนเอง ตัวอย่างของข้อกำหนดและเงื่อนไขมีดังนี้

a.           กำหนดให้ผู้ใช้บริการ ซึ่งรวมถึงพนักงานของผู้ใช้บริการ ต้องมีความรับผิดชอบ ที่จะใช้บริการตามวัตถุประสงค์ของธุรกิจของลูกค้า รวมทั้งการใช้ข้อมูลที่เกี่ยวข้องเพื่อกิจกรรมของธุรกิจของลูกค้าเท่านั้น

b.          ผู้ใช้บริการจะต้องไม่ให้พนักงาน หรือผู้ใช้ระบบงาน และระบบข้อมูลของผู้ใช้บริการ รับส่งข้อมูลและสาระที่ผิดกฎหมาย และผิดศิลธรรมอันดีของสังคม ผู้ให้บริการมีสิทธิที่จะระงับการให้บริการ ถ้าปรากฎผู้ใช้บริการ และหรือบริวารได้กระทำอันไม่สมควรดังกล่าว

(ท่านสามารถศึกษาจากตัวอย่างที่ Link นี้ http://www.gfi.com/whitepapers/acceptable_use_policy.pdf )

4.          นโยบายคุ้มครองข้อมูลส่วนบุคคล ตามที่ได้กล่าวมาแล้วข้างต้นว่า เป็นเรื่องใหญ่ มีความสำคัญอย่างมากที่จะสร้างความมั่นใจในการใช้บริการคลาวด์ แต่ปัญหาของพวกเรา คือ ยังไม่มีความชัดเจนในการคุ้มครองจากกฎหมายบ้านเมือง อย่างไรก็ตาม ยังมีเรื่องเกี่ยวกับการคุ้มครองข้อมูลอื่น ๆ ที่อยู่ในความรับผิดชอบของผู้ให้บริการ เช่น เรื่องมาตรการกำกับดูแลที่เกี่ยวข้องกับความมั่นคงปลอดภัย เรื่องที่ต้องมีการกำกับการปฏิบัติตามกฎเกณฑ์ของกฎหมายเฉพาะ (Compliance) เช่นในกรณีของสถาบันการเงิน และกฎหมายบริษัทมหาชน รวมทั้งต้องมีมาตรการเก็บรักษาและกู้คืนข้อมูลอย่างปลอดภัย ฯลฯ 

เรื่องความมั่นคงปลอดภัยการใช้บริการคลาวด์ เป็นเรื่องสลับซับซ้อน และมีความสำคัญมากต่อการพัฒนาการใช้บริการไอซีทีในรูปแบบสาธารณูปโภค ด้วยเหตุที่การบริการสาธารณูปโภคมีความสำคัญต่อการพัฒนาเศรษฐกิจและสังคม ถ้าการสร้างความมั่ใจในหมู่ผู้ใช้บริการไม่ได้รับการแก้ไข ก็จะส่งผลต่อการพัฒนาโดยรวมของประเทศได้ แต่ลำพังผู้ใช้บริการคลาวด์ ที่จะตระหนักและมีความรู้ในเรื่องรายละเอียดเกี่ยวกับเงื่อนไขและข้อกำหนด เพียงพอที่จะต่อรองกับผู้ให้บริการอย่างเหมาะสมและเป็นธรรมนั้น เป็นไปได้ยาก น่าที่จะมีหน่วยงานรับผิดชอบ ช่วยกำหนดและชี้แนะ ให้มีข้อกำหนดและเงื่อนไขการใช้คลาวด์อย่างมั่นคงปลอดภัยขั้นต่ำ เพื่อช่วยให้ผู้ใช้บริการคลาวด์สามารถนำไปเจรจาต่อรองกับผู้ให้บริการอย่างสมเหตุสมผลและเป็นธรรม

เอกสารอ้างอิง:

1.          Ballantine, Russel, “Cloud Computing, Security Compliance and Governance”, Bookbaby 1^st Edition, January 31, 2012.

2.          Jansen, Wayne, Grance, Timothy, “Guidelines on Security and Privacy in Public Cloud Computing”, National Institute of Standards and Technology, U>S> Department of Commerce, Special Publication 800-144, December 2011.

Service Oriented Professionals กับยุทธศาสตร์แบบ Economies of Scope

ทุกวันนี้ความสามารถผลิตสินค้า และมีทักษะการตลาดที่ดีนั้น ไม่เพียงพอต่อความอยู่รอดในสังคมยุคใหม่ได้อย่างยั่งยืนอีกต่อไป สังคมเรากำลังมุ่งสู่เศรษฐกิจการสร้างคุณค่า (Value-creation Economy) มีหลายอย่างที่กำลังชี้ไปในทิศทางนี้ เช่น ความเชื่อว่าสินค้า (Goods) เริ่มกลายเป็น Commodities (สินค้าที่ไม่มีความแตกต่างในด้านคุณค่า) ในสายตาของตลาดและผู้บริโภค (จากหนังสือเรื่อง Blue Ocean Strategy โดย Kim and Mauborgne, 2005) และความอิ่มตัวของสินค้า (Product saturation) แนวโน้มที่ผู้บริโภคหันมาสนใจบริการ (Service) เมื่อถูกยัดเยียดจากผู้ผลิตให้บริโภคสินค้าที่หลากหลายมากจนเกินความจำเป็น (Dave Gray, http://www.dachisgroup.com/2011/11/everything-is-a-service/) จนถึงจุดหนึ่ง ผู้บริโภคเริ่มตั้งคำถามว่า ที่ได้บริโภคไปอย่างมากมายนั้น มีความคุ้มค่า (Value) หรือไม่ และอะไรคือคุณค่าที่แท้จริง 

 เมื่อแนวโน้มการเรียกร้องหาคุณค่ามีมากขึ้น ระบบเศรษฐกิจและสังคมจึงเริ่มหันมาสนใจเรื่องการสร้างคุณค่า (Value creation) ที่แท้จริง แต่คุณค่าใหม่ที่จะตอบโจทย์ผู้บริโภคได้นั้น ไม่ใช่คุณค่าในระบบมูลค่าเพิ่ม (Value added) ของการผลิตสินค้าที่พวกเราคุ้มเคยกัน คุณค่าในระบบผลิตสินค้า ถูกกำหนดขึ้นจากผู้ผลิต และสะท้อนออกเป็นราคาสินค้า (Value in exchange) แต่คุณค่าที่ผู้บริโภคเรียกร้องใหม่นี้ เป็นคุณค่าที่เกิดจากการรับรู้ของผู้บริโภคเอง เป็นคุณค่าที่เกิดขึ้นหลังการใช้ผลิตภัณฑ์และบริการ (Value in use) ความรู้สึกพอใจเกิดขึ้นหลังจากได้บริโภคสินค้าและบริการแล้ว ผู้ผลิตและผู้ให้บริการไม่สามารถกำหนดคุณค่าของผู้บริโภคด้วยตัวเองได้ ในกรณีเช่นนี้ ธุรกิจมีบทบาท เพียงเป็นแค่ผู้สร้างข้อเสนอ (Offerings หรือ  Value proposition) เสนอต่อผู้บริโภค เพื่อนำไปสร้างคุณค่า ดังนั้น คุณค่าจึงเกิดจากการทำให้เกิดขึ้นร่วมกัน (Co-creation) การสร้างคุณค่าร่วมกันนำไปสู่แนวคิดใหม่ของบริการ (Service) ดังนั้นธุรกิจจึงจำเป็นต้องปรับยุทธศาสตร์ใหม่ จากแต่เดิมเคยแข่งขันด้วยความสามารถผลิตสินค้าและการตลาด มาเป็นเพิ่มศักยภาพการให้บริการ

วิทยาการบริการ (Service Science) เป็นศาสตร์สาขาใหม่ที่กำลังถูกพัฒนาและผลักดันให้มีบทบาทในการเสนอแนวความคิดใหม่ เกี่ยวกับการสร้างคุณค่า และสร้างระบบบริการ (Service System) ที่สามารถรองรับนวัตกรรมบริการใหม่ ๆ ที่สนับสนุนการสร้างคุณค่าในระบบเศรษฐกิจและสังคมในเชิงบริการ เราจำเป็นต้องมีนักบริหาร และผู้ชำนาญการสาขาใหม่ ในลักษณะมืออาชีพเชิงบริการ (Service-oriented Professionals) ที่เข้าใจความหมายของบริการแบบใหม่ สามารถนำไปปรับปรุงธุรกิจด้วยบริการแบบใหม่ หรือนำบริการไปเป็นส่วนหนึ่งของการเสนอขายสินค้า หรือสร้างนวัตกรรมบริการใหม่ ๆ ตามแนวทางที่จะทำให้ผู้บริโภคนำไปสร้างคุณค่าตามความต้องการได้ ความมีจิตบริการ (Service Mind) ตามแนวคิดใหม่นี้ จะไม่เป็นเพียงผู้ให้บริการที่มีอัธยศัยดีและอบอุ่น แต่ต้องมีทักษะในบริบทของการสร้างคุณค่าร่วมกับผู้บริโภคได้  กลุ่มวิชาว่าด้วยวิทยาการบริการถูกออกแบบสำหรับคนทุกคน ไม่ว่าจะทำงานในภาครัฐ ภาคการศึกษา ภาคธุรกิจ และภาคสังคม เพราะต่างต้องรับรู้แนวคิดใหม่ของบริการเพื่อสร้างคุณค่าในระดับหนึ่ง เพื่อนำไปปรับปรุงธุรกิจ หรือปรับปรุงรูปแบบงานบริการ ให้เกิดคุณค่าที่แท้จริงแก่ผู้บริโภค แก่องค์กร และแก่สังคมโดยรวมได้

ตามแนวคิดของ Richard Normann ที่เขียนไว้ในเรื่อง “From Value Chain to Value Constellation: Designing Interactive Strategy” ยุทธศาสตร์ของธุรกิจจากนี้ไป เป็นการพัฒนาธุรกิจ ด้วยการจัดการความรู้ ทรัพยากร และกิจกรรม เพื่อก่อเกิดประโยชน์ในหลาย ๆ ด้าน ขึ้นอยู่กับสถานที่ (Space) เวลา (Time) และตัวบุคคล (User/actor) เพื่อให้ผู้บริโภคได้คุณค่าอย่างแท้จริง ในยุคของเศรษฐกิจอุตสาหกรรม เราใช้ทรัพยากรและความรู้ ผลิตสินค้าได้หลากหลายเป็นจำนวนมาก เพื่อให้ได้ Economies of scale การซื้อขายสินค้า เป็นรูปของการแลกเปลี่ยนความเป็นเจ้าของ แต่ในยุคเศรษฐกิจใหม่ที่เน้นการร่วมผลิตและร่วมกันสร้างคุณค่า (Co-product/Co-creation) นั้น เป็นการใช้ทรัพยากรและความรู้ เพื่อผลิตข้อเสนอ (Offerings) ที่หลากหลาย สามารถตอบสนองความต้องการผู้บริโภคหลาย ๆ รูปแบบได้ เป็นลักษณะของ  Economies of scope การซื้อขายในกรณีใหม่นี้ ไม่เป็นการแลกเปลี่ยนกรรมสิทธิ์อีกต่อไป แต่เป็นการเสนอให้ผู้บริโภคเข้าถึงทรัพยากร เพื่อนำไปสร้างคุณค่าให้ตนเอง ข้อแตกต่างระหว่างแนวคิดของการผลิตสินค้า กับการสร้างบริการ อยู่ที่ในยุคอุตสาหกรรม เรานำความรู้และทรัพยากรอื่นมาแปลงเป็นสินค้าที่มีกายภาพ จับต้องได้ ขนส่งได้ มีลู่ทางส่งถึงมือผู้บริโภคที่ชัดเจน ทำให้ลดต้นทุน และสร้างผลิตในลักษณะเป็น Mass production ที่ได้ Economies of scale แต่เราทำเช่นนี้กับบริการไม่ได้ เรายังไม่สามารถบรรจุความรู้ และกิจกรรมของกระบวนการบริการในรูปแบบที่จะขนถ่ายจากผู้ผลิตสู่ผู้บริโภคได้ และผลิตบริการชนิดเดียวกันจำนวนมาก ๆ เพื่อให้ได้ต้นทุนต่ำ ตัวอย่างเช่น เรายังไม่สามารถบรรจุความรู้ของหมอและขั้นตอนรักษาโรคเข้าเป็นชุดเหมือนสินค้า เพื่อส่งให้ผู้ป่วยนำไปรักษาตัวเองได้ เรายังไม่รู้เทคนิคที่จะสร้างระบบ Expert system ด้วยซอฟต์แวร์ที่ส่งไปรักษาคนไขได้ คนไข้ยังต้องเดินทางมารักษาตัวจากหมอโดยตรงที่โรงพยายาล อย่างไรก็ตาม เพื่อให้การบริการสามารถทำได้ด้วยต้นทุนที่ต่ำ และสะดวก จำเป็นต้องหามาตรการที่จะให้การบริการนั้น ปลอดจากเงื่อนไขของสถานที่ เวลา และตัวบุคคลให้ได้มากที่สุด ถึงแม้เราจะยังไม่สามารถบรรจุบริการ หรือข้อเสนอเพื่อสร้างคุณค่า (Offering หรือ Value proposition) เหมือนสินค้าก็ตาม แต่เราพยายามที่จะหาวิธีให้ผู้บริโภค เข้าถึงความรู้ ทรัพยากร และกิจกรรมที่เกี่ยวกับบริการ ให้สะดวกและมีประสิทธิภาพมากที่สุด เท่าที่เทคโนโลยีปัจจุบันจะอำนวยได้

ทุกยุคทุกสมัย การสร้าง Offering (หมายถึงสินค้าหรือบริการ) มักจะต้องกำหนดหน้าที่ และความสัมพันธ์ในกระบวนการผลิต รวมทั้งเลือกใช้เทคโนโลยีในยุคนั้น ๆ ได้อย่างเหมาะสม ในยุคอุตสาหกรรม การค้นพบเทคโนโลยีด้านพลังงาน ทำให้เราผลิตสินค้าอย่างเป็นระบบในโรงงานได้ มีการจัดแบ่งหน้าที่ของแรงงานตามทักษะและความชำนาญ (Specialized division of labor) จนสามารถพัฒนาเศรษฐกิจให้เจริญก้าวหน้าดังที่ประจักษ์เช่นทุกวันนี้ ในยุคปัจจุบัน อิทธิพลของเทคโนโลยีสารสนเทศ หรือไอที ทำให้เกิดแนวทางจัดการกิจกรรม และทรัพยากร ให้เป็นรูปแบบในเชิงบริการ (Offerings) ที่สามารถส่งมอบให้ผู้บริโภคนำไปสร้างคุณค่าได้ในลักษณะ

1.          ข้อเสนอ (Offering) ถูกนำไปใช้ได้โดยไม่จำกัดเวลา นำไปใช้เพื่อผลิตผล และสร้างคุณค่าใหม่ได้ทุกเวลา วิธีการใช้ถูกบันทึกไว้ในรูปคำสั่งคอมพิวเตอร์ เพื่อใช้กับเครื่องจักร ส่วนกรณีที่ข้อเสนอถูกนำไปใช้กับคน ก็มีคำอธิบายที่ทำให้ใช้ข้อเสนอได้อย่างสะดวกได้

2.          ข้อเสนอ (Offering)  ถูกนำไปใช้โดยไม่จำกัดสถานที่ กิจกรรมที่ระบุไว้ในข้อเสนอถูกนำไปใช้ได้ทั่วโลก อาศัยเทคโนโลยีสารสนเทศและการสื่อสาร

3.          ข้อเสนอ (Offering) ถูกนำไปใช้กับใครก็ได้ ในกรณีนี้ ผู้สร้างข้อเสนอกำหนดขอบเขตการใช้ และระบุความสัมพันธ์ระหว่างคนและระบบบริการที่มีส่วนร่วมการผลิต (Co-production) และร่วมกันสร้างคุณค่า (Value co-creation) อย่างชัดเจน แนวคิดนี้ เป็นปัจจัยสำคัญอย่างหนึ่งของระบบเศรษฐกิจใหม่

ตามที่กล่าวข้างต้น เรายังไม่สามารถบรรจุข้อเสนอเพื่อการบริการเป็นหีบห่อเหมือนสินค้า แต่สิ่งที่ทำได้ คืออาศัยไอซีทีทำให้ข้อเสนอถูกปรับเปลี่ยนรูปแบบ (Re-configured) ได้หลากหลายแบบ ด้วยเทคนิคที่ทำให้ปลอดจากเงื่อนไขเรื่องสถานที่ เวลา และตัวบุคคล การปรับเปลี่ยนรูปแบบใหม่ของข้อเสนอ อาจหมายถึงการแยกกิจกรรมเป็นหลาย ๆ ส่วน หรือปรับปรุงให้เหมาะกับบริบทใหม่ เพื่อประโยชน์ในการสร้างคุณค่าอื่น ๆ ที่หลากหลายได้ การ Outsourcing เป็นรูปแบบหนึ่ง ที่จัดรูปแบบ offering เพื่อแบ่งงานตามทักษะและความชำนาญ ทำให้ได้ผลผลิตที่ดีกว่า ด้วยต้นทุนที่ต่ำกว่า เป็นลักษณะการแยกหน้าที่ (Division of work) อีกรูปแบบหนึ่ง เพื่อให้ได้ Economies of scope จากข้อเสนอ (Offering หรือ Value proposition) และนำไปสู่การใช้ทรัพยากรอย่างคุ้มค่า และสร้างคุณค่าได้หลากหลาย

จึงเห็นได้ว่า Service Oriented Professionals มีบทบาทที่สำคัญมาก ที่จะช่วยสนับสนุนยุทธศาสาตร์ของธุรกิจ สู่การแข่งขันด้วยแนวคิดของ Value Creation บนพื้นฐานของเทคโนโลยีสารสนเทศและการสื่อสาร การศึกษาศาสตร์ใหม่ ที่เป็นสหวิทยาการ ที่รู้จักในชื่อว่าวิทยาการบริการ (Service Science) นอกจากจะสนับสนุนให้เกิดงานวิจัย และนวัตกรรมด้านเกี่ยวกับบริการแล้ว ยังช่วยสร้างมืออาชีพแขนงใหม่ คือ Service-Oriented Professionals ที่มีจิตบริการ หรือ Service Mind ที่จะร่วมกันพัฒนาระบบสร้างคุณค่า (Service Creating System) เพื่อพัฒนาเศรษฐกิจแบบใหม่ อันเป็นประโยชน์ต่อสังคมโดยรวม

การคุ้มครองข้อมูลส่วนบุคคลและความมั่นคงปลอดภัยจากการใช้คลาวด์ ตอนที่ 2

ประเทศที่ต้องการพัฒนาเศรษฐกิจและสังคมสู่สากล มักต้องคำนึงถึงการสร้างความเชื่อมั่นให้กับคนทุกคน ในยุคที่โลกเราถูกเชื่อมโยงด้วยเครือข่ายสื่อสารโทรคมนาคมที่มีประสิทธิภาพสูง การทำธุรกรรมผ่านอินเทอร์เน็ตมีแต่จะเพิ่มขึ้น และชุมชนที่อยู่ในสังคมออนไลน์ หรือเครือข่ายสังคมเก็บข้อมูลส่วนตัวของพวกเรามากขึ้นทุกวัน เมื่อรวมกับงานที่กำลังจะโอนย้ายเข้าไปฝากอยู่กับศูนย์บริการคลาว ทำให้ข้อมูลส่วนตัวของพวกเราแต่ละคนกระจายอยู่ทั่วไปในก้อนเมฆ และในโลกไซเบอร์ ความเป็นส่วนตัวของพวกเราเริ่มกลายเป็นประเด็นปัญหาที่ต้องกังวล ถ้าข้อมูลส่วนบุคคลยังไม่ได้รับการคุ้มครองที่ชัดเจน ประเทศที่เจริญแล้วหลาย ๆ ประเทศต่างมีกฎหมายใช้บังคับผู้เก็บข้อมูลของประชาชนไว้ เพื่อให้มั่นใจว่า ข้อมูลส่วนตัวจะไม่ถูกละเมิดจนเกิคความเสียหาย

กฏหมายคุ้มครองข้อมูลส่วนบุคคลที่ใช้ในประเทศต่าง ๆ มีสองรูปแบบดังนี้

1.          รูปแบบบัญญัติกฎหมายกลาง (Comprehensive Law) ซึ่งเป็นกฎหมายที่บังคับใช้กับผู้บันทึกและจัดเก็บข้อมูลของประชาชนทุกประเภท ทั้งของภาครัฐและเอกชน ทั้งข้อมูลส่วนบุคคลที่เกี่ยวกับการเงิน ข้อมูลส่วนบุคคลเกี่ยวกับการลงทุน เกี่ยวกับการบริโภค ฯลฯ รูปแบบบัญญัติกฎหมายกลาง เป็นรูปแบบที่นิยมใช้กันมาก

2.          รูปแบบบัญญัติกฎหมายเฉพาะเรื่อง (Sectoral Law) เป็นกฎหมายที่คุ้มครองข้อมูลส่วนบุคคลเฉพาะเรื่อง เช่นข้อมูลเกี่ยวกับการเงิน เกี่ยวกับทางการปกครอง เกี่ยวกับการบริโภค ผู้รู้ในด้านกฎหมายไทยบอกว่า การบัญญัติกฎหมายเฉพาะสำหรับการคุ้มครองข้อมูลส่วนบุคคลนั้น มีข้อเสีย กล่าวคือ ถ้าเกิดการละเมิดในส่วนที่ไม่ได้กำหนดไว้ในกฎหมายเฉพาะ ก็จะไม่ได้รับการคุ้มครอง ความเป็นจริง คือ การละเมิดข้อมูลส่วนตัวนั้น เกิดได้ทุกกรณีและทุกโอกาส จึงเป็นไปยากที่กฎหมายเฉพาะจะครอบคลุมได้ทั่วถึง ดังนั้นกฎหมายกลางที่กล่าวในข้อ 1 ซึ่งถือเป็นกฎหมายครอบจักรวาล จะสร้างความมั่นใจให้แก่สังคมได้มากกว่า ประเทศสหรัฐอเมริกาเป็นหนึ่งในไม่กี่ประเทศที่เลือกใช้บัญญัติกฎหมายเฉพาะ เช่นเรื่อง Video Privacy Protection Act of 1988, Cable Television Protection and Competition Act of 1992, the Fair Credit Reporting Act, และ 2010 Massachusetts Data Privacy Regulations (จาก Wikipedia)

ที่ผ่านมา ประเทศไทยได้บัญญัติกฎหมายให้การคุ้มครองข้อมูลส่วนบุคคล เป็นกฎหมายแบบเฉพาะเรื่องเช่นกัน ที่ได้บังคับใช้แล้วขณะนี้ คือพระราชบัญญัติข้อมูลข่าวสารของราชการ พศ 2540 ซึ่งให้ความคุ้มครองข้อมูลส่วนบุคคลเฉพาะที่ถูกจัดเก็บอยู่กับส่วนราชการ นอกจากนี้ ยังมีประกาศภายใต้พระราชบัญญัติว่าด้วยธุรกรรมทางอิเล็กทรอนิกส์ พศ 2544 ของคณะกรรมการธุรกรรมอิเล็กทรอนิกส์ เรื่องแนวนโยบายและแนวปฎิบัติในการคุ้มครองข้อมูลส่วนบุคคลของหน่วยงานของรัฐ พศ 2553 เพื่อเป็นแนวทางเบื้องต้นสำหรับคุ้มครองข้อมูลส่วนบุคคลจากการให้บริการธุรกิจทางอิเล็กทรอนิกส์ของภาครัฐ

สำหรับร่างพระราชบัญญัติว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลที่ได้ผ่านความเห็นชอบของคณะรัฐมนตรี และอยู่ในระหว่างการพิจารณาของรัฐสภานั้น ตามบันทึกหลักการและเหตุผล ประกอบร่างพรบฉบับดังกล่าว ตอนหนึ่งมีใจความว่า “…โดยที่มาตรา 35 วรรคสาม และมาตรา 56 ของรัฐธรรมนูญแห่งราชอาณาจักรไทย บัญญัติให้บุคคลย่อมมีสิทธิได้รับความคุ้มครองจากการแสวงประโยชน์โดยมิชอบจากข้อมูลส่วนบุคลที่เกี่ยวกับตน และการเปิดเผยข้อมูลส่วนบุคคล สมควรกำหนดให้มีกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลเป็นการทั่วไป….” ถึงแม้จะมีการระบุว่าเป็นการบัญญัติกฎหมายคุ้มครองทั่วไป คงยังต้องอาศัยนักกฎหมายช่วยศึกษาว่าจะครอบคลุมประเด็นสำคัญ ๆ เกี่ยวกับการใช้บริการคลาวอย่างปลอดภัยหรือไม่

อย่างไรก็ตาม ร่างพรบฉบับนี้ ได้ให้คำจำกัดความของคำว่า “ข้อมูลส่วนบุคคล” ไว้ดังนี้ “ข้อมูลส่วนบุคคล หมายความว่า ข้อมูลเกี่ยวกับสิ่งเฉพาะตัวของบุคคล เช่น การศึกษา ฐานะการเงิน ประวัติสุขภาพ ประวัติอาชญากรรม ประวัติการทำงาน หรือประวัติกิจกรรม บรรดาที่มีชื่อของบุคคลนั้นหรือมีเลขหมาย รหัส หรือสิ่งบอกลักษณะอื่นที่ทำให้รู้ตัวบุคคลนั้นได้ เช่นลายพิมพ์นิ้วมือ แผ่นบันทึกลักษณะเสียงของคน หรือรูปถ่าย และให้หมายความรวมถึงข้อมูลเกี่ยวกับสิ่งเฉพาะตัวของผู้ที่ถึงแก่กรรมแล้วด้วย”

ผมตีความหมายว่า รายการธุรกรรม (Transaction) ที่กำกับด้วยเลขรหัส หรือชื่อของบุคคล ก็จะได้รับการคุ้มครองด้วย

ร่างพรบว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ได้วางหลักเกณฑ์เกี่ยวกับการจัดเก็บ รวบรวม การใช้ และการปิดเผยข้อมูลส่วนบุคคล ที่น่าสนใจคือ ในมาตรา 20 กำหนดให้คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลมีอำนาจประกาศกำหนดประมวลจริยธรรมเพื่อให้ธุรกิจหรือหน่วยงานที่มีข้อมูลส่วนบุคคลต้องปฎิบัติ และมาตรา 21 กำหนดให้ผู้ประกอบการทำประกาศการเก็บข้อมูลส่วนบุคคล ณ สถานที่ทำการ สองมาตรานี้ อ่านแล้ว ทำให้เข้าใจว่า จะสนับสนุนให้ผู้ประกอบการกำกับดูแลตัวเอง (Self-regulation) เพื่อสร้างความน่าเชื่อถือในการบริการลูกค้า และนำไปสู่การใช้ Trust mark หรือการใช้เครื่องหมายรับรองการให้ความคุ้มครองข้อมูลส่วนบุคคล ลักษณะที่เคยเห็นปรากฎในเว็บไซท์หลายแห่ง

ที่น่าสนใจอีกเรื่องหนึ่งคือ มาตรา 29 ห้ามไม่ให้เปิดเผยข้อมูลส่วนบุคคลไปนอกประเทศโดยไม่ได้รับคามยินยอมจากเจ้าของ และมาตรา 30 ห้ามไม่ให้เปิดเผยข้อมูลส่วนบุคคลไปยังประเทศที่ไม่มีกฎหมายคุ้มครองข้อมูลส่วนบุคคล หรือมี แต่มีความเข้มข้นน้อยกว่าของไทย เรื่องนี้อาจตีความได้ว่า ห้ามธุรกิจไทยใช้บริการคลาวต่างประเทศ เว้นแต่ผู้ให้บริการมาตั้งเครื่องเซิรฟเวอร์และฐานข้อมูลในประเทศไทย ซึ่งมีการใช้บังคับในลักษณะนี้แล้วหลายประเทศ ในภาคพื้นยุโรป จนผู้ให้บริการคลาวหลายรายของสหรัฐอเมริกา ต้องมาตั้งฐานในยุโรป

โดยสรุปแล้ว หลักการ และรายละเอียดของกฎหมายที่ว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลของแต่ละประเทศคงไม่แตกต่างกันมาก เราคงต้องปล่อยให้เป็นภารหน้าที่ของนักกฎหมายและรัฐสภาที่จะช่วยดูแลให้พวกเรา แต่พวกเราในฐานะชาวบ้านที่รอคอยการใช้บริการคลาว คงต้องการเห็นให้มีการผลักดันให้ร่างพระราชบัญญัติฉบับนี้มีผลใช้บังคับโดยเร็ว เพื่อพวกเราจะได้ก้าวไปข้างหน้าได้อีกหนึ่งก้าว

ตอนต่อไป จะมาพูดเรื่องเกี่ยวกับความมั่นคงปลอดภัยของการใช้บริการคลาวด์ครับ

การคุ้มครองข้อมูลส่วนบุคคลและความมั่นคงปลอดภัยการใช้คลาวด์ ตอนที่ 1

                ถ้าเราถามองค์กรที่ใช้ไอซีทีว่า พร้อมที่จะใช้บริการคลาวด์คอมพิวติงหรือยัง จะได้คำตอบคล้ายกันมาก คือ “….อยากใช้ครับ แต่ไม่แน่ใจว่าจะปลอดภัย…”

ความไม่แน่ใจในความปลอดภัย กลายเป็นประเด็นที่ชลอการเติบโตของการบริการไอซีทีแบบสาธารณูปโภค ในตัวผู้บริโภคเอง ส่วนใหญ่ยังไม่เข้าใจในเรื่องของความมั่นคงปลอดภัย ทั้งที่จะได้รับจากผู้ให้บริการ และระดับการคุ้มครองจากภาครัฐในเรื่องข้อมูล และการได้รับคุ้มครองความเป็นธรรมในฐานะผู้บริโภค ในส่วนผู้ให้บริการเอง ก็ยังไม่มีการประกาศที่ชัดเจน เรื่องหน้าที่และความรับผิดชอบต่อผู้รับบริการ เรียกได้ว่า ยังไม่มีหน่วยงานใดออกมาทำความกระจ่างเกี่ยวกับเรื่องการคุ้มครองข้อมูลส่วนบุคคลและความมั่นคงปลอดภัยจากการใช้คลาวอย่างชัดเจน ตราบใดที่สังคมไทยยังกังวลในเรื่องของความปลอดภัย และยังไม่สามารถประมาณระดับความเสี่ยงของตนเองได้ ก็ยากที่จะมีผู้กล้าตัดสินใจนำระบบงานและข้อมูลไปฝากไว้กับศูนย์บริการ ไม่ว่าศูนย์จะมีข้อเสนอดีอย่างไรก็ตาม การประหยัด และความเป็นเลิศของการบริหารโครงสร้างพื้นฐานด้านไอซีทีที่ผู้ให้บริการนำเสนอ กลายเป็นเรื่องรองที่ไม่สามารถสร้างแรงจูงใจให้เกิดการตัดสินใจใช้บริการคลาวได้อย่างแน่นอน

              การสร้างความมั่นใจและความไว้วางใจในบริการคลาวด์คอมพิวติงด้วยมาตรการกำหนดเป็นนโยบายและกฎหมาย มีทั้งเรื่องการตราพระราชบัญญัติว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล และนโยบายว่าด้วยความมั่นคงปลอดภัยที่เกี่ยวกับการใช้บริการคลาวด์คอมพิวติง

การคุ้มตรองข้อมูลส่วนบุคคล (Data Protection) เป็นการคุ้มคองผู้บริโภค และเจ้าของข้อมูล โดยกำหนดให้ผู้จัดเก็บข้อมูลต้องปฎิบัติต่อข้อมูลที่ไม่เป็นภัยต่อเจ้าของข้อมูล ประเทศไทยได้ร่างพระราชบัญญัติว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลมาตั้งแต่ปี พศ 2545 และได้รับการปรับปรุงแก้ไขมาแล้วหลายรอบ จนสุดท้ายได้รับความเห็นชอบจากคณะรัฐมนตรีแล้ว ขณะนี้ ยังอยู่ในระหว่างรอการพิจารณาจากสภาผู้แทนราษฎร

              สำหรับความมั่นคงปลอดภัยเกี่ยวกับการใช้บริการคลาวด์ (Cloud Security) นั้นมีทั้งประเด็นที่เกี่ยวกับการใช้เทคโนโลยี และข้อกำหนด กฎระเบียบ รวมทั้งนโยบายเกี่ยวกับการใช้และให้บริการ ซึ่งจำเป็นต้องมีผู้รับผิดชอบทำหน้าที่ตราเป็นกรอบให้ปฎิบัติได้ระดับหนึ่ง (Cloud Security Framework, CSF) CSF จะช่วยสร้างความกระจ่าง ถึงความเสี่ยง และมาตรการการป้องกันความเสี่ยงที่ชัดเจน รวมทั้งมีข้อชี้แนะการปฎิบัติที่ดี (Best practices) ที่นำไปสู่การใช้บริการ และการให้บริการอย่างปลอดภัย ประเทศสิงคโปร์ได้แนะนำข้อกำหนดด้านความมั่นคงปลอดภัยเป็นหกประการดังนี้

1.          เทคโนโลยี (Technology) ให้สังคมเข้าใจถึงความเสี่ยงที่เกี่ยวกับการใช้เทคโนโลยีใหม่ ๆ เช่น Virtualization เป็นต้น

2.          ความตระหนัก (Awareness) ในด้านความปลอดภัย ให้มีมาตรการสร้างความเข้าใจแก่ผู้ที่เกี่ยวข้อง ด้านความเสี่ยงที่อาจเกิดขึ้นจากการใช้บริการคลาว ผู้ให้บริการเองก็ต้องตระหนักถึงความรับผิดชอบ ที่ต้องให้บริการอย่างมีความปลอดภัยสูงสุด

3.          การจัดประเภท (Classification) ความเสี่ยง เป็นการจัดประเภทความเสี่ยงที่แตกต่างของธุรกิจ และระบบงานขององค์กร เพื่อการบริหารความเสี่ยงได้อย่างเหมาะสม เช่นการจัดประเภทระหว่างกลุ่ม ระบบ Back office และ Front office ระบบของธุรกิจการเงิน การบริการโทรคมนาคม การบริการทางการแพทย์ ฯลฯ

4.          มาตรฐาน (Standard) ที่เกี่ยวข้องกับความมั่นคงปลอดภัย ตั้งแต่กระบวนการปฎิบัติทั้งในฝั่งผู้รับบริการและผู้ให้บริการ ที่จะนำไปสู่ความมั่นคงปลอดภัย เช่นมาตรการที่ผู้ใช้ต้องปฎิบัติตามข้อแนะนำของผู้ให้บริการเกี่ยวกับการใช้บริการคลาว ข้อสัญญาที่เป็นมาตรฐาน ข้อตกลงระดับบริการ (Service Level Agreement, SLA) และการปฎิบัติงานที่ดี (Best practices) อื่น ๆ

5.          Certification เพื่อให้การบริหารจัดการการใช้คลาวอย่างปลอดภัย รวมทั้งการส่งเสริมให้ปฎิบัติการตามมาตรฐานที่กล่าว อาจต้องมีมาตรการใช้การรับรอง (Certification) ในหมวดเกี่ยวกับการใช้คลาวอย่างปลอดภัย ในลักษณะใกล้เคียงกับการรับรอง ISO27001 ว่าด้วยระบบการจัดการความมั่นคงและปลอดภัยด้านสารสนเทศ

6.          Policy & regulation เพื่อให้การปฎิบัติเกี่ยวกับความมั่นคงปลอดภัย ครอบคลุมทั้งผู้ใช้บริการ และผู้ให้บริการ อาจจำเป็นต้องพัฒนากรอบของนโยบายและข้อปฎิบัติ (Policy and regulatory framework) เพื่อให้มั่นใจว่าสังคมไทยสามารถนำไปปฎิบัติเพื่อให้เกิดผลได้ง่ายและทั่วถึงกัน

           เรื่องที่กล่าวโดยสรุปข้างต้น เป็นเรื่องสำคัญทั้งสิ้น แต่แปลกใจมากที่ไม่มีการพูดคุยกันในสังคมคลาวมากนัก  ก่อนที่พวกเราจะส่งเสริมและสนับสนุนการใช้คลาวอย่างจริงจัง จะโดย Government Cloud หรือ Public Cloud อยากเห็นหน่วยงานที่รับผิดชอบ และผู้ที่มีส่วนได้เสียทั้งหลาย ได้ทำเรื่องนี้อย่างจริงจัง เพื่อความยั่งยืนของการบริการสาธารณูปโภคชนิดใหม่ ที่มีความสำคัญต่อการส่งเสริมการใช้เทคโนโลยีเพื่อการพัฒนาเศรษฐกิจ สังคม การศึกษา การเมือง และการแข่งขัน หลายประเทศในอาเซียน กำลังหยิบประเด็นบริการคลาวคอมพิวติงเป็นจุดดึงดูดการลงทุนเข้าประเทศ คลาวจะกลายปัจจัยสำคัญของการแข่งขัน จึงเป็นวาระสำคัญของการเตรียมตัวเข้าสู่ AEC ด้วย

บทต่อไป ผมจะนำเสนอเรื่อง ร่างพรบว่าด้วยการคุ้มครองส่วนบุคคล

ความพร้อมด้านคลาวด์คอมพิวติงของไทยเมื่อเปรียบเทียบกับประเทศอื่นในอาเซีย

            การบริการใช้คอมพิวเตอร์และเครือข่ายคอมพิวเตอร์กลายเป็นการบริการสาธารณูปโภคอีกประเภทหนึ่ง เหมือนการบริการใช้น้ำ ใช้ไฟ และโทรศัพท์ จากนี้ไป ผู้ใช้คอมพิวเตอร์ ไม่ว่าปัจเจกบุคคล หรือองค์กร มีทางเลือกที่จะลงทุนไอซีทีด้วยตนเอง หรือใช้บริการจากศูนย์บริการจากศูนย์บริการ ท่านสามารถทบทวนความหมายของคลาวด์คอมพิวติง (Cloud Computing) ตอนก่อนได้

              เมื่อการใช้คอมพิวเตอร์ ทั้งฮาร์ดแวร์และซอฟต์แวร์ มีลักษณะเป็นบริการสาธารณูปโภค ผู้ใช้จะจ่ายค่าบริการตามความจริง ไม่มีภาระการลงทุน และไม่ต้องดูแลบำรุงรักษาอุปกรณ์ที่เกี่ยวข้อง นอกจากอุปกรณ์ใช้งานประจำตัว เช่นเครื่องพีซี โน๊ตบุค สมาร์ทโฟน และแท็บเล็ต ทำให้ประชากรที่จะใช้ประโยชน์จากไอซีทีกว้างขวางขึ้น ทำให้เทคโนโลยีสารสนเทศแพร่หลายในวงกว้าง อันจะส่งผลต่อการพัฒนาเศรษฐกิจ สังคม การศึกษา และการเมืองอย่างมีนัยสำคัญ การบริการสาธารณูปโภคแบบใหม่ หรือบริการคลาวด์ (Cloud)โดยย่อนี้ จึงอยู่ในความสนใจของทุกประเทศทุกวันนี้

              ในบทความนี้ ผมจะนำเสนอข้อมูลจาก AsiaCloud Computing Association เรื่องเปรียบเทียมความพร้อมด้านบริการคลาว 14 ประเทศ เพื่อให้เข้าใจสถานภาพของไทย ว่าพร้อมหรือไม่พร้อมกว่าประเทศเพื่อนบ้านในภูมิภาคอาเซียอย่างไร ให้เข้าใจจุดอ่อนและจุดแข็ง เพื่อจะได้เป็นข้อมูลสำหรับภาคธุรกิจ และเจ้าหน้าที่หน่วยงานภาครัฐที่เกี่ยวข้อง นำไปพิจารณาปรับปรุงให้แข่งขันได้ ในเวทีการบริการคลาวด์คอมพิวติง

              จากผลการประเมินของ Asia Cloud Computing Association ปี 2011 ไทยอยู่อันดับที่ 10 จาก 14 ประเทศ (ท่านสามารถอ่านรายงานจากเว็บไซท์ Asia Cloud Computing Association) แสดงว่าไทยยังค่อนข้างล้าหลังในกลุ่มประเทศอาเซีย ถึงแม้ว่า ภายในกลุ่มประเทศอาเซียน เราจะอยู่ระดับต้น ๆ รองจากสิงคโปร์กับมาเลเซียก็ตาม ก็ยังกล่าวไม่ได้ว่า ไทยมีศักยภาพด้านบริการคลาวด์ใกล้เคียงกับสิงคโปร์และมาเลเซีย (สิงคโปร์อยู่อันดับ 3 ขณะที่มาเลเซียอยู่อันดับ 7 ของอาเซีย) ไทยยังมีความอ่อนแอหลาย ๆ ด้านที่ต้องรีบเร่งปรับปรุงให้ดีขึ้น

              ความเป็นผู้นำด้านการค้า และการสื่อสารโทรคมนาคมของภูมิภาค สมรรถนะและความพร้อมด้านคลาวด์กลายเป็นสิ่งสำคัญที่ต้องพัฒนาอย่างจริงจัง ความจริงที่ว่าธุรกิจของไทยยังใช้เทคโนโลยีสารสนเทศไม่ได้เต็มที่ อีกทั้งยังขาดความพร้อมด้านบริการอินเทอร์เน็ตความเร็วสูง และไม่มีมาตรการเด่นชัดเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล เป็นสาเหตุหนึ่งที่ทำให้เราล้าหลังด้านบริการคลาวด์ การใช้คลาวในหลายประเทศ เริ่มกระจายในหมู่ธุรกิจขนาดกลางขนาดย่อม โดยเฉพาะบริษัทที่ค่อนไปด้านขนาดเล็ก ด้วยเหตุที่งานยังไม่ซับซ้อนมาก และพร้อมที่จะทดลองคลาวด์กับงานใหม่ ๆ เพื่อลดต้นทุน และค่าใช้จ่ายทำรายการ นำไปสู่การเพิ่มผลิตภาพโดยรวม แต่การส่งเสริมให้กลุ่ม SME ใช้คลาวด์อย่างจริงจังนั้น ต้องอาศัยหน่วยงานรัฐที่จะสนับสนุนด้วยมาตราการจูงใจต่าง ๆ ตั้งแต่การลดภาษี จนถึงการลงทุนให้การศึกษา และสนับสนุนการพัฒนาระบบซอฟต์แวร์ เนื่องจากการใช้บริการคลาวด์ เป็นหนทางใหม่ที่จะช่วยเพิ่มผลิตภาพให้แก่ธุรกิจด้วยค่าใช้จ่ายที่่ต่ำ เมื่อเปรียบเทียบกับการใช้ไอซีทีในแนวเดิม

              Asia Cloud Computing Association ประเมินความพร้อมด้านคลาวด์ โดยอาศัยข้อมูลส่วนหนึ่งจาก World Economic Forum (WEF) และอีกส่วนหนึ่งเก็บข้อมูลด้วยตนเอง แบ่งหัวข้อประเมินเป็นสิบเรื่อง ดังนี้

1.          เงื่อนไขการกำกับดูแล (Regulatory conditions) เป็นการประเมินความพร้อมด้านปกป้องผลประโยชน์ของผู้รับบริการ จากความไม่พร้อม และหรือการให้บริการอย่างไม่มีคุณภาพและไม่รับผิดชอบจากฝั่งผู้ให้บริการ เช่น เรื่องสัญญาที่เป็นธรรม การปกป้องทรัพย์สินทางปัญญา เงื่อนไขด้านการใช้สิทธิ์เพื่อเข้าถึงข้อมูลจากทางราชการ ผลประเมินปรากฎว่า ไทยอยู่ในระดับต่ำสุด คือได้คะแนน 5 จาก 10  เรื่องนี้ เราต้องพูดคุยกันอีกมากในเวทีนี้

2.          การเชื่อมโยงด้านโทรคมนาคมระหว่างประเทศ (International connectivity) เป็นการประเมินศักยภาพการเชื่อมโยงด้านโทรคมนาคมความเร็วสูง และราคาที่แข่งขันได้ คงไม่ประหลาดใจว่า ไทยอยู่ในระดับต่ำเช่นกัน คือคะแนน 5 จาก 10

3.          กฎหมายคุ้มครองข้อมูลส่วนบุคคล (Data protection policy) เมื่อกลางเดือนพฤศจิกายน 2552 “ร่างพ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล” ของไทย เพิ่งผ่านกฤษฎีกาและผ่านคณะรัฐมนตรี เข้าใจว่าขณะนี้ ยังอยู่ในระหว่างรอการพิจารณาจากสภาผู้แทนราษฎร ร่างพรบฉบับนี้มีอายุกว่าสิบปี ถูกร่างขึ้นก่อนยุคของคลาวคอมพิวติง จึงไม่แน่ใจว่า มาตราต่าง ๆ ที่ปรากฎในร่างพรบฉบับนี้ จะครอบคลุมประเด็นที่จะนำมาคุ้มครองการบริการและการใช้บริการคลาวหรือไม่ แนวคิดของร่างพรบคุ้มครองข้อมูลส่วนบุคคล ไปในแนวที่ให้องค์กรที่มีข้อมูลประชาชน ใช้เครื่องหมายรับรองมาตรฐาน การคุ้มครองข้อมูลส่วนบุคคลที่ออกให้โดยหน่วยงานของรัฐ คือคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เป็นผู้กำหนดหลักเกณฑ์และพิจารณาให้ใบรับรองเพื่อมีสิทธิใช้เครื่องหมายรับรองมาตรฐานการคุ้มครองข้อมูลส่วนบุคคล เป็นลักษณะ Self regulate คือให้ประชาคมดูแลกันเอง เมื่อมาถึงยุคคลาวคอมพิวติง เชื่อว่าคงต้องมีการทบทวนใหม่ว่า ร่างพรบฉบับปัจจุบัน ได้ครอบคลุมประเด็นเกี่ยวกับบริการคลาว ที่จะสร้างความมั่นใจให้แก่สังคม ทั้งสังคมไทย และต่างประเทศได้หรือไม่ ด้วยเหตุที่วันนี้ เรายังไม่มีกฎหมายคุ้มครองข้อมูลส่วนบุคคลใช้บังคับ การประเมินผลครั้งนี้ จึงได้คะแนนต่ำสุด คือได้ 2 คะแนนจาก 10

4.          คุณภาพด้านบรอดแบนด์ (Broadband quality) เป็นการวัดคุณภาพการให้บริการบรอดแบน์ รวมทั้งจำนวนผู้ใช้บรอดแบนด์ทั้งประเทศด้วย เช่นกัน ไทยอยู่ในกลุ่มประเทศที่ได้คะแนนต่ำมาก คือ 5 คะแนนจาก 10

5.          การจัดลำดับความสำคัญของรัฐบาล (Government priority) เป็นการวัดว่ารัฐบาลให้ความสำคัญด้านไอซีทีมากน้อยเพียงใด ดูจากมุมมองการใช้งบประมาณ และการส่งเสริมสนับสนุนการใช้ไอซีทีของประเทศในภาพรวม ไทยถูกประเมินด้วยคะแนนที่ต่ำเช่นกัน คือได้คะแนน 4.1 จาก 10 คะแนน

6.          คุณภาพของระบบไฟฟ้า (Power grid quality) เป็นการวัดคุณภาพให้บริการด้านไฟฟ้า เป็นการวัดความเพียงพอ และทั่วถึง และคุณภาพของระบบจ่ายกระแสไฟฟ้าที่รองรับการใช้ไอซีที และอุตสาหกรรมของประเทศอย่างไม่ติดขัด ในข้อนี้ ไทยได้คะแนนค่อนข้างดี คือได้ 7.6 คะแนนจาก 10

7.          การตรวจสอบปิดกั้นอินเทอร์เน็ต (Internet filtering) เป็นการประเมินนโยบายภาครัฐที่เกี่ยวข้องกับการตรวจสอบข้อมูลที่ไม่พึงประสงค์จากอินเทอร์เน็ต มีนโยบายที่เป็นกลาง และเหมาะสม ระหว่างการให้เสรีภาพด้านข่าวสาร กับการตรวจสอบปิดกั้น เพื่อรักษาศิลธรรมอันดีงาม และความปลอดภัยของประเทศ ในประเด็นนี้ไทยได้คะแนนค่อนข้างดี คือได้คะแนน 7.5 จาก 10

8.          ดัชนีประสิทธิภาพทางธุรกิจ (Business efficiency index) เป็นการประเมินผลจากปัจจัย 5 ด้าน ได้แก่ ด้านผลิตภาพ ด้านศักยภาพของตลาดแรงงาน ด้านการเงิน การบริหารจัดการ และด้านทัศนคติและคุณค่า ไทยได้คะแนนระดับปานกลาง คือ 6.6 จาก 10

9.          ความเสี่ยงระดับโลก (Global risk) ทุกวันนี้โลกเรามีการเชื่อมโยงกันอย่างกว้างขวาง ทำให้ประเด็นความเสี่ยงโลกกลายเป็นประเด็นสำคัญระดับนโยบายของประเทศ การประเมินในข้อนี้ รวมประเด็นสำคัญเจ็ดประเด็น ประกอบด้วย เรื่องเศรษฐกิจ การรักษาความปลอดภัย การกำกับดูแลอย่างธรรมภิบาล การรักษาความปลอดภัยด้านทรัพยากร ภูมิอากาศ การระบาดของโรคภัย และความปรองดองในสังคม ในข้อนี้ ไทยถูกประเมินด้วยคะแนนที่ต่ำมาก คือ 2 คะแนนจาก 10

10.     การพัฒนาทักษะด้านไอซีที (ICT development) เป็นการประเมินทักษะและความสามารถในการเข้าถึงแหล่งข้อมูล การใช้ไอซีที และทักษะด้านไอซีทีทั่วไป ไทยได้คะแนนปานกลาง คือ 5.7 จาก 10 คะแนน

ในสิบเรื่องที่ใช้เป็นประเด็นประเมินความพร้อมที่กล่าวข้างต้น มีหลายกลุ่มที่ไทยยังมีคะแนนต่ำกว่าเกณฑ์มาก กลุ่มที่คิดว่าเป็นเรื่องสำคัญที่ต้องรีบแก้ไข คือ เรื่องเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล และเงื่อนไขการกำกับดูแล เนื่องจากเป็นปัจจัยสำคัญที่จะสร้างความเชื่อมั่นให้แก่ผู้รับบริการคลาว เมื่อผู้ใช้ไม่มั่นใจความปลอดภัย และยังไม่แน่ชัดว่าความเสียหายที่อาจเกิดขึ้นจากการใช้บริการคลาวนั้น จะได้รับการคุ้มครองอย่างไร ก็ย่อมจะเป็นอุปสรรคต่อพัฒนาการบริการสาธารณูปโภคแบบใหม่นี้อย่างแน่นอน 

ความมั่นคงปลอดภัย และ Regulatory compliance ในการใช้บริการคลาวด์ ยังมีเรื่องที่ต้องพูดกันอีกหลายตอนครับ

ความหมายของ Cloud Computing

ความหมายของคลาวด์คอมพิวติง (Cloud Computing) ที่จะบรรยายต่อไปนี้ เรียบเรียงและแปลจาก The NIST (National Institute of Standards andTechnology ของสหรัฐอเมริกา) Definition of Cloud ComputingVersion 15, 10-7-09

คลาวด์คอมพิวติง (Cloud Computing) เป็นรูปแบบบริการใช้ทรัพยากรคอมพิวเตอร์ ร่วมกันกับผู้อื่น (เช่น เครือข่าย เครื่องเซิร์ฟเวอร์ เครื่องบันทึกข้อมูล ระบบซอฟต์แวร์ และบริการอื่นที่เกี่ยวข้อง) ผ่านเครือข่าย มากน้อยตามความต้องการของผู้ใช้ การปรับเพิ่มและลดซึ่งทรัพยากรคอมพิวเตอร์สามารถทำได้ง่ายและรวดเร็ว การบริการคลาวด์ (Cloud) ที่ให้ผู้ใช้เข้าถึงทรัพยากรตามความจำเป็นได้ตลอดเวลานั้น มีคุณสมบัติสำคัญ (Essential Characteristics) ห้าประการ และให้บริการ (Service models) ได้สามแบบ มีรูปแบบการใช้งาน (Deployment model) สี่ชนิด ดังรายละเอียดที่จะกล่าวต่อไป

1.          คุณสมบัติสำคัญห้าประการ

1.1.      บริการด้วยตัวเองเมื่อต้องการ (On-demand self-service): ผู้ใช้สามารถระบุความต้องการ และขอใช้ทรัพยากรคอมพิวเตอร์ เช่นเครื่องเซิร์ฟเวอร์ และระบบบันทึกข้อมูลที่เป็นเครือข่าย ด้วยตนเองได้ทุกเวลา โดยไม่ต้องอาศัยความช่วยเหลือจากผู้ให้บริการ

1.2.      เข้าถึงทรัพยากรคอมพิวเตอร์ได้ในวงกว้างผ่านเครือข่าย (Broad network access): ทรัพยากรคอมพิวเตอร์ถูกจัดสรรให้ผู้ใช้ใช้งานผ่านเครือข่าย ด้วยกลไกที่เป็นมาตรฐาน ผู้ใช้ทำงานได้ด้วยอุปกรณ์หลากหลายชนิด (เช่น เครื่องโทรศัพท์พกพา เครื่องแล็บท๊อปคอมพิวเตอร์ และเครื่องพีดีเอ (Personal Digital Assistant, PDA))

1.3.      ทรัพยากรถูกรวบรวมจากที่ต่าง ๆ (Resource pooling): ทรัพยากรคอมพิวเตอร์ที่จัดสรรให้กลุ่มผู้ใช้นั้น อาจมาจากศูนย์คอมพิวเตอร์หลาย ๆ แห่ง ผู้ใช้แต่ละรายใช้ทรัพยากรที่ถูกจัดสรรให้โดยไม่รบกวนกันและกัน ทรัพยากรชุดเดียวกัน แต่บริการหลาย ๆ คนได้โดยไม่รบกวนกัน เรียกว่า Multi-tenant model ซึ่งต่างกับ Multi-instance ในกรณีหลัง เป็นการบริการด้วยทรัพยากรหลายชุด ผู้ใช้แต่ละรายจะมีหนึ่งชุดเป็นของตนเอง ทรัพยากรคอมพิวเตอร์ ทั้งที่เป็นกายภาพ (Physical) และที่เป็นเสมือนกายภาพ (Virtual: การจัดสรรอุปกรณ์จากกองกลาง ที่ผู้ใช้รู้สึกเสมือนหนึ่งว่า เป็นอุปกรณ์ที่ใช้แต่ผู้เดียว ทางเทคนิคเรียกว่า Virtualization) ที่นำมาจัดสรรให้ผู้ใช้นั้น ไม่จำเป็นต้องอยู่ที่เดียวกัน อาจมาจากศูนย์คอมพิวเตอร์หลาย ๆ แห่ง หรือจากหลาย ๆ ประเทศได้ ผู้ใช้ไม่จำเป็นต้องรู้ว่า ตนกำลังใช้อุปกรณ์คอมพิวเตอร์จากสถานที่ใดในโลก ผู้ใช้สนใจเพียงว่าได้ใช้ทรัพยากรคอมพิวเตอร์ ตามขนาด และประสิทธิภาพที่ต้องการ แต่ ผู้ใช้อาจขอสิทธิ์ที่จะเลือกตำแหน่งศูนย์คอมพิวเตอร์ที่ตนต้องการใช้ได้

1.4.      มีความยึดหยุ่นและปรับตัวได้รวดเร็ว (Rapid elasticity): การบริการคลาวต้องสามารถเพิ่มและลดขนาดอุปกรณ์ที่ให้บริการลูกค้าตามความต้องการ และ สามารถจัดสรรโดยอัตโนมัติได้ ในสายตาของผู้ใช้ ทรัพยากรคอมพิวเตอร์ที่นำมาให้บริการ มีขนาดไม่จำกัด ผู้ใช้สามารถสั่งให้เพิ่มหรือลดได้ตลอดเวลาตามความต้องการ

1.5.      การบริการที่วัดได้ (Measured service): ระบบที่ให้บริการแบบคลาวด์ต้องวัดปริมาณการใช้ตามชนิดของบริการได้ (เช่น บริการบันทึกข้อมูล บริการประมวลผล ฯลฯ) ตามความเป็นจริง ต้องสามารถติดตามและควบคุมการใช้ทรัพยากรทุก ๆ วินาที เพื่อความโปร่งใส ระบบบริการต้องสามารถรายงานผลการใช้แก่ทั้งผู้รับบริการ และผู้ให้บริการ อย่างถูกต้อง และตรงไปตรงมา

2.          การบริการสามแบบ (Service Model)

2.1.      Software as a Service (SaaS): เป็นการให้บริการใช้ระบบงาน หรือซอฟต์แวร์ประยุกต์ (Application) ที่ผู้ให้บริการจัดหาให้ ซอฟต์แวร์เหล่านี้ทำงานกับโครงสร้างพื้นฐานไอทีที่ให้บริการแบบคลาว ผู้ใช้จะทำงานผ่าน Web browser ด้วยอุปกรณ์ใดก็ได้  การบริการรูปแบบนี้ ผู้ใช้ไม่มีหน้าที่จัดการหรือควบคุมโครงสร้างพื้นฐานไอที และระบบซอฟต์แวร์ประยุกต์ ทุกอย่างจะอยู่ภายใต้การดูแลของผู้ให้บริการ แต่ในบางกรณี ผู้ใช้อาจต้องดูแลข้อกำหนดคุณลักษณะบางประการของระบบซอฟต์แวร์ประยุกต์ (Application configuration settings) เพื่อความเหมาะสมกับสภาพแวดล้อมของธุรกิจ ด้วยตัวเอง

2.2.      Platform as a Service (PaaS): เป็นบริการใช้โครงสร้างพื้นฐานด้านไอทีเพื่อปรับปรุงและทดสอบระบบงาน หรือระบบซอฟต์แวร์ประยุกต์ (Deploy) โดยมีข้อแม้ว่า ระบบซอฟต์แวร์ประยุกต์จะต้องถูกพัฒนาด้วยภาษาคอมพิวเตอร์ และเครื่องมือซอฟต์แวร์อื่น ๆ ที่ผู้ให้บริการจัดเตรียมให้เท่านั้น ผู้ใช้ไม่มีหน้าที่จัดการหรือควบคุมโครงสร้างพื้นฐานไอทีใด ๆ (ระบบเครือข่าย เครื่องเซิร์ฟเวอร์ ระบบซอฟต์แวร์ปฎิบัติงาน (Operating system)  ฯลฯ) ผู้ใช้จะดูแลรับผิดชอบเฉพาะระบบซอฟต์แวร์ประยุกต์ของตัวเอง รวมทั้งข้อกำหนดเงื่อนไขและคุณลักษณะของคอมพิวเตอร์ที่ใช้ในการทดสอบ (Application hosting environment configuration) เท่านั้น

2.3.      Infrastructure as a Service (IaaS): เป็นบริการใช้โครงสร้างพื้นฐานด้านไอทีเพื่อการประมวลผล และปรับปรุงทดสอบระบบซอฟต์แวร์ โดยผู้ใช้มีหน้าที่จัดหา ระบบซอฟต์แวร์ประยุกต์และ ระบบซอฟต์แวร์ปฎิบัติงาน (Operating system)  ผู้ใช้ไม่มีหน้าที่ที่จะจัดการและควบคุมระบบโครงสร้างพื้นฐานไอที แต่มีหน้าที่ควบคุมดูแลระบบซอฟต์แวร์ที่ใช้ทำงาน รวมทั้งระบบฐานข้อมูล และในบางกรณีอาจรวมถึงอุปกรณ์บางชนิดของระบบเครือข่าย เช่นระบบไฟร์วอลล์(Firewall)

3.          รูปแบบการใช้งาน (Deployment model) สี่ชนิด

3.1.      คลาวด์ส่วนตัว (Private cloud): เป็นการใช้ระบบโครงสร้างพื้นฐานไอที เฉพาะสำหรับองค์กรหนึ่งองค์กรใด ผู้ใช้อาจดูแลอุปกรณ์ไอทีด้วยตนเอง หรือจ้างบุคคลที่สามดูแลให้ก็ได้ อุปกรณ์อาจติดตั้งในสถานที่ของผู้ใช้ หรืออยู่ภายนอกทั้งหมด หรือบางส่วนก็ได้

3.2.      คลาวด์ชุมชน (Community cloud): เป็นการใช้ระบบโครงสร้างพื้นฐานไอทีร่วมกันเฉพาะในกลุ่มสมาชิกที่มีเรื่องต้องปฎิบัติ หรือต้องกังวลคล้ายกัน เช่นเรื่องเกี่ยวกับความปลอดภัยการใช้ข้อมูล มีข้อต้องปฎิบัติตามเงื่อนไขของรัฐ หรือขององค์กรเหมือนกัน หรือมีกฏระเบียบและกติกาที่ต้องปฎิบัติคล้ายกัน ชุมชนอาจดูแลและบริหารจัดการโครงสร้างพื้นฐานไอทีด้วยชุมชนเอง หรือทำผ่านบุคคลที่สาม อุปกรณ์จะติดตั้งในสถานที่ของชุมชน หรือนอกสถานที่ก็ได้

3.3.      คลาวด์สาธารณะ (Public cloud): เป็นการใช้บริการคลาวด์ร่วมกับสาธารณะชน องค์กรทั่วไป และกลุ่มองค์กรขนาดใหญ่ ผู้ให้บริการเป็นผู้ลงทุนโครงสร้างพื้นฐานไอทีและระบบซอฟต์แวร์ที่เกี่ยวข้องทั้งหมด

3.4.      คลาวด์ลูกผสม (Hybrid cloud): เป็นการใช้บริการที่ผสมผสานระหว่างคลาวด์ส่วนตัว คลาวด์ชุมชน หรือคลาวด์สาธารณะ ผู้ให้บริการแต่ละราย ที่ให้บริการภายใต้คลาวลูกผสมนี้ ต่างทำงานแบบอิสระ ระบบคราวด์ไม่ว่าจะเชื่อมโยงด้วยเทคนิคที่เป็นมาตรฐาน หรือเทคโนโลยีเฉพาะ จะต้องสามารถทำงานร่วมกันในระดับข้อมูลและระบบซอฟต์แวร์ประยุกต์ได้