อย่าให้ข้อมูลเด็กหลุดเพราะมือเรา! คู่มือป้องกันข้อมูลนักเรียนรั่วไหลฉบับ “ทำจริง” (PDPA & Tech Safety)

ในยุคที่ “ข้อมูลมีค่าดั่งทองคำ” ข้อมูลของนักเรียน (ชื่อ, เลข 13 หลัก, เบอร์โทร, รายได้ผู้ปกครอง) เป็นสิ่งที่แฮ็กเกอร์และมิจฉาชีพต้องการมากที่สุด และน่าตกใจที่ “จุดรั่วไหล” ที่ใหญ่ที่สุดในโรงเรียน มักไม่ได้เกิดจากการถูกแฮ็กระบบใหญ่ๆ แต่เกิดจาก “ความเผลอเรอ” เล็กๆ น้อยๆ ในการทำงานประจำวันของเราเองค่ะ

วันนี้เราจะมาอุดรอยรั่วเหล่านั้นด้วยวิธีที่ถูกต้อง ตามหลัก Cybersecurity และ PDPA กันค่ะ

---

1. เลิกใช้ “Anyone with the link” (ใครมีลิงก์ก็ดูได้) พร่ำเพรื่อ

นี่คือจุดตายอันดับ 1 ของโรงเรียนไทยค่ะ!

• พฤติกรรมเสี่ยง: ครูสร้าง Google Sheets เก็บเกรดหรือข้อมูลเยี่ยมบ้าน แล้วกดแชร์แบบ “Anyone with the link can view” แล้วส่งเข้าไลน์กลุ่ม
• ความจริงที่น่ากลัว: ลิงก์นั้นอาจหลุดออกไปนอกกลุ่ม หรือถูก Google Search มาเจอ (Index) ทำให้ใครก็ได้ในโลกเห็นข้อมูลเด็กทั้งหมด
• วิธีที่ถูก: กดแชร์แบบ “Restricted” (จำกัดสิทธิ์) แล้วระบุอีเมลของครูที่จะให้ดูเฉพาะเจาะจง หรือถ้าจำเป็นต้องส่งลิงก์จริงๆ ให้ตั้งค่า “วันหมดอายุลิงก์” (Set expiration) ถ้าทำได้ค่ะ

2. หยุดส่งไฟล์ Excel/PDF ที่มีข้อมูลส่วนตัวทาง LINE

• พฤติกรรมเสี่ยง: โยนไฟล์ รายชื่อนักเรียนยากจน.xlsx (ที่มีเลขบัตร ปชช. และรายได้ครอบครัว) ลงในไลน์กลุ่มครู 100 คน
• ความจริงที่น่ากลัว: เราไม่รู้เลยว่าใน 100 คนนั้น มีใครทำมือถือหาย หรือมีใครแอบเซฟไฟล์ไปส่งต่อให้มิจฉาชีพหรือไม่ และไฟล์ในไลน์ไม่มีวันหมดอายุ (ถ้าเซฟลง Keep)
• วิธีที่ถูก: ส่งเป็น “ลิงก์ Cloud” (Google Drive/OneDrive) ที่เราสามารถกด “Revoke Access” (ยกเลิกสิทธิ์) ได้ภายหลังเมื่อหมดความจำเป็น หรือถ้าต้องส่งไฟล์จริงๆ “ให้ใส่รหัสผ่าน” (Password Protect) ก่อนเสมอ แล้วส่งรหัสผ่านแยกไปอีกช่องทางหนึ่งค่ะ

3. หลักการ “ขอเท่าที่ใช้ ให้เท่าที่จำเป็น” (Data Minimization)

• พฤติกรรมเสี่ยง: ฟอร์มลงทะเบียนกิจกรรมกีฬาสี แต่ขอเลขบัตรประชาชน 13 หลัก และวันเดือนปีเกิด (ทั้งที่ไม่ได้ใช้)
• วิธีที่ถูก: เก็บเฉพาะข้อมูลที่จำเป็นต่อกิจกรรมนั้นจริงๆ ถ้าจะประกาศผลสอบบนเว็บ “อย่าประกาศชื่อ-นามสกุลคู่กับเลขบัตรประชาชนเต็มๆ” ให้ใช้วิธีเซ็นเซอร์บางส่วน เช่น 1-100x-xxxxx-xx-9 หรือประกาศแค่รหัสประจำตัวนักเรียนพอค่ะ

4. แยก “เรื่องงาน” กับ “เรื่องส่วนตัว” (Device Hygiene)

• พฤติกรรมเสี่ยง: ให้ลูกศิษย์ยืมคอมพิวเตอร์ครูทำงาน โดยที่ครูยัง Log in ระบบเกรดหรือ Facebook ค้างไว้
• วิธีที่ถูก:
  • กด Win + L (Windows) หรือ Cmd + Ctrl + Q (Mac) เพื่อล็อกหน้าจอทุกครั้งที่ลุกจากโต๊ะ แม้จะแค่ไปเข้าห้องน้ำ
  • ใช้โหมด Guest หรือ Incognito หากต้องล็อกอินเครื่องสาธารณะ

---

🛡️ โซนเทคนิค: สำหรับครูผู้ดูแลระบบ (Developer Corner)

ในฐานะที่คุณครูเขียนเว็บ PHP/MySQL เอง ต้องระวังจุดเหล่านี้เป็นพิเศษนะคะ:

1. อย่าเปิด Error ให้โลกเห็น:
   • เวลาเขียนโค้ด or die(mysql_error()); ทิ้งไว้ ถ้าเว็บพัง มันจะโชว์โครงสร้างฐานข้อมูล หรือ Path ของไฟล์ให้แฮ็กเกอร์เห็น
   • แก้: ปิดการแสดง Error (display_errors = Off ใน php.ini) หรือเขียน Log ลงไฟล์ลับแทนการแสดงหน้าเว็บ
2. ตั้งค่าสิทธิ์ไฟล์ (File Permission) ให้ดี:
   • ไฟล์ config.php หรือ connect.php ที่เก็บรหัสผ่านฐานข้อมูล ไม่ควรให้ใครอ่านได้ (ควรเป็น 600 หรือ 644)
   • ใช้ .htaccess ป้องกันไม่ให้คนเข้าถึงโฟลเดอร์สำคัญ เช่น โฟลเดอร์เก็บไฟล์ PDF เกียรติบัตรที่ยังไม่แจก
3. กรองข้อมูลขาเข้า (Sanitize Inputs):
   • อย่าเชื่อใจสิ่งที่ user พิมพ์มา ใช้ฟังก์ชันอย่าง htmlspecialchars() เวลาแสดงผล เพื่อกันการฝัง Script (XSS)

---

บทสรุป

ความปลอดภัยข้อมูลไม่ใช่เรื่องของ “เทคโนโลยีราคาแพง” แต่เป็นเรื่องของ “สติ” และ “วินัย” ค่ะ การป้องกันที่ดีที่สุดคือการตระหนักว่า “ข้อมูลของนักเรียน คือชีวิตและความปลอดภัยของพวกเขา” ที่อยู่ในกำมือเราค่ะ