นโยบายการรักษาความมั่นคงปลอดภัย

เอกสารฉบับนี้ร่างขึ้นจากมาตรการที่ระบบใช้งานจริง อยู่ระหว่างการตรวจทานโดยสภาทนายความ ข้อความที่เป็นข้อผูกพันทางกฎหมายอาจมีการแก้ไข

1. การรับส่งข้อมูล

การเชื่อมต่อกับเว็บไซต์และระบบบริการทั้งหมดเข้ารหัสด้วย HTTPS ข้อมูลที่ท่านกรอกจึงไม่ถูกส่งเป็นข้อความเปิดผ่านเครือข่าย

2. รหัสผ่านและการเข้าสู่ระบบ

• รหัสผ่านถูกแปลงด้วยวิธี PBKDF2-HMAC-SHA256 พร้อมค่าสุ่มเฉพาะรายบัญชี ระบบไม่ได้เก็บรหัสผ่านของท่านไว้ในรูปที่อ่านกลับได้ เจ้าหน้าที่จึงไม่สามารถดูรหัสผ่านของท่านได้ และจะไม่มีการสอบถามรหัสผ่านไม่ว่ากรณีใด
• จำกัดจำนวนครั้งของการพยายามเข้าสู่ระบบ การขอตั้งรหัสผ่านใหม่ และการขอรหัสยืนยันตัวตน เพื่อป้องกันการไล่เดารหัสผ่าน
• บัญชีของเจ้าหน้าที่สภาฯ ต้องยืนยันตัวตนสองขั้นตอน และถูกระงับชั่วคราวเมื่อยืนยันผิดติดต่อกันหลายครั้ง
• สิทธิ์การเข้าถึงถูกกำหนดตามหน้าที่ ผู้ใช้เห็นและแก้ไขได้เฉพาะข้อมูลที่อยู่ในความรับผิดชอบของตน

3. การคงอยู่ของสิทธิ์เข้าถึง

สิทธิ์เข้าใช้งานที่ออกให้หลังเข้าสู่ระบบมีอายุสั้นและต่ออายุอัตโนมัติระหว่างที่ท่านใช้งาน เมื่อมีการตั้งรหัสผ่านใหม่ ถอดการยืนยันตัวตนสองขั้นตอน หรือปิดบัญชี การเข้าสู่ระบบที่ค้างอยู่ทุกเครื่องจะถูกตัดทันที ไม่ใช่รอให้หมดอายุเอง เพื่อให้การแจ้งว่าอุปกรณ์สูญหายมีผลจริง

4. การเก็บรักษาข้อมูลที่อ่อนไหว

• เลขประจำตัวประชาชนไม่เคยถูกเก็บเป็นข้อความเปิด — เก็บเป็นค่าที่ผ่านการแปลงด้วยกุญแจ สำหรับใช้ค้นหา คู่กับข้อมูลที่เข้ารหัสไว้ และแสดงผลเพียงเลขสี่หลักท้าย
• เลขบัญชีธนาคารสำหรับรับเงินค่าตอบแทนทนายความอาสาเข้ารหัสไว้ และแสดงผลเพียงสี่หลักท้ายเช่นกัน
• กุญแจถอดรหัสไม่ได้เก็บไว้ในฐานข้อมูล ผู้ที่ได้สำเนาฐานข้อมูลไปจึงไม่ได้กุญแจไปด้วย

5. การบันทึกเหตุการณ์

ระบบบันทึกเหตุการณ์ด้านความปลอดภัย เช่น การเข้าสู่ระบบสำเร็จและไม่สำเร็จ การเปลี่ยนรหัสผ่าน และการเปลี่ยนแปลงสิทธิ์ เพื่อใช้ตรวจสอบย้อนหลังเมื่อเกิดเหตุ บันทึกเหล่านี้ถือเป็นข้อมูลส่วนบุคคลของท่านด้วย และท่านขอดูได้ตาม สิทธิของเจ้าของข้อมูล

6. ไฟล์ที่อัปโหลด

ระบบรับเฉพาะชนิดไฟล์ที่กำหนดไว้และจำกัดขนาด ไฟล์ที่ท่านอัปโหลดถูกเก็บแยกจากฐานข้อมูลหลัก และเอกสารหลักฐานจะถูกส่งกลับในรูปแบบที่ต้องบันทึกลงเครื่องเท่านั้น ไม่เปิดทำงานในหน้าเว็บ

7. เมื่อเกิดเหตุละเมิดข้อมูล

สภาฯ มีทะเบียนบันทึกเหตุละเมิดข้อมูลส่วนบุคคล โดยเริ่มนับระยะเวลาแจ้งเหตุ ตั้งแต่เวลาที่ทราบเหตุ และแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ภายใน 72 ชั่วโมงตามที่กฎหมายกำหนด กรณีที่มีความเสี่ยงสูงต่อสิทธิและเสรีภาพของท่าน สภาฯ จะแจ้งท่านด้วย

8. ข้อจำกัดที่ท่านควรทราบ

ไม่มีระบบใดปลอดภัยโดยสมบูรณ์ มาตรการข้างต้นลดความเสี่ยงแต่ไม่ได้ขจัดทั้งหมด ส่วนที่อยู่นอกการควบคุมของสภาฯ ได้แก่ ความปลอดภัยของอุปกรณ์และอีเมลของท่านเอง การตั้งรหัสผ่านที่คาดเดาได้ และการใช้รหัสผ่านเดียวกับบริการอื่น

9. แจ้งช่องโหว่

หากท่านพบช่องโหว่ด้านความปลอดภัย โปรดแจ้งผ่าน หน้าติดต่อสภาทนายความ โดยระบุรายละเอียดเท่าที่ทำซ้ำได้ และโปรดอย่าเผยแพร่ต่อสาธารณะก่อนได้รับการแก้ไข เพื่อไม่ให้ข้อมูลของผู้ใช้รายอื่นตกอยู่ในความเสี่ยง