ภาพรวมด้านความปลอดภัย / เอกสารไวท์เปเปอร์ด้านความปลอดภัย

ปรับปรุงล่าสุด: 25 ตุลาคม 2569 (เวอร์ชัน 1.0)

รอบการทบทวน: รายปี และเมื่อมีการเปลี่ยนแปลงสถาปัตยกรรมของแพลตฟอร์มอย่างมีนัยสำคัญ

1. บทนำ

PassportScan Cloud เป็นแพลตฟอร์ม Software-as-a-Service ที่ดำเนินการโดย GlobeID Limited ("GlobeID") ซึ่งช่วยให้ผู้ให้บริการที่พักสามารถบันทึกเอกสารประจำตัวของผู้เข้าพัก ขอความยินยอมและลายมือชื่อ และปฏิบัติตามภาระหน้าที่ตามกฎหมายในการลงทะเบียนผู้เข้าพัก (ต่อหน่วยงานตำรวจ หน่วยงานสถิติ และหน่วยงานตรวจคนเข้าเมือง) รวมถึงการเชื่อมต่อกับระบบ PMS

เอกสารฉบับนี้อธิบายสถาปัตยกรรมด้านความปลอดภัยและมาตรการเชิงเทคนิคและเชิงองค์กรที่ใช้ปกป้องแพลตฟอร์มและข้อมูลส่วนบุคคลที่ถูกประมวลผลบนแพลตฟอร์ม เอกสารนี้จัดทำขึ้นสำหรับลูกค้า ลูกค้าเป้าหมาย และผู้ตรวจสอบ โดยเป็นเอกสารเสริมของข้อตกลงการประมวลผลข้อมูล (DPA) และรายชื่อผู้ประมวลผลช่วง และเป็นคำตอบอ้างอิงสำหรับแบบสอบถามด้านความปลอดภัย เอกสารนี้อธิบายแพลตฟอร์มที่ใช้งานจริง (production) ตามที่ติดตั้งใช้งาน ณ วันที่เอกสารฉบับนี้มีผลบังคับใช้

2. โปรแกรมด้านความปลอดภัยและการปฏิบัติตามข้อกำหนด

• GlobeID ดำเนินการระบบบริหารจัดการความมั่นคงปลอดภัยสารสนเทศ (ISMS) ที่สอดคล้องกับมาตรฐาน ISO/IEC 27001:2022 โดยมีประธานเจ้าหน้าที่ด้านความมั่นคงปลอดภัยสารสนเทศ (Chief Information Security Officer) ที่ได้รับการแต่งตั้งโดยระบุชื่อ ทะเบียนความเสี่ยง และเอกสารแสดงการประยุกต์ใช้ (Statement of Applicability) ทั้งนี้ ISMS ได้รับการทบทวนผ่านการตรวจสอบภายในและการทบทวนโดยฝ่ายบริหารตามรอบที่วางแผนไว้เป็นประจำทุกปี
• GDPR: GlobeID ทำหน้าที่เป็นผู้ประมวลผลข้อมูลสำหรับข้อมูลผู้เข้าพักภายใต้ DPA และได้แต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer) ภายนอก มีการจัดทำบันทึกรายการประมวลผล การประเมินผลกระทบด้านการคุ้มครองข้อมูล (DPIA) สำหรับข้อมูลเอกสารประจำตัวของผู้เข้าพัก และขั้นตอนปฏิบัติเกี่ยวกับสิทธิของเจ้าของข้อมูล
• ข้อมูลบัตรชำระเงิน ได้รับการจัดการโดย Stripe แต่เพียงผู้เดียว PassportScan ไม่ได้ดำเนินการสภาพแวดล้อมข้อมูลผู้ถือบัตร (Cardholder Data Environment) และไม่เคยได้รับหมายเลขบัตร CVV หรือวันหมดอายุ
• มีการเฝ้าติดตามการควบคุมอย่างต่อเนื่องผ่านแพลตฟอร์มอัตโนมัติด้านการปฏิบัติตามข้อกำหนดซึ่งเชื่อมต่อกับผู้ให้บริการคลาวด์ ซอร์สโค้ด และระบบยืนยันตัวตน มีการว่าจ้างให้ทำการทดสอบเจาะระบบโดยหน่วยงานอิสระเป็นระยะ และมีการติดตามข้อตรวจพบจนกว่าจะได้รับการแก้ไขแล้วเสร็จ

3. โฮสติ้งและสถาปัตยกรรม

4. ความปลอดภัยของเครือข่าย

• เป็นส่วนตัวโดยค่าเริ่มต้น: ทุกบริการทำงานในซับเน็ตส่วนตัวของ VPC เฉพาะ มีเพียงฟรอนต์เอนด์ที่ให้บริการแก่ลูกค้า คอนโซลบริหารจัดการสำหรับพนักงาน และ API สาธารณะสองรายการเท่านั้นที่เข้าถึงได้จากอินเทอร์เน็ต ผ่าน Amazon API Gateway และ Application Load Balancer สาธารณะ คอนโซลบริหารจัดการได้รับการปกป้องโดย AWS WAF และระบบยืนยันตัวตนของตนเอง โดยใช้บัญชีพนักงานที่กำหนดให้เป็นรายบุคคลและบังคับใช้การยืนยันตัวตนแบบหลายปัจจัย ไมโครเซอร์วิสภายใน เอนจินระบบอัตโนมัติ และเอนจิน OCR ทั้งหมดเข้าถึงได้จากภายใน VPC หรือผ่าน VPN ของบริษัทเท่านั้น
• ไฟร์วอลล์แอปพลิเคชันเว็บ: จุดเชื่อมต่อสาธารณะ (API Gateway stages และโหลดบาลานเซอร์สาธารณะ) ได้รับการปกป้องโดย AWS WAF กลุ่มกฎที่จัดการโดย AWS ได้แก่ Amazon IP Reputation List และ Known Bad Inputs ทำหน้าที่ปิดกั้นแหล่งที่มาและข้อมูลที่เป็นอันตราย มีการประเมิน Core Rule Set ของ AWS (ซึ่งสอดคล้องกับ OWASP) ในทุกคำขอ และมีการจำกัดอัตราการเรียกใช้ (rate limiting) เพื่อปิดกั้นแหล่งที่มาที่มีพฤติกรรมในทางมิชอบ โดยใช้ข้อจำกัดที่เข้มงวดยิ่งขึ้นกับจุดเชื่อมต่อสำหรับการยืนยันตัวตน
• การเข้ารหัสในการรับส่งข้อมูล: จุดเชื่อมต่อสาธารณะยอมรับเฉพาะ TLS 1.2 และ TLS 1.3 เท่านั้น (นโยบายความปลอดภัยของ API Gateway: TLS_1_2; นโยบายของโหลดบาลานเซอร์: ELBSecurityPolicy-TLS13-1-2-2021-06 พร้อมชุดการเข้ารหัส ECDHE-GCM สมัยใหม่) มีการเปลี่ยนเส้นทาง HTTP ไปยัง HTTPS และบังคับใช้ HTTP Strict Transport Security (HSTS) บนโหลดบาลานเซอร์สาธารณะ ใบรับรองได้รับการออกและต่ออายุโดยอัตโนมัติผ่าน AWS Certificate Manager
• การเข้าถึงเพื่อการบริหารจัดการ: วิศวกรเข้าถึงบริการภายในได้ผ่าน VPN แบบ zero-trust ที่ผูกกับตัวตนของแต่ละบุคคลเท่านั้น ไม่มี SSH หรือ RDP ที่เปิดเผยสู่อินเทอร์เน็ต และไม่มี bastion host
• การบันทึกข้อมูลเครือข่าย: VPC Flow Logs (การรับส่งข้อมูลทั้งหมด) และบันทึกการเข้าถึงเซิร์ฟเวอร์ S3 จะถูกเก็บรักษาไว้เป็นเวลา 90 วัน

5. ความปลอดภัยของข้อมูล

5.1 การเข้ารหัส

5.2 สถานที่ตั้งและถิ่นที่อยู่ของข้อมูล

• บริการแพลตฟอร์มหลักและฐานข้อมูลหลักถูกโฮสต์ไว้ เฉพาะใน AWS eu-west-1 (ไอร์แลนด์) เท่านั้น โดยไม่มีการกำหนดค่าการทำสำเนาฐานข้อมูลข้ามภูมิภาค
• ในกรณีที่ลูกค้าเปิดใช้งานการจัดเก็บภาพเอกสาร ภาพจะถูกจัดเก็บในภูมิภาค S3 ที่สอดคล้องกับเขตอำนาจศาลของที่พักนั้น ภูมิภาคที่จัดเตรียมไว้ ได้แก่ eu-west-1 (ยุโรป), us-east-1 (อเมริกาเหนือ), sa-east-1 (อเมริกาใต้), ap-southeast-1 (เอเชียแปซิฟิก) และ ap-southeast-2 (ออสเตรเลีย) บัคเก็ตในแต่ละภูมิภาคใช้การกำหนดค่าการเข้ารหัส การกำหนดเวอร์ชัน และการบันทึกการเข้าถึงแบบเดียวกัน
• การโอนข้อมูลออกนอกเขตเศรษฐกิจยุโรป (EEA) อยู่ภายใต้ความคุ้มครองของ AWS Data Processing Addendum และข้อสัญญามาตรฐาน (Standard Contractual Clauses) ตามที่ระบุไว้ใน DPA

5.3 ข้อมูลลับและกุญแจเข้ารหัส

• ข้อมูลลับของแอปพลิเคชัน คีย์ API และกุญแจเข้ารหัสถูกจัดเก็บไว้ใน AWS Systems Manager Parameter Store (SecureString) และถูกส่งเข้าสู่คอนเทนเนอร์เมื่อเริ่มต้นทำงาน โดยจะไม่ถูกบันทึกไว้ในซอร์สโค้ดหรือฝังลงในอิมเมจโดยเด็ดขาด
• ข้อมูลประจำตัวฐานข้อมูลจะถูกสร้างและหมุนเวียนโดย AWS (ข้อมูลลับที่จัดการโดย RDS ใน AWS Secrets Manager) หรือจัดเก็บเป็น SecureString ใน AWS Systems Manager Parameter Store และถูกส่งเข้าสู่คอนเทนเนอร์ในรูปแบบข้อมูลลับเมื่อเริ่มต้นทำงาน
• การเปลี่ยนแปลงข้อมูลลับในระบบที่ใช้งานจริงจะดำเนินการผ่านขั้นตอนการปฏิบัติงานที่มีการตรวจสอบบันทึก มิใช่การดำเนินการด้วยตนเองผ่านคอนโซล รหัสผ่านฐานข้อมูลของแอปพลิเคชันจะถูกหมุนเวียนตามกำหนดเวลาโดยแพลตฟอร์มปฏิบัติการภายในของเรา โดยไม่มีการหยุดชะงักของระบบ

5.4 การสำรองข้อมูลและการเก็บรักษา

• Aurora MySQL: การสำรองข้อมูลอัตโนมัติรายวันโดยมีระยะเวลาเก็บรักษา 15 วัน และความสามารถในการกู้คืนข้อมูล ณ จุดเวลาใดเวลาหนึ่ง (point-in-time recovery) อย่างต่อเนื่อง; เปิดใช้งานการป้องกันการลบ; มีการจัดทำสแนปช็อตครั้งสุดท้ายก่อนการลบคลัสเตอร์ใด ๆ
• Object storage: การกำหนดเวอร์ชันโดยเก็บรักษาเวอร์ชันก่อนหน้าเป็นเวลา 90 วัน เพื่อป้องกันการลบหรือการเขียนทับโดยไม่ตั้งใจ
• เมื่อสิ้นสุดสัญญา ข้อมูลของลูกค้าจะถูกส่งคืนให้แก่ลูกค้า และ/หรือถูกลบตามคำขอของลูกค้า ภายใน 30 วันนับจากวันที่ได้รับคำขอ ตามที่กำหนดไว้ใน DPA หลังจากนั้นสำเนาสำรองข้อมูลจะหมดอายุตามรอบการเก็บรักษาข้างต้น

6. การจัดการข้อมูลประจำตัวและการเข้าถึง

• ผู้ใช้งานของลูกค้า ยืนยันตัวตนผ่านผู้ให้บริการข้อมูลประจำตัวของแพลตฟอร์ม (Clerk) ด้วยการยืนยันอีเมล การจัดการเซสชัน และการยืนยันตัวตนแบบหลายปัจจัยซึ่งเป็นตัวเลือกเสริม การเข้าถึงภายในบัญชีของลูกค้าเป็นแบบอิงตามบทบาท (role-based)
• พนักงานของ GlobeID: การเข้าถึงซอร์สโค้ด ระบบ CI/CD และคอนโซลการจัดการภายใน จะดำเนินการผ่านองค์กร GitHub โดยมีการบังคับใช้การยืนยันตัวตนแบบสองปัจจัย ไม่มีวิศวกรคนใดถือสิทธิ์การเข้าถึงบัญชี AWS ที่ใช้งานจริง (production) แบบถาวร และไม่มีข้อมูลประจำตัว (credential) ที่บุคคลถือครองสามารถสวมบทบาท (assume a role) ในบัญชีดังกล่าวได้ กล่าวคือ สภาพแวดล้อมการใช้งานจริงจะถูกเปลี่ยนแปลงและดำเนินการผ่านแพลตฟอร์มปฏิบัติการภายในของเราและเวิร์กโฟลว์ปฏิบัติการที่มีการตรวจสอบเท่านั้น โดยไม่มีช่องทางคอนโซลหรือบรรทัดคำสั่ง (command-line) สำหรับวิศวกร นักพัฒนามีสิทธิ์การเข้าถึงแบบสิทธิ์น้อยที่สุด (least-privilege) เฉพาะบัญชีสำหรับการพัฒนาและการทดสอบระยะ staging เท่านั้น การเฝ้าติดตามและการปฏิบัติการใช้บทบาทเฉพาะที่มีสิทธิ์น้อยที่สุด การดำเนินการเชิงปฏิบัติการที่จำกัดซึ่งมีให้ในแพลตฟอร์มปฏิบัติการของเรา (เช่น การรีสตาร์ตแบบหมุนเวียน (rolling restart) โหมดบำรุงรักษา การหมุนเวียนข้อมูลประจำตัวตามกำหนดเวลา งานด้านข้อมูลครั้งคราวที่ได้รับอนุมัติ และสแนปช็อตฐานข้อมูล) จะถูกจำกัดขอบเขตให้ครอบคลุมเฉพาะทรัพยากรที่ระบุชื่อไว้ ถูกควบคุมด้วยบทบาท และสำหรับการดำเนินการกับข้อมูลในสภาพแวดล้อมการใช้งานจริงจะต้องได้รับการควบคุมโดยผู้ดูแลระบบคนที่สอง และมีการตรวจสอบ ขั้นตอนฉุกเฉิน (break-glass) ที่มีการจัดทำเป็นเอกสารจะถูกจำกัดไว้เฉพาะเจ้าขององค์กรที่ได้รับการแต่งตั้ง ดำเนินการผ่านระบบ CI/CD ของเราเท่านั้น และมีการบันทึกและทบทวนทุกครั้งที่มีการใช้งาน
• การเข้าถึงฐานข้อมูลการใช้งานจริง จะไม่ถูกมอบให้แก่วิศวกรแบบถาวร กล่าวคือ ต้องมีการร้องขอแบบทันเวลา (just-in-time) ผ่านแพลตฟอร์มปฏิบัติการภายในของเราพร้อมระบุเหตุผล ได้รับการอนุมัติโดยผู้ดูแลระบบคนที่สอง (ซึ่งต้องไม่ใช่ผู้ร้องขอ) ถูกจัดสรรในรูปแบบผู้ใช้ฐานข้อมูลที่มีขอบเขตจำกัดเพียงหนึ่งฐานข้อมูลและหนึ่งระดับการเข้าถึง โดยจะไม่มีสิทธิ์ในการเปลี่ยนแปลงสคีมา (schema) มีการจำกัดเวลา (ในสภาพแวดล้อมการใช้งานจริง สูงสุดไม่เกิน 4 ชั่วโมงสำหรับการเข้าถึงแบบอ่าน และ 1 ชั่วโมงสำหรับการเข้าถึงแบบเขียน) และจะถูกเพิกถอนโดยอัตโนมัติเมื่อหมดอายุ ข้อมูลประจำตัวจะแสดงให้แก่ผู้ร้องขอเท่านั้น ทุกคำร้องขอ การอนุมัติ และการเพิกถอนจะถูกบันทึกไว้ ห้ามส่งออกข้อมูลการใช้งานจริงไปยังเครื่องคอมพิวเตอร์ส่วนบุคคล (workstation)
• ข้อมูลการใช้งานจริงจะคงอยู่ในสภาพแวดล้อมการใช้งานจริงเท่านั้น: สภาพแวดล้อมการพัฒนาและการทดสอบระยะ staging ใช้เพียงข้อมูลสังเคราะห์หรือข้อมูลที่ผ่านการทำให้ไม่สามารถระบุตัวตนได้เท่านั้น สแนปช็อตฐานข้อมูลจะถูกกู้คืนไปยังฐานข้อมูลใหม่ในสภาพแวดล้อมเดียวกันกับที่จัดทำสแนปช็อตนั้นเท่านั้น ดังนั้นข้อมูลการใช้งานจริงจะไม่มีวันถูกกู้คืนไปยังสภาพแวดล้อมการพัฒนาหรือการทดสอบ การกู้คืนในสภาพแวดล้อมการใช้งานจริงต้องมีการระบุเหตุผลและได้รับการอนุมัติจากผู้ดูแลระบบคนที่สอง การแก้ไขข้อมูลการใช้งานจริงจะดำเนินการผ่านงาน (task) ที่มีการประกาศไว้ล่วงหน้าและผ่านการตรวจสอบโค้ดเท่านั้น โดยต้องมีการทดสอบในสภาพแวดล้อม staging ก่อนและได้รับการอนุมัติจากผู้ดูแลระบบคนที่สอง — ไม่มีการใช้คำสั่ง SQL แบบเฉพาะกิจ (ad-hoc) โดยเด็ดขาด
• เส้นทางการตรวจสอบกิจกรรมของผู้ปฏิบัติงาน (audit trail): การดำเนินการที่ใช้สิทธิพิเศษทั้งหมดซึ่งกระทำผ่านแพลตฟอร์มปฏิบัติการ รวมถึงการเข้าถึงเนื้อหาบันทึก (log) ของสภาพแวดล้อมการใช้งานจริง — คำร้องขอการเข้าถึงและการอนุมัติ การเลื่อนระดับรีลีส (release promotion) และการย้อนกลับ (rollback) การเปลี่ยนแปลงสถานะการเปิด-ปิดสภาพแวดล้อม การเปลี่ยนแปลงการตั้งค่า การอนุมัติเอกสาร และลายมือชื่ออิเล็กทรอนิกส์ — จะถูกบันทึกพร้อมข้อมูลประจำตัวของผู้ปฏิบัติงาน (GitHub SSO พร้อมบังคับใช้ 2FA) เวลา และผลลัพธ์ และพร้อมใช้เป็นหลักฐานสำหรับผู้ตรวจสอบ
• การเชื่อมต่อจาก CI/CD ไปยัง AWS ยืนยันตัวตนผ่านการรวมระบบ GitHub OpenID Connect (federation) ด้วยบทบาทการปรับใช้ (deployment role) เฉพาะสำหรับแต่ละสภาพแวดล้อม โดยจำกัดไว้เฉพาะรีโพซิทอรี (repository) ที่ระบุชื่อไว้ของแพลตฟอร์มเท่านั้น
• ขั้นตอนสำหรับพนักงานเข้าใหม่/ย้ายตำแหน่ง/พ้นสภาพ (joiner/mover/leaver) การตรวจสอบประวัติ และข้อตกลงการรักษาความลับ เป็นส่วนหนึ่งของขั้นตอนความมั่นคงปลอดภัยด้านทรัพยากรบุคคล และมีการทบทวนสิทธิ์การเข้าถึงเป็นระยะ

7. การพัฒนาอย่างมั่นคงปลอดภัยและการจัดการการเปลี่ยนแปลง

• การเปลี่ยนแปลงทุกรายการจะเข้าสู่สภาพแวดล้อมการใช้งานจริงผ่าน Git ได้แก่ pull request การตรวจสอบโค้ดโดยอิสระ (อนุมัติโดยบุคคลอื่นที่ไม่ใช่ผู้เขียน) การตรวจสอบอัตโนมัติ และกระบวนการเลื่อนระดับแบบ หนึ่งแบรนช์ต่อหนึ่งสภาพแวดล้อม (branch-per-environment) (การพัฒนา → staging → การใช้งานจริง) การเลื่อนระดับแต่ละครั้งไปยัง staging และไปยังสภาพแวดล้อมการใช้งานจริงจะถูกร้องขอโดยผู้ดูแลระบบหนึ่งคนและอนุมัติโดยผู้ดูแลระบบอีกคนหนึ่งผ่านแพลตฟอร์มปฏิบัติการ พร้อมการรับทราบอย่างชัดแจ้งถึงการย้ายข้อมูลฐานข้อมูล (database migration) ใด ๆ ที่มาพร้อมกับการเลื่อนระดับนั้น การเลื่อนระดับไปยังสภาพแวดล้อมการใช้งานจริงยังต้องได้รับการลงนามรับรองด้านการประกันคุณภาพ (QA sign-off) สำหรับรีลีสใน staging อีกด้วย ชุดการเปลี่ยนแปลงแต่ละชุดสามารถตรวจสอบย้อนกลับได้ตั้งแต่ตั๋วงาน (ticket) ไปจนถึงเวอร์ชันที่ปรับใช้แล้ว และการปรับใช้ในสภาพแวดล้อมการใช้งานจริงนอกเหนือจากแพลตฟอร์มปฏิบัติการจะถูกปฏิเสธ เว้นแต่จะดำเนินการภายใต้ขั้นตอนฉุกเฉิน (break-glass)
• อิมเมจคอนเทนเนอร์ (container image) จะถูกสร้างเพียงครั้งเดียวและ ถูกสแกนหาช่องโหว่ที่เป็นที่รู้จักเมื่อมีการ push ไปยังรีจิสทรี (registry) แท็กของรีจิสทรีสภาพแวดล้อมการใช้งานจริงเป็นแบบ ไม่สามารถเปลี่ยนแปลงได้ (immutable) (แท็กที่เผยแพร่แล้วจะไม่มีวันถูกแทนที่อย่างเงียบ ๆ) และสภาพแวดล้อมการใช้งานจริงจะดึงอิมเมจไดเจสต์ (image digest) ที่ตรงกับที่ผ่านการตรวจสอบใน staging แล้วเท่านั้น — จะไม่มีการสร้างสิ่งใดขึ้นใหม่สำหรับสภาพแวดล้อมการใช้งานจริง
• การเปลี่ยนแปลงโครงสร้างพื้นฐานปฏิบัติตามกระบวนการเดียวกัน (Terraform plan เมื่อมี pull request และ apply เมื่อมีการ merge) ซึ่งทำให้มีเส้นทางการตรวจสอบการเปลี่ยนแปลงในสภาพแวดล้อมการใช้งานจริงที่สมบูรณ์และสามารถทบทวนได้
• รีลีสสามารถย้อนกลับได้เป็นรายคอมโพเนนต์ โดยเวอร์ชันที่ปรับใช้ของทุกคอมโพเนนต์จะถูกบันทึกไว้ก่อนการเลื่อนระดับแต่ละครั้ง

8. การบันทึกเหตุการณ์ การเฝ้าติดตาม และการตอบสนองต่อเหตุการณ์

• บันทึกเหตุการณ์แบบรวมศูนย์: บันทึกเหตุการณ์ของแอปพลิเคชันและบันทึกการเข้าถึงจากทุกบริการจะถูกส่งไปยัง Datadog (ไซต์สหภาพยุโรป datadoghq.eu) และ Amazon CloudWatch โดยบันทึกเหตุการณ์ของแอปพลิเคชันจะถูกเก็บรักษาไว้นานสูงสุด 90 วัน ข้อมูลส่วนบุคคลและข้อมูลลับจะถูกปกปิด (masked) ภายในบริการต่าง ๆ ก่อนที่บันทึกเหตุการณ์จะถูกส่งไปยัง Datadog และจะถูกปกปิดอีกครั้งเมื่อมีการแสดงผล กล่าวคือ ผ่านแพลตฟอร์มปฏิบัติการของเรา พนักงานที่ไม่ใช่ผู้ดูแลระบบจะเห็นเนื้อหาบันทึกเหตุการณ์ของระบบใช้งานจริงโดยค่าข้อมูลส่วนบุคคลถูกปกปิดไว้ในตำแหน่งเดิม และเครื่องมืออัตโนมัติและเครื่องมือ AI จะไม่ได้รับเพย์โหลดของคำขอหรือการตอบกลับใด ๆ ในขณะที่ข้อมูลที่จำเป็นสำหรับการวินิจฉัยปัญหา (ข้อความแสดงข้อผิดพลาด ตัวระบุคำขอ รหัสสถานะ) ยังคงมองเห็นได้ ทุกการเข้าถึงเนื้อหาบันทึกเหตุการณ์ของระบบใช้งานจริงจะได้รับการตรวจสอบ (audited)
• การตรวจสอบระบบคลาวด์และการตรวจจับภัยคุกคาม: AWS CloudTrail บันทึกการเรียกใช้ management API ทุกรายการที่เกิดขึ้นในบัญชีระบบใช้งานจริงครอบคลุมทุกภูมิภาค พร้อมการตรวจสอบความถูกต้องสมบูรณ์ของไฟล์บันทึกเหตุการณ์และการจัดเก็บแบบมีการควบคุมเวอร์ชัน Amazon GuardDuty วิเคราะห์ CloudTrail, VPC Flow Logs และกิจกรรม DNS อย่างต่อเนื่องในทุกภูมิภาคที่เราดำเนินการ เพื่อตรวจหาภัยคุกคาม เช่น การใช้ข้อมูลประจำตัวในทางที่ผิด การสอดแนมระบบ และการสื่อสารกับโฮสต์ที่ทราบว่าเป็นอันตราย โดยผลการตรวจพบจะได้รับการพิจารณาทบทวนโดยทีมปฏิบัติการ
• การแจ้งเตือน: สัญญาณเตือนของ CloudWatch สำหรับฐานข้อมูล แคช โหลดบาลานเซอร์ API Gateway และเหตุการณ์วงจรชีวิตของ ECS task จะแจ้งเตือนทีมปฏิบัติการผ่าน SNS ประสิทธิภาพของแอปพลิเคชันได้รับการเฝ้าติดตามใน Datadog ส่วนสถานภาพของโครงสร้างพื้นฐาน คิวงาน ค่าใช้จ่าย และประกาศการเลิกใช้งานในแต่ละสภาพแวดล้อมจะถูกรวบรวมไว้ในคอนโซลการเฝ้าติดตามของแพลตฟอร์มปฏิบัติการ
• หน้าแสดงสถานะสาธารณะ: ความพร้อมใช้งานของแพลตฟอร์มได้รับการเฝ้าติดตามจากภายนอกและเผยแพร่ที่ https://status.passportscan.net พร้อมการแจ้งข้อมูลเหตุการณ์และการบำรุงรักษาโดยอัตโนมัติ
• การตอบสนองต่อเหตุการณ์: ขั้นตอนการตอบสนองต่อเหตุการณ์และการละเมิดข้อมูล (Incident Response & Data Breach Procedure) ที่จัดทำเป็นลายลักษณ์อักษรกำหนดระดับความรุนแรง บทบาทหน้าที่ และขั้นตอนการยกระดับปัญหา การละเมิดข้อมูลส่วนบุคคลจะได้รับการแจ้งไปยังลูกค้าที่ได้รับผลกระทบโดยไม่ชักช้าเกินสมควร และไม่ว่าในกรณีใดภายใน 48 ชั่วโมง ตามที่กำหนดไว้ใน DPA และแจ้งไปยังหน่วยงานกำกับดูแลภายใน 72 ชั่วโมงในกรณีที่กฎหมายกำหนด (GDPR มาตรา 33)
• การเปิดเผยช่องโหว่: นักวิจัยด้านความมั่นคงปลอดภัยสามารถรายงานปัญหาได้ภายใต้นโยบายการเปิดเผยช่องโหว่ (Vulnerability Disclosure Policy) ที่ security@passportscan.net

9. ความต่อเนื่องทางธุรกิจและการกู้คืนระบบจากภัยพิบัติ

• ระบบใช้งานจริงทำงานบนบริการแบบ managed ของ AWS ครอบคลุม availability zone สามแห่งใน eu-west-1 โดยพื้นที่จัดเก็บข้อมูลของ Aurora มีการทำสำเนาข้อมูลหกชุดกระจายทั่วทั้งสามโซน บริการหลักทำงานอย่างน้อยสอง task กระจายอยู่ในแต่ละโซนพร้อมการปรับขนาดอัตโนมัติตามปริมาณงาน และ ECS จะแทนที่ task ที่ล้มเหลวโดยอัตโนมัติในโซนที่ทำงานปกติซึ่งอยู่หลังโหลดบาลานเซอร์ การปรับใช้ (deployment) ใช้กลไก circuit breaker ซึ่งจะย้อนกลับเวอร์ชันโดยอัตโนมัติเมื่อเวอร์ชันใหม่ไม่ผ่านการตรวจสอบสถานภาพ
• ฐานข้อมูลสามารถกู้คืนไปยังจุดเวลาใดก็ได้ภายในระยะเวลาเก็บรักษา 15 วัน โดยขั้นตอนการกู้คืนเป็นส่วนหนึ่งของการฝึกซ้อมการกู้คืนระบบจากภัยพิบัติประจำปี
• การวิเคราะห์ผลกระทบทางธุรกิจ (Business Impact Analysis) และแผนความต่อเนื่องทางธุรกิจและการกู้คืนระบบจากภัยพิบัติ (Business Continuity & Disaster Recovery Plan) กำหนดเป้าหมายการกู้คืนสำหรับแพลตฟอร์ม (เป้าหมายระยะเวลาการกู้คืน (recovery time objective) ไม่เกินสองชั่วโมงสำหรับบริการเช็กอินหลัก และเป้าหมายจุดกู้คืนข้อมูล (recovery point objective) อยู่ในระดับนาที ด้วยความสามารถในการกู้คืนแบบ point-in-time)
• บริการจากบุคคลภายนอกที่ระบบพึ่งพา (ผู้ให้บริการคลาวด์ ผู้ให้บริการยืนยันตัวตน ผู้ให้บริการชำระเงิน บริการจัดการบันทึกเหตุการณ์ บริการป้องกันบอต และบริการสื่อสารทางธุรกิจ) จะได้รับการประเมินในกระบวนการความมั่นคงปลอดภัยของซัพพลายเออร์ และมีระบุไว้ในรายชื่อผู้ประมวลผลช่วง (Sub-processor List)

10. ผู้ประมวลผลช่วง

บุคคลภายนอกที่ประมวลผลข้อมูลส่วนบุคคลของลูกค้าในนามของ GlobeID มีระบุไว้ พร้อมวัตถุประสงค์และสถานที่ประมวลผล ในรายชื่อผู้ประมวลผลช่วงที่เปิดเผยต่อสาธารณะที่ https://www.passportscan.net/sub-processor/ โดยลูกค้าจะได้รับแจ้งเมื่อมีการเพิ่มรายชื่อตามที่กำหนดไว้ใน DPA

11. ความรับผิดชอบร่วมกัน

GlobeID รับผิดชอบด้านความมั่นคงปลอดภัยของแพลตฟอร์มตามที่อธิบายไว้ข้างต้น ลูกค้ายังคงรับผิดชอบในเรื่องต่อไปนี้: การจัดการผู้ใช้และข้อมูลประจำตัวของตน (รวมถึงการเปิดใช้งาน MFA) การรักษาความมั่นคงปลอดภัยของอุปกรณ์และเครือข่ายที่ใช้เข้าถึงแพลตฟอร์ม การกำหนดค่าตัวเลือกการเก็บรักษาข้อมูลและการจัดเก็บตามภูมิภาคอย่างถูกต้องตามกฎหมาย การจัดทำประกาศความเป็นส่วนตัวให้แก่ผู้เข้าพัก และความมั่นคงปลอดภัยของระบบ PMS หรือระบบของบุคคลภายนอกใด ๆ ที่ลูกค้าเชื่อมต่อ

12. การติดต่อ

คำถามและแบบสอบถามด้านความมั่นคงปลอดภัย: security@passportscan.net ความเป็นส่วนตัวและเจ้าหน้าที่คุ้มครองข้อมูล (DPO): privacy@passportscan.net GlobeID Limited, The Black Church, St. Mary's Place, Dublin 7, D07 P4AX, Ireland (CRO 559612)