อธิบายระบบจัดการเอกสาร: คุณสมบัติ ประเภท และแพลตฟอร์ม

ระบบจัดการเอกสาร (DMS) คือซอฟต์แวร์ที่เทียบเท่ากับตู้เก็บเอกสารของสำนักงาน เป็นสถานที่จัดเก็บ จัดหมวดหมู่ จัดระเบียบ หรือรักษาความปลอดภัยของเอกสารลับของธุรกิจ และอาจมีระบบนี้ใช้งานอยู่แล้ว

ระบบดังกล่าวอาจเป็น Google Drive, SharePoint หรือระบบพื้นที่จัดเก็บข้อมูลบนคลาวด์สำหรับธุรกิจภายในที่สร้างขึ้นเอง ซึ่งอาจใช้เพื่อรวบรวมสัญญา ใบแจ้งหนี้ รายการเดินบัญชีธนาคาร ประวัติพนักงาน หรือโบรชัวร์ผลิตภัณฑ์ แต่พฤติกรรมในการจัดการเอกสารเหล่านี้อาจเป็นสาเหตุที่ทำให้ต้องเผชิญกับการสูญเสียทางการเงินอย่างมหาศาล ค่าปรับในอุตสาหกรรม และการดำเนินการทางกฎหมายได้เช่นกัน

เพราะอะไร? เนื่องจากระบบ DMS ถูกสร้างขึ้นมาเพื่อจัดระเบียบเอกสาร ไม่ใช่เพื่อปกป้องข้อมูลจากภัยคุกคามที่เกิดขึ้นในช่วงไม่กี่ปีที่ผ่านมา

นี่คือลักษณะของการจัดการเอกสารที่ปลอดภัยอย่างแท้จริง และเหตุใดระบบที่ใช้งานอยู่ตอนนี้อาจไม่สามารถมอบความปลอดภัยดังกล่าวได้

ระบบจัดการเอกสารคืออะไร?

ระบบจัดการเอกสารคือซอฟต์แวร์ใดๆ ที่ใช้เป็นศูนย์เก็บข้อมูลส่วนกลางเพื่อจัดเก็บ ติดตาม และแจกจ่ายเอกสารดิจิทัล ด้วยแนวทางปฏิบัติในการจัดเก็บข้อมูลที่ถูกต้อง DMS จะช่วยขจัดความจำเป็นในการใช้เอกสารกระดาษ และช่วยให้เข้าถึงไฟล์ที่เก็บถาวรซึ่งยากต่อการติดตามได้ง่ายขึ้น

DMS สามารถช่วยในเรื่องต่อไปนี้:

• จัดเก็บและจัดระเบียบไฟล์: ในตำแหน่งเดียวที่สามารถเข้าถึงและค้นหาทุกเอกสารที่เคยกระจัดกระจายอยู่ในโฟลเดอร์ ไฟล์แนบอีเมล และไฟล์เอกสารจริงได้ในการค้นหาครั้งเดียว โดยไม่สำคัญว่าใครเป็นผู้สร้างหรือสร้างขึ้นเมื่อใด
• ติดตามว่าใครบ้างที่ดูหรือมีส่วนร่วมในไฟล์: สามารถดูมุมมองที่มีโครงสร้างของกระบวนการอนุมัติทั้งหมดเพื่อตรวจสอบการแก้ไขเอกสารซ้ำอีกครั้ง และด้วยสิทธิ์และการตั้งค่าการจัดการข้อมูลยืนยันตัวตน ยังสามารถจำกัดการเข้าถึงภายในและปกป้องบันทึกข้อมูลที่ละเอียดอ่อนได้อีกด้วย
• รักษาบันทึกการตรวจสอบที่น่าเชื่อถือ: กฎที่กำหนดไว้ล่วงหน้าสามารถช่วยจัดเก็บถาวรหรือลบเอกสารหลังจากพ้นระยะเวลาที่กำหนด เพื่อช่วยให้เป็นไปตามมาตรฐานการปฏิบัติตามข้อกำหนด นอกจากนี้ยังสามารถติดตามการดู การแก้ไข หรือการดาวน์โหลดทุกครั้งเพื่อให้สามารถตรวจสอบได้โดยหน่วยงานกำกับดูแล
• จัดทำเวิร์กโฟลว์การอนุมัติแบบอัตโนมัติ: การแจ้งเตือนและการแจ้งเตือนต่างๆ สามารถส่งต่อเอกสารไปตามขั้นตอนการขออนุมัติ ขั้นตอนการเซ็นอนุมัติ และรอบการตรวจสอบ เพื่อไม่ให้ต้องตามเรื่องจากผู้ที่เกี่ยวข้องด้วยตนเอง

ระบบจัดการเอกสารที่ใช้กันทั่วไปมากที่สุด 3 ระบบ — และเหตุใดระบบเหล่านี้จึงไม่ปกป้องข้อมูล

แพลตฟอร์มทั้งสามด้านล่างนี้สร้างขึ้นเพื่อการทำงานร่วมกันและการขยายขนาด ซึ่งสามารถตอบโจทย์ได้ทั้งสองประการ แต่ธุรกิจควรคาดหวังจาก DMS ได้มากกว่านั้น

การละเมิดข้อมูล เกิดขึ้นทุกวัน และธุรกิจขนาดกลางและขนาดย่อม (SMB) มีความเสี่ยงเป็นพิเศษ โดยมี SMB มากถึง 25% ที่เผชิญกับการละเมิดหรือการโจมตีทางไซเบอร์ในปีที่ผ่านมา และแม้ว่าธุรกิจจะไม่ได้รับการละเมิดข้อมูล แต่อาจไม่ปฏิบัติตามข้อกำหนดต่างๆ เช่น GDPR, HIPAA หรือไม่ผ่านการตรวจสอบมาตรฐานอย่าง ISO 27001 เนื่องจากมาตรฐานเหล่านั้นกำหนดให้มีการปกป้องข้อมูลเชิงรุก ซึ่งช่องโหว่ดังกล่าวเพียงอย่างเดียวก็เป็นเหตุให้ถูกลงโทษได้แล้ว

เมื่อคำนึงถึงความปลอดภัย จึงได้มีการวิเคราะห์แพลตฟอร์มที่ผู้จัดการฝ่ายไอทีและซีอีโอจำนวนมากเลือกใช้เป็นค่าเริ่มต้น

Microsoft SharePoint

เหตุใดจึงเป็นค่าเริ่มต้นของสำนักงาน: SharePoint เป็นระบบที่ฝังไว้ในระบบนิเวศ Microsoft 365 อย่างลึกซึ้ง ซึ่งทำให้เป็นเส้นทางที่ง่ายที่สุดสำหรับธุรกิจที่ใช้งาน Outlook, Teams หรือ Excel อยู่แล้ว โดยระบบสามารถจัดการกับเอกสารปริมาณมาก รองรับการตั้งค่าการอนุญาตแบบละเอียด และผสานการทำงานร่วมกับส่วนอื่นๆ ของ Microsoft ได้โดยไม่ต้องกำหนดค่าเพิ่มเติม ซึ่งทำงานได้ดีสำหรับทีมที่ใช้ Microsoft 365 เป็นหลัก

การนำมาซึ่งความเสี่ยงด้านความปลอดภัยได้อย่างไร: ช่องโหว่ของ SharePoint ส่วนใหญ่เป็นปัญหาเชิงโครงสร้าง โดยทำงานภายใต้รูปแบบการเข้าถึงข้อมูลที่กว้างขวางของ Microsoft ซึ่งหมายความว่า Microsoft ยังคงความสามารถในการเข้าถึงเนื้อหาที่จัดเก็บไว้เพื่อวัตถุประสงค์ต่างๆ รวมถึงการจัดส่งบริการ การปฏิบัติตามข้อกำหนด และการร้องขอจากหน่วยงานบังคับใช้กฎหมาย แม้ว่าจะมีการเข้ารหัสลับ แต่ Microsoft เป็นผู้ถือคีย์ เอกสารจึงได้รับการปกป้องจากผู้โจมตีภายนอก แต่ไม่ใช่จากตัวแพลตฟอร์มเอง นอกจากนี้ SharePoint ยังมีประวัติปัญหาด้านการกำหนดค่าที่ผิดพลาด เช่น การตั้งค่าการแชร์ที่อนุญาตมากเกินไปซึ่งตั้งค่าง่ายและลืมง่าย รวมถึงปัญหาการกระจัดกระจายของข้อมูลภายใน ซึ่งก็คือเอกสารที่แชร์ข้ามทีมโดยไม่มีการเป็นเจ้าของที่ชัดเจนหรือวันหมดอายุ ซึ่งเป็นโหมดความล้มเหลวในการปฏิบัติตามข้อกำหนดที่พบบ่อย

สิ่งที่ควรพิจารณาแทน: ระบบที่ผู้ให้บริการไม่สามารถเข้าถึงเนื้อหาได้โดยการออกแบบ ไม่ใช่โดยนโยบาย ควรพิจารณาระบบที่มีการเข้ารหัสลับจากต้นทางถึงปลายทางพร้อมคีย์ที่ควบคุมได้เอง ความมุ่งมั่นที่ชัดเจนในเรื่องพื้นที่จัดเก็บข้อมูล และการตั้งค่าการแชร์ที่ใช้สิทธิ์ขั้นต่ำเป็นค่าเริ่มต้น แทนที่จะเป็นการเข้าถึงแบบเปิด

Google Drive

เหตุใดจึงเป็นค่าเริ่มต้นของสำนักงาน: Google Drive เป็นตัวเลือกเริ่มต้นสำหรับธุรกิจที่อยู่ในระบบนิเวศของ Google อยู่แล้ว เช่น Gmail, Docs, Sheets, Meet ซึ่งตั้งค่าได้รวดเร็ว ไม่ต้องพึ่งพาฝ่ายไอที และคุณสมบัติการทำงานร่วมกันแบบเรียลไทม์ก็ถือเป็นระดับชั้นนำอย่างแท้จริง สำหรับทีมขนาดเล็กที่ต้องการความรวดเร็ว ระบบนี้สามารถช่วยให้ทำงานเสร็จลุล่วงได้

การนำมาซึ่งความเสี่ยงด้านความปลอดภัยได้อย่างไร: รูปแบบธุรกิจของ Google สร้างขึ้นจากข้อมูล แม้จะอยู่ภายใต้ข้อตกลง Google Workspace แต่ Google ยังคงมีสิทธิ์อย่างกว้างขวางในการประมวลผลเนื้อหา เพื่อปรับปรุงบริการ โครงสร้างพื้นฐานของโฆษณา และการปฏิบัติตามคำร้องขอทางกฎหมาย เช่นเดียวกับ SharePoint การเข้ารหัสลับเป็นมาตรฐาน แต่ Google เป็นผู้ถือคีย์ นอกจากนี้ยังมีประเด็นเรื่องการกระจัดกระจายของข้อมูล เนื่องจาก Drive ช่วยให้การแชร์เอกสารกับภายนอกเป็นเรื่องง่าย ซึ่งหมายความว่าไฟล์ที่ละเอียดอ่อนอาจกลายเป็นไฟล์ที่ทุกคนที่มีลิงก์เข้าถึงได้โดยง่าย โดยที่เจ้าของข้อมูลเดิมอาจไม่รู้ตัวด้วยซ้ำ

สิ่งที่ควรพิจารณาแทน: แพลตฟอร์มที่ดูแลจัดการเอกสารในฐานะที่เป็นทรัพย์สินของตนเอง ไม่ใช่ในฐานะข้อมูลที่ต้องประมวลผล นั่นคือการเข้ารหัสลับแบบไม่สามารถเข้าถึงได้ (Zero-access encryption) ซึ่งผู้ให้บริการจะไม่สามารถอ่านไฟล์ได้ไม่ว่ากรณีใดๆ และระบบควบคุมการแชร์ภายนอกที่ต้องผ่านการยืนยันการดำเนินการ แทนที่จะเป็นการคลิกเพียงครั้งเดียว

Dropbox

เหตุใดจึงเป็นค่าเริ่มต้นของสำนักงาน: Dropbox สร้างชื่อเสียงจากความเรียบง่าย โดยจะซิงค์ไฟล์ระหว่างอุปกรณ์ในทันที ทำงานร่วมกับเครื่องมือของบุคคลที่สามได้ดี และเรียนรู้การใช้งานได้ง่าย จึงทำให้เป็นที่นิยมในหมู่ทีมขนาดเล็กและฟรีแลนซ์ สำหรับพื้นที่จัดเก็บไฟล์และการแชร์ทั่วไป ถือว่ายากที่จะหาข้อติในแง่ของความสะดวกในการใช้งาน

การนำมาซึ่งความเสี่ยงด้านความปลอดภัยได้อย่างไร: Dropbox เข้ารหัสไฟล์ระหว่างการส่งผ่านและในระหว่างจัดเก็บ แต่ทว่ายังคงเป็นผู้ถือคีย์การเข้ารหัสลับไว้เอง ซึ่งหมายความว่าพนักงานของ Dropbox รวมถึงการร้องขอจากหน่วยงานรัฐบาลก็สามารถเข้าถึงเนื้อหาได้ นอกจากนี้ยังมีประวัติการละเมิดข้อมูลที่สำคัญ เช่น เหตุการณ์ในปี 2012 ที่ทำให้ข้อมูลยืนยันตัวตนของผู้ใช้ 68 ล้านรายรั่วไหล และแพลตฟอร์มดังกล่าวยังถูกวิพากษ์วิจารณ์เกี่ยวกับระยะเวลาที่ใช้ในการเปิดเผยขนาดของการละเมิดข้อมูลดังกล่าว สำหรับธุรกิจที่ต้องจัดการกับข้อมูลที่อยู่ภายใต้การควบคุม การรับรองการปฏิบัติตามข้อกำหนดของ Dropbox ยังน้อยกว่าทางเลือกอื่นๆ สำหรับองค์กร ซึ่งอาจทำให้เกิดช่องโหว่ต่อข้อกำหนดของ GDPR หรือ HIPAA

สิ่งที่ควรพิจารณาแทน: พื้นที่จัดเก็บที่สร้างขึ้นเพื่อการปฏิบัติตามข้อกำหนดด้านความปลอดภัยทางไซเบอร์โดยเฉพาะ ด้วยการเข้ารหัสลับจากต้นทางถึงปลายทาง มีการจัดทำเอกสารรับรองการพำนักของข้อมูล และมีผู้ให้บริการที่สถาปัตยกรรมระบบทำให้การเข้าถึงไฟล์เป็นไปไม่ได้ในทางเทคนิค ไม่ใช่เพียงแค่ข้อห้ามตามสัญญา

ลักษณะของการจัดการเอกสารที่ปลอดภัยอย่างแท้จริง

แพลตฟอร์มทั้งสามข้างต้นไม่ได้มีความไม่ปลอดภัยโดยบังเอิญ แต่ถูกสร้างขึ้นเพื่อการทำงานร่วมกันและการขยายขนาด ซึ่งตอบโจทย์ได้ทั้งสองประการ ทั้งนี้ความปลอดภัยไม่ใช่ปัญหาที่ผู้ให้บริการเหล่านั้นมุ่งเน้นแก้ไขตั้งแต่แรก

หากความปลอดภัยของข้อมูลเป็นสิ่งสำคัญสำหรับธุรกิจ นี่คือคุณสมบัติที่สร้างความแตกต่างระหว่าง DMS ที่ปลอดภัยอย่างแท้จริงกับระบบที่ดูเหมือนปลอดภัยภายนอกเท่านั้น

• การเข้ารหัสลับแบบปราศจากความรู้ (Zero-knowledge encryption): DMS ควรเข้ารหัสเอกสารก่อนที่จะออกจากอุปกรณ์ ซึ่งหมายความว่าผู้ให้บริการจะไม่มีทางเข้าถึงเนื้อหาได้เลย ไม่ว่าจะเป็นการให้บริการ หรือเพื่อตอบสนองต่อคำร้องขอทางกฎหมาย หากผู้ให้บริการเป็นผู้ถือคีย์การเข้ารหัสลับ ก็จำเป็นต้องเชื่อมั่นในนโยบายของผู้ให้บริการ แต่หากระบบถูกออกแบบมาให้ผู้ให้บริการไม่สามารถถือคีย์เหล่านั้นได้ ก็ไม่จำเป็นต้องกังวลในเรื่องนี้อีกต่อไป
• สถาปัตยกรรมโอเพนซอร์สและการตรวจสอบอิสระ: การกล่าวอ้างเรื่องความปลอดภัยเป็นเรื่องที่ทำได้ง่าย ควรพิจารณาผู้ให้บริการที่มีสถาปัตยกรรมแบบโอเพนซอร์ส ซึ่งหมายความว่าทุกคนสามารถเข้ามาตรวจสอบได้ และมีการรับรองสถานะความปลอดภัยผ่านการตรวจสอบจากบุคคลที่สามที่เป็นอิสระ ไม่ใช่เพียงคำยืนยันภายในเท่านั้น
• ใบรับรองการปฏิบัติตามข้อกำหนดที่ได้รับการยอมรับ: การรับรอง ISO 27001, SOC 2 Type II และ HIPAA ไม่ใช่เพียงแค่การทำเครื่องหมายลงในช่องสี่เหลี่ยม แต่เป็นหลักฐานว่าระบบควบคุมความปลอดภัยของผู้ให้บริการผ่านการทดสอบตามมาตรฐานภายนอกแล้ว หากดำเนินงานในอุตสาหกรรมที่มีการควบคุมอย่างเข้มงวด สิ่งเหล่านี้ถือเป็นเรื่องที่หลีกเลี่ยงไม่ได้
• เขตอำนาจศาลและพื้นที่จัดเก็บข้อมูล: ที่ตั้งสำนักงานใหญ่ของผู้ให้บริการจะเป็นตัวกำหนดว่ารัฐบาลใดสามารถบังคับให้เข้าถึงข้อมูลได้ แพลตฟอร์มที่มีฐานในสหรัฐฯ จะอยู่ภายใต้กฎหมาย CLOUD Act ดังนั้นจึงต้องตรวจสอบให้แน่ใจว่ากฎหมายของประเทศใดที่ควบคุมเอกสารอยู่ และเหมาะสมกับธุรกิจหรือไม่
• AI ที่ปลอดภัยต่อความเป็นส่วนตัว: หาก DMS มีคุณสมบัติ AI ร่วมด้วย ควรยืนยันว่า AI ทำงานโดยไม่สามารถมองเห็นเนื้อหาในเอกสารได้ และข้อมูลจะไม่ถูกนำไปใช้เพื่อฝึกฝนโมเดลพื้นฐานดังกล่าว

การเลือก DMS ที่ปกป้องข้อมูลอย่างแท้จริง

ระบบจัดการเอกสารที่เลือกใช้จะเป็นตัวกำหนดว่าใครบ้างที่สามารถเห็นไฟล์ที่ละเอียดอ่อนที่สุดของธุรกิจได้ตลอดระยะเวลาที่จัดเก็บข้อมูลไว้ Proton Workspace ผสานรวมพื้นที่จัดเก็บเอกสารที่ปลอดภัยเข้ากับเครื่องมือการทำงานร่วมกันของทีม เพื่อให้ธุรกิจได้รับคุณสมบัติการทำงานร่วมกันที่จำเป็นโดยไม่ต้องส่งมอบคีย์ข้อมูลให้แก่ผู้ให้บริการ