Easytax Help - Security & Access

🔐 Security & Access — ความปลอดภัยและการควบคุมสิทธิ์

EasyTax ให้ความสำคัญกับความปลอดภัยของข้อมูลภาษีและการเข้าถึงระบบ โดยออกแบบการยืนยันตัวตนและการควบคุมสิทธิ์การใช้งานเป็นหลายระดับ เพื่อให้ผู้ใช้งานสามารถเข้าถึงข้อมูลและดำเนินการได้ตามบทบาทและสิทธิ์ที่ได้รับอนุญาต

ระบบรองรับการลงชื่อเข้าใช้ผ่านบัญชี Google หรือ Microsoft ร่วมกับ EasyTax Local Login การจัดการ Session และการกำหนดสิทธิ์ผู้ใช้งาน พร้อมแนวทางการปกป้องข้อมูลส่วนบุคคล การตรวจสอบกิจกรรม และข้อปฏิบัติด้านความปลอดภัย

ศึกษารายละเอียดได้จากหัวข้อ 01–08 ด้านล่าง เพื่อทำความเข้าใจขั้นตอนการเข้าใช้งาน การรักษาความปลอดภัย และแนวทางใช้งาน EasyTax อย่างเหมาะสม

01. 🗝️ Sign in / Sign out

EasyTax ใช้บัญชี Google หรือบัญชีผู้ให้บริการยืนยันตัวตนที่ AppSheet รองรับและองค์กรอนุญาต เพื่อควบคุมการเข้าถึงแอปพลิเคชันเบื้องต้น จากนั้นจึงเข้าสู่กระบวนการตรวจสอบบัญชีผู้ใช้ภายใน EasyTax ตามการตั้งค่าของระบบ
วัตถุประสงค์

อธิบายขั้นตอนการเข้าสู่ระบบและออกจากระบบ EasyTax รวมถึงการยืนยันตัวตนและการควบคุมการเข้าถึงข้อมูลอย่างปลอดภัย

EasyTax Authentication Flow

01 STEP 1 — Open EasyTax
ผู้ใช้งานเปิดระบบ EasyTax ผ่าน URL ที่องค์กรกำหนด

↓

02 STEP 2 — Level 1: Google / Microsoft Sign-in / Account your Organization
ผู้ใช้งานยืนยันตัวตนด้วยบัญชี Google หรือ Microsoft ตามผู้ให้บริการที่ AppSheet และองค์กรอนุญาต พร้อมตรวจสอบสิทธิ์เบื้องต้นในการเข้าถึงแอปพลิเคชัน

↓

03 STEP 3 — Level 2: EasyTax Local Login
ผู้ใช้งานเข้าสู่ระบบด้วยบัญชีภายใน EasyTax โดยระบบตรวจสอบชื่อผู้ใช้ รหัสผ่าน สถานะบัญชี และเงื่อนไขการอนุญาตเข้าใช้งานตามการตั้งค่า

↓

04 STEP 4 — Authorized Access
เมื่อผ่านการตรวจสอบ ระบบอนุญาตให้เข้าถึงข้อมูลและเมนูตามสิทธิ์ที่กำหนดไว้สำหรับผู้ใช้งาน

Sign out / Logout

เมื่อสิ้นสุดการใช้งาน ผู้ใช้ควรกด Logout เพื่อสิ้นสุด Local Session ของ EasyTax และลดความเสี่ยงจากการเข้าถึงระบบโดยไม่ได้รับอนุญาต

ข้อควรทราบ

การออกจาก EasyTax Local Login ไม่ได้หมายความว่าได้ออกจากบัญชี Google หรือ Microsoft โดยอัตโนมัติ ผู้ใช้งานควรออกจากบัญชีของผู้ให้บริการด้วยเมื่อใช้งานบนเครื่องคอมพิวเตอร์สาธารณะหรือเครื่องที่ใช้ร่วมกัน

02. 🔐 Security Layers

วัตถุประสงค์ (Purpose)

EasyTax ออกแบบโครงสร้างการรักษาความปลอดภัยแบบหลายชั้น (Layered Security) เพื่อควบคุมการเข้าถึงระบบ ตรวจสอบตัวตนของผู้ใช้งาน และลดความเสี่ยงจากการเข้าถึงข้อมูลภาษีและข้อมูลส่วนบุคคลโดยไม่ได้รับอนุญาต

EasyTax Security Architecture

🪪 Layer 1 — Identity Authentication (Google / Microsoft)

ยืนยันตัวตนผ่านบัญชี Google หรือ Microsoft ตามผู้ให้บริการที่ AppSheet และองค์กรอนุญาต
ใช้ระบบยืนยันตัวตนของผู้ให้บริการ (Identity Provider)
ผู้ใช้งานต้องได้รับอนุญาตให้เข้าถึง EasyTax App
รองรับการใช้ Multi-Factor Authentication (MFA) ตามการตั้งค่าของผู้ให้บริการและนโยบายองค์กร

🔐 Layer 2 — EasyTax Local Authentication

ตรวจสอบบัญชีผู้ใช้งานภายใน EasyTax เพิ่มเติมจากการยืนยันตัวตนระดับแรก
ตรวจสอบชื่อผู้ใช้และรหัสผ่านภายในระบบ
ตรวจสอบความสัมพันธ์ระหว่างบัญชี Level 1 กับบัญชี EasyTax
ตรวจสอบสถานะบัญชีและเงื่อนไขการอนุญาตเข้าใช้งาน
ออกแบบให้จัดเก็บรหัสผ่านเป็น One-Way Password Hash แทนการเก็บรหัสผ่านแบบ Plain Text

🛂 Layer 3 — Application Access Control

กำหนดสิทธิ์การใช้งานตามบทบาทและข้อมูลผู้ใช้ (Role-Based Access Control)
ควบคุมการเข้าถึงเมนูและฟังก์ชันตามสิทธิ์ที่ได้รับ
รองรับการกำหนดขอบเขตการใช้งานตามบริษัท (Company / Tax Party)
แยกสิทธิ์การจัดการระบบ การส่งออกข้อมูล และการอนุมัติตามการตั้งค่าผู้ใช้งาน

🎭 Layer 4 — Session & Activity Control

จัดการสถานะการเข้าสู่ระบบและออกจากระบบภายใน EasyTax
รองรับการกำหนดระยะเวลาการใช้งาน Session
ออกแบบให้ตรวจสอบระยะเวลาไม่มีการใช้งาน (Idle Timeout)
จัดเก็บข้อมูลการเข้าสู่ระบบและเหตุการณ์สำคัญเพื่อสนับสนุนการตรวจสอบย้อนหลัง

🔐 Layer 5 — Data & Platform Security

ใช้โครงสร้างพื้นฐานของ Google AppSheet, Google Workspace และ Google Apps Script
ควบคุมการเข้าถึงข้อมูลผ่านการกำหนดสิทธิ์ในแอปพลิเคชันและแหล่งจัดเก็บข้อมูล
ใช้การสื่อสารผ่าน HTTPS/TLS ตามบริการของแพลตฟอร์ม
รองรับการแยก App, Spreadsheet, Script และพื้นที่จัดเก็บไฟล์ตามแต่ละ Instance ของ EasyTax
ลดความเสี่ยงจากการเข้าถึงข้อมูลข้ามองค์กรด้วยการกำหนดขอบเขตข้อมูลและสิทธิ์ที่เหมาะสม

Security Design Principles

Defense in Depth — ใช้มาตรการหลายชั้นเพื่อลดการพึ่งพาการป้องกันเพียงจุดเดียว

Least Privilege — ให้สิทธิ์เท่าที่จำเป็นต่อหน้าที่ของผู้ใช้งาน

Accountability — สนับสนุนการบันทึกเหตุการณ์และการตรวจสอบการใช้งานย้อนหลัง

Privacy by Design — คำนึงถึงการคุ้มครองข้อมูลส่วนบุคคลตั้งแต่ขั้นตอนออกแบบระบบ

หมายเหตุ: รายการข้างต้นอธิบายทั้งโครงสร้างที่ออกแบบไว้และความสามารถที่ระบบรองรับ การเปิดใช้งานจริงของ MFA, Idle Timeout, การจำกัดข้อมูลระดับแถว และมาตรการควบคุมอื่น ๆ ต้องตรวจสอบจาก Configuration และผลการทดสอบของแต่ละ EasyTax Instance ก่อนยืนยันว่าเป็นมาตรการที่บังคับใช้อยู่

03. 🪧Roles & Permissions

EasyTax ออกแบบระบบควบคุมสิทธิ์การใช้งานตามบทบาทและความรับผิดชอบของผู้ใช้งาน (Role-Based Access Control: RBAC) เพื่อให้ผู้ใช้งานเข้าถึงเฉพาะข้อมูลและฟังก์ชันที่ได้รับอนุญาต ลดความเสี่ยงจากการเข้าถึง แก้ไข หรือส่งออกข้อมูลโดยไม่ได้รับสิทธิ์

1. 🔐 User Account Management — การจัดการบัญชีผู้ใช้งาน

ผู้ใช้งานแต่ละรายมีบัญชีภายใน EasyTax ซึ่งเชื่อมโยงกับบัญชีที่ใช้ยืนยันตัวตนในระดับแรก โดยระบบมีข้อมูลสำหรับควบคุมสิทธิ์ ได้แก่

User Account: ชื่อผู้ใช้งานและอีเมลที่ผูกกับบัญชี
Account Status: สถานะเปิดหรือปิดการใช้งาน
Login Permission: อนุญาตหรือระงับการเข้าสู่ระบบ
Role: บทบาทของผู้ใช้งาน
Company / Tax Party: บริษัทหรือหน่วยงานที่ผู้ใช้งานได้รับมอบหมาย
Additional Permissions: สิทธิ์เฉพาะด้าน เช่น การส่งออกข้อมูล การอนุมัติ และการบริหารระบบ

2. 📇 Roles & Responsibilities — บทบาทและความรับผิดชอบ

EasyTax รองรับการกำหนดบทบาทผู้ใช้งานให้เหมาะสมกับหน้าที่ของแต่ละองค์กร เช่น

System Administrator

บริหารจัดการบัญชีผู้ใช้งาน กำหนดสิทธิ์ ตรวจสอบการตั้งค่าระบบ และดูแลการใช้งานตามขอบเขตที่ได้รับอนุญาต

Authorized User

บันทึกและจัดการรายการภาษีหัก ณ ที่จ่าย จัดทำใบรับรอง 50 ทวิ และดำเนินงานตามสิทธิ์ที่ได้รับ

Reviewer / Approver

ตรวจสอบข้อมูลและดำเนินการอนุมัติตามกระบวนการที่องค์กรกำหนด หากเปิดใช้ฟังก์ชันการอนุมัติ

Read-only / Viewer

เข้าถึงข้อมูลหรือรายงานเพื่อการตรวจสอบ โดยไม่สามารถแก้ไขข้อมูลตามขอบเขตสิทธิ์ที่กำหนด

หมายเหตุ: บทบาทข้างต้นเป็นตัวอย่างสำหรับการอธิบายแนวทาง RBAC ชื่อ Role และสิทธิ์ที่ใช้งานจริงขึ้นอยู่กับการตั้งค่าในแต่ละ EasyTax Instance

3. 🛂 Permission Control — การควบคุมสิทธิ์

ระบบออกแบบให้กำหนดสิทธิ์เพิ่มเติมได้ตามบัญชีผู้ใช้งาน ได้แก่

Allow Admin: สิทธิ์ในการเข้าถึงฟังก์ชันบริหารระบบ
Allow Export: สิทธิ์ในการส่งออกข้อมูล
Allow Approve: สิทธิ์ในการอนุมัติรายการตามกระบวนการที่รองรับ
Login Allowed: การอนุญาตให้เข้าสู่ระบบ
Is Active: สถานะการใช้งานบัญชี

การกำหนดสิทธิ์เหล่านี้ช่วยแยกความรับผิดชอบระหว่างผู้ปฏิบัติงาน ผู้ตรวจสอบ และผู้ดูแลระบบ

4. 📈 Company / Data Access Scope — ขอบเขตการเข้าถึงข้อมูล

EasyTax รองรับการกำหนดบริษัทที่เกี่ยวข้องกับบัญชีผู้ใช้งานผ่าน Company / Tax Party เพื่อใช้ประกอบการควบคุมขอบเขตข้อมูล

หลักการสำคัญ ได้แก่

ผู้ใช้งานควรเข้าถึงเฉพาะข้อมูลของบริษัทที่ได้รับอนุญาต
ข้อมูลภาษีและข้อมูลผู้รับเงินควรถูกจำกัดตามสิทธิ์ที่เหมาะสม
การควบคุมข้อมูลต้องครอบคลุมทั้งการแสดงผล การเรียกดู และการเข้าถึงแหล่งข้อมูล
การแยก EasyTax Instance สำหรับแต่ละองค์กรช่วยสนับสนุนการแยกขอบเขตการบริหารจัดการข้อมูล

5. 🔐 Access Administration — การบริหารสิทธิ์ผู้ใช้งาน

ผู้ดูแลระบบควรมีกระบวนการบริหารสิทธิ์ตลอดวงจรการใช้งาน ได้แก่

User Provisioning: สร้างบัญชีและกำหนดสิทธิ์เริ่มต้น
Access Modification: ปรับเปลี่ยนสิทธิ์เมื่อหน้าที่เปลี่ยนแปลง
Access Review: ทบทวนสิทธิ์เป็นระยะ
Account Suspension: ระงับบัญชีเมื่อจำเป็น
User Deactivation: ปิดสิทธิ์เมื่อพนักงานพ้นสภาพหรือหมดความจำเป็นในการใช้งาน

6. 🫆 Security & Compliance Principles

Least Privilege — กำหนดสิทธิ์เท่าที่จำเป็นต่อหน้าที่

Segregation of Duties — แยกหน้าที่ผู้บันทึก ผู้ตรวจสอบ และผู้อนุมัติเมื่อกระบวนการรองรับ

Need-to-Know — จำกัดการเข้าถึงข้อมูลตามความจำเป็นในการปฏิบัติงาน

Accountability — สนับสนุนการตรวจสอบผู้ใช้งานและเหตุการณ์ที่เกี่ยวข้อง

PDPA Alignment — สนับสนุนการจำกัดการเข้าถึงข้อมูลส่วนบุคคลตามวัตถุประสงค์และความจำเป็น

หมายเหตุด้านการควบคุม: การซ่อนเมนูหรือปุ่มใน AppSheet เพียงอย่างเดียวไม่ถือเป็นการป้องกันการเข้าถึงข้อมูลที่เพียงพอ ต้องมีการตรวจสอบมาตรการควบคุมข้อมูลที่ระดับแหล่งข้อมูลและ Security Filter รวมถึงทดสอบด้วยบัญชีผู้ใช้งานต่างสิทธิ์ก่อนยืนยันผลการบังคับใช้จริง

04. 🌏Session Management

04. 🌐 Session Management

การจัดการสถานะการเข้าใช้งานและระยะเวลาการเข้าถึงระบบ

EasyTax มีการออกแบบระบบจัดการ Local User Session เพื่อควบคุมสถานะการเข้าใช้งานของผู้ใช้แต่ละราย โดยทำงานร่วมกับการยืนยันตัวตนผ่าน Google / Microsoft และ AppSheet เพื่อเพิ่มการควบคุมการเข้าถึงข้อมูลภายในระบบ

01 — Session Creation (การสร้าง Session)

เมื่อผู้ใช้งานผ่านการตรวจสอบบัญชี EasyTax Local Login ระบบจะสร้าง Session สำหรับผู้ใช้งาน โดยบันทึกข้อมูลสำคัญ เช่น

User ID / User Email
Session ID
Login Date & Time
Session Status
Session Expiration Time

ข้อมูลเหล่านี้ใช้ประกอบการตรวจสอบสถานะและประวัติการเข้าใช้งาน

02 — Session Validation (การตรวจสอบ Session)

ระบบออกแบบให้ตรวจสอบเงื่อนไขการเข้าใช้งาน ได้แก่

สถานะ Session ต้องเป็น ACTIVE
Session ต้องไม่เกินเวลาหมดอายุที่กำหนด
บัญชีผู้ใช้ต้องได้รับอนุญาตให้เข้าใช้งาน
การเข้าถึงข้อมูลและฟังก์ชันต้องเป็นไปตามสิทธิ์ของผู้ใช้

03 — Idle Timeout (การหมดเวลาเมื่อไม่มีการใช้งาน)

EasyTax มีการกำหนดค่าควบคุมระยะเวลาที่ไม่มีการใช้งานผ่าน idle_timeout_minutes เพื่อรองรับการสิ้นสุด Session เมื่อผู้ใช้ไม่มีความเคลื่อนไหวตามระยะเวลาที่กำหนด

วัตถุประสงค์คือช่วยลดความเสี่ยงจากการเปิดระบบค้างไว้ โดยเฉพาะเครื่องคอมพิวเตอร์ที่ใช้งานร่วมกัน

04 — Session Expiration (การหมดอายุ Session)

ระบบรองรับการกำหนดอายุสูงสุดของ Session ผ่าน session_max_hours และบันทึกเวลา expires_at

เมื่อ Session หมดอายุ ผู้ใช้งานควรต้องผ่านกระบวนการตรวจสอบสิทธิ์อีกครั้งก่อนเข้าใช้งานข้อมูลที่ได้รับการป้องกัน

05 — Sign out / Session Termination (การสิ้นสุด Session)

เมื่อผู้ใช้งานเลือก Logout ระบบออกแบบให้ดำเนินการดังนี้

เปลี่ยนสถานะ Session เป็น LOGOUT
บันทึกวันและเวลาที่ออกจากระบบ
บันทึกเหตุผลในการสิ้นสุด Session
บันทึกเหตุการณ์ Logout เพื่อใช้ตรวจสอบย้อนหลัง

06 — Session Activity & Audit Trail (การติดตามกิจกรรม)

EasyTax มีโครงสร้างสำหรับจัดเก็บข้อมูลการใช้งาน เช่น

login_at — เวลาเข้าสู่ระบบ
last_active_at — เวลาที่มีการใช้งานล่าสุด
logout_at — เวลาออกจากระบบ
logout_reason — เหตุผลในการสิ้นสุด Session
session_status — สถานะของ Session

ข้อมูลดังกล่าวสนับสนุนการตรวจสอบการเข้าใช้งาน การบริหารความปลอดภัย และการตรวจสอบย้อนหลังตามนโยบายขององค์กร

ข้อควรทราบ

Local Session ของ EasyTax เป็นการควบคุมเพิ่มเติมในระดับแอปพลิเคชัน ไม่ใช่การทดแทน Session ของ Google / Microsoft หรือ AppSheet ผู้ใช้งานควร Logout เมื่อเลิกใช้งาน และหลีกเลี่ยงการเปิดระบบค้างไว้บนอุปกรณ์ที่ใช้ร่วมกัน

05. 📈 Data Protection

การปกป้องข้อมูลภาษีและข้อมูลส่วนบุคคลภายในระบบ EasyTax

EasyTax เป็นระบบบริหารจัดการภาษีหัก ณ ที่จ่าย ซึ่งมีการจัดเก็บและประมวลผลข้อมูลสำคัญขององค์กร รวมถึงข้อมูลผู้จ่ายเงิน ผู้รับเงิน รายการภาษี และเอกสารใบรับรองการหักภาษี ณ ที่จ่าย (50 ทวิ)

ระบบจึงได้รับการออกแบบให้มีมาตรการควบคุมการเข้าถึง การจัดเก็บ และการใช้งานข้อมูล โดยอาศัยความสามารถของ Google Workspace, AppSheet และการควบคุมเพิ่มเติมภายใน EasyTax

01 — Data Classification (การจำแนกประเภทข้อมูล)

ข้อมูลภายใน EasyTax ประกอบด้วย

Company Information: ข้อมูลบริษัท เลขประจำตัวผู้เสียภาษี และข้อมูลสาขา
Payee Information: ข้อมูลผู้รับเงิน ชื่อ ที่อยู่ และเลขประจำตัวผู้เสียภาษี
WHT Transactions: รายการจ่ายเงิน ฐานภาษี อัตราภาษี และจำนวนภาษีที่หัก
Tax Certificates: ใบรับรองการหักภาษี ณ ที่จ่าย (50 ทวิ)
Tax Reports: รายงานภาษีและแบบ ภ.ง.ด. ที่เกี่ยวข้อง
User & Access Information: ข้อมูลบัญชีผู้ใช้งาน สิทธิ์ และประวัติการเข้าใช้งาน

ข้อมูลบางประเภทถือเป็นข้อมูลส่วนบุคคลหรือข้อมูลทางธุรกิจที่มีความสำคัญ จึงต้องจำกัดการเข้าถึงตามความจำเป็นในการปฏิบัติงาน

02 — Access Control (การควบคุมการเข้าถึงข้อมูล)

EasyTax มีการออกแบบระบบควบคุมการเข้าถึงหลายระดับ ได้แก่

การยืนยันตัวตนผ่าน Google / Microsoft และ AppSheet
การตรวจสอบบัญชีผู้ใช้งานภายใน EasyTax (Local Login)
การกำหนดบทบาทและสิทธิ์ของผู้ใช้งาน (Roles & Permissions)
การกำหนดขอบเขตการเข้าถึงข้อมูลตามบริษัทหรือหน่วยงาน
การควบคุมสิทธิ์การส่งออกข้อมูลและการใช้งานฟังก์ชันสำคัญ

การควบคุมดังกล่าวมีวัตถุประสงค์เพื่อให้ผู้ใช้งานเข้าถึงเฉพาะข้อมูลและฟังก์ชันที่ได้รับอนุญาต โดยต้องมีการกำหนด Security Filter และการตรวจสอบสิทธิ์ในกระบวนการที่เกี่ยวข้องให้สอดคล้องกัน

03 — Cloud Data Storage (การจัดเก็บข้อมูลบน Cloud)

EasyTax ใช้บริการ Cloud ของ Google เป็นองค์ประกอบหลักในการจัดเก็บและประมวลผลข้อมูล ได้แก่

Google Sheets: จัดเก็บข้อมูลรายการและข้อมูลหลักของระบบ
Google Drive: จัดเก็บไฟล์เอกสาร รายงาน และใบรับรองภาษี
Google AppSheet: ให้บริการแอปพลิเคชันและการเข้าถึงข้อมูล
Google Apps Script: ประมวลผลและสร้างเอกสารตามกระบวนการของระบบ

การเข้าถึงไฟล์และแหล่งข้อมูลต้องได้รับการกำหนดสิทธิ์อย่างเหมาะสม เพื่อป้องกันการเปิดเผยข้อมูลแก่บุคคลที่ไม่ได้รับอนุญาต

04 — Data Transmission & Encryption (การส่งข้อมูลและการเข้ารหัส)

การสื่อสารกับบริการ Google ผ่านการเชื่อมต่อ HTTPS/TLS ช่วยปกป้องข้อมูลระหว่างการรับส่งผ่านเครือข่าย

การจัดเก็บข้อมูลบนบริการ Google ยังอยู่ภายใต้มาตรการรักษาความปลอดภัยและการเข้ารหัสของบริการที่เกี่ยวข้องตามข้อกำหนดของผู้ให้บริการ

ทั้งนี้ การเข้ารหัสไม่ได้ทดแทนการกำหนดสิทธิ์การเข้าถึงไฟล์และข้อมูลภายในระบบ

05 — Backup & Data Recovery (การสำรองและกู้คืนข้อมูล)

EasyTax มีการเตรียมโครงสร้างสำหรับการจัดเก็บข้อมูลและไฟล์สำรอง เพื่อสนับสนุนการกู้คืนข้อมูลเมื่อเกิดข้อผิดพลาดหรือเหตุการณ์ไม่คาดคิด

แนวทางการควบคุมประกอบด้วย

การสำรองข้อมูลและเอกสารที่จำเป็น
การกำหนดพื้นที่จัดเก็บ Backup แยกจากไฟล์ใช้งาน
การจำกัดสิทธิ์ผู้เข้าถึงข้อมูลสำรอง
การกำหนดระยะเวลาจัดเก็บข้อมูลสำรอง
การทดสอบการกู้คืนข้อมูลตามความเหมาะสม

ความถี่ในการสำรองข้อมูลและระยะเวลาการกู้คืนต้องเป็นไปตามการตั้งค่าและนโยบายที่เปิดใช้งานจริงขององค์กร

06 — Data Retention & Disposal (การเก็บรักษาและลบข้อมูล)

ข้อมูลและเอกสารภาษีต้องได้รับการจัดเก็บตามระยะเวลาที่กฎหมายและนโยบายองค์กรกำหนด

เมื่อครบกำหนดการเก็บรักษา ควรมีกระบวนการตรวจสอบและดำเนินการลบหรือทำลายข้อมูลอย่างเหมาะสม โดยคำนึงถึงข้อกำหนดทางภาษี การตรวจสอบย้อนหลัง และกฎหมายคุ้มครองข้อมูลส่วนบุคคล

07 — Data Integrity (ความถูกต้องและความครบถ้วนของข้อมูล)

EasyTax มีการออกแบบกระบวนการควบคุมข้อมูล เช่น

การตรวจสอบความครบถ้วนของข้อมูลก่อนบันทึก
การตรวจสอบข้อมูลก่อนนำเข้า CSV / TXT
การควบคุมเลขที่เอกสารและเลขที่ใบรับรอง
การกำหนดสถานะรายการ เช่น Draft, Completed และ Cancelled
การจัดเก็บข้อมูลอ้างอิงเพื่อสนับสนุนการตรวจสอบย้อนหลัง

มาตรการเหล่านี้ช่วยลดความเสี่ยงจากข้อมูลไม่ครบถ้วน การบันทึกซ้ำ และความผิดพลาดในการจัดทำเอกสารภาษี

ข้อควรทราบ

ความปลอดภัยของข้อมูลขึ้นอยู่กับการทำงานร่วมกันระหว่างมาตรการของผู้ให้บริการ Cloud การตั้งค่าสิทธิ์ของผู้ดูแลระบบ และการปฏิบัติตามนโยบายของผู้ใช้งาน

ผู้ใช้งานไม่ควรเปิดเผยข้อมูลภาษีแก่บุคคลที่ไม่มีสิทธิ์ ไม่ควรแชร์ไฟล์ผ่านลิงก์สาธารณะโดยไม่ได้รับอนุญาต และควรจัดเก็บหรือส่งต่อเอกสารตามนโยบายความปลอดภัยขององค์กร

06. 🔏PDPA & Privacy

06. 🔐 PDPA & Privacy

การคุ้มครองข้อมูลส่วนบุคคลและความเป็นส่วนตัวในระบบ EasyTax

EasyTax ให้ความสำคัญกับการคุ้มครองข้อมูลส่วนบุคคลและข้อมูลทางภาษี โดยออกแบบระบบให้รองรับการควบคุมสิทธิ์ การจัดเก็บ การใช้งาน และการตรวจสอบข้อมูล เพื่อสนับสนุนการปฏิบัติตามกฎหมาย PDPA และนโยบายความปลอดภัยขององค์กร

01 — Personal Data Processing (การประมวลผลข้อมูลส่วนบุคคล)

EasyTax อาจจัดเก็บและประมวลผลข้อมูลดังต่อไปนี้

ชื่อ–นามสกุลของผู้รับเงินหรือผู้มีเงินได้
เลขประจำตัวผู้เสียภาษีหรือเลขประจำตัวประชาชน
ที่อยู่และข้อมูลติดต่อที่เกี่ยวข้อง
ข้อมูลการจ่ายเงินและการหักภาษี ณ ที่จ่าย
ข้อมูลใบรับรอง 50 ทวิ และรายงานภาษี
ข้อมูลบัญชีผู้ใช้งานและประวัติการเข้าใช้งาน

ข้อมูลดังกล่าวใช้เพื่อวัตถุประสงค์ในการจัดทำเอกสารภาษี การปฏิบัติตามกฎหมาย การบริหารจัดการข้อมูล และการตรวจสอบย้อนหลังตามความจำเป็น

02 — Data Controller & Data Processor (บทบาทและความรับผิดชอบ)

การบริหารจัดการข้อมูลส่วนบุคคลเกี่ยวข้องกับบทบาทสำคัญ ได้แก่

Data Controller (ผู้ควบคุมข้อมูลส่วนบุคคล): องค์กรเจ้าของข้อมูลที่กำหนดวัตถุประสงค์และวิธีการประมวลผลข้อมูล
Data Processor (ผู้ประมวลผลข้อมูลส่วนบุคคล): ผู้ให้บริการที่ประมวลผลข้อมูลตามคำสั่งของผู้ควบคุมข้อมูล ภายใต้ข้อตกลงที่เกี่ยวข้อง
Cloud Service Provider / Subprocessor: ผู้ให้บริการโครงสร้างพื้นฐานหรือบริการ Cloud ที่เกี่ยวข้องกับการจัดเก็บและประมวลผลข้อมูล

สำหรับการให้บริการ EasyTax บน Cloud การกำหนดบทบาทของ BKSOFTS และ Google ต้องเป็นไปตามข้อตกลงการประมวลผลข้อมูล (DPA) และรูปแบบการให้บริการที่ตกลงกับองค์กรลูกค้า

03 — Lawful Basis & Purpose Limitation (ฐานกฎหมายและวัตถุประสงค์)

การเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลต้องมีฐานทางกฎหมายที่เหมาะสม เช่น การปฏิบัติตามหน้าที่ตามกฎหมายภาษี หรือฐานกฎหมายอื่นที่เกี่ยวข้องกับกิจกรรมการประมวลผลนั้น

ข้อมูลที่จัดเก็บใน EasyTax ควรใช้เฉพาะวัตถุประสงค์ที่กำหนดไว้ และไม่ควรนำไปใช้เพื่อวัตถุประสงค์อื่นโดยไม่มีฐานกฎหมายรองรับ

04 — Data Minimization & Access Control (การจำกัดข้อมูลและสิทธิ์)

องค์กรควรจัดเก็บเฉพาะข้อมูลที่จำเป็นต่อการดำเนินงาน และกำหนดสิทธิ์การเข้าถึงตามหน้าที่ของผู้ใช้งาน

แนวทางควบคุมประกอบด้วย

กำหนดสิทธิ์ตามบทบาท (Role-Based Access Control)
จำกัดการเข้าถึงข้อมูลตามบริษัทหรือขอบเขตงาน
ควบคุมสิทธิ์การดู แก้ไข อนุมัติ และส่งออกข้อมูล
ไม่เปิดเผยเอกสารภาษีแก่บุคคลที่ไม่ได้รับอนุญาต
ทบทวนสิทธิ์เมื่อผู้ใช้งานเปลี่ยนหน้าที่หรือสิ้นสุดการทำงาน

05 — Data Subject Rights (สิทธิของเจ้าของข้อมูลส่วนบุคคล)

เจ้าของข้อมูลส่วนบุคคลอาจมีสิทธิตาม PDPA เช่น

สิทธิขอเข้าถึงและขอรับสำเนาข้อมูล
สิทธิขอแก้ไขข้อมูลให้ถูกต้อง
สิทธิขอลบหรือทำลายข้อมูล
สิทธิขอระงับการใช้ข้อมูล
สิทธิคัดค้านการประมวลผลในกรณีที่กฎหมายกำหนด
สิทธิถอนความยินยอม หากการประมวลผลอาศัยความยินยอม
สิทธิขอรับหรือโอนย้ายข้อมูลตามเงื่อนไขของกฎหมาย

การใช้สิทธิแต่ละประเภทขึ้นอยู่กับฐานกฎหมายและข้อยกเว้นที่เกี่ยวข้อง โดยเฉพาะข้อมูลที่องค์กรมีหน้าที่ต้องเก็บรักษาตามกฎหมายภาษี

ผู้ใช้งานควรส่งคำร้องเกี่ยวกับสิทธิของเจ้าของข้อมูลไปยังผู้รับผิดชอบด้าน PDPA หรือ DPO ขององค์กร ไม่ควรดำเนินการลบข้อมูลภาษีด้วยตนเองโดยไม่ได้รับอนุญาต

06 — Data Retention & Deletion (การเก็บรักษาและการลบข้อมูล)

ข้อมูลส่วนบุคคลและเอกสารภาษีควรได้รับการจัดเก็บตามระยะเวลาที่กฎหมายกำหนดและตามนโยบายขององค์กร

เมื่อสิ้นสุดความจำเป็นในการเก็บรักษา ควรมีแนวทางลบ ทำลาย หรือทำให้ข้อมูลไม่สามารถระบุตัวบุคคลได้ตามความเหมาะสม

การลบข้อมูลต้องพิจารณาภาระหน้าที่ทางกฎหมาย การตรวจสอบย้อนหลัง และข้อกำหนดด้านการเก็บรักษาเอกสารก่อนดำเนินการ

07 — Data Sharing & Cross-Border Processing (การเปิดเผยและประมวลผลข้อมูลข้ามประเทศ)

การใช้บริการ Google Cloud, Google Workspace และ AppSheet อาจเกี่ยวข้องกับการประมวลผลข้อมูลผ่านโครงสร้างพื้นฐานในหลายประเทศ ตามเงื่อนไขของบริการและการตั้งค่าที่เกี่ยวข้อง

องค์กรควรตรวจสอบข้อตกลง DPA เงื่อนไขการใช้บริการ และมาตรการที่จำเป็นสำหรับการส่งหรือโอนข้อมูลส่วนบุคคลไปต่างประเทศตาม PDPA

ไม่ควรถือว่าการใช้บริการ Cloud หมายความว่าข้อมูลทั้งหมดถูกจัดเก็บอยู่ในประเทศไทย

08 — Personal Data Breach (เหตุละเมิดข้อมูลส่วนบุคคล)

หากพบเหตุการณ์ที่อาจทำให้ข้อมูลส่วนบุคคลรั่วไหล สูญหาย ถูกเข้าถึง หรือถูกเปิดเผยโดยไม่ได้รับอนุญาต ผู้ใช้งานควรดำเนินการดังนี้

หยุดกิจกรรมที่อาจทำให้เกิดความเสียหายเพิ่มเติมตามความเหมาะสม
แจ้งผู้ดูแลระบบและผู้รับผิดชอบด้าน PDPA / DPO ทันที
เก็บรักษาหลักฐานที่เกี่ยวข้องเพื่อสนับสนุนการตรวจสอบ
ให้ผู้รับผิดชอบประเมินความเสี่ยงและดำเนินการตามขั้นตอนตอบสนองเหตุการณ์ขององค์กร

กรณีที่เข้าเงื่อนไขตามกฎหมาย ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่พิจารณาการแจ้งเหตุละเมิดต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมงนับแต่ทราบเหตุ เท่าที่สามารถกระทำได้ และแจ้งเจ้าของข้อมูลเมื่อมีความเสี่ยงสูงตามหลักเกณฑ์ที่กฎหมายกำหนด

09 — Privacy by Design & Accountability (การออกแบบเพื่อคุ้มครองข้อมูล)

EasyTax มีแนวทางออกแบบให้รองรับการคุ้มครองข้อมูลส่วนบุคคลผ่านองค์ประกอบต่าง ๆ เช่น

การยืนยันตัวตนและควบคุมสิทธิ์การใช้งาน
การจำกัดขอบเขตข้อมูลตามหน้าที่
การจัดเก็บข้อมูลบัญชีและประวัติการเข้าใช้งาน
การควบคุมการส่งออกเอกสารและรายงาน
การกำหนดนโยบายการจัดเก็บและสำรองข้อมูล
การสนับสนุนการตรวจสอบย้อนหลัง

มาตรการเหล่านี้ต้องได้รับการกำหนดค่า ทดสอบ และทบทวนอย่างต่อเนื่องเพื่อให้เกิดประสิทธิผลในการใช้งานจริง

ข้อควรทราบสำหรับผู้ใช้งาน

ใช้ข้อมูลส่วนบุคคลเฉพาะที่จำเป็นต่อการปฏิบัติงาน
ไม่ส่งต่อข้อมูลภาษีผ่านช่องทางที่องค์กรไม่ได้อนุญาต
ไม่เผยแพร่ลิงก์เอกสารหรือไฟล์ Google Drive เป็นสาธารณะ
ตรวจสอบผู้รับก่อนส่งใบรับรองหรือรายงานภาษี
แจ้งผู้ดูแลระบบทันทีเมื่อสงสัยว่าข้อมูลถูกเข้าถึงโดยไม่ได้รับอนุญาต
ปฏิบัติตามนโยบาย PDPA และ Information Security ขององค์กร

หมายเหตุ: EasyTax เป็นเครื่องมือสนับสนุนการจัดการข้อมูลและการปฏิบัติตามข้อกำหนดด้านภาษีและ PDPA แต่การปฏิบัติตาม PDPA ต้องอาศัยนโยบาย กระบวนการ บุคลากร ข้อตกลง และมาตรการควบคุมขององค์กรร่วมด้วย ไม่ได้เกิดจากการใช้ซอฟต์แวร์เพียงอย่างเดียว

07. 🖥️ Audit & Monitoring

การตรวจสอบประวัติการใช้งาน การติดตามเหตุการณ์ และการตรวจสอบย้อนหลังของระบบ EasyTax

EasyTax ได้รับการออกแบบให้มีโครงสร้างข้อมูลสนับสนุนการติดตามการเข้าใช้งาน การดำเนินรายการภาษี การสร้างเอกสาร และการประมวลผลรายงาน เพื่อช่วยให้ผู้ดูแลระบบสามารถตรวจสอบเหตุการณ์ที่เกิดขึ้นและสนับสนุนกระบวนการตรวจสอบภายในขององค์กร

การตรวจสอบย้อนหลังมีวัตถุประสงค์เพื่อส่งเสริมความโปร่งใส ความถูกต้องของข้อมูล และการควบคุมการเข้าถึงระบบอย่างเหมาะสม

01 — User Login Monitoring (การตรวจสอบการเข้าสู่ระบบ)

EasyTax มีโครงสร้างบันทึกเหตุการณ์การเข้าสู่ระบบผ่าน Local Login โดยรองรับข้อมูล เช่น

LOGIN_SUCCESS — เข้าสู่ระบบสำเร็จ
LOGIN_FAILED — เข้าสู่ระบบไม่สำเร็จ
LOGOUT — ออกจากระบบ
ACCOUNT_LOCKED — บัญชีถูกระงับการเข้าสู่ระบบชั่วคราว

ข้อมูลเหตุการณ์ช่วยสนับสนุนการตรวจสอบประวัติการเข้าใช้งานและการวิเคราะห์ความผิดปกติของบัญชีผู้ใช้

02 — Session Activity Monitoring (การติดตามสถานะการใช้งาน)

ระบบมีโครงสร้างจัดเก็บข้อมูล Session ของผู้ใช้งาน เช่น

User ID / User Email
Session ID
Login Date & Time
Last Active Date & Time
Session Expiration
Logout Date & Time
Session Status

ข้อมูลเหล่านี้ช่วยให้ผู้ดูแลระบบตรวจสอบสถานะและช่วงเวลาการเข้าใช้งานของผู้ใช้แต่ละรายได้ตามข้อมูลที่ระบบบันทึกไว้

03 — Transaction Traceability (การตรวจสอบรายการภาษี)

EasyTax มีการจัดการรายการภาษีหัก ณ ที่จ่ายผ่านกระบวนการที่กำหนด โดยมีข้อมูลอ้างอิง เช่น

เลขที่รายการและเลขที่เอกสาร
บริษัทผู้จ่ายเงินและผู้รับเงิน
วันที่ออกใบรับรอง
ประเภทภาษีและจำนวนเงิน
สถานะรายการ Draft / Completed / Cancelled
ข้อมูลอ้างอิงจากการนำเข้า CSV / TXT ตามที่ระบบจัดเก็บ

ข้อมูลดังกล่าวช่วยให้สามารถค้นหาและตรวจสอบรายการภาษี รวมถึงติดตามความสัมพันธ์ระหว่างรายการและเอกสารที่เกี่ยวข้อง

04 — Document Number Control (การควบคุมเลขที่เอกสาร)

EasyTax ใช้โครงสร้างจัดการเลขที่เอกสารส่วนกลางผ่านระบบ Document Sequence เพื่อสนับสนุนการออกเลขที่อย่างเป็นระบบ

การตรวจสอบประกอบด้วย

ประเภทและลำดับเลขที่เอกสาร
ปีและเดือนที่เกี่ยวข้อง
รายการอ้างอิง
สถานะเลขที่เอกสาร เช่น ACTIVE / CANCELLED / VOID

โครงสร้างนี้ช่วยสนับสนุนการตรวจสอบเลขที่เอกสารและลดความเสี่ยงจากการออกเลขที่ซ้ำหรือการจัดการเลขที่ไม่สอดคล้องกัน

05 — Report Generation Monitoring (การติดตามการจัดทำรายงาน)

EasyTax มีระบบ Report Request สำหรับควบคุมและติดตามการจัดทำรายงานภาษี

ข้อมูลที่เกี่ยวข้อง เช่น

ประเภทและช่วงเวลาของรายงาน
บริษัทที่ร้องขอรายงาน
วันและเวลาที่ร้องขอ
สถานะการประมวลผล
วันและเวลาที่สร้างรายงาน
จำนวนรายการที่ประมวลผล
ไฟล์รายงานที่สร้างขึ้น

ข้อมูลเหล่านี้ช่วยตรวจสอบความคืบหน้าและผลการสร้างรายงาน รวมถึงสนับสนุนการวิเคราะห์ข้อผิดพลาดในการประมวลผล

06 — CSV / TXT Import Monitoring (การตรวจสอบการนำเข้าข้อมูล)

EasyTax มีโครงสร้าง Import Batch เพื่อควบคุมและตรวจสอบข้อมูลที่นำเข้าจากไฟล์ภายนอก

การตรวจสอบครอบคลุม

Batch ID / Batch Number
ชื่อไฟล์ต้นทาง
วันและเวลาที่นำเข้า
จำนวนรายการทั้งหมด
จำนวนรายการที่ผ่านการตรวจสอบ
รายการที่มีข้อผิดพลาดหรือคำเตือน
สถานะของ Batch

ข้อมูลดังกล่าวช่วยสนับสนุนการตรวจสอบความครบถ้วนและความถูกต้องของข้อมูลก่อนนำเข้าสู่รายการภาษี

07 — System Logs & Error Monitoring (การติดตามข้อผิดพลาดของระบบ)

EasyTax ใช้ Google AppSheet และ Google Apps Script เป็นองค์ประกอบสำคัญในการทำงาน

ผู้ดูแลระบบสามารถใช้เครื่องมือตรวจสอบของแพลตฟอร์มตามสิทธิ์และความสามารถที่มีให้ เช่น

AppSheet Automation Monitor
AppSheet Audit History ตามแพ็กเกจและสิทธิ์ที่รองรับ
Google Apps Script Executions
Execution Logs และข้อความข้อผิดพลาด
Google Workspace Audit Logs ตามบริการและสิทธิ์ที่องค์กรมี

การตรวจสอบช่วยวิเคราะห์ปัญหาการทำงานของ Automation การสร้างเอกสาร และการประมวลผลข้อมูล

08 — Audit Evidence & Compliance (หลักฐานสนับสนุนการตรวจสอบ)

ข้อมูลและประวัติการทำงานที่ระบบจัดเก็บสามารถใช้ประกอบกระบวนการตรวจสอบ เช่น

Internal Audit
IT General Controls (ITGC)
การตรวจสอบรายการภาษีและเอกสารทางบัญชี
การทบทวนสิทธิ์การเข้าถึงข้อมูล
การตรวจสอบเหตุการณ์ด้านความปลอดภัย
การสนับสนุนการปฏิบัติตาม PDPA

ทั้งนี้ การนำข้อมูลไปใช้เป็นหลักฐานต้องพิจารณาความครบถ้วน ความน่าเชื่อถือ ระยะเวลาการจัดเก็บ และสิทธิ์ในการเข้าถึงข้อมูลดังกล่าว

09 — Monitoring & Incident Response (การติดตามและตอบสนองเหตุการณ์ผิดปกติ)

เมื่อพบเหตุการณ์ผิดปกติ เช่น การเข้าสู่ระบบล้มเหลวหลายครั้ง การเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต หรือการประมวลผลรายงานผิดพลาด ควรดำเนินการดังนี้

ตรวจสอบรายละเอียดเหตุการณ์และช่วงเวลาที่เกิดขึ้น
ตรวจสอบบัญชีผู้ใช้งานและข้อมูลอ้างอิงที่เกี่ยวข้อง
ประเมินผลกระทบต่อข้อมูลและการดำเนินงาน
ดำเนินการแก้ไขหรือจำกัดความเสี่ยงตามสิทธิ์ที่ได้รับ
บันทึกผลการตรวจสอบและแนวทางป้องกันการเกิดซ้ำ
แจ้งผู้รับผิดชอบด้าน IT Security หรือ PDPA เมื่อเกี่ยวข้องกับข้อมูลส่วนบุคคล

ข้อควรทราบ

ข้อมูล Audit และ Monitoring มีวัตถุประสงค์เพื่อสนับสนุนการรักษาความปลอดภัยและการตรวจสอบการใช้งาน ไม่ควรใช้เกินขอบเขตวัตถุประสงค์ที่กำหนด

การมีข้อมูลสถานะรายการหรือเวลาประมวลผล ไม่ได้หมายความว่าระบบสามารถบันทึกการเปลี่ยนแปลงทุกฟิลด์หรือทุกการกระทำของผู้ใช้งานได้โดยอัตโนมัติ

การตรวจสอบและการเข้าถึง Log ควรจำกัดเฉพาะผู้ดูแลระบบหรือผู้ได้รับมอบหมายตามนโยบายขององค์กร

08. 🔒 Security Best Practices

แนวทางปฏิบัติเพื่อความปลอดภัยในการใช้งาน EasyTax

EasyTax ให้ความสำคัญกับการรักษาความปลอดภัยของข้อมูลภาษี ข้อมูลบริษัท และข้อมูลส่วนบุคคล โดยใช้กระบวนการยืนยันตัวตน การกำหนดสิทธิ์การเข้าถึง และการจัดการ Session เพื่อสนับสนุนการใช้งานอย่างปลอดภัย

ผู้ใช้งานและผู้ดูแลระบบควรปฏิบัติตามแนวทางต่อไปนี้ เพื่อลดความเสี่ยงจากการเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต การเปิดเผยข้อมูล และข้อผิดพลาดในการดำเนินงาน

01 — Account & Password Security (ความปลอดภัยของบัญชีผู้ใช้งาน)

ใช้บัญชี Google หรือ Microsoft ที่ได้รับอนุญาตจากองค์กรในการเข้าสู่ระบบ
ไม่เปิดเผยหรือใช้บัญชีผู้ใช้งานร่วมกับบุคคลอื่น
กำหนดรหัสผ่าน EasyTax Local Login ที่คาดเดาได้ยากและไม่ซ้ำกับระบบอื่น
เปิดใช้งาน Multi-Factor Authentication (MFA) สำหรับบัญชี Google หรือ Microsoft ตามนโยบายองค์กร
ไม่บันทึกรหัสผ่านไว้ในเอกสารหรือพื้นที่ที่บุคคลอื่นสามารถเข้าถึงได้
แจ้งผู้ดูแลระบบทันทีเมื่อสงสัยว่าบัญชีถูกเข้าถึงโดยไม่ได้รับอนุญาต

02 — Secure Sign in / Sign out (การเข้าสู่ระบบและออกจากระบบอย่างปลอดภัย)

ตรวจสอบว่าเข้าสู่ระบบผ่านช่องทาง EasyTax ที่องค์กรกำหนด
ไม่เข้าสู่ระบบผ่านลิงก์ที่ไม่น่าเชื่อถือ
ใช้บัญชี Local Login ของตนเองเท่านั้น
กด Logout ทุกครั้งเมื่อสิ้นสุดการใช้งาน
ไม่ปล่อยหน้าจอที่แสดงข้อมูลภาษีหรือข้อมูลส่วนบุคคลทิ้งไว้โดยไม่มีผู้ดูแล
เมื่อใช้คอมพิวเตอร์ร่วมกับผู้อื่น ควรออกจาก EasyTax และบัญชีผู้ให้บริการยืนยันตัวตนตามความเหมาะสม

ข้อควรทราบ: การ Logout จาก EasyTax Local Login ไม่ได้หมายความว่าได้ออกจากบัญชี Google หรือ Microsoft โดยอัตโนมัติ

03 — Access Rights & Least Privilege (การกำหนดสิทธิ์เท่าที่จำเป็น)

การเข้าถึงข้อมูลและฟังก์ชันของ EasyTax ควรเป็นไปตามหลัก Least Privilege คือให้สิทธิ์เฉพาะเท่าที่จำเป็นต่อการปฏิบัติงาน

แนวทางที่แนะนำ ได้แก่

กำหนดสิทธิ์ตามหน้าที่และความรับผิดชอบ
จำกัดสิทธิ์การจัดการผู้ใช้งานและตั้งค่าระบบเฉพาะผู้ได้รับมอบหมาย
จำกัดการส่งออกข้อมูลและการอนุมัติรายการตามความจำเป็น
ทบทวนสิทธิ์เมื่อมีการเปลี่ยนตำแหน่งหรือหน้าที่
ระงับสิทธิ์เมื่อพนักงานพ้นสภาพหรือไม่มีความจำเป็นต้องใช้งาน
หลีกเลี่ยงการใช้บัญชี Administrator ในการปฏิบัติงานทั่วไป

04 — Data Handling & Confidentiality (การจัดการข้อมูลอย่างปลอดภัย)

EasyTax มีข้อมูลทางภาษีและข้อมูลส่วนบุคคลที่ต้องได้รับการดูแลอย่างเหมาะสม เช่น ชื่อผู้รับเงิน เลขประจำตัวผู้เสียภาษี ที่อยู่ และจำนวนเงิน

ผู้ใช้งานควรปฏิบัติดังนี้

ใช้ข้อมูลเฉพาะเพื่อวัตถุประสงค์ทางธุรกิจที่ได้รับอนุญาต
ตรวจสอบความถูกต้องของข้อมูลก่อนบันทึกหรือออกเอกสาร
ไม่เปิดเผยข้อมูลภาษีให้บุคคลที่ไม่มีสิทธิ์
ไม่ส่งไฟล์รายงานหรือใบรับรองผ่านช่องทางที่ไม่ได้รับอนุญาต
หลีกเลี่ยงการจัดเก็บไฟล์ที่มีข้อมูลส่วนบุคคลไว้ในอุปกรณ์ส่วนตัว
ลบหรือจัดการไฟล์ที่ดาวน์โหลดตามนโยบายการเก็บรักษาข้อมูลขององค์กร

05 — CSV / TXT Import Security (ความปลอดภัยในการนำเข้าข้อมูล)

ใช้ไฟล์นำเข้าจากแหล่งข้อมูลที่เชื่อถือได้
ตรวจสอบรูปแบบและความครบถ้วนของข้อมูลก่อน Import
ตรวจสอบรายการ ERROR และ WARNING ก่อนยืนยันการนำเข้า
ระวังการนำเข้าข้อมูลซ้ำหรือข้อมูลผิดบริษัท
ไม่แก้ไขข้อมูลภาษีเพื่อหลีกเลี่ยงกระบวนการตรวจสอบ
จำกัดการเข้าถึงไฟล์ต้นทางและไฟล์ผลลัพธ์เฉพาะผู้เกี่ยวข้อง

06 — Document & Report Security (ความปลอดภัยของเอกสารและรายงาน)

ตรวจสอบบริษัท ผู้รับเงิน และช่วงเวลารายงานก่อนสร้างเอกสาร
ตรวจสอบความถูกต้องของใบรับรอง 50 ทวิก่อนนำไปใช้งาน
ดาวน์โหลดหรือส่งออกรายงานเฉพาะที่ได้รับอนุญาต
ไม่เผยแพร่ลิงก์เอกสารให้บุคคลภายนอกโดยไม่มีการอนุมัติ
ตรวจสอบผู้รับเอกสารก่อนส่งทางอีเมล
จัดเก็บและทำลายเอกสารตามระยะเวลาที่องค์กรกำหนดและกฎหมายที่เกี่ยวข้อง

07 — Device & Network Security (ความปลอดภัยของอุปกรณ์และเครือข่าย)

ใช้อุปกรณ์ที่ได้รับอนุญาตและมีการอัปเดตระบบอย่างเหมาะสม
เปิดใช้งานการล็อกหน้าจอเมื่อไม่ใช้งาน
หลีกเลี่ยงการใช้งานผ่านเครือข่ายสาธารณะที่ไม่น่าเชื่อถือ
ไม่ติดตั้งส่วนขยายเบราว์เซอร์หรือซอฟต์แวร์ที่ไม่น่าเชื่อถือ
ไม่เปิดเผยข้อมูลสำคัญผ่านการแชร์หน้าจอโดยไม่จำเป็น
แจ้งฝ่าย IT เมื่อพบอุปกรณ์สูญหายหรือต้องสงสัยว่าถูกโจมตี

08 — Administrator Security Practices (แนวทางสำหรับผู้ดูแลระบบ)

ผู้ดูแลระบบ EasyTax ควรมีมาตรการควบคุมเพิ่มเติม เช่น

ทบทวนบัญชีผู้ใช้และสิทธิ์การเข้าถึงเป็นระยะ
ตรวจสอบประวัติ Login และเหตุการณ์ผิดปกติตามข้อมูลที่ระบบบันทึก
ควบคุมสิทธิ์เข้าถึง AppSheet, Google Sheets, Google Drive และ Apps Script
จำกัดสิทธิ์แก้ไข Script และการตั้งค่าระบบเฉพาะผู้รับผิดชอบ
ดูแลการจัดเก็บ Script Properties และข้อมูลการเชื่อมต่ออย่างปลอดภัย
จัดให้มีการสำรองข้อมูลและทดสอบการกู้คืนตามแผนขององค์กร
ทดสอบการเปลี่ยนแปลงระบบก่อนนำขึ้นใช้งานจริง
ตรวจสอบการตั้งค่าการแชร์ข้อมูลและไฟล์อย่างสม่ำเสมอ

09 — Security Incident Reporting (การแจ้งเหตุการณ์ด้านความปลอดภัย)

เมื่อพบเหตุการณ์ผิดปกติ เช่น

ไม่สามารถเข้าสู่ระบบได้จากการพยายาม Login ที่ไม่ทราบสาเหตุ
พบการเข้าถึงข้อมูลโดยบุคคลที่ไม่ได้รับอนุญาต
พบข้อมูลภาษีหรือเอกสารรั่วไหล
ส่งรายงานหรือใบรับรองให้ผู้รับผิดราย
อุปกรณ์ที่ใช้เข้าถึง EasyTax สูญหาย
พบลิงก์หรือข้อความหลอกลวงให้เปิดเผยรหัสผ่าน

ผู้ใช้งานควรแจ้งผู้ดูแลระบบหรือผู้รับผิดชอบด้านความปลอดภัยขององค์กรโดยเร็ว พร้อมรายละเอียดเหตุการณ์และช่วงเวลาที่พบ เพื่อให้สามารถประเมินความเสี่ยงและดำเนินการแก้ไขได้อย่างเหมาะสม

10 — PDPA Awareness & User Responsibility (ความรับผิดชอบต่อข้อมูลส่วนบุคคล)

ผู้ใช้งาน EasyTax ทุกคนมีหน้าที่ร่วมกันในการดูแลข้อมูลส่วนบุคคลตามนโยบายองค์กรและกฎหมาย PDPA

แนวทางสำคัญ ได้แก่

เข้าถึงข้อมูลเท่าที่จำเป็น
ใช้ข้อมูลตามวัตถุประสงค์ที่ได้รับอนุญาต
ไม่เปิดเผยข้อมูลให้บุคคลที่ไม่มีสิทธิ์
ปฏิบัติตามนโยบายการเก็บรักษาและทำลายข้อมูล
แจ้งเหตุการณ์ที่อาจกระทบต่อความปลอดภัยของข้อมูลส่วนบุคคล

Security Reminder — ข้อควรจำ

ความปลอดภัยของ EasyTax ไม่ได้ขึ้นอยู่กับระบบเทคโนโลยีเพียงอย่างเดียว แต่ต้องอาศัยการปฏิบัติตามมาตรการความปลอดภัยของผู้ใช้งานและผู้ดูแลระบบร่วมกัน

Protect Your Account • Protect Your Data • Protect Your Organization

การปกป้องบัญชีผู้ใช้และข้อมูลภาษี เป็นความรับผิดชอบร่วมกันของทุกคน

Page updated

Report abuse