Audit log

Audit log คือบันทึกที่ระบบเขียนขึ้นเองอัตโนมัติทุกครั้งที่มีคนทำอะไรกับระบบ บันทึกหนึ่งรายการตอบคำถามพื้นฐานสี่ข้อ คือใครเป็นคนทำ ทำอะไร ทำกับข้อมูลหรือทรัพยากรชิ้นไหน และทำตอนกี่โมง สิ่งที่ทำให้มันต่างจากประวัติการใช้งานที่ผู้ใช้เห็นในหน้าจอตัวเองคือปลายทางของบันทึก ประวัติแชทมีไว้ให้เจ้าของบัญชีย้อนดูงานเก่าและลบทิ้งได้เมื่อไม่อยากเก็บ ส่วน audit log มีไว้ให้ฝ่ายความมั่นคงปลอดภัย ฝ่ายตรวจสอบภายใน และทีมกฎหมายอ่านย้อนหลัง พนักงานเข้าไปแก้หรือลบรายการในนั้นไม่ได้ และในหลายระบบการที่พนักงานกดลบบทสนทนาของตัวเองก็ถูกบันทึกเป็นอีกหนึ่งเหตุการณ์ในนั้นอยู่ดี เอกสารของ Claude Enterprise ระบุว่าการสร้าง เปลี่ยนชื่อ และลบ conversation อยู่ในรายการเหตุการณ์ที่ระบบเก็บไว้

พอองค์กรเปิดให้พนักงานใช้ AI ทั้งบริษัท audit log ก็เริ่มบันทึกมากกว่าแค่การเข้าสู่ระบบ เอกสารของ microsoft-purview อธิบายว่าเมื่อพนักงานคุยกับ microsoft-copilot ระบบจะเขียน audit record ที่มี Operation ชื่อ CopilotInteraction ซึ่งข้างในมี field ชื่อ AccessedResources ที่ไล่รายชื่อไฟล์ เอกสาร หรืออีเมลทุกชิ้นที่ Copilot ไปอ่านมาเพื่อตอบคำถามนั้น พร้อม SensitivityLabelId ของแต่ละชิ้น มี field AppHost ที่บอกว่าการคุยเกิดขึ้นในแอปไหน เช่น Word, Teams หรือ BizChat ที่หมายถึงหน้าแชทของ Microsoft 365 Copilot และในทรัพยากรแต่ละชิ้นที่ Copilot เปิดอ่านยังมีค่า XPIADetected ที่เป็นจริงหรือเท็จว่าตรวจพบความพยายามฝัง prompt-injection มาจากทรัพยากรชิ้นนั้นหรือไม่ ในทางกลับกัน field Messages ที่เอกสารระบุไว้มีแค่รหัสของข้อความ ธงบอกว่าเป็น prompt หรือคำตอบ ธง JailbreakDetected ที่บอกว่ามีความพยายาม jailbreak ผ่าน prompt นั้นหรือไม่ และ Size ที่เอกสารบอกว่ายังไม่ได้ใช้งาน โดยไม่ได้ระบุว่าเก็บตัวข้อความเต็มไว้ในบันทึก เวลาไปคุยกับฝ่ายกฎหมายจึงต้องแยกให้ออกว่ากำลังถามหา "ร่องรอยการเข้าถึง" หรือ "เนื้อความจริง" เพราะสองอย่างนี้อยู่คนละที่กัน

เรื่องที่พลาดกันบ่อยที่สุดคือระยะเวลาเก็บ ห้ามสรุปว่าเก็บตลอดไป เอกสาร Purview ระบุว่า Audit (Standard) เก็บบันทึก 180 วัน ซึ่งเปลี่ยนมาจากเดิม 90 วัน โดยบันทึกที่เกิดก่อนวันที่ 17 ตุลาคม 2023 ยังใช้กติกา 90 วันเหมือนเดิม ส่วน Audit (Premium) มี default retention policy ที่แก้ไม่ได้ ซึ่งเก็บบันทึกของสี่ workload คือ AzureActiveDirectory, Exchange, OneDrive และ SharePoint ไว้หนึ่งปี แต่เอกสารกำกับไว้ชัดว่านโยบายหนึ่งปีนี้ใช้กับผู้ใช้ที่ถือ license Office 365 E5 หรือ Microsoft 365 E5 หรือ Microsoft Purview Suite หรือ add-on E5 eDiscovery and Audit เท่านั้น ผู้ใช้ที่ไม่ใช่ E5 และผู้ใช้ที่เป็น guest ยังได้ 180 วันตามเดิม ส่วนการเก็บ 10 ปีต้องซื้อ 10-Year Audit Log Retention add-on แยกต่างหากรายคน และเอกสารเตือนว่านโยบายนี้ไม่มีผลย้อนหลัง คือเก็บได้เฉพาะบันทึกที่เกิดหลังจากสร้างนโยบายแล้วเท่านั้น

เหตุผลแรกคือตอบผู้กำกับดูแล กฎหมายคุ้มครองข้อมูลส่วนบุคคลกำหนดให้ต้องรายงานเหตุละเมิดภายในกรอบเวลาที่แคบมาก gdpr มาตรา 33 กำหนดว่าผู้ควบคุมข้อมูลต้องแจ้งหน่วยงานกำกับโดยไม่ชักช้า และเท่าที่ทำได้ต้องไม่เกิน 72 ชั่วโมงนับจากรู้เรื่อง เว้นแต่เหตุนั้นไม่น่าจะก่อความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล และถ้าแจ้งช้ากว่า 72 ชั่วโมงต้องชี้แจงเหตุผลที่ล่าช้าไปด้วย โดยในคำแจ้งต้องอธิบายลักษณะของเหตุ ประเภทและจำนวนโดยประมาณของเจ้าของข้อมูลและของรายการข้อมูลส่วนบุคคลที่ได้รับผลกระทบเท่าที่ระบุได้ ผลที่น่าจะตามมา และมาตรการที่ดำเนินการไปแล้วหรือที่เสนอจะดำเนินการ นอกจากนี้ยังกำหนดให้ผู้ควบคุมข้อมูลต้องจัดทำเอกสารบันทึกข้อเท็จจริงของเหตุ ผลกระทบ และการแก้ไข เพื่อให้หน่วยงานกำกับตรวจสอบได้ องค์กรไทยที่อยู่ใต้ pdpa ก็เจอโจทย์รูปแบบเดียวกัน ถ้าไม่มี audit log ทีมงานจะไม่มีทางตอบได้ทันเวลาว่าใครเปิดไฟล์ไหน ตอนกี่โมง ผ่านเครื่องมืออะไร

เหตุผลที่สองคือใช้ตอนสอบสวนจริง เวลาเกิดเหตุข้อมูลหลุด คำถามแรกไม่ใช่ว่า AI ตอบว่าอะไร แต่เป็นว่า AI ไปดึงอะไรมาให้ใครดูบ้าง field AccessedResources และ SensitivityLabelId ที่อยู่ในนั้นคือของที่ตอบคำถามนี้ได้ตรงที่สุด เพราะมันบอกว่าผู้ช่วยไปอ่านไฟล์ที่ติดป้ายชั้นความลับระดับไหนมาแสดงให้พนักงานคนไหนดู ซึ่งเป็นวิธีจับปัญหา oversharing ที่เกิดจากสิทธิ์เข้าถึงที่ตั้งไว้กว้างเกินไปตั้งแต่ก่อนมี AI

ข้อจำกัดที่ต้องรู้ไว้ก่อนคือ audit log เห็นเฉพาะเครื่องมือที่องค์กรควบคุมอยู่ AI ที่พนักงานเปิดใช้เองด้วยบัญชีส่วนตัวหรือที่เรียกว่า shadow-ai ไม่ปรากฏในบันทึกนี้โดยอัตโนมัติ Purview เองก็แยกกรณีนี้ออกมาต่างหาก โดยระบุว่าบันทึกการใช้งาน AI ของเจ้าอื่นที่ไม่ใช่ของ Microsoft ซึ่งอยู่ใต้ recordType ชื่อ AIAppInteraction หรือ workload ชื่อ AIApp ไม่รวมอยู่ใน subscription ระดับองค์กร แต่คิดเงินแบบ pay as you go ตามจำนวน record ที่ระบบรับเข้ามา และต้องเปิดฟีเจอร์แบบคิดเงินตามการใช้ก่อนบันทึกพวกนี้ถึงจะเริ่มทำงาน ตัวเลขค่าใช้จ่ายจึงเป็นสิ่งที่ต้องถามฝ่ายจัดซื้อตั้งแต่ตอนวางแผน ไม่ใช่ตอนเกิดเหตุแล้ว

ในทางปฏิบัติ วิธีที่ปลอดภัยที่สุดคือเปิดเอกสารของผู้ให้บริการที่องค์กรใช้จริงแล้วจดตัวเลขไว้เอง เพราะกติกาไม่เหมือนกันแต่ละเจ้าและแต่ละแพ็กเกจ ตัวอย่างเช่นฝั่ง Claude Enterprise เอกสารของ Anthropic ระบุว่าคนที่กดสั่ง export ได้คือ Organization Owner และ Primary Owner ระบบจะรวบรวมบันทึกย้อนหลัง 180 วันแล้วส่งลิงก์ดาวน์โหลดไปทางอีเมล และหน้าเอกสารไล่ประเภทเหตุการณ์ที่เก็บไว้ 35 ชนิด ครอบคลุมการเข้าสู่ระบบผ่าน SSO การเชิญและลบผู้ใช้ การสร้าง เปลี่ยนชื่อ และลบ project การอัปโหลดไฟล์ และการสั่ง export ข้อมูลเอง องค์กรที่ใช้ chatgpt-enterprise หรือแพลตฟอร์มระดับองค์กรเจ้าอื่นควรไล่เช็คแบบเดียวกันว่าแพ็กเกจที่ซื้อจริงเก็บอะไรไว้กี่วัน ก่อนจะไปรับปากกับผู้ตรวจว่าย้อนดูได้

ตัวอย่างจากบทสนทนาจริง

ฝ่ายตรวจสอบภายใน: "ผู้สอบบัญชีขอหลักฐานว่าเดือนมีนาคมที่ผ่านมา มีใครใช้ AI เปิดดูไฟล์เงินเดือนบ้าง เอาให้ได้ภายในสัปดาห์นี้"

ไอที: "ดึงได้ครับ record การคุยกับ Copilot มี field ที่ไล่ไฟล์ที่มันไปอ่านมาตอบพร้อมป้ายชั้นความลับของไฟล์ แต่ขอเช็คก่อนว่า tenant เราตั้ง retention policy ไว้กี่วัน เพราะค่าเริ่มต้นของกิจกรรมที่ไม่ใช่ Exchange, SharePoint, OneDrive และ Entra คือ 180 วัน ถ้าไม่ได้ตั้งเพิ่มไว้ บางเดือนอาจหลุดกรอบไปแล้ว"

ฝ่ายตรวจสอบภายใน: "แล้วที่พนักงานบอกว่าลบแชททิ้งไปแล้ว จะยังตามได้ไหม"

ไอที: "ตัวข้อความที่เขาลบเป็นอีกเรื่อง แต่ร่องรอยว่าใครเข้าถึงอะไรตอนไหนอยู่คนละที่กับหน้าจอของผู้ใช้ เขาลบฝั่งนั้นไม่ได้ครับ"

ระวังสับสนกับ

• observability : observability คือการเฝ้าดูว่าระบบตอนนี้ทำงานปกติไหม ช้าตรงไหน พังตรงไหน เป้าหมายคือแก้ปัญหาให้ทันเวลา ส่วน audit log มีไว้พิสูจน์ย้อนหลังว่าใครทำอะไร เป้าหมายคือความรับผิดชอบและหลักฐาน ทีมที่ดูก็คนละทีมกัน
• dlp : DLP ทำงานตอนที่เหตุกำลังจะเกิด คือสกัดไม่ให้ข้อมูลอ่อนไหวไหลออกไปตั้งแต่แรก ส่วน audit log ไม่ห้ามอะไรทั้งนั้น มันแค่จดไว้ว่าเกิดอะไรขึ้น ทั้งสองอย่างต้องมีคู่กัน เพราะ DLP อย่างเดียวตอบไม่ได้ว่าเมื่อวานเกิดอะไร และ audit log อย่างเดียวก็หยุดอะไรไม่ได้