ความปลอดภัยและการปฏิบัติตามกฎหมาย

อัปเดต 2026-09-21 · ผู้ดูแล ทีม Puccha · security pdpa compliance audit iso27001

Puccha ออกแบบมาเพื่อองค์กรไทยที่อยู่ใต้การกำกับ — PDPA, ธปท. (BOT), ก.ล.ต. (SEC), คปภ. (OIC) — โดยยึดหลัก audit-ready by design ทุกฟีเจอร์แม็ปกับ control ด้านกฎหมายที่ระบุชื่อได้

มาตรการที่ใช้งานอยู่จริง

• การแยกข้อมูลระหว่างองค์กร — ทุก query ถูก scope ด้วย tenant_id ข้อมูลไม่รั่วข้ามองค์กร
• PDPA: ไม่เก็บข้อความคำถามดิบใน log — เก็บเป็น hash ระยะเวลาเก็บบทสนทนาตั้งค่าได้ตามแผน
• สิทธิ์เจ้าของข้อมูล (PDPA §33) — มี API สำหรับ export และลบข้อมูล ทั้งระดับองค์กรและระดับผู้เยี่ยมชม
• บันทึก audit การเข้าถึงของผู้ดูแล — และเจ้าของข้อมูลมองเห็นได้
• API key ถูก hash (SHA-256) ไม่เก็บเป็น plaintext
• ป้องกัน prompt injection — ตรวจกรองอินพุต ปฏิเสธรูปแบบโจมตี ไม่เปิดเผย system prompt และทำเครื่องหมายเนื้อหาอ้างอิงว่าไม่น่าเชื่อถือโดยปริยาย
• ตรวจสอบการอ้างอิงฝั่งเซิร์ฟเวอร์ — ทุกการอ้างอิงถูกตรวจกับชุดเนื้อหาที่ดึงมาจริง
• MFA สำหรับเจ้าหน้าที่ — TOTP + recovery code และยืนยันซ้ำเมื่อทำงานที่มีผลกระทบสูง
• การจำกัดอัตราแบบหลายชั้น — ที่ edge, ต่อ session, โควตาต่อองค์กร และเพดานค่าใช้จ่ายที่ AI gateway

ยังอยู่ระหว่างดำเนินการ

• ISO 27001 — อยู่ระหว่างเตรียมความพร้อมและตรวจรับรอง เอกสาร Statement of Applicability ขอได้ภายใต้ NDA
• SOC 2 Type II — เริ่ม observation window แล้ว
• ที่ตั้งข้อมูล (data residency) — ตัวเลือกกำหนด region ของการประมวลผล (แผน Enterprise)
• เอกสารส่งมอบด้าน compliance (DPA + SCC + การปรึกษา DPO) สำหรับลูกค้าองค์กร

ยังไม่ได้รับการรับรอง ใบรับรอง ISO 27001 และ SOC 2 อยู่ระหว่างดำเนินการ ไม่ใช่ได้รับแล้ว สถานะล่าสุดเผยแพร่ที่ trust center

DPA และการส่งข้อมูลข้ามพรมแดน

สำหรับการส่งข้อมูลข้ามพรมแดน (PDPA §28/29) Puccha จัดเตรียม Appropriate Safeguards แบบ SCC ที่มี Thai overlay รวมถึงการแจ้งเหตุละเมิดภายใน 72 ชั่วโมง สำหรับการไหลของข้อมูลไปยังผู้ประมวลผล AI

คำถามที่พบบ่อย

มาตรการความปลอดภัยที่ใช้งานอยู่จริงตอนนี้มีอะไรบ้าง มาตรการที่ใช้งานอยู่ตอนนี้ ได้แก่ การแยกข้อมูลระหว่างองค์กรเพื่อไม่ให้ข้อมูลรั่วข้ามองค์กร · log เก็บเป็น hash ไม่เก็บข้อความคำถามดิบ · API สำหรับ export และลบข้อมูลตามสิทธิ์เจ้าของข้อมูล (PDPA §33) ทั้งระดับองค์กรและระดับผู้เยี่ยมชม · บันทึก audit การเข้าถึงของผู้ดูแลที่เจ้าของข้อมูลมองเห็นได้ · API key ถูก hash ด้วย SHA-256 · การป้องกัน prompt injection · การตรวจสอบการอ้างอิงทุกครั้งฝั่งเซิร์ฟเวอร์กับเนื้อหาที่ดึงมาจริง · MFA สำหรับเจ้าหน้าที่ · และการจำกัดอัตราแบบหลายชั้น ส่วน ISO 27001 และ SOC 2 ยังอยู่ระหว่างดำเนินการ ยังไม่ได้รับการรับรอง ดูหัวข้อ “ยังอยู่ระหว่างดำเนินการ” ด้านบน