សិទ្ធិរបស់ជនរងគ្រោះនៃការវាយប្រហារតាមអ៊ីនធឺណិត៖ កាតព្វកិច្ចជូនដំណឹង សំណង និងការធានារ៉ាប់រង

ដោយលោក Tom Meevis មេធាវីនៅ Law & More

ការវាយប្រហារតាមអ៊ីនធឺណិតដូចជា ransomware, phishing, DDoS attacks និងការឈ្លានពានកុំព្យូទ័រកម្រនឹងប៉ះពាល់ដល់តែអង្គការដែលរងការវាយប្រហារនោះទេ។ ជនរងគ្រោះនៃការវាយប្រហារតាមអ៊ីនធឺណិតក៏រួមបញ្ចូលទាំងអតិថិជន និយោជិត អ្នកជំងឺ អ្នកផ្គត់ផ្គង់ និងដៃគូខ្សែសង្វាក់ផ្គត់ផ្គង់ផ្សេងទៀតដែលអាចរងការខាតបង់ ហើយជំហរផ្លូវច្បាប់របស់ពួកគេខុសគ្នាពីក្រុមមួយទៅក្រុមមួយ។ ដូច្នេះ អ្នកដែលចង់បង្កើត បន្ទាប់ពីការវាយប្រហារ កាតព្វកិច្ចណាដែលអនុវត្ត និងការទាមទារណាដែលមាន ត្រូវបានណែនាំអោយកំណត់ជាមុនសិនថាអ្នកណាដែលរងផលប៉ះពាល់ និងការខូចខាតអ្វីខ្លះដែលបានកើតឡើង។

អត្ថបទនេះពិភាក្សាជាវេនអំពីអ្នកណាដែលមានលក្ខណៈសម្បត្តិគ្រប់គ្រាន់ជាជនរងគ្រោះ ពេលណាដែលការរំលោភទិន្នន័យត្រូវតែជូនដំណឹង លក្ខខណ្ឌអ្វីខ្លះដែលសិទ្ធិទទួលបានសំណងមាន ភាគីណាខ្លះអាចត្រូវទទួលខុសត្រូវ តួនាទីអ្វីដែលច្បាប់ព្រហ្មទណ្ឌដើរតួ អ្វីដែលគោលនយោបាយធានារ៉ាប់រងតាមអ៊ីនធឺណិតជាធម្មតាគ្របដណ្តប់ និងជំហានណាខ្លះដែលគួរត្រូវបានអនុវត្តភ្លាមៗបន្ទាប់ពីការវាយប្រហារ។

តើអ្នកណាជាជនរងគ្រោះនៃការវាយប្រហារតាមអ៊ីនធឺណិត?

ក្រុមបីអាចត្រូវបានសម្គាល់នៅក្នុងការវាយប្រហារតាមអ៊ីនធឺណិត។

• អង្គការដែលរងផលប៉ះពាល់ខ្លួនឯង ដែលប្រឈមមុខនឹងពេលវេលារងចាំប្រព័ន្ធ ការបាត់បង់ការងារ ការចំណាយលើការស្តារឡើងវិញ ការចំណាយលើការស៊ើបអង្កេតផ្នែកកោសល្យវិច្ច័យ និងការខូចខាតកេរ្តិ៍ឈ្មោះ។
• បុគ្គលធម្មជាតិដែលទិន្នន័យផ្ទាល់ខ្លួនរបស់ពួកគេត្រូវបានលាតត្រដាង ដូចជាអតិថិជន និយោជិត និងអ្នកជំងឺ។ ពួកគេអាចទទួលរងការខាតបង់ផ្នែកហិរញ្ញវត្ថុ ប៉ុន្តែក៏មានការខូចខាតមិនមែនសម្ភារៈផងដែរ តាមរយៈការបាត់បង់ការគ្រប់គ្រងលើទិន្នន័យរបស់ពួកគេ ភាពមិនប្រាកដប្រជា ឬការភ័យខ្លាចនៃការក្លែងបន្លំអត្តសញ្ញាណ។
• ភាគីទីបីដែលរងផលប៉ះពាល់តាមរយៈទំនាក់ទំនងតាមកិច្ចសន្យា ឬខ្សែសង្វាក់ផ្គត់ផ្គង់ ឧទាហរណ៍ដោយសារតែពួកគេពឹងផ្អែកលើអ្នកផ្គត់ផ្គង់ដែលប្រព័ន្ធរបស់ពួកគេបានគាំង។

ចំណាត់ថ្នាក់នេះមានភាពពាក់ព័ន្ធផ្នែកច្បាប់។ មូលដ្ឋាននៃការទាមទារណាមួយ និងភាគីដែលអាចប្តឹងទាមទារបាន អាស្រ័យលើជំហររបស់ជនរងគ្រោះ។ ជាទូទៅ អង្គការដែលរងផលប៉ះពាល់នឹងទទួលខុសត្រូវចំពោះអ្នកផ្គត់ផ្គង់ IT របស់ខ្លួនក្រោមកិច្ចសន្យា ខណៈពេលដែលម្ចាស់ទិន្នន័យអាចពឹងផ្អែកដោយផ្ទាល់លើមូលដ្ឋានឯករាជ្យសម្រាប់ការទទួលខុសត្រូវដែល GDPR ផ្តល់ជូន។

តើពេលណាទើបត្រូវជូនដំណឹងអំពីការបំពានទិន្នន័យ?

ក្នុងករណីដែលទិន្នន័យផ្ទាល់ខ្លួនពាក់ព័ន្ធនឹងការវាយប្រហារតាមអ៊ីនធឺណិត វាត្រូវតែត្រូវបានវាយតម្លៃថាតើមានការរំលោភបំពានទិន្នន័យផ្ទាល់ខ្លួនដែរឬទេ ហើយថាតើការជូនដំណឹងជាកាតព្វកិច្ចឬអត់។ មាត្រា 33 GDPR តម្រូវឱ្យការជូនដំណឹងអំពីការរំលោភបំពានទៅកាន់អាជ្ញាធរត្រួតពិនិត្យដោយគ្មានការពន្យារពេលមិនត្រឹមត្រូវ និងប្រសិនបើអាចធ្វើទៅបាន ក្នុងរយៈពេលចិតសិបពីរម៉ោង លុះត្រាតែការរំលោភបំពាននេះទំនងជាមិនបង្កហានិភ័យដល់សិទ្ធិ និងសេរីភាពរបស់បុគ្គលធម្មជាតិ។

លើសពីនេះ មាត្រា 34 GDPR អាចតម្រូវឱ្យអង្គការជូនដំណឹងដល់ម្ចាស់ទិន្នន័យដោយខ្លួនឯង។ កាតព្វកិច្ចនោះកើតឡើងនៅពេលដែលការរំលោភបំពានទំនងជាបណ្តាលឱ្យមានហានិភ័យខ្ពស់ដល់សិទ្ធិ និងសេរីភាពរបស់ពួកគេ។ ការទំនាក់ទំនងអាចត្រូវបានលុបចោលនៅពេលដែលវិធានការបច្ចេកទេសសមស្របដូចជាការអ៊ិនគ្រីបត្រូវបានអនុវត្ត ដែលវិធានការជាបន្តបន្ទាប់ធានាថាហានិភ័យខ្ពស់នឹងលែងកើតឡើង ឬការទំនាក់ទំនងជាលក្ខណៈបុគ្គលនឹងពាក់ព័ន្ធនឹងការខិតខំប្រឹងប្រែងមិនសមាមាត្រ។ ក្នុងករណីចុងក្រោយនោះ ការទំនាក់ទំនងជាសាធារណៈគឺគ្រប់គ្រាន់ហើយ។

សម្រាប់​ប្រធានបទ​ទិន្នន័យ ការទំនាក់ទំនង​គឺ​មាន​ច្រើន​ជាង​ពិធីការ​ធម្មតា។ វា​អនុញ្ញាត​ឱ្យ​ពួកគេ​ចាត់វិធានការ​ផ្ទាល់ខ្លួន ឧទាហរណ៍ ដោយ​ការ​ផ្លាស់ប្តូរ​ពាក្យសម្ងាត់ ឬ​ការ​តាមដាន​ប្រតិបត្តិការ​គួរ​ឱ្យ​សង្ស័យ ហើយ​ក្នុង​ការអនុវត្ត​វា​ជារឿយៗ​ជា​ចំណុច​ចាប់ផ្តើម​នៃ​ការទាមទារ​សំណង​ណាមួយ។

ដូច្នេះ អង្គការមួយត្រូវតែបញ្ជាក់មិនត្រឹមតែថាការវាយប្រហារមួយបានកើតឡើងនោះទេ ប៉ុន្តែថែមទាំងទិន្នន័យណាដែលរងផលប៉ះពាល់ ថាតើទិន្នន័យពិតជាត្រូវបានលួចចូលឬអត់ និងហានិភ័យអ្វីខ្លះដែលកើតឡើងពីវា។ ការស៊ើបអង្កេតកោសល្យវិច្ច័យឯករាជ្យជារឿយៗគឺមិនអាចខ្វះបានសម្រាប់គោលបំណងនោះ។

នេះអនុវត្តកាន់តែខ្លាំងឡើងនៅពេលដែលការវាយប្រហារកើតឡើងនៅអ្នកដំណើរការជាជាងនៅអង្គការខ្លួនឯង។ នៅក្នុងដំណើរការសង្ខេបរវាង Blauw Research និង Nebu (តុលាការស្រុក Rotterdam ថ្ងៃទី 6 ខែមេសា ឆ្នាំ 2023 ECLI:NL:RBROT:2023:2931) ចៅក្រមសង្គ្រោះបណ្តោះអាសន្នបានសម្រេចថា ក្រោម កិច្ចព្រមព្រៀងដំណើរការទិន្នន័យ ដែលបានបញ្ចប់រវាងភាគីនានា អ្នកត្រួតពិនិត្យមានសិទ្ធិទទួលបានព័ត៌មានបន្ថែមអំពីការវាយប្រហារ ផលវិបាករបស់វា និងវិធានការដែលបានធ្វើឡើងជាងអ្វីដែលត្រូវបានផ្តល់ជូនដំបូង។ អ្នកដំណើរការក៏ត្រូវបានបញ្ជាឱ្យធ្វើការស៊ើបអង្កេតកោសល្យវិច្ច័យឯករាជ្យ និងរាយការណ៍ជាប្រចាំ។ សាលក្រមបង្ហាញថា កិច្ចព្រមព្រៀងដំណើរការទិន្នន័យដែលបានព្រាងយ៉ាងល្អ គឺជាឧបករណ៍សំខាន់បំផុតសម្រាប់ទទួលបានព័ត៌មានទាន់ពេលវេលាបន្ទាប់ពីឧប្បត្តិហេតុមួយ ដោយសារតែអ្នកត្រួតពិនិត្យត្រូវការព័ត៌មាននោះដើម្បីបំពេញកាតព្វកិច្ចជូនដំណឹងរបស់ខ្លួន។

តើសិទ្ធិទទួលបានសំណងកើតឡើងនៅពេលណា?

ម្ចាស់ទិន្នន័យអាចទាមទារសំណងពីអ្នកត្រួតពិនិត្យ ឬអ្នកដំណើរការ ក្រោមមាត្រា 82 GDPR។ ទោះជាយ៉ាងណាក៏ដោយ ការវាយប្រហារតាមអ៊ីនធឺណិតមិនបង្កឱ្យមានការទាមទារដោយស្វ័យប្រវត្តិទេ។ វាត្រូវតែមានភស្តុតាងបញ្ជាក់៖

• ថា GDPR ត្រូវបានរំលោភបំពាន;
• ថាការខូចខាតពិតជាត្រូវបានរងទុក្ខ; និង
• ថាមានទំនាក់ទំនងមូលហេតុរវាងការរំលោភបំពាននោះ និងការខូចខាតនោះ។

ការខូចខាតសម្ភារៈអាចមានការខាតបង់ផ្នែកហិរញ្ញវត្ថុ ថ្លៃដើមស្តារឡើងវិញ ឬការខាតបង់ដែលបណ្តាលមកពីការក្លែងបន្លំអត្តសញ្ញាណ។ ចំពោះការខូចខាតមិនមែនសម្ភារៈ តុលាការយុត្តិធម៌នៃសហភាពអឺរ៉ុបបានសម្រេចនៅក្នុង Österreichische Post (CJEU ថ្ងៃទី 4 ខែឧសភា ឆ្នាំ 2023, C-300/21) ថាមិនមានកម្រិតអប្បបរមានៃភាពធ្ងន់ធ្ងរនោះទេ ប៉ុន្តែការរំលោភលើ GDPR តែមួយមុខមិនគ្រប់គ្រាន់សម្រាប់សេចក្តីសម្រេចនោះទេ។

ពាក់ព័ន្ធជាពិសេសចំពោះការរំលោភទិន្នន័យបន្ទាប់ពីការវាយប្រហារតាមអ៊ីនធឺណិតគឺ Nationals agentsia za prihodite (CJEU ថ្ងៃទី 14 ខែធ្នូ ឆ្នាំ 2023, C-340/21)។ នៅទីនោះ តុលាការបានសម្រេចថា ការភ័យខ្លាចនៃការប្រើប្រាស់ខុសនាពេលអនាគតនៃទិន្នន័យផ្ទាល់ខ្លួនដែលលេចធ្លាយអាចបង្កើតជាការខូចខាតមិនមែនសម្ភារៈ។ ទោះជាយ៉ាងណាក៏ដោយ ម្ចាស់ទិន្នន័យត្រូវតែបញ្ជាក់ពីការភ័យខ្លាចនោះ និងផលវិបាករបស់វាយ៉ាងច្បាស់លាស់។ គ្រាន់តែចង្អុលបង្ហាញការពិតដែលថាទិន្នន័យត្រូវបានលេចធ្លាយគឺមិនគ្រប់គ្រាន់ទេ។ នៅក្នុងសាលក្រមដដែល តុលាការបានបញ្ជាក់ថា វាជារបស់អ្នកគ្រប់គ្រងដើម្បីបញ្ជាក់ថា វិធានការសន្តិសុខដែលបានធ្វើឡើងគឺសមរម្យ ហើយការវាយប្រហារដោយភាគីទីបីមិនលើកលែងអ្នកគ្រប់គ្រងពីការទទួលខុសត្រូវនោះទេ។

ការទទួលខុសត្រូវក្រោម GDPR មានរួមជាមួយនឹងមូលដ្ឋានច្បាប់ស៊ីវិលនៃការរំលោភលើកិច្ចសន្យា និងអំពើល្មើស។ យោងតាមមាត្រា 6:162(1) នៃក្រមរដ្ឋប្បវេណីហូឡង់ ភាគីដែលប្រព្រឹត្តអំពើខុសច្បាប់ដែលអាចសន្មតថាជាមូលហេតុ ត្រូវតែផ្តល់សំណងដល់ការខូចខាតដែលបង្កឡើង។ តម្រូវការទ្រឹស្តីទំនាក់ទំនងនៃមាត្រា 6:163 ត្រូវបានអនុវត្ត៖ បទដ្ឋានដែលត្រូវបានរំលោភបំពានត្រូវតែបម្រើដើម្បីការពារប្រឆាំងនឹងប្រភេទនៃការខូចខាតដែលភាគីរងរបួសបានរងទុក្ខ។

អ្វីដែលសំខាន់នោះគឺ មាត្រា 82 GDPR មានរួមជាមួយនឹងមូលដ្ឋានទាំងនេះ។ ដូច្នេះ ម្ចាស់ទិន្នន័យមិនមានកាតព្វកិច្ចស្វែងរកការទាមទារតែលើការរំលោភលើកិច្ចសន្យា ឬការបំពាននោះទេ ប៉ុន្តែអាចពឹងផ្អែកដោយផ្ទាល់លើមូលដ្ឋានឯករាជ្យសម្រាប់ការទទួលខុសត្រូវដែល GDPR ផ្តល់ជូន។ សម្រាប់អង្គការដែលរងផលប៉ះពាល់ ការរួមបញ្ចូលគ្នានៃមូលដ្ឋានទាំងនេះមានន័យថា ភាគីជាច្រើនអាចដាក់ពាក្យបណ្តឹងក្នុងពេលតែមួយបន្ទាប់ពីការវាយប្រហារ។

តើអ្នកណាអាចទទួលខុសត្រូវ?

អង្គការដែលរងផលប៉ះពាល់អាចត្រូវទទួលខុសត្រូវក្នុងករណីដែលខ្លួនមិនបានអនុវត្តកាតព្វកិច្ចតាមកិច្ចសន្យារបស់ខ្លួន ឬបានចាត់វិធានការសុវត្ថិភាពមិនគ្រប់គ្រាន់។ អ្នកផ្តល់សេវា IT ឬអ្នកដំណើរការក៏អាចត្រូវបានទទួលខុសត្រូវផងដែរ។ អ្វីដែលអាចរំពឹងពីអ្នកផ្តល់សេវានោះត្រូវបានកំណត់ជាមុនសិន និងសំខាន់បំផុតដោយកិច្ចសន្យា។

នៅក្នុងទំនាក់ទំនងដំណើរការទិន្នន័យ កិច្ចព្រមព្រៀងដំណើរការទិន្នន័យដើរតួនាទីយ៉ាងសំខាន់។ មាត្រា 28 GDPR តម្រូវឱ្យអ្នកត្រួតពិនិត្យ និងអ្នកដំណើរការទិន្នន័យបញ្ចប់កិច្ចព្រមព្រៀងបែបនេះ ដោយគ្រប់គ្រងក្នុងចំណោមរបស់ផ្សេងទៀត នូវវិធានការសុវត្ថិភាព និងការដោះស្រាយការលួចទិន្នន័យ។ ក្នុងករណីដែលការវាយប្រហារកើតឡើងដោយសារសុវត្ថិភាពមិនគ្រប់គ្រាន់នៅអ្នកដំណើរការទិន្នន័យ អ្នកត្រួតពិនិត្យអាចធ្វើឱ្យអ្នកដំណើរការទិន្នន័យទទួលខុសត្រូវក្រោមកិច្ចព្រមព្រៀងនោះចំពោះការខាតបង់ដែលកើតឡើង។

នោះលេចចេញយ៉ាងច្បាស់ពីសំណុំរឿងទាក់ទងនឹងការវាយប្រហារតាមអ៊ីនធឺណិតលើក្រុង Hof van Twente (តុលាការស្រុក Overijssel ថ្ងៃទី 10 ខែឧសភា ឆ្នាំ 2023 ECLI:NL:RBOVE:2023:1731)។ ភាគីទាំងពីរបានព្រមព្រៀងគ្នាលើការត្រួតពិនិត្យមុខងារ មិនមែនការត្រួតពិនិត្យសុវត្ថិភាពទេ។ តុលាការបានសម្រេចថា កាតព្វកិច្ចថែទាំរបស់អ្នកគ្រប់គ្រង IT មិនលាតសន្ធឹងដល់កម្រិតដែលការត្រួតពិនិត្យសុវត្ថិភាពបង្កើតបានជាផ្នែកមួយដោយសម្ងាត់នៃកិច្ចការសម្រាប់ការត្រួតពិនិត្យមុខងារនោះទេ ហើយបានច្រានចោលការអះអាងរបស់ក្រុង។ វាក៏បានថ្លឹងថ្លែងផងដែរថា ក្រុងបានធ្វើការសម្រេចចិត្តដែលបង្កើនហានិភ័យ រួមទាំងគោលការណ៍ពាក្យសម្ងាត់របស់ខ្លួន និងការបើកច្រក RDP។

រូបភាពកញ្ចក់គឺជាសំណុំរឿង O'Cliance (តុលាការស្រុក Amsterdam, ថ្ងៃទី 14 ខែវិច្ឆិកា ឆ្នាំ 2018, ECLI:NL:RBAMS:2018:10124)។ នៅទីនោះ អ្នកផ្គត់ផ្គង់បានដំឡើងហេដ្ឋារចនាសម្ព័ន្ធ IT ពេញលេញ ហើយបានទទួលយកការគ្រប់គ្រងរបស់ខ្លួន។ បន្ទាប់ពីការវាយប្រហារ ransomware ដែលការបម្រុងទុកក៏ត្រូវបានអ៊ិនគ្រីបផងដែរ តុលាការបានសម្រេចថា ការផ្គត់ផ្គង់កញ្ចប់សរុបបែបនេះមានកាតព្វកិច្ចថែទាំយ៉ាងទូលំទូលាយ ហើយវិធានការត្រង់ៗត្រូវបានលុបចោល។ ទោះជាយ៉ាងណាក៏ដោយ ការទទួលខុសត្រូវមិនត្រូវបានផ្តល់ពេញលេញទេ៖ ដោយសារតែកំហុសរួមចំណែករបស់អតិថិជន ពីរភាគបីនៃការខូចខាតនៅតែមានសម្រាប់គណនីរបស់អ្នកផ្គត់ផ្គង់។

បន្ទុកនៃភស្តុតាងលើសុវត្ថិភាពសមស្របអាចថ្លឹងថ្លែងបានយ៉ាងធ្ងន់ធ្ងរប៉ុណ្ណា ត្រូវបានបង្ហាញដោយករណីគណនីអ៊ីមែលដែលត្រូវបានគេលួចចូលរបស់អ្នកចែកចាយរថយន្ត។ នៅក្នុងសាលក្រមបណ្តោះអាសន្នចុះថ្ងៃទី 5 ខែវិច្ឆិកា ឆ្នាំ 2024 (តុលាការឧទ្ធរណ៍ Arnhem-Leeuwarden, ECLI:NL:GHARL:2024:6812) អ្នកចែកចាយត្រូវបានផ្តល់ឱកាសដើម្បីបញ្ជាក់ថាគណនីអ៊ីមែលរបស់ខ្លួនត្រូវបានធានាសុវត្ថិភាពសមស្របក្នុងន័យនៃ GDPR បន្ទាប់ពីអ្នកលួចចូលបានប្រើប្រាស់គណនីនោះដើម្បីផ្ញើការណែនាំទូទាត់មិនពិតទៅអ្នកទិញ។ នៅក្នុងសាលក្រមបន្តចុះថ្ងៃទី 22 ខែកក្កដា ឆ្នាំ 2025 (ECLI:NL:GHARL:2025:4556) តុលាការបានរកឃើញថាភស្តុតាងនេះមិនទាន់ត្រូវបានបញ្ជូនមកទេ បន្ទាប់ពីនោះភាគីទាំងពីរនៅតែត្រូវដោះស្រាយកំហុសរបស់អ្នកទិញ។ ដូច្នេះសាលក្រមទាំងពីរទាក់ទងនឹងដំណើរការដូចគ្នា។

ចំណុចរួមគឺថា ការរៀបចំកិច្ចសន្យា ហានិភ័យនៃដំណើរការ វិធានការដែលបានអនុវត្តជាក់ស្តែង ការព្រមានដែលផ្តល់ឱ្យភាគីទាំងពីរ និងការប្រព្រឹត្តរបស់ភាគីដែលរងរបួស សុទ្ធតែមានសារៈសំខាន់។ រួមជាមួយនឹងការទទួលខុសត្រូវផ្នែករដ្ឋប្បវេណី អាជ្ញាធរការពារទិន្នន័យហូឡង់ អាចដាក់ពិន័យរដ្ឋបាលរហូតដល់ 20 លានអឺរ៉ូ ឬ 4 ភាគរយនៃចំណូលប្រចាំឆ្នាំទូទាំងពិភពលោក អាស្រ័យលើចំនួនណាដែលខ្ពស់ជាង។ ការពិន័យទាំងនោះគឺមិនអាស្រ័យលើថាតើម្ចាស់ទិន្នន័យម្នាក់ៗបានរងការខូចខាតឬអត់នោះទេ។

ផ្លូវច្បាប់ព្រហ្មទណ្ឌ

ការវាយប្រហារតាមអ៊ីនធឺណិតក៏អាចបង្កើតជាបទល្មើសព្រហ្មទណ្ឌផងដែរ ដូចជាការឈ្លានពានកុំព្យូទ័រ ការធ្វើឱ្យទិន្នន័យមិនអាចចូលមើលបាន ឬការលួចយកទិន្នន័យមិនមែនសាធារណៈ។ មាត្រា 138ab(1) នៃក្រមព្រហ្មទណ្ឌហូឡង់ចែងថាវាជាបទល្មើសក្នុងការចូលប្រើប្រព័ន្ធស្វ័យប្រវត្តិដោយចេតនា និងខុសច្បាប់។

ជនរងគ្រោះអាចរាយការណ៍ពីបទល្មើសទៅប៉ូលីស ដែលមានក្រុមជំនាញខាងឧក្រិដ្ឋកម្មតាមអ៊ីនធឺណិត។ ក្នុងករណីដែលជនសង្ស័យត្រូវបានចោទប្រកាន់ ជនរងគ្រោះអាចចូលរួមក្នុងដំណើរការព្រហ្មទណ្ឌក្នុងនាមជាភាគីរងរបួស ហើយទាមទារសំណងនៅទីនោះ។ ផ្លូវនេះជៀសវាងដំណើរការរដ្ឋប្បវេណីដាច់ដោយឡែកពីគ្នា ប៉ុន្តែលទ្ធផលអាស្រ័យលើការរកឃើញ ការចោទប្រកាន់ និងភស្តុតាង ដែលជារឿយៗជនល្មើសដែលធ្វើប្រតិបត្តិការអន្តរជាតិមិនផ្តល់លទ្ធផលអ្វីឡើយ។ សម្រាប់អង្គការ ការរាយការណ៍ជារឿយៗក៏ជាភាពចាំបាច់ជាក់ស្តែងផងដែរ ពីព្រោះក្រុមហ៊ុនធានារ៉ាប់រង និងដៃគូខ្សែសង្វាក់ផ្គត់ផ្គង់ស្នើសុំវា។

តើការធានារ៉ាប់រងតាមអ៊ីនធឺណិតគ្របដណ្តប់អ្វីខ្លះ?

គោលនយោបាយធានារ៉ាប់រងតាមអ៊ីនធឺណិតអាចផ្តល់ការធានារ៉ាប់រងក្នុងចំណោមរបស់ផ្សេងទៀត៖

• ការឆ្លើយតបទៅនឹងឧប្បត្តិហេតុ និងការស៊ើបអង្កេតផ្នែកកោសល្យវិច្ច័យ;
• ការស្ដារឡើងវិញនូវប្រព័ន្ធ និងទិន្នន័យ;
• ការខាតបង់ពីការរំខានអាជីវកម្ម និងការបាត់បង់ចំណូលអាជីវកម្ម;
• ការទំនាក់ទំនងក្នុងគ្រាអាសន្ន;
• ការទទួលខុសត្រូវចំពោះភាគីទីបី;
• ថ្លៃដើមផ្នែកច្បាប់; និង
• ក្នុងករណីខ្លះ ការពិន័យជាប្រាក់ ការបង់ប្រាក់សម្រាប់ដោះស្រាយ ឬប្រាក់លោះ ក្នុងកម្រិតដែលអាចធានារ៉ាប់រងបានក្រោមច្បាប់ជាធរមាន។

ការធានារ៉ាប់រងពិតប្រាកដអាស្រ័យលើគោលនយោបាយ។ សូមយកចិត្តទុកដាក់លើការលើកលែង លក្ខខណ្ឌសុវត្ថិភាព រយៈពេលជូនដំណឹង ការកាត់កង និងតម្រូវការលើការជួលអ្នកជំនាញ។ មាត្រា 7:957(1) នៃក្រមរដ្ឋប្បវេណីហូឡង់ក៏តម្រូវឱ្យភាគីដែលមានការធានារ៉ាប់រងចាត់វិធានការសមហេតុផលដើម្បីការពារ ឬកំណត់ការខាតបង់។ ក្នុងករណីដែលកាតព្វកិច្ចសង្គ្រោះនោះមិនត្រូវបានគោរព ក្រុមហ៊ុនធានារ៉ាប់រងអាចកាត់បន្ថយការទូទាត់។

ដូច្នេះក្រុមហ៊ុនធានារ៉ាប់រងតាមអ៊ីនធឺណិតគួរតែត្រូវបានជូនដំណឹងឱ្យបានឆាប់រហ័សតាមដែលអាចធ្វើទៅបាន។ ការជួលអ្នកជំនាញខាងក្រៅ ឬការបង់ប្រាក់លោះដោយគ្មានការយល់ព្រមពីក្រុមហ៊ុនធានារ៉ាប់រងអាចប៉ះពាល់ដល់ការធានារ៉ាប់រង។

តើអ្នកគួរធ្វើអ្វីភ្លាមៗបន្ទាប់ពីការវាយប្រហារតាមអ៊ីនធឺណិត?

• កត់ត្រាឧប្បត្តិហេតុ និងសកម្មភាពពាក់ព័ន្ធទាំងអស់ដោយប្រុងប្រយ័ត្ន។
• ញែកប្រព័ន្ធដែលរងផលប៉ះពាល់ដោយមិនបាត់បង់ភស្តុតាង។
• ជួលអ្នកជំនាញផ្នែកកោសល្យវិច្ច័យ។
• វាយតម្លៃថាតើមានការបំពានទិន្នន័យដែលអាចជូនដំណឹងបានឬអត់។
• វាយតម្លៃថាតើម្ចាស់ទិន្នន័យត្រូវតែទទួលបានការជូនដំណឹងឬអត់។
• រាយការណ៍ពីបទល្មើសទៅប៉ូលីស។
• ជូនដំណឹងដល់ឧប្បត្តិហេតុនេះទៅកាន់ក្រុមហ៊ុនធានារ៉ាប់រងតាមអ៊ីនធឺណិតរបស់អ្នក។
• រក្សាទុកកំណត់ហេតុ ការបម្រុងទុក អ៊ីមែល និងទិន្នន័យពាក់ព័ន្ធផ្សេងទៀត។
• គូសផែនទីការខូចខាត និងភាគីដែលអាចទទួលខុសត្រូវ។
• សូមជូនដំណឹងដល់អតិថិជន បុគ្គលិក និងដៃគូខ្សែសង្វាក់ផ្គត់ផ្គង់ដោយប្រុងប្រយ័ត្ន និងទាន់ពេលវេលា។

ដូច្នេះ ការវាយប្រហារតាមអ៊ីនធឺណិតមិនមែនគ្រាន់តែជាឧប្បត្តិហេតុបច្ចេកទេសនោះទេ។ វាក៏ជាបញ្ហាការពារទិន្នន័យ ច្បាប់ស៊ីវិល ច្បាប់ព្រហ្មទណ្ឌ និងច្បាប់ធានារ៉ាប់រងផងដែរ។ ការឆ្លើយតបយ៉ាងរហ័ស និងមានឯកសារត្រឹមត្រូវមិនត្រឹមតែកំណត់ការខូចខាតប៉ុណ្ណោះទេ ប៉ុន្តែវាក៏ជាកត្តាសម្រេចចិត្តសម្រាប់ការជូនដំណឹង ការធានារ៉ាប់រង និងជំហរភស្តុតាងរបស់អ្នកនៅក្នុងដំណើរការណាមួយ។

នៅក្នុងការបិទ

សិទ្ធិ និងកាតព្វកិច្ចបន្ទាប់ពីការវាយប្រហារតាមអ៊ីនធឺណិតត្រូវបានរីករាលដាលពាសពេញវិស័យច្បាប់ជាច្រើន ហើយលទ្ធផលនៃសំណុំរឿងមួយអាស្រ័យយ៉ាងខ្លាំងទៅលើការពិតជាក់លាក់ ខ្លឹមសារនៃកិច្ចសន្យា និងគុណភាពនៃកំណត់ត្រា។ ច្បាប់សំណុំរឿងដែលបានពិភាក្សាបង្ហាញថា អ្នកផ្គត់ផ្គង់ និងអតិថិជនដូចគ្នាត្រូវបានវិនិច្ឆ័យលើការប្រព្រឹត្តរបស់ពួកគេ ហើយថ្ងៃផុតកំណត់ដូចជារយៈពេលជូនដំណឹងចិតសិបពីរម៉ោងទុកកន្លែងតិចតួចសម្រាប់ការពន្យារពេល។

Law & More ជួយអង្គការ និងម្ចាស់ទិន្នន័យជាមួយនឹងការដោះស្រាយផ្នែកច្បាប់នៃឧប្បត្តិហេតុតាមអ៊ីនធឺណិត៖ ចាប់ពីការវាយតម្លៃកាតព្វកិច្ចជូនដំណឹង និងការពិនិត្យឡើងវិញនូវកិច្ចព្រមព្រៀងដំណើរការទិន្នន័យ រហូតដល់ការបង្កើតការទទួលខុសត្រូវ បញ្ហាធានារ៉ាប់រង និងការសងប្រាក់វិញនូវការខាតបង់។ តើអ្នកកំពុងដោះស្រាយជាមួយនឹងការវាយប្រហារតាមអ៊ីនធឺណិត ឬការបំពានទិន្នន័យ ឬតើអ្នកចង់ឱ្យកិច្ចសន្យារបស់អ្នកត្រូវបានពិនិត្យឡើងវិញប្រឆាំងនឹងហានិភ័យទាំងនេះជាមុនដោយយើងដែរឬទេ? ច្បាប់ IT ក្រុម? សូមមេត្តា ទំ​ន​ក់​ទំនង Law & More សម្រាប់ការពិភាក្សាដោយគ្មានកាតព្វកិច្ចអំពីស្ថានភាពរបស់អ្នក។

សំណួរ​ដែលគេ​ច្រើន​សួរ

ខាងក្រោមនេះ យើងឆ្លើយសំណួរដែលយើងត្រូវបានសួរញឹកញាប់បំផុតលើប្រធានបទនេះ។