บทที่ 68: เจ้าของข้อมูล เจ้าของงาน และกติกาการเข้าถึง

สถานการณ์ใกล้ตัว

House จำลองสำหรับสรุปเสียงสะท้อนทำงานได้ดี ทีมจึงนำไฟล์รวมข้อมูลลูกค้าทั้งหมดใส่ให้ “เพื่อจะได้ตอบได้ครบ” เจ้าของงานคิดว่าเจ้าของข้อมูลคงเป็นฝ่ายไอที เพราะฝ่ายไอทีเปิดระบบได้ ฝ่ายไอทีคิดว่าเจ้าของงานเป็นคนตัดสิน เพราะเป็นคนขอใช้

สองสัปดาห์ต่อมา โครงการทดลองจบ แต่ไม่มีใครจำได้ว่า House ยังเห็นโฟลเดอร์ใดอยู่บ้าง สิทธิ์ที่ให้ชั่วคราวกลายเป็นสิทธิ์ไม่มีกำหนด

ต้นทุนของความคลุมเครือไม่ใช่เพียงความเสี่ยงข้อมูลรั่ว ทีมยังเสียเวลาเถียงว่าใครอนุมัติ ใครรับผิด และใครมีอำนาจสั่งหยุด ยิ่งระบบทำงานได้มาก ความไม่ชัดนี้ยิ่งแพง

การเข้าถึงต้องตอบห้าคำถาม: ใช้เพื่ออะไร ต้องเห็นเท่าไร ใครอนุมัติ นานแค่ไหน และใครปิดได้ คำว่า “เปิดได้ไหม” อย่างเดียวไม่พอ

ผลลัพธ์ของบทนี้

เมื่อจบบท คุณจะมี “ตารางสิทธิ์และเจ้าของ” หนึ่งหน้า ซึ่งแยกผู้เป็นเจ้าของข้อมูลออกจากผู้รับผิดชอบผลงาน ระบุสิทธิ์เท่าที่จำเป็น จุดที่ต้องให้คนอนุมัติ ระยะเวลาสิทธิ์ และวิธีถอนสิทธิ์เมื่อคน งาน หรือความเสี่ยงเปลี่ยน

คำใหม่ในบทนี้:

• เจ้าของข้อมูล: บุคคลหรือบทบาทที่มีอำนาจและหน้าที่กำหนดว่าข้อมูลใช้เพื่ออะไรและใครควรเข้าถึง
• เจ้าของงาน: บุคคลหรือบทบาทที่รับผิดชอบว่าผลงานถูกต้องตามเกณฑ์และถูกส่งต่ออย่างเหมาะสม
• สิทธิ์เท่าที่จำเป็น: ให้เห็นหรือทำได้เพียงเท่าที่ต้องใช้สำหรับงานที่ระบุ
• จุดที่ต้องให้คนอนุมัติ: จุดที่งานต้องหยุดรอมนุษย์หรือบทบาทที่ได้รับอำนาจก่อนเกิดผลจริง
• การถอนสิทธิ์: การยุติการเข้าถึงเมื่อหมดงาน เปลี่ยนบทบาท พบความเสี่ยง หรือเจ้าของสั่งหยุด

ภาพเปรียบเทียบและขอบเขตของภาพ

นึกถึงโรงแรมที่มีคีย์การ์ด พนักงานทำความสะอาดต้องเข้าห้องตามชั้นและเวลางาน แต่ไม่จำเป็นต้องเข้าห้องควบคุมการเงิน ผู้จัดการอาจเปิดพื้นที่เพิ่มเมื่อเกิดเหตุ และปิดสิทธิ์เมื่อกะจบ

ภาพนี้ช่วยให้เห็นว่า “เป็นคนในทีม” ไม่ได้แปลว่าควรถือกุญแจทุกดอก และกุญแจควรมีอายุ

แต่ข้อมูลไม่เหมือนห้อง ข้อมูลอาจถูกคัดลอก สรุป หรือหลงเหลือในผลงานหลังปิดประตู การถอนสิทธิ์จึงต้องมองทั้งทางเข้า สำเนา ผลลัพธ์ บันทึก และกติกาเก็บรักษา ไม่ใช่เพียงปิดบัญชีหนึ่งจุด

แก่นของเรื่องแบบเป็นชั้น

ชั้นที่ 1: แยกเจ้าของข้อมูลออกจากเจ้าของงาน

เจ้าของข้อมูลตอบคำถามว่า:

• ข้อมูลนี้ถูกรวบรวมเพื่อวัตถุประสงค์ใด
• การนำมาใช้กับงานใหม่นี้เหมาะสมและได้รับอนุญาตหรือไม่
• ต้องลด ปกปิด เก็บ หรือทำลายอย่างไร

เจ้าของงานตอบคำถามว่า:

• ผลงานต้องผ่านเกณฑ์ใด
• ใครตรวจ ใครอนุมัติ และใครรับเมื่อเกิดปัญหา
• งานควรหยุดหรือส่งต่อเมื่อไร

บางองค์กรอาจให้คนเดียวถือสองบทบาท แต่ต้องเขียนหมวกทั้งสองใบให้ชัด เพราะการเปิดข้อมูลและการรับรองผลงานเป็นคนละการตัดสินใจ

ชั้นที่ 2: เขียนวัตถุประสงค์ก่อนเลือกรายการข้อมูล

ประโยค “เพื่อช่วยงานบริการลูกค้า” กว้างเกินไป ลองเขียนให้ตรวจได้ เช่น

ใช้ข้อความจำลองที่ตัดข้อมูลระบุตัวบุคคลแล้ว เพื่อทดสอบว่าระบบจัดหมวดคำถามได้ถูกตามคู่มือหรือไม่ ภายในรอบทดลองเจ็ดวัน

เมื่อวัตถุประสงค์แคบ รายการข้อมูลที่จำเป็นจะเล็กลงเอง ข้อมูลที่น่าสนใจแต่ไม่จำเป็นควรถูกกันออก

ชั้นที่ 3: ให้สิทธิ์เป็นกริยา ไม่ใช่ป้ายเดียว

คำว่า “เข้าถึงได้” มีหลายระดับ:

House สำหรับสรุปอาจต้องอ่านข้อมูลจำลองและสร้างร่าง แต่ไม่จำเป็นต้องแก้ต้นฉบับ ส่งข้อความ หรือลบไฟล์ สิทธิ์เท่าที่จำเป็นจึงผูกกับกริยาและขอบเขต ไม่ใช่เพียงชื่อโฟลเดอร์

ชั้นที่ 4: วางจุดที่ต้องให้คนอนุมัติตรงจุดที่ผลกระทบเปลี่ยน

ร่างในพื้นที่ฝึกกับการส่งถึงลูกค้าไม่ใช่การกระทำชนิดเดียวกัน จุดที่ต้องให้คนอนุมัติควรอยู่ก่อน:

• เปิดข้อมูลที่มีความอ่อนไหวหรือมีสิทธิ์ไม่ชัด
• ส่งข้อความ เผยแพร่ ใช้เงิน เปลี่ยนระบบ หรือลบข้อมูล
• ใช้ผลลัพธ์กับเรื่องสุขภาพ กฎหมาย การเงิน หรือสิทธิ์ของบุคคล
• เปลี่ยนจากการทดลองแบบเงาไปสู่การทำงานจริง

การมีคำเตือนท้ายเอกสารไม่ทดแทนประตูที่หยุดงานได้จริง

ชั้นที่ 5: ให้สิทธิ์มีวันหมดอายุและเหตุถอน

ตารางสิทธิ์ควรมีอย่างน้อย:

1. วันที่เริ่ม
2. วันที่หมดอายุหรือเหตุการณ์สิ้นสุด
3. ผู้มีอำนาจถอน
4. วิธีตรวจว่าถอนครบ
5. วิธีจัดการร่าง สำเนา และบันทึกที่เกิดขึ้นระหว่างงาน

เหตุถอนอาจเป็นการจบการทดลอง คนเปลี่ยนบทบาท เจ้าของข้อมูลเปลี่ยนวัตถุประสงค์ พบการใช้เกินขอบเขต หรือผลตรวจคุณภาพตกต่ำจนต้องหยุด

ชั้นที่ 6: แยกป้ายความจริงออกจากคำสวย

หยุดก่อน

ถ้าเจ้าของงานบอกว่า “ใช้ข้อมูลได้ เพราะฉันมีไฟล์อยู่แล้ว” เขากำลังพูดถึงการเข้าถึงทางเทคนิค หรือสิทธิ์และวัตถุประสงค์ที่ได้รับอนุญาตจริง ๆ

กรณีศึกษาหรือตัวอย่างจำลองที่ปลอดภัย

“โรงเรียนดนตรีดาวเหนือ” เป็นองค์กรสมมติ ต้องการทดลอง House จัดหมวดคำถามผู้เรียน ทีมสร้างข้อความสังเคราะห์ 30 ข้อแทนการนำกล่องข้อความจริงมาใช้

ตารางระบุว่า:

• เจ้าของข้อมูลจำลองคือผู้ดูแลการทดลอง ซึ่งกำหนดให้ใช้เฉพาะการทดสอบเจ็ดวัน
• เจ้าของงานคือหัวหน้าบริการสมมติ ซึ่งตรวจความถูกต้องของหมวด
• House อ่านชุดข้อความสังเคราะห์และสร้างตารางผลได้ แต่แก้ชุดข้อมูลต้นฉบับ ส่งข้อความ หรือเผยแพร่ไม่ได้
• การเปลี่ยนไปใช้ข้อความจริงเป็นประตูใหม่ ต้องตรวจความยินยอม นโยบาย การลดข้อมูล และผู้มีอำนาจก่อน
• เมื่อครบเจ็ดวัน สิทธิ์การทดลองสิ้นสุด ร่างที่ไม่จำเป็นเข้าสู่กระบวนการลบตามกติกาจำลอง และเก็บเพียงผลรวมที่ไม่ระบุตัวบุคคลสำหรับทบทวน

กรณีนี้พิสูจน์เพียงว่าตารางสิทธิ์อ่านและตรวจได้ ไม่ได้พิสูจน์ว่าการใช้ข้อมูลจริงถูกต้องตามกฎหมายหรือว่าระบบได้บังคับสิทธิ์เหล่านี้แล้ว

กิจกรรมทดลองอย่างปลอดภัย

ภารกิจ: ทำตารางสิทธิ์และเจ้าของหนึ่งหน้า

ใช้ House จากบทก่อน แล้วเติม:

จากนั้นวงจุดที่ต้องให้คนอนุมัติอย่างน้อยสองจุด: ก่อนเปิดข้อมูลเพิ่ม และก่อนผลลัพธ์ออกจากพื้นที่ฝึก

ตรวจล่วงหน้า: ใช้ชื่อบทบาทและข้อมูลตัวอย่าง ไม่เปิดหน้าตั้งค่าสิทธิ์จริง ไม่ใช้บัญชีหรือรหัสผ่าน และระบุชัดว่าตารางนี้เป็นแบบออกแบบ

ผลที่คาด: ตารางหนึ่งแถวที่แยกเจ้าของข้อมูลกับเจ้าของงาน บอกกริยาที่อนุญาต มีวันสิ้นสุด ผู้ถอน และขั้นที่ต้องให้คนตรวจหรืออนุมัติ

หยุดและถามคนเมื่อ: ไม่รู้ว่าใครมีอำนาจอนุมัติ วัตถุประสงค์ยังเขียนกว้าง ข้อมูลแตะบุคคลจริง หรือการถอนสิทธิ์ไม่มีผู้รับผิดชอบ

วิธีกู้คืน: เปลี่ยนเป็นข้อมูลตัวอย่าง ลดสิทธิ์เหลืออ่านหรือสร้างร่างในพื้นที่ฝึก ติดป้าย “ยังไม่อนุมัติ” และส่งคำถามเรื่องเจ้าของ/นโยบายให้ผู้รับผิดชอบก่อนทำต่อ

ระวังความเข้าใจผิด

• คนที่เปิดไฟล์ได้ทางเทคนิคไม่จำเป็นต้องเป็นเจ้าของข้อมูล
• เจ้าของงานไม่มีสิทธิ์นำข้อมูลไปใช้ทุกวัตถุประสงค์โดยอัตโนมัติ
• สิทธิ์อ่านไม่เท่ากับสิทธิ์ส่ง เผยแพร่ แก้ หรือลบ
• การปิดทางเข้าไม่รับรองว่าสำเนา ร่าง หรือบันทึกถูกจัดการครบ
• ตารางในหนังสือเป็นเครื่องมือออกแบบ ไม่ใช่คำรับรองทางกฎหมายหรือการตั้งค่าที่ถูกบังคับแล้ว

สามเรื่องที่ควรจำ

1. แยกเจ้าของข้อมูล เจ้าของงาน และผู้อนุมัติ แม้บางครั้งจะเป็นคนเดียวกัน
2. ให้สิทธิ์ตามวัตถุประสงค์ กริยา ขอบเขต และเวลาเท่าที่จำเป็น
3. ทุกสิทธิ์ต้องมีเหตุถอน ผู้ถอน และวิธีตรวจว่าปิดวงจรครบ

คำถามชวนคิด

ในระบบที่คุณใช้อยู่ มีสิทธิ์ใดเริ่มจากคำว่า “ชั่วคราว” แต่ไม่มีวันหมดอายุหรือคนรับผิดชอบถอน

สะพานไปบทถัดไป

เมื่อรู้ว่าใครเห็นและทำอะไรได้ เรายังต้องตอบว่า ผลงานนี้มาจากไหน เปลี่ยนเมื่อไร และควรอยู่ถึงวันใด บทถัดไปจะทำให้ไฟล์หนึ่งชิ้นมีประวัติ ไม่ใช่มีเพียงชื่อ