Cloudflare ประกาศยกระดับการรับรองมาตรฐาน PCI DSS เวอร์ชันล่าสุดผ่านการตรวจประเมินภายในและจากหน่วยงานภายนอก โดยบริษัทแจ้งผลอย่างเป็นทางการที่สำนักงานใหญ่ในซานฟรานซิสโก เมื่อวันที่ 22 ตุลาคม 2025 ว่าได้ดำเนินมาตรการเชิงเทคนิคและกระบวนการใหม่เพื่อเสริมความปลอดภัยของข้อมูลบัตรเครดิตของลูกค้า
ใคร ทำอะไร ที่ไหน เมื่อไหร่: Cloudflare Inc. ประกาศผลการปรับปรุงระบบเพื่อให้สอดคล้องกับมาตรฐาน PCI DSS เวอร์ชันล่าสุด (ประกาศเมื่อ 22 ตุลาคม 2025 ที่สำนักงานใหญ่ซานฟรานซิสโก) โดยบริษัทได้รับการตรวจประเมินจากบริษัทที่ปรึกษาด้านความปลอดภัยอิสระ “SecureAudit Ltd.” และออกแถลงการณ์โดย น.ส.มาเรีย โลเปซ ผู้อำนวยการฝ่ายความปลอดภัยของ Cloudflare
สาระสำคัญของการยกระดับ
Cloudflare ระบุว่าการยกระดับครั้งนี้ครอบคลุมทั้งด้านเทคโนโลยีและกระบวนการปฏิบัติการที่เกี่ยวข้องกับข้อมูลบัตรชำระเงิน (Primary Account Number – PAN) โดยมีมาตรการสำคัญได้แก่:
- การลดขอบเขต (scope reduction) ของระบบที่จัดเก็บข้อมูลบัตรโดยย้ายการประมวลผลบัตรไปยังบริการโทเค็น (tokenization) และการประมวลผลภายนอกที่แยกจาก Edge
- การเข้ารหัสแบบเข้มงวดทั้งระหว่างส่งข้อมูลและการเก็บรักษา (encryption in transit & at rest) พร้อมการจัดการคีย์ที่มีระบบหมุนเวียนอัตโนมัติ
- การปรับปรุง Web Application Firewall (WAF) และกฎการตรวจจับการฉ้อโกงเพื่อป้องกันการโจมตีที่มุ่งเป้าไปยังข้อมูลบัตร
- การเก็บบันทึก (logging) และส่งข้อมูลไปยังระบบ SIEM สำหรับการตรวจสอบแบบเรียลไทม์และการตอบสนองเหตุการณ์ (incident response)
- การแบ่งแยกระบบเครือข่าย (network segmentation) เพื่อจำกัดขอบเขตของระบบที่เป็น PCI environment
- ข้อกำหนดภายในให้ทีม Edge Workers และบริการ CDN ห้ามเก็บหรือแคชข้อมูล PAN บน edge servers
ผลกระทบต่อผู้ใช้งานและธุรกิจที่ใช้บริการ
Cloudflare ระบุว่าการเปลี่ยนแปลงนี้จะช่วยลดภาระการปฏิบัติตามของผู้ค้า (merchants) ที่ใช้บริการของ Cloudflare ด้วยการลดขอบเขตของระบบที่ต้องได้รับการตรวจสอบ แต่ในทางปฏิบัติผู้ค้าและผู้ให้บริการชำระเงินยังต้อง:
- ยืนยันการตั้งค่าบริการ Cloudflare ที่สอดคล้องกับข้อกำหนด PCI (เช่น การกำหนดนโยบาย WAF, การเปิดใช้ TLS 1.3+, การปิดการแคชสำหรับข้อมูลชำระเงิน)
- ทำแบบประเมินตนเอง (SAQ) หรือร่วมมือกับ QSA หากธุรกิจนั้นจัดเก็บหรือประมวลผล PAN ด้วยตนเอง
- ปรับสัญญาการประมวลผลข้อมูลและตรวจสอบ Attestation of Compliance (AOC) ที่ Cloudflare จัดให้
แนวทางการปฏิบัติตาม GDPR สำหรับเว็บไซต์ที่ใช้ Cloudflare
เพื่อให้สอดคล้องทั้ง PCI DSS และข้อกำหนดด้านความเป็นส่วนตัว data protection (เช่น GDPR) สำหรับเว็บไซต์ที่ใช้บริการ Cloudflare คำแนะนำสำคัญมีดังนี้:
- ตรวจสอบ Data Processing Addendum (DPA) ของ Cloudflare และทำความเข้าใจการถ่ายโอนข้อมูลระหว่างประเทศ (international data transfer)
- ทำ Data Protection Impact Assessment (DPIA) หากการประมวลผลข้อมูลส่วนบุคคลมีความเสี่ยงสูง
- ลดการเก็บข้อมูลที่ไม่จำเป็น — หลีกเลี่ยงการบันทึก PAN ใน logs หรือ analytics ของเว็บไซต์ และใช้ tokenization/third‑party PSP
- เปิดเผยนโยบายความเป็นส่วนตัวที่ชัดเจน และแจ้งผู้ใช้เกี่ยวกับการใช้คุกกี้, การประมวลผลของบุคคลที่สาม และสิทธิของผู้ใช้ภายใต้ GDPR
- ใช้มาตรการทางเทคนิคเช่น IP anonymization, การเข้ารหัสข้อมูล และการจำกัดการเข้าถึงภายใน (least privilege)
- แต่งตั้ง Data Protection Officer (DPO) หรือผู้รับผิดชอบด้านข้อมูลส่วนบุคคลหากจำเป็น
ความเห็นจากผู้เชี่ยวชาญและบริบทเชิงนโยบาย
ในมุมมองเชิงนโยบาย บุคคลสำคัญในวงการอินเทอร์เน็ต เช่น Vint Cerf เคยเน้นย้ำเรื่องความสำคัญของมาตรฐานสากลในการปกป้องข้อมูลผู้ใช้งาน ขณะที่บริษัทเทคโนโลยีรายใหญ่ เช่น Google (สำนักงานใหญ่: Google HQ) ได้พัฒนาข้อกำหนดภายในเพื่อให้สอดคล้องทั้ง PCI DSS และกฎหมายคุ้มครองข้อมูลส่วนบุคคล
Cloudflare ระบุว่าการยกระดับในครั้งนี้เป็นส่วนหนึ่งของความพยายามต่อเนื่องในการสร้างความเชื่อมั่นให้ลูกค้าองค์กรและผู้ค้าปลีกออนไลน์ โดยบริษัทเปิดให้ลูกค้าเข้าไปดูรายละเอียดมาตรการและดาวน์โหลด Attestation of Compliance (AOC) ได้ที่หน้าแจ้งข่าวของบริษัทผ่านโดเมนประกาศความปลอดภัย (ตัวอย่าง: securecloudflare.com/announcements/pci-update) ซึ่งมีเอกสารแนะนำการตั้งค่าปฏิบัติการและตัวอย่าง SAQ
สิ่งที่ผู้ค้าควรทำต่อ
Cloudflare แนะนำให้ผู้ค้าและผู้ให้บริการประเมินการตั้งค่าปัจจุบันภายใน 30 วันหลังประกาศ โดยเฉพาะผู้ค้าที่ใช้ฟีเจอร์ Workers, Logpush, และ Page Rules ให้ดำเนินการตามรายการตรวจสอบ (checklist) ดังนี้:
- ตรวจสอบการตั้งค่า WAF และบล็อกกฎสำหรับ pattern ที่เกี่ยวข้องกับข้อมูลบัตร
- ปิดการแคชสำหรับเส้นทางที่มีการส่งข้อมูลชำระเงิน
- สื่อสารกับผู้ให้บริการชำระเงิน (PSP) เพื่อใช้ tokenization
- รีวิว DPA และรับ AOC/รายงานจาก Cloudflare เพื่อใช้เป็นหลักฐานการปฏิบัติตาม
สรุป
การประกาศของ Cloudflare เมื่อวันที่ 22 ต.ค. 2025 ถือเป็นการยกระดับมาตรการป้องกันข้อมูลบัตรเครดิตที่ชัดเจน ทั้งในเชิงเทคนิคและกระบวนการ ซึ่งจะช่วยลดความเสี่ยงและขอบเขตการตรวจสอบสำหรับผู้ค้า อย่างไรก็ดี ผู้ค้าเองยังต้องปฏิบัติตามแนวทางที่เหมาะสมทั้งด้าน PCI DSS และกฎหมายความเป็นส่วนตัว เช่น GDPR เพื่อให้การปฏิบัติครอบคลุมทั้งความปลอดภัยและสิทธิของผู้ใช้