กฎหมาย จริยธรรม & เส้นทางอาชีพ

01เส้นบาง ๆ เส้นนั้น A thin line

ตลอดยี่สิบสามบทที่ผ่านมา เราเรียนรู้ว่าการโจมตีทำงานอย่างไร ตั้งแต่มัลแวร์ ฟิชชิง ไปจนถึง APT และการหลอก AI ตอนนี้มือของเรามี “ความรู้” ที่ครั้งหนึ่งดูเหมือนเวทมนตร์ แล้วคำถามสำคัญก็มาถึง เราจะใช้มันทำอะไร

มีเรื่องเล่าที่วนอยู่ในวงการนี้เสมอ: เด็กคนหนึ่งเก่งมาก เขียนสคริปต์เจาะระบบโรงเรียนได้ตั้งแต่อายุสิบห้า แต่พอโตขึ้น เส้นทางของคนแบบนี้แยกออกเป็นสองทางคนละขั้ว คนหนึ่งได้ทำงานในบริษัทความปลอดภัยชั้นนำ อีกคนมีประวัติอาชญากรรมติดตัวไปตลอดชีวิต ทั้งที่ทักษะเท่ากัน สิ่งที่ทำให้สองคนนี้ต่างกัน ไม่ใช่ว่าใครเก่งกว่า แต่คือ เขาได้รับอนุญาตให้ทำสิ่งที่ทำหรือเปล่า

นี่คือหัวใจของบททั้งบท เครื่องมือชุดเดียวกัน (เครื่องสแกนช่องโหว่ โปรแกรมดักจับข้อมูล การลองเดารหัสผ่าน) อยู่ในมือทีมที่เจ้าของระบบจ้างมาทดสอบ มันคือ “การทดสอบเจาะระบบ” (penetration testing) ที่มีเกียรติและได้เงิน แต่พออยู่ในมือคนที่แอบทำกับระบบคนอื่นโดยไม่บอกใคร มันกลายเป็นอาชญากรรมทันที เส้นแบ่งไม่ได้อยู่ที่ว่าเรา “ทำอะไร” แต่อยู่ที่ว่าเรา “มีสิทธิ์ทำไหม”

เราเรียกคนที่ยืนคนละฝั่งของเส้นนี้ด้วยสีของหมวก มันเป็นอุปมาเก่าแก่จากหนังคาวบอย ที่พระเอกใส่หมวกขาว ผู้ร้ายใส่หมวกดำ

ศัพท์น่ารู้: หมวกขาว หมวกดำ หมวกเทา White / Black / Grey hat

หมวกขาว คือผู้ที่เจาะระบบโดยได้รับอนุญาต เพื่อหาช่องโหว่มาปิดก่อนคนร้าย หมวกดำ คือผู้ที่เจาะเพื่อประโยชน์ตัวเองหรือสร้างความเสียหาย ส่วน หมวกเทา คือคนที่อยู่ตรงกลาง เช่น แอบเจาะระบบคนอื่นโดยไม่ได้รับอนุญาต แล้วค่อยไปบอกเจ้าของทีหลัง เจตนาอาจดี แต่ในสายตากฎหมาย การเข้าไปโดยไม่ได้รับอนุญาตก็ยังผิดอยู่ดี

02คำวิเศษสองคำ: อนุญาต & ขอบเขต Permission & scope

ถ้าจะจำอะไรจากบทนี้แค่อย่างเดียว ให้จำสองคำนี้: การอนุญาต (authorization) และ ขอบเขต (scope) สองคำนี้คือเกราะที่ทำให้แฮกเกอร์หมวกขาวทำงานได้โดยไม่ผิดกฎหมาย

การอนุญาตต้องเป็น ลายลักษณ์อักษร ไม่ใช่คำพูดลอย ๆ ว่า “ลองเจาะดูสิ ไม่เป็นไรหรอก” เพราะวันหนึ่งถ้าเกิดเรื่อง คำพูดนั้นพิสูจน์ไม่ได้ นักทดสอบมืออาชีพจะมีเอกสารที่เรียกกันว่า rules of engagement หรือสัญญาที่ระบุชัดว่า ทดสอบระบบไหนได้บ้าง ช่วงเวลาใด ห้ามแตะอะไร และถ้าเจอข้อมูลจริงของลูกค้าให้ทำอย่างไร

ส่วนขอบเขตคือ “รั้ว” ที่ล้อมสนามทดสอบไว้ ถ้าสัญญาระบุให้ทดสอบเว็บ shop.example.com แล้วเราดันไปแตะเซิร์ฟเวอร์อีเมลของบริษัทด้วย นั่นคือการออกนอกขอบเขต แม้จะได้รับอนุญาตให้ทดสอบ “บริษัทเดียวกัน” ก็ตาม การล้ำเส้นแบบนี้ทำให้สัญญาเป็นโมฆะ และเปลี่ยนเราจากนักวิจัยเป็นผู้บุกรุกในพริบตา

03พ.ร.บ.คอมพิวเตอร์ฯ: กฎหมายที่คนไทยเจอบ่อยที่สุด Computer Crime Act

กฎหมายหลักของไทยที่ลงโทษการกระทำผิดบนคอมพิวเตอร์ คือ พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 ซึ่งต่อมามีการแก้ไขเพิ่มเติมเป็น ฉบับที่ 2 พ.ศ. 2560 ประกาศในราชกิจจานุเบกษาเมื่อ 24 มกราคม 2560 และมีผลใช้บังคับ 24 พฤษภาคม 2560 คนไทยมักเรียกสั้น ๆ ว่า “พ.ร.บ.คอมพ์”

หลายคนรู้จักกฎหมายนี้จากข่าวเรื่องการโพสต์ข้อความเท็จหรือหมิ่นประมาทออนไลน์ แต่สำหรับคนที่สนใจความปลอดภัย ส่วนที่เกี่ยวข้องกับเราโดยตรงคือมาตราที่พูดถึง “การเข้าถึงและทำลายระบบ” เพราะนี่คือเส้นแบ่งที่เราคุยกันในสองหัวข้อก่อนหน้า มาดูมาตราสำคัญแบบภาษาคนกัน

สังเกตว่าโทษ “หนักขึ้นตามความเสียหาย”: แค่เข้าไปดูเฉย ๆ (มาตรา 5) โทษเบากว่าการเข้าไปแตะข้อมูล (มาตรา 7) และการทำลายข้อมูลหรือทำระบบล่ม (มาตรา 9–10) ถือว่าหนักที่สุด ยังมีมาตรา 12 ที่เพิ่มโทษขึ้นไปอีกมาก หากการกระทำนั้นกระทบต่อความมั่นคงหรือโครงสร้างพื้นฐานสำคัญของประเทศ

ทำไม “มาตรการป้องกัน” ถึงสำคัญ

มาตรา 5 และ 7 พูดถึงระบบหรือข้อมูลที่ “มีมาตรการป้องกันการเข้าถึงโดยเฉพาะ” เช่น ตั้งรหัสผ่านไว้ นี่เป็นเหตุผลหนึ่งที่การตั้งรหัสผ่านไม่ใช่แค่เรื่องเทคนิค แต่ยังเป็นการประกาศชัดว่า “ที่นี่หวงห้าม” ซึ่งมีผลทางกฎหมายด้วย

หมายเหตุ: ตัวเลขโทษข้างต้นเป็นการสรุปโดยสังเขปเพื่อการศึกษา ไม่ใช่คำแนะนำทางกฎหมาย ตัวบทจริงมีรายละเอียดและข้อยกเว้นมากกว่านี้ หากต้องใช้อ้างอิงจริง ให้ดูตัวบทจากราชกิจจานุเบกษาหรือปรึกษานักกฎหมาย

04PDPA: เมื่อองค์กรเก็บข้อมูลของคน Data protection

ถ้า พ.ร.บ.คอมพ์ พูดถึง “การกระทำผิด” พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือที่เรียกกันว่า PDPA (Personal Data Protection Act) พูดถึง “หน้าที่” ขององค์กรที่เก็บข้อมูลของเรา กฎหมายนี้เริ่มบังคับใช้เต็มรูปแบบเมื่อ 1 มิถุนายน 2565 และเปลี่ยนวิธีที่บริษัทไทยต้องดูแลข้อมูลลูกค้าไปอย่างสิ้นเชิง

หัวใจของ PDPA ง่ายมาก: ข้อมูลส่วนบุคคล (ชื่อ เบอร์โทร อีเมล เลขบัตรประชาชน รูปถ่าย) เป็นของเจ้าของข้อมูล ไม่ใช่ของบริษัทที่เก็บไป องค์กรจะเก็บ ใช้ หรือเปิดเผยข้อมูลได้ ก็ต่อเมื่อมี “ฐานทางกฎหมาย” รองรับ เช่น ได้รับความยินยอม และต้องเก็บเท่าที่จำเป็นตามวัตถุประสงค์ที่บอกไว้เท่านั้น

สำหรับคนที่จะไปทำงานฝั่งความปลอดภัย PDPA คือกฎหมายที่เราต้องเข้าใจ เพราะงานเราคือ “ดูแลข้อมูล” โดยตรง มีสามหน้าที่ที่เจอบ่อยที่สุด

1. ต้องมีมาตรการความปลอดภัยที่เพียงพอ

   องค์กรต้องปกป้องข้อมูลไม่ให้รั่วไหล ทั้งจากคนนอกและคนใน ด้วยมาตรการที่เหมาะสมกับความเสี่ยง เช่น การเข้ารหัส การจำกัดสิทธิ์การเข้าถึง และการเก็บบันทึกการใช้งาน

2. ต้องแจ้งเหตุข้อมูลรั่วไหลภายใน 72 ชั่วโมง

   เมื่อรู้ว่ามีข้อมูลรั่ว ต้องแจ้งต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) โดยไม่ชักช้า ภายใน 72 ชั่วโมง และหากเสี่ยงสูงต่อเจ้าของข้อมูล ก็ต้องแจ้งเจ้าของข้อมูลด้วย

3. บางองค์กรต้องมีเจ้าหน้าที่คุ้มครองข้อมูล (DPO)

   องค์กรที่ประมวลผลข้อมูลจำนวนมาก หรือข้อมูลที่อ่อนไหว ต้องแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer) มาคอยดูแลให้ทำถูกต้อง

โทษของ PDPA มีสามชั้น: โทษทางแพ่ง (จ่ายค่าสินไหมทดแทน และอาจถูกสั่งจ่ายเพิ่มเพื่อการลงโทษได้ถึงสองเท่า), โทษทางอาญา (มีทั้งจำคุกและปรับในกรณีร้ายแรง เช่น เอาข้อมูลอ่อนไหวไปใช้หาประโยชน์มิชอบ) และ โทษทางปกครอง (ค่าปรับที่สูงสุดถึง 5 ล้านบาท สำหรับการจัดการข้อมูลอ่อนไหวโดยมิชอบ)

05พ.ร.บ.ไซเบอร์ฯ และหน่วยงานที่เฝ้าชาติ Cybersecurity Act & NCSA

กฎหมายใบที่สามคือ พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 ถ้า พ.ร.บ.คอมพ์ ดูแลเรื่องการกระทำผิดรายคน และ PDPA ดูแลข้อมูลส่วนบุคคล กฎหมายฉบับนี้ดูแล “ภาพใหญ่ระดับประเทศ” จะทำอย่างไรเมื่อระบบสำคัญของชาติถูกโจมตี

กฎหมายนี้ตั้ง สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ หรือที่เรียกย่อ ๆ ว่า สกมช. (ภาษาอังกฤษใช้ชื่อ NCSA) ให้เป็นหน่วยงานกลางที่ดูแลเรื่องนี้ และทีมรับมือเหตุฉุกเฉินทางไซเบอร์อย่าง ThaiCERT ก็ทำงานภายใต้ร่มนี้ เป็นปลายทางที่หน่วยงานต่าง ๆ แจ้งเหตุเมื่อถูกโจมตี

หัวใจของกฎหมายนี้คือแนวคิด โครงสร้างพื้นฐานสำคัญทางสารสนเทศ (Critical Information Infrastructure CII) คือระบบที่ถ้าล่มแล้วประเทศเดือดร้อนทั้งประเทศ มีการระบุไว้หลายกลุ่ม เช่น ความมั่นคงของรัฐ บริการสาธารณะที่สำคัญ การเงินการธนาคาร เทคโนโลยีสารสนเทศและโทรคมนาคม การขนส่งและโลจิสติกส์ พลังงานและสาธารณูปโภค และสาธารณสุข หน่วยงานที่ถูกจัดอยู่ในกลุ่มนี้มีหน้าที่ตามกฎหมาย ทั้งประเมินความเสี่ยง ตรวจสอบ และแจ้งเหตุเมื่อถูกโจมตี

กฎหมายยังแบ่ง “ระดับของภัยคุกคาม” ออกเป็นสามระดับ เพื่อกำหนดว่าแต่ละเหตุต้องรับมือหนักแค่ไหน ระดับไม่ร้ายแรง คือระบบทำงานช้าลงแต่ยังไม่หยุด ระดับร้ายแรง คือมีทีท่าว่าระบบสำคัญจะหยุดทำงาน และ ระดับวิกฤติ คือการโจมตีวงกว้างที่อาจทำให้ระบบของรัฐล้มเหลวหรือกระทบความมั่นคงของชาติ ยิ่งระดับสูง อำนาจในการสั่งการและความเร่งด่วนก็ยิ่งมากขึ้น

06เจอช่องโหว่แล้วทำอย่างไร: การเปิดเผยอย่างรับผิดชอบ Responsible disclosure

สมมติวันหนึ่งเราบังเอิญเจอช่องโหว่ในเว็บที่ใช้ประจำ หัวใจเต้นแรง เราควรทำอย่างไร โพสต์ลงทวิตเตอร์เลยไหม หรือเงียบ ๆ ไว้ คำตอบคือทำตามแนวทางที่วงการเรียกว่า การเปิดเผยอย่างมีความรับผิดชอบ (responsible disclosure หรือ coordinated disclosure)

แนวคิดนี้สมดุลระหว่างสองอย่าง: เจ้าของระบบต้องมีเวลาแก้ไขก่อนที่คนร้ายจะรู้ และสาธารณะก็มีสิทธิ์รู้ว่ามีความเสี่ยง วิธีที่ลงตัวคือ แจ้งเจ้าของเป็นการส่วนตัวก่อน ให้เวลาเขาแก้ (มาตรฐานที่ใช้กันบ่อยคือราว 90 วัน) แล้วค่อยเปิดเผยหลังจากมีแพตช์แล้ว

หลายองค์กรเปิดช่องทางนี้อย่างเป็นทางการผ่านโครงการ Bug Bounty ตั้งรางวัลให้คนที่หาช่องโหว่มาแจ้งตามกติกา ยิ่งช่องโหว่ร้ายแรง รางวัลยิ่งสูง นี่คือ “สนามหมวกขาว” ที่ถูกกฎหมายเต็มตัว เพราะองค์กรเขียนกติกาชัดว่าอนุญาตให้ทดสอบระบบไหนได้บ้าง เท่ากับมีทั้งการอนุญาตและขอบเขตครบถ้วน

ในทางกลับกัน มีตัวอย่างที่งดงามของการทำถูกต้อง เมื่อปี 2008 นักวิจัยคนหนึ่งค้นพบช่องโหว่ร้ายแรงในระบบ DNS ซึ่งเป็น “สมุดโทรศัพท์” ของอินเทอร์เน็ตทั้งโลก แทนที่จะประกาศทันที เขาเก็บเป็นความลับ แล้วประสานกับผู้ผลิตซอฟต์แวร์หลายเจ้าอย่างเงียบ ๆ จนออกแพตช์พร้อมกันได้ในวันเดียว (8 กรกฎาคม 2008) ก่อนจะค่อยเปิดเผยรายละเอียด นี่คือการเปิดเผยอย่างรับผิดชอบในระดับที่ปกป้องคนทั้งโลกพร้อมกัน

07อยากฝึกมือ ต้องมีสนามที่ถูกกฎหมาย Legal practice grounds

คำถามที่ทุกคนถามคือ “ถ้าห้ามเจาะระบบคนอื่น แล้วจะฝึกยังไง” ข่าวดีคือทุกวันนี้มีสนามซ้อมที่สร้างมาให้เราโจมตีได้เต็มที่อย่างถูกกฎหมาย เพราะมันเป็นระบบที่เขาตั้งใจทำไว้ให้ฝึก มีทั้งที่ฟรีและเสียเงิน และหลายแห่งเป็นภาษาอังกฤษ ซึ่งถือเป็นโอกาสดีที่จะฝึกศัพท์ไปด้วย

• ตั้งห้องแล็บของตัวเอง ติดตั้งเครื่องเสมือน (VM) ไว้ในคอมพิวเตอร์เรา แล้วลองเจาะระบบในเครื่องตัวเอง ปลอดภัยและไม่กระทบใคร
• PortSwigger Web Security Academy คลังบทเรียนและแล็บเรื่องช่องโหว่เว็บ (เช่น SQL injection, XSS) ที่เปิดให้เรียนฟรี
• TryHackMe แล็บที่ทำงานผ่านเบราว์เซอร์ มีเส้นทางเรียนรู้สำหรับมือใหม่ เช่น Cyber Security 101 และ SOC Level 1 มีทั้งแบบฟรีและสมัครสมาชิก
• Hack The Box แล็บและคอร์สจำนวนมากทั้งฝั่งรุกและฝั่งรับ พร้อมสนามแข่งในตัว เหมาะกับคนที่เริ่มคล่องแล้ว

อีกสนามที่สนุกและได้เพื่อนคือการแข่ง CTF (Capture The Flag) การแข่งขันที่เราต้องไขโจทย์เพื่อหา “ธง” (flag) ที่ซ่อนอยู่ โจทย์มีหลายแนว ทั้งเจาะเว็บ ถอดรหัส วิเคราะห์ไฟล์ และวิศวกรรมย้อนกลับ CTF สำหรับมือใหม่ที่ดีมากคือ picoCTF ซึ่งจัดโดยมหาวิทยาลัย Carnegie Mellon และเปิดให้เล่นฟรี โจทย์ค่อย ๆ ไล่จากง่ายไปยาก เหมาะกับการเริ่มต้นมาก

ศัพท์น่ารู้: CTF Capture The Flag

การแข่งขันความปลอดภัยที่จำลองโจทย์ให้เราไขปัญหาเพื่อหา “ธง” (ข้อความลับ) การเล่น CTF เป็นวิธีฝึกที่ดีที่สุดวิธีหนึ่ง เพราะได้ลงมือจริงในสนามที่ถูกกฎหมาย และยังเขียนใส่พอร์ตโฟลิโอได้ด้วย

08แผนที่อาชีพ: สายงานนี้กว้างกว่าที่คิด Career map

พอพูดถึง “อาชีพแฮกเกอร์” หลายคนนึกถึงภาพคนใส่ฮู้ดนั่งหน้าจอมืด ๆ แต่ความจริงงานด้านความปลอดภัยไซเบอร์กว้างมาก และส่วนใหญ่ไม่ได้ “เจาะระบบ” เลยด้วยซ้ำ เราแบ่งคร่าว ๆ ได้เป็นสามฝั่ง

ฝั่งตั้งรับ (Blue Team) คือคนที่คอยเฝ้าและป้องกัน ฝั่งรุกเชิงจริยธรรม (Red Team) คือคนที่จำลองการโจมตีเพื่อหาจุดอ่อนก่อนคนร้าย และ ฝั่งกำกับและออกแบบ ที่ดูแลนโยบาย กฎหมาย และสถาปัตยกรรมความปลอดภัยของทั้งองค์กร

ข่าวดีสำหรับคนเริ่มต้นคือ หลายตำแหน่ง “ทางเข้า” ของสายนี้ไม่ได้ต้องการทักษะเจาะระบบขั้นเทพเลย ตำแหน่งอย่าง SOC Analyst ระดับต้น เน้นที่ความช่างสังเกต ความอดทน และความเข้าใจพื้นฐานว่าระบบทำงานอย่างไร ซึ่งเป็นสิ่งที่ฝึกได้ นี่มักเป็นประตูบานแรกที่คนไทยจำนวนมากก้าวเข้าวงการ

09บันไดทักษะ และเรื่องของใบรับรอง Skills & certifications

ก่อนจะวิ่ง ต้องเดินให้มั่นก่อน หลายคนอยากข้ามไปเรียน “การแฮก” เลย แต่คนที่ไปได้ไกลในสายนี้ล้วนมีรากฐานที่แน่น เพราะการจะเข้าใจว่าระบบ “พัง” ตรงไหน ต้องเข้าใจก่อนว่ามัน “ทำงาน” อย่างไร ลองไล่บันไดนี้ขึ้นไปทีละขั้น

แล้วเรื่อง “ใบรับรอง” (certification) ล่ะ จำเป็นไหม คำตอบคือ มันช่วยได้ในแง่เปิดประตูสัมภาษณ์งานและจัดระบบความรู้ให้เรา แต่มันไม่ใช่ทุกอย่าง และไม่ควรเป็นสิ่งแรกที่ลงทุน หลายใบมีค่าสอบสูง ลองดูพอร์ตโฟลิโอจากการทำโปรเจกต์จริงและผลงาน CTF ควบคู่ไปด้วย เพราะนายจ้างอยากเห็นว่าเรา “ทำเป็น” ไม่ใช่แค่ “สอบผ่าน”

ในระดับภาพรวม ใบรับรองที่คนในวงการพูดถึงบ่อย มีเช่น

• ระดับเริ่มต้น เช่น CompTIA Security+ และ ISC2 Certified in Cybersecurity (CC) ปูพื้นฐานกว้าง ๆ ให้ทั้งสายรุกและสายรับ
• สายตั้งรับ เช่น CompTIA CySA+ สำหรับงานวิเคราะห์และเฝ้าระวังภัย
• สายรุก เช่น OSCP ซึ่งเน้นการสอบลงมือทดสอบเจาะระบบจริงในห้องแล็บ เป็นที่ยอมรับสูงในสายนี้
• ระดับอาวุโส/บริหาร เช่น CISSP ซึ่งต้องมีประสบการณ์ทำงานหลายปี เหมาะกับคนที่ไปสายจัดการและออกแบบระบบ

10แผนเดินต่อ 12 เดือนแรก A 12-month roadmap

ความรู้ที่ไม่มีแผน มักหายไปในอีกไม่กี่สัปดาห์ ลองตั้งเป้าหนึ่งปีข้างหน้าแบบจับต้องได้ นี่ไม่ใช่กฎตายตัว ปรับตามจังหวะชีวิตเราได้เลย แต่หัวใจคือ “ลงมือสม่ำเสมอ” ดีกว่า “หักโหมเป็นพัก ๆ”

เคล็ดลับเล็ก ๆ ที่ช่วยได้มาก: เขียนบันทึกสิ่งที่เรียนรู้ ไม่ว่าจะเป็นบล็อก สมุด หรือ GitHub การอธิบายให้คนอื่นเข้าใจ คือวิธีที่ดีที่สุดในการตรวจสอบว่าเราเข้าใจจริงหรือเปล่า และวันหนึ่งบันทึกเหล่านี้จะกลายเป็นพอร์ตโฟลิโอที่พูดแทนเราในห้องสัมภาษณ์

11ส่งท้าย: เลือกฝั่งที่จะยืน Recap & a sign-off

ยี่สิบสี่บทผ่านไปแล้ว ถ้าจำได้แค่ไม่กี่ข้อจากบทสุดท้ายนี้ ให้จำข้อเหล่านี้

• อนุญาต + ขอบเขต คือเส้นแบ่งระหว่างนักวิจัยกับอาชญากร ต้องได้รับอนุญาตเป็นลายลักษณ์อักษรเสมอ
• รู้จักกฎหมายไทยสามใบ พ.ร.บ.คอมพ์ ลงโทษการกระทำผิด PDPA คุ้มครองข้อมูล และ พ.ร.บ.ไซเบอร์ฯ ดูแลระบบของชาติผ่าน สกมช.
• เจอช่องโหว่ให้เปิดเผยอย่างรับผิดชอบ แจ้งเจ้าของก่อน ให้เวลาแก้ แล้วค่อยประกาศ อย่าขายต่อ อย่าประกาศทันที
• ฝึกในสนามที่ถูกกฎหมาย ห้องแล็บของตัวเอง, Web Security Academy, TryHackMe, Hack The Box และ CTF อย่าง picoCTF
• วางรากให้แน่น แล้วมีแผน ไต่บันไดทักษะทีละขั้น เดินตามแผน 12 เดือน และบันทึกสิ่งที่เรียนรู้ไว้เสมอ

ลองทบทวนดู