How to Remove Users and Manage Access Risks
การลบผู้ใช้และจัดการความเสี่ยงคืออะไร
การลบผู้ใช้ (Remove User) คือการนำผู้ใช้ออกจาก Organization บน Business Manager เมื่อบุคคลนั้นไม่จำเป็นต้องเข้าถึงข้อมูลอีกต่อไป เช่น เมื่อพนักงานลาออก ย้ายแผนก หรือเอเจนซีหมดสัญญา — เมื่อถูกลบออกจาก Organization สิทธิ์เข้าถึง Resource ทั้งหมดใน Organization นั้น (Audience, LINE Tag, การตั้งค่า) จะถูกเพิกถอน (revoke) ทันที
การจัดการความเสี่ยง (Risk Management) หมายถึงการตรวจสอบ (audit) สิทธิ์การเข้าถึงอย่างสม่ำเสมอ เพื่อให้แน่ใจว่าเฉพาะคนที่จำเป็นเท่านั้นที่มีสิทธิ์เข้าถึงข้อมูล ตามหลัก Principle of Least Privilege (ให้สิทธิ์น้อยที่สุดเท่าที่จำเป็น) ซึ่งเป็นเรื่องสำคัญต่อความปลอดภัยของธุรกิจ
แผนการลบผู้ใช้และจัดการความเสี่ยง
ขั้นตอนประกอบด้วย:
- ทบทวนรายชื่อผู้ใช้ปัจจุบัน
- ระบุผู้ใช้ที่ต้องการลบ
- ตรวจสอบสิทธิ์ของผู้ใช้นั้น
- ลบผู้ใช้ออก
- ตรวจสอบหลังการลบ
- บันทึกการเปลี่ยนแปลง
เข้าถึงได้ที่ไหน
การลบผู้ใช้และจัดการความเสี่ยงทำได้ที่ Business Manager — เข้าที่ business.line.biz แล้วเลือก Organization ที่ต้องการ:
- เมนู "Users" (ผู้ใช้ที่มีสิทธิ์เข้าถึง): ดู / เพิ่ม / ลบ / เปลี่ยน Role ของผู้ใช้
- เมนู "Settings" (การตั้งค่า Organization): สำหรับการตั้งค่าและข้อมูลธุรกิจเพิ่มเติม
หมายเหตุ: เฉพาะ แอดมิน (Administrator) เท่านั้นที่เห็นและใช้เมนูจัดการผู้ใช้ (Users) ได้
3 ระดับสิทธิ์ (Roles) ใน Business Manager
BM แบ่งสิทธิ์ผู้ใช้เป็น 3 ระดับหลัก (โครงสร้างเดียวกับ LINE Ads) — เข้าใจ Role ก่อนจะช่วยให้ตัดสินใจได้ว่าจะ "ลด Role" หรือ "ลบทิ้ง":
| Role (ทางการ) | สิทธิ์โดยสรุป | จัดการ/ลบ User ได้ไหม |
|---|---|---|
| แอดมิน (Administrator) | ทำได้ทุกอย่าง — จัดการผู้ใช้, อนุมัติการลิงก์บัญชี (LINE OA/LINE Ads), จัดการแหล่งข้อมูล, ตั้งค่า Organization | ✅ ได้ |
| ผู้ดำเนินงาน (Operator) | จัดการแหล่งข้อมูล (Share resources) + Tags/Audiences + ข้อมูลธุรกิจ — แต่จัดการ User / ตั้งค่า Org ไม่ได้ | ❌ ไม่ได้ |
| ผู้วิเคราะห์ (Analyst) | เน้นดู/วิเคราะห์ (read only) — ดูรายงานและข้อมูลได้ แต่แก้ไข/จัดการหรืออนุมัติการลิงก์บัญชีไม่ได้ | ❌ ไม่ได้ |
เงื่อนไขและกฎเกณฑ์การลบ User
| เงื่อนไข | รายละเอียด |
|---|---|
| ต้องเป็น Administrator เท่านั้น | มีเพียงแอดมิน (Administrator) ที่ลบ User ได้ — Operator (รวม "data only") และ Analyst ทำไม่ได้ |
| User ถูกลบ → เข้า Org ไม่ได้ทันที | ไม่ต้องรอ — สิทธิ์เข้าถึง Resource ทั้งหมดใน Org นั้นถูก revoke ทันที |
| Resource ที่ User สร้างยังอยู่ | Audience/TAG ที่สร้างไว้ไม่หายตามไป |
| ต้องลบในทุก Organization | ถ้าผู้ใช้อยู่หลาย Org ต้องลบแยกแต่ละ Org |
⚠️ ความเสี่ยงที่สำคัญที่สุด: อย่ามี Admin แค่คนเดียว ถ้า Admin คนเดียวลาออก/Account ถูก Lock ไม่มีใครจัดการ Org ได้
วิธีใช้งาน (ลบผู้ใช้และจัดการความเสี่ยง)
ขั้นตอนที่ 1: ทบทวนรายชื่อผู้ใช้
- เข้า Business Manager
- จากเมนูด้านซ้าย คลิก "Users"
- ดูรายชื่อผู้ใช้ทั้งหมด
- บันทึกชื่อและบทบาท (Role) ของแต่ละคน
ขั้นตอนที่ 2: ระบุผู้ใช้ที่ต้องการลบ
- ตรวจสอบผู้ใช้ที่ไม่ได้ใช้งานนาน
- หาผู้ใช้ที่เปลี่ยนแผนกหรือออกจากบริษัท
- หาผู้ใช้ที่มีสิทธิ์เกินความจำเป็น
- สร้างรายชื่อผู้ใช้ที่ต้องการลบ
ขั้นตอนที่ 3: ตรวจสอบสิทธิ์ของผู้ใช้นั้น
- คลิกชื่อผู้ใช้ที่ต้องการลบ
- ดูรายละเอียด:
- บทบาท (Administrator, Operator, Analyst)
- สิทธิ์ที่มี (LINE Tags, Audiences, Ad Accounts)
- วันที่เข้าร่วม
- วันที่ล่าสุดใช้งาน
- ตรวจสอบว่าผู้ใช้มีสิทธิ์อะไรบ้าง
ขั้นตอนที่ 4: เปลี่ยน Role ก่อนลบ (ทางเลือก)
ในกรณี Notice Period ให้เปลี่ยน Role เป็น Analyst ก่อนลบ:
| สถานการณ์ | วิธีการ | เหตุผล |
|---|---|---|
| Notice Period 2-4 สัปดาห์ | เปลี่ยน → Analyst, ลบวันสุดท้าย | ยังดูข้อมูลได้ แต่แก้ไขอะไรไม่ได้ |
| ต้องการ Handover | Analyst 1 สัปดาห์, ลบหลังจาก | ลดความเสี่ยง + ให้เวลา Handover |
| Immediate (ลาออกกะทันหัน/มีความเสี่ยง) | ลบทันที | ความเสี่ยงสูง — ต้องลบภายในวันเดียวกัน |
ขั้นตอนที่ 5: ลบผู้ใช้
- ในหน้า Users ให้หาผู้ใช้ที่ต้องการลบ
- คลิกไอคอน Delete หรือ Remove ข้าง ชื่อ
- ระบบจะขอการยืนยัน
- ตรวจสอบชื่อผู้ใช้อีกครั้ง (เพื่อตรวจสอบว่าลบคนที่ถูกต้อง)
- คลิก "Confirm Delete" หรือ "Yes" เพื่อยืนยัน
ขั้นตอนที่ 6: ตรวจสอบการลบสำเร็จ
- ผู้ใช้ต้องหายไปจากรายชื่อ Users
- หากยังอยู่ให้รีเฟรชหน้า
- ตรวจสอบว่าสิทธิ์ของผู้ใช้อื่นไม่ได้รับผลกระทบ
5 สถานการณ์เร่งด่วน — ต้องลบ User ทันที
| สถานการณ์ | ความเร่งด่วน | วิธีการ |
|---|---|---|
| พนักงานลาออก | 🔴 สูงสุด | ลบภายในวันเดียวกัน — ก่อนปิดเวิร์ก |
| ย้ายไปคู่แข่ง | 🔴 สูงสุด | ลบทันที — ก่อนวันทำงานวันสุดท้าย |
| Agency หมดสัญญา | 🟡 สูง | ลบวันสิ้นสุดสัญญา |
| Intern จบฝึกงาน | 🟡 สูง | ลบวันสุดท้ายของการฝึกงาน |
| ย้ายแผนก (ไม่ Marketing) | 🟠 ปานกลาง | เปลี่ยน Role → Analyst หรือลบภายใน 1 สัปดาห์ |
ขั้นตอนที่ 7: จัดการความเสี่ยง - Audit สิทธิ์ (Risk Management)
วิธีการตรวจสอบสิทธิ์เป็นประจำ:
- ทำการตรวจสอบทุก 3 เดือน หรือเมื่อมีการเปลี่ยนแปลง
- ตรวจสอบรายชื่อผู้ใช้ทั้งหมด
- ยืนยันว่า Administrator มีจำนวนน้อย (ไม่ควรเกิน 2–3 คนในทีม SME) และต้องมีอย่างน้อย 1 คนเสมอ
- ตรวจสอบว่า Operator มี Scope ที่ถูกต้อง
ขั้นตอนที่ 8: ระบุและแก้ไขสิทธิ์ที่เสี่ยง
- หาผู้ใช้ที่มีบทบาทสูงกว่าที่ต้อง
- หาผู้ใช้ที่ Administrator แต่ควร Operator
- หา Operator ที่สามารถเปลี่ยนเป็น Analyst ได้
- เปลี่ยนบทบาทให้เหมาะสม (ดูขั้นตอนการเปลี่ยน Role ในเอกสาร User Permission Management)
ข้อมูลเพิ่มเติม
Best Practices สำหรับความปลอดภัยการเข้าถึง:
- Principle of Least Privilege: ให้สิทธิ์เพียงเท่าที่ต้องการ
- Regular Audit: ตรวจสอบสิทธิ์ทุก 3–6 เดือน
- Documentation: บันทึกการเปลี่ยนแปลง
- Two-Factor Authentication (2FA): เปิด 2FA สำหรับ LINE Business ID (LINE บังคับใช้ปี 2569) — รองรับ Authenticator App / SMS / Email verification / Backup codes
- Offboarding Process: มีกระบวนการลบสิทธิ์เมื่อออกจากบริษัท
สิ่งที่ต้องบันทึก:
- วันที่ลบผู้ใช้
- ชื่อผู้ใช้
- บทบาทเดิม
- เหตุผลในการลบ
- ใครที่ลบ
คำถามที่พบบ่อย (FAQ)
Q: ลบ User ออกจาก Organization แล้ว ต้องทำอะไรต่อ?
A: (1) ยืนยันว่าผู้ใช้หายไปจากรายชื่อ Users (2) ถ้าผู้ใช้อยู่หลาย Organization ต้องลบแยกแต่ละ Org (3) ตรวจ Resource (Audience/TAG) ที่ผู้ใช้เคยสร้างไว้
Q: หาก Admin คนเดียว ต้องทำไง?
A: ⚠️ อันตรายมาก ต้องตั้ง Admin สำรอง 1 คนเสียก่อน
Q: สามารถกู้คืน User ที่ลบแล้วได้หรือ?
A: ไม่ได้ — ต้องเชิญเข้ามาใหม่ โดยแอดมินเข้าเมนู Users → Invite เลือก Role แล้วส่ง invite link (มีอายุ 72 ชั่วโมง) ให้ผู้ใช้กดรับใหม่ (สิทธิ์เดิมไม่ถูกกู้กลับอัตโนมัติ)
Q: Audit สิทธิ์ควรทำบ่อยแค่ไหน?
A: ทุกเดือน Quick Scan (10 นาที) + ทุกไตรมาส Full Review (30 นาที)
Q: ต้องลบ User ออกจาก Organization ทั้งหมดหรือ?
A: ถ้า User อยู่หลาย Org ต้องลบแยกแต่ละ Org ไม่มีปุ่ม "ลบจากทุก Org"
Q: Resource ที่ User สร้างหายไหมเมื่อลบ?
A: ไม่หาย Audience/TAG จะยังคงอยู่ ต่อให้ลบ User ผู้สร้าง
