ปชน. เสนอ 5 ทางแก้ข้อมูลภาครัฐรั่วไหล ไม่ให้ปชช.ตกอยู่ในความเสี่ยง ชี้ควรบังคับรีเซ็ตรหัสทุกครั้ง

“ปชน.”เสนอทางแก้ข้อมูลภาครัฐรั่วไหล ไม่ให้ปชช.ตกอยู่ในความเสี่ยง ถูกแฮกเกอร์ สแกมเมอร์ ชี้ควรบังคับรีเซ็ตรหัสทุกครั้ง “ธีระชาติ” แนะรวมระบบไว้ที่ส่วนกลาง แฉในอนุงบฯ กรมการปกครอง เสนอ 5 โครงการ แต่มี Firewall 12 ตัว ส่วนกรมทางหลวง ของบรักษาความปลอดภัยทางคอมฯ 315 ล้าน แต่เอาแม่ข่ายไปตั้งไว้หน้าห้องน้ำ ทำให้คนอื่นเข้าถึงง่าย

เมื่อวันที่ 11 สิงหาคม เวลา 10.00 น. ที่รัฐสภา พรรคประชาชน นำโดยนายอิสริยะ ไพรีพ่ายฤทธิ์ นายภาวุธ พงษ์วิทยภานุ ส.ส.บัญชีรายชื่อ และนายธีระชาติ ก่อตระกูล คณะทำงานผู้นำฝ่ายค้านในสภาผู้แทนราษฎร ในฐานะคณะอนุกรรมาธิการครุภัณฑ์ ICT และทุนหมุนเวียน ร่วมกันแถลงข่าวเรื่องข้อมูลส่วนบุคคลที่รั่วไหล

นายอิสริยะ กล่าวว่า จากกรณีข้อมูลส่วนบุคคลจากหน่วยงานภาครัฐรั่วไหลในช่วงสัปดาห์ที่ผ่านมา กรณีที่เกิดขึ้นนี้มีลักษณะแตกต่างออกไป ในทางเทคนิคกรณีดังกล่าวเป็นการรั่วไหลของข้อมูลสำหรับยืนยันตัวตน หรือ การที่รหัสผ่านหลุด สาเหตุส่วนหนึ่งมาจากระบบเทคโนโลยีสารสนเทศของหน่วยงานภาครัฐไทยที่มีอยู่เป็นจำนวนมาก คาดว่ามีมากกว่า 1,000 ระบบ โดยแต่ละหน่วยงานต่างพัฒนาและบริหารจัดการระบบของตนเอง ขณะที่หลายระบบถูกใช้งานมานานกว่า 10 ปี ส่งผลให้มาตรการรักษาความปลอดภัยของบางระบบอาจไม่เพียงพอต่อภัยคุกคามทางไซเบอร์ในปัจจุบัน

นายอิสริยะ ยังกล่าวว่า ระบบเก่าหลายแห่งยังใช้เพียงชื่อผู้ใช้งาน (Username) และรหัสผ่าน (Password) ในการเข้าสู่ระบบ อีกทั้งบางระบบไม่มีการกำหนดระดับสิทธิ์ในการเข้าถึงข้อมูลอย่างเหมาะสม ส่งผลให้เจ้าหน้าที่ระดับปฏิบัติการหรือผู้ดูแลระบบทั่วไปอาจสามารถเข้าถึงข้อมูลได้ในระดับเดียวกับผู้บริหาร รวมถึงเจ้าหน้าที่ตามสำนักงานต่าง ๆ ที่อาจใช้รหัสผ่านเพียงชุดเดียวในการเข้าถึงข้อมูลสำคัญ เช่น ข้อมูลทะเบียนราษฎร์ ขณะเดียวกัน ยังพบความเสี่ยงจากพฤติกรรมการใช้รหัสผ่านของผู้ใช้งาน เช่น การเขียนรหัสผ่านไว้บริเวณโต๊ะทำงาน การแบ่งปันรหัสผ่านให้ผู้อื่น หรือการตั้งรหัสผ่านที่คาดเดาได้ง่าย

นายอิสริยะ กล่าวว่าสำหรับกรณีล่าสุด เข้าใจว่าอาจเริ่มต้นจากระบบฐานข้อมูลทะเบียนรถ ซึ่งเจ้าหน้าที่บางกลุ่ม เช่น เจ้าหน้าที่ด้านความมั่นคงหรือเจ้าหน้าที่สินเชื่อ สามารถเข้าถึงข้อมูลเกี่ยวกับทะเบียนรถและผู้ครอบครองรถได้ซึ่งสะท้อนให้เห็นว่าการรั่วไหลครั้งนี้อาจเกิดขึ้นจากหลายระบบที่เชื่อมโยงต่อเนื่องกัน สิ่งที่น่ากังวล คือ ข้อมูลที่รั่วไหลในครั้งนี้มีความอ่อนไหวสูง โดยเฉพาะข้อมูลทะเบียนราษฎร์ รวมถึงภาพถ่ายความละเอียดสูงที่ใช้ในการจัดทำบัตรประจำตัวประชาชน ซึ่งถูกจัดเก็บอยู่ในระบบของกรมการปกครอง ภาพดังกล่าวมีรายละเอียดมากกว่าภาพที่ปรากฏบนบัตรประจำตัวประชาชน และกรณีที่ปรากฏภาพของนายกรัฐมนตรีถูกเผยแพร่ออกมา ยิ่งสะท้อนให้เห็นถึงระดับความรุนแรงของปัญหา

“สถานการณ์ดังกล่าวทำให้ข้อมูลส่วนบุคคลในชีวิตประจำวันของประชาชนไทยตกอยู่ในความเสี่ยงอย่างมาก เนื่องจากข้อมูลที่รั่วไหลอาจถูกแฮกเกอร์ สแกมเมอร์ หรือผู้ไม่หวังดีนำไปใช้สวมรอยเป็นบุคคลอื่น และอาจใช้ยืนยันตัวตนกับระบบของภาครัฐแทนเจ้าของข้อมูลตัวจริงได้ ซึ่งถือเป็นความเสี่ยงที่มีความร้ายแรงเมื่อข้อมูลรั่วไหลออกไปแล้ว การเรียกคืนข้อมูลหรือขอให้ผู้ที่ได้ข้อมูลไปลบข้อมูลทั้งหมดแทบเป็นไปไม่ได้”นายอิสริยะกล่าว

นายอิสริยะ กล่าวต่อว่า ขอเสนอแนวทางในการแก้ไข คือ1.หน่วยงานเจ้าของระบบที่พบหรือมีความเสี่ยงว่าข้อมูลรหัสผ่านรั่วไหล ควรบังคับรีเซ็ตรหัสผ่านของผู้ใช้งานทั้งหมดโดยทันที ซึ่งเป็นมาตรการมาตรฐานด้านความมั่นคงปลอดภัยไซเบอร์ที่ใช้กันทั่วไป

2.สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) ซึ่งมีหน้าที่กำกับดูแลด้านความมั่นคงปลอดภัยไซเบอร์ของประเทศ ควรรวบรวมรายชื่อระบบเทคโนโลยีสารสนเทศของหน่วยงานภาครัฐทั้งหมด และเร่งดำเนินการตรวจสอบความมั่นคงปลอดภัยของระบบ (Security Audit) ว่าแต่ละระบบมีมาตรฐานด้านความปลอดภัยเพียงพอหรือไม่ ซึ่งการตรวจสอบดังกล่าวควรครอบคลุมถึงการบริหารจัดการสิทธิ์ของผู้ใช้งาน เช่น เจ้าหน้าที่ที่พ้นจากตำแหน่งหรือออกจากหน่วยงานแล้วยังสามารถเข้าสู่ระบบได้หรือไม่ และควรเปิดเผยความคืบหน้าการตรวจสอบ ในรูปแบบ Dashboard

3.กรณีข้อมูลส่วนบุคคลรั่วไหลอาจเกี่ยวข้องกับการปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล หรือ PDPA ซึ่งมีสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) เป็นหน่วยงานกำกับดูแล โดยที่ผ่านมาได้มีการบังคับใช้กฎหมายและดำเนินมาตรการกับภาคเอกชนในกรณีข้อมูลส่วนบุคคลรั่วไหลมาแล้วหลายกรณี ดังนั้นจึงคาดหวังให้ สคส. บังคับใช้มาตรฐานการกำกับดูแลและมาตรการตามกฎหมายกับหน่วยงานภาครัฐอย่างจริงจัง หน่วยงานภาครัฐและผู้บริหารหน่วยงานในฐานะผู้รับผิดชอบการบริหารจัดการข้อมูลจึงควรมีส่วนรับผิดชอบ และต้องเร่งปรับปรุงมาตรการคุ้มครองข้อมูลส่วนบุคคลให้มีความรัดกุมและได้มาตรฐานมากยิ่งขึ้น

ด้าน นายภาวุธ กล่าวว่า สำหรับแนวทางแก้ไขปัญหาในระยะกลาง และระยะยาว คือ 1.กระทรวงดีอีควร ร่วมกับสกมช. กำหนดมาตรฐานกลางสำหรับการบริหารจัดการระบบและการยืนยันตัวตน เพื่อให้หน่วยงานภาครัฐถือปฏิบัติในแนวทางเดียวกัน มีมาตรฐานเดียวกัน เพื่อยกระดับความปลอดภัยของระบบภาครัฐในภาพรวม

2. เปลี่ยนจากระบบที่ใช้เพียงรหัสผ่านมาเป็นระบบการยืนยันตัวตนแบบหลายปัจจัย (Multi-Factor Authentication : MFA) เช่น รหัส OTP หรือรหัสพิเศษที่เปลี่ยนแปลงทุกครั้งในการเข้าสู่ระบบ หรือ การใช้แอพพลิเคชั่นยืนยันตัวตน เช่น Microsoft Authenticator หรือ Google Authenticator ทั้งนี้เพื่อป้องกันคนไม่หวังดีรู้ชื่อผู้ใช้ และพาสเวิร์ดแล้วสวมรอยแทนได้

3.ควรลดหรือยกเลิกการให้ประชาชนลงทะเบียนที่ต้องกรอกข้อมูลที่มีความอ่อนไหว เช่น ชื่อ- นามสกุล หมายเลขโทรศัพท์ หมายเลขบัตรประจำตัวประชาชน เลขหลังบัตรประจำตัวประชาชน โดยอาจใช้การยืนยันตัวตนผ่านระบบยืนยันตัวตนดิจิทัลกลางของภาครัฐ เช่น แอปพลิเคชัน ThaID ของกรมการปกครอง กระทรวงมหาดไทย หน่วยงานอื่นๆ จึงไม่ต้องเก็บข้อมูลที่อ่อนไหวซึ่งเสี่ยงต่อการรั่วไหลได้

4.ควรมีระบบกลางในการจัดเก็บบันทึกเหตุการณ์ หรือ Log ของการใช้งานระบบ ซึ่งสามารถตรวจสอบได้ว่าใครเป็นผู้เข้าระบบในแต่ละครั้ง ทั้งนี้ ข้อมูล Log ดังกล่าวต้องได้รับการป้องกันไม่ให้สามารถแก้ไขหรือลบได้โดยง่าย

“ที่ผ่านมา เมื่อแฮกเกอร์หรือผู้ไม่หวังดีเข้าสู่ระบบ อาจมีการลบบันทึกการใช้งานเพื่อปกปิดร่องรอย ขณะที่บางระบบอาจไม่มีการจัดเก็บข้อมูล Log อย่างเพียงพอ ทำให้ไม่สามารถตรวจสอบย้อนหลังได้ว่าใครเข้าสู่ระบบ เมื่อใด หรือดำเนินการใดกับข้อมูล ดังนั้น การจัดเก็บ Log อย่างเป็นระบบและปลอดภัยจึงมีความสำคัญต่อการตรวจสอบและติดตามเหตุการณ์ด้านความมั่นคงปลอดภัยไซเบอร์” นายภาวุธ กล่าว

นายภาวุธ กล่าวอีกว่า และ 5. สกมช.และหน่วยงานภาครัฐควรมีกระบวนการส่งเสริมให้เกิดการตรวจสอบช่องโหว่ของระบบอย่างต่อเนื่อง โดยใช้แนวคิด “Bug Bounty” หรือโครงการให้รางวัลแก่ผู้ค้นพบและแจ้งช่องโหว่ของระบบมาใช้ ซึ่งต้องกำหนดช่องทางและหลักเกณฑ์ที่ชัดเจน เพื่อเปิดโอกาสให้นักวิจัยด้านความปลอดภัย ผู้เชี่ยวชาญ หรือประชาชนที่ตรวจพบช่องโหว่สามารถแจ้งข้อมูลแก่หน่วยงานได้อย่างถูกต้องและปลอดภัย ส่วนการตอบแทนอาจมีหลายแบบ เช่น มอบประกาศนียบัตร การประกาศยกย่อง หรือการให้เงินรางวัลตามระดับความรุนแรงของช่องโหว่

ขณะที่นายธีระชาติ กล่าวว่า เป็นไปได้ยากที่ระบบของภาครัฐจะมีความมั่นคงปลอดภัย หากยังคงมีช่องทางเข้าสู่ระบบจำนวนมาก เปรียบเสมือนการทิ้งกุญแจไว้นับแสนดอก แล้วเปิดประตูไว้นับหมื่นบานให้บุคคลสามารถเข้าถึงระบบได้โดยง่าย ทั้งที่ภาคเอกชนมีแนวทางและมาตรการด้านความมั่นคงปลอดภัยที่สามารถนำมาเป็นตัวอย่างได้ อย่างไรก็ตามภาครัฐอาจยังไม่ได้ให้ความสำคัญกับการนำบุคลากรที่มีความรู้และความเชี่ยวชาญเฉพาะทางเข้ามาปฏิบัติงานให้ตรงกับสายงานอย่างเพียงพอ

นายธีระชาติ กล่าวว่า ในการพิจารณาของอนุกรรมาธิการงบฯ พบว่าในปีนี้โครงการที่เกี่ยวข้องกับความมั่นคงปลอดภัยทางคอมพิวเตอร์มีเป็นจำนวนมาก เช่น กรมทางหลวงมีงบประมาณสำหรับจัดซื้ออุปกรณ์และระบบคอมพิวเตอร์ รวมถึงระบบรักษาความมั่นคงปลอดภัยทางคอมพิวเตอร์ ประมาณ 315 ล้านบาท โดยเฉพาะระบบรักษาความปลอดภัยมีมูลค่าหลายสิบล้านบาท แต่พบว่ามีการติดตั้งเครื่องแม่ข่าย (Server) ไว้ในบริเวณที่บุคคลสามารถเข้าถึงได้โดยง่าย เช่น บริเวณหน้าห้องน้ำ อาจทำให้บุคคลสามารถเข้าถึงเครื่องแม่ข่ายทางกายภาพได้โดยตรง และอาจนำอุปกรณ์จัดเก็บข้อมูลมาเชื่อมต่อกับระบบได้ สะท้อนให้เห็นว่า แม้ภาครัฐจะใช้งบประมาณจำนวนมากเพื่อเสริมสร้างความมั่นคงปลอดภัยทางไซเบอร์ แต่หากขาดมาตรการรักษาความปลอดภัยทางกายภาพและการบริหารจัดการที่เหมาะสม งบประมาณที่ลงทุนไปก็อาจไม่ก่อให้เกิดประสิทธิภาพตามวัตถุประสงค์

นายธีระชาติ กล่าวต่อว่า เช่นเดียวกับกรณีของกรมการปกครอง ซึ่งเกี่ยวข้องกับเหตุข้อมูลรั่วไหลที่เกิดขึ้น โดยในการของบประมาณมีการเสนอโครงการจำนวน 5 โครงการ แต่มีอุปกรณ์ Firewall รวมถึง 12 ตัว หากเปรียบ Firewall เสมือนแนะรวมป้อมยาม ที่ทำหน้าที่ป้องกันการเข้าสู่ระบบ ก็เท่ากับว่ามีการติดตั้งป้อมยามไว้เป็นจำนวนมาก ตั้งแต่บริเวณประตู สนามหญ้า ห้องรับแขก ไปจนถึงห้องนอน แต่ท้ายที่สุดข้อมูลยังสามารถรั่วไหลออกไปได้ ปัญหาจึงไม่ได้อยู่ที่จำนวนอุปกรณ์รักษาความปลอดภัยเพียงอย่างเดียว แต่อยู่ที่การบริหารจัดการและบุคลากรที่มีความรู้ความเชี่ยวชาญในการดูแลระบบด้วย การใช้งบประมาณในลักษณะที่ต่างหน่วยงานต่างจัดซื้ออุปกรณ์และพัฒนาระบบของตนเอง นอกจากไม่มีประสิทธิภาพแล้ว ยังอาจก่อให้เกิดปัญหาในระยะยาว หากไม่มีการรวมระบบสำคัญเข้าสู่การบริหารจัดการส่วนกลางและอยู่ภายใต้การดูแลของผู้เชี่ยวชาญอย่างแท้จริง ก็จะเป็นเรื่องยากที่จะแก้ไขปัญหาด้านความมั่นคงปลอดภัยทางไซเบอร์ได้อย่างเป็นระบบ

นายธีระชาติ กล่าวด้วยว่า สำหรับแนวนโยบายของรัฐบาลนั้นก็ต้องชื่นชมที่รัฐบาลรับฟังข้อเสนอจากฝ่ายค้านในประเด็นนโยบาย Cloud First และ National Cloud ซึ่งเป็นแนวทางที่มีการกล่าวถึงมาอย่างต่อเนื่อง อย่างไรก็ตามในขั้นตอนการพิจารณางบประมาณของคณะอนุกรรมาธิการฯ ยังคงพบการเสนอของบประมาณเพื่อจัดซื้อเครื่องแม่ข่ายและพัฒนาระบบแยกกันในแต่ละหน่วยงาน ส่งผลให้โครงสร้างพื้นฐานด้านดิจิทัลของภาครัฐยังมีลักษณะกระจัดกระจายและต่างคนต่างดำเนินการ

นายธีระชาติ กล่าวว่า ประเด็นที่น่าสังเกตคือ ในการลงมติบางกรณี ฝ่ายค้านกลับเป็นฝ่ายลงมติสอดคล้องกับนโยบายของรัฐบาล ขณะที่สส.ฝ่ายรัฐบาลบางส่วนกลับลงมติในทิศทางที่แตกต่างจากนโยบายของรัฐบาลเอง จึงเห็นว่าในชั้นการพิจารณาของคณะกรรมาธิการวิสามัญพิจารณาร่างพระราชบัญญัติ(พ.ร.บ.)งบประมาณรายจ่ายประจำปี2570 ควรกำหนดแนวทางให้ชัดเจนว่า หน่วยงานภาครัฐไม่ควรจัดทำ Data Center ของตนเองมากเกินความจำเป็น เพราะปัจจุบันบางหน่วยงาน เช่น กระทรวงมหาดไทย มีโครงสร้าง Data Center หลายระดับ ทั้งในส่วนกลาง ระดับภาค และระดับจังหวัด รวมถึงระบบที่แต่ละหน่วยงานบริหารจัดการเอง ทั้งที่โครงสร้างพื้นฐานเหล่านี้สามารถพิจารณารวบรวมและบริหารจัดการให้เป็นระบบเดียวกันผ่าน National Cloud ได้ ซึ่งจะช่วยลดความซ้ำซ้อนในการลงทุนและเพิ่มประสิทธิภาพในการบริหารจัดการด้านความมั่นคงปลอดภัย

“ปัจจัยสำคัญคือความเชื่อมั่นของหน่วยงานต่างๆ ที่มีต่อระบบส่วนกลางและกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมอยู่แล้ว จึงขอเรียกร้องให้รัฐบาลผลักดันและบังคับใช้นโยบาย National Cloud และ Cloud First อย่างจริงจัง เพื่อให้เกิดผลในทางปฏิบัติ ไม่ใช่เพียงการกำหนดเป็นนโยบายเท่านั้น ทั้งนี้แนวทางที่สามารถดำเนินการได้อย่างเป็นรูปธรรม คือ ในขั้นตอนที่โครงการงบประมาณจากอนุกรรมาธิการฯเข้าสู่การพิจารณาของกมธ.งบประมาณชุดใหญ่ ควรพิจารณาทบทวนหรือตัดโครงการที่หน่วยงานยังเสนอของบประมาณเพื่อจัดทำ Data Center ของตนเองโดยไม่มีความจำเป็น เพื่อผลักดันให้หน่วยงานภาครัฐใช้โครงสร้างพื้นฐานดิจิทัลร่วมกันมากขึ้น ซึ่งจะเป็นจุดเริ่มต้นสำคัญในการลดความซ้ำซ้อนของงบประมาณ เพิ่มประสิทธิภาพในการใช้จ่ายงบประมาณ และยกระดับความมั่นคงปลอดภัยของระบบสารสนเทศภาครัฐในระยะยาว”นายธีระชาติ กล่าว