นำมาสู่คำถามสำคัญถึงมาตรฐานความปลอดภัยไซเบอร์ของหน่วยงานรัฐไทย ประชาชนตาดำ ๆ ที่ต้องติดต่อราชการ ทำธุรกรรมต่าง ๆ จะไว้ใจข้อมูลส่วนบุคคลของตัวเองจะไม่หลุดไปถึงมือมิจฉาชีพได้แค่ไหน?
การเจาะลึกต้นตอปัญหาครั้งนี้สะท้อนให้เห็นช่องโหว่สะสมเชิงโครงสร้างที่ภาครัฐจำเป็นต้องเร่ง “ผ่าตัดใหญ่” ระบบไอทีทั้งระบบอย่างจริงจัง ไม่เช่นนั้นก็จะเกิดเหตุการณ์แบบซ้ำแล้วซ้ำเล่า
ระบบเชื่อมต่อ 60 หน่วยงาน
ท่าทีภาครัฐจะขันนอตในเรื่องนี้อย่างไรนั้น ทาง “พล.อ.ต. อมร ชมเชย” เลขาธิการ สกมช.เผยถึงเบื้องหลังเหตุการณ์ครั้งนี้ว่า หลังทราบเหตุตั้งแต่เมื่อวันอาทิตย์ 2 ส.ค. ทาง นายไชยชนก ชิดชอบ รมว.ดิจิทัลเพื่อเศรษฐกิจและสังคม ได้สั่งการด่วน ให้ทีม ThaiCERT ลงพื้นที่ร่วมกับกรมการขนส่งทางบกแก้ไขช่องโหว่ทันที ผลการสอบสวนพบว่าต้นตอเกิดจาก “ระบบเก่า” ที่เปิดใช้งานมาตั้งแต่ปี 2560 เพื่อเชื่อมโยงข้อมูลกับหน่วยงานต่าง ๆ กว่า 60 แห่งในการปฏิบัติภารกิจ ตั้งแต่การตรวจสอบรถถูกขโมยในพื้นที่ภาคใต้เพื่อป้องกันเหตุความมั่นคง, การเช็กข้อมูลผู้ใช้บริการ M-Flow, ตรอ.ตรวจสภาพรถ ไปจนถึงตำรวจจราจรและเทศกิจใช้ในการออกใบสั่ง ฯลฯ
ถูกสุ่ม Username และ Password
“เหตุการณ์ที่เกิดขึ้นไม่ได้เกิดจากการแฮกระบบที่มีความซับซ้อนสูงแต่อย่างใดแต่เกิดจากผู้ไม่หวังดีนำ Username และ Password ที่รั่วไหลในต่างประเทศมาสุ่มล็อกอินจนสำเร็จ แล้วนำ Session Key ไปเขียนโปรแกรมเชื่อมต่อ API ดึงข้อมูลไปเปิดหน้าเว็บให้บริการพาณิชย์เพื่อแสวงหาประโยชน์โดยมิชอบขณะนี้เจ้าหน้าที่ตำรวจไซเบอร์ได้พยานหลักฐานและ Log การใช้งานชัดเจนแล้ว”
“มันเป็นระบบเก่าที่เปิดใช้มาตั้งแต่ปี 2560 ซึ่งภัยคุกคามในยุคนั้นยังไม่เหมือนปัจจุบันเคสนี้ไม่ได้เกิดจากการแฮกระบบแบบซับซ้อน แต่เป็นการ “เข้าถึงระบบโดยไม่ได้รับอนุญาต”โดยใช้ Username และ Password ที่หลุดรั่ว”
ไม่ใช่ข้อมูลหลุดทั้งประเทศ
สำหรับกระแสข่าวข้อมูลรั่วไหลถึง 67 ล้านรายการ นั้นสกมช. ยืนยันว่าไม่จริง เนื่องจากทางเทคนิคระบบนี้เก็บเฉพาะฐานข้อมูลผู้ครอบครองรถยนต์เท่านั้นและเป็นการทยอยเรียกดูทีละรายการ ไม่ใช่การดึงข้อมูลยกฐานข้อมูลออกไป อย่างไรก็ตาม การปิดระบบยาวนานทำได้ยาก เพราะกระทบงานความมั่นคง และธุรกรรมต่าง ๆ เบื้องต้นจึงใช้วิธีบังคับเปลี่ยนพาสเวิร์ดและยกระดับความปลอดภัยทดแทน
ยกเครื่องระบบไอที 300 กรม
เพื่อแก้ปัญหาที่ต้นตอทาง สกมช.เตรียมดีเดย์ภายใน 30 วัน สั่งสังคายนาใหญ่ ระบบไอทีภาครัฐกว่า 300 กรม โดยได้ออกมาตรการดังนี้
1. สำรวจและปิดระบบร้าง : ระบบเก่าที่ไม่ได้ใช้งานแล้วแต่ถูกลืมทิ้งไว้ ต้องสั่งยกเลิกและปิดช่องโหว่ทันที
2. เลิกใช้ Password ชั้นเดียว : เตรียมเสนอ ครม.บังคับให้ทุกหน่วยงานรัฐยกเลิกการใช้พาสเวิร์ดเพียงอย่างเดียวในการเข้าถึงระบบ
3. ยกระดับเป็น MFA (Multi-Factor Authentication) : ปรับไปใช้การยืนยันตัวตนหลายปัจจัยเช่น การสแกนผ่านแอปพลิเคชัน ThaID, Google Authenticator หรือMicrosoft Authenticator เพื่อให้มีเงื่อนไขว่าผู้เข้าใช้งานต้องมีอุปกรณ์ยืนยันตัวตนอยู่กับตัวจริง ๆ
4. ตรวจจับพฤติกรรมผิดปกติ : ระบบต้องบันทึกและบอกได้ชัดเจนว่า ใครเข้าถึงข้อมูลของใคร เมื่อไหร่ หากมีการดึงข้อมูลมากผิดปกติระบบต้องแจ้งเตือนทันที
อย่างไรก็ตามในเรื่องของการคุ้มครองข้อมูลส่วนบุคคลนั้นจะมีการยกระดับดำเนินการอย่างไรนั้น
ทาง “พ.ต.อ.สุรพงศ์ เปล่งขำ” เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) หรือ PDPC ระบุว่า ได้ให้หน่วยงานที่เกิดเหตุรายงานมาตรการรักษาความปลอดภัยกลับมาภายใน 72 ชั่วโมง ขณะเดียวกันได้ประสานสกมช. ร่วมตรวจพิสูจน์มาตรฐานระบบ เพื่อสรุปผลเสนอต่อคณะกรรมการผู้เชี่ยวชาญพิจารณาลงโทษทางปกครองต่อไป
ขีดเส้น 1 เดือน ได้ผลสอบ
“กระบวนการรวบรวมข้อเท็จจริงตั้งเป้าให้แล้วเสร็จภายใน 1 เดือน โดยจะพิจารณาว่าหน่วยงานมีการจำกัดสิทธิเข้าถึง กำกับดูแล และตั้งรหัสผ่านที่รัดกุมหรือไม่ หากพบความละเลย เช่น การใช้ Username/Password ที่อ่อนแอ จะถือว่าปฏิบัติผิดกฎหมาย PDPA อย่างชัดเจน ซึ่งในส่วนการดำเนินคดี PDPC จะลงโทษหน่วยงานต้นเหตุเต็มที่ พร้อมประสาน
เจ้าหน้าที่ตำรวจล่าตัวมิจฉาชีพภายนอกที่แอบอ้างเข้าถึงข้อมูลมาดำเนินคดีอาญา”
อย่างไรก็ตามทาง PDPC ได้ฝากเตือนประชาชนอย่าตื่นตระหนกเนื่องจากข้อมูลที่รั่วไหลยังไม่สามารถนำไปใช้ก่อเหตุได้ทันที หากเจ้าของข้อมูลไม่หลงเชื่อกลอุบายของมิจฉาชีพที่เข้ามาหลอกลวงให้โหลดลิงก์หรือเผยความลับพร้อมแนะนำแนวทางป้องกันตนเองเบื้องต้น โดยให้หมั่นเปลี่ยนรหัสผ่านอีเมลหรือแพลตฟอร์มสำคัญทุก ๆ 3 เดือน แต่ไม่ถึงขั้นต้องไปเปลี่ยนข้อมูลส่วนบุคคล เช่น เลขทะเบียนรถพร้อมเน้นย้ำให้ระมัดระวังการติดต่อจากคนแปลกหน้าอย่างเข้มงวด
รัฐต้องปรับเกณฑ์จัดซื้อจัดจ้าง
แม้หน่วยงานรัฐที่รับผิดชอบเร่งแก้ปัญหาแต่ในมุมของประชาชน ผู้บริโภค ก็ไม่อยากให้เกิดเหตุซ้ำ โดยในมุมมองของผู้บริโภคนั้น ทาง “อุดมธิปก ไพรเกษตร” จากสภาผู้บริโภค ชี้ว่า วิกฤติครั้งนี้สะท้อนปัญหาการบริหารจัดการสัญญาว่าจ้างเอกชนของรัฐที่มักขาดข้อตกลงการประมวลผลข้อมูลส่วนบุคคล หรือ DPA ที่รัดกุมทำให้เกิดช่องโหว่ในการควบคุมผู้รับจ้างช่วงและการจัดการข้อมูลเก่า จึงเสนอให้กรมบัญชีกลางยกระดับเกณฑ์จัดซื้อจัดจ้างภาครัฐใหม่ทั้งหมด
นอกจากนี้รัฐบาลต้องสั่งการให้ทุกหน่วยงานของภาครัฐทำ DPA ทุกโครงการ รวมถึงการเร่งออกมาตรการประเมินผล
กระทบด้านคุ้มครองข้อมูลหรือ DPIA เพื่อยกระดับมาตรฐานความปลอดภัยไอทีภาครัฐให้เทียบเท่าระดับสากลเพราะความผิดพลาดเรื่องข้อมูลรั่วไหล ไม่ควรเกิดขึ้นซ้ำซากในสังคมไทย
“ข้อมูลส่วนบุคคลรั่วไหลไม่ใช่เรื่องใหม่ แต่สิ่งสำคัญคือจะทำอย่างไรไม่ให้เกิดอีกแบบซ้ำ ๆ อีก หากแม้แต่ข้อมูลของบุคคลระดับนายกรัฐมนตรีหรือรัฐมนตรีก็ยังหลุดรั่วไหลสร้างความกังวลได้ยิ่งสะท้อนว่าประชาชนทั่วไปก็มีความเสี่ยงไม่ต่างกัน หน่วยงานรัฐต้องให้ความสำคัญกับการคุ้มครองข้อมูลส่วนบุคคลอย่างจริงจังและต้องมีความรับผิดชอบเมื่อเกิดความเสียหาย” ดร.อุดมธิปก ระบุ
ถึงเวลาแล้วที่ภาครัฐต้องเลิกเป็น “เสือกระดาษ” สร้างเกราะป้องกันไซเบอร์ เพื่อเรียกความเชื่อมั่นกลับคืนให้ประชาชนว่าข้อมูลส่วนบุคคลของประชาชน จะได้รับความคุ้มครองเทียบเท่าสากล.
ทีมเศรษฐกิจ
