เมื่อวันที่ 11 ส.ค. 69 ที่รัฐสภา พรรคประชาชน (ปชน.) นำโดยนายอิสริยะ ไพรีพ่ายฤทธิ์ นายภาวุธ พงษ์วิทยภานุ สส.บัญชีรายชื่อ และนายธีระชาติ ก่อตระกูล คณะทำงานผู้นำฝ่ายค้าน ในฐานะคณะอนุกรรมาธิการ (กมธ.) ครุภัณฑ์ ICT และทุนหมุนเวียน ร่วมกันแถลงข่าวเรื่องข้อมูลส่วนบุคคลที่รั่วไหล
นายอิสริยะ กล่าวว่า ข้อมูลส่วนบุคคลจากหน่วยงานภาครัฐรั่วไหลช่วงสัปดาห์ที่ผ่านมา เป็นการรั่วไหลของข้อมูลสำหรับยืนยันตัวตน หรือการที่รหัสผ่านหลุด สาเหตุส่วนหนึ่งมาจากระบบเทคโนโลยีสารสนเทศของหน่วยงานภาครัฐไทย ที่มีอยู่เป็นจำนวนมาก ที่แต่ละหน่วยงานต่างพัฒนา และบริหารจัดการระบบของตนเอง ซึ่งหลายระบบใช้งานมานานกว่า 10 ปี ส่งผลให้มาตรการรักษาความปลอดภัยของบางระบบ อาจไม่เพียงพอต่อภัยคุกคามทางไซเบอร์ในปัจจุบัน ระบบเก่าหลายแห่ง ยังใช้เพียงชื่อผู้ใช้งาน (Username) และรหัสผ่าน (Password) บางระบบไม่มีการกำหนดระดับสิทธิในการเข้าถึงข้อมูลอย่างเหมาะสม ทำให้เจ้าหน้าที่ระดับปฏิบัติการ หรือผู้ดูแลระบบทั่วไป อาจสามารถเข้าถึงข้อมูลได้ในระดับเดียวกับผู้บริหาร รวมถึงเจ้าหน้าที่ตามสำนักงานต่าง ๆ ที่อาจใช้รหัสผ่านเพียงชุดเดียวในการเข้าถึงข้อมูลสำคัญ เช่น ข้อมูลทะเบียนราษฎร ขณะเดียวกัน ยังพบความเสี่ยงจากพฤติกรรมการใช้รหัสผ่านของผู้ใช้งานที่มีการแบ่งปัน เขียนไว้ หรือตั้งรหัสคาดเดาง่าย
นายอิสริยะ กล่าวต่อว่า ดังนั้นเสนอว่า 1.หน่วยงานเจ้าของระบบที่พบหรือมีความเสี่ยงว่าข้อมูลรหัสผ่านรั่วไหล ควรบังคับรีเซตรหัสผ่านของผู้ใช้งานทั้งหมดทันที 2.สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) ควรรวบรวมรายชื่อระบบเทคโนโลยีสารสนเทศของหน่วยงานภาครัฐทั้งหมด และเร่งตรวจสอบความมั่นคงปลอดภัยของระบบ (Security Audit) ว่าแต่ละระบบมีมาตรฐานด้านความปลอดภัยเพียงพอหรือไม่ ตรวจสอบครอบคลุมถึงการบริหารจัดการสิทธิของผู้ใช้งาน เช่น เจ้าหน้าที่ที่พ้นจากตำแหน่ง หรือออกจากหน่วยงานแล้วยังสามารถเข้าสู่ระบบได้หรือไม่ และควรเปิดเผยความคืบหน้าการตรวจสอบ
ด้าน นายภาวุธ กล่าวว่า สำหรับแนวทางแก้ไขปัญหาในระยะกลาง และระยะยาว คือ 1.กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม (ดีอี) ควรร่วมกับ สกมช. กำหนดมาตรฐานกลางสำหรับการบริหารจัดการระบบและการยืนยันตัวตน เพื่อให้หน่วยงานภาครัฐถือปฏิบัติในแนวทางเดียวกัน มีมาตรฐานเดียวกัน เพื่อยกระดับความปลอดภัยของระบบภาครัฐในภาพรวม 2. เปลี่ยนจากระบบที่ใช้เพียงรหัสผ่านมาเป็นระบบการยืนยันตัวตนแบบหลายปัจจัย (Multi-Factor Authentication : MFA) เช่น รหัส OTP หรือรหัสพิเศษที่เปลี่ยนแปลงทุกครั้งในการเข้าสู่ระบบ หรือ การใช้แอปพลิเคชันยืนยันตัวตน เช่น Microsoft Authenticator หรือ Google Authenticator ทั้งนี้เพื่อป้องกันคนไม่หวังดีรู้ชื่อผู้ใช้ และพาสเวิร์ดแล้วสวมรอยแทนได้
3. ควรลดหรือยกเลิกการให้ประชาชนลงทะเบียนที่ต้องกรอกข้อมูลที่มีความอ่อนไหว เช่น ชื่อ-นามสกุล หมายเลขโทรศัพท์ หมายเลขบัตรประจำตัวประชาชน เลขหลังบัตรประจำตัวประชาชน โดยอาจใช้การยืนยันตัวตนผ่านระบบยืนยันตัวตนดิจิทัลกลางของภาครัฐ เช่น แอปพลิเคชัน ThaID ของกรมการปกครอง กระทรวงมหาดไทย หน่วยงานอื่นๆ จึงไม่ต้องเก็บข้อมูลที่อ่อนไหวซึ่งเสี่ยงต่อการรั่วไหลได้ 4. ควรมีระบบกลางในการจัดเก็บบันทึกเหตุการณ์ หรือ Log ของการใช้งานระบบ ซึ่งสามารถตรวจสอบได้ว่าใครเป็นผู้เข้าระบบในแต่ละครั้ง ทั้งนี้ ข้อมูล Log ดังกล่าวต้องได้รับการป้องกันไม่ให้สามารถแก้ไขหรือลบได้โดยง่าย
“ที่ผ่านมา เมื่อแฮกเกอร์หรือผู้ไม่หวังดีเข้าสู่ระบบ อาจมีการลบบันทึกการใช้งานเพื่อปกปิดร่องรอย ขณะที่บางระบบอาจไม่มีการจัดเก็บข้อมูล Log อย่างเพียงพอ ทำให้ไม่สามารถตรวจสอบย้อนหลังได้ว่าใครเข้าสู่ระบบเมื่อใด หรือดำเนินการใดกับข้อมูล ดังนั้น การจัดเก็บ Log อย่างเป็นระบบและปลอดภัยจึงมีความสำคัญต่อการตรวจสอบและติดตามเหตุการณ์ด้านความมั่นคงปลอดภัยไซเบอร์” นายภาวุธ กล่าว
นายภาวุธ กล่าวอีกว่า 5. สกมช. และหน่วยงานภาครัฐควรมีกระบวนการส่งเสริมให้เกิดการตรวจสอบช่องโหว่ของระบบอย่างต่อเนื่อง โดยใช้แนวคิด “Bug Bounty” หรือโครงการให้รางวัลแก่ผู้ค้นพบและแจ้งช่องโหว่ของระบบมาใช้ ซึ่งต้องกำหนดช่องทางและหลักเกณฑ์ที่ชัดเจน เพื่อเปิดโอกาสให้นักวิจัยด้านความปลอดภัย ผู้เชี่ยวชาญ หรือประชาชนที่ตรวจพบช่องโหว่สามารถแจ้งข้อมูลแก่หน่วยงานได้อย่างถูกต้องและปลอดภัย ส่วนการตอบแทนอาจมีหลายแบบ เช่น มอบประกาศนียบัตร การประกาศยกย่อง หรือการให้เงินรางวัลตามระดับความรุนแรงของช่องโหว่
