นายอิสริยะ ไพรีพ่ายฤทธิ์ สมาชิกสภาผู้แทนราษฎร(สส.) แบบบัญชีรายชื่อ พร้อมด้วย นายภาวุธ พงษ์วิทยภานุ สส.บัญชีรายชื่อ พรรคประชาชน ร่วมกันแถลงข่าวกรณี ข้อมูลส่วนบุคคลจากหน่วยงานภาครัฐรั่วไหล โดยระบุว่า เหตุการณ์นี้สะท้อนถึงความอ่อนแอของระบบรักษาความปลอดภัยไอทีภาครัฐ หลายคนอาจเข้าใจว่าระบบของหน่วยงานรัฐถูกแฮก หมายถึงแฮกเกอร์ค้นพบช่องโหว่และเจาะเข้าสู่ระบบ แต่กรณีนี้มีลักษณะแตกต่างออกไป โดยในทางเทคนิคเรียกว่า Credential Hack หรือการที่ข้อมูลสำหรับเข้าสู่ระบบ เช่น ชื่อผู้ใช้และรหัสผ่าน หลุดออกไป สาเหตุส่วนหนึ่งมาจากระบบไอทีของหน่วยงานภาครัฐที่มีจำนวนมากและมีการพัฒนาขึ้นในช่วงเวลาที่แตกต่างกัน โดยหลายระบบมีอายุการใช้งานมากกว่า 10 ปี ขณะที่ระบบรักษาความปลอดภัยบางส่วนยังไม่เข้มแข็ง และใช้เพียงชื่อผู้ใช้กับรหัสผ่านในการเข้าสู่ระบบ พร้อมตั้งข้อสังเกตว่า ระบบเก่าบางระบบอาจไม่มีการแบ่งระดับสิทธิ์ในการเข้าถึงข้อมูลอย่างเหมาะสม ทำให้เจ้าหน้าที่ระดับปฏิบัติการหรือผู้ดูแลระบบสามารถเข้าถึงข้อมูลจำนวนมากได้ใกล้เคียงกับผู้บริหารระดับสูง อีกทั้งยังมีความเสี่ยงจากพฤติกรรมการใช้งาน เช่น การจดรหัสผ่านไว้ในที่เปิดเผย การแบ่งปันรหัสผ่าน หรือการตั้งรหัสผ่านที่คาดเดาได้ง่าย เมื่อข้อมูลจากระบบหนึ่งหลุดออกมา แฮกเกอร์สามารถนำข้อมูลดังกล่าวไปใช้เพื่อเข้าสู่ระบบอื่นต่อเป็นทอด ๆ โดยยกกรณีที่เป็นข่าวว่า อาจเริ่มจากฐานข้อมูลทะเบียนรถ ซึ่งข้อมูลดังกล่าวสามารถถูกนำไปใช้ยืนยันตัวตนเพื่อเข้าสู่ระบบทะเบียนราษฎร และมีการเชื่อมโยงไปยังระบบอื่น ผลที่เกิดขึ้น คือ ข้อมูลส่วนบุคคลที่มีความละเอียดอ่อนถูกนำออกไปจำนวนมาก โดยเฉพาะข้อมูลทะเบียนราษฎร และภาพถ่ายบัตรประชาชนความละเอียดสูงซึ่งเสี่ยงต่อการที่มิจฉาชีพจะนำไปปลอมแปลงตัวตนเพื่อยืนยันกับระบบรัฐแทนเจ้าของข้อมูลได้ จึงถือเป็นความเสี่ยงที่ร้ายแรงต่อความปลอดภัยของประชาชน
ทั้งนี้ พรรคประชาชนมีข้อเสนอ โดยระยะสั้น คือการบังคับเปลี่ยนรหัสผ่านของระบบที่มีข้อมูลรั่วไหลทันที หน่วยงานเจ้าของระบบควรบังคับให้ผู้ใช้งานเปลี่ยนรหัสผ่านทั้งหมดทันทีโดยไม่อนุญาตให้ใช้รหัสผ่านเดิม ซึ่งเป็นมาตรฐานที่ใช้ในวงการอุตสาหกรรมความปลอดภัยอยู่แล้ว การกำหนดให้สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) รวบรวมรายชื่อของระบบไอทีภาครัฐและตรวจสอบระบบเพื่อประเมินว่ามีมาตรฐานความปลอดภัยเพียงพอหรือไม่ รวมถึงตรวจสอบว่าบุคลากรที่ลาออกหรือเกษียณอายุไปแล้ว ยังสามารถเข้าถึงระบบได้หรือไม่ และผู้รับจ้างพัฒนาระบบยังมีรหัสผ่านสำหรับเข้าถึงระบบภายหลังส่งมอบงานหรือไม่ นอกจากนี้ เสนอให้ สกมช. จัดทำ Dashboard เผยแพร่ต่อสาธารณะ เพื่อรายงานความคืบหน้าการตรวจสอบว่า หน่วยงานใดตรวจสอบแล้ว หน่วยงานใดมีระบบที่ปลอดภัย และหน่วยงานใดยังพบปัญหาและไม่ได้แก้ไข เพื่อให้ประชาชนสามารถติดตามได้ และควรมีการบังคับใช้กฎหมายคุ้มครองข้อมูลส่วนบุคคลกับหน่วยงานรัฐอย่างจริงจัง ซึ่งการรั่วไหลของข้อมูลส่วนบุคคลเข้าข่ายปัญหาที่เกี่ยวข้องกับกฎหมายคุ้มครองข้อมูลส่วนบุคคล หรือ PDPA โดยสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล มีอำนาจดำเนินการกับกรณีข้อมูลรั่วไหลอยู่แล้ว จึงเห็นว่าควรใช้มาตรการและบทลงโทษในลักษณะเดียวกันกับหน่วยงานภาครัฐด้วย แม้การรั่วไหลอาจเกิดจากความประมาทหรือการออกแบบระบบที่ไม่รัดกุม และอาจไม่ใช่ความรับผิดชอบโดยตรงของหัวหน้าหน่วยงาน แต่หน่วยงานรัฐควรต้องมีความรับผิดชอบต่อการปล่อยให้ระบบที่มีข้อมูลสำคัญของประชาชนมีมาตรการรักษาความปลอดภัยไม่เพียงพอ
ด้านนายภาวุธ กล่าวเพิ่มเติมถึงข้อเสนอแนวทางแก้ปัญหาในระยะกลางและระยะยาว ว่าจำเป็นต้องแก้ปัญหาการบริหารจัดการข้อมูลของภาครัฐที่มีลักษณะกระจัดกระจาย โดยกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม ซึ่งเป็นหน่วยงานหลักด้านระบบดิจิทัล ควรร่วมกับ สกมช. จัดทำมาตรฐานกลางด้านการยืนยันตัวตนและการรักษาความปลอดภัยของระบบภาครัฐ และเห็นว่า ไม่ควรปล่อยให้แต่ละหน่วยงานกำหนดวิธีการบริหารจัดการรหัสผ่าน การออก OTP หรือกระบวนการยืนยันตัวตนของตนเองโดยไม่มีมาตรฐานร่วมกัน แต่ควรมีมาตรฐานกลางที่ทุกหน่วยงานต้องปฏิบัติตาม พร้อมเสนอให้ภาครัฐปรับเปลี่ยนระบบจากเดิมที่พึ่งพาเพียง Username และ Password ไปสู่การใช้ Multi-Factor Authentication (MFA) ซึ่งเป็นการยืนยันตัวตนมากกว่าหนึ่งปัจจัย เช่น นอกจากรหัสผ่านแล้ว ยังต้องมี OTP หรือปัจจัยอื่นเพิ่มเติม เพื่อเพิ่มความปลอดภัยและลดความเสี่ยงในกรณีที่รหัสผ่านรั่วไหล ย้ำว่าการยกระดับระบบดังกล่าวเป็นแนวทางสำคัญในการป้องกันไม่ให้ผู้ที่ได้ข้อมูล Username และ Password ไปแล้ว สามารถเข้าสู่ระบบภาครัฐได้โดยง่าย และเป็นส่วนหนึ่งของการปรับโครงสร้างระบบรักษาความปลอดภัยของข้อมูลภาครัฐในระยะยาวอีกด้วย
อรพรรณ ขันทองคำ /ข่าว
ลักขณา เทียกทอง /เรียบเรียง
