ทีมดิจิทัลพรรคประชาชนชี้ช่องโหว่ระบบภาครัฐ เสนอแผนแก้ข้อมูลรั่วไหล

วิกฤตข้อมูลส่วนบุคคลของประชาชนชาวไทยรั่วไหลจากระบบของหน่วยงานภาครัฐได้ขยายวงกว้างจนถึงระดับที่ข้อมูลแทบทุกส่วน รวมถึงรูปถ่ายติดบัตรประจำตัวประชาชน นำมาสู่ความเสี่ยงต่อการถูกสวมรอยนำข้อมูลไปใช้ในทางที่ผิด

จากผลกระทบที่รุนแรงดังกล่าว ทีมดิจิทัลของพรรคประชาชน นำโดย อิสริยะ ไพรีพ่ายฤทธิ์ สส. แบบบัญชีรายชื่อ, ภาวุธ พงษ์วิทยภานุ สส. แบบบัญชีรายชื่อ และ ธีระชาติ ก่อตระกูล คณะทำงานผู้นำฝ่ายค้านในสภาผู้แทนราษฎร ในฐานะคณะอนุกรรมาธิการครุภัณฑ์ ICT และทุนหมุนเวียน ร่วมกันนำเสนอโรดแมปและยุทธศาสตร์การปกป้องข้อมูลส่วนบุคคลแบบครบวงจร เพื่อปิดช่องโหว่และยกระดับความปลอดภัยทางไซเบอร์ของประเทศ

ต้นตอความหละหลวมของระบบไอทีภาครัฐ

ทีมดิจิทัลพรรคประชาชนระบุถึงสาเหตุรากฐานของปัญหาว่า เกิดจากระบบเทคโนโลยีสารสนเทศของภาครัฐมีลักษณะกระจายศูนย์ ต่างหน่วยงานต่างพัฒนาระบบของตนเองมาเป็นระยะเวลานาน ประกอบกับการขาดแคลนบุคลากรที่มีความเชี่ยวชาญด้านความปลอดภัยประจำหน่วยงาน สภาพการณ์นี้นำไปสู่จุดอ่อนวิกฤตสองประการ คือ

• ระบบยืนยันตัวตนมีความอ่อนแอ จากการพึ่งพารหัสผ่านเพียงชั้นเดียว
• การขาดการจำกัดสิทธิการเข้าถึงข้อมูล (Access Control) โดยไม่มีการแบ่งระดับความลับของข้อมูล ไม่มีการยกเลิกรหัสผ่านของบุคลากรที่พ้นสภาพการจ้างงานหรือเกษียณอายุ และหน่วยงานส่วนใหญ่ไม่มีการเก็บบันทึกประวัติการใช้งาน (Access Log) สำหรับตรวจสอบย้อนหลังว่าบุคคลใดเข้าถึงข้อมูลส่วนใดไปบ้าง

ความหละหลวมเหล่านี้เป็นสาเหตุหลักของปัญหารหัสผ่านรั่วไหล (Credential Leaks) ซึ่งส่วนใหญ่ไม่ได้เกิดจากการถูกเจาะระบบโดยตรง แต่เกิดจากความประมาทของเจ้าหน้าที่รัฐ เช่น การจดรหัสผ่านแปะไว้ที่โต๊ะทำงาน การตั้งรหัสผ่านที่คาดเดาง่าย การใช้รหัสผ่านร่วมกัน หรือการนำคอมพิวเตอร์ส่วนตัวที่ติดมัลแวร์มาใช้งาน

เมื่อแฮกเกอร์ได้รหัสผ่านดังกล่าวไป จะสามารถเข้าถึงฐานข้อมูลทั่วไป เช่น ทะเบียนรถ ข้อมูลการศึกษา หรือข้อมูลจิตอาสา จากนั้นจึงนำข้อมูลพื้นฐานอย่างเลขประจำตัวประชาชน เลขรหัสหลังบัตร (Laser Code) หรือวันเกิด ไปใช้สวมรอยยืนยันตัวตนเพื่อเข้าถึงระบบอื่น ๆ ต่อเนื่องเป็นห่วงโซ่

มาตรการระยะสั้น: ระงับความเสียหายภายใน 30 วัน

เพื่อระงับความเสียหายในเบื้องต้น ทีมดิจิทัลพรรคประชาชนเสนอให้ดำเนินการทันทีภายในกรอบเวลา 30 วัน โดยหน่วยงานที่เป็นเจ้าของระบบต้องสั่งบังคับตั้งค่ารหัสผ่านใหม่ (Force Reset) ทั้งหมด และห้ามผู้ใช้งานกลับไปใช้รหัสผ่านเดิมที่เคยรั่วไหลไปแล้ว ซึ่งถือเป็นมาตรฐานสากล โดยสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) ต้องเข้ามาตรวจสอบกำกับดูแลการปฏิบัติดังกล่าว

พร้อมกันนี้ สกมช. ต้องเร่งรวบรวมรายชื่อระบบไอทีภาครัฐที่กระจัดกระจายอยู่ทั่วประเทศ เพื่อดำเนินการตรวจสอบความปลอดภัยพื้นฐาน โดยผู้ดูแลระบบจะต้องยกเลิกบัญชีผู้ใช้งานของพนักงานหรืออธิบดีที่เกษียณอายุราชการไปแล้วอย่างเด็ดขาด แม้ปัจจุบัน สกมช. จะได้ดำเนินการส่งหนังสือแจ้งเตือนไปยังปลัดกระทรวง 19 กระทรวงแล้ว แต่ยังคงต้องมีการติดตามผลอย่างใกล้ชิด

นอกจากนี้ ควรมีการจัดทำกระดานข้อมูลสรุป (Dashboard) รายงานสถานะของทุกหน่วยงานผ่านหน้าเว็บไซต์สาธารณะ เพื่อระบุอย่างชัดเจนว่าหน่วยงานใดยังไม่ได้ดำเนินการแก้ไขระบบ

มาตรการระยะกลางและระยะยาว: การจัดทำมาตรฐานกลางเพื่อความยั่งยืน

สำหรับกรอบเวลา 180 วันและในระยะยาว กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม ร่วมกับ สกมช. ควรเร่งกำหนดมาตรฐานกลาง รวมถึงเทคโนโลยีระบบกลางที่หน่วยงานต่าง ๆ สามารถนำไปปรับใช้ได้

• เริ่มต้นจากการเปลี่ยนวิธีการยืนยันตัวตนจากการใช้รหัสผ่านเพียงชั้นเดียว ไปสู่ กระบวนการยืนยันตัวตนแบบหลายปัจจัย (MFA) ซึ่งผู้ใช้ต้องใช้หลักฐานมากกว่าหนึ่งอย่างในการเข้าสู่ระบบ ผ่านแอปพลิเคชันอย่าง ThaiD หรือตัวตรวจสอบสิทธิ์ของกูเกิลและไมโครซอฟท์
• ต้องทยอยยกเลิกการใช้ข้อมูลส่วนบุคคลพื้นฐานในการลงทะเบียน เช่น เลขประจำตัวประชาชน รหัสหลังบัตร หรือวันเกิด เนื่องจากการรั่วไหลที่เกิดขึ้นทำให้ข้อมูลเหล่านี้ไม่สามารถใช้ยืนยันตัวตนที่แท้จริงได้อีกต่อไป
• ในด้านการตรวจสอบระบบ ต้องมีการจัดทำ ระบบจัดการบันทึกข้อมูลส่วนกลาง (Centralized Log Management) โดยบังคับให้ทุกระบบส่งประวัติการใช้งานเข้าไปยังศูนย์กลางในรูปแบบที่แก้ไขไม่ได้ เพื่ออำนวยความสะดวกให้ สกมช. สามารถตรวจสอบระบบไอทีของภาครัฐได้อย่างครอบคลุม
• สกมช. ควรเพิ่ม โครงการมอบรางวัลจากการหาช่องโหว่ (Bug Bounty) เพื่อให้ค่าตอบแทนแก่ผู้เชี่ยวชาญด้านความปลอดภัยไซเบอร์หรือแฮกเกอร์สายขาว ที่ค้นพบและรายงานช่องโหว่ในระบบ โครงสร้างพื้นฐาน หรือแอปพลิเคชันขององค์กร โดยสามารถให้รางวัลเป็นเงิน คำขอบคุณ เกียรติบัตร หรือการจารึกชื่อในหอเกียรติยศ ซึ่งเป็นแนวทางที่ประสบความสำเร็จมาแล้วในต่างประเทศ เช่น โครงการของกระทรวงกลาโหมหรือกระทรวงความมั่นคงแห่งชาติสหรัฐอเมริกา
• ควรมีการจัดตั้ง หน่วยประธานเจ้าหน้าที่บริหารด้านสารสนเทศระดับประเทศ (National CIO) เพื่อเข้ามารวบรวมและบริหารจัดการระบบไอทีภาครัฐในภาพรวมให้เป็นมาตรฐานเดียวกัน ครอบคลุมทั้งประเด็นความปลอดภัย ความเป็นส่วนตัว นโยบายการใช้ระบบคลาวด์ส่วนกลาง (Cloud First) การจัดซื้อครุภัณฑ์ ตลอดจนการลงทุนในเทคโนโลยีปัญญาประดิษฐ์และข้อมูลขนาดใหญ่ (Big Data & AI)