กรณีบริษัท Resecurity รายงานว่า เฉพาะเดือนม.ค.67 มีข้อมูลที่ใช้ระบุตัวบุคคลของคนไทยเกือบ 20 ล้านชุดข้อมูลรั่วไหล และถูกประกาศขายบนฟอรัมซื้อขายข้อมูลผิดกฎหมาย โดยเป็นข้อมูลจากกรมกิจการผู้สูงอายุมากถึง 19.7 ล้านแถวข้อมูล
นายณัฐพงษ์ เรืองปัญญาวุฒิ สส.บัญชีรายชื่อ พรรคก้าวไกล แสดงความเห็นผ่านเพจเฟซบุ๊กของพรรคก้าวไกลว่า ข้อมูลที่หลุดครั้งนี้สะท้อนถึงเหตุที่เกิดขึ้นซ้ำๆ มาโดยตลอด โดยเฉพาะในกรณีนี้ เป็นข้อมูลที่น่ากังวลที่หลุดออกมาจากหน่วยงานภาครัฐ ซึ่งปฏิเสธได้ยากว่าเป็นเรื่องของความบกพร่องในการบริหารจัดการข้อมูลประชาชนของภาครัฐ แนะต้องเร่งรัดนโยบาย Cloud First Policy
- เหตุเกิดจากคนใน และระบบที่มีช่องโหว่
จากสถิติในการแฮ็กข้อมูลและระบบ ส่วนใหญ่เกิดขึ้นจากคนในที่แอบขโมยข้อมูลออกไปขาย หรือใช้ช่องทางคนในในการเจาะระบบ ซึ่งในส่วนนี้ค่อนข้างป้องกันได้ยาก แต่จากที่ได้ติดตามข่าวข้อมูลรั่วไหลที่เกิดขึ้นในประเทศไทยมาโดยตลอด ไม่ว่าจะเป็นเหตุการณ์ที่มีข้อมูลนักท่องเที่ยวหลุด หมายเลขบัตรประชาชนหลุด หรือช่วงสถานการณ์โควิดที่มีการนำข้อมูลที่เกี่ยวข้องกับการจัดการโควิดของประชาชนออกมาขาย เหตุการณ์เหล่านี้ไม่ได้เกิดขึ้นจากคนในทั้งหมด แต่เป็นปัญหาจากระบบที่มีช่องโหว่ และนโยบายในการจัดการเทคโนโลยีสารสนเทศ หรือโครงสร้างพื้นฐานดิจิทัลภาครัฐที่ยังไม่ได้วางให้ถูกหลักการเท่าที่ควร
อย่างเช่น แอปพลิเคชันหรือระบบดิจิทัลต่างๆ หลายส่วนในภาครัฐ เวลารัฐจัดทำก็จะใช้วิธีการจัดซื้อจัดจ้าง โดยให้ผู้รับเหมาดูแลทั้งหมด ทั้งในระดับเซิร์ฟเวอร์ ระดับข้อมูล หรือในระดับแอปพลิเคชัน โดยรัฐไม่เข้าไปแตะเลย วันดีคืนดีเกิดมีคนในของผู้รับเหมาเจ้านั้นแอบเอาข้อมูลออกไปขายหรือเจาะระบบ ก็ทำได้ง่ายมาก เพราะข้อมูลทุกอย่างของภาครัฐและประชาชน อยู่กับทางผู้รับเหมาหมดเลย
- รัฐต้องเร่งรัดนโยบาย Cloud First Policy
แม้รัฐบาลประกาศนโยบาย Cloud First Policy หรือการทำให้ระบบเทคโนโลยีสารสนเทศขึ้นคลาวด์ให้หมดแล้ว แต่ยังมีขั้นตอนของการบริหารจัดการที่ต้องวางกรอบเรื่องการจัดการความปลอดภัยไซเบอร์ให้รัดกุมยิ่งขึ้น ในการให้ภาครัฐเป็นคนควบคุมข้อมูลและรักษาดูแลความปลอดภัยข้อมูลให้ประชาชน ไม่ใช่ให้ผู้รับเหมาควบคุมได้ทุกอย่าง
หากเปรียบแอปพลิเคชันที่ใช้ในการทำงานภาครัฐ หรือบริการออนไลน์ที่ให้ประชาชนลงทะเบียน เป็นเหมือนสำนักงานหนึ่งแห่ง ปัจจุบันเมื่อภาครัฐหน่วยงานหนึ่งจะจัดทำแอปขึ้นมา ก็จะจ้างผู้รับเหมาหนึ่งเจ้าไปขึ้นสำนักงานหลังใหม่ สมมติว่ามี 20 กระทรวงที่ทำแอปพลิเคชัน ก็เหมือนมีสำนักงานใหม่ขึ้นมา 20 หลัง โดยที่ภาครัฐจะให้ผู้รับเหมา เป็นคนดูแลรักษาความปลอดภัยให้กับภาครัฐเลย “แต่อย่าลืมว่า ในสำนักงานแต่ละหลัง ผู้รับเหมาที่รับช่วงต่อจากภาครัฐแต่ละเจ้าก็มีวิธีการจัดการคนละแบบ 20 เจ้าก็ 20 แบบ วันดีคืนดี คนในของผู้รับเหมาเจ้านั้น แอบขโมยกุญแจเข้าตึกหลังนั้น แล้วไปขายต่อก็ได้
“แต่หากใช้ Cloud First Policy จะเหมือนกับการที่รัฐตั้งตึกหลังใหม่ เป็นศูนย์กลางแห่งเดียว แล้วให้บรรดากระทรวงมาเช่าสำนักงานอยู่ในตึกนี้ เอาแอปพลิเคชันทุกชิ้นมากองอยู่ในคลาวด์ของภาครัฐ ซึ่งไม่ได้หมายความว่าเซิร์ฟเวอร์จะต้องอยู่ที่เดียว และไม่ได้หมายความว่าจะต้องมีผู้ให้บริการคลาวด์เพียงรายเดียวให้กับรัฐ”
นายณัฐพงษ์ กล่าวว่า เพียงแต่ภาครัฐจะสามารถบริหารจัดการให้ทุกแอปพลิเคชัน หรือทุกบริการดิจิทัลภาครัฐ ที่ให้บริการอยู่บนคลาวด์หลายๆ ที่นั้น มีมาตรการในการรักษาความปลอดภัยแบบเดียวกัน ภาครัฐสามารถจัดการได้อย่างรวมศูนย์ และมีหน้าที่ในการดูแลรักษาและวางมาตรการการรักษาความปลอดภัยได้เองทั้งหมด นี่เป็นสถาปัตยกรรมระบบดิจิทัลของภาครัฐที่ตอนนี้หลายประเทศใช้อยู่
แต่ภาครัฐ และภาคราชการไทย มักจะมีวิธีคิดว่า การเอาข้อมูลประชาชนและข้อมูลภาครัฐขึ้นคลาวด์แบบนี้ ก็คือการเอาไปฝากไว้กับผู้ให้บริการข้างนอก แล้วรู้สึกไม่ปลอดภัย แต่จริงแล้วไม่ใช่ นี่เป็นความเข้าใจผิด เพราะการขึ้นคลาวด์ รู้จักการใช้คลาวด์ และรู้จักการตั้งค่ารักษาความปลอดภัยให้เป็น เป็นการรักษาความปลอดภัยได้ดียิ่งขึ้นมากกว่าวิธีการจัดซื้อจัดจ้างทำแอปพลิเคชันในปัจจุบันเสียอีก
- ดึงต่างชาติลงทุน Data Center ในไทยอย่างเดียวไม่พอ
ขณะนี้ ท่าทีที่รัฐบาลแถลงออกมาเรื่องนโยบายด้านดิจิทัลของประเทศ ยังค่อนข้างให้น้ำหนักกับการดึงเม็ดเงินจากต่างชาติมาลงทุน ในการตั้ง Data Center ประมาณแสนกว่าล้านบาทเป็นหลัก แต่รัฐควรจะมองให้ครอบคลุมเรื่องของ “ความมั่นคงปลอดภัยไซเบอร์” ด้วย ซึ่งเรายังไม่เห็นการแถลงออกมาจากทางกระทรวงดิจิทัลฯ หรือทางรัฐบาลเองว่าจะมีการลงรายละเอียดในเรื่องนี้อย่างไร เรื่องนี้มีความสำคัญกับการรักษาความปลอดภัยของประชาชนด้วย เช่น การให้นักลงทุนต่างชาติมาตั้ง data center ในไทยอย่างเดียวไม่พอ เมื่อจะนำบริการดิจิทัลภาครัฐไปขึ้นคลาวด์ที่มาตั้ง data center ในไทยแล้ว สิ่งที่สำคัญกว่าคือมาตรการในการรักษาความปลอดภัยข้อมูลของประชาชนเป็นอย่างไร
“จากการที่อยู่ในคณะกรรมาธิการวิสามัญงบประมาณฯ ได้เชิญหน่วยงานด้านดิจิทัลหลายหน่วยงานเข้ามาชี้แจง พบว่ายังไม่มีความชัดเจนว่า ตกลงในงบประมาณปี 2568-2569 ที่จะเริ่มมีการ migrate ข้อมูลภาครัฐไปขึ้นคลาวด์ให้หมด จะมีมาตรการรักษาความปลอดภัยไซเบอร์ในการปกป้องข้อมูลแบบไหน ถ้าเป็นผู้ให้บริการคลาวด์ของไทย อยากเข้ามาให้บริการภาครัฐด้วย จะทำได้หรือไม่ ถ้าได้แล้วผู้ให้บริการจะต้องมีมาตรฐานความปลอดภัยขั้นต่ำอย่างไร” นายณัฐพงษ์ กล่าว
ดังนั้น ถ้ารัฐบาลอยากช่วยอุดช่องว่าง และส่งสัญญาณเรื่อง Cloud first policy รัฐบาลก็ควรออกมาแถลงความชัดเจนในเรื่องนี้ รวมทั้งเรื่องของความปลอดภัยไซเบอร์ด้วย
- สร้างมาตรฐานความปลอดภัยขั้นต่ำ หลายประเทศทำได้แล้ว
กรณีแบบนี้ คนที่เสียที่สุดก็คือประชาชน พอข้อมูลออกไปแล้วสามารถถูกเอาไปขยายผล ทำซ้ำ ส่งต่อได้อีกไม่รู้จบ โดยที่เราไม่สามารถดึงข้อมูลกลับมาได้ รัฐบาลควรมีความชัดเจนเรื่องนี้ ว่าเรื่องสถาปัตยกรรมทางด้านดิจิทัลของประเทศที่มีความมั่นคงปลอดภัยทางไซเบอร์ และคุ้มครองข้อมูลของประชาชน ควรจะมีหน้าตาแบบไหน
เรื่องนี้ไม่ได้ทำยาก เพราะถ้าดูในหลายๆ ประเทศที่โครงสร้างพื้นฐานทางด้านดิจิทัลของรัฐบาลใช้คลาวด์กันหมดแล้ว ไม่ว่าจะเป็นสหรัฐอเมริกา อังกฤษ สิงคโปร์ ฯลฯ แต่ละที่มีมาตรฐานเรื่องความมั่นคงปลอดภัยไซเบอร์หมดแล้ว เขามีมาตรฐานไว้เลยว่าถ้ารัฐบาลจะเอาบริการดิจิทัลภาครัฐไปขึ้นคลาวด์ ผู้ให้บริการคลาวด์จะต้องมีมาตรฐานขั้นต่ำอย่างไร
“ฉะนั้น ไม่ได้เป็นสิ่งที่ทำยาก รัฐบาลสามารถไปศึกษา เอามาปรับใช้ แล้วประกาศได้ทันที เพื่อให้เกิดความชัดเจนในส่วนนี้ ประชาชนเองก็จะได้สบายใจด้วยว่าเรามีทิศทางในการรักษาความปลอดภัยข้อมูลที่ชัดเจนมากยิ่งขึ้น” นายณัฐพงษ์ ระบุ
โดย สำนักข่าวอินโฟเควสท์ (07 ก.พ. 67)
Tags: ข้อมูลรั่ว, ณัฐพงษ์ เรืองปัญญาวุฒิ, พรรคก้าวไกล