“อิสริยะ-ภาวุธ” จี้รัฐเร่งอุดช่องโหว่ข้อมูลส่วนบุคคลรั่วไหล

นายอิสริยะ ไพรีพ่ายฤทธิ์ สส.บัญชีรายชื่อ พรรคประชาชน แถลงข่าวจากกรณีข้อมูลส่วนบุคคลจากหน่วยงานภาครัฐรั่วไหลในช่วงสัปดาห์ที่ผ่านมาว่า กรณีที่เกิดขึ้นนี้ มีลักษณะแตกต่างออกไป ในทางเทคนิคกรณีดังกล่าวเป็นการรั่วไหลของข้อมูลสำหรับยืนยันตัวตน หรือ การที่รหัสผ่านหลุด สาเหตุส่วนหนึ่งมาจากระบบเทคโนโลยีสารสนเทศของหน่วยงานภาครัฐไทยที่มีอยู่เป็นจำนวนมาก คาดว่า มีมากกว่า 1,000 ระบบ โดยแต่ละหน่วยงานต่างพัฒนาและบริหารจัดการระบบของตนเอง ขณะที่ หลายระบบถูกใช้งานมานานกว่า 10 ปี ส่งผลให้มาตรการรักษาความปลอดภัยของบางระบบอาจไม่เพียงพอต่อภัยคุกคามทางไซเบอร์ในปัจจุบัน สำหรับกรณีล่าสุด เข้าใจว่าอาจเริ่มต้นจากระบบฐานข้อมูลทะเบียนรถ ซึ่งเจ้าหน้าที่บางกลุ่ม เช่น เจ้าหน้าที่ด้านความมั่นคงหรือเจ้าหน้าที่สินเชื่อ สามารถเข้าถึงข้อมูลเกี่ยวกับทะเบียนรถและผู้ครอบครองรถได้ ซึ่งสะท้อนให้เห็นว่าการรั่วไหลครั้งนี้ อาจเกิดขึ้นจากหลายระบบที่เชื่อมโยงต่อเนื่องกัน แต่ข้อมูลที่รั่วไหลในครั้งนี้มีความอ่อนไหวสูง โดยเฉพาะข้อมูลทะเบียนราษฎร รวมถึงภาพถ่ายความละเอียดสูงที่ใช้ในการจัดทำบัตรประจำตัวประชาชน ซึ่งถูกจัดเก็บอยู่ในระบบของกรมการปกครอง สถานการณ์ดังกล่าว ทำให้ข้อมูลส่วนบุคคลในชีวิตประจำวันของประชาชนไทย ตกอยู่ในความเสี่ยงอย่างมาก เนื่องจากข้อมูลที่รั่วไหลอาจถูกแฮกเกอร์ สแกมเมอร์ หรือผู้ไม่หวังดีนำไปใช้สวมรอยเป็นบุคคลอื่น และอาจใช้ยืนยันตัวตนกับระบบของภาครัฐแทนเจ้าของข้อมูลตัวจริงได้ ซึ่งถือเป็นความเสี่ยงที่มีความร้ายแรง เมื่อข้อมูลรั่วไหลออกไปแล้ว การเรียกคืนข้อมูลหรือขอให้ผู้ที่ได้ข้อมูลไปลบข้อมูลทั้งหมดแทบเป็นไปไม่ได้

นายอิสริยะ ยังเสนอแนวทางในการแก้ไข ให้หน่วยงานเจ้าของระบบที่พบ หรือมีความเสี่ยงว่าข้อมูลรหัสผ่านรั่วไหล ควรบังคับรีเซ็ตรหัสผ่านของผู้ใช้งานทั้งหมดโดยทันที ซึ่งเป็นมาตรการมาตรฐานด้านความมั่นคงปลอดภัยไซเบอร์ที่ใช้กันทั่วไป และสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) ซึ่งมีหน้าที่กำกับดูแลด้านความมั่นคงปลอดภัยไซเบอร์ของประเทศ ควรรวบรวมรายชื่อระบบเทคโนโลยีสารสนเทศของหน่วยงานภาครัฐทั้งหมด และเร่งดำเนินการตรวจสอบความมั่นคงปลอดภัยของระบบ (Security Audit) ว่า แต่ละระบบมีมาตรฐานด้านความปลอดภัยเพียงพอหรือไม่ และกรณีข้อมูลส่วนบุคคลรั่วไหล อาจเกี่ยวข้องกับการปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล หรือ PDPA ซึ่งมีสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) เป็นหน่วยงานกำกับดูแล โดยที่ผ่านมาได้มีการบังคับใช้กฎหมายและดำเนินมาตรการกับภาคเอกชนในกรณีข้อมูลส่วนบุคคลรั่วไหลมาแล้วหลายกรณี ดังนั้น จึงคาดหวังให้ สคส. บังคับใช้มาตรฐานการกำกับดูแลและมาตรการตามกฎหมายกับหน่วยงานภาครัฐอย่างจริงจัง

ด้าน นายภาวุธ พงษ์วิทยภานุ สส.บัญชีรายชื่อ พรรคประชาชน ได้เสนอแนวทางแก้ไขปัญหาในระยะกลาง และระยะยาว คือ กระทรวงดิจิทัลฯ ควรร่วมกับ สกมช. กำหนดมาตรฐานกลางสำหรับการบริหารจัดการระบบและการยืนยันตัวตน เพื่อให้หน่วยงานภาครัฐถือปฏิบัติในแนวทางเดียวกัน  มีมาตรฐานเดียวกัน เพื่อยกระดับความปลอดภัยของระบบภาครัฐในภาพรวม และเปลี่ยนจากระบบที่ใช้เพียงรหัสผ่านมาเป็นระบบการยืนยันตัวตนแบบหลายปัจจัย เช่น รหัส OTP หรือรหัสพิเศษที่เปลี่ยนแปลงทุกครั้งในการเข้าสู่ระบบ หรือ การใช้แอพพลิเคชันยืนยันตัวตน เช่น Microsoft Authenticator หรือ Google Authenticator เพื่อป้องกันคนไม่หวังดีรู้ชื่อผู้ใช้ และพาสเวิร์ดแล้วสวมรอยแทนได้ พร้อมควรลดหรือยกเลิกการให้ประชาชนลงทะเบียนที่ต้องกรอกข้อมูลที่มีความอ่อนไหว เช่น ชื่อ- นามสกุล หมายเลขโทรศัพท์ หมายเลขบัตรประจำตัวประชาชน เลขหลังบัตรประจำตัวประชาชน โดยอาจใช้การยืนยันตัวตนผ่านระบบยืนยันตัวตนดิจิทัลกลางของภาครัฐ เช่น แอปพลิเคชัน ThaID ของกรมการปกครอง กระทรวงมหาดไทย หน่วยงานอื่น ๆ จึงไม่ต้องเก็บข้อมูลที่อ่อนไหวซึ่งเสี่ยงต่อการรั่วไหลได้ และควรมีระบบกลางในการจัดเก็บบันทึกเหตุการณ์ หรือ Log ของการใช้งานระบบ ซึ่งสามารถตรวจสอบได้ว่าใครเป็นผู้เข้าระบบในแต่ละครั้ง และ สกมช.และหน่วยงานภาครัฐควรมีกระบวนการส่งเสริมให้เกิดการตรวจสอบช่องโหว่ของระบบอย่างต่อเนื่อง