“สส.พรรคประชาชน” แฉเบื้องหลังวิกฤตข้อมูลส่วนบุคคลภาครัฐรั่วไหล เผยระบบไอทีรัฐนับพันแห่งหละหลวม ใช้รหัสผ่านง่ายแถมไร้การจัดการสิทธิ์ ชี้ข้อมูลทะเบียนราษฎร์และภาพความละเอียดสูงหลุดเกลี้ยงเสี่ยงถูกสวมรอย ชูทางออกด่วนบังคับรีเซ็ตพาสเวิร์ด-ใช้ระบบ MFA พร้อมจี้รัฐเลิกผลาญงบสร้างเซิร์ฟเวอร์แยกส่วน หันหนุน “National Cloud” อย่างจริงจัง
วันที่ 11 ส.ค.2569 ที่รัฐสภา พรรคประชาชน นำโดยนายอิสริยะ ไพรีพ่ายฤทธิ์ นายภาวุธ พงษ์วิทยภานุ สส.บัญชีรายชื่อ และนายธีระชาติ ก่อตระกูล คณะทำงานผู้นำฝ่ายค้านในสภาผู้แทนราษฎร ในฐานะคณะอนุกรรมาธิการครุภัณฑ์ ICT และทุนหมุนเวียน ร่วมกันแถลงข่าวเรื่องข้อมูลส่วนบุคคลที่รั่วไหล โดยนายอิสริยะ กล่าวว่า ข้อมูลส่วนบุคคลจากหน่วยงานภาครัฐรั่วไหลช่วงสัปดาห์ที่ผ่านมา เป็นการรั่วไหลของข้อมูลสำหรับยืนยันตัวตน หรือ การที่รหัสผ่านหลุด สาเหตุส่วนหนึ่งมาจากระบบเทคโนโลยีสารสนเทศของหน่วยงานภาครัฐไทยที่มีอยู่เป็นจำนวนมาก ที่แต่ละหน่วยงานต่างพัฒนาและบริหารจัดการระบบของตนเอง ซึ่งหลายระบบใช้งานมานานกว่า 10 ปี ส่งผลให้มาตรการรักษาความปลอดภัยของบางระบบอาจไม่เพียงพอต่อภัยคุกคามทางไซเบอร์ในปัจจุบัน ระบบเก่าหลายแห่งยังใช้เพียงชื่อผู้ใช้งาน (Username) และรหัสผ่าน (Password) บางระบบไม่มีการกำหนดระดับสิทธิ์ในการเข้าถึงข้อมูลอย่างเหมาะสม ทำให้เจ้าหน้าที่ระดับปฏิบัติการหรือผู้ดูแลระบบทั่วไปอาจสามารถเข้าถึงข้อมูลได้ในระดับเดียวกับผู้บริหาร รวมถึงเจ้าหน้าที่ตามสำนักงานต่าง ๆ ที่อาจใช้รหัสผ่านเพียงชุดเดียวในการเข้าถึงข้อมูลสำคัญ เช่น ข้อมูลทะเบียนราษฎร ขณะเดียวกัน ยังพบความเสี่ยงจากพฤติกรรมการใช้รหัสผ่านของผู้ใช้งานที่มีการแบ่งปัน เขียนไว้ หรือตั้งรหัสคาดเดาง่าย
นายอิสริยะ กล่าวว่า สำหรับกรณีล่าสุด เข้าใจว่าอาจเริ่มต้นจากระบบฐานข้อมูลทะเบียนรถ ซึ่งเจ้าหน้าที่บางกลุ่ม เช่น เจ้าหน้าที่ด้านความมั่นคงหรือเจ้าหน้าที่สินเชื่อ สามารถเข้าถึงข้อมูลเกี่ยวกับทะเบียนรถและผู้ครอบครองรถได้ซึ่งสะท้อนให้เห็นว่าการรั่วไหลครั้งนี้อาจเกิดขึ้นจากหลายระบบที่เชื่อมโยงต่อเนื่องกัน สิ่งที่น่ากังวล คือ ข้อมูลที่รั่วไหลในครั้งนี้มีความอ่อนไหวสูง โดยเฉพาะข้อมูลทะเบียนราษฎร รวมถึงภาพถ่ายความละเอียดสูงที่ใช้ในการจัดทำบัตรประจำตัวประชาชน ซึ่งถูกจัดเก็บอยู่ในระบบของกรมการปกครอง ภาพดังกล่าวมีรายละเอียดมากกว่าภาพที่ปรากฏบนบัตรประจำตัวประชาชน และกรณีที่ปรากฏภาพของนายกรัฐมนตรีถูกเผยแพร่ออกมา ยิ่งสะท้อนให้เห็นถึงระดับความรุนแรงของปัญหา
“สถานการณ์ดังกล่าวทำให้ข้อมูลส่วนบุคคลในชีวิตประจำวันของประชาชนไทยตกอยู่ในความเสี่ยงอย่างมาก เนื่องจากข้อมูลที่รั่วไหลอาจถูกแฮกเกอร์ สแกมเมอร์ หรือผู้ไม่หวังดีนำไปใช้สวมรอยเป็นบุคคลอื่น และอาจใช้ยืนยันตัวตนกับระบบของภาครัฐแทนเจ้าของข้อมูลตัวจริงได้ ซึ่งถือเป็นความเสี่ยงที่มีความร้ายแรง เมื่อข้อมูลรั่วไหลออกไปแล้ว การเรียกคืนข้อมูลหรือขอให้ผู้ที่ได้ข้อมูลไปลบข้อมูลทั้งหมดแทบเป็นไปไม่ได้ ” นายอิสริยะกล่าว
นายอิสริยะ กล่าวต่อว่า ดังนั้นตนเสนอว่า 1.หน่วยงานเจ้าของระบบที่พบหรือมีความเสี่ยงว่าข้อมูลรหัสผ่านรั่วไหล ควรบังคับรีเซ็ตรหัสผ่านของผู้ใช้งานทั้งหมดทันที 2.สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) ควรรวบรวมรายชื่อระบบเทคโนโลยีสารสนเทศของหน่วยงานภาครัฐทั้งหมด และเร่งดำเนินการตรวจสอบความมั่นคงปลอดภัยของระบบ (Security Audit) ว่าแต่ละระบบมีมาตรฐานด้านความปลอดภัยเพียงพอหรือไม่ ตรวจสอบครอบคลุมถึงการบริหารจัดการสิทธิ์ของผู้ใช้งาน เช่น เจ้าหน้าที่ที่พ้นจากตำแหน่ง หรือออกจากหน่วยงานแล้วยังสามารถเข้าสู่ระบบได้หรือไม่ และควรเปิดเผยความคืบหน้าการตรวจสอบ ในรูปแบบ Dashboard กรณีข้อมูลส่วนบุคคลรั่วไหลอาจเกี่ยวข้องกับการปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล (PDPA) ดังนั้น สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) เป็นหน่วยงานกำกับดูแลด้านนี้ต้องบังคับใช้มาตรฐานการกำกับดูแลและมาตรการตามกฎหมายกับหน่วยงานภาครัฐอย่างจริงจัง หน่วยงานเหล่านี้ควรมีส่วนรับผิดชอบ และเร่งปรับปรุงมาตรการคุ้มครองข้อมูลส่วนบุคคลให้รัดกุมและได้มาตรฐานมากขึ้น
ด้าน นายภาวุธ กล่าวว่า สำหรับแนวทางแก้ไขปัญหาในระยะกลาง และระยะยาว คือ 1.กระทรวงดีอีควร ร่วมกับ สกมช. กำหนดมาตรฐานกลางสำหรับการบริหารจัดการระบบและการยืนยันตัวตน เพื่อให้หน่วยงานภาครัฐถือปฏิบัติในแนวทางเดียวกัน มีมาตรฐานเดียวกัน เพื่อยกระดับความปลอดภัยของระบบภาครัฐในภาพรวม 2. เปลี่ยนจากระบบที่ใช้เพียงรหัสผ่านมาเป็นระบบการยืนยันตัวตนแบบหลายปัจจัย (Multi-Factor Authentication : MFA) เช่น รหัส OTP หรือรหัสพิเศษที่เปลี่ยนแปลงทุกครั้งในการเข้าสู่ระบบ หรือ การใช้แอปพลิเคชั่นยืนยันตัวตน เช่น Microsoft Authenticator หรือ Google Authenticator ทั้งนี้เพื่อป้องกันคนไม่หวังดีรู้ชื่อผู้ใช้ และพาสเวิร์ดแล้วสวมรอยแทนได้
3. ควรลดหรือยกเลิกการให้ประชาชนลงทะเบียนที่ต้องกรอกข้อมูลที่มีความอ่อนไหว เช่น ชื่อ- นามสกุล หมายเลขโทรศัพท์ หมายเลขบัตรประจำตัวประชาชน เลขหลังบัตรประจำตัวประชาชน โดยอาจใช้การยืนยันตัวตนผ่านระบบยืนยันตัวตนดิจิทัลกลางของภาครัฐ เช่น แอปพลิเคชัน ThaID ของกรมการปกครอง กระทรวงมหาดไทย หน่วยงานอื่นๆ จึงไม่ต้องเก็บข้อมูลที่อ่อนไหวซึ่งเสี่ยงต่อการรั่วไหลได้ 4. ควรมีระบบกลางในการจัดเก็บบันทึกเหตุการณ์ หรือ Log ของการใช้งานระบบ ซึ่งสามารถตรวจสอบได้ว่าใครเป็นผู้เข้าระบบในแต่ละครั้ง ทั้งนี้ ข้อมูล Log ดังกล่าวต้องได้รับการป้องกันไม่ให้สามารถแก้ไขหรือลบได้โดยง่าย
“ที่ผ่านมา เมื่อแฮกเกอร์หรือผู้ไม่หวังดีเข้าสู่ระบบ อาจมีการลบบันทึกการใช้งานเพื่อปกปิดร่องรอย ขณะที่บางระบบอาจไม่มีการจัดเก็บข้อมูล Log อย่างเพียงพอ ทำให้ไม่สามารถตรวจสอบย้อนหลังได้ว่าใครเข้าสู่ระบบ เมื่อใด หรือดำเนินการใดกับข้อมูล ดังนั้น การจัดเก็บ Log อย่างเป็นระบบและปลอดภัยจึงมีความสำคัญต่อการตรวจสอบและติดตามเหตุการณ์ด้านความมั่นคงปลอดภัยไซเบอร์” นายภาวุธ กล่าว
นายภาวุธ กล่าวอีกว่า 5. สกมช. และหน่วยงานภาครัฐควรมีกระบวนการส่งเสริมให้เกิดการตรวจสอบช่องโหว่ของระบบอย่างต่อเนื่อง โดยใช้แนวคิด “Bug Bounty” หรือโครงการให้รางวัลแก่ผู้ค้นพบและแจ้งช่องโหว่ของระบบมาใช้ ซึ่งต้องกำหนดช่องทางและหลักเกณฑ์ที่ชัดเจน เพื่อเปิดโอกาสให้นักวิจัยด้านความปลอดภัย ผู้เชี่ยวชาญ หรือประชาชนที่ตรวจพบช่องโหว่สามารถแจ้งข้อมูลแก่หน่วยงานได้อย่างถูกต้องและปลอดภัย ส่วนการตอบแทนอาจมีหลายแบบ เช่น มอบประกาศนียบัตร การประกาศยกย่อง หรือการให้เงินรางวัลตามระดับความรุนแรงของช่องโหว่
ขณะที่นายธีระชาติ กล่าวว่า เป็นไปได้ยากที่ระบบของภาครัฐจะมีความมั่นคงปลอดภัย หากยังคงมีช่องทางเข้าสู่ระบบจำนวนมาก เปรียบเสมือนการทิ้งกุญแจไว้นับแสนดอก แล้วเปิดประตูไว้นับหมื่นบานให้บุคคลสามารถเข้าถึงระบบได้โดยง่าย ทั้งนี้ในการพิจารณาของอนุกรรมาธิการฯ พบว่าในปีนี้โครงการที่เกี่ยวข้องกับความมั่นคงปลอดภัยทางคอมพิวเตอร์จำนวนมาก เช่น กรมทางหลวงมีงบฯ จัดซื้ออุปกรณ์ ระบบคอมพิวเตอร์ระบบรักษาความมั่นคงปลอดภัยทางคอมพิวเตอร์ ประมาณ 315 ล้านบาท โดยเฉพาะระบบรักษาความปลอดภัยมีมูลค่าหลายสิบล้านบาท แต่มีการติดตั้งเครื่องแม่ข่าย (Server) ไว้บริเวณที่บุคคลสามารถเข้าถึงได้ง่าย เช่น บริเวณหน้าห้องน้ำ และอาจนำอุปกรณ์จัดเก็บข้อมูลมาเชื่อมต่อกับระบบได้ เช่นเดียวกับกรณีข้อมูลกรมการปกครองรั่วไหล ก็พบว่ามีการเสนอของบฯ 5 โครงการ แต่มีอุปกรณ์ Firewall ที่ทำหน้าที่เป็นป้อมยามถึง 12 ตัว แต่ข้อมูลยังรั่วไหลได้ ปัญหาจึงไม่ได้อยู่ที่จำนวนอุปกรณ์อย่างเดียว แต่อยู่ที่การบริหารจัดการและบุคลากรที่มีความรู้ความเชี่ยวชาญในการดูแลระบบด้วย
นายธีระชาติ กล่าวต่อว่า ทั้งนี้ขอชื่นชมรัฐบาลที่รับฟังข้อเสนอจากฝ่ายค้านในประเด็นนโยบาย Cloud First และ National Cloud อย่างไรก็ตามในขั้นตอนการพิจารณางบฯ ของคณะอนุกรรมาธิการฯ ยังพบแต่ละหน่วยงานการเสนอของบฯ จัดซื้อเครื่องแม่ข่ายและพัฒนาระบบแยกกัน ส่งผลให้โครงสร้างพื้นฐานด้านดิจิทัลภาครัฐกระจัดกระจาย ต่างคนต่างดำเนินการ ประเด็นที่น่าสังเกตคือ ในการลงมติบางกรณี ฝ่ายค้านกลับเป็นฝ่ายลงมติสอดคล้องกับนโยบายของรัฐบาล ขณะที่สส.ฝ่ายรัฐบาลบางส่วนกลับลงมติในทิศทางที่แตกต่างจากนโยบายของรัฐบาลเอง จึงเห็นว่าในชั้นการพิจารณาของคณะกรรมาธิการวิสามัญพิจารณาร่าง พ.ร.บ. งบประมาณรายจ่ายประจำปี 2570 ควรกำหนดแนวทางให้ชัดเจนว่า หน่วยงานภาครัฐไม่ควรจัดทำ Data Center ของตนเองมากเกินความจำเป็น เพราะปัจจุบันบางหน่วยงาน เช่น กระทรวงมหาดไทย มีโครงสร้าง Data Center หลายระดับ ทั้งในส่วนกลาง ระดับภาค และระดับจังหวัดอยู่แล้ว สามารถรวมและบริหารจัดการเป็นระบบเดียวกันผ่าน National Cloud ได้ ดังนั้น กมธ.งบฯ ชุดใหญ่ ควรพิจารณาทบทวนหรือตัดโครงการที่หน่วยงานยังเสนอของบฯ จัดทำ Data Center ของตนเองโดยไม่มีความจำเป็น.
