“ภาวุธ-อิสริยะ” สส.พรรคประชาชน เสนอ 5 แนวทาง ยกระดับระบบความปลอดภัยไซเบอร์ ลดความเสี่ยงข้อมูลส่วนบุคคลรั่วไหลในอนาคต แนะหน่วยงานที่พบความเสี่ยง บังคับรีเซ็ตรหัสทันที


เมื่อเวลา 10.00 น. วันที่ 11 สิงหาคม 2569 ที่ห้องแถลงข่าว ชั้น 1 อาคารรัฐสภา นายอิสริยะ ไพรีพ่ายฤทธิ์ พร้อมด้วย นายภาวุธ พงษ์วิทยภานุ สมาชิกสภาผู้แทนราษฎร พรรคประชาชน ร่วมกันแถลงข่าวกรณีข้อมูลส่วนบุคคลจากหน่วยงานภาครัฐรั่วไหล

นายอิสริยะ ไพรีพ่ายฤทธิ์ กล่าวว่า กรณีข้อมูลส่วนบุคคลจากหน่วยงานภาครัฐ รวมถึงภาพและข้อมูลของนายกรัฐมนตรีรั่วไหลในช่วงที่ผ่านมา อาจไม่ใช่การเจาะระบบจากช่องโหว่โดยตรง แต่เป็นการรั่วไหลของข้อมูลสำหรับการยืนยันตัวตน หรือ รหัสผ่านหลุด ส่วนหนึ่งเกิดจากระบบเทคโนโลยีสารสนเทศของภาครัฐที่มีมากกว่า 1,000 ระบบ ซึ่งแต่ละหน่วยงาน พัฒนาและบริหารจัดการแยกกัน ขณะที่หลายระบบใช้งานมานานกว่า 10 ปี และยังมีมาตรการรักษาความปลอดภัยไม่เพียงพอ ระบบเก่า บางแห่งใช้เพียงชื่อผู้ใช้งานและรหัสผ่านในการเข้าสู่ระบบ ไม่มีการกำหนดระดับสิทธิ์เข้าถึงข้อมูลอย่างเหมาะสม ประกอบกับพฤติกรรมการใช้รหัสผ่านที่ไม่ปลอดภัย เช่น การแบ่งปันรหัสผ่านหรือใช้รหัสที่คาดเดาได้ง่าย ทำให้ข้อมูลสำคัญของภาครัฐมีความเสี่ยง โดยข้อมูลบางส่วนอาจรั่วไหลมานานแล้ว และถูกนำไปใช้เข้าสู่ระบบอื่นที่เชื่อมโยงกันเป็นทอด ๆ สิ่งที่น่ากังวลคือ ข้อมูลที่รั่วไหลมีความอ่อนไหวสูง ทั้งข้อมูลทะเบียนราษฎรและภาพถ่ายความละเอียดสูงที่ใช้จัดทำบัตรประจำตัวประชาชน ซึ่งอาจถูกแฮกเกอร์ สแกมเมอร์ หรือผู้ไม่หวังดี นำไปสวมรอยและยืนยันตัวตนกับระบบภาครัฐแทนเจ้าของข้อมูลได้ เมื่อข้อมูลรั่วไหลออกไปแล้วแทบจะไม่สามารถเรียกคืนได้ จึงจำเป็นต้องเร่งปรับปรุงระบบเพื่อป้องกันการเข้าถึงข้อมูลโดยมิชอบซ้ำ โดยได้เสนอแนวทางแก้ไข ดังนี้

1. หน่วยงานที่พบว่ามีความเสี่ยงรหัสผ่านรั่วไหล ควรบังคับรีเซ็ตรหัสผ่านของผู้ใช้งานทั้งหมดทันที พร้อมยุติการใช้งานรหัสผ่านเดิม เพื่อป้องกันผู้ไม่หวังดีนำข้อมูลกลับมาใช้เข้าสู่ระบบซ้ำ

2. สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) ควรรวบรวมระบบเทคโนโลยีสารสนเทศของภาครัฐทั้งหมดและเร่งตรวจสอบความมั่นคงปลอดภัยของระบบ (Security Audit) รวมถึงตรวจสอบสิทธิ์การเข้าถึงของเจ้าหน้าที่ ผู้บริหารที่พ้นจากตำแหน่ง และผู้รับจ้างพัฒนาระบบ พร้อมเปิดเผยความคืบหน้าการตรวจสอบในรูปแบบ Dashboard เพื่อให้ประชาชนสามารถติดตามได้

3. สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ควรบังคับใช้กฎหมายคุ้มครองข้อมูลส่วนบุคคล (PDPA) กับหน่วยงานภาครัฐอย่างจริงจังเช่นเดียวกับภาคเอกชน แม้การรั่วไหลอาจไม่ได้เกิดจากเจตนา แต่หากเกิดจากความประมาท การออกแบบระบบที่ไม่รัดกุม หรือมาตรการรักษาความปลอดภัยที่ไม่เพียงพอ หน่วยงานและผู้บริหารที่เกี่ยวข้องควรมีความรับผิดชอบ พร้อมเร่งยกระดับมาตรการคุ้มครองข้อมูลส่วนบุคคลให้มีประสิทธิภาพและได้มาตรฐานมากขึ้น

ด้านนายภาวุธ พงษ์วิทยภานุ เสนอแนวทางแก้ไขปัญหาในระยะกลางและระยะยาว ดังนี้

1. กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม ควรร่วมกับ สกมช. กำหนดมาตรฐานกลางด้านการบริหารจัดการระบบและการยืนยันตัวตนของหน่วยงานภาครัฐ ทั้งการใช้รหัสผ่าน รหัส OTP และวิธีการยืนยันตัวตน เพื่อให้ทุกหน่วยงานมีมาตรฐานด้านความปลอดภัยในแนวทางเดียวกัน

2. ควรปรับจากการใช้เพียงชื่อผู้ใช้งานและรหัสผ่าน มาเป็นระบบการยืนยันตัวตนแบบหลายปัจจัย เช่น การใช้รหัส OTP หรือแอปพลิเคชันยืนยันตัวตน เพื่อเพิ่มความปลอดภัยและป้องกันการเข้าสู่ระบบ แม้ชื่อผู้ใช้งานหรือรหัสผ่านจะรั่วไหล

3. ควรลดการให้ประชาชนกรอกข้อมูลส่วนบุคคลที่มีความอ่อนไหวซ้ำในแต่ละระบบ เช่น หมายเลขบัตรประจำตัวประชาชนหรือเลขหลังบัตร โดยนำระบบยืนยันตัวตนดิจิทัลกลางของภาครัฐ เช่น ThaID มาใช้ เพื่อช่วยลดการจัดเก็บข้อมูลส่วนบุคคลที่กระจัดกระจายและลดความเสี่ยงจากข้อมูลรั่วไหล

4. ควรจัดให้มีระบบกลางสำหรับจัดเก็บบันทึกการใช้งาน (Log) ที่สามารถตรวจสอบได้ว่าใครเข้าสู่ระบบ เมื่อใด และดำเนินการอะไร พร้อมป้องกันไม่ให้ข้อมูลดังกล่าวถูกแก้ไขหรือลบ เพื่อให้สามารถตรวจสอบย้อนหลังและติดตามเหตุการณ์ด้านความมั่นคงปลอดภัยไซเบอร์ได้อย่างมีประสิทธิภาพ

5. ควรส่งเสริมการตรวจสอบช่องโหว่ของระบบอย่างต่อเนื่อง โดยนำแนวคิด “Bug Bounty” หรือ การให้รางวัลแก่ผู้ค้นพบและแจ้งช่องโหว่มาปรับใช้ พร้อมกำหนดช่องทางและหลักเกณฑ์ที่ชัดเจน เพื่อเปิดโอกาสให้ผู้เชี่ยวชาญและประชาชนมีส่วนร่วมในการตรวจสอบระบบโดยไม่ต้องกังวลว่าจะถูกมองว่าเป็นผู้กระทำผิด

ทั้งนี้ ข้อมูลที่หน่วยงานภาครัฐจัดเก็บเป็นข้อมูลสำคัญและมีความอ่อนไหว จึงจำเป็นต้องเร่งยกระดับมาตรฐานทั้งด้านเทคโนโลยี การบริหารจัดการ และการตรวจสอบ เพื่อเพิ่มความมั่นคงปลอดภัยภาครัฐ ลดความเสี่ยงข้อมูลส่วนบุคคลรั่วไหลในอนาคต