ข้อมูลส่วนบุคคล “นายกฯ - รมต.” หลุดว่อน “ผู้เชี่ยวชาญบิ๊กดาต้า” ชี้สะท้อนระบบรัฐหละหลวม เปิดช่องสแกมเมอร์ใช้ข้อมูล ตั้งคำถามงบประมาณความปลอดภัยไซเบอร์หลายร้อยล้าน ไร้ประสิทธิภาพ?
จากกรณีนายธนรัตน์ เกื้อวัฒนาพันธุ์ ผู้เชี่ยวชาญด้าน IT ภาคเอกชน ได้โพสต์เตือนภัย กรณีข้อมูลส่วนบุคคลรั่วไหล ปรากฏข้อมูลและรูปถ่ายหน้าตรงในบัตรประชาชนของ นายอนุทิน ชาญวีรกูล นายกรัฐมนตรี บิ๊กข้าราชการกระทรวงมหาดไทยและรัฐมนตรีอีกหลายคน ทำให้เกิดกระแสวิพากษ์วิจารณ์ถึงความปลอดภัยในการรักษาข้อมูลส่วนบุคคลของหน่วยงานภาครัฐ
ขณะที่วันนี้ (5 ส.ค. 69) นายกรัฐมนตรี ได้ให้สัมภาษณ์ว่ารูปถ่ายหน้าตรงในบัตรประชาชนที่หลุดไป เป็นรูปจริงที่ถ่ายเมื่อนานมาแล้ว และได้สั่งการให้หน่วยงานที่เกี่ยวข้องเร่งตรวจสอบระบบป้องกัน
ด้านนายไชยชนก ชิดชอบ รัฐมนตรีว่าการกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม เผยว่า เบื้องต้นไม่ใช่การแฮ็กข้อมูล โดยพบว่าเป็น IP เดียว มาจากสถานที่เดียว และมีการใช้แอ็กเคานต์ในการล็อกอินถึง 2 ครั้ง ซึ่งขณะนี้ได้มีการปิดระบบแล้ว ส่วนกรณีที่มีการตั้งข้อสังเกตว่าข้อมูลที่หลุดในครั้งนี้มีการเมืองเข้ามาเกี่ยวข้อง นายไชยชนก กล่าวว่า จากพฤติกรรมที่พบมีความเป็นไปได้สูง แต่ยังไม่สามารถฟันธงได้ ขอรอผลการตรวจสอบก่อน และให้หน่วยงานที่เกี่ยวข้องเป็นผู้ชี้แจงรายละเอียดเกี่ยวกับพฤติกรรมดังกล่าวต่อไป
ทีมข่าวเฉพาะกิจไทยรัฐออนไลน์ สอบถามถึงกรณีนี้ไปยัง ดร.ธรรม์ธีร์ สุกโชติรัตน์ หรือ ดร.เรือบิน ผู้เชี่ยวชาญด้านข้อมูลขนาดใหญ่ (Big Data) เผยว่า นายธนรัตน์ ได้ค้นพบช่องโหว่ที่สำคัญถึงการรั่วไหลของข้อมูลส่วนบุคคลไปจนถึงถ่ายความละเอียดสูงในบัตรประชาชน ซึ่งข้อมูลที่หลุดออกไป เปิดทางให้สแกมเมอร์นำไปใช้ในทางทุจริตได้ง่ายยิ่งขึ้น ซึ่งส่งผลกระทบกับความปลอดภัยของประชาชนในการปลอมแปลงข้อมูล การนำไปสมัครใช้บริการต่างๆ หรือการฉ้อโกง
ในทางกลับกันเมื่อเกิดปัญหาการรั่วไหลของข้อมูลเกิดขึ้น แต่บรรยากาศของหน่วยงานภาครัฐที่ทำผิดพลาด PDPA กลับปฏิบัติหน้าที่ไม่สอดคล้องกับสิ่งที่ควรจะเป็น เช่น การออกมาปฏิเสธ หรือพูดทำนองข่มขู่ผู้พบช่องโหว่ของระบบ ให้ข้อมูลที่ผิดกับประชาชน การออกมาแถลงการณ์ว่าได้แจ้งความแล้วซึ่งความเป็นจริงอาจเป็นการแจ้งความผู้พบช่องโหว่และออกมาโพสต์เตือนภัย หรือแจ้งว่าแก้ไขแล้ว และโยนความผิดให้หน่วยงานอื่นๆ ที่เข้าถึงฐานข้อมูลภาครัฐ ว่าเป็นผู้ทำให้ข้อมูลรั่วไหล
ดร.ธรรม์ธีร์ มองว่า กฎหมายความปลอดภัยทางข้อมูลส่วนบุคคล หรือ PDPA ว่าเป็นกฎหมายที่ดี มีต้นแบบมาจาก กฎหมายคุ้มครองข้อมูลส่วนบุคคลระดับโลก GDPR ของสหภาพยุโรป แต่อาจต้องเข้มงวดมากขึ้นด้านการบังคับใช้
เนื่องจากเวลามีปัญหาหน่วยงานภาครัฐทำผิดพลาด กลับไม่มีการลงโทษหรือปรับค่าเสียหายจริงจัง ที่ผ่านมามีเพียง สำนักงานคณะกรรมการการเลือกตั้ง (กกต.) เท่านั้นที่ถูกปรับ ทำให้หน่วยงานรัฐอื่นๆ ที่ถือข้อมูลของประชาชน ไม่เกรงกลัว ไม่พัฒนาระบบหรือจริงจังในด้านการรักษาความปลอดภัยข้อมูลส่วนบุคคลของประชาชน จนทำให้หลุดรั่วออกไปได้ ทั้งๆ ที่ มีงบประมาณด้านความมั่นคงปลอดภัยไซเบอร์ (Cyber Security) ในแต่ละโครงการภาครัฐหลายล้านบาท และต้นทุนในการพัฒนาระบบเหล่านี้ลดลงไปตั้งแต่มี AI เข้ามา
“ซอฟต์แวร์ที่ในอดีตใช้งบประมาณในการพัฒนา 1 ล้าน ทุกวันนี้มีเอไอเข้ามาช่วย อาจจะเหลือแค่ 1 หมื่นบาท แต่การทำให้มีความปลอดภัย ข้อมูลไม่หลุดต่างหากที่เป็นเรื่องสำคัญ ซึ่งก็เป็นที่ตั้งคำถามได้ว่า งบประมาณภาครัฐด้าน Cyber Security หลักหลายร้อยล้าน มีการถูกนำไปใช้จริงหรือไม่ เหตุใดจึงถูกเจาะข้อมูลได้”
ดร.ธรรมธีร์ ชี้ว่า สิ่งที่ควรผลักดันนอกจากการพัฒนาระบบให้มีความปลอดภัย คือ การออกกฎหมายป้องกัน ผู้ที่เข้าไปพบช่องโหว่จากระบบและมีเจตนาแจ้งเพื่อเตือนภัย หรือ ไวต์แฮกเกอร์ (White Hat Hacker) ไม่ให้ถูกข่มขู่หรือฟ้องร้อง โดยอาจใช้ AI ช่วยหาช่องโหว่ของระบบ เพื่อให้หน่วยงานภาครัฐจริงจังกับการยกระดับความปลอดภัยของระบบมากยิ่งขึ้น เนื่องจากหากปล่อยทิ้งไว้จะเป็นการเพิ่มช่องทางให้มิจฉาชีพเข้าถึงข้อมูลส่วนบุคคลของประชาชน นำไปสู่ความเสียหาย
ทั้งนี้ในส่วนของหน่วยงานรัฐ จะมีการเก็บข้อมูลทั้งแบบแยกหน่วยงานและรวมกันหลายหน่วยงาน ขึ้นอยู่กับงบประมาณของโครงการต่างๆ โดยมีที่มาจากภาษีประชาชน แต่ละโครงการจะมีผู้พัฒนาระบบ ผู้ดูแลเซิร์ฟเวอร์ และการซื้อความมั่นคงปลอดภัยทางไซเบอร์จากผู้ประกอบการต่างๆ
ดร.ธรรมธีร์ เผยว่า การที่ข้อมูลเหล่านี้ สามารถหลุดไปให้ขบวนการสแกมเมอร์นำไปใช้ในการหลอกลวง ข่มขู่ประชาชนนั้น อาจมีตั้งแต่มีผู้เจาะข้อมูลส่วนบุคคลจากภาครัฐ นำไปขายในตลาดมืดซึ่งมีทั้งไทยและต่างชาติ และสแกมเมอร์จะซื้อเพื่อนำไปใช้ในการหลอกลวง สืบหาข้อมูลเพื่อนำไปข่มขู่ หรือรุกล้ำความเป็นส่วนตัวของประชาชน นำข้อมูลไปใช้ในการสมัครบริการต่างๆ เพื่อสวมรอย
ล่าสุด วันนี้ 5 ส.ค. 69 นายนิธิกร บุญยกุลเจริญ (ปาล์ม) อดีตผู้สมัคร สส.บัญชีรายชื่อ พรรคประชาชน ได้โพสต์ระบุ ข้อเสนอการป้องกันการเข้าถึงข้อมูลส่วนบุคคลของประชาชน ที่หน่วยงานรัฐถือครองอยู่ 4 ข้อ ดังนี้
1. ยกระดับการยืนยันตัวตนผู้ใช้งานระบบรัฐเป็น Digital ID (IAL2) เปลี่ยนจากการใช้ Username/Password เป็นการยืนยันตัวตนด้วย Digital ID ระดับ IAL2 เช่น ThaiD หรือระบบที่มีมาตรฐานเทียบเท่า เพื่อให้มั่นใจว่าเป็นผู้มีสิทธิ์ตัวจริงในการเข้าใช้งาน
2. ปรับรูปแบบการบริหารโครงการ ให้รัฐเป็นเจ้าของระบบและข้อมูล ลดการพึ่งพารูปแบบที่ผู้รับจ้างภายนอกเข้าถึงข้อมูลประชาชนโดยตรง ให้หน่วยงานรัฐเป็นผู้กำหนดสิทธิ์การเข้าถึงและควบคุมข้อมูลเอง โดยผู้รับจ้างเข้าถึงได้เฉพาะส่วนที่จำเป็นต่อการปฏิบัติงาน
3. บังคับใช้หลักการให้สิทธิ์การเข้าถึงขั้นต่ำ และไม่เชื่อใจใครในทุกระบบ กำหนดให้ผู้ปฏิบัติงาน เข้าถึงได้เฉพาะข้อมูลที่จำเป็นต่อหน้าที่ มีการกำหนดสิทธิ์ที่ชัดเจน บันทึก Log ทุกการเข้าถึง และมีระบบตรวจจับการเข้าถึงที่ผิดปกติ เพื่อลดความเสี่ยงจากทั้งบุคคลภายในและภายนอกองค์กร
4. ประชาชนสามารถตรวจสอบประวัติการเข้าถึงข้อมูลของตนเองได้ ประชาชนควรมีสิทธิ์ตรวจสอบได้ว่า หน่วยงานหรือเจ้าหน้าที่คนใดเข้าถึงข้อมูลของตน เมื่อใด และด้วยเหตุผลใด พร้อมมีช่องทางร้องเรียนเมื่อพบการเข้าถึงที่ไม่เหมาะสม สร้างความโปร่งใสและความรับผิดชอบในการใช้ข้อมูลของรัฐ
นายนิธิกร ทิ้งท้ายว่า สำหรับผู้แฮกหรือนำข้อมูลบุคคลไปใช้ผิดวัตถุประสงค์มีความผิดตาม พรบ.คอมและ พรบ. PDPA อยู่ ได้โปรดอย่าทำ เพราะประเทศไทยมีหน่วยงานสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) และ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล - สคส ที่พร้อมจะดำเนินการตามกฎหมาย