“ไชยชนก” เดินหน้าตรวจสอบ 30,000 ระบบรัฐ ยกระดับป้องกันข้อมูลประชาชน พร้อมเสนอ ครม. เคาะมาตรการ MFA
นายไชยชนก ชิดชอบ รัฐมนตรีว่าการกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม (ดีอี) เป็นประธานการแถลงข่าว การประชุมยกระดับมาตรการการคุ้มครองข้อมูลส่วนบุคคลของหน่วยงานรัฐ จากความร่วมมือของภาครัฐ เอกชน ภาคประชาชน โดยมีนายภราดร ปริศนานันทกุล รัฐมนตรีประจำสำนักนายกรัฐมนตรี นางสาวแนน บุณย์ธิดา สมชัย รัฐมนตรีช่วยว่าการกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม นางสาวชมภารี ชมภูรัตน์ รองปลัดกระทรวงดีอี พ.ต.อ.สุรพงศ์ เปล่งขำ เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) หรือ PDPC พล.อ.ต.อมร ชมเชย เลขาธิการคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) และพล.ต.ต. นิเวศน์ อาภาวศิน รองผู้บัญชาการตำรวจสืบสวนสอบสวนอาชญากรรมทางเทคโนโลยี (สอท.) และตัวแทนภาคประชาชน นายธนารัตน์ กัววัฒนาพันธ์ CEO domecloud Lead tech team นายอัมฤทธิ์ ทองทั่ว CEO บริษัท Secure D และผู้ที่เกี่ยวข้องเข้าร่วม ณ อาคารกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม
การประชุมครั้งนี้มีเป้าหมายสำคัญในการบูรณาการความร่วมมือเพื่อยกระดับการป้องกันข้อมูลประชาชน หลังสถานการณ์การรั่วไหลของข้อมูลส่วนบุคคลกลายเป็นหนึ่งในความเสี่ยงสำคัญของประเทศ โดยเฉพาะในยุคที่หน่วยงานรัฐและเอกชนมีการจัดเก็บข้อมูลประชาชนจำนวนมากผ่านระบบดิจิทัล
นายไชยชนก กล่าวว่า กระทรวงดีอีได้มอบนโยบายให้มีการรวบรวมและเฝ้าระวังการรั่วไหลของข้อมูลในเบื้องต้น โดยจากการตรวจสอบของสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) พบข้อมูลประชากรทั่วโลกที่รั่วไหลกว่า 50,000 ล้าน User ขณะที่พบข้อมูลที่เกี่ยวข้องกับประเทศไทยกว่า 200 ล้าน User ซึ่งเกิดขึ้นในหลายช่วงเวลาและจากหลายระบบ
ที่น่าจับตาคือ ปัจจุบันระบบข้อมูลของภาครัฐมีอยู่เกือบ 30,000 ระบบ ในส่วนของภาคเอกชนมีมากกว่า 35,000 ระบบ ทำให้การตรวจสอบและปิดช่องโหว่จำเป็นต้องดำเนินการอย่างเป็นระบบ ไม่ใช่เพียงการแก้ปัญหาเฉพาะจุดเมื่อเกิดเหตุแล้ว
สั่ง Cleansing 3 หมื่นระบบรัฐ เช็กภายใน 15 วัน
หนึ่งในมาตรการเร่งด่วนที่กระทรวงดีอีเตรียมดำเนินการ คือการทำ Cleansing ระบบจัดเก็บข้อมูลของหน่วยงานภาครัฐเกือบ 30,000 ระบบ เพื่อสำรวจสถานะของระบบทั้งหมดว่า ระบบใดยังมีการใช้งาน ระบบใดไม่มีความจำเป็น และระบบใดควรยุติหรือปิดการให้บริการ
เบื้องต้นคาดว่าจะใช้เวลาประมาณ 15 วัน ในการตรวจสอบและจัดกลุ่มระบบ ซึ่งถือเป็นขั้นตอนสำคัญในการลด “พื้นที่เสี่ยง” ของข้อมูลประชาชน เพราะระบบที่ไม่ได้ใช้งานหรือไม่มีความจำเป็น หากยังเปิดทิ้งไว้ อาจกลายเป็นช่องทางที่ผู้ไม่หวังดีใช้โจมตีหรือเข้าถึงข้อมูลได้
นอกจากนี้ การประชุมยังพบว่าการรั่วไหลของข้อมูลไม่ได้เกิดจากช่องทางใดช่องทางหนึ่ง แต่มีทั้งแหล่งข้อมูล ช่องโหว่ และกระบวนการที่ผู้ไม่หวังดีนำมาใช้เพื่อให้ได้มาซึ่งข้อมูลส่วนบุคคล จึงต้องวางมาตรการป้องกันตั้งแต่ระยะสั้น ระยะกลาง ไปจนถึงการออกแบบโครงสร้างพื้นฐานในระยะยาว
ชง ครม. ใช้ MFA ลดเสี่ยง Username-Password ถูกขโมย
อีกมาตรการสำคัญที่กระทรวงดีอีเตรียมนำเสนอคือ MFA (Multi-Factor Authentication) หรือการยืนยันตัวตนหลายปัจจัย โดยจะเสนอให้ที่ประชุมคณะรัฐมนตรี (ครม.) พิจารณา เพื่อยกระดับความปลอดภัยในการเข้าสู่ระบบของหน่วยงานรัฐ
แนวทางดังกล่าวมุ่งลดความเสี่ยงในกรณีที่ Username และ Password ถูกขโมยหรือรั่วไหล เพราะการใช้รหัสผ่านเพียงอย่างเดียวอาจไม่เพียงพอสำหรับการป้องกันระบบที่มีข้อมูลสำคัญของประชาชน
สำหรับมาตรการระยะสั้น ยังเตรียมเสนอให้มีการปรับเปลี่ยน Username และ Password สำหรับการเข้าถึงระบบงานของหน่วยงานต่าง ๆ เพื่อลดความเสี่ยงจากข้อมูลบัญชีผู้ใช้งานเดิมที่อาจถูกนำไปใช้โดยผู้ไม่หวังดี
วางโครงสร้างความปลอดภัยระยะยาว ใช้มาตรฐานสากล
ส่วนมาตรการระยะกลางและระยะยาว กระทรวงดีอีเตรียมวางโครงสร้างพื้นฐานด้านการป้องกันข้อมูล โดยนำระบบและมาตรฐานสากลด้านการยืนยันตัวตนและความปลอดภัยไซเบอร์เข้ามาประยุกต์ใช้
อย่างไรก็ตาม นายไชยชนก ย้ำว่า การยกระดับความปลอดภัยของข้อมูลประชาชนไม่สามารถดำเนินการโดยหน่วยงานใดหน่วยงานหนึ่ง แต่ต้องอาศัยความร่วมมือจาก ภาครัฐ ภาคเอกชน และภาคประชาชน เนื่องจากข้อมูลมีการเชื่อมโยงและถูกใช้งานอยู่ในระบบนิเวศดิจิทัลเดียวกัน
นายไชยชนก ยังกล่าวขอบคุณภาคประชาชนที่เข้ามามีส่วนร่วมและนำเสนอแนวทางในการแก้ไขปัญหาการรั่วไหลของข้อมูล พร้อมยืนยันว่ากระทรวงดีอีพร้อมรับฟังแนวทางจากทุกภาคส่วน เพื่อนำมาประกอบการกำหนดมาตรการป้องกัน
ขณะเดียวกัน การบูรณาการข้อมูลระหว่างหน่วยงานยังช่วยให้เห็นภาพรวมขององค์ประกอบต่าง ๆ ที่เกี่ยวข้องกับ การซื้อขายข้อมูลส่วนบุคคล ซึ่งกระทรวงดีอีและหน่วยงานที่เกี่ยวข้องจะนำข้อมูลดังกล่าวไปขยายผลและกำหนดแนวทางรับมือ เพื่อป้องกันไม่ให้ข้อมูลส่วนบุคคลถูกนำไปใช้สร้างความเสียหายแก่ประชาชน
“กระทรวงดีอีพร้อมหารือแนวทางด้านต่าง ๆ เพื่อร่วมกันแก้ไขปัญหา โดยไม่ให้เกิดความตื่นตระหนกต่อประชาชน และจะร่วมกับภาคส่วนที่เกี่ยวข้องกำหนดมาตรการและแนวทางในการป้องกัน เพื่อไม่ให้เกิดผลกระทบและสร้างความเสียหายกับประชาชนต่อไป” นายไชยชนก กล่าว
แผนตรวจสอบระบบรัฐ 30,000 ระบบภายใน 15 วัน ควบคู่กับการผลักดัน MFA และการปรับเปลี่ยนข้อมูลยืนยันตัวตน จึงถือเป็นมาตรการเร่งด่วนที่กระทรวงดีอีเตรียมใช้เพื่อ “ลดพื้นที่เสี่ยง” ของระบบภาครัฐ ขณะที่มาตรการระยะยาวจะมุ่งสร้างโครงสร้างพื้นฐานความปลอดภัยทางไซเบอร์ที่เป็นมาตรฐานเดียวกันมากขึ้น เพื่อยกระดับการคุ้มครองข้อมูลประชาชนในภาพรวม
