‘ไชยชนก’ เผยพบข้อมูลรั่วไหลรัฐ 3 หมื่น-เอกชน 3.5 หมื่น ชงเข้า ครม.พรุ่งนี้ บังคับใช้ MFA ล้างระบบร้าง 15 วัน
เมื่อวันที่ 10 สิงหาคม เวลา 12.40 น. ที่กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม (ดีอี) จัดงานแถลงข่าว “การยกระดับมาตรการหน่วยงานรัฐ เพื่อคุ้มครองข้อมูลประชาชน” นายไชยชนก ชิดชอบ รัฐมนตรีว่าการกระทรวงดีอี เปิดเผยว่า วันที่ 11 สิงหาคม กระทรวงดีอีจะนำมาตรการด้านความมั่นคงปลอดภัยไซเบอร์เสนอต่อคณะรัฐมนตรี (ครม.) โดยเน้นการผลักดันให้หน่วยงานรัฐใช้การยืนยันตัวตนหลายปัจจัย (MFA) ควบคู่กับมาตรการเร่งด่วนในการบังคับเปลี่ยนรหัสผ่านระบบภาครัฐทันที
นายไชยชนก กล่าวว่า ข้อมูลที่กระทรวงรวบรวมเพิ่มเติมพบว่า ทั่วโลกมีข้อมูลล็อกอินที่เคยรั่วไหลและถูกสะสมประมาณ 50,000 ล้านล็อกอิน ขณะที่ประเทศไทยมีข้อมูลล็อกอินรั่วไหลสะสมกว่า 200 ล้านล็อกอิน โดยพบระบบภาครัฐที่มีข้อมูลล็อกอินรั่วไหลประมาณ 30,000 ระบบ และภาคเอกชนมากกว่า 35,000 ระบบ ทั้งนี้ ข้อมูลดังกล่าวเป็นข้อมูลที่เคยรั่วไหลและถูกเก็บสะสมในฐานข้อมูลต่างๆ รวมถึง Dark Web ไม่ได้หมายความว่าทุกบัญชียังใช้งานอยู่
นายไชยชนก ระบุว่า ส่วนกรณีข้อมูลประชาชนรั่วไหลล่าสุด ไม่ได้เกิดจากการถูกแฮกระบบ Cyber Security โดยตรง แต่เป็นกรณี Credential Leak หรือรหัสผ่านและข้อมูลเข้าสู่ระบบรั่วไหล ก่อนถูกนำไปซื้อขายบน Dark Web แล้วนำมาเข้าสู่ระบบผ่านช่องทางปกติ รวมถึง API ที่เชื่อมต่อกับระบบ ดังนั้น การแก้ปัญหาไม่ใช่เพียงอุดช่องโหว่ แต่ต้องตัดวงจรข้อมูลล็อกอินที่รั่วไหลด้วยการเปลี่ยนรหัสผ่านและยกระดับการยืนยันตัวตน
“การรีเซ็ตรหัสผ่านเป็นเพียงมาตรการระยะสั้นเพื่อซื้อเวลา เพราะรหัสผ่านใหม่ก็สามารถถูกขโมยได้อีก หากผู้ใช้งานถูกหลอกให้กดลิงก์หรือกรอกข้อมูลในช่องทางที่ไม่ปลอดภัย ทั้งนี้ มาตรการที่ทำได้ทันทีคือ Force Reset หรือบังคับเปลี่ยนรหัสผ่านใหม่ในระบบภาครัฐทั้งหมด เพื่อให้รหัสผ่านเดิมที่อาจอยู่ในฐานข้อมูลรั่วไหลไม่สามารถนำกลับมาใช้ได้
นายไชยชนก กล่าวว่า กระทรวงจะไม่นำเฉพาะบัญชีที่พบว่ารหัสผ่านรั่วมาตรวจสอบ แต่จะนำระบบภาครัฐประมาณ 30,000 ระบบมาตรวจสอบใหม่ทั้งหมด ทั้งระบบที่ยังใช้งาน ระบบที่เลิกใช้งาน ระบบที่เปิดให้เข้าถึงจากภายนอก และระบบหลังบ้านที่อาจยังมีช่องทางเข้าถึงได้ แม้หน่วยงานจะเข้าใจว่าปิดไปแล้ว โดยตั้งเป้าการทำความสะอาดระบบ (Cleansing) และปิดระบบที่ไม่จำเป็นภายใน 15 วัน
นายไชยชนกกล่าวว่า อย่างไรก็ตาม สำหรับการใช้ MFA ไม่ได้หมายถึงเพียงแค่ 2 ปัจจัย แต่ต้องพิจารณาตามความเหมาะสมและความเสี่ยงของแต่ละระบบ เพื่อป้องกันกรณีรหัสผ่านรั่วไหลแล้วผู้ไม่หวังดีสามารถเข้าสู่ระบบได้ทันที โดยมาตรการดังกล่าวต้องทำควบคู่กับการปรับปรุงโครงสร้างระบบ การจัดการสิทธิการเข้าถึง และการบริหารความเสี่ยง
นายไชยชนก กล่าวว่า ทั้งนี้ กระทรวงฯ เตรียมเรียกทุกกระทรวงและหน่วยงานระดับกรมกว่า 300 แห่ง เข้ามาทบทวนระบบทั้งหมด ตั้งแต่โครงสร้าง ระบบที่มีอยู่ ช่องทางการเข้าถึง และมาตรการรักษาความปลอดภัย พร้อมพิจารณานำ Cyber Security และ Digitalization เข้าเป็น KPI รวมถึงเชื่อมโยงกับงบประมาณ ทั้งนี้ ข้อมูลล็อกอินกว่า 200 ล้านรายการของไทยพบว่าส่วนใหญ่เป็นข้อมูลสะสมจากหลายปี โดยช่วงโควิด-19 อย่างไรก็ตาม รัฐยังไม่สามารถรับประกันได้ว่าจะไม่มีข้อมูลรั่วไหลอีก แต่จะเร่งทำให้ระบบปลอดภัยที่สุด ด้วยการบริหารความเสี่ยงที่ดีที่สุด ทั้งการใช้ MFA การปิดระบบที่ไม่จำเป็น และการยกระดับมาตรฐาน Cyber Security ในระยะยาว
