‘ไชยชนก’ชู3มาตรการ
สกัด‘ภัยคุกคามไซเบอร์-ข้อมูลรั่ว’
หมายเหตุ – นายไชยชนก ชิดชอบ รัฐมนตรีว่าการกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม แถลงข่าวการยกระดับมาตรการหน่วยงานรัฐ เพื่อคุ้มครองข้อมูลประชาชน มีนายภราดร ปริศนานันทกุล รัฐมนตรีประจําสํานักนายกรัฐมนตรี น.ส.แนน บุณย์ธิดา สมชัย รัฐมนตรีช่วยว่าการกระทรวงดีอี และหน่วยงานที่เกี่ยวข้องเข้าร่วม ที่กระทรวงดีอี เมื่อวันที่ 10 สิงหาคม
กระทรวงดีอีร่วมกับ สกมช. เตรียมเสนอชุดมาตรการยกระดับความปลอดภัยไซเบอร์เข้าสู่ที่ประชุม ครม. ในการประชุมคณะรัฐมนตรี (ครม.) วันที่ 11 สิงหาคมนี้ มาตรการจะเสนอ ครม.มี 3 เรื่องสำคัญ ได้แก่ 1.Force Reset Password หรือการบังคับให้ข้าราชการและเจ้าหน้าที่ของหน่วยงานภาครัฐกว่า 300 กรม เปลี่ยนรหัสผ่านใหม่ทั้งหมดทันที เพื่อเป็นการตัดวงจรไม่ให้ผู้ไม่หวังดีนำข้อมูลชื่อผู้ใช้และรหัสผ่านเดิมเคยรั่วไหลไปแล้วกลับมาใช้สวมรอยเข้าสู่ระบบได้อีก 2.System Cleansing ให้ทุกกระทรวงและหน่วยงานระดับกรมตรวจสอบระบบสารสนเทศในสังกัดกว่า 30,000 ระบบ ภายในกรอบเวลาประมาณ 15 วัน โดยเฉพาะระบบเก่าหรือระบบเลิกใช้งานแล้ว หากไม่มีความจำเป็นต้องเปิดไว้จะต้องปิดการเข้าถึงในส่วนหลังบ้าน หรือ Back End อย่างถาวร เพราะที่ผ่านมาในหลายหน่วยงานยังมีความเข้าใจว่าการปิดหน้าเว็บไซต์เท่ากับปิดระบบทั้งหมด ทั้งที่ในทางเทคนิคระบบหลังบ้านอาจยังคงเปิดและกลายเป็นช่องทางให้ผู้ไม่หวังดีเข้าถึงได้
สำหรับมาตรการที่ 3 คือการยกระดับการใช้ Multifactor Authentication หรือ MFA ในระบบภาครัฐทั้งหมด อย่างไรก็ตาม การใช้ MFA จะต้องพิจารณาตามระดับความเสี่ยงและความสำคัญของแต่ละระบบ ไม่ได้หมายความว่าจะกำหนดเพียงการยืนยันตัวตน 2 ปัจจัยเหมือนกันทั้งหมด แต่ต้องออกแบบให้เหมาะกับลักษณะของระบบนั้นๆ เพื่อไม่ให้กรณีที่ชื่อผู้ใช้และรหัสผ่านรั่วไหลแล้ว ผู้ไม่หวังดีสามารถนำข้อมูลดังกล่าวเข้าสู่ระบบได้ทันที ทั้งนี้ กระทรวงอยู่ระหว่างพิจารณามาตรการทางกฎหมายสำหรับหน่วยงานไม่ดำเนินการตามแนวทางที่กำหนด รวมถึงแนวคิดจะนำเรื่องความปลอดภัยไซเบอร์เข้าไปเป็นตัวชี้วัดผลงาน หรือ KPI และเชื่อมโยงกับการจัดสรรงบประมาณ เพื่อให้หน่วยงานรัฐมีทั้งหน้าที่และแรงจูงใจในการยกระดับความปลอดภัยอย่างจริงจัง
สำหรับภาพรวมข้อมูลที่กระทรวงรวบรวมจากการสืบสวนเชิงลึกและการแลกเปลี่ยนข้อมูลกับภาคประชาชน พบว่าปัจจุบันทั่วโลกมีข้อมูลชื่อผู้ใช้และรหัสผ่าน หรือ Log-in Credential เคยรั่วไหลและถูกนำไปสะสมอยู่ตามฐานข้อมูลต่างๆ รวมถึง Dark Web สูงถึงประมาณ 50,000 ล้านล็อกอิน ขณะที่ประเทศไทยพบข้อมูลล็อกอินรั่วไหลสะสมกว่า 200 ล้านรายการ โดยตัวเลขดังกล่าวไม่ได้หมายความว่าทุกบัญชียังคงใช้งานอยู่ในปัจจุบัน เนื่องจากบางบัญชีถูกยกเลิก บางบัญชีมีการเปลี่ยนรหัสผ่านไปแล้ว หรือบางระบบได้ยุติการใช้งาน แต่ข้อมูลเก่าเคยรั่วไหลยังคงถูกเก็บและนำไปซื้อขายต่อได้ อย่างไรก็ตาม ปัญหานี้จำเป็นต้องขับเคลื่อนแก้ไขร่วมกันทั้งประเทศ ไม่ใช่เป็นภาระของหน่วยงานรัฐเพียงฝ่ายเดียว
ข้อมูลชื่อผู้ใช้และรหัสผ่านที่หลุดไปกว่า 200 ล้านรายการ เป็นข้อมูลถูกสะสมมายาวนานหลายปี โดยเฉพาะช่วงโควิด-19 ที่มีการ Work from Home หลายบัญชีอาจจะหมดอายุหรือเลิกใช้ไปแล้ว แต่ก็ยังมีอีกมากที่ยังใช้งานอยู่
ทั้งนี้ จากข้อมูลตรวจสอบพบมีระบบภาครัฐที่เกี่ยวข้องกับข้อมูลล็อกอินรั่วไหลอยู่เกือบ 30,000 ระบบ และภาคเอกชนอีกกว่า 35,000 ระบบ โดยหนึ่งคนสามารถมีหลายล็อกอิน ทั้งที่ใช้ในระบบภาครัฐและภาคเอกชน ทำให้ตัวเลขจำนวนล็อกอินไม่สามารถนำไปตีความตรงๆ ว่าเป็นจำนวนบุคคลที่ได้รับผลกระทบ โดยประเด็นสำคัญที่กระทรวงต้องเร่งดำเนินการจึงไม่ใช่เพียงการนับจำนวนข้อมูลที่หลุด แต่ต้องย้อนกลับไปตรวจสอบว่าระบบใดมีความเสี่ยง ระบบใดยังใช้งานอยู่ ระบบใดเลิกใช้แล้ว และระบบใดยังเปิดช่องทางการเข้าถึงโดยไม่จำเป็น
ส่วนกรณีข้อมูลประชาชนรั่วไหลล่าสุด จากข้อมูลได้รับในขณะนี้ยังไม่พบว่าเกิดจากการถูกแฮกระบบ Cyber Security โดยตรง แต่มีลักษณะเป็น Credential Leaks หรือการที่รหัสผ่านและข้อมูลสำหรับเข้าสู่ระบบรั่วไหลออกไปก่อน จากนั้นผู้กระทำผิดนำข้อมูลล็อกอินที่มีการซื้อขายอยู่บน Dark Web มาใช้เข้าสู่ระบบ ผ่านช่องทางที่ระบบเปิดให้ใช้งานตามปกติ รวมถึงช่องทาง API เชื่อมต่อกับระบบ ดังนั้น แนวทางแก้ไขจึงไม่สามารถมุ่งการอุดช่องโหว่ของระบบเพียงอย่างเดียว แต่ต้องตัดวงจรของข้อมูลล็อกอินรั่วไหลด้วยการเปลี่ยนรหัสผ่านและยกระดับการยืนยันตัวตน ทั้งนี้ จึงไม่ใช่เรื่องที่เราต้องไปปรับเปลี่ยนระบบ Cyber Security เพราะระบบไม่ได้โดนเจาะ แต่ต้องยกระดับการเข้าใช้งานด้วย MFA
การรีเซตรหัสผ่านเป็นเพียงมาตรการระยะสั้นเพื่อซื้อเวลาเท่านั้น เพราะแม้จะเปลี่ยนเป็นรหัสใหม่ หากผู้ใช้งานถูกหลอกให้กดลิงก์ หรือกรอกข้อมูลผ่านช่องทางที่ไม่ปลอดภัย รหัสผ่านใหม่ก็สามารถถูกขโมยและนำไปใช้ได้อีก
ในส่วนของ Force Reset Password นั้นเป็นมาตรการสามารถดำเนินการได้ทันที โดยไม่จำเป็นต้องรอการปรับปรุงโครงสร้างระบบขนาดใหญ่ เนื่องจากผู้ดูแลระบบของแต่ละหน่วยงานมีสิทธิในการจัดการบัญชีและรหัสผ่านของผู้ใช้งานอยู่แล้ว การเปลี่ยนรหัสผ่านเดิมจะช่วยทำให้ข้อมูลเคยรั่วไหลและอาจถูกเก็บอยู่ในฐานข้อมูลของผู้ไม่หวังดีไม่สามารถนำกลับมาใช้เข้าสู่ระบบได้อีก ขณะเดียวกัน มาตรการดังกล่าวจะทำหน้าที่เป็นการซื้อเวลาให้รัฐบาลและหน่วยงานที่เกี่ยวข้องสามารถเดินหน้าปรับโครงสร้างการยืนยันตัวตนและระบบความปลอดภัยในระยะยาวได้ โดยไม่ต้องรอให้ทุกอย่างเสร็จสมบูรณ์ก่อนจึงจะเริ่มจัดการกับความเสี่ยงที่มีอยู่ในปัจจุบัน
ขณะเดียวกัน กระทรวงจะนำระบบภาครัฐประมาณ 30,000 ระบบ มาตรวจสอบใหม่ทั้งหมด ไม่ใช่ตรวจเฉพาะบัญชีพบว่ารหัสผ่านรั่วไหล โดยจะไล่ตรวจว่าระบบใดยังมีการใช้งาน ระบบใดเลิกใช้งานแล้ว ระบบใดมีความจำเป็นต้องเปิดให้เข้าถึงจากภายนอก และระบบใดมีช่องทางการเข้าถึงมากเกินกว่าความจำเป็น โดยเฉพาะระบบที่หน่วยงานเข้าใจว่าปิดไปแล้ว จะต้องตรวจสอบให้ถึงระบบหลังบ้าน เพราะการปิดหน้าเว็บไซต์หรือช่องทางที่ประชาชนมองเห็นไม่ได้แปลว่าระบบทั้งหมดถูกปิดลงอย่างสมบูรณ์ ดังนั้น ระบบที่ไม่มีความจำเป็นต้องใช้งานอีกต่อไปจะต้องถูกปิดอย่างถาวร ทั้งในส่วนของการเข้าถึงภายนอกและระบบหลังบ้าน เพื่อไม่ให้กลายเป็นระบบร้างที่ยังคงมีโครงสร้างทางเทคนิคหลงเหลือและกลายเป็นช่องโหว่ในอนาคต
สำหรับกรอบเวลาในการทำ System Cleansing ตั้งเป้าไว้ว่าการตรวจสอบและปิดระบบไม่จำเป็นสามารถดำเนินการให้แล้วเสร็จภายในประมาณ 15 วัน มาตรการบางส่วนสามารถทำได้ทันที โดยเฉพาะการรีเซตรหัสผ่านและการปิดระบบที่ไม่จำเป็น ขณะที่การยกระดับ MFA ยังไม่สามารถกำหนดกรอบเวลาเดียวกันกับระบบทั้งหมด 30,000 ระบบได้ เพราะต้องประเมินความพร้อม ลักษณะการให้บริการ และระดับความเสี่ยงของแต่ละระบบ รัฐบาลจะเรียกทุกกระทรวงและหน่วยงานระดับกรมกว่า 300 แห่งเข้ามาทบทวนระบบในภาพรวม ตั้งแต่โครงสร้างพื้นฐาน ระบบที่มีอยู่ ระบบที่ขาด ช่องทางการเข้าถึง ไปจนถึงมาตรการรักษาความปลอดภัยของแต่ละระบบ เพื่อจัดทำแผนระยะยาวให้เหมาะสมกับความเสี่ยงของหน่วยงาน
ส่วนในเรื่องของการรีเซตพาสเวิร์ด ต้องสามารถทำได้ทันที ส่วนที่ไม่จำเป็นและตรงนั้นออก ปิดอย่างถาวร เราเชื่อว่า 15 วันเราทำทัน
อีกประเด็นที่กระทรวงเตรียมผลักดันคือการนำ Cyber Security และ Digitalization เข้าไปผูกกับ KPI และงบประมาณของหน่วยงานรัฐ เพราะการกำหนดเพียงมาตรฐานหรือกฎหมายอาจไม่เพียงพอ การผูกความปลอดภัยไซเบอร์กับการประเมินและงบประมาณ จะทำให้หน่วยงานเร่งแก้ไขระบบเก่าและระบบที่ไม่ได้ใช้งานมากขึ้น ขณะเดียวกันต้องตรวจสอบว่าหน่วยงานที่ระบุว่าปฏิบัติตามกฎหมาย ได้ดำเนินการตามมาตรฐานจริงหรือไม่ ก็ต้องเช็กกันว่าเป็นไปตามนั้นจริงไม่จริงแค่ไหนอย่างไรในแต่ละเคส
ส่วนกรณีผู้รับจ้างพัฒนาระบบหรือ Outsource กระทรวงจะตรวจสอบทุกกรณีว่ามีส่วนเกี่ยวข้องกับข้อมูลรั่วไหลหรือไม่ แต่ยังไม่สามารถสรุปว่าเป็นต้นเหตุทั้งหมด เนื่องจากระบบรัฐจำนวนมากพัฒนามานานกว่า 10 ปี และมีปัจจัยเสี่ยงแตกต่างกัน ทุกเคสเราก็ต้องดำเนินการอย่างเต็มที่อยู่แล้ว แต่ละเคสในกว่า 30,000 ระบบ เชื่อว่า Unique ทุกเคส เราพร้อมเตรียมหารือกับกรมบัญชีกลางเพื่อปรับปรุงเกณฑ์จัดซื้อจัดจ้างและ TOR ด้านดิจิทัล ให้มีข้อกำหนด Cyber Security และบทลงโทษชัดเจน รวมถึงความรับผิดชอบของผู้รับจ้างหลังส่งมอบระบบ
นอกจากนี้ รัฐบาลกำลังเร่งพัฒนา Infrastructure ด้านการยืนยันตัวตนกลาง สำหรับบริการภาครัฐ โดยนำระบบที่มีมาตรฐานสากลและใช้ในอุตสาหกรรมที่มีความปลอดภัยสูงมาเป็นโครงสร้างพื้นฐาน ให้ระบบและแอพพลิเคชั่นต่างๆ เชื่อมต่อ หรือ Plug-in รวมถึงเชื่อมกับ ThaID เพื่อยกระดับความปลอดภัยระยะยาว โดยตัว Infra ที่ได้รับมาตรฐาน ใช้ในอุตสาหกรรม Highest Security เป็นอุตสาหกรรมต้องการความปลอดภัยสูงสุด ไม่ใช่เพียงการเพิ่มแอพพลิเคชั่น แต่เป็นโครงสร้างพื้นฐานกลางสำหรับ Authenticate เพื่อให้แต่ละหน่วยงานไม่ต้องออกแบบระบบความปลอดภัยทั้งหมดขึ้นมาเอง
ไม่มีระบบใดในโลกปลอดภัย 100% แต่รัฐบาลต้องบริหารความเสี่ยงให้ดีที่สุด ทำให้เซฟที่สุด โดยเฉพาะเมื่อภาครัฐใช้ Cloud และโครงสร้างพื้นฐานดิจิทัลมากขึ้น จึงต้องวางมาตรฐานตั้งแต่ระบบยืนยันตัวตน สิทธิการเข้าถึง ระบบหลังบ้าน ไปจนถึงการบริหารข้อมูล
