พรรคประชาชน ชี้ช่องโหว่ระบบรัฐ ข้อมูลรั่วไหลหนัก เสนอโรดแมปกู้ภัยไซเบอร์

วันที่ 11 สิงหาคม 2569 จากกรณีที่ข้อมูลส่วนบุคคลของประชาชนรั่วไหลจากระบบภาครัฐครั้งใหญ่ ทีมดิจิทัลของพรรคประชาชน นำโดย นายอิสริยะ ไพรีพ่ายฤทธิ์ สส.แบบบัญชีรายชื่อ ได้ออกมาวิจารณ์สถานการณ์ดังกล่าว โดยระบุว่าขณะนี้ข้อมูลของคนไทยถูกหลุดออกไปจนแทบไม่เหลืออะไรให้หลุดอีกแล้ว และรูปถ่ายติดบัตรถือเป็นข้อมูลชิ้นสุดท้ายที่ทำให้ตัวตนของประชาชนถูกเปิดเผยอย่างสิ้นเชิง

ทีมดิจิทัลพรรคประชาชนอธิบายว่า สาเหตุหลักเกิดจากระบบไอทีภาครัฐมีลักษณะกระจายศูนย์ต่างคนต่างทำ ระบบส่วนใหญ่ได้รับการพัฒนามานานและขาดผู้เชี่ยวชาญด้านความปลอดภัยประจำหน่วยงาน ส่งผลให้เกิดจุดอ่อนวิกฤต 2 ประการ ได้แก่ ระบบยืนยันตัวตนอ่อนแอ เนื่องจากเป็นการพึ่งพาการใช้รหัสผ่าน (Password) เพียงชั้นเดียว และไร้การจำกัดสิทธิ (Access Control) ไม่มีระบบแบ่งระดับความลับ รวมถึงไม่มีระบบยกเลิกรหัสผ่านของพนักงานที่ลาออกไปแล้ว นอกจากนี้ หน่วยงานภาครัฐส่วนใหญ่ยังไม่มี Access Log สำหรับตรวจสอบย้อนหลังว่าใครเข้าถึงข้อมูลอะไรไปบ้าง

ความหละหลวมดังกล่าวนำไปสู่ปัญหา Credential Leaks หรือรหัสผ่านรั่วไหล ซึ่งส่วนใหญ่ไม่ได้เกิดจากการแฮ็กระบบโดยตรง แต่เกิดจากเจ้าหน้าที่รัฐขาดความระมัดระวัง เช่น การจดรหัสผ่านแปะไว้ที่โต๊ะ, ตั้งรหัสง่ายๆ หรือการแชร์รหัสผ่านร่วมกัน เมื่อแฮ็กเกอร์ได้รหัสผ่านไป จึงสามารถเข้าถึงฐานข้อมูลทั่วไป เช่น ทะเบียนรถ ข้อมูลจิตอาสา หรือข้อมูลการศึกษา และนำข้อมูลพื้นฐานเหล่านี้ (เช่น เลขเลเซอร์หลังบัตรประชาชน, วันเกิด, เลขบัตร) ไปใช้สวมรอยยืนยันตัวตนเพื่อเข้าถึงระบบอื่นๆ ต่อไปเป็นห่วงโซ่

นอกจากนี้ ทีมดิจิทัลพรรคประชาชนยังได้เสนอ ยุทธศาสตร์การปกป้องข้อมูลส่วนบุคคลแบบครบวงจร ทั้งระยะสั้น ระยะกลาง และระยะยาว เพื่อสร้างระบบความปลอดภัยทางไซเบอร์ที่รัดกุมและปกป้องข้อมูลของประชาชนอย่างมีประสิทธิภาพสูงสุด

สำหรับข้อเสนอระยะสั้น ที่ควรดำเนินการทันทีภายใน 30 วัน เพื่อยับยั้งความเสียหายในเบื้องต้น มีดังนี้

1. หน่วยงานเจ้าของระบบต้องสั่ง force reset รหัสผ่านทั้งหมดทันที และไม่อนุญาตให้ผู้ใช้ตั้งรหัสผ่านเดิม ซึ่งเป็นวิธีมาตรฐานที่ใช้กันในวงการ โดยสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) ต้องเข้ามาตรวจสอบมาตรการเหล่านี้

2. สกมช. เร่งรวบรวมรายชื่อระบบไอทีที่กระจัดกระจายอยู่ทั้งหมดในประเทศไทย เพื่อทำการ audit ความปลอดภัยพื้นฐานก่อน และแอดมินระบบต้องยกเลิกบัญชีของพนักงานที่ออกไปแล้ว

3. จัดทำหน้า dashboard รายงานของทุกหน่วยงานบนเว็บไซต์ เพื่อแสดงสถานะการแก้ไขระบบ

ส่วนในระยะ 180 วัน และในระยะยาว พรรคประชาชนเสนอว่า กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม และ สกมช. ควรเร่งออกมาตรฐานกลาง วิธีการ และเทคโนโลยีระบบกลาง ที่หน่วยงานต่างๆ สามารถนำไปใช้ได้ โดยเริ่มจากขั้นตอนเหล่านี้

1. เปลี่ยนวิธียืนยันตัวตนจากรหัสผ่านชั้นเดียว มาเป็นกระบวนการยืนยันตัวตนแบบหลายปัจจัย (MFA) โดยผู้ใช้งานจะต้องใช้หลักฐานมากกว่าหนึ่งอย่างเพื่อเข้าสู่ระบบ เช่น ThaiD, Google Authenticator หรือ Microsoft Authenticator

2. ทยอยยกเลิกการยืนยันตัวตนครั้งแรกตอนลงทะเบียนเข้าระบบ ด้วยการใช้เลขบัตรประชาชน/laser code หลังบัตร รวมถึงข้อมูลอื่นๆ เช่น วันเกิด เนื่องจากข้อมูลเหล่านี้หลุดไปหมดแล้ว ไม่มีอะไรยืนยันตัวตนได้เลยว่าเป็นบุคคลนั้นจริง

3. จัดทำระบบ Log กลาง (Centralized Log Management) โดยบังคับให้ทุกระบบส่ง Log เข้าศูนย์กลางที่แก้ไขไม่ได้ เพื่อให้ สกมช. สามารถตรวจสอบระบบไอทีภาครัฐทั้งหมดได้

4. สกมช. ควรเพิ่มระบบโครงการล่าเงินรางวัลจากการหาช่องโหว่ (Bug Bounty) มอบรางวัลหรือผลตอบแทนให้แก่ผู้เชี่ยวชาญด้านความปลอดภัยไซเบอร์ หรือ Hacker สายขาว ที่ค้นพบและรายงานช่องโหว่ด้านความปลอดภัยในระบบได้สำเร็จ ซึ่งอาจเป็นการมอบเกียรติบัตร เงิน หรือการขึ้นชื่อใน Hall of Fame ของหน่วยงาน

5. หน่วย CIO ของประเทศ เข้าไปรวบรวมจัดการระบบไอทีภาครัฐในภาพรวมให้เป็นมาตรฐานเดียวกัน ทั้งเรื่องมาตรฐานความปลอดภัย ความเป็นส่วนตัว รวมถึงนโยบายด้านอื่น เช่น Cloud First การใช้คลาวด์กลางภาครัฐ, การจัดซื้อครุภัณฑ์, การลงทุนใน Big Data & AI