ทีมดิจิทัลพรรคประชาชน
ชี้ ช่องโหว่ระบบ พร้อมเสนอโรดแมปแก้ ‘ข้อมูลจากภาครัฐรั่วไหล’
วันนี้
(11 สิงหาคม 2569) ที่ห้องแถลงข่าว รัฐสภา
จากกรณีที่ข้อมูลส่วนบุคคลของประชาชนรั่วไหลจากระบบภาครัฐครั้งใหญ่
ทีมดิจิทัลของพรรคประชาชน นำโดย อิสริยะ ไพรีพ่ายฤทธิ์ สส.แบบบัญชีรายชื่อ
พรรคประชาชน ได้ออกมาวิจารณ์ว่า
ขณะนี้ข้อมูลของคนไทยถูกหลุดออกไปจนแทบไม่เหลืออะไรให้หลุดอีกแล้ว
และรูปถ่ายติดบัตรถือเป็นข้อมูลชิ้นสุดท้ายที่ทำให้ตัวตนของประชาชนถูกเปิดเผยอย่างสิ้นเชิง
ทีมดิจิทัลพรรคประชาชน
อธิบายว่า สาเหตุหลักเกิดจากระบบไอทีภาครัฐมีลักษณะ กระจายศูนย์ต่างคนต่างทำ
ระบบส่วนใหญ่ได้รับการพัฒนามานานและขาดผู้เชี่ยวชาญด้านความปลอดภัยประจำหน่วยงาน
ส่งผลให้เกิดจุดอ่อนวิกฤต 2
ประการ ได้แก่
1)
ระบบยืนยันตัวตนอ่อนแอ เนื่องจากเป็นการพึ่งพาการใช้รหัสผ่าน (Password)
เพียงชั้นเดียว
2)
ไร้การจำกัดสิทธิ (Access Control) ไม่มีระบบ
แบ่งระดับความลับ และไม่มีระบบยกเลิกรหัสผ่านของพนักงานที่ลาออกไปแล้ว นอกจากนี้
หน่วยงานภาครัฐส่วนใหญ่ไม่มี Access Log สำหรับตรวจสอบย้อนหลังว่าใครเข้าถึงข้อมูลอะไรไปบ้าง
ความหละหลวมดังกล่าวนำไปสู่ปัญหา
Credential
Leaks หรือรหัสผ่านรั่วไหล
ซึ่งส่วนใหญ่ไม่ได้เกิดจากการแฮ็กระบบตรงๆ
แต่เกิดจากเจ้าหน้าที่รัฐขาดความระมัดระวัง เช่น การจดรหัสผ่านแปะไว้ที่โต๊ะ,
ตั้งรหัสง่ายๆ อย่าง 123456, การแชร์รหัสผ่านร่วมกัน
หรือนำคอมพิวเตอร์ส่วนตัวที่ติดมัลแวร์มาใช้งาน เมื่อแฮ็กเกอร์ได้รหัสผ่านไป
จึงสามารถเข้าถึงฐานข้อมูลทั่วไป เช่น ทะเบียนรถ ข้อมูลจิตอาสา หรือข้อมูลการศึกษา
และนำข้อมูลพื้นฐานเหล่านี้ (เช่น เลขเลเซอร์หลังบัตรประชาชน, วันเกิด, เลขบัตร)
ไปใช้สวมรอยยืนยันตัวตนเพื่อเข้าถึงระบบอื่นๆ ต่อไปเป็นห่วงโซ่
นอกจากนี้
ทีมดิจิทัล พรรคประชาชน ยังได้เสนอ ยุทธศาสตร์การปกป้องข้อมูลส่วนบุคคลแบบครบวงจร
ทั้งระยะสั้น ระยะกลาง และระยะยาว
เพื่อสร้างระบบความปลอดภัยทางไซเบอร์ที่รัดกุมและปกป้องข้อมูลของประชาชนอย่างมีประสิทธิภาพสูงสุด
ข้อเสนอระยะสั้น
ที่ควรทำทันทีภายใน 30
วัน เพื่อยับยั้งความเสียหายในเบื้องต้น ดังนี้
1.
หน่วยงานเข้าของระบบ ต้องสั่ง force reset รหัสผ่านทั้งหมดทันที
และไม่อนุญาตให้ผู้ใช้ตั้งรหัสผ่านเดิม เพราะเป็นรหัสผ่านที่หลุดออกไปแล้ว
และเป็นวิธีมาตรฐานที่ใช้กันในวงการ โดยหน่วยงานกำกับดูแลคือ สกมช.
ต้องเข้ามาตรวจสอบมาตรการเหล่านี้ว่าทำไปจริงๆ
2.
ให้ สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ
(สกมช.) เร่งรวบรวมรายชื่อระบบไอทีที่กระจัดกระจายอยู่ทั้งหมดในประเทศไทย
เพื่อทำการ audit ความปลอดภัยพื้นฐานก่อน
แอดมินระบบต้องยกเลิกบัญชีของพนักงานที่ออกไปแล้วด้วย
อธิบดีคนเก่าเกษียณยังเข้าระบบได้อยู่หรือไม่ (เข้าใจว่ากำลังทำแล้ว
- “สกมช. ได้มีการทำหนังสือด้วยมือถึงปลัดกระทรวง 19 กระทรวง”
แต่ต้องติดตาม)
3.
ทำหน้า dashboard รายงานของทุกหน่วยงาน
รายงานหน้าเว็บเลย ว่าหน่วยงานไหน ยังไม่ได้แก้ไขระบบ
ส่วนในระยะ
180 วัน และในระยะยาว พรรคประชาชนเสนอว่า กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม
และ สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.)
ควรเร่งออกมาตรฐานกลาง วิธีการ มาตรฐาน เทคโนโลยีระบบกลาง ที่หน่วยงานต่างๆ
สามารถนำไปใช้ได้ โดยเริ่มจากขั้นตอนเหล่านี้
1.
เปลี่ยนวิธียืนยันตัวตนจากรหัสผ่านเป็นชั้นเดียว (password
only) มาเป็น กระบวนการยืนยันตัวตนแบบหลายปัจจัย
โดยผู้ใช้งานจะต้องใช้หลักฐานมากกว่าหนึ่งอย่างเพื่อเข้าสู่ระบบ (MFA) โดยสิ่งที่ง่ายสุดคือ เปลี่ยนมายืนยันด้วย ThaiD, Google
Authenticator / Microsoft Authenticator (มาตรฐานเดียวกันอยู่แล้ว
แทนกันได้)
2.
ทยอยยกเลิกการยืนยันตัวตนครั้งแรกตอนลงทะเบียนเข้าระบบ
ด้วยการใช้เลขบัตรประชาชน / laser code หลังบัตร
รวมถึงข้อมูลอื่นๆ เช่น วันเกิด เพราะข้อมูลเหล่านี้หลุดไปหมดแล้ว
ไม่มีอะไรยืนยันตัวตนได้เลยว่าเป็นบุคคลนั้นจริง
3.
ทำระบบ Log กลาง Centralized Log
Management โดยบังคับให้ทุกระบบส่ง Log เข้าศูนย์กลางที่แก้ไขไม่ได้
เพื่อให้ สกมช. สามารถตรวจสอบระบบไอทีภาครัฐทั้งหมดได้
4.
สกมช. ควรเพิ่มระบบ โครงการล่าเงินรางวัลจากการหาช่องโหว่ (Bug
Bounty) มอบ "รางวัล" (Bounty) หรือผลตอบแทน
ให้แก่ผู้เชี่ยวชาญด้านความปลอดภัยไซเบอร์ หรือ Hacker สายขาว
(White Hat / Ethical Hacker) ที่มีระบบรับแจ้ง
เมื่อสามารถค้นพบและรายงานช่องโหว่ด้านความปลอดภัย
(Vulnerability
/ Bug) ในระบบ เว็บไซต์ แอปพลิเคชัน
หรือโครงสร้างพื้นฐานขององค์กรได้สำเร็จ มักจะเป็น การมอบเกียรติบัตร (Certificate),
เงิน, คำขอบคุณ หรือการขึ้นชื่อใน Hall
of Fame ของหน่วยงาน แทนที่จะจ่ายเป็นตัวเงิน
ตัวอย่างประเทศอื่นที่มี
กระทรวงกลาโหมหรือกระทรวงความมั่นคงแห่งชาติของสหรัฐฯ (เช่น โครงการ Hack the Pentagon หรือ Hack DHS)
5.หน่วย CIO ประเทศ
เข้าไปรวบรวมจัดการระบบไอทีภาครัฐในภาพรวมให้เป็นมาตรฐานเดียวกัน
ทั้งเรื่องมาตรฐานความปลอดภัย ความเป็นส่วนตัว รวมถึงนโยบายด้านอื่น เช่น Cloud
First การใช้คลาวด์กลางภาครัฐ, การจัดซื้อครุภัณฑ์,
การลงทุนใน Big Data & AI
#UDDnews
#ยูดีดีนิวส์ #พรรคประชาชน #ทีมดิจิทัล
