กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม (ดีอี) เปิดยุทธการร่วมกับภาคเอกชนและภาคประชาชน เร่งสแกนความปลอดภัยทางไซเบอร์เพื่อปกป้องข้อมูลส่วนบุคคลของคนไทย หลังตรวจพบวิกฤตข้อมูลรั่วไหลระดับโลก พร้อมเตรียมชงคณะรัฐมนตรี (ครม.) อนุมัติมาตรการบังคับใช้ระบบยืนยันตัวตนหลายปัจจัย (Multi-Factor Authentication: MFA) ในหน่วยงานรัฐทุกแห่งทันที

วิกฤตไซเบอร์ลาม! ตรวจพบข้อมูลคนไทยรั่วไหลกว่า 200 ล้าน User

ไชยชนก ชิดชอบ รัฐมนตรีว่าการกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม เป็นประธานการแถลงข่าวผลการประชุมยกระดับมาตรการการคุ้มครองข้อมูลส่วนบุคคลของหน่วยงานรัฐ เปิดเผยว่า จากการเฝ้าระวังและตรวจสอบร่วมกับสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) พบสถิติที่น่าตกใจว่า มีข้อมูลประชากรโลกรั่วไหลในระบบรวมกว่า 50,000 ล้าน User

ในจำนวนนี้ ตรวจพบว่าเป็นข้อมูลของประชาชนคนไทยประมาณ 200 กว่าล้าน User ซึ่งเป็นการรั่วไหลสะสมจากหลายช่วงเวลาและหลายระบบ โดยพบจุดอ่อนสำคัญกระจายอยู่ในระบบของหน่วยงานภาครัฐที่มีอยู่เกือบ 30,000 ระบบ และระบบภาคเอกชนอีกกว่า 35,000 ระบบ

"กระทรวงดีอีได้บูรณาการร่วมกับหน่วยงานที่เกี่ยวข้องและภาคประชาชน จนทราบถึงแหล่งข้อมูล ช่องทางการรั่วไหล และกระบวนการที่กลุ่มผู้ไม่หวังดีใช้โจมตี เราจึงต้องเร่งกำหนดแนวทางแก้ไขและป้องกันทั้งในระยะสั้น ระยะกลาง และระยะยาว เพื่อหยุดยั้งความเสียหายไม่ให้กระทบต่อประชาชน" ไชยชนก กล่าว

ผู้บริหารและผู้แทนเข้าร่วมการประชุมยกระดับ

มาตรการคุ้มครองข้อมูลส่วนบุคคลในครั้งนี้ ได้รับความร่วมมือจากระดับนโยบาย หน่วยงานกำกับดูแล เจ้าหน้าที่ตำรวจ และผู้เชี่ยวชาญด้านเทคโนโลยีจากภาคประชาชนอย่างครบครัน ได้แก่ ฝ่ายบริหารและผู้แทนหน่วยงานภาครัฐ ได้แก่ ไชยชนก ชิดชอบ รัฐมนตรีว่าการกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม (ประธานการแถลงข่าว), ภราดร ปริศนานันทกุล รัฐมนตรีประจำสำนักนายกรัฐมนตรี, แนน บุณย์ธิดา สมชัย รัฐมนตรีช่วยว่าการกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม, ชมภารี ชมภูรัตน์ รองปลัดกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม, พ.ต.อ.สุรพงศ์ เปล่งขำ เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส. / PDPC), พล.อ.ต.อมร ชมเชย เลขาธิการคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) และ พล.ต.ต.นิเวศน์ อาภาวศิน รองผู้บัญชาการตำรวจสืบสวนสอบสวนอาชญากรรมทางเทคโนโลยี (สอท.) ส่วนผู้แทนภาคประชาชนและผู้เชี่ยวชาญภาคเอกชน ได่แก่ ธนารัตน์ กัววัฒนาพันธ์ CEO domecloud / Lead tech team, อัมฤทธิ์ ทองทั่ว CEO บริษัท Secure D 

ภาคประชาชน ร่วมขยายผลลุยจับขบวนการซื้อขายข้อมูล

ไชยชนก กล่าวเสริมและแสดงความขอบคุณไปยังตัวแทนภาคประชาชนและผู้เชี่ยวชาญด้านเทคโนโลยี ที่นำเสนอแนวทางเชิงลึกในการแก้ไขปัญหารั่วไหลของข้อมูล โดยการทำงานร่วมกันครั้งนี้ทำให้รัฐบาลทราบถึงองค์ประกอบและเครือข่ายขบวนการซื้อขายข้อมูลส่วนบุคคลในตลาดมืดอย่างชัดเจนยิ่งขึ้น

ทั้งนี้ กระทรวงดีอีและหน่วยงานที่เกี่ยวข้องจะเร่งขยายผลเพื่อดำเนินคดีทางกฎหมายขั้นเด็ดขาด ควบคู่ไปกับการวางมาตรการป้องกันที่รัดกุมที่สุด เพื่อสร้างความมั่นใจให้แก่ประชาชน โดยย้ำว่าการดำเนินงานทั้งหมดจะทำอย่างโปร่งใสและไม่ก่อให้เกิดความตื่นตระหนก

เปิดแผนปฏิบัติการ 3 ระยะ: สั่ง Cleansing ระบบรัฐใน 15 วัน - ชง ครม. เคาะ MFA

กระทรวงดีอีได้วางโครงสร้างการแก้ปัญหาไซเบอร์อย่างเป็นระบบ แบ่งออกเป็น 3 ระยะหลัก ได้แก่

1. มาตรการระยะสั้น (ด่วนที่สุด)

สั่ง Cleansing ระบบรัฐ 30,000 แห่ง เร่งตรวจสอบระบบการจัดเก็บข้อมูลของภาครัฐทั้งหมดเกือบ 30,000 ระบบ โดยตั้งเป้าหมายดำเนินการให้แล้วเสร็จภายใน 15 วัน เพื่อคัดแยกดูว่าระบบใดที่ยังใช้งานจริง และระบบใดที่เป็นระบบเก่า/ไม่ได้ใช้งานแล้ว เพื่อสั่งปิดระบบ (Decommission) ทันที ลดช่องโหว่การถูกแฮก

ชง ครม. บังคับใช้ MFA เตรียมนำเสนอมาตรการ MFA (Multi-Factor Authentication) ต่อที่ประชุมคณะรัฐมนตรี (ครม.) เพื่อขอความเห็นชอบให้ทุกหน่วยงานรัฐบังคับใช้การยืนยันตัวตนแบบหลายปัจจัย และปรับเปลี่ยนชุด Username / Password ในการเข้าใช้งานระบบ เพื่อตัดวงจรความเสี่ยงกรณีรหัสผ่านถูกขโมยหรือรั่วไหล

2. มาตรการระยะกลางและระยะยาว

วางโครงสร้างพื้นฐานมาตรฐานสากล จัดวางระบบโครงสร้างพื้นฐานด้านการป้องกันข้อมูลและระบบการยืนยันตัวตนที่มีมาตรฐานความปลอดภัยระดับสากล

ผนึกกำลัง 3 ภาคส่วน ดึงความร่วมมืออย่างใกล้ชิดระหว่างภาครัฐ ภาคเอกชน และภาคประชาชน เพื่อร่วมกำหนดมาตรฐานและติดตามสถานการณ์ภัยคุกคามอย่างต่อเนื่อง

ทั้งนี้ MFA หรือ Multi-Factor Authentication ถือเป็นระบบการยืนยันตัวตนแบบหลายปัจจัย ที่ไม่ได้พึ่งพาเพียง Username และ Password เท่านั้น แต่ต้องใช้องค์ประกอบอื่นร่วมด้วย เช่น รหัส OTP ผ่าน SMS, แอประบุตัวตน (Authenticator App) หรือการสแกนใบหน้า/ลายนิ้วมือ ช่วยป้องกันไม่ให้แฮกเกอร์เข้าถึงระบบได้ แม้จะรู้รหัสผ่านก็ตาม ที่สามารถจะทำหน้าที่ควบคู่ไปกับ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล หรือ PDPC ที่เป็นหน่วยงานกำกับดูแลให้ทุกองค์กรปฏิบัติตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) หากหน่วยงานใดทำข้อมูลรั่วไหลโดยประมาท อาจมีความผิดทั้งทางแพ่ง ทางอาญา และโทษปรับทางปกครอง