กระทรวงดีอี แทรกคิวมาตรการไซเบอร์เข้า ครม. พรุ่งนี้ (11 ส.ค.69) รับมือ 221 ล้านล็อกอินรั่วไหล เล็งผูก KPI-งบประมาณปีหน้า บีบหน่วยงานรัฐยกระดับความปลอดภัย กาง 30,000 ระบบคลีนซิ่งใน 15 วัน
กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม (ดีอี) เตรียมเสนอคณะรัฐมนตรี (ครม.) วันที่ 11 ส.ค.69 ยกระดับมาตรการความปลอดภัยไซเบอร์ของหน่วยงานรัฐ โดยให้ระบบสำคัญเปลี่ยนจากการใช้ชื่อผู้ใช้และรหัสผ่านเพียงอย่างเดียว ไปสู่การยืนยันตัวตนหลายปัจจัย หรือ Multi-Factor Authentication (MFA) ควบคู่กับการบังคับเปลี่ยนข้อมูลล็อกอินทันที และตรวจสอบระบบภาครัฐประมาณ 30,000 ระบบ หลังพบข้อมูลล็อกอินที่เกี่ยวข้องกับประเทศไทยรั่วไหลประมาณ 221 ล้านรายการ
นายไชยชนก ชิดชอบ รัฐมนตรีว่าการกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม (ดีอี) เปิดเผยภายหลังเป็นประธานการประชุมหารือเรื่องการยกระดับมาตรการหน่วยงานรัฐเพื่อคุ้มครองข้อมูลประชาชนว่า กระทรวงดีอีรวบรวมข้อมูลการรั่วไหลทั้งด้านโครงสร้าง แหล่งที่มา และช่องโหว่ของระบบมาอย่างต่อเนื่อง โดยข้อมูลที่รวบรวมพบล็อกอินรั่วทั่วโลกประมาณ 56,000 ล้านรายการ ส่วนที่เกี่ยวข้องกับประเทศไทยมีประมาณ 221 ล้านรายการ ตัวเลขดังกล่าวไม่ใช่จำนวนประชาชน เพราะหนึ่งคนอาจมีบัญชีหรือข้อมูลล็อกอินหลายชุด
ส่วนของภาครัฐ พบระบบประมาณ 30,000 ระบบที่เกี่ยวข้องกับข้อมูลล็อกอินรั่วไหล ขณะที่ภาคเอกชนมีมากกว่า 35,000 ระบบ ทำให้รัฐบาลเตรียมเรียกทุกกระทรวงและกว่า 300 กรม มาตรวจสอบระบบที่อยู่ในความรับผิดชอบร่วมกัน ทั้งระบบที่ยังใช้งาน ระบบที่เลิกใช้แล้วแต่โครงสร้างเบื้องหลังยังเปิดอยู่ และระบบที่อาจเปิดช่องทางเข้าถึงมากเกินความจำเป็น
"เป็นการซื้อเวลาเพื่อให้เราเรียกประชุมกับทุกๆ หน่วยงานที่เกี่ยวข้อง ก็คือทุกกระทรวง 300 กว่ากรม เอาทุกอย่างขึ้นมากางกัน แล้วมาทำ Cleansing แล้วก็มอบนโยบายแนวทางในการแก้ไขปัญหา ในระยะยาวอย่างเป็นรูปธรรม" นายไชยชนก กล่าว
นายไชยชนก กล่าวว่า การ Force Re-login หรือบังคับให้ผู้ใช้งานเข้าสู่ระบบใหม่และเปลี่ยนรหัสผ่าน สามารถดำเนินการได้ทันทีในหน่วยงานภาครัฐ โดยมองเป็นมาตรการระยะสั้นเพื่อทำให้ข้อมูลล็อกอินที่รั่วออกไปไม่สามารถนำกลับมาใช้งานได้ง่าย ขณะที่การตรวจสอบและทำความสะอาดระบบ หรือ Cleansing วางกรอบดำเนินการประมาณ 15 วัน
การตรวจสอบจะครอบคลุมว่าระบบใดยังจำเป็นต่อการใช้งาน ระบบใดควรปิด และระบบใดมีช่องทางเข้าถึงที่ไม่เหมาะสม โดยเฉพาะระบบเก่าที่หน่วยงานอาจเข้าใจว่าปิดให้บริการไปแล้ว แต่ส่วนของระบบเบื้องหลังยังคงทำงานและอาจถูกเข้าถึงได้ ขณะเดียวกันระบบประมาณ 30,000 ระบบของภาครัฐจะต้องได้รับการพิจารณาว่าควรเพิ่ม MFA เพียงอย่างเดียว หรือจำเป็นต้องยกระดับมาตรการด้านความปลอดภัยมากกว่านั้น
"เราวางไทม์ไลน์ไว้ว่าต้องใช้เวลาประมาณ 15 วัน ก็จะเป็นเรื่องของการทำ Cleansing ว่าระบบไหนยังใช้งาน ระบบไหนไม่ใช้งานแล้ว เพื่อให้มีการปิด ไม่ใช่ปิดแค่เพียงหน้าเว็บหรือการเข้าถึงที่เห็น แต่ปิดในเชิงระบบข้างหลัง" นายไชยชนก กล่าว
ข่าวที่เกี่ยวข้อง:
◉ 'ดีอี' ลัดคิว MFA เข้า ครม. สกัดข้อมูลรั่ว ปมรหัสผ่านหลุด Dark Web
◉ ช็อก! ข้อมูลรั่วทั่วโลก 5.6 หมื่นล้านบัญชี โยงไทย 221 ล้านบัญชี
◉ 'ไชยชนก' สั่ง ThaiCERT แกะรอยเว็บค้นทะเบียนรถ หลังข้อมูลส่วนบุคคลว่อนโซเชียล
สำหรับ MFA จะเป็นหนึ่งในมาตรการหลักที่เข้าสู่การพิจารณาของคณะรัฐมนตรี (ครม.) เพื่อยกระดับการยืนยันตัวตนจาก Username และ Password เพียงชั้นเดียว ไปสู่การตรวจสอบหลายปัจจัย โดยระบบสำคัญของภาครัฐจะต้องมีการยืนยันตัวตนเพิ่มเติม เช่น OTP หรือระบบยืนยันตัวตนอื่น เพื่อเพิ่มด่านป้องกันกรณีผู้ไม่หวังดีนำข้อมูลบัญชีที่รั่วไหลไปทดลองเข้าสู่ระบบ
รัฐบาลยังเตรียมพิจารณามาตรการระยะสั้นอื่นเพิ่มเติมจาก MFA และการเปลี่ยนรหัสผ่าน โดยข้อเสนอจากหน่วยงานรัฐและภาคประชาชนจะถูกนำไปพิจารณาก่อนเข้าสู่การประชุม ครม. ขณะเดียวกัน นายไชยชนก กล่าวว่า มาตรการดังกล่าวเป็นนโยบายของรัฐบาล ไม่ได้อาศัยอำนาจตามกฎหมายฉบับใดฉบับหนึ่งโดยเฉพาะ เป้าหมายเบื้องต้นคือทำให้ข้อมูลล็อกอินที่รั่วออกไปแล้วหมดสภาพการใช้งาน
อีกด้านหนึ่ง รัฐบาลจะตรวจสอบผู้รับจ้างและการจัดทำระบบของหน่วยงานรัฐเป็นรายกรณี เนื่องจากบางระบบถูกพัฒนามานานกว่า 10 ปี และสาเหตุของปัญหาอาจแตกต่างกัน ทั้งจากผู้ให้บริการ ตัวระบบ หรือการปิดระบบของหน่วยงานที่ไม่สมบูรณ์ จึงยังไม่สามารถสรุปความรับผิดได้เป็นภาพรวมเดียวกัน
นายไชยชนกยังกล่าวถึงการยกระดับการบังคับใช้มาตรฐานความมั่นคงปลอดภัยไซเบอร์ว่า แม้มาตรการและข้อกำหนดตามกฎหมายมีอยู่แล้ว แต่ต้องตรวจสอบว่าแต่ละหน่วยงานนำไปใช้จริงเพียงใด พร้อมพิจารณานำผลด้านความปลอดภัยไซเบอร์ไปเชื่อมกับตัวชี้วัดการปฏิบัติงาน (KPI) และงบประมาณของหน่วยงานในปีถัดไป รวมถึงพิจารณาบทลงโทษที่ชัดเจนขึ้นหากไม่ปฏิบัติตามมาตรการที่กำหนด
"ทำยังไงให้มาตรการที่มีอยู่แล้ว ชัดเจนนี้ถูก Implement อย่างเคร่งครัดมากขึ้น แล้วหากไม่ทำ มันก็ต้องมีบทลงโทษที่ชัดเจนมากขึ้น เรามีการพูดคุยกันในเรื่องของการเอาเข้าไปอยู่ใน KPI ซึ่ง KPI ต้องมีพ่วงกับเรื่องของงบประมาณในปีหน้า" นายไชยชนก กล่าว
สำหรับโครงสร้างยืนยันตัวตนของบริการภาครัฐ รัฐบาลอยู่ระหว่างพิจารณานำระบบโครงสร้างพื้นฐานที่ได้รับมาตรฐานสากลและมีใช้งานอยู่ในประเทศไทยเข้ามารองรับการ Authenticate โดย THAID จะเป็นหนึ่งในระบบที่สามารถเชื่อมต่อในลักษณะปลั๊กอินกับโครงสร้างดังกล่าวได้ ขณะที่รายละเอียดของระบบหลักยังไม่ได้เปิดเผยชื่อในขณะนี้
ส่วนข้อเสนอให้ย้ายสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) ซึ่งปัจจุบันอยู่ภายใต้การกำกับของนายกรัฐมนตรี มาอยู่ภายใต้กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม นายไชยชนก กล่าวว่า ยังไม่มีความจำเป็น เนื่องจากทั้งสองหน่วยงานทำงานร่วมกันอยู่แล้วในกระบวนการและคณะประชุมที่เกี่ยวข้อง "ค่อยว่ากัน เดี๋ยวทุกคนจะมองว่าผมมาถึงแล้วดึงทุกอย่างเข้ามาดูเองหมด เดี๋ยวค่อยว่ากัน"
