เปิด 5 จุดอ่อนระบบข้อมูลภาครัฐ ทำข้อมูลส่วนบุคคลประชาชนรั่วไหล

ที่มาของภาพ : Wasawat Lukharang/BBC Thai

• • Creator, วศินี พบูประภาพ
  • Operate, ผู้สื่อข่าว.
• Printed เมื่อ 4 ชั่วโมงที่แล้ว
• เวลาอ่าน: 12 นาที

ภาพหน้าบัตรประจำตัวประชาชนและข้อมูลทะเบียนรถของบุคคลสำคัญระดับประเทศ เช่น นายอนุทิน ชาญวีรกูล นายกรัฐมนตรีและ รมว.มหาดไทย นายไชยชนก ชิดชอบ รมว.ดิจิทัลเพื่อเศรษฐกิจและสังคม (ดีอี) และนายวรศิษฎ์ เลียงประสิทธิ์ รมช.มหาดไทย ถูกนำมาเผยแพร่บนสื่อสังคมออนไลน์ในช่วงไม่กี่วันที่ผ่านมา

“ที่ผ่านมาข้อมูลรั่วท่านไม่ร้อนกันเลย ผมเลยเอารูปพวกท่านมาโพสต์ เพราะถ้าท่านเป็นผู้เสียหายเองแบบนี้ แล้วยังไม่สามารถบังคับใช้ PDPA กฎหมายคุ้มครองข้อมูลส่วนบุคคล ได้อีก ประเทศก็หมดหวังแล้วครับ” นายธนารัตน์ กัววัฒนาพันธ์ ประธานเจ้าหน้าที่บริหาร (CEO) บริษัท โดมคลาวด์ จำกัด โพสต์ผ่านข้อความบนเฟซบุ๊กที่ใช้ชื่อว่า Thanarat Kuawattanaphan ของเขา

เหตุการณ์ข้อมูลภาครัฐรั่วไหลในครั้งนี้ ถูกเปิดเผยสู่สาธารณะในเวลาไล่เลี่ยกันกับอีกเหตุการณ์หนึ่งซึ่งนายนิธิกร บุญยกุลเจริญ ที่ปรึกษาผู้นำฝ่ายค้านในสภาผู้แทนราษฎรและอนุกรรมาธิการเพิ่มขีดความสามารถดิจิทัลไทย โพสต์ข้อความแจ้งเตือนผ่านเฟซบุ๊กเมื่อวันที่ 3 ส.ค. 2569 ระบุว่าพบระบบสาธารณะที่อนุญาตให้บุคคลทั่วไปสืบค้นข้อมูลส่วนบุคคลได้ โดยใช้เพียงเลขทะเบียนรถ

.สรุปเหตุการณ์พบข้อมูลส่วนบุคคลรั่วไหลที่เกิดขึ้นในรอบ 72 ชั่วโมง พร้อมวิเคราะห์จุดอ่อนของระบบสารสนเทศภาครัฐผ่านมุมมองของ ดร.อุดมธิปก ไพรเกษตร นายกสมาคมผู้ตรวจสอบและให้คำปรึกษาการคุ้มครองข้อมูลส่วนบุคคลไทย (TPDPA) และผู้เชี่ยวชาญด้านระบบสารสนเทศที่เคยทำงานร่วมกับภาครัฐ ว่าเหตุใดข้อมูลสำคัญหลุดรอดออกมาบ่อยครั้งนัก

ข้อมูลรั่วไหลมีกี่กรณี มีคนเสียหายแค่ไหน

ในรอบ 72 ชั่วโมงที่ผ่านมา มีการเปิดเผยกรณีที่ชุดข้อมูลของภาครัฐรั่วไหลออกมาอย่างน้อย 3 ชุด

กรณีแรกมาจากการเปิดเผยของนายนิธิกร ที่ปรึกษาผู้นำฝ่ายค้าน โดยเขาโพสต์ข้อความผ่านเฟซบุ๊ก ปาล์ม นิธิกร บุญยกุลเจริญ – Nitikorn Bunyakulcharoen เมื่อวันที่ 3 ส.ค. 2569 ระบุว่าพบเว็บไซต์ภายนอกที่ไม่ใช่ของหน่วยงานรัฐ เปิดให้สาธารณะสามารถสืบค้นข้อมูลส่วนบุคคลได้ โดยระบบดังกล่าวอนุญาตให้ใช้เพียง “หมายเลขทะเบียนรถ” หรือ “เบอร์โทรศัพท์” ก็สามารถสืบค้นข้อมูลได้

นายนิธิกรระบุว่า แม้ระบบจะทำภาพเบลอเพื่อปิดบังชื่อ-นามสกุล ที่อยู่ และเลขบัตรประจำตัวประชาชน แต่ข้อมูลเฉพาะของยานพาหนะ เช่น ประเภท ยี่ห้อ สี และเลขตัวถัง กลับถูกเปิดเผยอย่างครบถ้วน และเขาเชื่อว่าข้อมูลดังกล่าวเป็นข้อมูลจากกรมการขนส่งทางบก กระทรวงคมนาคม

ต่อมาภายในเวลาไม่ถึง 24 ชั่วโมง วันที่ 4 ส.ค. 2569 นายธนารัตน์ ประธานเจ้าหน้าที่บริหาร (CEO) บริษัท โดมคลาวด์ จำกัด ได้เผยแพร่ภาพของนายอนุทิน ชาญวีรกูล นายกฯ และ รมว.มหาดไทย เป็นภาพคล้ายภาพถ่ายบัตรประชาชน สวมเสื้อสีส้มและมีเส้นระบุความสูงเป็นฉากหลัง

Quit of ได้รับความนิยมสูงสุด

ต่อมามีการเผยแพร่ภาพในลักษณะเดียวกันของบุคคลอื่น ๆ เช่น นายไชยชนก

นายธนารัตน์เปิดเผยในภายหลังผ่านรายการ “เจาะลึกทั่วไทย Interior Thailand” เมื่อวันที่ 5 ส.ค. 2569 โดยอ้างว่าข้อมูลบัตรประชาชนที่เขาเข้าถึงนั้นหลุดจากเว็บไซต์ของกรมการปกครอง โดยเขาตรวจสอบข้อมูลที่รั่วไหลจึงสืบย้อนจากตัวอย่างกลุ่มผู้เสียหายจนพบว่าส่วนใหญ่เป็นข้าราชการและนักเรียน ทำให้ต่อมาเขาพบจุดเชื่อมโยงคือฐานข้อมูล “ระบบลงทะเบียนกิจกรรมจิตอาสา” ที่ผู้เข้าร่วมต้องใช้บัตรประจำตัวประชาชนในการลงทะเบียน

แม้จะไม่ได้ระบุว่าเขาพบข้อมูลหลุดดังกล่าวได้อย่างไร ทว่านายธนารัตน์ได้โพสต์ภาพผ่านเฟซบุ๊กของเขา แสดงภาพคล้ายหน้าจอจากแพลตฟอร์มสนทนาดิสคอร์ด (Discord) ระบุข้อความประกาศ “ปล่อยเช่า” บริการสืบค้นข้อมูลส่วนบุคคลในราคาวันละ 350 บาท หรือระบบ API เดือนละ 2,500 บาท พร้อมแนบภาพประกอบคล้ายรูปถ่ายหน้าตรงติดบัตรประชาชนและหน้าจอแสดงชุดข้อมูลคล้ายภาพชุดของนายกรัฐมนตรีและข้าราชการระดับสูงที่มีการโพสต์ก่อนหน้า

ที่มาของภาพ : Wasawat Lukharang/BBC Thai

ทั้งนี้ นายธนารัตน์ระบุว่าในเช้าวันที่ 5 ส.ค. ภายหลังเรื่องถูกเปิดเผย กรมการปกครองได้ดำเนินการปิดระบบดังกล่าวลงจึงทำให้เชื่อได้ว่าเป็นการยืนยันว่าช่องโหว่มาจากระบบของกรมการปกครองจริง

นอกจากกรณีภาพถ่ายของบุคคลระดับสูงแล้ว เมื่อวันที่ 4 ส.ค. นายธนารัตน์ยังเปิดเผยการรั่วไหลของข้อมูลอีกหนึ่งกรณี ได้แก่ กรณีฐานข้อมูลนักเรียนและศิษย์เก่าของสำนักงานคณะกรรมการการอาชีวศึกษาจำนวน 2.5 ล้านคน ซึ่งนายธนารัตน์ระบุว่าในโพสต์ของของเขาว่ากรณีนี้ “มีคนส่งมาให้เรื่อย ๆ” และอ้างว่าหลุดจากการ “ตั้งรหัสผ่านง่าย ๆ แค่ 123456”

รัฐบาลชี้แจงว่าอย่างไร

หลังเกิดเหตุการณ์ข้อมูลส่วนบุคคลและข้อมูลทะเบียนรถของบุคคลสำคัญในรัฐบาลรั่วไหลสู่โลกออนไลน์ ภาครัฐและหน่วยงานที่เกี่ยวข้องได้ออกมาชี้แจงอย่างต่อเนื่อง

ต่อกรณีข้อมูลทะเบียนรถที่อาจมาจากกรมการขนส่งทางบก นายสิริพงศ์ อังคสกุลเกียรติ รัฐมนตรีช่วยว่าการกระทรวงคมนาคม เปิดเผยหลังการตรวจสอบระบบสารสนเทศของกรมการขนส่งทางบก ว่า พบหมายเลขไอพี (IP Handle) ต้องสงสัยจาก 3 หน่วยงานที่มีพฤติกรรมการสืบค้นผิดปกติ

นายสิริพงศ์เปิดเผยว่าได้ออกคำสั่งระงับหมายเลขผู้ใช้งานของทั้ง 3 หน่วยงานเป็นการชั่วคราว พร้อมสั่งการให้ 63 หน่วยงานที่เชื่อมต่อฐานข้อมูลรีเซ็ตรหัสผ่านใหม่ทั้งหมด และระบุว่ากรมการขนส่งทางบกยังได้ปิดระบบที่มีปัญหาชั่วคราว พร้อมประสานศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ (ThaiCERT) เข้ามาตรวจสอบทางนิติวิทยาศาสตร์ดิจิทัล

ส่วนกรณีข้อมูลรั่วไหลที่อาจมาจากกระทรวงมหาดไทย นายอนุทิน ชาญวีรกูล นายกฯ และ รมว.มหาดไทย ยอมรับว่าภาพถ่ายบัตรประจำตัวประชาชนที่ปรากฏบนโลกออนไลน์เป็นภาพจริง และได้สั่งตั้งคณะกรรมการสอบสวนเพื่อหาข้อเท็จจริงและเอาผิดหน่วยงานที่ปล่อยให้เกิดการรั่วไหลแล้ว

ขณะที่นายไชยชนก ชิดชอบ รมว.ดิจิทัลฯ ได้ให้สัมภาษณ์ต่อสื่อมวลชนว่า จากการตรวจสอบเบื้องต้นพบว่าเหตุการณ์นี้ไม่ใช่การแฮ็กข้อมูล (data hacking) แต่พบพฤติกรรมมาจากหมายเลขไอพี (IP Handle) เดียว มาจากสถานที่เดียว และมีการใช้บัญชีผู้ใช้งานล็อกอินเข้าสู่ระบบ 2 ครั้ง

นายไชยชนกยืนยันว่าหน่วยงานได้ดำเนินการปิดระบบที่มีปัญหาดังกล่าวไปแล้ว เพื่อป้องกันไม่ให้มีข้อมูลรั่วไหลเพิ่มเติมจากช่องทางนี้ พร้อมระบุว่าอยู่ระหว่างรอทีมงานตรวจสอบรายละเอียดเชิงลึกเพื่อให้ได้ข้อเท็จจริงที่ครบถ้วน

ที่มาของภาพ : Thai Files Pix

แม้ รมว.ดีอีจะสรุปว่าไม่ใช่ “การแฮ็ก” อย่างไรก็ดี ผู้เชี่ยวชาญด้านระบบสารสนเทศที่เคยทำงานร่วมกับภาครัฐหลายแห่งบอกกับ.โดยไม่ขอเปิดเผยชื่อ ระบุว่าการไม่ได้ถูกแฮ็กไม่ได้หมายว่าปัญหาจะทุเลาลง

“ถ้าหน่วยงานบอกว่าเราโดนแฮ็ก ประชาชนจะรุมสับทันที แต่ถ้าบอกว่าไม่ได้โดนแฮ็กนะ แต่เรารู้ว่าเป็นฝีมือใคร และมีมาตรการจัดการแล้ว โทนของการสื่อสารมันจะออกมาอีกแบบ” เขาระบุ

ขณะที่ ดร.อุดมธิปก ไพรเกษตร นายกสมาคมผู้ตรวจสอบและให้คำปรึกษาการคุ้มครองข้อมูลส่วนบุคคลไทย (TPDPA) บอกกับ.ว่า อาจถึงเวลาต้องพิจารณาการออกแบบระบบการรักษาความปลอดภัยทางข้อมูลของหน่วยงานภาครัฐอย่างกว้างขวางเพื่อปิดช่องว่างไม่ให้ข้อมูลของประชาชนรั่วไหลสู่สาธารณะได้

จากกรณีข้อมูลรั่วไหลที่เกิดขึ้น ผู้เชี่ยวชาญได้วิเคราะห์จุดอ่อนของระบบป้องกันความปลอดภัยของข้อมูลภาครัฐใน 5 ประเด็น ดังนี้

1. ช่องโหว่จากผู้มีสิทธิ์เข้าถึง (Approved Entry)

ผู้เชี่ยวชาญด้านระบบสารสนเทศซึ่งให้สัมภาษณ์.โดยไม่ประสงค์ออกนาม อธิบายว่าสาเหตุหลักที่ทำให้ข้อมูลภาครัฐรั่วไหลบ่อยครั้งมักไม่ได้เกิดจากการที่แฮกเกอร์ใช้ทักษะขั้นสูงในการเจาะระบบ (Records Hacking) จากภายนอก ทว่าเกิดจากช่องโหว่ของการ “เข้าถึงโดยมีสิทธิ์” (Approved Entry)

“เราต้องมองระบบงานเป็นเหมือนประตูบ้านก่อนว่ากุญแจนี้เจ้าของบ้านไขหรือโจรไข ถ้าเรารู้ว่าใครถือ เราก็แยกออกว่ากุญแจถูกไขโดยผู้มีสิทธิ์” เขากล่าวเชิงเปรียบเทียบ

“สมมติเราให้คนในบ้าน 5 คนถือกุญแจ เราก็จะรู้ว่าใครไขออกเมื่อไร แต่ประเด็นมันไม่ได้อยู่ที่ว่าใครไขเมื่อไร แต่มันอยู่ที่ไขเข้าไปแล้ว เอาอะไรออกมาด้วยเจตนามันอยู่ตรงนั้น… ทรัพย์สินเราหาย เราจะมองว่าเพื่อนเป็นโจรไหม เอาของไปโดยไม่บอก เจตนาเป็นอย่างไร”

เขาระบุว่าการแฮ็กระบบเปรียบเหมือนคือการที่โจรปีนกำแพงหรือพังประตูเข้ามา แต่กรณีที่เกิดขึ้นในระบบของรัฐส่วนใหญ่คือการที่บุคคลผู้ไม่หวังดีได้ “กุญแจ” หรือรหัสผ่านที่ถูกต้องไป แล้วไขประตูเดินเข้าไปอย่างถูกต้องตามกระบวนการ เมื่อระบบตรวจสอบพบว่าเป็นกุญแจที่ถูกต้อง ระบบไฟร์วอลล์ (Firewall) ซึ่งเปรียบเสมือนพนักงานรักษาความปลอดภัยก็ต้องปล่อยผ่านเพราะถือว่าเป็นผู้มีสิทธิ์เข้าถึงข้อมูล

ข้อมูลนี้สอดคล้องกับข้อมูลที่นายธนารัตน์ ประธานเจ้าหน้าที่บริหารบริษัทโดมคลาวด์ เคยเผยแพร่เมื่อช่วงต้นเดือน มิ.ย. ที่ผ่านมา ผ่านเว็บไซต์ส่วนตัว ซึ่งเขาได้ลองสืบค้นว่าแต่ละกระทรวงมีรหัสผ่านรั่วไหลมากน้อยแค่ไหน จากการตรวจสอบนายธนารัตน์อ้างว่า มีจำนวนรหัสผ่านรั่วไหลผ่านระบบโดเมนราชการสูงมาก บางหน่วยงานมีรหัสผ่านรั่วไหลถึง 500,000 รายการ ได้แก่ กระทรวงมหาดไทยและกระทรวงศึกษาธิการ ขณะที่กระทรวงแรงงาน กระทรวงสาธารณสุข และสำนักนายกรัฐมนตรี มีรายการรหัสผ่านรั่วไหลตั้งแต่ราว 190,000 รายการ ถึง 350,000 รายการ

ที่มาของภาพ : Thai Files Pix

“ต่อให้ระบบของหน่วยงานทำมาดีแค่ไหน ถ้าเครื่องปลายทางของผู้ใช้งานติดมัลแวร์ รหัสผ่านที่เคยกรอกหรือเคยบันทึกไว้ในเครื่องนั้นก็อาจถูกขโมยออกไปได้อยู่ดี” นายธนารัตน์ กล่าว นอกจากนี้ยังได้ระบุว่า มิจฉาชีพสามารถนำรหัสผ่านเหล่านี้ไปล็อกอินเข้าถึงระบบได้

ขณะที่ผู้เชี่ยวชาญด้านข้อมูลสารสนเทศซึ่งให้สัมภาษณ์.ระบุเพิ่มเติมว่า ปัญหาการเข้าถึงโดยมีสิทธิ์จะลดลงอย่างมาก หากหน่วยงานรัฐมีการบังคับใช้ “ระบบยืนยันตัวตนแบบหลายขั้นตอน” (Multi-Component Authentication – MFA) เช่น การส่งรหัสผ่านแบบใช้ครั้งเดียว (OTP) ผ่านทางข้อความสั้น (sms) หรือการใช้แอปพลิเคชันยืนยันตัวตน ซึ่งจะเป็น “ปราการด่านที่สอง” ในกรณีที่รหัสผ่านหลักของเจ้าหน้าที่รั่วไหล

ขณะที่นายนิธิกร บุญยกุลเจริญ ที่ปรึกษาผู้นำฝ่ายค้านและอนุกรรมาธิการเพิ่มขีดความสามารถดิจิทัลไทย โพสต์ข้อความบนเฟซบุ๊กของเขา เสนอให้ยกระดับการยืนยันตัวตนผู้ใช้งานระบบไอทีภาครัฐที่เข้าถึงข้อมูลส่วนบุคคลภายใต้ พ.ร.บ. PDPA โดยยกเลิกการใช้เพียงชื่อผู้ใช้และรหัสผ่าน (Username/Password) และบังคับใช้การพิสูจน์ตัวตนผ่านอัตลักษณ์ดิจิทัลระดับสูง (Digital ID มาตรฐาน IAL2) เช่น ThaID หรือระบบที่มีมาตรฐานเทียบเท่า เพื่อรับรองว่าผู้เข้าถึงฐานข้อมูลเป็นผู้มีสิทธิ์ตัวจริงและเพิ่มความปลอดภัยของระบบ

2. ขาดการออกแบบระบบโดยคำนึงถึงความเป็นส่วนตัวตั้งแต่แรก (Privacy by Form)

ดร.อุดมธิปก นายกสมาคม TPDPA ผู้เชี่ยวชาญด้านการคุ้มครองข้อมูลส่วนบุคคล ระบุว่าทุกครั้งที่มีเหตุการณ์ข้อมูลรั่วไหล หน่วยงานรัฐมักออกมาชี้แจงสาเหตุว่าเป็นความผิดพลาดส่วนบุคคล หรือ human error ของเจ้าหน้าที่ระดับปฏิบัติการ ทว่าในมุมมองของเขาแล้ว การให้เหตุผลดังกล่าวเป็นเพียง “ข้ออ้างที่มักง่าย” ของหน่วยงานผู้ควบคุมข้อมูล

นายกสมาคม TPDPA ระบุว่า ระบบสารสนเทศที่ดีและมีความปลอดภัยต้องเริ่มต้นจากการออกแบบที่เรียกว่า Privacy by Form หรือการออกแบบระบบที่คำนึงถึงความเป็นส่วนตัวของเจ้าของข้อมูลตั้งแต่ขั้นตอนแรกสุดของการพัฒนาระบบ

ตัวอย่างเช่น หากเจ้าหน้าที่มีหน้าที่ตรวจสอบข้อมูลการเสียภาษีรถยนต์ ระบบก็ควรแสดงผลเฉพาะข้อมูลที่เกี่ยวข้องกับตัวรถและการชำระภาษี โดยไม่จำเป็นต้องแสดงข้อมูลหมายเลขบัตรประจำตัวประชาชน 13 หลัก หรือข้อมูลอื่นที่ไม่จำเป็น หากระบบถูกออกแบบมาโดยเปิดให้เจ้าหน้าที่ทุกคนสามารถสืบค้นข้อมูลทุกอย่างได้โดยไม่มีการจำกัดสิทธิ์ (Entry Modify) ย่อมสะท้อนให้เห็นว่าระบบนั้นขาดการออกแบบตามหลัก Privacy by Form ซึ่งเมื่อเกิดเหตุรหัสผ่านรั่วไหล ความเสียหายจึงขยายวงกว้างไปยังข้อมูลส่วนบุคคลที่ไม่จำเป็นต่อการทำงานนั้นด้วย

ดร.อุดมธิปกชี้ด้วยว่า โครงสร้างของรัฐบาลไทยมีการจัดเก็บข้อมูลประชาชนเป็นจำนวนมหาศาลอยู่แล้ว โดยอาศัยอำนาจตามกฎหมายที่อนุญาตให้เก็บข้อมูลได้โดยไม่ต้องขอความยินยอม (Consent) จากประชาชน ในขณะเดียวกันหน่วยงานรัฐก็ตั้งมานานแล้ว มีข้อมูลสะสมไว้จำนวนมาก ทำให้ไม่มีการตรวจสอบระบบการจัดเก็บข้อมูลย้อนหลังว่าสอดคล้องกับมาตรฐานในปัจจุบันหรือไม่

ความคิดเห็นของเขาสอดคล้องกับผู้เชี่ยวชาญไม่ประสงค์ออกนามที่บอกกับ.ว่า “ฐานข้อมูลรัฐส่วนใหญ่มักมีข้อมูลเยอะ แต่ความปลอดภัยน้อย แทนที่แฮ็กเกอร์จะไปเหนื่อยเจาะระบบธนาคาร สู้มาเจาะระบบรัฐดีกว่า ได้ข้อมูลมหาศาลและสร้างผลกระทบได้สูงด้วย”

3. โครงสร้างคณะกรรมการดูแลข้อมูลส่วนบุคคลในภาครัฐทำงานแยกส่วน และมีช่องว่างทางกฎหมาย

นอกเหนือจากประเด็นทางเทคนิคแล้ว ดร.อุดมธิปก ระบุว่าจุดอ่อนอีกประการหนึ่งของระบบข้อมูลภาครัฐคือปัญหาเชิงโครงสร้างการบริหารจัดการ โดยตั้งข้อสังเกตว่า กลไกการจัดการและคุ้มครองข้อมูลของภาครัฐในปัจจุบันมีความแยกส่วนกันอย่างชัดเจน

เขายกตัวอย่างว่า ปัจจุบันประเทศไทยมีหน่วยงานที่รับผิดชอบด้านนี้หลายแห่ง เช่น คณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) ที่ดูแลเรื่องภัยคุกคามทางไซเบอร์, สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) ที่ดูแลการบังคับใช้ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล (PDPA) และสำนักงานพัฒนารัฐบาลดิจิทัล (DGA) ที่ดูแลการเชื่อมโยงข้อมูลภาครัฐ ซึ่งกลไกเหล่านี้ “ไม่ได้บูรณาการกัน”

นอกจากนี้ ดร.อุดมธิปก ยังเน้นย้ำถึงความจำเป็นที่หน่วยงานรัฐทุกแห่งต้องมีการแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Records Safety Officer – DPO) ให้เกิดเป็นรูปธรรม โดยตำแหน่งนี้ต้องมีความเป็นอิสระและมีหน้าที่ในการตรวจสอบ พร้อมทั้งรายงานความเสี่ยงหรือเหตุละเมิดต่อผู้บริหารระดับสูงของหน่วยงานโดยตรง หากไม่มีตำแหน่งเจ้าหน้าที่ DPO ที่มีอำนาจอย่างแท้จริง มาตรฐานการดูแลข้อมูลก็จะถูกละเลย

4. ระบบราชการและงบประมาณ

แหล่งข่าวผู้เชี่ยวชาญไม่ประสงค์ออกนามยังบอกกับ.ว่า เหตุการณ์ข้อมูลส่วนบุคคลรั่วไหลซ้ำซากในหน่วยงานภาครัฐยังเป็นผลมาจากระบบราชการและงบประมาณภาครัฐ เช่น การที่ระบบงบประมาณแผ่นดินมักถูกออกแบบในลักษณะโครงการที่มีวันเริ่มต้นและสิ้นสุดตามข้อกำหนดการจ้าง หรือทีโออาร์ (TOR) คล้ายกับการสร้างถนนเสร็จแล้วจบไป ทั้งที่งานด้านความมั่นคงปลอดภัยไซเบอร์จำเป็นต้องได้รับการบำรุงรักษาอย่างต่อเนื่อง

“พอจะของบประมาณเพิ่ม บางทีก็ถูกตั้งคำถามว่าปีที่แล้วก็ขอไปแล้ว ซื้อไฟร์วอลล์ (Firewall) ไปแล้ว ทำไมปีนี้มาขออีก ทำให้คนระดับบนกับคนระดับปฏิบัติการไม่สอดประสานกัน พอขอแล้วไม่ได้ก็เกิดเป็นปัญหาเป็นทอด” เขาเล่าจากประสบการณ์ที่เจอ

“คนทำงานข้างในจริง ๆ ไม่มีใครอยากให้เกิดเหตุเพราะมันวุ่นวาย ต้องคอยรายงานเจ้านาย” แหล่งข่าวผู้เชี่ยวชาญ กล่าวเสริม

นอกจากนี้ แหล่งข่าวผู้เชี่ยวชาญผู้นี้ยังมักพบกว่ามุมมองการลงทุนของหน่วยงานรัฐมักตกอยู่ในสองขั้วสุดโต่ง

ขั้วแรกคือกลุ่มที่ทุ่มงบประมาณจำนวนมากจนเกินไป โดยให้ความสำคัญกับสิ่งก่อสร้างหรือการจัดซื้ออุปกรณ์ราคาแพง เช่น ระบบไฟร์วอลล์ (Firewall) มากกว่าการพัฒนาบุคลากรผู้เชี่ยวชาญด้านการป้องกันภัยคุกคามตัวจริง ทั้งที่ต้นทุนการป้องกันต่ำกว่าการตามแก้ไขปัญหาภายหลัง

ขณะที่อีกกลุ่มหนึ่งคือกลุ่มที่ไม่สนใจลงทุนเลยเพราะประเมินว่าองค์กรมีขนาดเล็กและไม่ตกเป็นเป้าหมาย โดยผู้ให้คำปรึกษาด้านการวางระบบความปลอดภัยข้อมูลสารสนเทศกล่าวว่าระหว่างทำงานกับหน่วยราชการหลายแห่งเขามักได้ยินคำว่า “เกินสโคปงาน และเกินหน้าที่ความรับผิดชอบ ไม่มีหนังสือแต่งตั้ง ไม่มีอำนาจ เลยไม่ทำ” ขณะที่ลำดับความสำคัญของงบประมาณมักถูกเบี่ยงเบนไปให้ภารกิจอื่น เนื่องจากการรู้เท่าทันภัยคุกคามของบุคลากรภายในหน่วยงานยังมีไม่เพียงพอ

5. ไม่มีผู้รับผิด

ท้ายที่สุด ดร.อุดมธิปกชี้ว่าการบังคับใช้กฎหมายที่ไม่มีประสิทธิภาพเป็นสาเหตุสำคัญที่ทำให้ภาครัฐยังเห็นความสำคัญของการปกป้องข้อมูลส่วนบุคคลน้อยเกินไป

เขาระบุว่าเมื่อเกิดเหตุข้อมูลรั่วไหล สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล หรือ สคส. (PDPC) ดำเนินการแก้ไขปัญหาล่าช้าอย่างมาก เนื่องจากกระบวนการพิจารณาและตัดสินคดีมักใช้เวลานานนับปี

ข้อมูลจาก ดร.อุดมธิปกระบุว่า ที่ผ่านมามีหน่วยงานรัฐเพียงสองแห่งที่เคยถูกลงโทษปรับ ได้แก่ กรมกิจการผู้สูงอายุ และสำนักงานคณะกรรมการการเลือกตั้ง (กกต.) ซึ่งในกรณีของ กกต. นั้นเลือกที่จะไม่เปิดเผยข้อมูลต่อสาธารณะ การปกปิดดังกล่าวทำให้หน่วยงานรัฐแห่งอื่น ๆ ขาดความตื่นตัวและไม่ตระหนักถึงความร้ายแรงของการละเมิดข้อมูล

“มันต้องมีคนรับผิดชอบ ก็ต้องไปไล่เบี้ยก่อนว่าเรื่องนี้เกิดขึ้นได้อย่างไร ถ้าไม่มีคนรับผิดชอบก็อาจจะยื้อไปจนกว่าศาลปกครองจะตัดสิน” นายกสมาคมผู้ตรวจสอบและให้คำปรึกษาการคุ้มครองข้อมูลส่วนบุคคลไทย (TPDPA) ระบุ

ท้ายที่สุด ดร.อุดมธิปกระบุว่า กฎหมายยังมีช่องว่างที่ทำให้ประชาชนผู้เป็นเจ้าของข้อมูลต้องตกอยู่ในสถานะที่เสียเปรียบเมื่อเกิดเหตุข้อมูลรั่วไหลจากหน่วยงานรัฐ เนื่องจากแม้กฎหมายจะเปิดช่องให้ประชาชนสามารถใช้สิทธิเรียกร้องค่าเสียหายหรือฟ้องร้องต่อศาลปกครองได้ แต่ในความเป็นจริง ประชาชนมักต้องแบกรับภาระค่าใช้จ่ายและเวลาในการดำเนินคดีด้วยตนเอง ทำให้ประชาชนส่วนใหญ่มักไม่อยากดำเนินการฟ้องร้อง

“การไม่มีใครรับผิดรับชอบทำให้หน่วยงานรัฐไม่ตระหนักรู้ ไม่รู้สึกว่าต้องเอาจริงเอาจังกับการที่รัฐโดนปรับ ถ้าปรับให้เห็นว่าจริงจัง ผู้บริหารหน่วยงานก็จะมองเรื่องนี้เป็นเรื่องสำคัญลำดับแรก” ดร.อุดมธิปก กล่าวกับ.

แล้วประชาชนควรทำอย่างไร

นายธนารัตน์ ผู้บริหารบริษัทโดมคลาวด์ระบุระหว่างให้สัมภาษณ์รายการเจาะลึกทั่วไทยฯ ว่า ข้อมูลที่มีภาพถ่ายใบหน้าตรงกับบัตรประจำตัวประชาชน เลขบัตร 13 หลัก ชื่อ-นามสกุล และที่อยู่ คือข้อมูลที่มิจฉาชีพสามารถนำไปตัดต่อเพื่อทำเป็นสำเนาบัตรประจำตัวประชาชนปลอมได้ทันที ซึ่งอันตรายเป็นอย่างยิ่งในช่วงที่สังคมประสบปัญหาจากการลวงลวงออนไลน์

ประเด็นความเสี่ยงดังกล่าวยังสอดคล้องกับมุมมองของนายนิธิกร บุญยกุลเจริญ ที่ปรึกษาผู้นำฝ่ายค้าน ที่โพสต์แจ้งเตือนประชาชนผ่านเฟซบุ๊กส่วนตัว โดยเน้นย้ำให้ระมัดระวังมิจฉาชีพที่อาจใช้ข้อมูลจำเพาะเจาะจง โทรศัพท์ไปแอบอ้างถึงรายละเอียดเกี่ยวกับรถยนต์หรือจักรยานยนต์ของผู้เสียหาย เพื่อใช้เป็นเครื่องมือสร้างความน่าเชื่อถือในการลวงลวงทรัพย์สิน

ด้านกรมการขนส่งทางบกในฐานะหน่วยงานเจ้าของข้อมูล ออกประกาศเตือนประชาชนเช่นเดียวกัน โดยระบุให้ระวังกลุ่มมิจฉาชีพที่อาจนำข้อมูลยานพาหนะ เช่น หมายเลขทะเบียน ยี่ห้อ หรือชื่อผู้ครอบครอง มาแอบอ้างเพื่อลวงลวงให้โอนเงินชำระค่าปรับหรือภาษีผ่านทางข้อความ สั้น (sms) หรือแอปพลิเคชันสนทนาไลน์ (Line)

ขณะที่แหล่งข่าวผู้เชี่ยวชาญด้านระบบสารสนเทศได้ให้คำแนะนำเพิ่มเติมถึงแนวทางการรับมือสำหรับประชาชนทั่วไป โดยเฉพาะกลุ่มเปราะบางอย่างผู้สูงอายุในต่างจังหวัดที่มักตกเป็นเป้าหมายหลักของแก๊งคอลเซ็นเตอร์

“หากมีบุคคลโทรศัพท์มาอ้างตัวว่ามาจากหน่วยงานรัฐ และสั่งให้อายัดบัญชีหรือโอนเงิน ขอให้ ตั้งสติแล้วตัดสายทิ้งโดยห้ามปฏิบัติตามเด็ดขาด” เขาระบุพร้อมกล่าวทิ้งท้ายถึงข้อจำกัดในปัจจุบันว่า “ตอนนี้เราไม่สามารถไปบังคับให้ระบบรัฐปลอดภัยได้ 100% สิ่งที่เราทำได้คือมีแต่ต้องป้องกันตัวเอง”