นโยบาย Cybersecurity สังคมต้องมีส่วนร่วม

ประวิทย์ ลี่สถาพรวงศากรรมการกิจการกระจายเสียง กิจการโทรทัศน์ และกิจการโทรคมนาคมแห่งชาติ (กสทช.)

ในโอกาสวันสื่อสารแห่งชาติ พล.อ.อ.ธเรศ ปุณศรี ประธาน กสทช. ได้เชิญคุณ Richard A. Clarke อดีตที่ปรึกษาประธานาธิบดีสหรัฐด้านความมั่นคง มาแลกเปลี่ยนมุมมองเรื่อง Cybersecurity เพื่อให้ประเทศไทยพร้อมรับมือภัยคุกคามทางไซเบอร์ในยุคเศรษฐกิจดิจิทัล โดยได้นำประสบการณ์ที่สหรัฐและประเทศต่างๆ ทั่วโลกได้เผชิญปัญหามาเป็นบทเรียนในการขับเคลื่อนนโยบาย คุณ Clarke ได้สรุปหัวใจของแนวคิดเป็น 4 ปัญหา 6 คำถาม ดังนี้

ปัญหาภัยคุกคามทางไซเบอร์แบ่งได้เป็น 4 ลักษณะ สรุปโดยย่อคือ C.H.E.W.

C คือ Cybercrime เป็นปัญหาการก่ออาชญากรรมทางไซเบอร์ โดยมีวัตถุประสงค์ทางการเงิน เช่น การ แฮ็กบัญชีธนาคารหรือธุรกรรมออนไลน์ต่างๆ ทำให้คนส่วนหนึ่งไม่ยอมทำธุรกรรมออนไลน์ และคิดว่าตนเองก็จะไม่ได้รับผลกระทบ แต่ในมุมมองของ ผู้เชี่ยวชาญ อาชญากรรมเหล่านี้เพิ่มต้นทุนต่อระบบ และระบบก็จะผลักต้นทุนนั้นให้ผู้บริโภคทุกคนไม่ว่าจะออฟไลน์หรือออนไลน์แบกรับในที่สุด ปัญหานี้จึงกระทบทุกคนอย่างหลีกเลี่ยงไม่ได้

H คือ Hacktivism เป็นการแฮ็กข้อมูลลับไม่ว่าจะของทางการหรือเอกชนแล้วนำมาเผยแพร่ต่อสาธารณะ เพื่อเปิดโปงเรื่องบางอย่างหรือสร้างความอับอายแก่เจ้าของข้อมูล รวมถึงการแฮ็กเว็บเพจแล้วเผยแพร่ข้อความของตนลงไปในเว็บเหล่านั้น เพื่อประกาศจุดยืนหรืออุดมการณ์ต่างๆ แม้เราจะป้องกันตัวเองดีเพียงใด แต่หากเป็นการสื่อสารกับปลายทาง เช่น อีเมล เมื่อปลายทางถูกแฮ็ก ข้อมูลของเราก็รั่วไหลอยู่ดี

E คือ Espionage เป็นการ จารกรรมข้อมูลเพื่อนำไปใช้ประโยชน์ต่อ เช่น การเจาะข้อมูลนวัตกรรมต่างๆ การเจาะข้อมูลทางการทหาร ซึ่งในอดีตใครที่พยายามขโมยเอกสารที่มีชั้นความลับของหน่วยงานต่างๆ เท่ากับต้องบุกรุกเข้าไปในหน่วยงาน แต่ในยุคดิจิทัล แฮ็กเกอร์อาจซ่อนตัวอยู่มุมใดมุมหนึ่งของโลก แล้วเชื่อมต่อทางออนไลน์ ต้นทุนการจารกรรมจึงต่ำมาก และความเสี่ยงในการถูกจับตัวได้ก็ลดลงมาก

W คือ War หรือ Cyberwar ซึ่งเกิดขึ้นแล้ว เช่น การทำลายฐานผลิตอาวุธนิวเคลียร์โดยไม่ต้องส่งกำลังพลหรือใช้อาวุธกายภาพแม้แต่น้อย แต่เป็นการส่งคำสั่งเข้าไปให้เครื่องยนต์ทำลายตนเอง หรือแม้แต่การที่บางประเทศโจมตีทางไซเบอร์ เพื่อให้ระบบสื่อสารและแหล่งพลังงานของปฏิปักษ์ล่ม แล้วใช้กำลังพลบุกยึดครอง ดินแดนจริงได้อย่างง่ายดาย

ปัญหาทั้งหมดนี้ชี้ให้เห็นความจำเป็นในการพัฒนานโยบาย Cybersecurity และมีคำถามพื้นฐาน 6 ข้อ ที่ต้องตอบเพื่อกำหนดนโยบายได้อย่างถูกต้อง ได้แก่

1.การเลือกพัฒนาระบบโจมตี หรือจะพัฒนาระบบป้องกัน (Offense vs Defense) บางท่านคิดว่าอาวุธไซเบอร์ที่ทรงอานุภาพจะทำให้เราเป็นฝ่ายชนะ แต่แท้จริงแล้วภัยของการคุกคามทางไซเบอร์คือ การถูกโจมตี ซึ่งเกิดขึ้นเวลาใดก็ได้ การขาดระบบป้องกันที่ดีกลับจะทำให้เราเป็นฝ่ายแพ้อย่างราบคาบ การพัฒนาระบบรับมือการโจมตี จึงควรเป็นสิ่งสำคัญลำดับแรก

2.การปกป้องโครงสร้างพื้นฐานที่สำคัญ (Critical Infrastructure) ซึ่งรัฐมิได้ควบคุมด้วยตนเอง จะเลือกนโยบายเสรีให้ต่างคนต่างรับผิดชอบตนเอง หรือต้องมีนโยบายกำกับดูแล (Market Forces vs Regulation) โครงสร้างพื้นฐานในยุคดิจิทัลล้วนเชื่อมต่อออนไลน์ และเสี่ยงต่อภัยคุกคาม เช่น ด้านการผลิตพลังงานหรือกระแสไฟฟ้า ด้านการขนส่งทั้งทางบก ทางน้ำ ทางอากาศ ด้านการเงินการธนาคาร ด้านโรงพยาบาลหรือบริการทางการแพทย์ ด้านการสื่อสาร หรือแม้กระทั่งตลาดหลักทรัพย์ ซึ่งล้วนแล้วแต่มีความสำคัญอย่างยิ่งยวด แต่การพัฒนาระบบรับมือภัยคุกคามต้องมีต้นทุน และในบางครั้งเอกชนก็เน้นการควบคุมหรือลดต้นทุนของตนเอง แต่ผลกระทบจากภัยคุกคามต่อสังคมนั้นมีมูลค่าสูงมากกว่าหลายเท่าตัว เช่น หากระบบไฟฟ้าของประเทศล่ม เท่ากับเศรษฐกิจดิจิทัลหยุดชะงัก จึงจำเป็นต้องมีการกำกับดูแล โดยการออก Smart Regulation ตามด้วยการตรวจสอบการปฏิบัติตามกติกา การทดสอบการโจมตีทางไซเบอร์และการปรับปรุงพัฒนาระบบ

3.การคุ้มครองความเป็นส่วนตัว หรือการคุ้มครองความปลอดภัย (Privacy vs Security) สังคมกังวลเกี่ยวกับการถูกละเมิดความเป็นส่วนตัว เพราะรัฐมักจะยกข้ออ้างเรื่อง Cybersecurity แต่หากไม่มี Cybersecurity ก็ไม่มีความเป็นส่วนตัว เพราะข้อมูลของเราจะถูกแฮ็กได้ตลอดเวลา ทั้งสองเรื่องจึงไม่ใช่คู่ตรงข้ามกัน แต่เป็นเรื่องที่ต้องคำนึงไปพร้อมกัน สังคมยอมรับได้หากการเปิดเผยข้อมูลเป็นไปตามคำสั่งศาลโดยชอบด้วยกฎหมาย แต่ภัยคุกคามนั้นต้องรับมือโดยเร็วให้ทันการณ์ จึงต้องมีการพัฒนาระบบการพิจารณาโดยศาลเฉพาะเรื่องนี้ให้ตอบสนองปัญหาได้เร็วที่สุด แทนระบบการออกหมายศาลแบบเดิม

4.การลงทุนด้านซอฟต์แวร์ หรือการลงทุนพัฒนาคน (Software vs People) บริษัทพัฒนาระบบรักษาความปลอดภัยไซเบอร์มักมุ่งเน้นขายระบบให้กับหน่วยงานต่างๆ แต่การซื้อซอฟต์แวร์มาใช้งานไม่สามารถรับมือภัยคุกคามได้จริง หากบุคลากรยังมีพฤติกรรมเสี่ยง ขาดความตระหนัก หรือความรู้ความเข้าใจในเรื่องนี้ จึงต้องให้ความสำคัญกับคนมากกว่าเน้นการซื้อหรือมุ่งพัฒนาระบบแล้วคิดว่าได้เตรียมการรับมือเรียบร้อยแล้ว และเราต้องค้นหาแฮ็กเกอร์ฝีมือดีแล้วเปลี่ยนให้เป็นบุคลากรด้าน Cybersecurity ของประเทศ ซึ่งยังขาดแคลนเป็น อย่างมาก

5.นวัตกรรม หรือความน่าเชื่อถือ (Innovation vs Reliability) ในยุคอินเทอร์เน็ตของสรรพสิ่ง มีอุปกรณ์เชื่อมต่อออนไลน์หลายพันล้านชิ้น และจะเพิ่มเป็นหลายหมื่นล้านชิ้นในอีกสามปีข้างหน้า ที่ผ่านมามีการแฮ็กกล้อง วงจรปิดนับแสนตัวเพื่อโจมตี DDoS ไปยังระบบคอมพิวเตอร์เป้าหมาย หากอุปกรณ์หลายหมื่นล้านชิ้นเสี่ยงต่อภัยคุกคาม อนาคตของเราจะเป็นอย่างไร ความเสียหายจะมากขนาดไหน

6.การป้องกันการบุกรุก หรือ ความยืดหยุ่นในการรับมือการบุกรุก (Prevention of Attack vs Resilience) การป้องกันการบุกรุกคือความพยายามไม่ให้ผู้โจมตีเข้าสู่ระบบได้ แต่ความยืดหยุ่นในการรับมือ คือเมื่อผู้บุกรุกเข้ามาในระบบ จะจำกัดขอบเขตของปฏิบัติการโจมตีได้ในระดับใด และหากเกิดผลกระทบแล้วจะฟื้นฟูระบบให้กลับสู่ปกติโดยเร็วได้อย่างไร เช่น การกู้ระบบไฟฟ้าของประเทศให้กลับคืนมาในเวลานับเป็นชั่วโมง ไม่ใช่เป็นวัน หรือเป็นสัปดาห์ หมายความว่าแต่ละระบบต้องมีข้อมูลสำรองและระบบสำรอง และต้องมีการฝึกซ้อมการกู้ระบบอย่างสม่ำเสมอ ไม่ต่างจากการซ้อมรับอัคคีภัยในอาคาร

นอกจากคำถามเหล่านี้แล้ว การจัดการภัยคุกคามทางไซเบอร์ต้องเป็นความร่วมมือระหว่างประเทศ เพราะ ผู้โจมตีมักหลบซ่อนอยู่ในต่างประเทศ แต่ที่สำคัญที่สุดคือนโยบาย Cybersecurity ต้องได้รับการยอมรับจากสังคม ไม่ใช่การกำหนดนโยบายฝ่ายเดียวจากผู้มีอำนาจแล้วใช้บังคับกับสังคม จากประสบการณ์ที่ผ่านมาเรื่องนี้ต้องเปิดให้มีการถกเถียงสาธารณะอย่างกว้างขวาง และต้องสร้างความตระหนักและความรู้ความเข้าใจแก่สังคมอย่างจริงจัง เพื่อให้เกิดการยอมรับในมาตรการ Cybersecurity ของประเทศ แล้วการจัดการภัยคุกคามไซเบอร์จึงจะเกิดผล

หลังจากได้รับฟังมุมมองต่างๆ แล้ว เราคนไทยเองคงต้องร่วมกันหาคำตอบในเรื่องนี้อย่างเหมาะสม การไม่มีนโยบายเรื่องนี้คือหายนะของการไปสู่เศรษฐกิจดิจิทัล แต่การมุ่งบังคับโดยขาดการมีส่วนร่วมก็เป็นหายนะของสังคมและประเทศชาติเช่นกัน n