ชำแหละสถาปัตยกรรมรัฐดิจิทัลไทย ทำไมข้อมูลรั่วทั้งที่มี MFA ก็อาจไม่พอ

จากกระแสข่าวข้อมูลส่วนบุคคลของประชาชน รวมถึงข้อมูลระดับบุคคลสำคัญของประเทศ ถูกกล่าวอ้างว่ารั่วไหลออกสู่ตลาดมืด ความกังวลของสังคมไม่ได้อยู่เพียงแค่ “ข้อมูลหลุด” แต่เริ่มย้อนกลับไปตั้งคำถามต่อ “สถาปัตยกรรมของระบบรัฐดิจิทัล” ว่าถูกออกแบบมาอย่างปลอดภัยเพียงใด

 

ณัฐ เหลืองนฤมิตรชัย ผู้เชี่ยวชาญด้านตลาดทุนจากตลาดหลักทรัพย์แห่งประเทศไทย ได้ตั้งข้อสังเกตผ่านบทวิเคราะห์ในเพจ Nat Luengnaruemitchai ว่า คำอธิบายที่มักได้ยินจากหน่วยงานภาครัฐว่า “ระบบฐานข้อมูลหลักไม่ได้ถูกแฮก แต่เป็นเพียงรหัสผ่านของเจ้าหน้าที่รั่วไหล หรือหลุดจาก API ของหน่วยงานภายนอก” ไม่ใช่คำชี้แจงที่ช่วยลดความเสียหาย หากแต่สะท้อน “ความล้มเหลวเชิงโครงสร้าง” ของการออกแบบระบบและการบริหารสิทธิ์ในการเข้าถึงข้อมูล

 

รหัสผ่านหลุด ไม่ใช่ข้อแก้ตัว แต่คือความล้มเหลวของระบบ

ในมุมมองของผู้เชี่ยวชาญด้านความมั่นคงไซเบอร์ การที่ผู้ไม่หวังดีสามารถใช้บัญชีผู้ใช้งานของเจ้าหน้าที่เข้าสู่ระบบได้ เทียบได้กับการสร้างคฤหาสน์ขนาดใหญ่ แต่แจกกุญแจหลักให้คนจำนวนมากถือไว้ เมื่อกุญแจเพียงดอกเดียวหลุดไป ผู้บุกรุกก็สามารถเดินผ่านระบบป้องกันทั้งหมดได้อย่างถูกต้องตามสิทธิ์

 

ไฟร์วอลล์ ระบบตรวจจับการบุกรุก หรือมาตรการรักษาความปลอดภัยอื่น ๆ อาจทำงานครบถ้วน แต่หากผู้ที่เข้าสู่ระบบใช้บัญชีที่ได้รับอนุญาตจริง ระบบก็แทบไม่สามารถแยกแยะได้ว่านั่นคือเจ้าหน้าที่ตัวจริงหรือผู้ไม่หวังดีที่ขโมยข้อมูลรับรองการใช้งานมา

 

ดังนั้น การยืนยันว่า “ไม่ได้ถูกแฮก” จึงไม่ได้ทำให้สถานการณ์ดีขึ้น หากกลับยืนยันว่าการควบคุมตัวตนและสิทธิ์ของผู้ใช้งานยังมีช่องโหว่สำคัญ

 

MFA ไม่ใช่คำตอบ หากระบบยังแจกสิทธิ์เกินจำเป็น

หลังเกิดเหตุ หน่วยงานรัฐมักประกาศว่าจะบังคับใช้ MFA หรือการยืนยันตัวตนหลายขั้นตอน ซึ่งถือเป็นมาตรการที่จำเป็น แต่ณัฐมองว่า นี่เป็นเพียงการแก้ปัญหาที่ “ประตูชั้นนอก”

 

ปัญหาที่แท้จริงอยู่ที่ Identity and Access Management (IAM) หรือการบริหารจัดการตัวตนและสิทธิ์ในการเข้าถึงข้อมูล ซึ่งในหลายระบบยังทำงานแบบแยกส่วนและขาดการกำกับแบบรวมศูนย์

 

คำถามสำคัญคือ เหตุใดเจ้าหน้าที่ระดับปฏิบัติการจำนวนมากจึงสามารถค้นหาข้อมูลของประชาชนแทบทุกคนในประเทศได้อย่างอิสระ เพียงกรอกเลขประจำตัวประชาชน 13 หลัก ก็สามารถเห็นข้อมูลที่อยู่ ภาพถ่าย หรือข้อมูลทรัพย์สินได้

 

หากสิทธิ์ในการเข้าถึงกว้างเกินความจำเป็น ต่อให้มี MFA เมื่อคอมพิวเตอร์ของเจ้าหน้าที่ติดมัลแวร์ บัญชีถูกขโมย หรือมีการใช้สิทธิ์ในทางมิชอบ ข้อมูลก็ยังสามารถรั่วไหลได้อยู่ดี

 

Zero Trust เมื่อระบบไม่ควรเชื่อใจใครโดยอัตโนมัติ

บทวิเคราะห์เสนอว่า การออกแบบระบบใหม่ควรตั้งอยู่บนแนวคิด Zero Trust Architecture ซึ่งมีหลักสำคัญว่า “ไม่เชื่อถือผู้ใช้งานคนใดโดยอัตโนมัติ แม้จะอยู่ภายในองค์กร”

 

แนวทางที่เสนอ ได้แก่

• ยกเลิกการเปิดช่องค้นหาข้อมูลประชาชนแบบอิสระ
• ให้ระบบดึงข้อมูลเฉพาะเมื่อมี “เลขคำร้อง” หรือ Ticket ID ที่เกิดจากการติดต่อราชการจริง
• แสดงเฉพาะข้อมูลที่จำเป็นต่อภารกิจของเจ้าหน้าที่ (Dynamic Data Masking)
• จำกัดขอบเขตการเข้าถึงตามหน้าที่และช่วงเวลา

 

หากไม่มีช่องค้นหาแบบอิสระ ความเสี่ยงที่เจ้าหน้าที่จะค้นหาข้อมูลของบุคคลสำคัญ หรือดึงข้อมูลจำนวนมากออกจากระบบ จะลดลงอย่างมีนัยสำคัญตั้งแต่ระดับโครงสร้าง

 

ไทยใช้กฎหมายลงโทษใครกันแน่

อีกประเด็นที่ถูกหยิบยกคือ ความแตกต่างระหว่างการบังคับใช้กฎหมายคุ้มครองข้อมูลในต่างประเทศกับประเทศไทย

 

ภายใต้กฎหมาย GDPR ของสหภาพยุโรป ซึ่งเป็นต้นแบบของ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล (PDPA) ของไทย ความรับผิดชอบหลักตกอยู่กับ “ผู้ควบคุมข้อมูล” (Data Controller) ที่ไม่จัดให้มีมาตรการรักษาความปลอดภัยที่เหมาะสม

 

กรณีของ British Airways เคยถูกปรับเป็นเงินจำนวนมหาศาลจากเหตุที่ระบบไม่มีมาตรการป้องกันเพียงพอจนข้อมูลลูกค้ารั่วไหล

 

แต่ในประเทศไทย เมื่อเกิดเหตุข้อมูลรั่วไหล การดำเนินการมักมุ่งไปที่การใช้ พ.ร.บ.คอมพิวเตอร์ฯ มาตรา 14 กับผู้เผยแพร่ข้อมูล นักวิจัยด้านความมั่นคงไซเบอร์ หรือผู้แจ้งเบาะแส มากกว่าการตรวจสอบความบกพร่องของหน่วยงานที่ถือครองข้อมูล

 

ณัฐตั้งข้อสังเกตว่านี่สะท้อนวัฒนธรรม “ยิงผู้ส่งสาร” (Shooting the Messenger) ซึ่งอาจทำให้ปัญหาเชิงระบบไม่เคยถูกแก้ไขอย่างแท้จริง

 

ถึงเวลาคืนสิทธิ์การตรวจสอบให้ประชาชน

ข้อเสนอที่น่าสนใจที่สุดคือ การสร้างระบบ Public Access Log Statement ผ่านแอปพลิเคชันของรัฐ เช่น ThaID เพื่อให้ประชาชนสามารถตรวจสอบได้ว่า

• หน่วยงานใดเข้าถึงข้อมูลของตน
• เจ้าหน้าที่คนใดเป็นผู้เปิดดู
• เปิดดูเมื่อใด
• และด้วยเหตุผลหรือภารกิจใด

 

หากทุกครั้งที่เจ้าหน้าที่เปิดข้อมูลประชาชน ระบบส่งการแจ้งเตือนไปยังเจ้าของข้อมูลโดยอัตโนมัติ การใช้สิทธิ์ในทางที่ผิดจะถูกยับยั้งด้วยกลไกการตรวจสอบจากประชาชนเอง

 

ปัญหาไม่ใช่แค่ข้อมูลหลุด แต่คือความเชื่อมั่นของรัฐ

ข้อมูลส่วนบุคคลไม่ใช่ทรัพย์สินที่เมื่อรั่วแล้วสามารถเรียกคืนได้เหมือนเงินในบัญชี เพราะข้อมูลอัตลักษณ์ เช่น เลขบัตรประชาชน ที่อยู่ ภาพถ่าย หรือข้อมูลชีวมิติ สามารถถูกคัดลอก ทำซ้ำ และนำไปใช้สวมรอยได้ตลอดเวลา

 

ตราบใดที่ภาครัฐยังมองว่าการรั่วไหลของข้อมูล “ยังไม่เสียหาย หากยังไม่มีการสูญเสียทางการเงิน” และยังแก้ปัญหาด้วยการไล่จับผู้กระทำผิดปลายทาง แทนที่จะรื้อสถาปัตยกรรมของระบบหลังบ้านใหม่ทั้งหมด ความฝันเรื่องรัฐบาลดิจิทัลของไทยก็อาจกลายเป็นเพียงระบบอัตโนมัติที่ช่วยให้อาชญากรรมไซเบอร์ทำงานได้สะดวกขึ้นเท่านั้น