ภาครัฐปกป้องข้อมูลของประชาชนได้หรือไม่

ประเทศไทยใช้เวลากว่าสองทศวรรษในการยกระดับกฎหมายและโครงสร้างพื้นฐานด้านดิจิทัล เริ่มตั้งแต่พระราชบัญญัติว่าด้วยธุรกรรมทางอิเล็กทรอนิกส์ พ.ศ. 2544 ก่อนจะมีพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (PDPA) พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ ตลอดจนการนำมาตรฐานสากล เช่น ISO/IEC 27001 และ NIST Cybersecurity Framework มาใช้ในหน่วยงานภาครัฐและองค์กรจำนวนมาก

ในภาพรวม ประเทศไทยดูเหมือนเดินมาถูกทาง เรายังได้รับการจัดอันดับใน **Global Cybersecurity Index (GCI)** ของสหภาพโทรคมนาคมระหว่างประเทศ (ITU) ในระดับที่น่าพอใจ และหน่วยงานภาครัฐหลายแห่งก็ได้รับผลการประเมินด้านความมั่นคงปลอดภัยไซเบอร์ในระดับ "ดี" หรือ "ดีมาก" อย่างต่อเนื่อง

แต่เมื่อหันกลับมามองความเป็นจริง คำถามที่ประชาชนจำนวนมากกำลังตั้งคือ

เหตุใดข้อมูลของภาครัฐจึงยังรั่วซ้ำแล้วซ้ำอีก?

หากประเทศไทยมีทั้งกฎหมาย มาตรฐาน หน่วยงานกำกับดูแล ผู้ตรวจประเมิน และคะแนนด้าน Cybersecurity ที่ดี เหตุใดข่าวข้อมูลรั่วของหน่วยงานภาครัฐจึงยังเกิดขึ้นอย่างต่อเนื่อง และแทบทุกครั้งกลับลงเอยด้วยการชี้แจงในลักษณะคล้ายกันว่า "ไม่ได้ถูกแฮก"

คำอธิบายเช่นนี้อาจถูกต้องในเชิงเทคนิค แต่สำหรับประชาชน ความแตกต่างระหว่าง "ถูกเจาะระบบ" กับ "มีผู้ใช้ Credential ที่รั่วไหลเข้าสู่ระบบ" แทบไม่มีความหมาย เพราะผลลัพธ์สุดท้ายเหมือนกัน คือข้อมูลของประชาชนได้หลุดออกไปอยู่ในมือของผู้ที่ไม่ควรมีสิทธิ์เข้าถึงแล้ว

เปรียบเสมือนบ้านหลังหนึ่ง ไม่ว่าจะถูกคนร้ายงัดประตู หรือใช้กุญแจที่ขโมยมาเปิดเข้าไป เจ้าของบ้านก็ยังคงสูญเสียทรัพย์สินเหมือนเดิม ประชาชนจึงไม่ได้สนใจว่าวิธีการคืออะไร แต่สนใจว่าระบบที่รัฐสร้างขึ้นสามารถปกป้องข้อมูลของพวกเขาได้จริงหรือไม่

GCI ไม่ได้วัดว่า “ประเทศถูกแฮกหรือไม่” หรือ “ข้อมูลประชาชนรั่วหรือไม่”

แต่ประเมิน Commitment ของประเทศใน 5 มิติ ได้แก่

1. Legal Measures - กฎหมาย
2. Technical Measures - ศักยภาพทางเทคนิค
3. Organizational Measures - โครงสร้างการกำกับดูแล
4. Capacity Development - การพัฒนาบุคลากร
5. Cooperative Measures - ความร่วมมือทั้งในและต่างประเทศ  

ดังนั้น การที่ประเทศไทยได้ อันดับ 7 ของโลก หมายความว่า ประเทศไทยมีความพร้อมและความมุ่งมั่นในเชิงนโยบายและโครงสร้างสูงมาก ไม่ได้หมายความว่าจะไม่มีเหตุข้อมูลรั่ว

 

การที่ประเทศไทยก้าวขึ้นสู่อันดับ 7 ของโลกใน Global Cybersecurity Index ถือเป็นความสำเร็จที่ควรได้รับการชื่นชม เพราะสะท้อนว่าประเทศไทยได้ลงทุนและพัฒนาด้านกฎหมาย โครงสร้างองค์กร บุคลากร และความร่วมมือด้านความมั่นคงปลอดภัยไซเบอร์อย่างต่อเนื่อง

อย่างไรก็ตาม เราไม่ควรตีความดัชนีนี้เกินกว่าที่มันถูกออกแบบมา GCI วัด “ความพร้อมของประเทศ” (National Cybersecurity Commitment) มิใช่ “ผลลัพธ์ของการคุ้มครองข้อมูล” (Cybersecurity Outcomes) ดังนั้น การที่ประเทศไทยมีอันดับดี แต่ยังเกิดเหตุข้อมูลรั่วของหน่วยงานภาครัฐ จึงไม่ใช่ความขัดแย้งของตัวดัชนี หากแต่เป็นสัญญาณว่า ถึงเวลาแล้วที่ระบบประเมินภายในประเทศควรเพิ่มการวัด “ประสิทธิผล” ควบคู่กับ “ความพร้อม” เพื่อให้ความสำเร็จบนกระดาษสะท้อนความปลอดภัยที่ประชาชนสัมผัสได้จริง

“เมื่อประเทศไทยมี National Cybersecurity Readiness อยู่ในระดับโลกแล้ว เหตุใดเราจึงยังไม่มี National Data Protection Effectiveness Index ที่วัดว่าข้อมูลของประชาชนปลอดภัยขึ้นจริงหรือไม่?”

ความย้อนแย้งที่ประเทศไทยต้องกล้ายอมรับ

สิ่งที่น่ากังวลไม่ใช่การเกิดเหตุข้อมูลรั่วเพียงครั้งเดียว เพราะไม่มีประเทศใดในโลกที่สามารถรับประกันได้ว่าจะไม่มีเหตุการณ์ด้าน Cybersecurity เกิดขึ้นเลย สิ่งที่น่ากังวลกว่าคือความย้อนแย้งระหว่าง "ตัวชี้วัด" กับ "ผลลัพธ์"

ในด้านหนึ่ง ประเทศไทยภาคภูมิใจกับอันดับด้าน Cybersecurity ที่ดี การผ่านการประเมินของหน่วยงานต่างๆ และการมีมาตรฐานที่เป็นสากล แต่อีกด้านหนึ่ง ประชาชนยังคงเห็นข่าวข้อมูลรั่วของหน่วยงานภาครัฐอย่างต่อเนื่อง ทั้งข้อมูลด้านสาธารณสุข ข้อมูลบริการประชาชน หรือข้อมูลส่วนบุคคลที่ถูกนำไปเผยแพร่หรือซื้อขายบนอินเทอร์เน็ต

คำถามจึงไม่ใช่ว่า Global Cybersecurity Index มีประโยชน์หรือไม่ เพราะดัชนีดังกล่าวมีคุณค่าอย่างยิ่งในการสะท้อนความพร้อมของประเทศในด้านกฎหมาย การกำกับดูแล ศักยภาพของบุคลากร ความร่วมมือ และการพัฒนาเชิงนโยบาย หากไม่มีการลงทุนในเรื่องเหล่านี้ ประเทศก็ย่อมไม่สามารถยกระดับความมั่นคงปลอดภัยไซเบอร์ได้

แต่สิ่งที่เราต้องยอมรับคือ GCI ไม่ได้ออกแบบมาเพื่อวัดว่าข้อมูลของประชาชนรั่วหรือไม่ เช่นเดียวกับการประเมินหลายรูปแบบที่มุ่งประเมิน "ความพร้อม" (Readiness) มากกว่าประเมิน "ผลลัพธ์" (Outcomes)

กล่าวอีกนัยหนึ่ง เราอาจกำลังตอบคำถามว่า

• ประเทศมีกฎหมายหรือไม่
• มีหน่วยงานรับผิดชอบหรือไม่
• มีมาตรฐานหรือไม่
• มีแผนงานหรือไม่
• มีการอบรมหรือไม่

แต่ประชาชนกำลังถามอีกชุดคำถามหนึ่งที่แตกต่างออกไปโดยสิ้นเชิง

• จำนวนเหตุข้อมูลรั่วลดลงหรือไม่
• หน่วยงานสามารถตรวจพบการรั่วไหลได้เร็วขึ้นหรือไม่
• ข้อมูลสำคัญของประชาชนได้รับการปกป้องดีขึ้นหรือไม่
• ความเสียหายจากเหตุการณ์ลดลงหรือไม่
• ประชาชนเชื่อมั่นในระบบดิจิทัลของภาครัฐมากขึ้นหรือไม่

เมื่อสิ่งที่วัดไม่ใช่สิ่งเดียวกับสิ่งที่ประชาชนคาดหวัง ความย้อนแย้งจึงเกิดขึ้นอย่างหลีกเลี่ยงไม่ได้

เรากำลังวัดสิ่งที่ทำ หรือวัดสิ่งที่เกิดขึ้น

ในวงการบริหารมีหลักการที่ได้รับการยอมรับอย่างกว้างขวางว่า

“What gets measured gets managed.”

องค์กรจะให้ความสำคัญกับสิ่งที่ถูกนำมาวัด หากการประเมินเน้นว่ามีนโยบายหรือไม่ องค์กรก็จะเร่งจัดทำนโยบาย หากการประเมินเน้นว่ามีเอกสารหรือไม่ องค์กรก็จะผลิตเอกสาร หากการประเมินเน้นว่าผ่าน Audit หรือไม่ องค์กรก็จะทุ่มเทเพื่อให้ผ่านการตรวจ

ทั้งหมดนี้ไม่ใช่เรื่องผิด เพราะกฎหมาย มาตรฐาน และการกำกับดูแลเป็นรากฐานสำคัญของการบริหารความมั่นคงปลอดภัยไซเบอร์

ปัญหาเกิดขึ้นเมื่อ "การผ่านการประเมิน" กลายเป็นเป้าหมายสุดท้าย แทนที่จะเป็นเพียงจุดเริ่มต้นของการพัฒนาอย่างต่อเนื่อง

ผมมักพบอยู่เสมอในการให้คำปรึกษาและประเมินองค์กรว่า หลายแห่งมีเอกสารครบถ้วน มีนโยบาย มีมาตรฐาน มี Risk Register มี Asset Inventory และผ่านการรับรองมาตรฐานระดับสากล แต่เมื่อเจาะลึกลงไปกลับพบว่าองค์กรยังไม่สามารถตอบคำถามพื้นฐานเกี่ยวกับข้อมูลของตนเองได้ เช่น ข้อมูลสำคัญอยู่ที่ไหน มีกี่สำเนา ใครเข้าถึงได้ หรือข้อมูลถูกส่งต่อไปยังระบบใดบ้าง

กล่าวอย่างตรงไปตรงมา หลายองค์กรกำลังประสบปัญหาที่เรียกว่า “Compliance Syndrome” คือทำทุกอย่างเพื่อให้ "สอดคล้องตามข้อกำหนด" แต่ไม่ได้ทำให้เกิด "ประสิทธิผล" ในการปกป้องข้อมูลอย่างแท้จริง

นี่คือสิ่งที่ผู้เชี่ยวชาญหลายประเทศเรียกว่า “Paper Security” หรือ “เสือกระดาษ” ระบบดูแข็งแรงจากเอกสาร แต่เปราะบางเมื่อเผชิญสถานการณ์จริง

การผ่านมาตรฐาน ISO/IEC 27001 ไม่ได้รับรองว่าองค์กรจะไม่มีวันถูกโจมตี เช่นเดียวกับการใช้ NIST Cybersecurity Framework ไม่ได้รับรองว่าจะไม่มีข้อมูลรั่ว มาตรฐานเหล่านี้เป็น "กรอบการบริหาร" ที่จะเกิดคุณค่าได้ก็ต่อเมื่อถูกนำไปปฏิบัติอย่างจริงจัง วัดผลอย่างต่อเนื่อง และปรับปรุงอยู่ตลอดเวลา ไม่ใช่ทำเพียงเพื่อให้ผ่านการตรวจประเมิน

บทเรียนจากเหตุข้อมูลรั่วล่าสุด: ปัญหาไม่ได้อยู่ที่คำว่า "ถูกแฮก"

กรณีข้อมูลของกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม (MDES) ที่มีการชี้แจงว่าเหตุการณ์ไม่ได้เกิดจากการ "แฮกระบบ" แต่เกิดจากการนำ Username และ Password ที่รั่วไหลไปใช้เข้าสู่ระบบและเข้าถึงข้อมูล เป็นตัวอย่างที่สะท้อนปัญหาสำคัญของการสื่อสารด้าน Cybersecurity ในประเทศไทย

ในมุมมองทางเทคนิค คำอธิบายดังกล่าวอาจถูกต้อง เพราะการใช้บัญชีผู้ใช้ที่ถูกต้องย่อมแตกต่างจากการเจาะช่องโหว่ของระบบโดยตรง แต่ในมุมของการบริหารความเสี่ยงและการคุ้มครองข้อมูล ความแตกต่างดังกล่าวแทบไม่มีนัยสำคัญ หากผลลัพธ์สุดท้ายคือผู้ไม่มีสิทธิ์สามารถเข้าถึงและนำข้อมูลของประชาชนออกจากระบบได้

ที่สำคัญ เหตุการณ์ลักษณะนี้ควรทำให้เกิดคำถามเชิงระบบมากกว่าการถกเถียงเรื่องนิยามของคำว่า "Hack"

ประเด็นที่สังคมควรถาม ได้แก่

• Username และ Password รั่วไหลออกมาได้อย่างไร
• เหตุใดองค์กรจึงไม่ทราบว่าบัญชีของตนเองปรากฏอยู่ในฐานข้อมูล Credential ที่รั่วไหล
• หากทราบแล้ว เหตุใดจึงไม่มีการบังคับเปลี่ยนรหัสผ่านหรือระงับบัญชีดังกล่าว
• เหตุใดการเข้าสู่ระบบด้วยบัญชีดังกล่าวจึงไม่ถูกตรวจจับว่าเป็นพฤติกรรมผิดปกติ
• เหตุใดผู้ใช้งานจึงสามารถเข้าถึงหรือดึงข้อมูลออกได้ในปริมาณมากโดยไม่มีการแจ้งเตือน

คำถามเหล่านี้มีความสำคัญกว่าการอภิปรายว่า "ถูกแฮกหรือไม่" เพราะสะท้อนถึงประสิทธิภาพของกระบวนการป้องกัน การตรวจจับ และการตอบสนองต่อเหตุการณ์ ซึ่งเป็นหัวใจของ Cybersecurity ในโลกปัจจุบัน

ปัจจุบันองค์กรชั้นนำทั่วโลกไม่ได้รอให้เกิดเหตุการณ์ก่อนจึงค่อยทราบว่าบัญชีผู้ใช้รั่วไหล แต่มีการใช้บริการ Threat Intelligence, Dark Web Monitoring และ Credential Exposure Monitoring เพื่อตรวจสอบข้อมูลที่รั่วไหลจากแหล่งต่าง ๆ อย่างต่อเนื่อง พร้อมทั้งเชื่อมโยงเข้าสู่กระบวนการบริหารความเสี่ยง เช่น การบังคับเปลี่ยนรหัสผ่าน การเพิกถอนสิทธิ์ การเปิดใช้ Multi-Factor Authentication (MFA) และการตรวจสอบกิจกรรมผิดปกติของผู้ใช้ หากองค์กรยังไม่มีกลไกเหล่านี้ ย่อมสะท้อนว่าปัญหาไม่ได้อยู่ที่ความสามารถของผู้โจมตีเพียงอย่างเดียว แต่รวมถึงความสามารถในการรับรู้และตอบสนองขององค์กรด้วย

Cybersecurity ที่แท้จริง ต้องเริ่มจาก Data Protection

ตลอดหลายปีที่ผ่านมา การลงทุนด้าน Cybersecurity ของหลายองค์กร โดยเฉพาะภาครัฐ มักมุ่งเน้นการป้องกัน "ระบบ" เป็นหลัก ไม่ว่าจะเป็น Firewall, Endpoint Detection and Response (EDR), Security Information and Event Management (SIEM), Security Operations Center (SOC) หรือระบบตรวจจับภัยคุกคามรูปแบบต่าง ๆ เครื่องมือเหล่านี้ล้วนมีความจำเป็น แต่เป็นเพียงส่วนหนึ่งของสมการ

คำถามที่สำคัญยิ่งกว่าคือ องค์กรรู้จัก "ข้อมูล" ของตนเองดีเพียงใด

หลายองค์กรสามารถบอกได้ว่ามี Server กี่เครื่อง หรือมี Firewall กี่ยี่ห้อ แต่กลับตอบไม่ได้ว่าข้อมูลสำคัญขององค์กรอยู่ที่ใด มีกี่สำเนา ถูกจัดเก็บอยู่ในระบบใด ถูกส่งต่อไปยังใครบ้าง หรือมีผู้ใดสามารถเข้าถึงข้อมูลเหล่านั้นได้จริง

การปกป้องข้อมูลไม่ใช่การปกป้อง Server หรือ Database เพียงอย่างเดียว แต่ต้องครอบคลุมข้อมูลตลอดวงจรชีวิต ตั้งแต่การสร้าง การจัดเก็บ การใช้งาน การแบ่งปัน การสำรองข้อมูล จนถึงการทำลายเมื่อหมดความจำเป็น หากไม่เข้าใจพฤติกรรมของข้อมูล (Data Behavior) และวงจรชีวิตของข้อมูล (Data Lifecycle) ก็ยากที่จะกล่าวได้ว่าองค์กรกำลังทำ Data Protection อย่างแท้จริง

กล่าวอีกนัยหนึ่ง Cybersecurity ที่เน้นการปกป้องโครงสร้างพื้นฐานเพียงอย่างเดียว ไม่เพียงพออีกต่อไปในยุคที่ "ข้อมูล" คือทรัพยากรที่มีมูลค่าสูงที่สุด

ถึงเวลาปฏิรูปการประเมิน จาก Readiness สู่ Effectiveness

หนึ่งในสาเหตุที่ปัญหายังคงเกิดขึ้น คือระบบการประเมินของเรายังให้ความสำคัญกับ "ความพร้อม" มากกว่าประสิทธิผลที่เกิดขึ้นจริง การมีนโยบาย มีมาตรฐาน หรือผ่านการรับรอง เป็นสิ่งจำเป็น แต่ไม่ควรเป็นเป้าหมายสุดท้าย

การประเมินในอนาคตควรเพิ่มตัวชี้วัดที่สะท้อนผลลัพธ์ที่ประชาชนรับรู้ได้ เช่น

• ระยะเวลาเฉลี่ยในการตรวจพบเหตุผิดปกติ (Mean Time to Detect)
• ระยะเวลาเฉลี่ยในการควบคุมเหตุการณ์ (Mean Time to Respond)
• จำนวน Credential ที่ตรวจพบว่ารั่วไหลและได้รับการจัดการภายในระยะเวลาที่กำหนด
• สัดส่วนของระบบสำคัญที่ใช้ Multi-Factor Authentication
• จำนวนเหตุข้อมูลรั่วไหลที่ลดลงเมื่อเทียบกับปีก่อน
• ระดับความเชื่อมั่นของประชาชนต่อการคุ้มครองข้อมูลของภาครัฐ

ตัวชี้วัดเหล่านี้จะช่วยเปลี่ยนแรงจูงใจขององค์กร จากการมุ่งผลิตเอกสารเพื่อผ่านการประเมิน ไปสู่การสร้างผลลัพธ์ที่จับต้องได้

ข้อมูลของประชาชน คือทรัพยากรเชิงยุทธศาสตร์ของชาติ

ในอดีต ประเทศต่าง ๆ แข่งขันกันด้วยทรัพยากรธรรมชาติ พลังงาน หรือกำลังทางทหาร แต่ในศตวรรษที่ 21 "ข้อมูล" ได้กลายเป็นทรัพยากรเชิงยุทธศาสตร์ที่มีมูลค่ามหาศาล ทั้งข้อมูลสุขภาพ ข้อมูลการศึกษา ข้อมูลภาษี ข้อมูลชีวมิติ ข้อมูลทางการเงิน และข้อมูลด้านความมั่นคง

การสูญเสียข้อมูลเหล่านี้ไม่ได้ส่งผลเฉพาะต่อความเป็นส่วนตัวของประชาชน แต่ยังส่งผลต่อความเชื่อมั่น ความมั่นคงทางเศรษฐกิจ และอธิปไตยทางดิจิทัลของประเทศ ดังนั้น การคุ้มครองข้อมูลจึงไม่ควรถูกมองว่าเป็นเพียงประเด็นของ PDPA หรือฝ่าย IT หากแต่เป็นวาระด้านความมั่นคงแห่งชาติ

ประเทศไทยควรยกระดับแนวคิดจากการทำ Cybersecurity เพื่อ "ปกป้องระบบ" ไปสู่การสร้าง Data Protection by Design ที่ฝังอยู่ในทุกขั้นตอนของการพัฒนาระบบและการบริหารข้อมูล พร้อมพัฒนาระเบียบวิธี (Data Protection Methodology) ที่เหมาะสมกับบริบทของประเทศ โดยตั้งคำถามพื้นฐานกับทุกหน่วยงานว่า ข้อมูลสำคัญคืออะไร อยู่ที่ไหน ใครเป็นเจ้าของ ใครเข้าถึงได้ มีการติดตามการใช้งานอย่างไร และสามารถพิสูจน์ย้อนหลังได้หรือไม่เมื่อเกิดเหตุการณ์

ท้ายที่สุด ประเทศไทยอาจไม่จำเป็นต้องมีกฎหมายเพิ่มอีกฉบับ หรือมาตรฐานใหม่อีกหนึ่งมาตรฐาน สิ่งที่จำเป็นกว่าคือการทำให้กฎหมายและมาตรฐานที่มีอยู่เกิดผลในทางปฏิบัติ และเปลี่ยนจากการวัดว่า "มีหรือไม่" ไปสู่การวัดว่า "ปกป้องข้อมูลของประชาชนได้จริงหรือไม่"

เพราะความศักดิ์สิทธิ์ของกฎหมายด้านดิจิทัล ไม่ได้ถูกวัดจากจำนวนมาตรา จำนวนมาตรฐาน หรือจำนวนใบรับรองที่องค์กรได้รับ แต่ถูกวัดจากผลลัพธ์ที่ประชาชนสัมผัสได้ หากข้อมูลของประชาชนยังรั่วไหลซ้ำแล้วซ้ำอีก เราคงต้องกล้ายอมรับว่า ถึงเวลาแล้วที่จะปฏิรูปแนวคิดด้าน Cybersecurity ของประเทศจากรากฐาน

อธิปไตยทางดิจิทัลไม่ได้เริ่มต้นที่การมี Data Center ขนาดใหญ่ หรือการได้รับคะแนนประเมินที่ดี หากแต่เริ่มต้นจากความสามารถของรัฐในการปกป้องข้อมูลของประชาชนอย่างแท้จริง เพราะประเทศที่ปกป้องข้อมูลของประชาชนไม่ได้ ย่อมไม่อาจกล่าวได้ว่าปกป้องอธิปไตยทางดิจิทัลของตนได้อย่างสมบูรณ์