PDPC ผนึก DPO 3,700 หน่วยงาน เร่งรีเซ็ตรหัสผ่าน ปิดช่องโหว่ข้อมูลส่วนบุคคล
PDPC ขานรับมติ ครม. ผนึกกำลัง DPO กว่า 3,700 หน่วยงาน ยกระดับมาตรการรักษาความมั่นคงปลอดภัยข้อมูลส่วนบุคคล เร่งเปลี่ยนรหัสผ่าน เปิด MFA และปรับระบบยืนยันตัวตนผ่าน ThaID หวังปิดช่องโหว่และลดความเสี่ยงการเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต
KEY
POINTS
- สคส. (PDPC) ร่วมกับเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) กว่า 3,700 หน่วยงาน เร่งรัดให้มีการรีเซ็ต Username และ Password เพื่อปิดช่องโหว่และยกระดับความปลอดภัย
- ออกมาตรการเร่งด่วน 3 ข้อ รวมถึงการตั้งรหัสผ่านที่คาดเดายาก, เปิดใช้งานการยืนยันตัวตนหลายปัจจัย (MFA/2FA) และปรับปรุงระบบให้รองรับ ThaID
- กำหนดให้มีการเข้ารหัสข้อมูล, สำรองข้อมูลสม่ำเสมอ, อัปเดตแพตช์ และจำกัดสิทธิ์การเข้าถึงข้อมูลของเจ้าหน้าที่ตามหลักความจำเป็น (Need-to-know)
สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) หรือ PDPC ขานรับมติคณะรัฐมนตรี พร้อมผนึกกำลังเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) กว่า 3,700 หน่วยงาน ขอให้ผู้รับผิดชอบระบบงานเร่งรีเซ็ต Username และ Password เพื่อเข้าสู่ระบบใหม่ทันที หรือปรับปรุงระบบให้สามารถยืนยันตัวตนผ่าน ThaID เพื่อยกระดับความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล
3 มาตรการเร่งด่วน ปิดช่องโหว่ข้อมูลส่วนบุคคล
สคส. ขอให้ทุกหน่วยงานเร่งดำเนินการ 3 มาตรการสำคัญ โดยเริ่มจากการเปลี่ยนรหัสผ่านทันที โดยเฉพาะรหัสผ่านที่ไม่ได้เปลี่ยนเกิน 3 เดือน พร้อมกำชับไม่ให้นำชื่อ วันเกิด หรือเลขประจำตัวประชาชนมาใช้เป็นรหัสผ่าน และควรกำหนดรหัสผ่านที่คาดเดาได้ยาก มีความยาวอย่างน้อย 12 ตัวอักษร
ในส่วนของมาตรการทางเทคนิค หน่วยงานต้องเปิดใช้งานการยืนยันตัวตนแบบหลายปัจจัย (MFA/2FA) ในทุกระบบที่มีการเข้าถึงข้อมูลส่วนบุคคล รวมถึงปรับปรุงระบบให้รองรับการเข้าใช้งานผ่าน ThaID หรือระบบยืนยันตัวตนกลางของภาครัฐ
นอกจากนี้ ต้องดำเนินการเข้ารหัสข้อมูล (Encryption) สำรองข้อมูลอย่างสม่ำเสมอ (Backup) และอัปเดตแพตช์ (Patch) ระบบทันทีเมื่อมีการแจ้งเตือน เพื่อป้องกันช่องโหว่ที่อาจถูกนำไปใช้ในการโจมตีระบบหรือเข้าถึงข้อมูลส่วนบุคคล
จำกัดสิทธิ์เข้าถึงข้อมูล ตามหลัก Need-to-know
อีกมาตรการสำคัญคือการจำกัดสิทธิ์การเข้าถึงข้อมูลส่วนบุคคล โดยหน่วยงานควรกำหนดสิทธิ์ตามหลัก Need-to-know ให้ผู้ปฏิบัติงานสามารถเข้าถึงข้อมูลเฉพาะส่วนที่จำเป็นต่อการปฏิบัติหน้าที่เท่านั้น เพื่อลดความเสี่ยงจากการเข้าถึงข้อมูลเกินความจำเป็น
สคส. ระบุว่า หากหน่วยงานละเลยไม่ดำเนินการตามมาตรการดังกล่าว อาจถือได้ว่าไม่ได้จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม ตามมาตรา 37(1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งมีโทษปรับทางปกครองไม่เกิน 3 ล้านบาท และอาจมีความผิดตามกฎหมายอื่นที่เกี่ยวข้องแล้วแต่กรณี
ทั้งนี้ การเร่งปรับปรุงระบบยืนยันตัวตนและมาตรการรักษาความปลอดภัยดังกล่าว มีเป้าหมายเพื่อปิดช่องโหว่ ลดความเสี่ยงจากการเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต และยกระดับมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลของหน่วยงานให้มีความมั่นคงปลอดภัยมากขึ้น
