ดีอี ชง ครม. รีเซ็ตระบบข้อมูลรัฐ บังคับทำ MFA

ดีอี จ่อนำ มติ กมช. บังคับหน่วยงานรัฐ 300 กรม 3หมื่นระบบงาน และเอกชนอีก 3.5 หมื่นระบบงาน รีเซ็ตระบบล็อกอินทางไซเบอร์ พร้อมเร่งทำระบบยืนยันตัวตนหลายปัจจัย MFA จ่อซื้อโครงสร้างพื้นฐานไอทีด้านการยืนยันตนใหม่

นายชัยชนก ชิดชอบ รัฐมนตรีว่าการกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม (ดีอี) เปิดเผยว่า มีการประชุมร่วมกัน ระหว่างหน่วยงานที่เกี่ยวข้องและภาคประชาชนเกี่ยวกับเรื่องข้อมูลที่รั่วไหล โดยเฉพาะข้อมูลที่เป็นการล็อกอินเข้าสู่ระบบงาน มีความเห็นตรงกันเรื่องไซเบอร์ซีเคียวริตี้ ที่จำเป็นต้อง ขับเคลื่อนใหม่ทั้งประเทศ ทั้งภาครัฐและเอกชน

“มีการรวมฐานข้อมูลที่ใหญ่พอสมควร พบว่ามีปริมาณข้อมูลผู้ใช้-รหัสผ่าน หรือข้อมูลล็อกอินรั่วไหลทั่วโลกราว 5หมื่นล้านล็อกอิน สำหรับประเทศไทยมีราว 200 ล้านล็อกอิน เกี่ยวข้องกับระบบงานทางไซเบอร์ที่เป็นหน่วยงานรัฐ 3 หมื่นระบบงาน และเอกชนอีก 3.5 หมื่นระบบงาน”

หลังการประชุมจะมีการนําแนวทางปฏิบัติเสนอเข้าที่ประชุมคณะรัฐมนตรี (ครม.) พรุ่งนี้ ได้แก่

1.มาตรการระยะสั้น บังคับ หน่วยงานรัฐ 300 กรม ทุกกระทรวง เปลี่ยนข้อมูลล็อกอิน เพื่อซื้อเวลา แล้วดึงทุกกรมมาคุย กางข้อมูลเพื่อทำ cleansing ระบบ

2.นำมติ คณะกรรมการ การรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (กมช.) ที่กําหนดให้หน่วยงานของรัฐ ต้องทําระบบการยืนยันตัวตนแบบหลายปัจจัย MFA (multi factor authentication) เสริมจากเดิม ที่ใช้เพียงรหัสผ่านและชื่อผู้ใช้ เพื่อล็อกอินเข้าสู่ระบบงาน ออนไลน์ของภาครัฐ

3. ให้หน่วยงานรัฐทุกกรมทําการตรวจสอบและประเมิน ระบบงานที่ไม่ได้ใช้งานแล้วและมีความเสี่ยง เพื่อพิจารณาปิดระบบเสีย เนื่องจากหลายระบบทําขึ้นมามากกว่าสิบปี และบางหน่วยงานก็ ไม่ได้ปิดระบบ จนกลายเป็นช่องโหว่“มาตรการเหล่านี้ ทำให้ข้อมูลล็อกอินที่รั่วไหลไปในดาร์กเว็บแล้วใช้งานไม่ได้ ทั้งรัฐและเอกชน”

มาตรการเหล่านี้จะออกเป็นมติ ครม. เพื่อบังคับใช้

เมื่อถามว่า มาตรการเหล่านี้จะทําให้ไม่เกิดการรั่วไหลของข้อมูล เกิดขึ้นอีกหรือไม่ รมว. กล่าวว่า เป็นไปไม่ได้ที่ข้อมูลจะไม่รั่วไหลอีก แต่กระบวนการเหล่านี้จะทําให้การรั่วไหลของข้อมูลเกิดได้ยากขึ้นโดยเฉพาะการยืนยันตัวตนหลายปัจจัย จะเป็นเกราะป้องกันการเข้าถึงระบบงานของภาครัฐ ซึ่ง ดีอี กําลังพิจารณาทําโครงสร้างพื้นฐานการยืนยันตัวตนใหม่

“ThaiD เป็นหนึ่งในช่องทางการยืนยันตัวตน แต่ไม่ได้เหมาะสม เนื่องจากไม่ได้ออกแบบมาเพื่อรองรับการใช้งานจํานวนมหาศาล เรากําลังพิจารณาอินฟราสตรัคเจอร์ ที่ใช้ในอุตสาหกรรม การยืนยันตัวตนที่มีความปลอดภัยสูงสุด และกําลังพิจารณาว่าจะพัฒนาขึ้นมาเองหรือร่วมกับเอกชน โดยร่วมกันพัฒนาหรือใช้วิธีการซื้อ”