ประธานาธิบดีสหรัฐฯ ได้ลงนามในคำสั่งฝ่ายบริหาร (Executive Order) เพื่อเสริมการคุ้มครองข้อมูลที่มีความอ่อนไหวสูงของสหรัฐอเมริกา โครงสร้างพื้นฐานที่มีความสำคัญ และระบบเศรษฐกิจดิจิทัล
ซึ่งเป็นกลไกสำคัญในการขับเคลื่อนการจ้างงาน การลงทุน และการเติบโตทางเศรษฐกิจของประเทศ การเข้ารหัสข้อมูล (Encryption) เป็นเทคโนโลยีพื้นฐานที่ใช้ปกป้องข้อมูลให้สามารถเข้าถึงได้เฉพาะผู้ที่ได้รับอนุญาตเท่านั้น
อย่างไรก็ตาม ความก้าวหน้าของเทคโนโลยีคอมพิวเตอร์ควอนตัม (Quantum Computing) กำลังเพิ่มความเสี่ยงที่ระบบการเข้ารหัสแบบเดิมอาจถูกถอดรหัสได้ผ่านการโจมตีทางคริปโตกราฟีขั้นสูง (Advanced Cryptographic Attacks)
เพื่อรับมือกับภัยคุกคามดังกล่าว ประธานาธิบดีจึงมีคำสั่งให้ หน่วยงานบริหารและงบประมาณ และหน่วยงานด้านไซเบอร์แห่งชาติ เป็นหน่วยงานหลักในการเร่งขับเคลื่อนการเปลี่ยนผ่านระบบการเข้ารหัสของภาครัฐและโครงสร้างพื้นฐานสำคัญของประเทศไปสู่มาตรฐานการเข้ารหัสหลังยุคควอนตัม หรือ Post-Quantum Cryptography (PQC) อย่างเป็นรูปธรรม
ผู้บริหารส่วนใหญ่อาจไม่ได้กังวลหรือให้ความสำคัญกับรายละเอียดเชิงเทคนิคของอัลกอริทึมการเข้ารหัส และในความเป็นจริงก็ไม่จำเป็นต้องลงลึกในประเด็นดังกล่าว อย่างไรก็ตาม สิ่งที่ผู้บริหารควรให้ความสนใจคือ การเปลี่ยนแปลงของสมมติฐานด้านความมั่นคงปลอดภัยที่เป็นรากฐานของระบบดิจิทัลและเศรษฐกิจดิจิทัลในปัจจุบัน
หากรากฐานดังกล่าวเปลี่ยนแปลง ย่อมส่งผลกระทบต่อความเชื่อมั่น ความมั่นคง และความต่อเนื่องของการดำเนินงานในวงกว้าง
ด้วยเหตุนี้ การเข้ารหัสที่ทนทานต่อการประมวลผลของคอมพิวเตอร์ควอนตัม (Post-Quantum Cryptography: PQC) จึงไม่ใช่เพียงประเด็นทางเทคนิคสำหรับผู้เชี่ยวชาญด้านความมั่นคงไซเบอร์ หากแต่เป็นวาระแห่งชาติที่ผู้กำหนดนโยบายและผู้บริหารระดับสูงควรตระหนักและเตรียมความพร้อมตั้งแต่วันนี้
แม้ Post-Quantum Cryptography (PQC) อาจดูเป็นเรื่องเชิงเทคนิคสำหรับนักวิจัย แต่ในความเป็นจริงคือ ประเด็นด้านความต่อเนื่องทางธุรกิจ (Business Continuity) และความมั่นคงของโครงสร้างดิจิทัลขององค์กรโดยตรง
ทุกองค์กรพึ่งพาการเข้ารหัสเพื่อสร้างความไว้วางใจในระบบดิจิทัล หากรากฐานนี้เปลี่ยนไปผลกระทบจะครอบคลุมตั้งแต่การดำเนินงาน ความเชื่อมั่นของผู้ใช้ ไปจนถึงความเสี่ยงด้านกฎระเบียบและความมั่นคงในระยะยาว
ความท้าทายสำคัญไม่ใช่ว่าคอมพิวเตอร์ควอนตัมจะมาถึงเมื่อใด แต่คือการที่การปรับเปลี่ยนระบบเข้ารหัสต้องใช้เวลาหลายปี ขณะที่ผู้ไม่หวังดีสามารถเก็บข้อมูลเข้ารหัสไว้ล่วงหน้าได้แล้ว ทำให้เกิดความเสี่ยงที่การรอความชัดเจนอาจทำให้ปรับตัวไม่ทัน
ภัยคุกคามที่ผู้บริหารมักมองข้าม
แนวคิดสำคัญประการหนึ่งของ Post-Quantum Cryptography (PQC) คือปรากฏการณ์ที่เรียกว่า “เก็บข้อมูลไว้ก่อน ถอดรหัสทีหลัง” (Harvest Now, Decrypt Later) ซึ่งชี้ให้เห็นว่า ผู้โจมตีไม่จำเป็นต้องมีคอมพิวเตอร์ควอนตัมในปัจจุบันเพื่อสร้างความเสียหายในอนาคต แต่สามารถดักจับและจัดเก็บข้อมูลที่ถูกเข้ารหัสไว้ล่วงหน้า เพื่อรอถอดรหัสเมื่อเทคโนโลยีควอนตัมมีความพร้อมในภายหลัง
ประเด็นนี้สำคัญต่อองค์กรที่มีข้อมูลมูลค่าสูงและอายุยาว เช่น ทรัพย์สินทางปัญญา การเงิน เวชระเบียน และข้อมูลทางกฎหมาย ในขณะเดียวกัน โครงสร้างเครือข่ายสมัยใหม่อย่าง Secure Access Service Edge (SASE) ซึ่งรวมระบบความปลอดภัยและเครือข่าย
และ Software-Defined Wide Area Network (SD-WAN) เทคโนโลยีเครือข่ายที่ใช้ซอฟต์แวร์มาช่วยบริหารจัดการการเชื่อมต่อเครือข่ายระยะไกล ทำให้องค์กรส่งข้อมูลจำนวนมากผ่านเครือข่ายสาธารณะมากขึ้น ผลคือ แม้เพิ่มความยืดหยุ่น แต่ก็เพิ่มความเสี่ยงจากการดักจับข้อมูลระหว่างทาง
ดังนั้น องค์กรที่ได้รับผลกระทบมากที่สุดอาจไม่ใช่องค์กรที่ถูกโจมตีในวันนี้ แต่คือ องค์กรที่มีข้อมูลในอดีตซึ่งสามารถถูกถอดรหัสย้อนหลังได้ในอีกไม่กี่ปีข้างหน้า เนื่องจากการเริ่มต้นเปลี่ยนผ่านสู่ PQC ล่าช้าเกินไป
PQC-Compliant
คำว่า “PQC-compliant” ในตลาดปัจจุบันถูกใช้อย่างแพร่หลาย แต่บ่อยครั้งขาดความชัดเจนเชิงปฏิบัติสำหรับหน่วยงาน แนวคิดนี้ควรถูกนิยามอย่างเป็นรูปธรรม
การยึดโยงกับมาตรฐานที่เป็นที่ยอมรับในระดับสากล มากกว่าข้ออ้างเชิงกรรมสิทธิ์ของผู้ให้บริการ เพื่อให้เกิดความสอดคล้องของระบบนิเวศระหว่างผู้ให้บริการ ผู้ตรวจสอบ ภาครัฐ และพันธมิตร
การรองรับสถาปัตยกรรมแบบไฮบริดในช่วงเปลี่ยนผ่าน เนื่องจากระบบเข้ารหัสแบบดั้งเดิมและแบบทนควอนตัมจะต้องทำงานร่วมกันเป็นเวลาหนึ่ง ระหว่างที่องค์กรทยอยปรับปรุงโครงสร้างในระดับสาขา จุดให้บริการ และอุปกรณ์ปลายทาง
ความสามารถด้าน Crypto Agility หรือความยืดหยุ่นในการบริหารจัดการการเข้ารหัส ซึ่งรวมถึงการระบุ (inventory) จุดที่มีการใช้คริปโตกราฟี การสลับอัลกอริทึมอย่างเป็นระบบ การบังคับใช้นโยบายอย่างสม่ำเสมอ และการพัฒนาอย่างต่อเนื่องโดยไม่กระทบโครงสร้างพื้นฐาน
การเชื่อมต่อกับโครงสร้างพื้นฐานการกระจายกุญแจควอนตัม (Quantum Key Distribution: QKD) ที่ได้รับการรับรอง เมื่อระบบนิเวศทางเทคโนโลยีเริ่มมีความพร้อมมากขึ้น
ดังนั้น หากผู้ให้บริการไม่สามารถอธิบายได้อย่างชัดเจนว่า PQC ถูกนำไปใช้ที่จุดใด บังคับใช้อย่างไร และมีแผนการอัปเกรดอย่างไรในระดับ TLS, VPN, PKI และ code signing คำกล่าวอ้างเรื่อง “compliance” ย่อมไม่สามารถเชื่อถือได้
ในมุมมองเชิงนโยบายระดับประเทศ ควรเน้นย้ำว่า ประเทศจำเป็นต้องให้ความสำคัญอย่างรอบด้าน ไม่เพียงเฉพาะประเด็นทางเทคนิคของ PQC เท่านั้น แต่ยังรวมถึงมิติด้านการบริหารจัดการ การจัดสรรงบประมาณอย่างเหมาะสม และการเตรียมความพร้อมของบุคลากรทั้งในเชิงทักษะและกำลังคน เพื่อให้การเปลี่ยนผ่านสามารถเกิดขึ้นได้อย่างเป็นระบบและมีประสิทธิผล
โดยสรุป การเปลี่ยนผ่านสู่ Post-Quantum Cryptography (PQC) ไม่ใช่เพียงความท้าทายทางเทคโนโลยี แต่เป็นความเสี่ยงเชิงยุทธศาสตร์ระดับประเทศและเชิงธุรกิจที่ต้องบริหารจัดการล่วงหน้า
องค์กรและหน่วยงานที่เริ่มดำเนินการตั้งแต่วันนี้ จะสามารถวางแผนการเปลี่ยนผ่านได้อย่างเป็นระบบ ลดความเสี่ยงจากการหยุดชะงัก และเพิ่มความพร้อมในการรับมือกับภัยคุกคามด้านความมั่นคงไซเบอร์ในระยะยาว
![ดร.พีรเดช ณ น่าน | กรรมการผู้ทรงคุณวุฒิด้านเทคโนโลยีสารสนเทศและการสื่อสาร คณะกรรมการดิจิทัลเพื่อเศรษฐกิจและสังคมแห่งชาติ dr.digitalinnovation [at] gmail [dot] com](https://image.bangkokbiznews.com/images/default.jpg?x-image-process=style/SS-webp)