Quantum กำลังเปลี่ยนโลก แต่ใครจะปกป้องข้อมูลของเรา?

แต่จะเกิดอะไรขึ้น หากวันหนึ่งกุญแจดิจิทัลที่ใช้รักษาความลับของเรา ไม่สามารถป้องกันผู้ที่ต้องการเปิดอ่านข้อมูลได้อีกต่อไป

คำถามนี้เกี่ยวข้องกับ Quantum Computing ซึ่งหลายประเทศกำลังเตรียมรับมือกับผลกระทบต่อความปลอดภัยทางดิจิทัล

Quantum คืออะไร ทำไมจึงเกี่ยวข้องกับเรา

คอมพิวเตอร์ควอนตัม (Quantum Computing) เป็นเทคโนโลยีที่ใช้หลักการทางฟิสิกส์แตกต่างจากคอมพิวเตอร์ทั่วไป ทำให้มีความสามารถในการแก้โจทย์บางประเภทที่คอมพิวเตอร์ปัจจุบันต้องใช้เวลาคำนวณยาวนานมาก

หนึ่งในนั้นคือโจทย์ทางคณิตศาสตร์ที่อยู่เบื้องหลังระบบเข้ารหัสบางชนิด เปรียบเสมือนกุญแจดิจิทัลที่ใช้ปกป้องข้อมูลและยืนยันตัวตนในการทำธุรกรรมออนไลน์ หากคอมพิวเตอร์ควอนตัมพัฒนาไปถึงระดับที่มีศักยภาพเพียงพอ กุญแจบางประเภทที่เราใช้กันอยู่ในวันนี้อาจไม่ปลอดภัยอีกต่อไป

อย่างไรก็ตาม ปัจจุบันยังไม่มีคอมพิวเตอร์ควอนตัมที่สามารถทำลายระบบเข้ารหัสสำคัญเหล่านี้ได้ในทางปฏิบัติ และไม่ได้หมายความว่าระบบรักษาความปลอดภัยทุกชนิดจะถูกเจาะได้ ความเสี่ยงนี้จึงเป็นเรื่องที่ต้องเตรียมรับมือ มากกว่าตื่นตระหนก

ข้อมูลที่ปลอดภัยวันนี้ อาจไม่ปลอดภัยในอนาคต

ความเสี่ยงที่น่ากังวลเรียกว่า Harvest Now, Decrypt Later หรือการดักเก็บข้อมูลที่เข้ารหัสไว้ในวันนี้ เพื่อรอถอดรหัสในอนาคตเมื่อเทคโนโลยีมีความสามารถเพียงพอ

ลองนึกถึงข้อมูลสุขภาพ ข้อมูลทางการเงิน หรือเอกสารสำคัญของรัฐ ซึ่งบางประเภทต้องรักษาความลับนานหลายสิบปี หากมีผู้ดักเก็บข้อมูลเหล่านี้ไว้แล้ว การเปลี่ยนระบบเข้ารหัสในอนาคตก็อาจไม่สามารถปกป้องสำเนาข้อมูลที่ตกอยู่ในมือผู้อื่นได้

หน่วยงานที่ดูแลข้อมูลจึงต้องพิจารณาว่า ข้อมูลแต่ละประเภทจำเป็นต้องรักษาความลับนานเพียงใด และระบบรักษาความปลอดภัยที่ใช้ในวันนี้จะรองรับความเสี่ยงในอนาคตได้หรือไม่

โลกเริ่มวางแผนเปลี่ยนกุญแจดิจิทัล

เดือนสิงหาคม 2567 สถาบันมาตรฐานและเทคโนโลยีแห่งชาติของสหรัฐอเมริกา หรือ NIST ประกาศมาตรฐาน Post-Quantum Cryptography (PQC) จำนวน 3 ฉบับ สำหรับการสร้างกุญแจเข้ารหัสร่วมกันและการลงลายมือชื่อดิจิทัล เพื่อรองรับภัยคุกคามจากคอมพิวเตอร์ควอนตัม

ส่วนสหราชอาณาจักรกำหนดแนวทางให้หน่วยงานสำรวจระบบและจัดทำแผนภายในปี 2571 เปลี่ยนผ่านระบบที่มีความสำคัญสูงภายในปี 2574 และตั้งเป้าเปลี่ยนผ่านระบบโดยรวมภายในปี 2578 

กรอบเวลาดังกล่าวสะท้อนว่าการเปลี่ยนระบบรักษาความปลอดภัยต้องใช้เวลาหลายปี เพราะเกี่ยวข้องกับซอฟต์แวร์ อุปกรณ์ ผู้ให้บริการ และระบบจำนวนมากที่เชื่อมโยงกัน การเตรียมความพร้อมจึงต้องเริ่มก่อนวันที่คอมพิวเตอร์ควอนตัมมีศักยภาพทำลายระบบเข้ารหัสเดิมได้จริง

ประเทศไทยเริ่มเตรียมพร้อมแล้ว แต่จะวัดผลอย่างไร

ประเทศไทยเริ่มขับเคลื่อนนโยบาย Quantum-Ready 2030 โดยสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) ร่วมกับหน่วยงานที่เกี่ยวข้องนำเสนอร่างแผนแม่บทการเปลี่ยนผ่านสู่ความปลอดภัยเชิงควอนตัม พ.ศ.2569-2578 และจัดอบรมผู้บริหารกับผู้ปฏิบัติงานในเดือนสิงหาคม 2569 ครอบคลุมการสำรวจระบบเข้ารหัส การประเมินความเสี่ยง และการจัดซื้อจัดจ้าง

ความเคลื่อนไหวเหล่านี้เป็นจุดเริ่มต้นสำคัญ แต่คำถามคือ หน่วยงานรัฐทราบแล้วหรือยังว่าระบบใดมีความเสี่ยง ข้อมูลประเภทใดต้องรักษาความลับระยะยาว และระบบใดควรได้รับการปรับเปลี่ยนก่อน

อีกประเด็นคือ การจัดซื้อจัดจ้าง หากรัฐลงทุนในระบบสารสนเทศที่ต้องใช้งานอีกสิบปี แต่ไม่สามารถเปลี่ยนวิธีเข้ารหัสเมื่อจำเป็นได้ อาจต้องใช้งบประมาณซ้ำในอนาคต จึงควรกำหนดให้ระบบใหม่รองรับการปรับเปลี่ยนเทคโนโลยีเข้ารหัส หรือ Crypto-Agility พร้อมระบุความรับผิดชอบของผู้พัฒนาให้ชัดเจน

โจทย์สำคัญจึงอยู่ที่การเปลี่ยนแผนระดับประเทศให้เป็นการดำเนินงานที่วัดผลได้ โดยไม่จำเป็นต้องเปลี่ยนระบบทั้งหมดพร้อมกัน

เมื่อรัฐถือครองข้อมูล ใครรับผิดชอบความเสี่ยงระยะยาว

ประชาชนจำนวนมากต้องส่งข้อมูลส่วนตัวให้หน่วยงานรัฐตามกฎหมาย ทั้งข้อมูลทะเบียน ประวัติสุขภาพ และข้อมูลเพื่อรับบริการสาธารณะ หน่วยงานที่ถือครองข้อมูลจึงต้องประเมินความเสี่ยงตลอดระยะเวลาที่จัดเก็บ โดยเฉพาะข้อมูลที่อาจสร้างความเสียหายหากถูกเปิดเผยในอนาคต

ประเทศไทยควรมีคำตอบที่ชัดเจนว่า ใครกำหนดมาตรฐานการเปลี่ยนผ่าน หน่วยงานเจ้าของระบบต้องรับผิดชอบอย่างไร และจะจัดสรรงบประมาณตามระดับความเสี่ยงด้วยหลักเกณฑ์ใด

แม้ Quantum ยังเป็นเรื่องใหม่สำหรับประชาชนจำนวนมาก แต่ข้อมูลที่ต้องปกป้องเป็นเรื่องใกล้ตัว คำถามจึงอยู่ที่ว่า ประเทศไทยจะเตรียมระบบและกำหนดผู้รับผิดชอบอย่างไร ก่อนความเสี่ยงจะมาถึง

กุญแจดิจิทัลอาจมีวันหมดอายุ แต่ความรับผิดชอบในการปกป้องข้อมูลประชาชน ไม่ควรหมดอายุตามไปด้วย

หมายเหตุ: บทความนี้เรียบเรียงจากข้อมูลมาตรฐาน Post-Quantum Cryptography ของ NIST (2024) แนวทางเปลี่ยนผ่านของ UK National Cyber Security Centre (2025) และข้อมูลการเตรียมความพร้อมของ สกมช. และหน่วยงานที่เกี่ยวข้องในปี 2569 ทั้งนี้ แผนแม่บทการเปลี่ยนผ่านสู่ความปลอดภัยเชิงควอนตัม พ.ศ.2569-2578 ที่กล่าวถึงยังอยู่ในสถานะร่างตามข้อมูลที่ตรวจสอบได้ ส่วนข้อเสนอเรื่องมาตรฐานกลาง การจัดซื้อจัดจ้าง และตัวชี้วัดเป็นข้อวิเคราะห์และข้อเสนอเชิงนโยบายของผู้เขียน