จากที่ประชุมคณะรัฐมนตรี หรือ ครม. มีมติเห็นชอบแนวทางการป้องกันความเสียหายจากกรณีข้อมูล บัญชีผู้ใช้งานสำหรับยืนยันตัวตนรั่วไหล ด้วยการยกระดับการยืนยันตัวตนแบบหลายปัจจัย หรือ Multi-Factor Authentication (MFA) เช่น Digital Identity (ThaID) หรือรูปแบบการยืนยันตัวตนอื่นที่มีความมั่นคงปลอดภัย ตามที่คณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (กมช.) เสนอ
หัวใจของคำสั่งครั้งนี้จึงไม่ใช่เพียง “รหัสผ่านรั่วแล้วเปลี่ยนใหม่” แต่เป็นการเปลี่ยนวิธีคิดของระบบราชการจากการตั้งรับ มาเป็นการป้องกันเชิงระบบ เพราะในโลกไซเบอร์ “รู้รหัส” ไม่ควรเท่ากับ “เข้าระบบได้”
โดยเฉพาะในกรณีที่ Username และ Password ของเจ้าหน้าที่หรือผู้ใช้งานไปปรากฏอยู่ในฐานข้อมูลที่รั่วไหล การพบไม่ได้หมายความว่าระบบของหน่วยงานนั้นถูกเจาะโดยตรงเสมอไป แต่ถือเป็นสัญญาณเตือนสำคัญ เพราะผู้ไม่หวังดีสามารถนำข้อมูลชุดดังกล่าวไปทดลองเข้าสู่ระบบอื่นที่เจ้าของบัญชีเคยใช้งานได้
หากระบบปลายทางยังพึ่งพาเพียง Username และ Password การได้ข้อมูลทั้งสองอย่างก็อาจเพียงพอสำหรับการสวมรอย ขณะที่การบังคับใช้ MFA จะเพิ่ม “ด่านที่สอง” หรือมากกว่านั้น ก่อนอนุญาตให้เข้าสู่ระบบ
พูดง่ายๆ คือ รัฐบาลกำลังพยายามเปลี่ยนกติกาจาก “มีรหัสก็เข้าได้” เป็น “มีรหัสอย่างเดียว ยังเข้าไม่ได้”
30–60–90 สูตรเร่งเครื่องปิดช่องโหว่
โครงสร้างสำคัญของมาตรการครั้งนี้อยู่ที่กรอบเวลา 30–60–90 วัน ซึ่งไม่ได้เป็นเพียงตัวเลขสวยๆ แต่ถูกวางให้เป็นลำดับการทำงาน ตั้งแต่ “รู้ว่ามีอะไรอยู่” ไปจนถึง “ปิดช่องว่างให้ครบ”
30 วันแรก สำรวจว่าอะไรเสี่ยง
ระยะแรกเน้น “จัดระเบียบข้อมูลระบบ” ให้ทุกหน่วยงานสำรวจระบบสารสนเทศที่สำคัญ ตรวจสอบระบบหรือ URL ที่เกี่ยวข้อง รวมถึงตรวจสถานะการใช้ MFA ว่าระบบใดมีการใช้งานแล้ว ระบบใดมีเพียงบางส่วน ระบบใดอยู่ระหว่างดำเนินการ และระบบใดยังไม่มี MFA หรือมีข้อจำกัดทางเทคนิค
ในช่วงเดียวกันต้องเร่งดำเนินการ Force Reset Password หรือบังคับเปลี่ยนรหัสผ่านในระบบที่เกี่ยวข้อง พร้อมตรวจสอบระบบเก่าหรือระบบที่เลิกใช้งานแล้ว หากไม่มีความจำเป็นต้องใช้งาน ให้ปิดระบบหรือลบข้อมูลตามความเหมาะสม
ประเด็นนี้สำคัญ เพราะหนึ่งในปัญหาของหน่วยงานรัฐไม่ใช่แค่ “ระบบใหม่ไม่ปลอดภัย” แต่คือการมีระบบเก่าจำนวนมากที่ไม่มีใครใช้งานแล้ว แต่ยังคงเปิดเชื่อมต่ออยู่
60 วันต่อมาอุดรูใหญ่ก่อน
เมื่อรู้แล้วว่าระบบใดเสี่ยง ระยะที่สองจะเน้นระบบสำคัญและบัญชีที่มีความเสี่ยงสูง โดยเร่งเปิดใช้ MFA อย่างเป็นรูปธรรม
กลุ่มแรกที่ต้องให้ความสำคัญคือบัญชีผู้ดูแลระบบ บัญชีที่มีสิทธิระดับสูง และบัญชีที่สามารถเข้าถึงระบบจากภายนอกหรือระยะไกล เพราะหากบัญชีเหล่านี้ถูกสวมรอย ความเสียหายอาจไม่ได้จำกัดอยู่ที่ข้อมูลของผู้ใช้งานเพียงรายเดียว แต่สามารถขยายไปถึงระบบทั้งระบบ
ถัดมาคือระบบที่ให้บริการประชาชน ระบบที่เชื่อมต่ออินเทอร์เน็ต และระบบที่จัดเก็บหรือประมวลผลข้อมูลส่วนบุคคลสำหรับระบบเก่าที่ไม่สามารถติดตั้ง MFA ได้ทันที ต้องมีมาตรการควบคุมทดแทน เช่น จำกัดแหล่งที่มาของการเข้าสู่ระบบ ทบทวนสิทธิของผู้ใช้งาน
90 วัน ขยายสู่การปิดช่องโหว่
ระยะสุดท้ายคือการขยาย MFA ไปยังระบบอื่นตามระดับความเสี่ยง พร้อมจัดทำแผนสำหรับระบบที่ยังไม่สามารถดำเนินการให้แล้วเสร็จ
ที่สำคัญคือ ครม.ไม่ได้วางมาตรการไว้เฉพาะกับระบบที่มีอยู่ในปัจจุบัน แต่กำหนดให้หน่วยงานนำมาตรฐานความมั่นคงปลอดภัยเว็บไซต์ หรือ Website Security Standard และมาตรฐานความมั่นคงปลอดภัยสำหรับระบบ Cloud หรือ Cloud Security Standard มาใช้ตั้งแต่กระบวนการจัดหา พัฒนา ปรับปรุง ตรวจรับ ไปจนถึงการดูแลระบบ
ชำแหละ 3 ด่าน “เปลี่ยน–ล้าง–ล็อก”
หากถอดโครงสร้างคำสั่ง ครม.ออกมาให้เข้าใจง่าย มาตรการครั้งนี้มี 3 ด่านสำคัญ คือ เปลี่ยนรหัส ล้างระบบ และล็อกด้วย MFA
ด่านแรก Force Reset Password - ตัดรหัสเก่า
รัฐบาลกำหนดให้หน่วยงานภาครัฐกว่า 300 กรม เร่งบังคับเปลี่ยนรหัสผ่านของบัญชีผู้ใช้งาน เพื่อไม่ให้ผู้ไม่หวังดีสามารถนำ Credential เดิมที่รั่วไหลไปทดลองเข้าสู่ระบบได้อีก
แนวคิดนี้คือการตัดวงจรของข้อมูลเก่า เมื่อพบว่ารหัสผ่านอาจตกอยู่ในมือบุคคลอื่น ก็ไม่ควรปล่อยให้รหัสเดิมยังสามารถใช้งานต่อได้
แต่การเปลี่ยนรหัสผ่านเป็นเพียงการแก้ปัญหาชั้นแรก เพราะหากระบบยังไม่มี MFA เมื่อรหัสใหม่รั่วอีกครั้ง ปัญหาก็สามารถกลับมาอยู่จุดเดิมได้
ด่านสอง System Cleansing - ล้างของเก่าที่ค้างอยู่
มาตรการที่น่าสนใจไม่แพ้กันคือการสั่ง System Cleansing ภายใน 15 วัน โดยให้ทุกกระทรวงและหน่วยงานในสังกัดตรวจสอบระบบสารสนเทศจำนวนมากกว่า 30,000 ระบบ
ระบบใดเป็นระบบเก่า ระบบร้าง หรือเลิกใช้งานแล้ว ต้องตรวจสอบและปิดการเข้าถึงในส่วนหลังบ้าน หรือ Backend อย่างถาวร เพราะ “ปิดหน้าเว็บ” ไม่ได้แปลว่า “ปิดระบบ”
นี่เป็นช่องโหว่ที่หลายองค์กรอาจมองข้าม เว็บไซต์อาจไม่แสดงผลแล้ว แต่ระบบหลังบ้าน ฐานข้อมูล หรือช่องทางเชื่อมต่อบางส่วนอาจยังเปิดอยู่ หากไม่มีการปิดในระดับระบบอย่างถูกต้อง ก็อาจกลายเป็นประตูที่ผู้ไม่หวังดีใช้โจมตีได้
ดังนั้น System Cleansing จึงเป็นการกวาดบ้านครั้งใหญ่ ตั้งแต่หน้าบ้านไปจนถึงหลังบ้าน ไม่ใช่แค่ทำให้ URL เข้าไม่ได้ แต่ต้องตรวจให้แน่ใจว่าระบบที่ไม่จำเป็นไม่ได้เปิดช่องทางให้เข้าถึงอีก
ด่านสาม MFA - ต่อให้ได้รหัส ก็ต้องเจอด่านสอง
มาตรการสุดท้ายคือการยกระดับ MFA ให้เกิดขึ้นจริงในระบบภาครัฐ โดยเฉพาะระบบสำคัญและบัญชีที่มีสิทธิสูง หลักคิดคือเพิ่มชั้นป้องกันระหว่าง “รหัสผ่าน” กับ “การเข้าถึงระบบ”
แม้ผู้ไม่หวังดีจะมี Username และ Password แต่หากระบบกำหนดให้ต้องยืนยันตัวตนเพิ่มเติม เช่น Digital Identity หรือปัจจัยยืนยันตัวตนอื่น ก็จะทำให้การสวมบัญชีทำได้ยากขึ้นอย่างมีนัยสำคัญ
ดังนั้น หากมองทั้งสามมาตรการเป็นภาพเดียว จะเห็นลำดับการทำงานชัดเจน
- Force Reset = เปลี่ยนกุญแจ
- System Cleansing = รื้อประตูที่ไม่จำเป็น
- MFA = เพิ่มด่านตรวจคนเข้าประตู
สกมช.ได้บทบาท “เจ้าภาพกลาง” เดินเครื่อง
อีกประเด็นสำคัญในมติ ครม.ครั้งนี้ คือการให้สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ หรือ สกมช. ดำเนินการตามมาตรา 22 (5) แห่ง พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 เพื่อให้หน่วยงานของรัฐและเอกชนดำเนินการตามมติของ กมช.
บทบาทของ สกมช.จึงไม่ได้อยู่แค่การออกคำแนะนำ แต่เป็นกลไกกลางในการประสาน ขับเคลื่อน และติดตามการดำเนินงานของหน่วยงานต่างๆ ให้มาตรการที่กำหนดเกิดขึ้นจริง
ขณะเดียวกัน ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ หรือ ThaiCERT จะเข้ามาสนับสนุนด้านข้อมูลแจ้งเตือน แนวทางการตรวจสอบ แบบสำรวจ คำแนะนำทางเทคนิค และการประสานงานรับมือภัยคุกคาม
สูตร 30–60–90 จึงเป็นเหมือนการเดินเกม 3 จังหวะของรัฐบาล
30 วันแรก รู้ให้หมดว่ามีอะไร
60 วันต่อมา อุดจุดเสี่ยงที่สำคัญ
90 วันสุดท้าย ขยายมาตรฐานให้กลายเป็นระบบถาวร
