เสียงเตือนเรื่อง “ข้อมูลรั่วไหล” ดังขึ้นซ้ำแล้วซ้ำเล่า แต่คำถามสำคัญคือ เหตุใดปัญหาจึงยังไม่ถูกแก้ไขอย่างจริงจัง ทั้งที่ผู้เชี่ยวชาญพยายามแจ้งเตือนผ่านหน่วยงานรัฐมาแล้วหลายครั้ง
‘เอิร์ธ’ ธนารัตน์ กัววัฒนาพันธ์ ประธานเจ้าหน้าที่บริหาร (CEO) ของ DomeCloud และผู้เชี่ยวชาญด้านซอฟต์แวร์ เทคโนโลยี และความปลอดภัยทางไซเบอร์ ให้สัมภาษณ์ในรายการ “สนามข่าว 96” ชี้แจงกรณีโพสต์ภาพข้อมูลบุคคลสำคัญของภาครัฐที่กำลังเป็นประเด็น โดยยอมรับว่าเป็นผู้เผยแพร่ข้อมูลดังกล่าวด้วยตนเอง พร้อมยืนยันว่าการกระทำทั้งหมดมีเป้าหมายเพื่อผลักดันให้ภาครัฐเร่งแก้ไขปัญหาข้อมูลรั่วไหลที่เกิดขึ้นมาอย่างต่อเนื่อง ไม่ใช่การเคลื่อนไหวทางการเมืองหรือมุ่งโจมตีรัฐบาล
ยืนยันไม่เกี่ยวการเมือง ยึดหลักการมากกว่าสีเสื้อ
ธนารัตน์กล่าวว่า ก่อนหน้านี้ตนเองยังเคยตอบรับเข้าร่วมเป็นวิทยากรในโครงการ TH-AI Passport ของภาครัฐ จนถูกวิพากษ์วิจารณ์ว่าเข้าข้างฝ่ายรัฐบาล ขณะที่เมื่อออกมาเปิดเผยปัญหาข้อมูลรั่วไหลกลับถูกตั้งข้อสงสัยว่าอยู่ฝ่ายตรงข้ามทางการเมือง
อย่างไรก็ตาม ยืนยันว่าไม่เคยยึดโยงกับสีเสื้อหรือฝ่ายการเมืองใด แต่ทำงานบนพื้นฐานของหลักการและความปลอดภัยของข้อมูลเป็นสำคัญ ส่วนเหตุผลที่นำภาพใบหน้าของบุคคลระดับสูงในรัฐบาลมาเผยแพร่ เป็นเพราะต้องการสะท้อนให้เห็นว่า แม้แต่ผู้บริหารระดับสูงก็ได้รับผลกระทบจากปัญหาข้อมูลรั่วไหลเช่นเดียวกับประชาชน และหวังให้ผู้มีอำนาจเร่งบังคับใช้กฎหมายและแก้ไขปัญหาอย่างจริงจัง
เคยแจ้งข้อมูลรั่วหลายครั้ง แต่ไม่มีความคืบหน้า
ธนารัตน์ระบุว่า ตลอดช่วงที่ผ่านมาได้แจ้งเหตุข้อมูลรั่วไหลให้หน่วยงานที่เกี่ยวข้อง ทั้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) และสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) แล้วอย่างน้อย 4 ครั้ง โดยแต่ละครั้งเป็นเหตุข้อมูลรั่วไหลขนาดใหญ่ บางกรณีมีข้อมูลประชาชนกว่า 50 ล้านรายการ
“มันเคยมีเคสที่เป็นผู้ให้บริการเครือข่ายโทรศัพท์มือถือรั่วด้วยนะครับ แล้วผมสามารถเข้าถึงเมนูของคอลเซ็นเตอร์ ซึ่งผมสามารถไปเปลี่ยนแพ็กเกจ เปลี่ยนซิม (SIM) ของนายกฯ ได้ ผมขโมยเบอร์นายกฯ ได้ถึงขั้นนั้นเลย มันเป็นภัยคุกคามระดับประเทศนะครับ แต่ปรากฏว่า...ผมถามหน่อย มีใครรู้เรื่องนี้บ้าง ไม่มีนะครับ เพราะว่ามันไม่มีการจัดการไงครับ มันเงียบมาตลอดเลย”
— ธนารัตน์ กัววัฒนาพันธ์ CEO ของ DomeCloud และผู้เชี่ยวชาญด้านซอฟต์แวร์ เทคโนโลยี และความปลอดภัยทางไซเบอร์
เขาบอกว่า ในช่วงเดือนมิถุนายน ยังพบข้อมูลของสำนักงานหลักประกันสุขภาพแห่งชาติ (สปสช.) รั่วไหลกว่า 67 ล้านรายการ ซึ่งรวมถึงข้อมูลของผู้เสียชีวิต ทำให้จำนวนข้อมูลมากกว่าประชากรของประเทศ
หลังเกิดเหตุ จึงทำหนังสือถึงคณะกรรมาธิการการเทคโนโลยีสารสนเทศ การสื่อสาร และการโทรคมนาคม สภาผู้แทนราษฎร ซึ่งมี นพ.ลองกต มุกดาสนิท เป็นประธาน เพื่อให้เชิญหน่วยงานที่เกี่ยวข้องเข้าชี้แจง โดยมีทั้ง สปสช. สคส. และ สกมช. เข้าร่วมประชุม แต่จนเวลาผ่านมากว่า 2 เดือน ก็ยังไม่เห็นมาตรการหรือการแจ้งเตือนที่เป็นรูปธรรมจากภาครัฐ
เหตุผลที่เปิดเผยข้อมูลบุคคลระดับสูง
ธนารัตน์กล่าวว่า เหตุข้อมูลรั่วล่าสุดเกี่ยวข้องกับฐานข้อมูลจากหลายหน่วยงาน เช่น กรมการปกครอง กรมการขนส่งทางบก และหน่วยงานด้านการศึกษา โดยสิ่งที่น่ากังวลที่สุดคือฐานข้อมูลของกรมการปกครอง ซึ่งมีข้อมูลภาพใบหน้าของประชาชน
ด้วยเหตุนี้ จึงเลือกนำภาพข้อมูลของบุคคลระดับสูงในกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม รวมถึงกระทรวงมหาดไทย มาเผยแพร่ เพื่อแสดงให้เห็นว่าผู้บริหารเองก็เป็นผู้เสียหายจากเหตุข้อมูลรั่วไหลเช่นกัน และต้องการเรียกร้องให้ผู้มีหน้าที่กำกับดูแลเร่งดำเนินการแก้ไขปัญหา
ภาครัฐสื่อสารไม่ตรงกัน ปมข้อมูลใช้ได้หรือไม่
ธนารัตน์มองว่า การชี้แจงของภาครัฐหลังเกิดเหตุยังมีความสับสน เนื่องจากบางฝ่ายระบุว่าการเผยแพร่ข้อมูลดังกล่าวเข้าข่ายความผิดตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล ขณะที่อีกฝ่ายกลับยืนยันว่าข้อมูลดังกล่าวไม่สามารถนำไปใช้ประโยชน์ได้
เขาตั้งข้อสังเกตว่า หากข้อมูลไม่สามารถใช้งานได้จริง เหตุใดการเผยแพร่จึงถูกมองว่าเป็นความผิด พร้อมยืนยันว่าหากมีการดำเนินคดี ก็พร้อมเข้าสู่กระบวนการยุติธรรม เพราะเชื่อว่าการกระทำดังกล่าวเป็นไปเพื่อประโยชน์สาธารณะ และยิ่งหากตนถูกดำเนินคดี ก็ยิ่งสะท้อนให้เห็นถึงความรับผิดชอบของหน่วยงานเจ้าของข้อมูลที่ควรได้รับการตรวจสอบเช่นกัน
ยืนยันไม่ได้ซื้อข้อมูล แต่เข้าถึงช่องโหว่เพื่อแจ้งเตือน
ธนารัตน์ชี้แจงว่า ไม่ได้ซื้อข้อมูลจากตลาดมืด แต่สามารถเข้าถึงช่องโหว่เดียวกับที่กลุ่มมิจฉาชีพใช้ ก่อนนำข้อมูลมาแจ้งเตือนให้หน่วยงานเร่งแก้ไข
เขาเปรียบเทียบว่า เมื่อได้ “กุญแจ” หรือข้อมูลสำหรับเข้าถึงระบบแบบเดียวกับที่ผู้ไม่หวังดีใช้ จึงทดลองตรวจสอบเพื่อพิสูจน์ว่าระบบยังมีช่องโหว่ ก่อนแจ้งให้เจ้าของระบบรับทราบ เพื่อป้องกันไม่ให้เกิดความเสียหายต่อประชาชนในวงกว้าง
ยังมีตลาดซื้อขายข้อมูลผิดกฎหมาย
นอกจากข้อมูลที่เปิดเผยแล้ว ธนารัตน์ระบุว่ายังพบการประกาศรับตรวจสอบข้อมูลทะเบียนราษฎร ข้อมูลเจ้าของรถ หมายเลขโทรศัพท์ ข้อมูลอสังหาริมทรัพย์ หมายจับ ใบสั่ง และเครือญาติ ผ่านช่องทางต่าง ๆ ซึ่งสะท้อนว่ายังคงมีการซื้อขายข้อมูลส่วนบุคคลอย่างต่อเนื่อง
ขณะนี้อยู่ระหว่างติดตามว่าข้อมูลเหล่านี้ถูกนำออกมาจากระบบของหน่วยงานใด เพื่อแจ้งเตือนและผลักดันให้มีการแก้ไขต่อไป
ชี้ข้อมูลรั่วมานาน เพิ่งแก้หลังเป็นข่าว
ธนารัตน์กล่าวถึงคำชี้แจงของภาครัฐที่ระบุว่าเป็นข้อมูลเก่าและได้ปิดช่องโหว่แล้ว ว่า ยิ่งสะท้อนว่าปัญหาดังกล่าวเกิดขึ้นมาเป็นเวลานาน ก่อนจะมีการแก้ไขภายหลังจากกลายเป็นข่าว
จากการประเมินของตน ช่องโหว่บางจุดเปิดทิ้งไว้นานถึงประมาณ 5 ปี แต่เพิ่งได้รับการแก้ไขเมื่อไม่นานมานี้ ซึ่งสอดคล้องกับคำชี้แจงของหน่วยงานรัฐ และถือเป็นการยอมรับว่าระบบมีปัญหาจริง
เสนอใช้ ThaiD ยกระดับความปลอดภัยระบบภาครัฐ
ธนารัตน์เสนอว่า ภาครัฐไม่ควรมุ่งเน้นเพียงการติดตามจับกุมแฮกเกอร์ แต่ควรแก้ปัญหาที่ต้นเหตุด้วยการยกระดับความปลอดภัยของระบบ โดยเฉพาะการเลิกใช้การยืนยันตัวตนด้วยรหัสผ่านเพียงอย่างเดียว
เขาระบุว่า จากการตรวจสอบพบข้อมูลรหัสผ่านของหน่วยงานใน 19 กระทรวง รวมถึงสำนักนายกรัฐมนตรี รั่วไหลเป็นจำนวนมาก ทำให้การใช้รหัสผ่านเพียงอย่างเดียวไม่เพียงพออีกต่อไป
ทางออกคือการนำระบบ ThaiD มาใช้กับระบบภายในของหน่วยงานรัฐ เนื่องจากรองรับการยืนยันตัวตนหลายปัจจัย ทั้งรหัสผ่าน การยืนยันใบหน้า และการผูกกับอุปกรณ์ ซึ่งปัจจุบันยังไม่เคยมีรายงานว่าถูกเจาะระบบได้สำเร็จ อีกทั้งเป็นระบบที่กรมการปกครองพัฒนาขึ้นเอง จึงสามารถนำไปใช้ได้ทันทีโดยไม่ต้องใช้งบประมาณเพิ่มเติม
นอกจากนี้ เขายังชี้ว่าระบบที่ประชาชนใช้งานส่วนใหญ่เริ่มรองรับ ThaiD แล้ว แต่ระบบภายในที่เจ้าหน้าที่ใช้เข้าถึงข้อมูลประชาชนจำนวนมหาศาล ยังอาศัยเพียงรหัสผ่าน จึงเป็นจุดที่ควรเร่งปรับปรุงเป็นลำดับแรก
พร้อมให้ข้อมูลรัฐ หากเชิญเข้าชี้แจง
ธนารัตน์เปิดเผยว่า ขณะนี้ยังไม่ได้รับหมายเรียกหรือถูกดำเนินคดี แต่หากหน่วยงานรัฐเชิญไปให้ข้อมูล ก็พร้อมให้ความร่วมมือเต็มที่
เขามองว่าการแก้ปัญหาควรดำเนินการควบคู่กัน ทั้งการอุดช่องโหว่ของระบบต้นทาง และการสืบสวนเครือข่ายซื้อขายข้อมูลในตลาดมืด เพื่อให้สามารถวางมาตรการป้องกันได้อย่างมีประสิทธิภาพ
ธนารัตน์ย้ำว่า การเปิดเผยข้อมูลครั้งนี้ไม่มีแรงจูงใจทางการเมือง แต่เกิดจากความพยายามผลักดันให้หน่วยงานรัฐตระหนักถึงปัญหาข้อมูลรั่วไหล หลังจากใช้ช่องทางแจ้งเตือนตามปกติมาหลายครั้งแต่ไม่เกิดความคืบหน้า จึงตัดสินใจเปิดเผยข้อมูลต่อสาธารณะเพื่อให้เกิดการแก้ไขอย่างจริงจัง
CEO ของ DomeCloud ยืนยันว่าจะยังคงติดตามปัญหาความปลอดภัยทางไซเบอร์และข้อมูลรั่วไหลต่อไป พร้อมร่วมมือกับภาครัฐหากได้รับการประสาน เพราะเป้าหมายสำคัญคือการยกระดับการคุ้มครองข้อมูลส่วนบุคคลและลดความเสี่ยงที่ประชาชนจะได้รับผลกระทบจากเหตุข้อมูลรั่วไหลในอนาคต
