วันที่ 11 สิงหาคม 2569 เวลา 10.00 น. ที่รัฐสภา นายอิสริยะ ไพรีพ่ายฤทธิ์ พร้อมด้วย นายภาวุธ พงษ์วิทยภานุ สส.บัญชีรายชื่อ พรรคประชาชน ร่วมกันแถลงข่าวกรณีข้อมูลส่วนบุคคลจากหน่วยงานภาครัฐรั่วไหล
โดยนายอิสริยะ กล่าวว่า กรณีข้อมูลส่วนบุคคลจากหน่วยงานภาครัฐ รวมถึงภาพและข้อมูลของนายกรัฐมนตรีรั่วไหลในช่วงที่ผ่านมา อาจไม่ใช่การเจาะระบบจากช่องโหว่โดยตรง แต่เป็นการรั่วไหลของข้อมูลสำหรับการยืนยันตัวตน หรือ "รหัสผ่านหลุด" ส่วนหนึ่งเกิดจากระบบเทคโนโลยีสารสนเทศของภาครัฐที่มีมากกว่า 1,000 ระบบ ซึ่งต่างหน่วยงานต่างพัฒนาและบริหารจัดการแยกกัน
ขณะที่หลายระบบใช้งานมานานกว่า 10 ปี และยังมีมาตรการรักษาความปลอดภัยไม่เพียงพอ ระบบเก่าบางแห่งใช้เพียงชื่อผู้ใช้งานและรหัสผ่านในการเข้าสู่ระบบ โดยไม่มีการกำหนดระดับสิทธิ์เข้าถึงข้อมูลอย่างเหมาะสม ประกอบกับพฤติกรรมการใช้รหัสผ่านที่ไม่ปลอดภัย เช่น การแบ่งปันรหัสผ่านหรือใช้รหัสที่คาดเดาได้ง่าย ทำให้ข้อมูลสำคัญของภาครัฐมีความเสี่ยงสูง โดยข้อมูลบางส่วนอาจรั่วไหลมานานแล้ว และถูกนำไปใช้เข้าสู่ระบบอื่นที่เชื่อมโยงกันเป็นทอด ๆ
“สิ่งที่น่ากังวลคือ ข้อมูลที่รั่วไหลมีความอ่อนไหวสูง ทั้งข้อมูลทะเบียนราษฎรและภาพถ่ายความละเอียดสูงที่ใช้จัดทำบัตรประจำตัวประชาชน ซึ่งอาจถูกแฮกเกอร์ สแกมเมอร์ หรือผู้ไม่หวังดี นำไปสวมรอยและยืนยันตัวตนกับระบบภาครัฐแทนเจ้าของข้อมูลได้ เมื่อข้อมูลรั่วไหลออกไปแล้วแทบจะไม่สามารถเรียกคืนได้ จึงจำเป็นต้องเร่งปรับปรุงระบบเพื่อป้องกันการเข้าถึงข้อมูลโดยมิชอบซ้ำ” นายอิสริยะ กล่าว
นายอิสริยะ ได้เสนอแนวทางแก้ไขในระยะสั้น 3 ข้อ 1.บังคับรีเซ็ตรหัสผ่านทันที: หน่วยงานที่พบว่ามีความเสี่ยงรหัสผ่านรั่วไหล ควรบังคับรีเซ็ตรหัสผ่านของผู้ใช้งานทั้งหมดทันที พร้อมยุติการใช้งานรหัสผ่านเดิม เพื่อป้องกันผู้ไม่หวังดีนำข้อมูลกลับมาใช้เข้าสู่ระบบซ้ำ 2.สกมช. เร่ง Audit และทำ Dashboard: สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) ควรรวบรวมระบบเทคโนโลยีสารสนเทศของภาครัฐทั้งหมด และเร่งตรวจสอบความมั่นคงปลอดภัยของระบบ (Security Audit) รวมถึงตรวจสอบสิทธิ์การเข้าถึงของเจ้าหน้าที่ ผู้บริหารที่พ้นจากตำแหน่ง และผู้รับจ้างพัฒนาระบบ พร้อมเปิดเผยความคืบหน้าการตรวจสอบในรูปแบบ Dashboard ให้ประชาชนติดตามได้
และ3.บังคับใช้ PDPA กับภาครัฐอย่างจริงจัง: สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ควรบังคับใช้กฎหมายคุ้มครองข้อมูลส่วนบุคคล (PDPA) กับหน่วยงานภาครัฐอย่างจริงจังเช่นเดียวกับภาคเอกชน แม้การรั่วไหลอาจไม่ได้เกิดจากเจตนา แต่หากเกิดจากความประมาท การออกแบบระบบที่ไม่รัดกุม หรือมาตรการรักษาความปลอดภัยที่ไม่เพียงพอ หน่วยงานและผู้บริหารที่เกี่ยวข้องควรมีความรับผิดชอบ
ด้าน นายภาวุธ ได้เสนอแนวทางแก้ไขปัญหาในระยะกลางและระยะยาว กำหนดมาตรฐานกลาง กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม (DE) ควรร่วมกับ สกมช. กำหนดมาตรฐานกลางด้านการบริหารจัดการระบบและการยืนยันตัวตนของหน่วยงานภาครัฐ ทั้งการใช้รหัสผ่าน รหัส OTP และวิธีการยืนยันตัวตน ให้เป็นไปในแนวทางเดียวกัน ปรับใช้ระบบ MFA (Multi-Factor Authentication) เปลี่ยนจากการใช้เพียงชื่อผู้ใช้งานและรหัสผ่าน มาเป็นการยืนยันตัวตนแบบหลายปัจจัย
เช่น การใช้รหัส OTP หรือแอปพลิเคชันยืนยันตัวตน เพื่อป้องกันการเข้าสู่ระบบแม้รหัสผ่านจะรั่วไหล ลดการเก็บข้อมูลอ่อนไหว ใช้ ThaID ลดการให้ประชาชนกรอกข้อมูลส่วนบุคคลที่มีความอ่อนไหวซ้ำในแต่ละระบบ เช่น หมายเลขบัตรประชาชน หรือเลขหลังบัตร โดยนำระบบยืนยันตัวตนดิจิทัลกลางของภาครัฐ เช่น ThaID มาใช้ เพื่อลดการจัดเก็บข้อมูลที่กระจัดกระจาย
นายภาวุธ กล่าวต่อว่า การจัดทำระบบเก็บ Log กลางที่ไม่สามารถแก้ไขได้ จัดให้มีระบบกลางสำหรับจัดเก็บบันทึกการใช้งาน (Log) ที่ตรวจสอบได้ว่าใครเข้าสู่ระบบ เมื่อใด และดำเนินการอะไร โดยป้องกันไม่ให้ข้อมูลดังกล่าวถูกแก้ไขหรือลบ เพื่อใช้ตรวจสอบย้อนหลังได้อย่างมีประสิทธิภาพ ส่งเสริมการตรวจสอบผ่าน Bug Bounty นำแนวคิด "Bug Bounty" หรือการให้รางวัลแก่ผู้ค้นพบและแจ้งช่องโหว่มาปรับใช้ พร้อมกำหนดหลักเกณฑ์ที่ชัดเจน เพื่อเปิดโอกาสให้ผู้เชี่ยวชาญและประชาชนมีส่วนร่วมในการตรวจสอบระบบ โดยไม่ต้องกังวลว่าจะถูกมองว่าเป็นผู้กระทำผิด
ทั้งนี้ คณะทำงานพรรคประชาชนเน้นย้ำว่า ข้อมูลที่หน่วยงานภาครัฐจัดเก็บเป็นข้อมูลสำคัญและมีความอ่อนไหว จึงจำเป็นต้องเร่งยกระดับมาตรฐานทั้งด้านเทคโนโลยี การบริหารจัดการ และการตรวจสอบ เพื่อเพิ่มความมั่นคงปลอดภัยภาครัฐ และลดความเสี่ยงข้อมูลส่วนบุคคลรั่วไหลในอนาคต