"ดีอีเอส" ผนึกศูนย์ไซเบอร์แห่งชาติ แจงปมแฮกข้อมูลคนไข้รพ.เพชรบูรณ์ พบรพ.พัฒนาระบบเองไร้มาตรฐาน เร่งตรวจจับคนทำผิด

"ดีอีเอส"ผนึกศูนย์ไซเบอร์แห่งชาติ แจงปมแฮกข้อมูลคนไข้รพ.เพชรบูรณ์ พบรพ.พัฒนาระบบเองไร้มาตรฐาน ตามไทยเซิร์ต เสี่ยงมีความผิดฐานปล่อยข็อมูลรั่ว เร่งตรวจจับคนทำผิด แต่ยอมรับสถิติจับได้แค่ 0.5 พร้อมจี้ สธ.-รพ.ทั่วประเทศยกระดับมาตรฐานการเก็บข้อมูลให้รัดกุม วันที่ 8 ก.ย.64 นายชัยวุฒิ ธนาคมานุสรณ์ รมว.ดิจิทัลเพื่อเศรษฐกิจและสังคม ในฐานะประธานกรรมการกำกับดูแลต้านความมั่นคงปลอดภัยไซเบอร์ ร่วมกันแถลงข่าวกับพล.ท.ปรัชญา เฉลิมวัฒน์ เลขาธิการคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ หรือ สกมช. และ น.อ.เอกอมร ชมเชย ผู้อำนวยการศูนย์ประสานงานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ หรือ เนชั่นแนล เซิร์ต กรณีเกิดเหตุภัยคุกคามทางไชเบอร์ โรงพยาบาลเพชรบูรณ์ เมื่อวันที่ 5 ก.ย.64 โดยนายชัยวุฒิ กล่าวว่าเรื่องที่เกิดขึ้น พบว่าทาโรงพยาบาลเพชรบูรณ์ พัฒนาแอปพิเคชั่น ในการทำงานระหว่างหปมอ และผู้ป่วยขึ้นมาเอง และใช้ภายในโรงพยาบาล ซึ่งอาจไม่ได้มาตรฐาน และใช้มาเป็นเวลานาน ซอฟแวร์ ไม่ได้มาตรญฐษน และเชื่อมต่อกับระบบอินเตอร์เน็ต จึงเป็นช่องโหว่ให้แฮกเกอร์ เข้ามาโจมตีได้ แต่ทั้งนี้จากการที่ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ สกมช. ตรวจสอบความเสียหายระบบภายในโรงพยาบาล พบว่ามีข้อมูลที่ประกาศขายเป็นข้อมูลเกี่ยวกับ รายชื่อประชาชนที่มารับบริการโรงพาบาล ชื่อแพทย์ที่ดูแล และตารางเวรแพทย์ข้อมูลสัญญาณชีพ วัน เวลาที่มารับบริการ สิทธิการรักษา เลขประจำตัวผู้ป่วย ทั้งหมดไม่ใช่ฐานข้อมูลการรักษา ไม่มีรายละเอียดเกี่ยวกับการวินิจฉัยและรักษาโรค เป็นข้อมูลทั่วไป ซึ่งไม่พบความเสียหายกับระบบปฏิบัติการที่ใช้ในการดูแลรักษาผู้ป่วย ดังนั้นหลังการดำเนินการหลังจากนี้ จะมีการระงับต่ออินเตอร์เน็ต พร้อมจัดทีมตรวจวิเคราะห์ ข้อมูลเช็คไฟล์ หาตัวตนคนที่ทำความผิดมาดำเนินคดี ซึ่งพบว่า มีความผิด พระราชบัญญัติ การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 และความผิดตาม พ.ร.บ. ข้อมูลข่าวสารส่วนบุคคล ที่มีโทษจำคุก 1 ปี ปรับ 1 ล้านบาท รมว.ดิจิทัลเพื่อเศรษฐกิจและสังคม ยังฝากเตือนให้ทุกส่วนราชการจัดเก็บข้อมูลให้เป็นระบบ และรักษาข้อมูลให้ดี เพราะไม่เช่นนั้นจะถือเป็นความผิดด้วย ส่วนกรณีโรงพยาบาลเพชรบูรณ์ กำลังตรวจสอบว่าได้ดำเนินการตามมาตรการระบบการจัดเก็บข้อมูลส่วนบุคคลหรือไม่ หากพบว่าละเลย ก็ต้องถูกดำเนินการคดี เช่นกัน พร้อมขอให้ทุกหน่วยงานพัฒนา ระบบให้มีประสิทธิภาพ และขอให้มาขึ้นตรงกับศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์ประเทศไทย หรือ ไทยเซิร์ต เพื่อเป็นการป้องกันข้อมูลรั่วไหล ด้านพล.ท.ปรัชญา กล่าวยอมรับว่าหลายหน่วยางานถูกแฮกข้อมูลในช่วงสถานการณ์โควิด 19 ระบาดเนื่องจากหลายหน่วยงานทำงานแบบ WFH จึงต้องเชื่อมต่ออินเตอร์เน็ตเข้ากับเวปไซด์ จึงเป็นช่องโหว่ให้แฮกเกอร์ดึงข้อมูลไปใช้ได้ พร้อมกล่าวว่า การดำเนินการในระยะสั้น ทุกหน่วยงานต้องยกระดับบุคลากรด้านความมั่นคงปลอดภัยไซเบอร์ ต้องถือปฏิบัติตาม พ.ร.บ. และมาตรการที่เกี่ยวข้อง มาใช้ในการจัดเก็บข้อมูลต่าง ๆ โดยมุ่งเน้นรับผิดชอบต่อสังคมและประชาชน อีกทั้งสร้างความตระหนักให้บุคลากรของ ทุกหน่วยงาน ให้มีความเข้มข้นในกลไกการป้องกัน ตรวจสอบ เฝ้าระวัง ในส่วนของการแก้ปัญหาในระยะยาว คือกระทรวงสาธารณสุขต้องจัดทำระบบฐานข้อมูลแบบรวมศูนย์ที่ และแพพลิเคชั่นต่าง ๆ มีความมั่นคงปลอดภัยซึ่งการเฝ้าระวังเรื่องความปลอดภัยจะทำได้ง่ายขึ้น ไม่ใช่ต่างคนต่างทำ หรือพัฒนาของหน่วยงานกันเอง ต้องคำนึงถึงเรื่องความปลอดภัยของข้อมูล ข้อมูลสำคัญไม่ได้เข้ารหัส จึงจำเป็นต้องมีการพัฒนาความเชี่ยวชาญ ของบุคลากรในด้านนี้ ทั้งในระยะสั้นและระยะยาว ซึ่งปัจจุบัน สมกช. กำลังดำเนินการในด้านนี้ ด้านน.อ.เอกอมร ชมเชย ผู้อำนวยการศูนย์ประสานงานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ หรือ เนชั่นแนล เซิร์ต กำลังดำเนินการเพิ่มเติมในการจัดอบรมบุคคลากรที่เกี่ยวข้องให้ยกระดับมาตรฐานไทยเซิร์ต พร้อมติดตั้งระบบป้องกันข้อมูลมารองรับด้วย ขณะเดียวกันจากการตรวจสอบข้อมูลย้อนหลังของแฮกเกอร์ ยังไม่ทราบช่วงเวลาที่เกิดเหตุ แต่ทางโรงพยาบาลได้ไปแจ้งความดำเนินการคดีแล้ว ส่วนผู้ที่ได้รับความเสียหาย จากเหตุนี้ สามารถร้องเอาผิดโรงพยาบาลได้เช่นกัน พร้อมยอมรับว่าเหตุการณ์ครั้งนี้ผู้ก่อเหตุไม่ได้เรียกค่าไถ่ แต่เป็นการขายข้อมูลเท่านั้น ซึ่งไม่ได้เป็นไปตามที่แฮกเกอร์ประกาศขาย 16 หรือ30 ล้านรายชื่อ มีเพียง 1 หมื่นรายชื่อเท่านั้น พร้อมยอมรับว่า การจะจับกุมผู้ทำผิดหรือแฮกเกอร์กับเหตุการณ์ที่ผ่านมามีสถิติเพียงร้อยละ 0.5 เท่านั้นที่สามารถจับกุมตัวได้ เนื่องจากส่วนใหญ่กระทำการในต่างประเทศเป็นแฮกเกอร์ต่างชาติ อาทิในสหรัฐ รัสเซีย จีน เกาหลีเหนือ เป็นต้น ดังนั้นยอมรับว่าล่าสุดมีการแฮกข้อมูลเวปไซด์ของกองทัพจริง แต่ไม่ใช่ในส่วนปกป้องประเทศ เป็นข้อมูลเชิงประชาสัมพันธ์เท่านั้น นายชัยวุฒิฯ กล่าวทิ้งท้ายว่า จากเหตุการณ์ที่เกิดขึ้นสามารถแก้ไขได้ด้วยความร่วมมือจากทุกภาคส่วนซึ่งเป็นความรับผิดชอบของสังคมต่อข้อมูลส่วนบุคคลของประชาชน ไม่ควรตั้งคำถามว่าเกี่ยวข้องหน่วยงานใด หน่วยงานหนึ่ง แต่เป็นหน้าที่ของทุกหน่วยงานที่ต้องดำเนินการรักษา และจัดเก็บข้อมูลให้ปลอดภัยต่อไป