(วัดภาวะผู้นำ ‘อนุทิน’ ผ่านผลงาน ‘คนรอบข้าง’ และเส้นตาย 30 วัน)

ปมข้อมูลส่วนบุคคลของผู้นำและประชาชนถูกเปิดเผย เปลี่ยน “ช่องโหว่” ทางไซเบอร์ ให้กลายเป็นวิกฤตความเชื่อมั่นทางการเมือง! คำสั่งตรวจระบบรัฐ 300 กรม และบังคับใช้ MFA ภายใน 30 วัน อาจช่วยรัฐบาลกู้สถานการณ์ แต่โจทย์ใหญ่กว่าการจับคนเข้าถึงข้อมูล คือการตอบว่าใครได้รับคำเตือนแล้วปล่อยให้ปัญหาลุกลาม

จากภัยไซเบอร์สู่วิกฤตการเมือง :

กรณีข้อมูลส่วนบุคคลของ นายอนุทิน ชาญวีรกูล นายกรัฐมนตรีและรมว.มหาดไทย รวมถึง บุคคลระดับสูงในกระทรวงมหาดไทย ตลอดจน ข้อมูลประชาชน ถูกนำมาเผยแพร่ผ่านสื่อสังคมออนไลน์ ไม่ใช่เพียงเหตุผิดปกติทางเทคโนโลยี แต่กำลังกลายเป็นประเด็นการเมืองที่กระทบโดยตรงต่อความน่าเชื่อถือของรัฐบาล

เพราะรัฐไม่ได้เป็นเพียงผู้ถือครองข้อมูล หากยังมีหน้าที่คุ้มครองข้อมูลเหล่านั้น เมื่อข้อมูลที่ควรอยู่ในการดูแลของหน่วยงานรัฐกลับถูกบุคคลภายนอกเข้าถึง

คำถามจึงไม่ได้หยุดอยู่ที่ใครเป็นผู้เปิดเผย? แต่ย้อนกลับไปถึงความสามารถของรัฐบาลในการบริหารระบบราชการดิจิทัลทั้งระบบ!

“โฆษกรัฐบาล” นางสาวรัชดา ธนาดิเรก ระบุว่า…นายกรัฐมนตรีได้สั่งให้ทุกหน่วยงานเร่งตรวจสอบข้อเท็จจริง ตั้งคณะกรรมการสอบสวนภายใน หาต้นเหตุและผู้รับผิดชอบ พร้อมย้ำว่าเหตุการณ์เช่นนี้ไม่ควรเกิดขึ้น และต้องใช้เป็นโอกาสยกระดับมาตรฐานความมั่นคงปลอดภัยของข้อมูลภาครัฐ

ท่าทีดังกล่าวทำให้ นายกรัฐมนตรีได้เครดิตในเบื้องต้น ว่า…ไม่ปฏิเสธปัญหา และนำเรื่องขึ้นมาอยู่ในระดับคำสั่งของผู้นำรัฐบาล ไม่ปล่อยให้แต่ละหน่วยงานต่างคนต่างชี้แจง

แต่เครดิตทางการเมืองจะอยู่ได้นานเพียงใด? ขึ้นอยู่กับว่า…คำสั่งครั้งนี้จะนำไปสู่การเปลี่ยนแปลงจริง หรือเป็นเพียงมาตรการเร่งด่วนเพื่อพารัฐบาลให้ผ่านกระแสข่าว

“ไม่ถูกแฮ็ก” ไม่ได้แปลว่าไม่ผิด :

คำชี้แจงเบื้องต้นของรัฐบาลระบุว่า…ยังไม่พบว่าฐานข้อมูลหลักของภาครัฐถูกเจาะโดยตรง แต่ผู้ไม่หวังดีอาจนำชื่อบัญชีและรหัสผ่านของเจ้าหน้าที่รัฐซึ่งเคยรั่วไหลมาใช้เข้าสู่ระบบตามสิทธิ์ของบัญชีนั้น ก่อนทยอยค้นข้อมูลประชาชนเป็นรายบุคคล

รัฐบาลระบุด้วยว่า…ปัจจุบันตรวจพบข้อมูลประชาชนถูกเข้าถึงประมาณ 800 ราย และสามารถตรวจสอบประวัติการใช้งานย้อนหลังได้ ขณะที่ช่องทางที่เกี่ยวข้องบางส่วนถูกปิดหรือระงับการใช้งานแล้ว

ในเชิงเทคนิค การไม่ได้เจาะฐานข้อมูลออกไปทั้งระบบอาจช่วยจำกัดขอบเขตของเหตุการณ์ แต่ในเชิงการเมือง คำว่า “ไม่ได้ถูกแฮ็ก” ไม่สามารถใช้เป็นคำตอบว่ารัฐไม่ต้องรับผิดชอบ

หาก “รหัสผ่าน” เจ้าหน้าที่หลุดไปอยู่ในมือบุคคลอื่น และบุคคลนั้นสามารถเข้าสู่ระบบ ค้นข้อมูลประชาชนต่อเนื่องโดยไม่ถูกตรวจจับหรือระงับได้ทันท่วงที! ย่อมสะท้อนความบกพร่องของการบริหารสิทธิ์ การเปลี่ยนรหัสผ่าน การตรวจพฤติกรรมผิดปกติ และการจัดทำบันทึกการใช้งาน

เปรียบได้กับประตูที่ไม่ได้ถูกทำลาย แต่กุญแจของผู้ดูแลหลุดไปอยู่ในมือคนนอก และไม่มีใครรู้ว่ากุญแจนั้นถูกนำมาเปิดประตูหลายครั้ง ความรับผิดชอบของเจ้าของสถานที่จึงไม่ได้หายไปเพียงเพราะประตูยังอยู่ในสภาพเดิม

ตัวเลขผู้เสียหายประมาณ 800 รายจึงควรถูกสื่อสารว่าเป็น “จำนวนที่ตรวจพบในขณะนี้” มากกว่าจะเป็นข้อสรุปสุดท้าย จนกว่ารัฐบาลจะตรวจสอบครบทั้งจำนวนบัญชีที่รั่ว ระยะเวลาที่ถูกนำไปใช้ ขอบเขตข้อมูลที่ถูกเข้าถึง และการนำข้อมูลไปจำหน่ายหรือส่งต่อ

คำเตือนที่รัฐไม่ได้ยิน :

จุดที่ทำให้เหตุการณ์นี้ มีน้ำหนักทางการเมืองมากขึ้น คือคำให้ข้อมูลของ นายธนารัตน์ กัววัฒนาพันธ์ ประธานเจ้าหน้าที่บริหาร (CEO) บริษัท DomeCloud ผู้เปิดโปงกรณีข้อมูลส่วนบุคคลรั่วไหล ในฐานะ ผู้เชี่ยวชาญด้านเทคโนโลยี

ซึ่งระบุว่า…ได้พยายามแจ้งเตือนหน่วยงานที่เกี่ยวข้องมาอย่างต่อเนื่อง ทั้งหน่วยงานเจ้าของข้อมูล สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล และสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ แต่ผ่านไปราวสองเดือนกลับยังไม่เห็นความคืบหน้าเพียงพอ

ข้อกล่าวอ้างนี้ ยังต้องผ่านการตรวจสอบว่า…แจ้งไปยังหน่วยงานใด? เมื่อใด? และมีการตอบสนองอย่างไร?

แต่ใน ทางการเมือง สิ่งนี้มันได้สร้าง ภาพที่ไม่เป็นผลดีต่อรัฐบาล ว่า…กลไกรัฐอาจรับรู้ความเสี่ยงแล้ว แต่ไม่สามารถขยับตัวได้ทัน จนกระทั่งข้อมูลของบุคคลระดับสูงถูกนำมาเปิดเผย

เมื่อข้อมูลของประชาชนรั่วไหล ปัญหาอาจถูกมองว่าเป็นเรื่องทางเทคนิคของหน่วยงาน แต่เมื่อข้อมูลของนายกรัฐมนตรีและผู้บริหารระดับสูงปรากฏต่อสาธารณะ กลไกทั้งระบบกลับเคลื่อนไหวอย่างรวดเร็ว

ภาพเช่นนี้ย่อมทำให้เกิดคำถามว่า…หากข้อมูลที่ถูกเปิดเผยเป็นของประชาชนทั่วไปเพียงอย่างเดียว รัฐบาลจะตอบสนองด้วยความจริงจังในระดับเดียวกันหรือไม่?

นี่จึงเป็น “จุดเชื่อมสำคัญ” กับกรอบ “ผู้นำและคนรอบข้าง” เพราะ ประสิทธิภาพของผู้นำไม่ได้วัดเฉพาะความรวดเร็วในการออกคำสั่ง แต่วัดจากความสามารถของรัฐมนตรี หน่วยงานกำกับ และข้าราชการรอบวงอำนาจในการรับฟังคำเตือน ประสานข้อมูล และจัดการปัญหาก่อนลุกลามถึงตัวผู้นำ

30 วัน วัดผลงานคนรอบข้าง :

รัฐบาลกำหนดให้ สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) ตรวจสอบและประเมินระบบสารสนเทศของหน่วยงานรัฐประมาณ 300 กรมทั่วประเทศภายใน 30 วัน พร้อม ผลักดันให้ใช้ระบบยืนยันตัวตนหลายปัจจัย หรือ MFA เป็นมาตรฐาน

นอกจากนี้ ยังมีข้อสั่งการให้จัดทำระบบ Audit Log เพื่อบันทึกว่า…ใครเข้าถึงข้อมูลอะไร? เมื่อใด? รวมถึง เร่งตรวจสอบบัญชีเจ้าหน้าที่ที่เคยได้รับแจ้งว่าชื่อผู้ใช้หรือรหัสผ่านรั่ว และเปลี่ยนข้อมูลเข้าสู่ระบบทันที!

มาตรการเหล่านี้ เดินมาถูกทาง เพราะการใช้รหัสผ่านเพียงชั้นเดียวไม่เพียงพอสำหรับระบบที่เก็บข้อมูลสำคัญของประชาชน แต่ในอีกด้าน การเร่งติดตั้ง MFA หลังเกิดเหตุ ก็เท่ากับเปิดคำถามว่า เหตุใดมาตรฐานพื้นฐานดังกล่าวจึงยังไม่ได้รับการบังคับใช้อย่างทั่วถึงก่อนหน้านี้

รัฐบาลไทยลงทุนด้านดิจิทัล ฐานข้อมูล และความมั่นคงไซเบอร์มาอย่างต่อเนื่อง หากระบบสำคัญบางส่วนยังขาดเครื่องมือป้องกันขั้นพื้นฐาน ฝ่ายค้านย่อมสามารถขยายประเด็นไปถึงประสิทธิภาพการใช้งบประมาณ ความพร้อมของหน่วยงานกำกับ และความรับผิดชอบของผู้บริหารแต่ละหน่วยงานได้

เส้นตาย 30 วัน จึงไม่ได้เป็นเพียงกำหนดเวลาตรวจระบบ แต่เป็นเส้นวัดผลงานของ “คนรอบข้างนายกรัฐมนตรี” ว่าสามารถแปลงคำสั่งทางการเมืองให้เป็นผลลัพธ์ทางการบริหารได้จริงหรือไม่?

อย่าไล่จับแต่คนเปิดโปง :

กระทรวงดิจิทัลฯ และกรมการปกครอง ได้แจ้งความให้ตำรวจไซเบอร์ดำเนินคดีกับผู้เข้าถึงระบบโดยมิชอบ ขณะที่ นายธนารัตน์ ถูกเชิญเข้าให้ข้อมูลในฐานะพยาน โดยยังไม่มีการแจ้งข้อกล่าวหา และเจ้าหน้าที่อยู่ระหว่างตรวจสอบว่า…ข้อมูลรั่วไหลผ่านบัญชีใด เจ้าของบัญชีมีส่วนรู้เห็นหรือถูกขโมยข้อมูลเข้าสู่ระบบ

การสอบสวนผู้เข้าถึงและนำข้อมูลมาเผยแพร่เป็นสิ่งที่ต้องดำเนินการตามกฎหมาย เพราะการเป็นผู้แจ้งเบาะแสไม่ได้ทำให้การเปิดเผยข้อมูลส่วนบุคคลของผู้อื่นชอบด้วยกฎหมายโดยอัตโนมัติ

แต่รัฐบาลต้องระวังไม่ให้ภาพของคดีเปลี่ยนไปเป็นการเร่งจัดการผู้เปิดโปง ขณะที่ ความรับผิดชอบของหน่วยงานเจ้าของข้อมูลกลับถูกลดความสำคัญ หากการสอบสวนมุ่งเพียงว่า…ใครโพสต์ข้อมูล โดยไม่ตอบว่าใครปล่อยให้รหัสผ่านรั่ว ใครได้รับคำเตือนแล้วไม่ดำเนินการ และใครควรรับผิดชอบต่อความล่าช้า รัฐบาลจะยิ่งเสียความน่าเชื่อถือ

คำประกาศว่า…จะ “เอาผิดผู้เกี่ยวข้อง” จึงต้องหมายถึงทุกฝ่าย ตั้งแต่ ผู้ขโมยบัญชี ผู้ซื้อขายข้อมูล ผู้เผยแพร่โดยมิชอบ เจ้าหน้าที่ที่อาจมีส่วนรู้เห็น ไปจนถึงผู้บริหารที่ละเลยมาตรฐานหรือไม่ดำเนินการหลังได้รับคำเตือน ไม่ใช่เลือกดำเนินคดีเฉพาะคนนอกระบบเท่านั้น

เปิดผลสอบ ไม่ใช่ปิดข่าว :

รัฐบาลยังมีโอกาสเปลี่ยนวิกฤตครั้งนี้ เป็นผลงานทางการเมือง หากเปิดเผยลำดับเหตุการณ์อย่างตรงไปตรงมา ตั้งแต่วันที่ได้รับแจ้งเตือน หน่วยงานที่รับเรื่อง การดำเนินการในแต่ละช่วง จำนวนบัญชีที่ได้รับผลกระทบ จำนวนประชาชนที่ถูกเข้าถึงข้อมูล ตลอดจนมาตรการแจ้งเตือนและเยียวยาผู้เสียหาย

เมื่อครบกำหนด 30 วัน รัฐบาลควรเปิดผลตรวจหน่วยงาน 300 กรมต่อสาธารณะอย่างน้อยในภาพรวม แยกระดับความเสี่ยง กำหนดระยะเวลาแก้ไข และระบุหน่วยงานที่ต้องรับผิดชอบ โดยไม่ใช้เหตุผลด้านความมั่นคงเป็นข้ออ้างปิดบังทุกอย่าง

สิ่งที่รัฐบาลต้องพิสูจน์? จึงไม่ใช่เพียงความสามารถในการหาตัวผู้กระทำผิด แต่คือ…ความสามารถในการจัดระเบียบหน่วยงานรัฐที่ถือครองข้อมูลประชาชนให้มีมาตรฐานเดียวกัน มีเจ้าภาพชัดเจน และมีผู้รับผิดชอบเมื่อระบบล้มเหลว

หาก นายกรัฐมนตรีสามารถผลักดันมาตรการเหล่านี้จนเกิดผลจริง เหตุข้อมูลรั่วอาจกลายเป็น “จุดเริ่มต้น” ของการยกเครื่องความปลอดภัยข้อมูลภาครัฐ และสร้างเครดิตให้ผู้นำที่กล้ายอมรับปัญหาและจัดการถึงต้นตอ

แต่หากครบ 30 วันแล้ว สังคมไทยได้รับเพียงข่าวการดำเนินคดีกับผู้เข้าถึงหรือผู้เผยแพร่ข้อมูล โดยไม่เห็นผลสอบหน่วยงาน ไม่เห็นผู้บริหารรับผิดชอบ และไม่รู้ว่าระบบได้รับการแก้ไขอย่างไร คำสั่งอันเข้มข้นของนายกรัฐมนตรีก็อาจค่อย ๆ กลายเป็นเพียงคำประกาศทางการเมือง

ท้ายที่สุด! กรณีนี้ไม่ได้วัดเพียงว่า…ข้อมูลของ “ผู้นำ” ปลอดภัยแค่ไหน แต่กำลังวัดว่า “คนรอบข้าง” ผู้นำสามารถคุ้มครองข้อมูลของประชาชนได้จริงหรือไม่ และผู้เกี่ยวข้องที่รัฐบาลประกาศว่าจะเอาผิดนั้น จะรวมถึงผู้มีหน้าที่ดูแลกุญแจของรัฐด้วยหรือเปล่า!!!.