บทนำ
รัฐบาลกำลังยกระดับความปลอดภัยของระบบดิจิทัลภาครัฐครั้งใหญ่ หลังพบความเสี่ยงจากข้อมูลสำหรับเข้าสู่ระบบที่รั่วไหล โดย ครม. เห็นชอบให้หน่วยงานรัฐกว่า 300 กรมเปลี่ยนรหัสผ่าน ตรวจสอบระบบสารสนเทศกว่า 30,000 ระบบภายใน 15 วัน และผลักดัน MFA ให้ใช้งานทั่วทั้งระบบราชการ
แต่สำหรับธุรกิจเอกชน ข่าวนี้มีประเด็นที่น่าสนใจกว่าเรื่อง “ต้องเปลี่ยน Password” เพราะสิ่งที่รัฐกำลังทำกำลังชี้ให้เห็นปัญหาที่หลายองค์กรมีเหมือนกัน นั่นคือ ระบบเก่าที่คิดว่าปิดแล้ว แต่อาจยังไม่เคยถูกปิดจริง
ข้อเท็จจริง: รัฐไม่ได้แก้แค่ Password แต่กำลัง “กวาดระบบเก่า”
มาตรการที่ ครม. เห็นชอบมีแกนสำคัญ 3 เรื่อง
หนึ่ง Force Reset Password
เจ้าหน้าที่ของหน่วยงานรัฐกว่า 300 กรมต้องเปลี่ยนรหัสผ่านใหม่ เพื่อป้องกันไม่ให้ผู้ที่มีข้อมูล Credential ที่รั่วไหลอยู่แล้ว นำข้อมูลเดิมกลับมาใช้เข้าสู่ระบบได้
สอง System Cleansing
หน่วยงานรัฐต้องตรวจสอบระบบสารสนเทศกว่า 30,000 ระบบภายในกรอบ 15 วัน และหากพบระบบเก่าหรือระบบที่เลิกใช้งานแล้ว ต้องปิดการเข้าถึงในส่วนหลังบ้านอย่างถาวร
ประเด็นนี้สำคัญมาก เพราะ “ปิดเว็บไซต์” ไม่ได้แปลว่า “ปิดระบบ” เสมอไป หาก Backend, Database, API หรือบัญชีผู้ดูแลยังเปิดอยู่ ระบบที่ไม่มีใครใช้งานแล้วก็ยังสามารถกลายเป็นจุดโจมตีได้
สาม ยกระดับ MFA
ภาครัฐจะผลักดันการยืนยันตัวตนหลายปัจจัย หรือ Multi-Factor Authentication เพื่อไม่ให้ Password เป็นด่านเดียวในการเข้าสู่ระบบ โดยมีการกล่าวถึงการใช้ Digital Identity เช่น ThaID หรือวิธีที่มีความมั่นคงปลอดภัยในระดับที่เหมาะสม
หลังจากนั้น PDPC ยังประสานเครือข่าย DPO กว่า 3,700 หน่วยงานทั่วประเทศ เพื่อเร่งการรีเซ็ต Username/Password การปิดหรือลบระบบที่ไม่ได้ใช้งาน และผลักดัน MFA โดยเฉพาะระบบที่เกี่ยวข้องกับการจัดเก็บ ใช้ หรือประมวลผลข้อมูลส่วนบุคคล
ดังนั้น ข่าวนี้จึงไม่ควรถูกอ่านว่า “ภาครัฐโดนข้อมูลรั่วแล้วจึงเปลี่ยน Password”
สาระที่ใหญ่กว่าคือ รัฐกำลังเริ่มมอง Credential, ระบบเก่า และสิทธิ์การเข้าถึง เป็นเรื่องเดียวกัน
ผลกระทบต่อธุรกิจในประเทศไทย
สำหรับบริษัทเอกชน ครม. ไม่ได้หมายความว่าทุกบริษัทในประเทศต้องทำตามมาตรการ 30,000 ระบบของภาครัฐแบบเดียวกันโดยอัตโนมัติ แต่สัญญาณเชิง Governance ที่ออกมาชัดมากคือ Password เพียงอย่างเดียวกำลังไม่เพียงพอสำหรับระบบที่มีความเสี่ยงสูง
ธุรกิจที่ทำงานกับภาครัฐควรมองเรื่องนี้เป็นพิเศษ เช่น บริษัทรับพัฒนาระบบราชการ ผู้ให้บริการ Cloud หรือ Managed Service บริษัทที่เชื่อมต่อ API กับหน่วยงานรัฐ ผู้รับจ้างประมวลผลข้อมูล รวมถึงองค์กรที่จัดการข้อมูลส่วนบุคคลจำนวนมาก
สิ่งที่หลายองค์กรอาจเข้าใจผิด คือ คิดว่าความปลอดภัยเริ่มต้นที่การติด Firewall ซื้อ Antivirus หรือเปิด MFA แต่ในทางปฏิบัติ ปัญหาอาจเริ่มก่อนหน้านั้นมาก
ลองนึกภาพบริษัทหนึ่งที่มีระบบเก่า 10 ระบบ แต่ใช้งานจริงเพียง 6 ระบบ อีก 4 ระบบอาจถูก “ยกเลิกในทางธุรกิจ” แล้ว แต่ยังมี Server, Database, API, Admin Account หรือ Service Account ทำงานอยู่ หากไม่มีใครทำ Asset Inventory ให้ครบถ้วน บริษัทอาจไม่รู้ด้วยซ้ำว่าระบบเหล่านั้นยังเปิดอยู่
นี่คือเหตุผลที่คำว่า System Cleansing น่าสนใจกว่าคำว่า Password Reset
การเปลี่ยน Password แก้ปัญหา Credential เดิม แต่ไม่ได้ตอบคำถามว่า “เรายังมีระบบอะไรที่ไม่ควรเปิดอยู่บ้าง?”
ในมุม PDPA เรื่องนี้ยิ่งเกี่ยวข้องกันโดยตรง เพราะมาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลไม่ควรถูกมองเฉพาะวันที่เกิด Data Breach แต่ควรครอบคลุมตั้งแต่การกำหนดสิทธิ์ การควบคุมบัญชีผู้ใช้งาน การจัดการระบบเก่า ไปจนถึงการตรวจสอบว่าผู้ใดยังสามารถเข้าถึงข้อมูลได้
สำหรับองค์กรที่มี DPO นี่จึงเป็นจังหวะสำคัญที่จะเปลี่ยนคำถามจาก
“เรามี Policy เรื่อง Password หรือยัง?” ไปเป็น “เรารู้หรือไม่ว่าใครบ้างยังเข้าระบบของเราได้ และระบบไหนไม่ควรเปิดอีกแล้ว?”
เพราะในโลกจริง จุดอ่อนที่อันตรายที่สุดบางครั้งไม่ใช่ระบบใหม่ที่ยังไม่ได้ติด Security แต่คือ ระบบเก่าที่ไม่มีเจ้าของแล้ว แต่ยังมีสิทธิ์เข้าถึงข้อมูลอยู่
สิ่งที่ควรทำต่อ
องค์กรที่มีระบบเชื่อมต่อภาครัฐ มีข้อมูลส่วนบุคคลจำนวนมาก หรือมีระบบเก่าหลายรุ่น ควรเริ่มตรวจสอบอย่างน้อย 5 เรื่อง
- ทำบัญชีระบบทั้งหมด (Asset Inventory) — รวม Server, Website, API, Database, Cloud และระบบหลังบ้าน ไม่ใช่เฉพาะระบบที่ยังใช้งานอยู่
- ตรวจบัญชีผู้ใช้และสิทธิ์ — โดยเฉพาะ Admin Account, Service Account และบัญชีของพนักงานที่ลาออกไปแล้ว
- ค้นหาระบบเก่าหรือระบบที่ไม่มีเจ้าของ — ตรวจว่าระบบที่เลิกใช้แล้วปิดถึง Backend, API และ Database จริงหรือไม่
- ตรวจ MFA สำหรับระบบสำคัญ — โดยเฉพาะระบบที่เข้าถึงข้อมูลส่วนบุคคลหรือใช้สิทธิ์ระดับสูง
- นำผลการตรวจเข้า Governance ขององค์กร — ให้ IT/Security และ DPO เห็นภาพเดียวกัน และมีหลักฐานว่ามีการทบทวนสิทธิ์และระบบอย่างสม่ำเสมอ
มุมมองผู้เชี่ยวชาญ
“ผมมองว่าข่าวนี้ไม่ได้สอนแค่ว่าเราต้องเปิด MFA แต่กำลังบอกองค์กรไทยว่า ถึงเวลาต้องรู้จักระบบของตัวเองให้ครบแล้วครับ เพราะระบบที่เราไม่ได้ใช้ ระบบที่ไม่มีเจ้าของ หรือบัญชีที่เราลืมไปแล้ว อาจเป็นช่องทางที่เปิดให้คนอื่นเข้ามาได้โดยที่เราไม่รู้ตัว”
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
แหล่งอ้างอิง
Thairath — รายงานมติ ครม. เรื่องการยกระดับความปลอดภัยไซเบอร์ภาครัฐ การเปลี่ยนรหัสผ่าน การตรวจสอบกว่า 30,000 ระบบ และการใช้ MFA อ่านข่าวต้นฉบับจาก Thairath
รัฐบาลไทย — รายละเอียดมาตรการ Force Reset Password, System Cleansing และ MFA ที่ ครม. เห็นชอบเมื่อวันที่ 11 สิงหาคม 2569
Thai PBS — การดำเนินการของ PDPC และการประสานเครือข่าย DPO กว่า 3,700 หน่วยงาน
ฐานเศรษฐกิจ — รายงานการขับเคลื่อนมาตรการโดย PDPC และเครือข่าย DPO
