ผู้เชี่ยวชาญซอฟต์แวร์ จวกรัฐบาลโฟกัสผิดจุด กรณีข้อมูลรั่วไหล จี้เอาผิดผู้ควบคุม-เจ้าของระบบตามกฎหมาย PDPA

ประเด็นสำคัญ

ปริศนานันทกุล ออกมาแถลง โดยมีใจความว่า ไม่ได้ถูกแฮ็ก แต่รหัสผ่านหน่วยงานรัฐรั่วไหล ผมมีความเห็นในเชิงบวกนะครับ ขอบคุณที่ออกมายอมรับตรงๆ เลยว่า รหัสผ่านภาครัฐรั่วจริง

สิ่งที่น่ากลัวกว่า “ข้อมูลรั่ว” คือ “รหัสผ่านรั่ว” - สกมช. https://www.ncsa.or.th/news/ef52761b3134335a7900000b ทีแรกผมก็กังวลอยู่เลยว่าต้องไปชี้แจงหากโดนฟ้อง ข้อหานำเข้าข้อมูลเท็จ

รายละเอียดเพิ่มเติม

อุตส่าห์เก็บหลักฐานไว้ซะละเอียด พยายามเก็บหลักฐานให้เห็น URL ชัดเจนว่าอยู่ภายใต้การครอบครองของสำนักทะเบียน กรมการปกครอง กระทรวงมหาดไทย เผื่อได้ใช้ยืนยันว่ารั่วจากเว็บภาครัฐจริง

ก็ไม่คิดว่าท่านภราดรจะเอื้อเฟื้อกันขนาดนี้ ถึงขั้นออกมาช่วยผมยืนยันว่ารั่วจริง โดยผมรวบรวมประเด็นจากแถลงว่ารัฐบาลรับข้อเท็จจริงเบื้องต้นแล้วว่า 1. รหัสผ่านของเจ้าหน้าที่รั่ว 2.

บุคคลภายนอกนำรหัสนั้นเข้าใช้ระบบได้ 3. ระบบยอมรับการล็อกอินโดยไม่มีปัจจัยยืนยันเพิ่มเติม 4. ระบบไม่สามารถหยุดหรือแจ้งเตือนพฤติกรรมการค้นจำนวนผิดปกติได้ทันที 5.

สถานการณ์ล่าสุด

ผู้ใช้สามารถเข้าถึงข้อมูลประชาชนเกินกว่าที่ควรจำเป็นต่อภารกิจ โอ้โห เป็นการแถลงที่เป็นประโยชน์ต่อการดำเนินคดีกับผู้ควบคุมข้อมูลส่วนบุคคลเป็นอย่างมากเลยครับ

หลังจากนี้ผมว่าโฆษกมหาดไทยต้องรับลูกต่อ ออกมาชี้แจงคำถามเหล่านี้ครับ 1. เหตุใดไม่มี MFA 2. มีการตรวจสอบ credential leak หรือไม่ 3. มีการบังคับเปลี่ยนรหัสและเพิกถอน session หรือไม่

4. มี rate limit และ anomaly detection หรือไม่ 5. จำกัดสิทธิ์ตามหน่วยงานและวัตถุประสงค์หรือไม่ 6. มี log ที่ระบุตัวผู้ค้นและรายการที่ถูกเปิดดูครบถ้วนหรือไม่ 7. หลังพบเหตุได้แจ้ง

มุมมองและผลกระทบ

PDPC ภายใน 72 ชั่วโมงหรือไม่ แต่สิ่งหนึ่งที่ผมอยากตำหนิคือ ท่าทีของรัฐบาลที่โฟกัสผิดจุด มาตรา 37(1) ของ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล

กำหนดหน้าที่ให้ผู้ควบคุมข้อมูลต้องมีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการเข้าถึง ใช้ เปลี่ยนแปลง หรือเปิดเผยข้อมูลโดยไม่มีอำนาจ

ตัวบทไม่ได้กำหนดว่าต้องรอให้บุคคลถูกโกง เสียเงิน หรือถูกสวมรอยก่อนจึงจะเป็นการฝ่าฝืน เมื่อเกิดเหตุละเมิด ผู้ควบคุมข้อมูลยังต้องแจ้ง สคส. ภายใน 72 ชั่วโมง

ข้อมูลจากแหล่งข่าว

เว้นแต่เหตุไม่มีความเสี่ยงต่อสิทธิและเสรีภาพ และถ้าเป็นความเสี่ยงสูง ต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาโดยไม่ชักช้า การไม่ปฏิบัติตามมาตรา 37 มีโทษปรับทางปกครองไม่เกิน 3

ล้านบาท ตามมาตรา 83 ส่วนกรณีข้อมูลอ่อนไหวตามมาตรา 26 อาจเข้าโทษในบทอื่นที่มีเพดานสูงกว่า ทั้งนี้ต้องพิจารณาพฤติการณ์และฐานความผิดเป็นรายกรณี

ไม่ใช่นำเพดานค่าปรับไปคูณจำนวนเจ้าของข้อมูลโดยอัตโนมัติ กฎหมายเขียนชัดเจน ผู้ควบคุมข้อมูลส่วนบุคคล มีความผิด แต่แถลงตอนนี้เอาแต่พุ่งเป้าไปที่ผู้โจมตีอย่างเดียว

หรือท่านลืมไปเสียสนิท ว่าต้องเอาผิดเจ้าของระบบ…

อ่านรายละเอียดต้นทางได้ที่ ไทยโพสต์