กูรูชี้ชัดพ.ร.บ.ไซเบอร์ “สกัดแฮกเกอร์” คุกคามระดับวิกฤต-กระทบโครงสร้างพื้นฐาน“ล่มสลาย”

Onlinenewstime.com : กระแสความไม่เห็นด้วย พร้อมกับการตั้งคำถาม…ทำไม ? ประเทศไทยต้องมี พ.ร.บ.ไซเบอร์…”ประชาชนจะได้อะไร หลังการบังคับใช้ พ.ร.บ.ไซเบอร์? ที่ปรากฏขึ้นหลัง สภานิติบัญญัติแห่งชาติ (สนช.) ลงมติในวาระที่ 3 เห็นสมควรประกาศใช้ร่างพระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ เป็นกฎหมายนั้น 

เวบไซต์ข่าว ออนไลน์ นิวส์ ไทม์ ได้สัมภาษณ์มุมมองของกรรมาธิการยกร่าง พ.ร.บ. ความมั่นคงไซเบอร์ เกี่ยวกับเรื่องนี้  

“อาจารย์ปริญญา หอมเอนก” ผู้เชี่ยวชาญด้านความมั่นคงปลอดภัยสารสนเทศ  ประธานและผู้ก่อตั้ง บริษัท เอซิส โปรเฟสชั่นนัล เซ็นเตอร์ จำกัด บอกว่า พระราชบัญญัติฉบับนี้  มีการคานอำนาจการใช้อำนาจรัฐ มีการตรวจสอบและมีการขอหมายศาลในกรณีที่เจ้าหน้าที่ทำการตรวจค้น จากสาเหตุภัยคุกคามทางไซเบอร์ระดับทั่วไปและระดับรุนแรงรวมทั้งการลดอำนาจเลขาธิการ ไม่ให้มีมากเกินไป

ตลอดจนตัดส่วนที่อาจเกี่ยวข้องกับ online content ออก โดยเน้นไปที่ภัยคุกคามทางไซเบอร์กับหน่วยงานโครงสร้างพื้นฐานสำคัญสารสนเทศ ที่มีผลกระทบต่อประชาชนโดยเฉพาะ ทำให้ประชาชนได้ประโยชน์ มีความมั่นใจในการให้บริการประชาชนของหน่วยงานโครงสร้างพื้นฐานสำคัญของประเทศมากขึ้น ซึ่งรู้สึกภาคภูมิใจที่ได้มีโอกาสช่วยเหลือประเทศชาติบ้านเมือง ในการตรวจร่างพระราชบัญญัติฉบับนี้ให้มีความถูกต้องมากขึ้น

กระทั่ง ปัจจุบัน เมื่อร่าง พ.ร.บ. ความมั่นคงไซเบอร์ผ่าน เห็นว่าคนไทยได้อ่านเนื้อหาในพ.ร.บ. และทำความเข้าใจได้ว่า พ.ร.บ. ฉบับนี้ถูกสร้างขึ้นมาเพื่อ “คุ้มกันประชาชน” ไม่ใช่ “ละเมิดสิทธิ์ของประชาชน” และการบังคับใช้กฎหมายฉบับนี้มีประโยชน์ต่อส่วนรวม ช่วยให้ประเทศไทยมีความตื่นตัวเรื่องภัยคุกคามทางไซเบอร์มากขึ้น

ทำไมประเทศไทยต้องมี พ.ร.บ.ไซเบอร์

ในส่วนคนที่ไม่เห็นด้วย อาจได้อ่านเนื้อหาจากร่างเดิมที่ไม่เป็นปัจจุบัน ยังไม่มีการขอหมายศาล และยังมีการใช้อำนาจของเลขาธิการมากเกินไป อาจารย์ปริญญา  บอกว่า ที่ผ่านมา ก็ไม่เห็นด้วยกับเรื่องนี้ อย่างไรก็ตามเมื่อได้รับรู้ถึงมุมมองของอาจารย์ และนักวิชาการในหลายวงการ และจากเวทีสัมมนาต่างๆ ตลอด 2 สัปดาห์ที่ผ่านมา ก็รับรู้ได้ว่าพวกเขาเข้าใจกันมากขึ้น และกระแสต่อต้านก็เริ่มลดลงอย่างมีนัยยะ จากนี้คงต้องตามต่อในกฎหมายลูกและประกาศกระทรวงที่จะออกตามมา

“ที่ผ่านมาประเทศไทยเผชิญกับปัญหาระบบคอมพิวเตอร์ล่มใช้งานไม่ได้ หรือ ปัญหาระบบสารสนเทศถูกแฮกเกอร์เจาะเข้ามาขโมยข้อมูลหรือทำลายข้อมูล

ซึ่งเรื่องนี้เคยเกิดมาแล้ว และอาจจะเกิดขึ้นกับประชาชนในอนาคตอันใกล้  สร้างปัญหาต่อหน่วยงานโครงสร้างพื้นฐานสำคัญของประเทศ ทำให้ระบบหยุดชะงัก ไม่สามารถให้บริการประชาชนได้ ทำให้เกิดผลกระทบต่อประชาชน”

ปัจจุบันเราคงปฏิเสธไม่ได้ว่า “หน่วยงานโครงสร้างพื้นฐานสำคัญของประเทศ” หรือ “Critical Infrastructure (CI)” ไม่ได้มีแค่เพียงหน่วยงานของรัฐ หากยังรวมถึงหน่วยงานเอกชนด้วย ยกตัวอย่าง โรงไฟฟ้า ผู้ให้บริการเครือข่ายโทรคมนาคม รถไฟฟ้าทั้งบนดินและใต้ดิน สนามบินทั้งในเมืองหลวงและหัวเมืองต่างๆ สถาบันการเงิน ธนาคารแห่งประเทศไทย ตลาดหลักทรัพย์ ตลอดจนหน่วยงานด้านสาธารณสุขทั้งโรงพยาบาลของรัฐและโรงพยาบาลเอกชน

อาจารย์ปริญญา  อธิบายต่อว่า นั่นคือข้อดีของการมีพ.ร.บ.ไซเบอร์  หากพิจารณาให้ละเอียดจะพบว่า ระบบของหน่วยงานโครงสร้างพื้นฐานสำคัญดังกล่าว ล้วนทำงานด้วยระบบคอมพิวเตอร์อยู่เบื้องหลัง โดยใน พ.รบ.ไซเบอร์ เราเรียก ระบบคอมพิวเตอร์นั้นว่า “โครงสร้างพื้นฐานสำคัญทางสารสนเทศ” หรือ “Critical Information Infrastructure (CII)” หมายความว่า “คอมพิวเตอร์หรือระบบคอมพิวเตอร์ ซึ่งหน่วยงานของรัฐหรือหน่วยงานเอกชน ใช้ในกิจการของตนที่เกี่ยวข้องกับการรักษาความมั่นคงปลอดภัยของรัฐ ความปลอดภัยสาธารณะ ความมั่นคงทางเศรษฐกิจของประเทศ หรือ โครงสร้างพื้นฐานอันเป็นประโยชน์สาธารณะ” ซึ่งถ้าโครงสร้างพื้นฐานสำคัญทางสารสนเทศเกิดปัญหา ก็จะส่งผลกระทบต่อการให้บริการประชาชนอย่างหลีกเลี่ยงไม่ได้

รวมถึงหน่วยงานรัฐในการให้บริการประชาชน เช่น กรมการปกครอง สำนักงานเขต สำนักงานที่ดิน ตลอดจนหน่วยงานที่รัฐ Outsource ให้ปฏิบัติหน้าที่แทนรัฐ เช่น หน่วยงานรับทำ passport เป็นบริษัทที่รับหน้าที่ทำ passport แทนกรมการกงศุล กระทรวงต่างประเทศ ล้วนมีความสำคัญต่อการดำเนินชีวิตประจำวันของประชาชนด้วยกันทั้งสิ้น

จากนั้น ใน พ.ร.บ. ไซเบอร์ ได้บัญญัติคำนิยามของ “ภัยคุกคามทางไซเบอร์” ไว้อย่างชัดเจนโดย หมายความว่า “การกระทําหรือการดําเนินการใดๆโดยมิชอบ โดยใช้คอมพิวเตอร์ หรือ ระบบคอมพิวเตอร์ หรือ โปรแกรมไม่พึงประสงค์โดยมุ่งหมายให้เกิดการประทุษร้ายต่อระบบคอมพิวเตอร์ ข้อมูลคอมพิวเตอร์ หรือข้อมูลอื่นที่เกี่ยวข้อง และ เป็นภยันตรายที่ใกล้จะถึงที่จะก่อให้เกิดความเสียหายหรือส่งผลกระทบต่อการทำงานของคอมพิวเตอร์ ระบบคอมพิวเตอร์ หรือ ข้อมูลอื่นที่เกี่ยวข้อง”

“ดังนั้น “ภัยคุกคามทางไซเบอร์” ที่อาจจะส่งผลกระทบต่อการให้บริการประชาชนของหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศนั้น

จำเป็นต้องมีการป้องกันหรือ การรับมือกับภัยคุกคามดังกล่าว ตลอดจนลดความเสี่ยงเพื่อให้สามารถป้องกันภัยคุกคามดังกล่าวได้อย่างทันท่วงทีโดยไม่ปล่อยให้นานจนเกิดผลกระทบกับประชาชน”

ทั้งนี้ การตรวจสอบ การประเมินความเสี่ยง การปฏิบัติตามแนวทางปฏิบัติที่ได้มาตรฐาน และ การปฏิบัติตามมาตรการที่ใช้แก้ปัญหาเพื่อรักษาความมั่นคงปลอดภัยไซเบอร์ จึงจำเป็นต้องมี “เจ้าภาพ” หรือ หน่วยงานที่ถูกสร้างขึ้นมาเพื่อรับผิดชอบงานด้านไซเบอร์ในระดับชาติ โดยเฉพาะ

ซึ่งหน่วยงานนี้จะทำหน้าที่หลายประการด้วยกัน ตั้งแต่ กำหนดนโยบาย กำหนดมาตรฐานขั้นต่ำ ตรวจสอบ ช่วยรับมือภัยคุกคามทางไซเบอร์ที่ถูกแบ่งออกเป็น 3 ระดับ ได้แก่ ระดับแรก คือ “ภัยคุกคามทางไซเบอร์ระดับไม่ร้ายแรง” เป็นภัยคุกคามทางไซเบอร์ทั่วไปที่ยังไม่รุนแรงมากนัก ระดับที่สอง“ภัยคุกคามทางไซเบอร์ระดับร้ายแรง” ที่ต้องรีบรับมือ และภัยระดับสุดท้ายเป็น “ภัยคุกคามทางไซเบอร์ในระดับที่สาม” ที่เป็นระดับวิกฤต ส่งผลกระทบต่อโครงสร้างพื้นฐานสําคัญทางสารสนเทศ สาธารณูปโภคขั้นพื้นฐาน มีการล่มสลายของระบบเป็นวงกว้าง หรือ มีคนบาดเจ็บล้มตาย ซึ่งภัยคุกคามทางไซเบอร์ในระดับวิกฤตนี้ จะถูกสั่งการโดยสภาความมั่นคงแห่งชาติ

เช่นเดียวกับ การใช้ พรก. ฉุกเฉิน ให้รีบระงับเหตุ ป้องกัน และ เยียวยา ก่อน จากนั้นให้แจ้งต่อศาลรับทราบ โดยภัยไซเบอร์ระดับไม่ร้ายแรงและภัยไซเบอร์ระดับร้ายแรงต้องมีการขอหมายศาลก่อน โดย คณะกรรมการกำกับดูแลด้านความมั่นคงปลอดภัยไซเบอร์ หรือ คณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ ต้องเป็นผู้มอบหมายให้เลขาธิการสั่งการให้พนักงานเจ้าหน้าที่ทำการเข้าถึงข้อมูล ทำสำเนาข้อมูลที่เกี่ยวข้องกับภัยไซเบอร์ดังกล่าว เพื่อหาสาเหตุในการโจมตีทางไซเบอร์ต่อไป

ประชาชนจะได้อะไรหลังการบังคับใช้ พ.ร.บ.ฉบับนี้

นอกจากนั้น อาจารย์ปริญญา ยังได้อธิบายถึง สิ่งที่จะเกิดขึ้นเมื่อพ.ร.บ.ไซเบอร์ ประกาศเป็นกฎหมาย  โดยแบ่งเป็น 3 ประเด็น คือ

1.ลดความเสี่ยงและผลกระทบจากการที่หน่วยงานโครงสร้างพื้นฐานสำคัญของประเทศไม่สามารถให้บริการประชาชนได้ ทำให้ประชาชนเสียโอกาส เสียเวลา และอาจมีผลกระทบไปถึงการเสียทรัพย์ หรือเสียชีวิต หากภัยคุกคามไซเบอร์นั้น ส่งผลกระทบในวงกว้างระดับประเทศ เนื่องจากหลังการบังคับใช้ พ.ร.บ.ไซเบอร์ ระบบคอมพิวเตอร์ของหน่วยงานโครงสร้างพื้นฐานสำคัญของประเทศ จะต้องปฏิบัติตามประมวลแนวทางปฏิบัติ และมาตรฐานขั้นต่ำที่สํานักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติกำหนด มีการตรวจสอบ การประเมินความเสี่ยงด้านความมั่นคงปลอดภัยสารสนเทศ เพื่อให้แน่ใจว่าระบบสามารถให้บริการได้อย่างต่อเนื่อง ไม่ทำให้ประชาชนเดือดร้อน

2. มีหน่วยงานที่รับผิดชอบโดยตรง เวลาที่เกิดเหตุการณ์ไม่พึงประสงค์กับหน่วยงานโครงสร้างพื้นฐานสำคัญของประเทศ เช่น สนามบิน ธนาคาร ระบบไฟฟ้า-ปะปา ระบบโทรคมนาคม ระบบอินเทอร์เน็ต ที่ผ่านมาเมื่อเกิดเหตุการณ์ระบบล่มไม่สามารถทำงานได้ หรือมีเหตุการณ์ถูกโจมตีจากแฮกเกอร์ รวมทั้งการโขมยข้อมูลจากองค์กรทั้งภาครัฐละเอกชน ประเทศไทยของเรา ไม่เคยมีหน่วยงานที่เป็นเจ้าภาพออกมาให้สัมภาษณ์นักข่าว หรือ ทำหน้าที่ระงับภัยคุกคามไซเบอร์ดังกล่าว แต่เป็นไปในลักษณะที่เรียกว่า “ต่างคนต่างทำ เท่าที่กำลังจะมี”

หลังจาก พ.ร.บ.ไซเบอร์มีผลบังคับใช้ แล้ว ประเทศไทยของเราจะมีหน่วยงานถาวร ได้แก่ สํานักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ จะเข้ามารับหน้าที่เป็นเจ้าภาพ ในเรื่องการช่วยเหลือหน่วยงานโครงสร้างพื้นฐานสำคัญของประเทศ ในการรับมือภัยคุกคามไซเบอร์ดังกล่าว

3. ประชาชนมีภูมิคุ้มกันรู้ทันเทคโนโลยี เนื่องจากวัตถุประสงค์ในการตรา พ.ร.บ.ไซเบอร์ เพื่อป้องกัน รับมือ และลดความเสี่ยงจากภัยคุกคามทางไซเบอร์ ที่อาจจะกระทบต่อการดำเนินชีวิตของประชาชนไปจนถึงความมั่นคงของรัฐ นับเป็นเรื่องใหม่สำหรับทุกภาคส่วน ทั้งภาครัฐ ภาคเอกชนและภาคประชาชน จึงมีความจำเป็นที่ต้องจัดให้มีการสนับสนุนในเรื่อง การให้ความรู้แก่ประชาชนโดยทั่วไป และ การฝึกอบรมบุคลากร เพื่อให้รองรับการปฏิบัติหน้าที่ ทั้งนี้เพื่อให้การดำเนินงานของหน่วยงานโครงสร้างพื้นฐานสำคัญของประเทศสามารถให้บริการประชาชนอย่างต่อเนื่อง

ปรัชญาที่อยู่เบื้องหลังการตรา พ.ร.บ. ไซเบอร์ ก็คือ การทำให้หน่วยงานโครงสร้างพื้นฐานสำคัญของประเทศ สามารถดูแลตนเองด้านไซเบอร์ และ สามารถรับมือกับภัยคุกคามไซเบอร์ได้ด้วยตนเอง

เมื่อหน่วยงานมีความแข็งแรง มีภูมิคุ้มกันภัยคุกคามไซเบอร์มากขึ้น ย่อมส่งผลต่อความมั่นคงโดยรวมของประเทศในที่สุด โดยสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ มีหน้าที่เป็น ผู้คุมกฎ ผู้ตรวจสอบและประเมิน ผู้กำหนดกรอบมาตรฐานและมาตรฐานขั้นต่ำรวมถึงประมวลแนวทางปฏิบัติ เป็นผู้ผลักดัน ผู้สนับสนุน ให้หน่วยงานมีระเบียบวินัย มีความตั้งใจจริงในการพัฒนาบุคลากร ปฏิบัติตามประมวลแนวทางปฏิบัติและปฏิบัติตามกรอบมาตรฐาน และมาตรฐานขั้นต่ำที่ควรปฏิบัติอย่างสม่ำเสมอและต่อเนื่อง

ตลอดจนส่งเสริมสนับสนุน ให้หน่วยงานโครงสร้างพื้นฐานสำคัญของประเทศ เกิดความตระหนักในภัยคุกคามไซเบอร์ที่จะส่งผลกระทบต่อการดำเนินชีวิตของประชาชน จึงจำเป็นต้องตรา พ.ร.บ.นี้ขึ้นมา เพื่อเป็นประโยชน์ต่อประชาชน ทั้งในปัจจุบันและในอนาคตอันใกล้นี้

ติตตามอ่าน ฉบับเต็มทำไม ? ประเทศไทยต้องมี พ.ร.บ.ไซเบอร์ ….ประชาชนจะได้อะไร หลังการบังคับใช้ พ.ร.บ.ไซเบอร์ ? ของ อาจารย์ปริญญา หอมเอนก ผู้เชี่ยวชาญด้านความมั่นคงปลอดภัยสารสนเทศ