UID: 67609

ดร.กิริฎา เภาพิจิตร ผู้อำนวยการวิจัย นโยบายเศรษฐกิจระหว่างประเทศและการพัฒนา และ ผู้อำนวยการโครงการวิ

วันนี้ (8 ก.ย.2564) นายชัยวุฒิ ธนาคมานุสรณ์ รมว.ดิจิทัลเพื่อเศรษฐกิจและสังคม (ดีอีเอส) แถลงกรณีมีการ

วันนี้ (8 ก.ย.2564) นายชัยวุฒิ ธนาคมานุสรณ์ รมว.ดิจิทัลเพื่อเศรษฐกิจและสังคม (ดีอีเอส) แถลงกรณีมีการแฮกข้อมูลโรงพยาบาลเพชรบูรณ์ ว่า จากการตรวจสอบโรงพยาบาลเพชรบูรณ์มีการพัฒนาระบบเว็บแอปพลิเคชันขึ้นมาใช้เองเป็นการภายใน ซึ่งเป็นระบบที่อาจไม่ได้มาตรฐาน มีการใช้มานานและอาจไม่ได้อัปเดตซอร์ฟแวร์ หรือระบบที่รักษาความมั่นคงปลอดภัยทางไซเบอร์ได้ตามมาตรฐาน และมีการเชื่อมต่อระบบอินเทอร์เน็ตทำให้ถูกโจมตีได้ กระทรวงดีอีเอส ระงับการเชื่อมต่ออินเทอร์เน็ต และมีการจัดทีมเข้าไปวิเคราะห์ข้อมูล เพื่อตรวจสอบว่ามีใครเข้าไปในระบบ และหาตัวตนผู้ที่เข้ามากระทำความผิด เพื่อดำเนินคดีและจับกุมคนเหล่านี้ให้ได้  เบื้องต้น มีความผิดตามกฎหมายความมั่นคงทางไซเบอร์ และ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล โทษจำคุก 1 ปี ปรับ 1,000,000 บาท ด้าน พล.ท.ปรัชญา เฉลิมวัฒน์ เลขาธิการคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ ระบุว่า ระบบที่ถูกโจมตีก่อนหน้านี้มีการใช้ลักษณะอินทราเน็ต แต่เมื่อเริ่ม Work From Home ทำให้ต้องมีการเชื่อมต่ออินเทอร์เน็ตมากขึ้น จนกลายเป็นเป้าหมายที่โจมตีได้ง่าย โดยช่วงนี้มีการโจมตีหลายหน่วย แต่อาจไม่เป็นข่าวเพราะจำนวนเรคคอร์ดที่ถูกขโมยไม่มากเท่าโรงพยาบาลเพชรบูรณ์ สำหรับกระบวนการแฮกข้อมูลที่ผ่านมานั้น มักจะพบแฮกเกอร์ต่างชาติ ซึ่งมีทั้งสหรัฐฯ รัสเซีย จีน และเกาหลีเหนือ ส่วนใหญ่แฮกเกอร์นอกประเทศ จะมาแฮกเครื่องในประเทศไทย แล้วเอาเครื่องไปแฮกที่อื่นต่อ ขณะนี้มีการพัฒนาการโจมตี ไม่เพียงใช้เทคนิคอย่างเดียว แต่มีการให้ข้อเสนอบุคลากรในองค์กร โดยให้ส่วนแบ่งหากขายข้อมูลได้ แลกกับพาสเวิร์ดเข้าระบบหรือเปิด VPN เพิ่มช่องโหว่ ลักษณะนี้จะ ทำให้การป้องกันยากขึ้น ดังนั้น ในองค์กรใหญ่ ๆ ในต่างประเทศจะมีการสลับงานเพื่อไม่ให้คนหนึ่งทำงานที่เดิมตลอด ผลัดเปลี่ยนคนใหม่มาตรวจสอบความผิดปกติ ขณะที่นายภุชพงค์ โนดไธสง รองปลัดกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม ระบุว่า ความผิดมี 2 ส่วน ส่วนแรกคือแฮกเกอร์ มีความผิดในส่วนของ พ.ร.บ.คอมพิวเตอร์ มาตรา 7 การเข้าถึงข้อมูลที่มีระบบป้องกันไว้โดยมิชอบ จำคุก 2 ปี ปรับไม่เกิน 40,000 บาท ส่วนที่ 2 เป็นความผิดของผู้คุ้มครองข้อมูล หรือโรงพยาบาล ซึ่งมีกฎหมายคุ้มครองข้อมูลส่วนบุคคลแม้จะขยายเวลาออกไปถึง 31 พ.ค.2565 แต่ พ.ร.ฎ. เขียนว่า "ทั้งนี้ ต้องดำเนินการตามมาตรการที่กระทรวงกำหนด" ซึ่งเมื่อวันที่ 17 ก.ค.2563 ได้มีการประกาศกฎกระทรวงว่าด้วยมาตรการรักษาความมั่นคงปลอดภัยข้อมูลส่วนบุคคล พ.ศ.2563 มีมาตรฐานขั้นต่ำในการรักษาความปลอดภัยข้อมูลไซเบอร์ รวมทั้งการกำหนดตัวตนเข้าถึง มีการมอบนโยบายเจ้าหน้าที่ในหน่วยงานในการคุ้มครองข้อมูลส่วนบุคคล หากโรงพยาบาลไม่ได้ดำเนินการจะถือว่ามีความผิดทั้งทางแพ่ง ค่าสินไหมไม่เกิน 2 เท่า ทั้งทางอาญา และทางปกครองปรับสูงสุด 5,000,000 บาท น.ส.อัจฉรินทร์ พัฒนพันธ์ชัย ปลัดกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม ระบุว่า กระทรวงดีอีเอสมี ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์ประเทศไทย (ไทยเซิร์ต) ประสานหน่วยราชการทุกกระทรวง เพื่อเฝ้าระวังความปลอดภัยให้แล้ว 250 หน่วยงาน อย่างไรก็ตาม กระทรวงสาธารณสุขไม่ได้นำโรงพยาบาลระดับจังหวัดที่มีฐานข้อมูลจำนวนมากเข้าสู่ระบบเฝ้าระวังของไทยเซิร์ต ซึ่งเป็นการเปิดโอกาสให้ภัยคุกคามทางไซเบอร์เข้ามาจู่โจมได้ ดังนั้น จึงอยากเชิญชวนให้กระทรวงสาธารณสุขปรับปรุงระบบและเข้าร่วมกับไทยเซิร์ตซึ่งให้บริการหน่วยงานรัฐโดยไม่เสียค่าใช้จ่าย นาวาอากาศเอกอมร ชมเชย ผอ.ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ ยังได้กล่าวถึงการติดตามแฮกเกอร์ว่า จากสถิติ The World Economic Forum ได้รวบรวมไว้ โอกาสประสบความสำเร็จในการหาคนผิดมาลงโทษอยู่ที่ 0.5% ดังนั้น มาตรการที่เฝ้าระวังต้องมาก่อน การจับคนผิดมาลงโทษไม่ใช่การแก้ปัญหา เพราะข้อมูลส่วนบุคคลได้รั่วไปแล้ว แต่การดำเนินการเพื่อติดตามคนผิดมาดำเนินคดีก็ยังดำเนินต่อไป ส่วนกรณีกระแสข่าวว่า มีการปล่อยข้อมูลกองทัพนั้น ตรวจสอบเบื้องต้น พบว่าเป็นไปตามที่มีรายงานข่าว โดยข้อมูลส่วนนี้ใช้ในหน่วยงานเท่านั้น ไม่ใช่ระบบที่ใช้ป้องกันประเทศ แต่เป็นเว็บไซต์ข้อมูลเชิงประชาสัมพันธ์ ขณะนี้ได้ประสานหน่วยงานดังกล่าวเพื่อเข้าไปประเมินความเสียหายอีกครั้ง ส่วนกระแสข่าวกรณีข้อมูลชุดใหญ่ 30สด หวย รัฐบาล ล้านรายการ ข้อชี้แจงว่า การประกาศขายไม่ใช่ทุกครั้งจะเป็นเรื่องจริง แม้ข้อมูลตัวอย่างมีข้อบ่งชี้ว่าใช่ แต่จากมอนิเตอร์พบว่า เดือน ก.ค.เคยมีการประกาศขายมาแล้ว แต่ขายไม่ออก ครั้งนี้กลับมาประกาศขายอีกครั้งแต่ได้ถูกถอนออกไปแล้วเช่นกัน ซึ่งแฮกเกอร์อาจจะมีการปล่อยข้อมูลลวงแล้วฝังมัลแวร์ติดมาด้วยเพื่อไปขยายผลในการดำเนินการด้านอื่น ดังนั้น เมื่อมีการเผยแพร่ผ่านเว็บไซต์ฐานข้อมูล ต้องมีการตรวจสอบก่อน เพราะอาจทำให้เกิดความตระหนกได้ อ่านข่าวที่เกี่ยวข้อง เพจดังอ้างพบอีกเจาะข้อมูลชุดใหญ่ 30 ล้านรายการ ย้อนคดีโรงพยาบาล-สำนักงานปลัดเคยถูก "แฮกข้อมูล" มาแล้ว สธ.ขอโทษปมถูกแฮก ล้อมคอกตั้งศูนย์เฝ้าระวังฯ ไซเบอร์ภาคสุขภาพ "ดีอีเอส" ยอมรับข้อมูลผู้ป่วย 16 ล้านคน ถูกแฮก

วันนี้ (3 เม.ย.2567) กรมอุตุนิยมวิทยา พยากรณ์อากาศ 24 ชั่วโมงข้างหน้า ความกดอากาศต่ำเนื่องจากความร้อ