19 สิงหาคม 2569 – สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) จัดการประชุมคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (กมช.) ครั้งที่ 3/2569 โดยมีนายไชยชนก ชิดชอบ รัฐมนตรีว่าการกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม เป็นประธานการประชุม ณ ห้องประชุม 0203 ชั้น 2 กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม และผ่านสื่ออิเล็กทรอนิกส์ เพื่อเร่งขับเคลื่อนมติคณะรัฐมนตรี เมื่อวันที่ 11 สิงหาคม 2569 เพื่อกำหนดมาตรการป้องกันข้อมูลส่วนบุคคลและข้อมูลสำคัญของภาครัฐจากความเสี่ยงกรณีบัญชีผู้ใช้งานสำหรับยืนยันตัวตน (Credential) รั่วไหล โดยผลักดันการใช้ การยืนยันตัวตนหลายปัจจัย (Multi-Factor Authentication: MFA) ให้เกิดผลอย่างเป็นรูปธรรมในหน่วยงานภาครัฐ
การประชุมครั้งนี้มุ่งแก้ไขความเสี่ยงจาก Credential รั่วไหล ซึ่งเป็นหนึ่งในช่องทางสำคัญที่ผู้ไม่หวังดีสามารถนำชื่อผู้ใช้งานและรหัสผ่านไปใช้เข้าถึงระบบโดยไม่ได้รับอนุญาต อันอาจนำไปสู่การเข้าถึงข้อมูลส่วนบุคคล ข้อมูลสำคัญของหน่วยงาน หรือขยายผลไปสู่การโจมตีระบบและบริการดิจิทัลภาครัฐในวงกว้าง เพื่อให้การดำเนินงานไม่หยุดอยู่เพียงระดับนโยบาย ที่ประชุมได้เชิญปลัดกระทรวงทุกกระทรวง เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล กรมการปกครอง สำนักงานพัฒนารัฐบาลดิจิทัล และหน่วยงานที่เกี่ยวข้องร่วมรับทราบแนวทางและร่วมกำหนดทิศทางการขับเคลื่อน ก่อนถ่ายทอดมาตรการไปยังหน่วยงานในสังกัดทั่วประเทศ โดยมุ่งให้แต่ละกระทรวงมีเป้าหมาย วิธีดำเนินงาน และระบบติดตามผลที่สอดคล้องกัน สามารถตรวจสอบความก้าวหน้าและประเมินผลได้อย่างเป็นระบบ
หัวใจสำคัญของการขับเคลื่อน คือ การเร่งนำ Multi Factor Authentication (MFA) มาใช้กับระบบสารสนเทศภาครัฐ โดยให้ความสำคัญเป็นลำดับแรกกับระบบบริการประชาชน ระบบที่มีความสำคัญหรือมีความเสี่ยงสูง ระบบที่จัดเก็บหรือประมวลผลข้อมูลส่วนบุคคลและข้อมูลสำคัญ รวมถึงบัญชีผู้ใช้งานที่มีสิทธิระดับสูง เพื่อเพิ่มชั้นการป้องกันเหนือกว่าการใช้ชื่อผู้ใช้งานและรหัสผ่านเพียงอย่างเดียว การใช้ MFA จะช่วยลดโอกาสที่ผู้ไม่หวังดีจะเข้าถึงระบบได้สำเร็จ แม้ Credential ของผู้ใช้งานจะถูกขโมยหรือรั่วไหล เนื่องจากยังต้องผ่านปัจจัยยืนยันตัวตนเพิ่มเติม เช่น รหัสแบบใช้ครั้งเดียว หรือกลไกยืนยันตัวตนอื่นที่หน่วยงานกำหนด จึงเป็นมาตรการสำคัญในการลดความเสี่ยงจากการยึดบัญชีผู้ใช้งานและการเข้าถึงระบบโดยไม่ได้รับอนุญาต
ที่ประชุมเห็นชอบให้ขับเคลื่อนมาตรการตามกรอบระยะเวลา 15-30–60–90-180 วัน พร้อมกำหนดรูปแบบการรายงานผลที่ชัดเจน โดยให้แต่ละกระทรวงแต่งตั้ง DPO ของแต่ละกระทรวง เป็น Focal Point ระดับกระทรวง ทำหน้าที่เป็นศูนย์กลางประสานงาน กำกับ และติดตามการดำเนินงานของหน่วยงานในสังกัด เพื่อให้สามารถเห็นสถานะความพร้อม ปัญหาอุปสรรค และผลการดำเนินงานในภาพรวมได้อย่างต่อเนื่อง และกำชับให้ทุกหน่วยงาน Reset Password ระบบที่สำคัญ ภายใน 2 วัน ปิดระบบที่ไม่ใช้งานทันที สำหรับหน่วยงานที่ยังไม่สามารถเปิดใช้ MFA กับระบบสำคัญได้ทันที เนื่องจากข้อจำกัดด้านเทคนิค งบประมาณ หรือทรัพยากร ที่ประชุมกำหนดให้มี มาตรการทดแทนเพื่อลดความเสี่ยง ควบคู่กับการจัดทำแผนแก้ไข ระบุผู้รับผิดชอบ และกำหนดวันแล้วเสร็จอย่างชัดเจน โดยให้หัวหน้าหน่วยงานกำกับติดตามการดำเนินงานอย่างใกล้ชิด เพื่อมิให้ข้อจำกัดดังกล่าวกลายเป็นช่องว่างด้านความมั่นคงปลอดภัย
นอกจากนี้ นายไชยชนก ยังได้สั่งการให้ สกมช. ร่วมกับสำนักงานคณะกรรมการดิจิทัลเพื่อเศรษฐกิจและสังคมแห่งชาติ ร่วมสำรวจและจัดทำ Cryptographic Inventory ประเมินความเสี่ยง และจัดทำ PQC Migration Plan เพื่อเตรียมประเทศไทยเปลี่ยนผ่านสู่ Post-Quantum Cryptography (PQC) รองรับภัยคุกคามจากคอมพิวเตอร์ควอนตัมในอนาคต ก่อนเสนอคณะกรรมการดิจิทัลเพื่อเศรษฐกิจและสังคมแห่งชาติ และคณะรัฐมนตรี พิจารณาต่อไป
การขับเคลื่อนครั้งนี้ถือเป็นอีกก้าวสำคัญในการยกระดับความมั่นคงปลอดภัยไซเบอร์ของภาครัฐ ตั้งแต่การลดความเสี่ยงจาก Credential รั่วไหล การยกระดับการยืนยันตัวตนและมาตรฐานการเข้ารหัส ไปจนถึงการเตรียมความพร้อมรองรับภัยคุกคามในอนาคต เพื่อเสริมความมั่นคงปลอดภัยของระบบดิจิทัลภาครัฐ และสร้างความเชื่อมั่นให้ประชาชนสามารถใช้บริการภาครัฐได้อย่างปลอดภัยและต่อเนื่อง