การเปลี่ยนผ่านสู่รัฐบาลดิจิทัลของไทย กำลังเดินมาถึงจุดที่โจทย์ไม่ได้อยู่เพียงการนำเทคโนโลยีเข้ามาใช้ในแต่ละหน่วยงาน หรือย้ายระบบขึ้นคลาวด์ให้ได้มากที่สุด แต่เป็นการทำให้ระบบของภาครัฐ ที่กระจายอยู่ในหลายหน่วยงานสามารถเชื่อมโยงและทำงานร่วมกันได้ โดยยังต้องรักษาความมั่นคงปลอดภัยของระบบและคุ้มครองข้อมูลส่วนบุคคลของประชาชนไปพร้อมกัน
เป้าหมายจึงอยู่ที่การก้าวจากแต่ละหน่วยงานมีระบบและข้อมูลของตัวเอง ไปสู่ Connected Government ที่ประชาชนไม่จำเป็นต้องรู้ว่าเบื้องหลังบริการหนึ่งเกี่ยวข้องกับหน่วยงานใดบ้าง เพราะสิ่งที่ประชาชนควรได้รับคือบริการที่สะดวก เชื่อมต่อกัน และสามารถดำเนินการให้เสร็จได้โดยไม่ต้องกรอกหรือส่งข้อมูลเดิมซ้ำหลายครั้ง
แต่การจะไปถึงจุดนั้นไม่ได้ขึ้นอยู่กับเทคโนโลยีเพียงด้านเดียว หากต้องประกอบด้วยโครงสร้างพื้นฐานที่พร้อม ระบบความมั่นคงปลอดภัยไซเบอร์ที่แข็งแรง การบริหารข้อมูลอย่างมีธรรมาภิบาล และมาตรฐานที่ทำให้หน่วยงานต่าง ๆ สามารถเชื่อมต่อกันได้อย่างมั่นใจ
จากรัฐบาลดิจิทัลสู่บริการที่ประชาชนรู้สึกได้
ดร.อาศิส อัญญะโพธิ์ รองผู้อำนวยการ สำนักงานพัฒนารัฐบาลดิจิทัล (องค์การมหาชน) หรือ DGA มองว่า หัวใจของการปฏิรูปรัฐบาลดิจิทัลอยู่ที่แนวคิด Citizen-Centric หรือการยึดประชาชนเป็นศูนย์กลาง ซึ่งต้องไม่หยุดอยู่เพียงระดับนโยบาย แต่ต้องสะท้อนออกมาผ่านประสบการณ์ของผู้ใช้จริง
ตัวอย่างที่เห็นได้คือแอปพลิเคชัน “เป๋าตัง” ซึ่งนำระบบ KYC มาใช้ทำให้การยืนยันตัวตนสะดวกขึ้น รวมถึงระบบ e-Tax ที่เชื่อมโยงข้อมูลกับกรมสรรพากรผ่าน Digital ID หรือ ThaiID แนวทางเหล่านี้ช่วยลดภาระของประชาชนในการกรอกข้อมูลที่ภาครัฐมีอยู่แล้ว และสะท้อนให้เห็นว่าการเชื่อมโยงระบบหลังบ้านมีผลโดยตรงต่อคุณภาพของบริการที่ประชาชนได้รับ
โจทย์สำคัญของ Connected Government จึงไม่ใช่การสร้างแอปพลิเคชันหรือบริการใหม่ขึ้นมาอย่างต่อเนื่อง แต่เป็นการทำให้ข้อมูลและระบบที่มีอยู่สามารถทำงานร่วมกันได้ เมื่อหลังบ้านเชื่อมต่อกันอย่างมีประสิทธิภาพ บริการด้านหน้าก็มีโอกาสพัฒนาไปสู่บริการที่ประชาชนสามารถดำเนินการให้จบได้ในที่เดียว
อย่างไรก็ตาม อุปสรรคไม่ได้อยู่ที่ความพร้อมของเทคโนโลยีเพียงอย่างเดียว แต่อยู่ที่ “ความกล้าในการเชื่อมโยงข้อมูล” เพราะทุกครั้งที่มีการเชื่อมต่อระบบ ย่อมตามมาด้วยคำถามเรื่องระบบล่ม ข้อมูลรั่วไหล และการละเมิดความเป็นส่วนตัว การสร้าง Connected Government จึงต้องสร้างความมั่นใจให้หน่วยงานไปพร้อมกับการสร้างความสะดวกให้ประชาชน
Hybrid Cloud วางฐานให้ระบบรัฐยืดหยุ่น
เมื่อระบบภาครัฐต้องเชื่อมโยงกันมากขึ้น โครงสร้างพื้นฐานที่รองรับก็ต้องมีความยืดหยุ่นมากขึ้นเช่นกัน แนวทาง Hybrid Cloud และ Multi-Cloud จึงเข้ามามีบทบาท เพราะข้อมูลของภาครัฐไม่ได้มีระดับความสำคัญเท่ากันทั้งหมด การเลือกใช้คลาวด์จึงต้องพิจารณาจากประเภทและระดับความสำคัญของข้อมูลตามหลัก Data Classification
ดร.วงกต วิจักขณ์สังสิทธิ์ รองกรรมการผู้จัดการใหญ่ สายงานดิจิทัลและโซลูชัน บริษัท โทรคมนาคมแห่งชาติ จำกัด (มหาชน) หรือ NT ระบุว่า ปัจจุบันโครงสร้างพื้นฐานด้าน Network และ Data Center ของไทยมีความพร้อมสูง แต่โจทย์ใหม่ที่ต้องพิจารณาควบคู่กันคือเรื่องความยั่งยืน โดยเฉพาะ Green Energy และ AI Infrastructure
เหตุผลคือระบบประมวลผล AI และ Data Center ขนาดใหญ่ต้องใช้พลังงานไฟฟ้าจำนวนมาก ขณะเดียวกันยังต้องพึ่งพาระบบหล่อเย็นที่มีประสิทธิภาพ การวางโครงสร้างพื้นฐานในอนาคตจึงไม่สามารถมองเฉพาะกำลังประมวลผลหรือขนาดของ Data Center แต่ต้องพิจารณาทั้งแหล่งพลังงาน แหล่งน้ำ ตลอดจนความเสี่ยงด้านภูมิศาสตร์ ไม่ว่าจะเป็นพื้นที่สูงหรือพื้นที่ลุ่ม เพื่อให้ระบบสามารถรับมือกับภัยพิบัติหรือเหตุการณ์ที่ไม่คาดคิด และยังคงให้บริการได้อย่างต่อเนื่อง
ในระดับการบริหารจัดการ หน่วยงานภาครัฐยังต้องลดความเสี่ยงจากการผูกติดกับผู้ให้บริการรายเดียว หรือ Vendor Lock-in โดยการใช้ Containerization เพื่อเพิ่มความเป็นอิสระจากแพลตฟอร์ม ขณะที่การเลือกใช้บริการในระดับ Infrastructure as a Service หรือ IaaS จะช่วยเพิ่มความคล่องตัวในการปรับเปลี่ยนหรือโยกย้ายระบบเมื่อจำเป็น
อีกส่วนที่ต้องทำควบคู่กัน คือการจัดกลุ่มข้อมูลให้ชัดเจน เพื่อกำหนดว่าข้อมูลประเภทใดควรอยู่บน Government Cloud และข้อมูลประเภทใดสามารถใช้ Public Cloud ได้ รวมถึงการจัดทำ Business Continuity Plan หรือ BCP เพื่อรองรับกรณีเกิดเหตุ โดยระบบที่ต้องทำงานต่อเนื่องอาจใช้รูปแบบ Active-Active ส่วนระบบรองสามารถใช้ Active-Standby และต้องมีการซักซ้อมอย่างสม่ำเสมอ เพื่อให้แผนที่วางไว้สามารถนำมาใช้ได้จริงเมื่อเกิดปัญหา
Cybersecurity ต้องเริ่มตั้งแต่การออกแบบระบบ
เมื่อภาครัฐเชื่อมโยงข้อมูลและนำระบบขึ้นคลาวด์มากขึ้น พื้นที่ความเสี่ยงย่อมเพิ่มขึ้นตามไปด้วย ความมั่นคงปลอดภัยไซเบอร์จึงไม่ควรถูกมองเป็นขั้นตอนที่เข้ามาจัดการภายหลัง แต่ต้องถูกวางไว้ตั้งแต่การออกแบบและพัฒนาระบบตามหลัก Secure by Design
ว่าที่ร้อยตรี ภูวิชชัย กรเริงเดช ผู้อำนวยการฝ่ายกำหนดมาตรฐาน สำนักบริหารโครงสร้างพื้นฐานสำคัญทางสารสนเทศ สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) ให้ความสำคัญกับแนวคิด Shared Responsibility โดยชี้ให้เห็นว่าความเสี่ยงจำนวนมากไม่ได้เกิดจากช่องโหว่ของ Cloud Provider แต่เกิดจากการตั้งค่าที่ไม่ถูกต้อง หรือ Misconfiguration ของหน่วยงานผู้ใช้บริการเอง โดยเฉพาะในช่วงการ Migration ข้อมูล
ประเด็นนี้ทำให้การย้ายระบบขึ้นคลาวด์ไม่ควรถูกมองว่าเป็นเพียงการเปลี่ยนสถานที่จัดเก็บหรือประมวลผลข้อมูล เพราะเมื่อหน่วยงานเลือกใช้คลาวด์แล้ว ความรับผิดชอบด้านความปลอดภัยไม่ได้ถูกโอนไปให้ผู้ให้บริการทั้งหมด หน่วยงานเจ้าของระบบยังต้องเข้าใจว่าตัวเองมีหน้าที่ดูแลส่วนใด และต้องตั้งค่าระบบอย่างไรให้เหมาะสม
เพื่อช่วยหน่วยงานที่มีข้อจำกัดทั้งด้านงบประมาณและบุคลากร สกมช. ได้ผลักดันแพลตฟอร์ม vCISO ซึ่งเป็นระบบ Open Source และให้บริการฟรี โดยนำ AI เข้ามาช่วยตั้งแต่การตรวจสอบ Source Code เพื่อค้นหาจุดอ่อนก่อนนำระบบไปใช้งาน การประเมินความสอดคล้องกับมาตรฐานความปลอดภัยไซเบอร์ ไปจนถึงการทำ Dynamic Scan ทั้งในระดับ Network และ Application เพื่อตรวจจับพฤติกรรมผิดปกติอย่างต่อเนื่อง พร้อมวิเคราะห์และเสนอแนวทางแก้ไขปัญหา
ขณะเดียวกัน ภาครัฐยังต้องให้ความสำคัญกับภัยคุกคามในรูปแบบ Supply Chain Attack เพราะระบบดิจิทัลไม่ได้ทำงานแยกจากกัน โดยเฉพาะระบบสำคัญอย่าง Digital ID หรือ ThaiID ที่มีการเชื่อมโยงข้ามหน่วยงาน หากส่วนใดส่วนหนึ่งของระบบมีปัญหา ผลกระทบอาจขยายไปยังบริการอื่นได้ การซักซ้อม National Cyber Security Exercise จึงมีความสำคัญต่อการเตรียมความพร้อม เพื่อให้หน่วยงานรู้ว่าต้องรับมืออย่างไร และสามารถทำให้ระบบกลับมาทำงานได้อย่างรวดเร็วเมื่อเกิดเหตุ
เชื่อมข้อมูลมากขึ้นยิ่งต้องคุ้มครอง Privacy ตั้งแต่ต้น
ขณะที่ Cybersecurity ทำหน้าที่ปกป้องระบบและข้อมูลจากภัยคุกคาม การคุ้มครองข้อมูลส่วนบุคคลเป็นอีกด้านที่ต้องดำเนินไปพร้อมกัน เพราะยิ่งภาครัฐเชื่อมโยงข้อมูลระหว่างหน่วยงานมากขึ้น ความเสี่ยงต่อความเป็นส่วนตัวของประชาชนก็เพิ่มขึ้นตามไปด้วย
ร้อยโท ฐานันดร สำราญสุข ผู้อำนวยการฝ่ายเฝ้าระวังและติดตามสถานการณ์ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ระบุว่า การคุ้มครองข้อมูลส่วนบุคคลต้องเริ่มจากหลัก Privacy by Design ตั้งแต่ขั้นตอนการเขียนโครงการและการออกแบบสถาปัตยกรรมข้อมูล ไม่ใช่รอให้ระบบพัฒนาเสร็จแล้วจึงนำมาตรการด้าน Privacy เข้าไปเพิ่มเติมภายหลัง
หลักสำคัญอีกประการคือ Data Minimization หรือการเก็บข้อมูลเท่าที่จำเป็น เพราะยิ่งเก็บข้อมูลมากและมีการเชื่อมโยงระหว่างหน่วยงานมากขึ้น ความเสี่ยงก็เพิ่มขึ้นตามไปด้วย สิ่งที่ต้องระวังในระยะต่อไปคือ “ข้อมูลรั่วไหลเวอร์ชันสอง” ซึ่งต่างจากปัญหาข้อมูลรั่วไหลจากระบบเดิม เพราะความเสี่ยงรอบใหม่อาจเกิดจากการเชื่อมโยงข้อมูลระหว่างหน่วยงานโดยไม่มีมาตรการควบคุมที่เหมาะสม
การยกระดับมาตรฐานจึงต้องเดินควบคู่กับการเฝ้าระวังเชิงรุก โดยมี โครงการ Touch Plus เพื่อยกระดับหน่วยงานไปสู่มาตรฐาน PDPA Plus ขณะที่ ศูนย์ PDPC Eagle Eye ทำหน้าที่เฝ้าระวังการรั่วไหลของข้อมูลบน Dark Web และสื่อออนไลน์ตลอด 24 ชั่วโมง
หน่วยงานยังต้องปฏิบัติตามข้อกำหนดในการแจ้งเหตุละเมิดข้อมูลภายใน 72 ชั่วโมง พร้อมกับการตรวจประเมินหน่วยงานภาครัฐและท้องถิ่นกว่า 188 แห่งทั่วประเทศ รวมถึงการผลักดันมาตรฐานของอุปกรณ์ เช่น กล้อง CCTV และระบบ Biometric เพื่อป้องกันการส่งข้อมูลออกนอกประเทศโดยไม่ได้รับอนุญาต ตลอดจนการใช้มาตรการทางกฎหมายกับเจ้าหน้าที่ที่ปล่อยปละละเลย
Connected Government ต้องเชื่อมทั้งระบบไม่ใช่แค่ข้อมูล
เมื่อมองภาพรวม การพัฒนารัฐบาลดิจิทัลไม่ได้มีหน่วยงานใดหน่วยงานหนึ่งเป็นเจ้าของโจทย์ทั้งหมด แต่ต้องอาศัยการทำงานร่วมกันของหน่วยงานที่รับผิดชอบตั้งแต่การพัฒนารัฐบาลดิจิทัล โครงสร้างพื้นฐาน ความมั่นคงปลอดภัยไซเบอร์ ไปจนถึงการคุ้มครองข้อมูลส่วนบุคคล เพื่อให้ระบบนิเวศดิจิทัลภาครัฐเดินไปในทิศทางเดียวกัน
แนวทางสำคัญคือ หน่วยงานภาครัฐไม่จำเป็นต้องเริ่มพัฒนาทุกอย่างจากศูนย์ หากสามารถใช้ทรัพยากรกลางที่มีอยู่แล้ว ไม่ว่าจะเป็นบริการ Cloud จาก GDCC การเชื่อมโยงผ่าน API หรือระบบยืนยันตัวตน Digital ID ที่เป็นไปตาม Digital Service Standards ของประเทศ การใช้โครงสร้างพื้นฐานและมาตรฐานร่วมกันจะช่วยลดการทำงานซ้ำซ้อน และทำให้การเชื่อมโยงระหว่างหน่วยงานทำได้ง่ายขึ้น
แต่ก่อนจะตัดสินใจว่าจะเชื่อมระบบใด ย้ายอะไรขึ้นคลาวด์ หรือเพิ่มมาตรการรักษาความปลอดภัยตรงไหน สิ่งแรกที่ทุกหน่วยงานต้องรู้คือ ตัวเองมีระบบและข้อมูลอะไรอยู่บ้าง การทำ Inventory Survey & Classification เพื่อสำรวจและจัดกลุ่มระบบและข้อมูลทั้งหมดจึงเป็นจุดเริ่มต้นสำคัญ เพราะหากไม่มี Inventory ที่ชัดเจน การวางยุทธศาสตร์ Cybersecurity หรือการทำ Cloud Migration ก็อาจไม่สอดคล้องกับความเสี่ยงที่แท้จริง
ท้ายที่สุด เทคโนโลยีและมาตรฐานจะทำหน้าที่ได้เต็มประสิทธิภาพก็ต่อเมื่อผู้บริหารหน่วยงานพร้อมนำไปใช้ การเชื่อมโยงข้อมูลจึงต้องเดินควบคู่กับการสร้างความมั่นใจว่าแต่ละหน่วยงานมีมาตรการดูแลข้อมูลและระบบที่เหมาะสม รวมถึงปรับปรุงมาตรการรักษาความปลอดภัยอย่างต่อเนื่องเพื่อลด Attack Surface
เส้นทางสู่ Connected Government จึงไม่ใช่เพียงการนำระบบราชการขึ้นคลาวด์ หรือเชื่อมฐานข้อมูลจำนวนมากเข้าด้วยกัน แต่คือการทำให้โครงสร้างพื้นฐาน ความมั่นคงปลอดภัยไซเบอร์ การคุ้มครองข้อมูลส่วนบุคคล และมาตรฐานการให้บริการทำงานประสานกัน โดยมีประชาชนเป็นจุดหมายปลายทางของการเปลี่ยนแปลง
เพราะท้ายที่สุด ประชาชนอาจไม่จำเป็นต้องรู้ว่าข้อมูลของตัวเองเดินทางผ่าน Cloud ใด ใช้ API ใด หรือเชื่อมต่อกับหน่วยงานใดบ้าง สิ่งที่ประชาชนควรได้รับคือบริการภาครัฐที่ใช้งานง่าย เชื่อมโยงกัน มีความปลอดภัย และไม่ต้องส่งข้อมูลเดิมให้รัฐซ้ำแล้วซ้ำอีก ซึ่งนั่นคือเป้าหมายของรัฐบาลดิจิทัลที่ยึดประชาชนเป็นศูนย์กลางอย่างแท้จริง
ข่าวอื่น ๆ ที่น่าสนใจ
Whoscall ชี้ไทยเบอร์ 1 อาชญากรรมไซเบอร์เอเชีย ยอดมิจฉาชีพพุ่งสวนทางโลก
TikTok ลุย #คนไทยรู้ทัน ซีซัน 3 ผนึก 13 พันธมิตร ยกระดับสู้ภัยไซเบอร์-AI หลอกลวง
