กรณีศึกษา ‘สิงคโปร์’ เอาจริงเหตุข้อมูลรั่ว ไล่ออกคนผิด-ปรับหน่วยงานรัฐ

กรณีข้อมูลทะเบียนรถและข้อมูลส่วนบุคคลของประชาชนปรากฏบนเว็บไซต์และสื่อสังคมออนไลน์ กลายเป็นบททดสอบครั้งใหม่ของระบบคุ้มครองข้อมูลภาครัฐไทย โดยหน่วยงานเจ้าของข้อมูลที่ถูกระบุถึงมีอย่างน้อยสองแห่ง คือกรมการขนส่งทางบก และกรมการปกครองในส่วนของฐานข้อมูลลงทะเบียนกิจกรรมจิตอาสาที่มีภาพใบหน้า 

ผลตรวจสอบเบื้องต้นที่รัฐบาลแถลงเมื่อวันที่ 5 สิงหาคม 2569 ระบุว่า เหตุการณ์ครั้งนี้ไม่ได้เกิดจากการเจาะระบบและดึงฐานข้อมูลออกไปทั้งหมด แต่เป็นการนำชื่อผู้ใช้และรหัสผ่านที่รั่วไหลอยู่ก่อนแล้วมาเข้าสู่ระบบตามสิทธิของบัญชี จากนั้นจึงค้นข้อมูลเป็นรายกรณี โดยเบื้องต้นพบว่ามีประชาชนถูกสืบค้นข้อมูลประมาณ 800 ราย

ขณะที่กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมให้รายละเอียดว่า การเข้าถึงเกิดจากหมายเลขไอพีเพียงจุดเดียว และมีการใช้บัญชีผู้ใช้เข้าสู่ระบบเพียง 2 ครั้ง ก่อนนำข้อมูลออกมาเผยแพร่ พร้อมยืนยันว่าช่องทางดังกล่าวถูกปิดแล้ว 

นอกจากนี้ รัฐบาลยังกำหนดให้ระบบภาครัฐทั้งระบบใหม่และระบบเดิมที่จัดเก็บข้อมูลประชาชน ต้องใช้การยืนยันตัวตนหลายชั้น หรือ Multi-Factor Authentication (MFA) ภายใน 30 วัน รวมทั้งจัดทำ Audit Log เพื่อให้ตรวจสอบย้อนหลังได้ และเร่งแก้ไขทันทีเมื่อได้รับแจ้งว่าบัญชีหรือรหัสผ่านของเจ้าหน้าที่รั่วไหล

อย่างไรก็ตาม เมื่อเปรียบเทียบกับการรับมือกรณีข้อมูลภาครัฐรั่วไหลในต่างประเทศ เช่นประเทศใกล้เคียงอย่าง “สิงคโปร์” รัฐบาลไทยยังขาดมาตรการสำคัญหลายด้าน ทั้งการแจ้งผู้ได้รับผลกระทบเป็นรายบุคคล การเปิดเผยขอบเขตความเสียหาย การช่วยเหลือเมื่อข้อมูลถูกนำไปสวมรอย การสอบสวนโดยองค์กรอิสระ ไม่ใช่หน่วยงานรัฐด้วยกันเอง ตลอดจนการลงโทษหน่วยงานที่บกพร่องในการดูแลข้อมูล

ช่องว่างเหล่านี้ยังต้องได้รับการแก้ไข ก่อนจะสรุปได้ว่าไทยมีมาตรการรับมือที่เข้มงวดเทียบเท่ามาตรฐานสากล

ไทยเข้มด้านอุดช่องโหว่ แต่คำถามเรื่องสิทธิประชาชนยังไม่จบ

จุดแข็งของมาตรการไทยในการจัดการเหตุดังกล่าว คือการบังคับใช้การยืนยันตัวตนหลายชั้น หรือ MFA กับระบบภาครัฐเดิมทั้งหมดภายใน 30 วัน พร้อมกำหนดให้จัดเก็บบันทึกการใช้งานเพื่อตรวจสอบย้อนหลัง 

มาตรการดังกล่าวสอดคล้องกับสาเหตุเบื้องต้นของเหตุการณ์ เพราะแม้ผู้ไม่หวังดีจะมีรหัสผ่าน ก็ยังต้องผ่านการยืนยันตัวตนอีกชั้นหนึ่ง ขณะที่ Audit Log จะช่วยตรวจสอบได้ว่าใครค้นข้อมูลใด เมื่อใด และมีปริมาณการค้นผิดปกติหรือไม่

อย่างไรก็ตาม MFA และ Audit Log เป็นเพียงสองชั้นของระบบป้องกัน หน่วยงานที่จัดเก็บข้อมูลประชาชนยังควรจำกัดสิทธิของแต่ละบัญชีเท่าที่จำเป็น กำหนดเพดานจำนวนและความถี่ในการค้นข้อมูล ตรวจจับพฤติกรรมผิดปกติ เช่น การค้นข้อมูลจำนวนมากหรือการใช้งานนอกเวลาปกติ รวมถึงจำกัดข้อมูลที่แสดงผลให้เหลือเฉพาะส่วนที่จำเป็น แต่คำสั่งของรัฐบาลที่เปิดเผยจนถึงขณะนี้ยังไม่ได้แจกแจงว่า มาตรการเหล่านี้จะครอบคลุมระบบใดบ้างและต้องดำเนินการภายในกรอบเวลาเท่าใด

ขณะเดียวกัน คำอธิบายว่าเหตุการณ์ครั้งนี้ “ไม่ใช่การแฮ็กฐานข้อมูล” ไม่ได้ทำให้ความรับผิดของหน่วยงานผู้ควบคุมข้อมูลสิ้นสุดลง เพราะการที่บุคคลซึ่งไม่มีอำนาจนำรหัสผ่านของเจ้าหน้าที่ไปใช้ ยังคงเป็นการเข้าถึงและเปิดเผยข้อมูลโดยมิชอบ อีกทั้งอาจสะท้อนถึงความหละหลวมของทั้งเจ้าหน้าที่และระบบ จึงจำเป็นต้องสืบสวนหาผู้รับผิดชอบและดำเนินมาตรการลงโทษต่อไป

ตามมาตรา 37 แห่ง พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลมีหน้าที่จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม และต้องแจ้งเหตุแก่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมงนับแต่ทราบเหตุ เว้นแต่ประเมินแล้วว่าเหตุการณ์ดังกล่าวไม่มีความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล หากมีความเสี่ยงสูง ผู้ควบคุมข้อมูลต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาโดยไม่ชักช้า

อย่างไรก็ดี ณ วันที่ 6 สิงหาคม 2569 มีความคืบหน้าเฉพาะในระดับคำสั่งการ โดยสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ระบุว่าได้ประสานหน่วยงานตรวจสอบข้อเท็จจริงทันทีที่ได้รับรายงาน และกำชับให้กรมการขนส่งทางบกและกรมการปกครองในฐานะหน่วยงานเจ้าของข้อมูล ตรวจสอบข้อเท็จจริง ระงับเหตุ และรายงานเหตุละเมิดต่อ สคส. ขณะที่อธิบดีกรมการขนส่งทางบกระบุตั้งแต่วันที่ 4 สิงหาคมว่าจะแจ้ง สคส. ภายใน 3 วัน

แต่ถ้อยแถลงสาธารณะที่ตรวจสอบได้ยังไม่ยืนยันว่า หน่วยงานผู้ควบคุมข้อมูลได้แจ้งเหตุต่อ สคส. แล้วเมื่อใดและผลประเมินความเสี่ยงเป็นอย่างไร ประชาชนประมาณ 800 รายได้รับแจ้งโดยตรงแล้วหรือไม่ ข้อมูลส่วนใดของแต่ละคนถูกเปิดดูหรือเผยแพร่ และมีมาตรการช่วยเหลือผู้ที่อาจถูกสวมรอยอย่างไร

กล่าวโดยสรุป แม้การตอบสนองของไทยอาจจะค่อนข้างเข้มข้นในมิติทางเทคนิค แต่ยังไม่สมบูรณ์ในด้านการคุ้มครองสิทธิและการกำหนดความรับผิด โดยเฉพาะการตรวจสอบหน่วยงานเจ้าของฐานข้อมูลและผู้ดูแลระบบ ซึ่งมีหน้าที่โดยตรงในการรักษาความมั่นคงปลอดภัยของข้อมูลประชาชน และควรมีส่วนรับผิดชอบต่อเหตุการณ์ที่เกิดขึ้นด้วย

ผู้เชี่ยวชาญ SET ชี้ “ลูปข้อมูลรั่ว” ปัญหาไม่จบแค่รหัสผ่านถูกขโมย

นายณัฐ เหลืองนฤมิตชัย ผู้ช่วยผู้จัดการและ Technology Excellence Expert ตลาดหลักทรัพย์แห่งประเทศไทย (SET) ซึ่งเป็นหนึ่งในทีมที่ปรึกษาของรองนายกรัฐมนตรีและรัฐมนตรีว่าการกระทรวงพาณิชย์ แสดงความคิดเห็นผ่านเฟซบุ๊กส่วนตัวว่า ปัญหาข้อมูลรั่วของภาครัฐไทยมักเกิดขึ้นซ้ำในรูปแบบเดิม ตั้งแต่การพบช่องโหว่ การปฏิเสธว่าฐานข้อมูลหลักไม่ได้ถูกแฮ็ก การมุ่งดำเนินคดีกับผู้เปิดเผยข้อมูล ไปจนถึงการยอมรับในภายหลังว่าบัญชีและรหัสผ่านของเจ้าหน้าที่ถูกนำไปใช้เข้าถึงระบบ

นายณัฐระบุว่า เริ่มมองเห็นวงจรดังกล่าวอย่างชัดเจนหลังรู้จักกับนายธนารัตน์ กัววัฒนาพันธ์ หรือ “เอิร์ธ” ประธานเจ้าหน้าที่บริหารบริษัท DomeCloud และผู้เชี่ยวชาญด้านความมั่นคงปลอดภัยไซเบอร์ จากกรณีข้อมูลในระบบประกันสังคมรั่วไหล หลังจากนั้นเขาพบเหตุการณ์ลักษณะเดียวกันอีกหลายครั้ง โดยทั้งรูปแบบของปัญหาและวิธีตอบสนองของหน่วยงานรัฐแทบไม่เปลี่ยนแปลง

นายณัฐยังอ้างถึงคำบอกเล่าจากผู้ใหญ่รายหนึ่งเมื่อ 6-7 ปีก่อนว่า เคยมีการสำรวจอย่างคร่าว ๆ และพบว่าเจ้าหน้าที่รัฐกว่า 100,000 คนมีสิทธิเข้าถึงระบบทะเบียนราษฎร์ของประชาชนทั่วประเทศ ในตอนแรกเขาเข้าใจว่าเจ้าหน้าที่หนึ่งคนสามารถเข้าถึงข้อมูลประชาชนได้ 100,000 ราย แต่เมื่อสอบถามอีกครั้งจึงทราบว่า ตัวเลขดังกล่าวหมายถึงเจ้าหน้าที่รัฐมากกว่า 100,000 คนที่สามารถเข้าถึงข้อมูลของคนไทยได้ทั่วประเทศ

แม้ในเวลานั้นนายณัฐจะยังไม่เชื่อตัวเลขดังกล่าวทั้งหมด แต่เมื่อได้เห็นการทำงานของระบบภาครัฐด้วยตนเอง กลับมองว่าตัวเลขดังกล่าวอาจไม่ได้เกินจริง และอาจต่ำกว่าความเป็นจริงด้วยซ้ำ เนื่องจากมีหลายหน่วยงานที่สามารถเข้าถึงข้อมูลส่วนบุคคลจำนวนมาก ขณะที่มาตรฐานการกำหนดสิทธิและการรักษาความปลอดภัยยังเป็นข้อกังวล

เปิด 4 ขั้นตอน “ลูปข้อมูลรั่ว”

นายณัฐแบ่งกระบวนการรับมือเหตุข้อมูลรั่วของภาครัฐออกเป็น 4 ขั้นตอน โดยชี้ว่าแต่ละขั้นตอนสะท้อนปัญหาเดียวกัน คือรัฐไม่ได้มุ่งสืบสวนความรับผิดชอบของหน่วยงานผู้ควบคุมข้อมูลอย่างจริงจัง และไม่ได้ค้นหาต้นตอเชิงระบบเพื่อนำไปแก้ไขและป้องกันเหตุซ้ำ ส่งผลให้ปัญหาข้อมูลรั่วของไทยวนกลับมาเกิดขึ้นอย่างต่อเนื่อง

ขั้นตอนแรกคือการค้นพบและแจ้งเตือน เมื่อภาคเอกชน นักวิจัย หรือผู้เปิดเผยข้อมูลเพื่อประโยชน์สาธารณะ (Whistleblower) พบชื่อบัญชีและรหัสผ่านของเจ้าหน้าที่ หรือ Credentials จำนวนมากหลุดไปอยู่ในตลาดมืดออนไลน์ หรือพบช่องทางเชื่อมต่อข้อมูลผ่าน API ที่ไม่มีระบบควบคุมสิทธิอย่างเหมาะสม ผู้พบปัญหามักพยายามแจ้งเตือนหน่วยงานว่า ระบบมีช่องโหว่ รหัสผ่านรั่ว หรือไม่มีระบบยืนยันตัวตนหลายชั้น (MFA)

ขั้นตอนที่สองคือการปฏิเสธและใช้ถ้อยคำทางเทคนิคอธิบายเหตุการณ์ โดยหน่วยงานรัฐมักยืนยันว่า “ฐานข้อมูลหลักไม่ได้ถูกแฮ็ก” แทนที่จะเริ่มจากการจำกัดวงความเสียหาย ตรวจสอบบัญชีที่ได้รับผลกระทบ และปิดช่องทางที่อาจถูกใช้เข้าถึงข้อมูล

นายณัฐมองว่า คำชี้แจงดังกล่าวอาจถูกต้องในความหมายอย่างแคบ หากผู้โจมตีไม่ได้เจาะเข้าสู่ฐานข้อมูลหลักโดยตรง แต่หากบุคคลภายนอกนำบัญชีและรหัสผ่านที่รั่วไหลไปเข้าสู่ระบบย่อยหรือ API แล้วสามารถดึงภาพบัตรประชาชน ข้อมูลอัตลักษณ์ หรือข้อมูลส่วนบุคคลออกมาได้ เหตุการณ์ดังกล่าวก็ยังถือเป็นการนำข้อมูลออกจากระบบโดยไม่ได้รับอนุญาต หรือ Data Exfiltration

หัวใจของข้อวิจารณ์จึงอยู่ที่การแยกสองคำถามออกจากกัน ได้แก่ ผู้โจมตีเจาะฐานข้อมูลหลักโดยตรงหรือไม่ และบุคคลที่ไม่มีอำนาจสามารถเข้าถึงหรือนำข้อมูลประชาชนออกไปได้หรือไม่ แม้คำตอบของคำถามแรกอาจเป็น “ไม่” แต่หากคำตอบของคำถามที่สองเป็น “ใช่” ก็หมายความว่าความลับของข้อมูลถูกละเมิดแล้ว

นายณัฐเปรียบฐานข้อมูลภาครัฐเป็นคฤหาสน์ที่เก็บเอกสารสำคัญและข้อมูลอัตลักษณ์ของประชาชนไว้ภายใน การแฮ็กระบบโดยตรงเปรียบได้กับผู้บุกรุกทำลายระบบป้องกันเพื่อเข้าสู่อาคาร ส่วนกรณีรหัสผ่านหลุดเปรียบได้กับเจ้าของอาคารแจกกุญแจจริงให้คนจำนวนมาก ก่อนที่กุญแจดอกหนึ่งจะตกไปอยู่ในมือบุคคลภายนอก

เมื่อผู้บุกรุกใช้กุญแจจริง เจ้าหน้าที่รักษาความปลอดภัยย่อมเข้าใจว่าเป็นผู้มีสิทธิและเปิดทางให้เข้าไปได้ หากระบบไม่มีการตรวจสอบตัวตนซ้ำ ไม่จำกัดปริมาณการเข้าถึง และไม่ตรวจจับพฤติกรรมผิดปกติ บุคคลดังกล่าวก็สามารถนำข้อมูลออกไปโดยไม่จำเป็นต้องเจาะระบบในรูปแบบที่คนทั่วไปเข้าใจว่าเป็นการ “แฮ็ก”

ขั้นตอนที่สามคือสิ่งที่นายณัฐเรียกว่า “Shooting the Messenger” หรือการมุ่งจัดการกับผู้ที่นำปัญหามาเปิดเผย เมื่อไม่สามารถโต้แย้งข้อเท็จจริงทางเทคนิคได้ หน่วยงานอาจเปลี่ยนสถานะจากผู้ควบคุมข้อมูลที่ต้องถูกตรวจสอบมาเป็นผู้เสียหาย และใช้พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ โดยเฉพาะมาตรา 14 ดำเนินคดีหรือเตือนผู้เผยแพร่ข้อมูลว่าอาจเข้าข่ายนำเข้าข้อมูลเท็จ กระทบความมั่นคง หรือทำให้ประชาชนตื่นตระหนก

ข้อกังวลคือ แนวทางดังกล่าวอาจก่อให้เกิด “ผลยับยั้ง” หรือ Chilling Effect ทำให้นักวิจัยและผู้พบช่องโหว่ไม่กล้าแจ้งเตือน เพราะเกรงว่าจะถูกดำเนินคดี แม้มีเจตนาช่วยลดความเสียหายก็ตาม

ขั้นตอนสุดท้ายคือการออกคำชี้แจงว่า “ระบบไม่ได้ถูกแฮ็ก แต่รหัสผ่านถูกนำไปใช้” ซึ่งนายณัฐมองว่า คำอธิบายดังกล่าวไม่ได้ทำให้ปัญหาหมดไป แต่กลับสะท้อนข้อบกพร่องของระบบ เพราะแสดงให้เห็นว่ารหัสผ่านเพียงชุดเดียวอาจเพียงพอสำหรับการเข้าถึงข้อมูล โดยไม่มีมาตรการควบคุมเพิ่มเติมช่วยป้องกันความเสียหาย เช่น

• การยืนยันตัวตนหลายชั้น ก
• ารจำกัดจำนวนและความถี่ในการค้นข้อมูล (Rate Limit)
• การตรวจจับพฤติกรรมผิดปกติ (Anomaly Detection)
• การลดปริมาณข้อมูลที่เปิดเผยให้เหลือเท่าที่จำเป็น (Data Minimization)

ดังนั้น คำชี้แจงของรัฐบาลที่ระบุว่าไม่มีการดึงฐานข้อมูลออกไปทั้งระบบ แต่พบการค้นข้อมูลประมาณ 800 ราย อาจช่วยอธิบาย “ขนาดและวิธีการ” ของเหตุการณ์ได้ แต่ไม่ควรถูกตีความต่อว่าไม่มีข้อมูลรั่ว หรือผู้ควบคุมข้อมูลไม่ต้องรับผิดชอบ ประเด็นที่ยังต้องตรวจสอบคือ บัญชีที่ถูกนำไปใช้ได้รับสิทธิกว้างเกินความจำเป็นหรือไม่ และระบบมีมาตรการป้องกันที่เพียงพอต่อความเสี่ยงหรือไม่

รหัสผ่านหลุดไม่ทำให้ผู้ควบคุมข้อมูลพ้นความรับผิด

นายณัฐชี้ว่า มาตรา 37 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (PDPA) กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดให้มีมาตรการรักษาความปลอดภัยที่เหมาะสม การพิจารณาความรับผิดจึงควรเริ่มจากการตรวจสอบว่า องค์กรมีมาตรการป้องกันที่สอดคล้องกับระดับความเสี่ยงหรือไม่ มิใช่รอจนข้อมูลถูกนำไปใช้หลอกลวงหรือสร้างความเสียหายทางการเงินแก่ประชาชนแล้วจึงดำเนินการ

เพื่ออธิบายหลักการดังกล่าว นายณัฐยกกรณี British Airways และ 23andMe เป็นตัวอย่างการกำกับดูแลในต่างประเทศ ซึ่งหน่วยงานกำกับสามารถลงโทษผู้ควบคุมข้อมูลได้ หากพบว่ามาตรการรักษาความปลอดภัยไม่เพียงพอ เช่น ไม่มีระบบยืนยันตัวตนหลายชั้นหรือ MFA เพื่อป้องกันการใช้ข้อมูลบัญชีที่รั่วไหล โดยไม่จำเป็นต้องรอให้ผู้เสียหายแต่ละรายยื่นฟ้องก่อน

ในปี 2563 สำนักงานคณะกรรมาธิการข้อมูลข่าวสารของสหราชอาณาจักร (ICO) สั่งปรับ British Airways เป็นเงิน 20 ล้านปอนด์ หลังผู้โจมตีใช้ข้อมูลเข้าสู่ระบบของพนักงานบริษัทคู่สัญญาที่ถูกขโมยมาเข้าถึงระบบระยะไกลผ่าน Citrix โดยบัญชีดังกล่าวไม่ได้รับการป้องกันด้วย MFA จากนั้นผู้โจมตีจึงขยายการเข้าถึงไปยังส่วนอื่นของเครือข่าย ส่งผลกระทบต่อข้อมูลของบุคคลประมาณ 429,612 ราย

ส่วนกรณี 23andMe ผู้โจมตีใช้วิธี Credential Stuffing หรือนำชื่อผู้ใช้และรหัสผ่านที่รั่วไหลจากบริการอื่นมาทดลองเข้าสู่ระบบ ระหว่างเดือนเมษายน-กันยายน 2566 โดย ICO พบว่า 23andMe ไม่มีขั้นตอนตรวจสอบเพิ่มเติมสำหรับการเข้าถึงและดาวน์โหลดข้อมูลพันธุกรรมดิบ อีกทั้งยังตอบสนองต่อสัญญาณความผิดปกติไม่เพียงพอ จึงสั่งปรับบริษัท 2.31 ล้านปอนด์ในปี 2568 หลังข้อมูลของผู้ใช้ในสหราชอาณาจักร 155,592 รายถูกเข้าถึงโดยไม่ได้รับอนุญาต

แม้ทั้งสองคดีจะแตกต่างจากกรณีของไทยในรายละเอียด และเป็นการบังคับใช้กฎหมายกับบริษัทเอกชน แต่สะท้อนหลักการเดียวกันว่า ผู้ควบคุมข้อมูลไม่อาจอ้างเพียงว่ารหัสผ่านถูกบุคคลอื่นขโมยไปใช้เพื่อให้พ้นจากการตรวจสอบได้ หน่วยงานกำกับยังต้องพิจารณาว่า องค์กรได้จัดเตรียมมาตรการให้เหมาะสมกับความเสี่ยงหรือไม่ ทั้งการจำกัดสิทธิของผู้ใช้งาน การเฝ้าระวังความผิดปกติ และการตอบสนองเมื่อเกิดเหตุ โดยไม่จำเป็นต้องรอให้เจ้าของข้อมูลทุกคนยื่นฟ้องด้วยตนเอง

สำหรับเหตุการณ์ล่าสุด กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมได้แจ้งความตามพระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พร้อมเตือนว่าการเผยแพร่ข้อมูลโดยผิดกฎหมายอาจเข้าข่ายความผิดตามมาตรา 14 ซึ่งมีโทษจำคุกไม่เกิน 5 ปี ปรับไม่เกิน 100,000 บาท หรือทั้งจำทั้งปรับ

กระทรวงดิจิทัลฯ ระบุว่า ผลการตรวจสอบเบื้องต้นพบว่าเป็นการนำข้อมูลหรือช่องทางเข้าถึงฐานข้อมูล ซึ่งถูกสร้างขึ้นโดยผิดกฎหมายจากเครือข่ายมิจฉาชีพมาเผยแพร่ จึงอาจเข้าข่ายการเข้าถึงข้อมูลคอมพิวเตอร์ที่มีมาตรการป้องกันโดยมิชอบตามมาตรา 7 มากกว่าจะเป็นกรณีฐานข้อมูลหลักรั่วไหลตามความเข้าใจทั่วไป

หน่วยงานได้วางแนวทางรับมือครอบคลุมสามส่วน ได้แก่ หน่วยงานเจ้าของข้อมูล เครือข่ายซื้อขายข้อมูล และผู้ที่นำข้อมูลไปเผยแพร่ พร้อมประสานสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) และหน่วยงานด้านความมั่นคงปลอดภัยไซเบอร์ให้เข้าตรวจสอบระบบ

การเอาผิดผู้เผยแพร่ ต้องไม่กลบความบกพร่องของระบบ

ประเด็นสำคัญคือ การดำเนินคดีกับผู้บุกรุก ผู้ซื้อขาย หรือผู้เผยแพร่ข้อมูลโดยมิชอบ กับการตรวจสอบความรับผิดชอบของผู้ควบคุมข้อมูล เป็นคนละกระบวนการและควรเดินหน้าควบคู่กัน หากรัฐลงโทษเฉพาะผู้ขโมยหรือเผยแพร่ข้อมูล แต่ไม่ตรวจสอบว่าเหตุใดบัญชีและรหัสผ่านเพียงชุดเดียวจึงเปิดทางให้เข้าถึงข้อมูลประชาชนได้ ความเสี่ยงเดิมก็จะยังคงอยู่

ขณะเดียวกัน รัฐควรจัดให้มีช่องทางรับแจ้งช่องโหว่ที่ชัดเจน และสามารถแยกผู้แจ้งโดยสุจริตออกจากผู้บุกรุก ผู้ซื้อขายข้อมูล และผู้เผยแพร่ข้อมูลโดยมิชอบ เพื่อไม่ให้การบังคับใช้กฎหมายกลายเป็นเหตุให้ผู้พบปัญหาไม่กล้าแจ้งเตือนหน่วยงานที่เกี่ยวข้อง

นายณัฐสรุปว่า หากรัฐต้องการหลุดออกจาก “ลูปข้อมูลรั่ว” ขั้นตอนแรกคือต้องยอมรับว่า ปัญหาไม่ได้จำกัดอยู่เพียงการถูกเจาะฐานข้อมูลหลัก แต่ยังรวมถึงการกำหนดสิทธิที่กว้างเกินไป การดูแลบัญชีผู้ใช้ที่ไม่รัดกุม และการขาดมาตรการรองรับเมื่อรหัสผ่านรั่วไหล

ตราบใดที่กฎหมายถูกใช้เพื่อปกป้องภาพลักษณ์ของหน่วยงานมากกว่าสิทธิและข้อมูลของประชาชน วงจรข้อมูลรั่ว การปฏิเสธความรับผิด และการดำเนินคดีกับผู้เปิดเผยปัญหา ก็อาจวนกลับมาเกิดขึ้นซ้ำอีก

กรณีศึกษาจาก 'สิงคโปร์' แจ้งประชาชน เปิดช่องตรวจสอบ ตั้งกรรมการอิสระ และสั่งปรับหน่วยงานที่เกี่ยวข้อง

กรณีที่สะท้อนกระบวนการรับมืออย่างเป็นระบบได้ชัดเจน คือเหตุโจมตีฐานข้อมูลของ SingHealth กลุ่มผู้ให้บริการสาธารณสุขรายใหญ่ที่สุดของสิงคโปร์ในปี 2561

เหตุการณ์ดังกล่าวมีลักษณะบางส่วนใกล้เคียงกับกรณีของไทย โดยผู้โจมตีเริ่มจากการควบคุมคอมพิวเตอร์ภายในเครือข่าย ก่อนขโมยข้อมูลบัญชีที่มีสิทธิระดับสูงเพื่อนำไปเข้าถึงฐานข้อมูลผู้ป่วย อย่างไรก็ตาม สิงคโปร์ไม่ได้จำกัดการรับมือไว้เพียงการแก้ไขช่องโหว่ทางเทคนิค แต่ยังแจ้งเตือนทั้งผู้ได้รับผลกระทบและประชาชนในวงกว้าง พร้อมตั้งคณะกรรมการอิสระเพื่อตรวจสอบข้อเท็จจริง

กระบวนการดังกล่าวนำไปสู่การเอาผิดทั้งหน่วยงานเจ้าของฐานข้อมูลและผู้ดูแลระบบจากข้อบกพร่องด้านการรักษาความปลอดภัย ตลอดจนการปรับปรุงระบบให้รัดกุมยิ่งขึ้น จึงไม่เพียงช่วยป้องกันไม่ให้เหตุการณ์เกิดซ้ำ แต่ยังสร้างความรับผิดรับชอบให้แก่หน่วยงานรัฐ แทนการผลักภาระความผิดไปยังผู้โจมตีเพียงฝ่ายเดียว

พบสัญญาณก่อนข้อมูลรั่ว แต่ระบบรายงานเหตุทำงานไม่ทัน

รายงานของ Committee of Inquiry (COI) ซึ่งจัดตั้งขึ้นเพื่อตรวจสอบเหตุการณ์ดังกล่าว พบว่าการโจมตีไม่ได้เกิดขึ้นเฉพาะช่วงที่มีการขโมยข้อมูล แต่เริ่มต้นมาตั้งแต่ราววันที่ 23 สิงหาคม 2560 สะท้อนว่าผู้โจมตีสามารถแฝงตัวอยู่ภายในเครือข่ายเป็นเวลานานก่อนเข้าถึงเป้าหมายสำคัญ

ระหว่างนั้น ระบบเคยส่งสัญญาณเตือนหลายครั้ง โดยเจ้าหน้าที่ไอทีตรวจพบมัลแวร์และการเชื่อมต่อไปยังหมายเลขไอพีต้องสงสัยตั้งแต่เดือนมกราคม 2561 ก่อนพบความพยายามเข้าสู่ฐานข้อมูลที่ไม่สำเร็จอีกครั้งในวันที่ 11 มิถุนายน อย่างไรก็ตาม เหตุผิดปกติเหล่านี้ไม่ได้รับการยกระดับหรือรายงานต่อหน่วยงานที่เกี่ยวข้องอย่างทันท่วงที

ผู้โจมตีจึงสามารถเข้าถึงและคัดลอกข้อมูลออกจากฐานข้อมูลได้ในช่วงวันที่ 27 มิถุนายน-4 กรกฎาคม 2561 กระทั่งวันที่ 4 กรกฎาคม เจ้าหน้าที่ตรวจพบคำสั่งค้นฐานข้อมูลที่ผิดปกติและหยุดกิจกรรมดังกล่าวได้ ต่อมาในวันที่ 10 กรกฎาคม ผลการสอบสวนยืนยันว่าเป็นการโจมตีทางไซเบอร์ จึงแจ้งกระทรวงสาธารณสุข SingHealth และ Cyber Security Agency of Singapore (CSA) ขณะที่ SingHealth เข้าแจ้งความต่อตำรวจในวันที่ 12 กรกฎาคม

ข้อมูลที่ถูกคัดลอกประกอบด้วยชื่อ หมายเลขบัตรประจำตัวประชาชนสิงคโปร์หรือ NRIC ที่อยู่ เพศ เชื้อชาติ และวันเดือนปีเกิดของผู้ป่วยเกือบ 1.5 ล้านราย ในจำนวนนี้มีผู้ป่วย 159,000 รายที่ข้อมูลการจ่ายยาสำหรับผู้ป่วยนอกถูกนำออกไปด้วย ซึ่งมักมีการรายงานโดยประมาณว่า 160,000 ราย นอกจากนี้ ผู้โจมตียังพยายามค้นข้อมูลส่วนบุคคลและประวัติการจ่ายยาของนายกรัฐมนตรีลี เซียนลุงหลายครั้งอย่างเจาะจง

รัฐบาลสิงคโปร์ระบุว่า ข้อมูลการวินิจฉัยโรค ผลตรวจ และบันทึกของแพทย์ไม่ได้ถูกขโมย ขณะที่ SingHealth ยืนยันว่าหมายเลขโทรศัพท์และข้อมูลทางการเงินไม่ได้รับผลกระทบ อีกทั้งไม่พบการแก้ไขหรือลบข้อมูลในระบบ อย่างไรก็ตาม ประวัติการจ่ายยายังคงเป็นข้อมูลอ่อนไหว เพราะอาจถูกนำไปใช้อนุมานโรคหรือภาวะสุขภาพของเจ้าของข้อมูลได้

COI สรุปว่า แม้ผู้โจมตีจะเป็นกลุ่มที่มีทักษะและทรัพยากรสูงในลักษณะ Advanced Persistent Threat (APT) แต่การสูญเสียข้อมูลในวงกว้าง “ไม่ใช่สิ่งที่หลีกเลี่ยงไม่ได้” เนื่องจากเหตุการณ์นี้มีทั้งสัญญาณเตือนที่ไม่ได้รับการตอบสนอง จุดอ่อนทางเทคนิค การควบคุมบัญชีผู้ดูแลระบบที่ไม่รัดกุม และช่องว่างระหว่างนโยบายความปลอดภัยกับการปฏิบัติจริง หากมีการรายงานและยกระดับเหตุการณ์ตั้งแต่พบความผิดปกติครั้งแรก ความเสียหายอาจถูกป้องกันหรือลดขนาดลงได้ 

แจ้งผู้เกี่ยวข้องทั้งหมด ไม่จำกัดเฉพาะผู้ที่ยืนยันว่าข้อมูลรั่ว

เพื่อปกป้องข้อมูลของประชาชนเพิ่มเติม รัฐบาลสิงคโปร์ยังเริ่มใช้มาตรการ Internet Surfing Separation หรือการแยกการใช้อินเทอร์เน็ตออกจากเครือข่ายงานภายในของ SingHealth เมื่อวันที่ 19 กรกฎาคม ก่อนเปิดเผยเหตุการณ์ต่อสาธารณะในวันที่ 20 กรกฎาคม หลังประเมินว่าสถานการณ์มีเสถียรภาพเพียงพอ แม้การสอบสวนยังไม่เสร็จสิ้น

ระหว่างวันที่ 20-23 กรกฎาคม SingHealth ส่ง SMS ไปยังผู้ป่วยประมาณ 2 ล้านรายที่เคยเข้ารับบริการในช่วงวันที่ 1 พฤษภาคม 2558-4 กรกฎาคม 2561 โดยแจ้งให้แต่ละคนทราบว่าข้อมูลส่วนบุคคลหรือข้อมูลยาของตนได้รับผลกระทบหรือไม่ ผู้ที่ข้อมูลไม่ถูกขโมยก็ได้รับข้อความเช่นเดียวกัน เพื่อไม่ให้ประชาชนต้องคาดเดาจากข่าวหรือรอให้หน่วยงานตรวจสอบเสร็จทั้งกระบวนการ

ประชาชนยังสามารถตรวจสอบสถานะด้วยตนเองผ่านเว็บไซต์ SingHealth และแอป Health Buddy ขณะที่ศูนย์รับสายได้รับการเพิ่มกำลังเพื่อรองรับคำถาม ภายหลัง SingHealth รายงานว่าสามารถติดต่อผู้ป่วยกลุ่มเป้าหมายได้ประมาณ 97% และเริ่มปรับปรุงข้อมูลติดต่อของผู้ป่วยเพื่อให้สามารถแจ้งเหตุในอนาคตได้รวดเร็วขึ้น 

มาตรการทางเทคนิคที่ดำเนินการควบคู่กันประกอบด้วยการปิดกั้นการเชื่อมต่อที่ต้องสงสัย รีเซ็ตบัญชีผู้ใช้และบัญชีระบบ บังคับเปลี่ยนรหัสผ่าน เพิ่มข้อจำกัดบนคอมพิวเตอร์และเซิร์ฟเวอร์ ติดตั้งระบบติดตามเพิ่มเติม และนำเซิร์ฟเวอร์ที่เกี่ยวข้องมาติดตั้งระบบใหม่ ต่อมายังเพิ่มระบบ Database Activity Monitoring เพื่อตรวจจับและสกัดคำสั่งค้นฐานข้อมูลจากแหล่งที่ไม่ได้รับอนุญาต รวมทั้งเริ่มใช้การยืนยันตัวตนสองชั้นสำหรับการเข้าถึงระบบด้วยสิทธิผู้ดูแล

สอบสวนอิสระห้าเดือน เปิดรับหลักฐาน และเผยแพร่รายงานต่อสาธารณะเพิ่มความโปร่งใส

จากรายละเอียดข้างต้น จะเห็นได้ว่า ปัจจัยสำคัญที่ทำให้แนวทางของสิงคโปร์แตกต่างจากไทย และทำให้สิงคโปร์ระบุต้นตอปัญหาและระบุตัวคนผิดได้ คือ การตั้งคณะกรรมการอิสระจากภายนอกเพื่อตรวจสอบข้อเท็จจริง ช่วยให้กระบวนการสอบสวนมีความโปร่งใสและเป็นธรรม พร้อมลดข้อกังขาว่าการให้หน่วยงานรัฐตรวจสอบกันเองอาจทำให้การสอบสวนขาดความเป็นอิสระ

วันที่ 20 กรกฎาคม 2561 รัฐบาลสิงคโปร์ได้ประกาศแต่งตั้งคณะกรรมการสอบสวนจากภายนอก ก่อนในวันที่ 24 กรกฎาคม รัฐมนตรีผู้รับผิดชอบด้านความมั่นคงไซเบอร์จะแต่งตั้ง COI อย่างเป็นทางการตามกฎหมาย โดยมีสมาชิกสี่คนจากสาขากฎหมาย ความมั่นคงไซเบอร์ สาธารณสุข และการบริหาร

คณะกรรมการใช้เวลาสอบสวนประมาณห้าเดือน จัดการไต่สวนรวม 22 วัน รับฟังพยาน 37 คน รวมผู้เชี่ยวชาญจากสิงคโปร์และต่างประเทศ ตลอดจนรับข้อเสนอเป็นลายลักษณ์อักษรจากประชาชนและองค์กรต่าง ๆ อีก 26 ฉบับ การไต่สวนส่วนใหญ่เปิดให้ประชาชนและสื่อมวลชนเข้าฟัง ยกเว้นเนื้อหาที่อาจเปิดเผยโครงสร้างเครือข่าย ช่องโหว่ของระบบ ความสามารถด้านนิติวิทยาศาสตร์ไซเบอร์ หรือข้อมูลที่กระทบความมั่นคงของประเทศ

COI ส่งรายงานฉบับเต็มเมื่อวันที่ 31 ธันวาคม 2561 และเผยแพร่รายงานฉบับสาธารณะความยาว 454 หน้าเมื่อวันที่ 10 มกราคม 2562 รายงานสาธารณะตัดเฉพาะข้อมูลอ่อนไหวด้านความมั่นคงออก แต่ยังคงข้อค้นพบสำคัญและข้อเสนอแนะทั้งหมดไว้ รัฐบาลจึงไม่ได้เผยแพร่เพียงคำสรุปจากหน่วยงานที่ถูกตรวจสอบเอง แต่เปิดรายละเอียดของความบกพร่องทั้งในระดับบุคลากร ระบบ และการบริหารให้สาธารณชนตรวจสอบได้

รายงานเสนอแนวทางแก้ไข 16 ข้อ แบ่งเป็นข้อเสนอเร่งด่วน 7 ข้อและข้อเสนอเพิ่มเติม 9 ข้อ ครอบคลุมบุคลากร กระบวนการ เทคโนโลยี และความร่วมมือ เช่น การสร้างระบบป้องกันหลายชั้น การติดตามกิจกรรมในฐานข้อมูล การเข้ารหัสข้อมูล การควบคุมบัญชีสิทธิสูง การทดสอบเจาะระบบโดยหน่วยงานภายนอก การตรวจสอบระบบอย่างอิสระ และการฝึกซ้อมรับมือเหตุการณ์ที่สมจริง ซึ่งรัฐบาลสิงคโปร์ประกาศรับข้อเสนอทั้งหมดไปดำเนินการ

แยกผู้กำกับออกจากผู้ปฏิบัติ ลดผลประโยชน์ขัดกัน

จากการสืบสวน COI พบปัญหาเชิงโครงสร้างว่า แม้ SingHealth จะเป็นเจ้าของฐานข้อมูลและมีความรับผิดชอบสูงสุด แต่ผู้บริหารกลับขาดความสามารถในการมองเห็นและประเมินความเสี่ยงไซเบอร์ของตนเอง เนื่องจากพึ่งพา IHiS ซึ่งเป็นผู้พัฒนาและดูแลระบบไอทีเกือบทั้งหมด ขณะเดียวกัน เจ้าหน้าที่ระดับสูงบางตำแหน่งยังรับผิดชอบทั้งงานกำกับดูแลของกระทรวงและงานภายใน IHiS จึงมีความเสี่ยงที่เป้าหมายด้านความปลอดภัยจะขัดกับแรงกดดันด้านการให้บริการและการดำเนินงาน

กระทรวงสาธารณสุขจึงแยกตำแหน่ง Chief Information Security Officer หรือ CISO ของกระทรวงออกจากตำแหน่งผู้อำนวยการฝ่ายกำกับความมั่นคงไซเบอร์ของ IHiS โดยให้ CISO ของกระทรวงมีสำนักงานของตนเองและรายงานตรงต่อปลัดกระทรวง ขณะที่ IHiS ต้องมีผู้รับผิดชอบด้านการกำกับความมั่นคงไซเบอร์แยกต่างหาก

ในระดับกลุ่มโรงพยาบาล ตำแหน่งผู้รับผิดชอบความมั่นคงสารสนเทศได้รับการยกระดับให้รายงานตรงต่อฝ่ายบริหาร รวมถึงคณะกรรมการไอทีและคณะกรรมการบริหารความเสี่ยงของบอร์ด ส่วนระบบตรวจสอบถูกปรับเป็น “Three Lines of Defence” ได้แก่ ผู้พัฒนาและปฏิบัติการระบบเป็นแนวป้องกันชั้นแรก หน่วยกำกับความเสี่ยงและการปฏิบัติตามกฎเป็นชั้นที่สอง และหน่วยตรวจสอบภายในกับผู้เชี่ยวชาญภายนอกที่เป็นอิสระเป็นชั้นที่สาม

กระทรวงสาธารณสุขยังตั้ง Cybersecurity Advisory Committee ซึ่งประกอบด้วยผู้เชี่ยวชาญในอุตสาหกรรมและมีที่ปรึกษาอิสระจาก KPMG สนับสนุน เพื่อตรวจสอบโครงสร้างกำกับดูแลของกลุ่มสาธารณสุขและ IHiS ในภาพรวม ไม่ได้จำกัดการตรวจสอบไว้เฉพาะฐานข้อมูลที่เกิดเหตุ 

ปรับทั้งเจ้าของฐานข้อมูลและผู้รับจ้างดูแลระบบ

วันที่ 15 มกราคม 2562 Personal Data Protection Commission หรือ PDPC มีคำวินิจฉัยว่า ทั้ง SingHealth และ IHiS ละเมิดมาตรา 24 แห่ง Personal Data Protection Act เนื่องจากไม่จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่สมเหตุสมผลเพื่อป้องกันการเข้าถึงและคัดลอกข้อมูลโดยไม่ได้รับอนุญาต

IHiS ซึ่งเป็นผู้ครอบครองและดูแลระบบไอทีถูกปรับ 750,000 ดอลลาร์สิงคโปร์ ส่วน SingHealth ในฐานะเจ้าของฐานข้อมูลถูกปรับ 250,000 ดอลลาร์สิงคโปร์ รวมเป็น 1 ล้านดอลลาร์สิงคโปร์ ซึ่งเป็นค่าปรับรวมสูงที่สุดที่ PDPC เคยกำหนดในเวลานั้น 

หลักสำคัญของคำวินิจฉัยคือ การจ้างหน่วยงานอื่นดูแลระบบไม่ได้ทำให้เจ้าของข้อมูลพ้นจากความรับผิดชอบ SingHealth ถูกลงโทษเพราะบุคลากรที่เกี่ยวข้องไม่เข้าใจกระบวนการรับมือเหตุการณ์ พึ่งพา IHiS มากเกินไป และไม่มีความสามารถเพียงพอในการติดตามว่าความเสี่ยงต่อข้อมูลผู้ป่วยได้รับการจัดการอย่างเหมาะสมหรือไม่ ส่วน IHiS ต้องรับผิดในฐานะผู้ดูแลระบบที่ไม่วางมาตรการป้องกันให้สอดคล้องกับปริมาณและความอ่อนไหวของข้อมูล

นอกเหนือจากค่าปรับของ PDPC คณะกรรมการของ IHiS ยังตั้งคณะทำงานด้านบุคลากรที่เป็นอิสระเพื่อตรวจสอบความรับผิดของเจ้าหน้าที่เป็นรายบุคคล

ผลสอบทำให้เจ้าหน้าที่สองคนที่มีบทบาทสำคัญต่อการตอบสนองเหตุการณ์ถูกเลิกจ้าง เจ้าหน้าที่ความมั่นคงสารสนเทศอีกคนถูกลดตำแหน่งและย้ายหน้าที่ ขณะที่ผู้บังคับบัญชาระดับกลาง ตลอดจนประธานเจ้าหน้าที่บริหารและผู้บริหารระดับสูงของ IHiS อีกสี่คน ถูกลงโทษทางการเงินภายในองค์กร ส่วนผู้บริหารระดับสูงของ SingHealth รวมถึงประธานเจ้าหน้าที่บริหาร สมัครใจรับโทษทางการเงินซึ่งคณะกรรมการบริษัทให้ความเห็นชอบ

ดังนั้น บทเรียนสำคัญจากสิงคโปร์จึงไม่ใช่เพียงการติดตั้งระบบตรวจจับหรือเพิ่มการยืนยันตัวตน แต่คือการสร้างความรับผิดชอบครบทั้งห่วงโซ่ ตั้งแต่เจ้าหน้าที่ปฏิบัติงาน ผู้บริหาร ผู้รับจ้างดูแลระบบ ไปจนถึงเจ้าของฐานข้อมูล รัฐไม่ได้มุ่งติดตามเฉพาะผู้โจมตี แต่ยังเปิดเผยข้อบกพร่อง ตรวจสอบผู้มีหน้าที่ดูแลข้อมูล ปรับโครงสร้างเพื่อป้องกันผลประโยชน์ขัดกัน และใช้บทลงโทษเมื่อพบว่ามาตรการรักษาความปลอดภัยต่ำกว่าระดับที่ควรเป็น แม้ผู้ก่อเหตุโดยตรงจะเป็นกลุ่มโจมตีจากภายนอกก็ตาม

ในทางเทคนิค ไทยมีกระบวนการตรวจสอบเดินหน้าอยู่แล้ว โดย สกมช. ส่งทีม ThaiCERT ลงพื้นที่กรมการขนส่งทางบก เพื่อรวบรวมหลักฐาน วิเคราะห์ข้อมูลเชิงเทคนิค ตรวจสอบแหล่งที่มาของข้อมูล และประเมินผลกระทบด้วยกระบวนการนิติวิทยาศาสตร์ดิจิทัล ควบคู่กับการแกะรอยระบบ API ร่วมกับหน่วยงานที่เชื่อมโยงข้อมูล ขณะที่ สคส. เข้าตรวจสอบในฐานะหน่วยงานกำกับ

ความต่างจากกรณีสิงคโปร์จึงไม่ได้อยู่ที่การมีหรือไม่มีการตรวจสอบ แต่อยู่ที่สถานะและความโปร่งใสของผู้ตรวจสอบ เพราะทั้ง สกมช. และ สคส. เป็นหน่วยงานรัฐที่ตรวจสอบหน่วยงานรัฐด้วยกัน ต่างจาก COI ที่ตั้งขึ้นตามกฎหมายโดยมีกรรมการจากภายนอก ไต่สวนโดยเปิดให้สาธารณชนเข้าฟัง และเผยแพร่รายงานฉบับเต็มต่อสาธารณะ

หากเทียบกับมาตรฐานจากสิงคโปร์ สิ่งที่จะตัดสินความเข้มงวดของไทยหลังจากนี้จึงมีอย่างน้อย 6 ประการ ได้แก่ 1) การแจ้งประชาชนที่ถูกค้นข้อมูลเป็นรายบุคคล 2) การเปิดเผยชนิดข้อมูลและระยะเวลาที่ถูกเข้าถึง 3) การประกาศผลประเมินความเสี่ยงและแนวทางเยียวยา 4) การเปิดเผยผลการสอบสวนความบกพร่องของหน่วยงานผู้ควบคุมข้อมูลต่อสาธารณะ 5) การรายงานความคืบหน้าเมื่อครบกำหนด 30 วัน และ 6) การจัดช่องทางรับแจ้งช่องโหว่ที่คุ้มครองผู้แจ้งโดยสุจริตโดยไม่เปิดทางให้มีการเข้าถึงหรือเผยแพร่ข้อมูลเกินความจำเป็น

อ้างอิง: รัฐบาลไทย, กรมพัฒนาที่ดิน, ICO , ICO 2, กระทรวงสาธารณสุขสิงคโปร์ , กระทรวงสาธารณสุขสิงคโปร์ 2, กระทรวงสาธารณสุขสิงคโปร์ 3, PDPC สิงคโปร์, คณะกรรมการการเลือกตั้งอังกฤษ, ICO 3, ICO 4, GAO , สำนักงานผู้ตรวจการภายใน OPM, GAO 2