บทเรียน จากฟิลิปปินส์ถึงไทย

ทุกคนทราบไหมว่า เมื่อช่วงเดือนพฤษภาคมที่ผ่านมา ได้เกิดประเด็นความขัดแย้งระหว่างบริษัทเทคโนโลยีไบโอเมตริกซ์สัญชาติเยอรมัน “Dermalog” กับกรมการขนส่งทางบกของฟิลิปปินส์ (LTO) จนหลายฝ่ายเริ่มตั้งคำถามว่า เรื่องนี้กำลังกลายเป็น “วิกฤตความมั่นคงทางข้อมูล” หรือไม่

เพราะสิ่งที่เกิดขึ้น ไม่ใช่เพียงปัญหาทางสัญญาระหว่างรัฐกับเอกชนธรรมดาเท่านั้น แต่คือระบบที่เกี่ยวข้องกับข้อมูลประชาชน การต่อใบขับขี่ การจดทะเบียนรถ และโครงสร้างดิจิทัลระดับประเทศของฟิลิปปินส์ในภาพรวม

บทเรียน ประเด็นสำคัญของเรื่องนี้มีดังนี้

1. สัญญาบำรุงรักษาระบบระหว่าง LTO กับ Dermalog สิ้นสุดลงเมื่อวันที่ 30 พฤษภาคม 2569 ก่อนที่บริษัทจะถอนทีมสนับสนุนออกในทันที

2. หลังหมดสัญญา ระบบกลับเข้าสู่ภาวะที่ไม่มีการดูแลด้านความปลอดภัยไซเบอร์ ไม่มีทีมเฝ้าระวัง และไม่มีการตรวจสอบช่องโหว่ของระบบอย่างต่อเนื่อง ขณะที่มีรายงานว่ามีข้อเสนอใช้งบเพิ่มเติมกว่า 2 พันล้านเปโซ เพื่อยกระดับความปลอดภัยของระบบอีก

3. ประเด็นที่ถูกพูดถึงมากที่สุด คือเรื่อง “กรรมสิทธิ์ของระบบ” โดยเฉพาะโค้ดต้นฉบับ (source code), ระบบเข้ารหัสหลังบ้าน และสิทธิ์ในการควบคุมโครงสร้างหลักของ LTMS ซึ่งหลายฝ่ายมองว่าหลังบ้านมีส่วนสำคัญ และทาง Dermalog ยังคงกุมการเข้าถึงในส่วนเหล่านี้อยู่

4. มีรายงานว่า LTO ส่งหนังสือทวงคืนสิทธิ์และข้อมูลที่เกี่ยวข้องกับระบบดังกล่าวมากถึง 13 ครั้ง ตลอดช่วงปี 2565 – 2569 แต่จนถึงปัจจุบัน ปัญหาก็ยังไม่ถูกคลี่คลายอย่างสมบูรณ์

5. สิ่งที่น่ากังวลคือ หากรัฐไม่สามารถเข้าถึงหรือควบคุมระบบหลักได้เต็มรูปแบบ การดำเนินการแม้แต่เรื่องพื้นฐานก็อาจได้รับผลกระทบ ไม่ว่าจะเป็นการต่อใบขับขี่ ต่อทะเบียนรถ จดทะเบียนรถใหม่ การออกใบอนุญาตขับรถ หรือแม้แต่ระบบชำระค่าปรับจราจร ซึ่งทั้งหมดล้วนเชื่อมอยู่กับ LTMS

6. ขณะเดียวกัน สำนักงานตรวจเงินแผ่นดินของฟิลิปปินส์ (COA) ยังได้ออกประกาศระงับทางการเงิน (Notice of Suspension) ต่อธุรกรรมบางส่วนของโครงการ หลังตั้งข้อสังเกตเรื่องการจ่ายเงินให้กับระบบที่ยังมีปัญหาและยังไม่สมบูรณ์ในบางส่วน

7. ฝั่ง LTO ยืนยันต่อสภาผู้แทนราษฎรว่าจะดำเนินทุกมาตรการเพื่อคุ้มครองข้อมูลสาธารณะ และรักษาความต่อเนื่องของบริการภาครัฐระหว่างกระบวนการเปลี่ยนผ่านและข้อพิพาททางกฎหมาย

อย่างไรก็ตาม คำถามที่หลายฝ่ายเริ่มตั้งขึ้น คือ หากระบบสำคัญระดับประเทศยังต้องพึ่งพาการเข้าถึงจากบริษัทภายนอก และยังมีสิทธิ์การเข้าถึงระยะไกล (remote access) เชื่อมต่อเข้าสู่ฐานข้อมูลประชาชนจำนวนมหาศาล เรื่องนี้ควรถูกมองเป็นเพียง “ข้อพิพาททางธุรกิจ” จริงหรือไม่?

เพราะท้ายที่สุดแล้ว ประเด็นนี้เชื่อมโยงกับเทคโนโลยีที่เกี่ยวกับอำนาจในการควบคุมโครงสร้างข้อมูลของรัฐ และความมั่นคงทางดิจิทัลของประเทศทั้งระบบ

บทเรียน แต่เรื่องมันจะ “บังเอิญ” เกินไปหรือไม่?

เพราะหากหลายคนยังจำได้ เมื่อปี 2568 ประเทศไทยเองก็เคยมีประเด็นในลักษณะใกล้เคียงกัน เพียงแต่เป็นคนละบริษัท และเกิดขึ้นกับระบบคนละส่วนกัน

ในเวลานั้น มีรายงานว่าระบบไบโอเมตริกซ์ของไทยได้หมดอายุการใช้งานลง จนส่งผลต่อกระบวนการคัดกรองบุคคลต่างชาติ โดยเฉพาะสำนักงานตรวจคนเข้าเมือง (สตม.) ต้องกลับไปพึ่งระบบ “Blacklist” เป็นหลักในการคัดกรองบุคคลอันตราย หรือผู้มีหมายคดีจากต่างประเทศ

ขณะที่ระบบ Blacklist จะยังสามารถใช้งานได้ในระดับหนึ่ง แต่ด้านเทคนิคก็ยิ่งตอกย้ำว่า ประสิทธิภาพของมันแตกต่างจากระบบไบโอเมตริกซ์ที่สามารถตรวจสอบอัตลักษณ์ของบุคคลได้โดยตรง

คำถามสำคัญจึงเริ่มเกิดขึ้น เมื่อมีข้อมูลว่าระบบดังกล่าวไม่ได้ถูกใช้งานอย่างเต็มรูปแบบต่อเนื่องนานหลายปี ตั้งแต่ช่วง 2567 – 2569 รวมระยะเวลาราว 3 ปี

ในช่วงเวลาเดียวกันนั้น ประเทศไทยยังคงมีนักท่องเที่ยวและบุคคลเดินทางเข้าออกประเทศจำนวนมหาศาล หลายฝ่ายจึงเริ่มตั้งข้อสังเกตว่า หากไม่มีการเก็บอัตลักษณ์ทางชีวภาพ (biometric identification) อย่างมีประสิทธิภาพเพียงพอ แล้วรัฐจะสามารถตรวจสอบได้มากน้อยแค่ไหนว่า “ใครคือใคร”

ยิ่งเมื่อมีตัวเลขนักท่องเที่ยวเข้าออกประเทศในช่วงเวลาดังกล่าวรวมกันนับเกิน 17 ล้านชีวิต ต่างคนต่างสัญชาติ ความกังวลจึงไม่ได้หยุดอยู่แค่เรื่องการท่องเที่ยว แต่เริ่มขยายไปสู่ประเด็นด้านความมั่นคงของประเทศ

เพราะหากระบบคัดกรองในช่วงเวลาดังกล่าวไม่มีการใช้งาน โอกาสที่บุคคลสีเทา อาชญากรข้ามชาติ หรือเครือข่ายผิดกฎหมายจะใช้ประเทศไทยเป็นเพียง “ทางผ่าน” หรือฐานปฏิบัติการชั่วคราว ก็อาจเพิ่มขึ้นตามไปด้วย

แน่นอนว่าไม่มีใครสามารถยืนยันได้ว่า ทุกกรณีจะนำไปสู่ปัญหาโดยตรง แต่สิ่งที่เกิดขึ้นก็ทำให้คนเริ่มตั้งคำถามกับแนวทางการจัดซื้อจัดจ้าง