การบูรณาการ Digital Inclusion และ Security

ในยุคดิจิทัล “เว็บไซต์ที่ดี” ไม่ได้วัดเพียงแค่ความสวยงามหรือความเร็วในการโหลด แต่ต้องสนับสนุนแนวคิด Digital Inclusion (การลดความเหลื่อมล้ำทางดิจิทัล) เพื่อให้ผู้ใช้งานทุกคน ไม่ว่าจะเป็นคนทั่วไป ผู้สูงอายุ หรือผู้พิการ สามารถเข้าถึงบริการต่าง ๆ ได้อย่างเท่าเทียม อย่างไรก็ตาม การเปิดกว้างให้เข้าถึงง่าย (Accessibility) จำเป็นต้องเดินหน้าควบคู่ไปกับ “ความปลอดภัย” (Security)

ISO 40500:2025: มาตรฐานการเข้าถึงเพื่อ “ทุกคน”

องค์การระหว่างประเทศว่าด้วยการมาตรฐาน (ISO) ได้ประกาศใช้มาตรฐาน ISO/IEC 40500:2025 ซึ่งเป็นการนำแนวทางความสามารถในการเข้าถึงเนื้อหาเว็บเวอร์ชันล่าสุด (WCAG 2.2) มายกระดับเป็นข้อกำหนดสากล โดยมีเป้าหมายเพื่อลดอุปสรรคในการใช้งานสำหรับผู้มีความบกพร่องทางร่างกาย สติปัญญา และการเรียนรู้ หนึ่งในข้อกำหนดสำคัญที่ถูกเน้นย้ำในเวอร์ชันนี้คือ Accessible Authentication (การยืนยันตัวตนที่เข้าถึงง่าย) ซึ่งระบุว่าเว็บไซต์ไม่ควรบังคับผู้ใช้ทำแบบทดสอบการรับรู้ (Cognitive function test) ที่มีความซับซ้อน (เช่น การจำรหัสผ่านที่ยาก หรือการแก้ปริศนาภาพ CAPTCHA แบบเดิม) ยกเว้นแต่จะมีทางเลือกอื่นที่ไม่ได้พึ่งพาการทดสอบการรับรู้ หรือมีกลไกที่ช่วยสนับสนุนให้ผู้ใช้งานสามารถทำแบบทดสอบนั้นได้ง่ายขึ้น ตัวอย่างกลไกสนับสนุนที่เข้าถึงได้ เช่น การใช้โปรแกรมจัดการรหัสผ่าน (Password Manager) หรือฟังก์ชันคัดลอกและวาง (Copy and Paste) เพื่อลดภาระความจำ

เมื่อ Accessibility คือรากฐานของ Security

หลายคนอาจกังวลว่าระบบที่ออกแบบมาให้ “เข้าถึงง่าย” จะกลายเป็นช่องโหว่ด้านความปลอดภัย แต่ในทางปฏิบัติ มาตรฐาน WCAG และแนวทางด้านความปลอดภัยเว็บไซต์ทำงานส่งเสริมกันอย่างมีนัยสำคัญ ตัวอย่างที่ชัดเจน ได้แก่:

• ลดความซ้ำซ้อนของการให้ข้อมูล (Redundant Entry): ISO 40500:2025 ระบุว่าข้อมูลที่ผู้ใช้เคยให้ไว้ในขั้นตอนก่อนหน้า ควรถูกเติมให้อัตโนมัติ (Auto-populated) หรือมีให้เลือกใช้ เพื่อลดความผิดพลาดในการกรอกข้อมูลซ้ำซ้อน อย่างไรก็ตาม หากข้อมูลนั้นมีความสำคัญต่อ “ความมั่นคงปลอดภัย” ของระบบ ก็เป็นข้อยกเว้นที่ยอมรับได้ให้ผู้ใช้ต้องกรอกข้อมูลอีกครั้ง แสดงให้เห็นว่ามาตรฐานให้ความสำคัญกับความปลอดภัยควบคู่ไปกับความสะดวก

• การป้องกันข้อผิดพลาดในการทำธุรกรรมสำคัญ (Error Prevention): สำหรับเว็บไซต์ที่เกี่ยวข้องกับธุรกรรมทางการเงินหรือแก้ไขข้อมูลผู้ใช้ มาตรฐานบังคับให้ต้องมีกลไกตรวจสอบ (Checked) และยืนยัน (Confirmed) ก่อนส่งข้อมูล ซึ่งสอดคล้องกับหลักการ Data Integrity ด้านความปลอดภัย

มาตรฐานการรักษาความมั่นคงปลอดภัยสำหรับเว็บไซต์ (โดย สกมช.)

เพื่อปกป้องข้อมูลผู้ใช้งานและโครงสร้างพื้นฐาน คณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (กมช.) ได้ออก “ประกาศคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ เรื่อง มาตรฐานการรักษาความมั่นคงปลอดภัยสำหรับเว็บไซต์ พ.ศ. ๒๕๖๘” เพื่อเป็นข้อกำหนดขั้นต่ำสำหรับหน่วยงานของรัฐ หน่วยงานโครงสร้างพื้นฐานสำคัญ และส่งเสริมให้ภาคเอกชนนำไปปรับใช้

มาตรฐานนี้อ้างอิงหลักการพื้นฐานด้านความมั่นคงปลอดภัย (CIA Triad) ดังนี้:

• Confidentiality (การรักษาความลับ): ข้อมูลที่มีความละเอียดอ่อนต้องถูกควบคุมการเข้าถึงอย่างเหมาะสม และต้องใช้การเข้ารหัสข้อมูลทั้งในระหว่างการจัดเก็บ ส่งต่อ และใช้งาน โดยบังคับให้เข้ารหัสผ่านโพรโทคอล HTTPS และใช้ TLS เวอร์ชันล่าสุดในการส่งต่อข้อมูล
• Integrity (การรักษาความครบถ้วนสมบูรณ์): ปกป้องข้อมูลไม่ให้ถูกแก้ไขโดยไม่ได้รับอนุญาต เช่น การใช้ลายมือชื่อดิจิทัล (Digital signature) หรือรหัสยืนยันข้อความ (MAC)
• Availability (การเตรียมความพร้อมใช้งาน): เว็บไซต์ต้องพร้อมให้บริการ และมีมาตรการรับมือกับภัยคุกคามหรือเหตุไม่คาดคิด เช่น การโจมตีแบบ DoS หรือ DDoS รวมถึงต้องมีการสำรองข้อมูลและทดสอบการกู้คืนอย่างสม่ำเสมอ

แนวทางการปฏิบัติเพื่อยกระดับความปลอดภัยของเว็บไซต์

เพื่อให้ได้ตามหลักการข้างต้น สกมช. กำหนดข้อควรปฏิบัติที่สอดคล้องกับการพัฒนาเว็บไซต์ยุคใหม่:

• การใช้การพิสูจน์ตัวตนแบบหลายปัจจัย (MFA): นอกเหนือจากการใช้รหัสผ่าน ควรเพิ่มชั้นความปลอดภัย เช่น โทเคนผ่านโทรศัพท์มือถือ หรือการใช้ข้อมูลชีวมิติ (ลายนิ้วมือ, สแกนใบหน้า) ซึ่งสอดรับกับแนวทางการยืนยันตัวตนที่เข้าถึงง่ายตามมาตรฐาน ISO 40500
• การปกป้องเว็บแอปพลิเคชันอย่างเป็นระบบ: ควรมีการติดตั้งระบบตรวจจับและป้องกันการบุกรุก (IDS/IPS) หรือใช้บริการ Web Application Firewall (WAF) เพื่อเฝ้าระวังภัยคุกคามในระดับแอปพลิเคชัน เช่น SQL Injection และ XSS
• การประเมินช่องโหว่อย่างสม่ำเสมอ: ควรมีการสแกนช่องโหว่ (Vulnerability Assessment) เป็นประจำ (อย่างน้อยทุก 90 วัน) และจัดให้มีการทดสอบเจาะระบบ (Penetration Testing) เพื่อค้นหาจุดอ่อนที่อาจเกิดขึ้นกับแอปพลิเคชันหรือการตั้งค่าต่าง ๆ

กรณีศึกษา: รอยต่อระหว่างความมั่นคงปลอดภัยไซเบอร์และการเข้าถึงสวัสดิการแห่งรัฐของกลุ่มเปราะบาง (Security vs. Accessibility Paradox)

การเปลี่ยนผ่านการให้บริการของภาครัฐสู่ระบบดิจิทัล เช่น แอปพลิเคชัน “ทางรัฐ” และระบบสิทธิบัตรสวัสดิการแห่งรัฐ ได้สร้างความท้าทายอย่างหนักต่อกลุ่มเปราะบาง โดยเฉพาะผู้พิการและผู้ป่วยติดเตียง เมื่อเกิดปัญหาลืมรหัสผ่านหรือยืนยันตัวตนผ่านการสแกนใบหน้า (e-KYC) ไม่สำเร็จ ระบบมักมีช่องทางสำรอง (Fallback) เพียงทางเดียวคือ บังคับให้ผู้ใช้งานต้องเดินทางไปยืนยันตัวตนและกำหนดรหัสใหม่ที่หน่วยงานรับผิดชอบหรือตู้ให้บริการด้วยตนเอง ซึ่งในทางปฏิบัติถือเป็นภาระที่ “เป็นไปไม่ได้” สำหรับผู้ที่มีข้อจำกัดทางกายภาพ

สถานการณ์ดังกล่าวตอกย้ำให้เห็นถึงปัญหาเชิงโครงสร้างที่เรียกว่า ความขัดแย้งระหว่างความปลอดภัยและการเข้าถึง (Security vs. Accessibility Paradox) ซึ่งสะท้อนผ่านรอยต่อของสองมาตรฐานหลัก ได้แก่:

• มิติด้านความมั่นคงปลอดภัย (มาตรฐาน NCSA 2568): การบังคับใช้มาตรการยืนยันตัวตนแบบพบหน้า (Physical Verification) และ e-KYC ที่เข้มงวด มีเจตนารมณ์สูงสุดเพื่อรักษาความลับ (Confidentiality) และความถูกต้องของข้อมูล (Integrity) กลไกเหล่านี้ถูกออกแบบมาเพื่อป้องกันมิจฉาชีพสวมสิทธิ์ ด้วยเหตุนี้ ระบบจึงถูกตั้งค่าให้ขาดความยืดหยุ่น ไม่อนุญาตให้บุคคลอื่นหรือญาติทำธุรกรรมแทนได้โดยง่ายหากไม่มีกระบวนการตรวจสอบที่รัดกุมเพียงพอ
• มิติด้านความเท่าเทียม (มาตรฐาน ISO 40500 / WCAG 2.0): แม้ระบบจะมีความปลอดภัยสูง แต่การขาดช่องทางสำรองที่ยืดหยุ่น ถือเป็นการละเมิดหลักการสากลด้านการเข้าถึงใน 2 ประเด็นหลัก:
  • การละเมิดหลักการ “ใช้งานได้” (Operable): กระบวนการ e-KYC มักบังคับให้ผู้ใช้ต้องมีการเคลื่อนไหวที่สมบูรณ์ (เช่น หันหน้า กะพริบตา) และเมื่อระบบปฏิเสธการเข้าถึง กลับเสนอทางออกที่บังคับให้เดินทาง ซึ่งเกินขีดความสามารถทางกายภาพของผู้ป่วยติดเตียง การบังคับในสิ่งที่ผู้ใช้ไม่สามารถทำได้ จึงถือเป็นการสร้างเงื่อนไขที่ใช้งานไม่ได้จริง
  • การละเมิดหลักการ “รับรู้ได้” (Perceivable): การแจ้งเตือนข้อผิดพลาดมักนำเสนอด้วยภาพหรือข้อความบนหน้าจอเพียงอย่างเดียว หากผู้ใช้งานเป็นผู้พิการทางสายตาหรือผู้สูงอายุและไม่มีการสื่อสารทางเลือก (เช่น เสียงอธิบาย) พวกเขาจะไม่รับรู้ถึงวิธีแก้ไขปัญหา และติดอยู่ในวงจรการทำรายการไม่สำเร็จ

เรียบเรียงโดย

ฝ่ายมาตรฐานดิจิทัลภาครัฐ

สำนักงานพัฒนารัฐบาลดิจิทัล (องค์การมหาชน)

References:

1. ISO/IEC 40500:2025, Information technology — W3C Web Content Accessibility Guidelines (WCAG) 2.2, 2nd edition, 2025. https://www.iso.org/standard/91029.html

2. ประกาศคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ เรื่อง มาตรฐานการรักษาความมั่นคงปลอดภัยสำหรับเว็บไซต์ พ.ศ. ๒๕๖๘ : https://ratchakitcha.soc.go.th/documents/86192.pdf?fbclid=IwY2xjawOTx1FleHRuA2FlbQIxMABicmlkETFwMXNJRFdmcUVuV2NGREhxc3J0YwZhcHBfaWQQMjIyMDM5MTc4ODIwMDg5MgABHtgrrw9e_kS9GLxbxgXOhm2_FV3Jbl4i1LIDJ5OhGo-hdJxrUAo4QRAQN-YA_aem_GaNT6LS83XysXq6vGRPeJQ