ญี่ปุ่นพิจารณาขยายการติดตามการสื่อสารภายในประเทศภายใต้มาตรการป้องกันภัยไซเบอร์

การสื่อสารภายในประเทศกลายเป็นประเด็นสำคัญลำดับต่อไป

ญี่ปุ่นกำลังพิจารณาขยายกฎหมายป้องกันภัยไซเบอร์เชิงรุก เพื่อให้เจ้าหน้าที่สามารถเก็บข้อมูลการสื่อสารที่เกิดขึ้นภายในประเทศทั้งหมดได้ ซึ่งจะขยายกรอบกฎหมายปัจจุบันที่ครอบคลุมการสื่อสารระหว่างสถานที่ในต่างประเทศ และระหว่างญี่ปุ่นกับต่างประเทศ

นายกรัฐมนตรีซานาเอะ ทาคาอิจิ สั่งการให้รัฐมนตรีในการประชุมด้านความมั่นคงไซเบอร์เมื่อวันที่ 6 พฤศจิกายน พิจารณาแก้ไขกฎหมายเพื่อเพิ่มขีดความสามารถของรัฐบาลในการรวบรวมข้อมูลเกี่ยวกับการโจมตีทางไซเบอร์ พรรคร่วมรัฐบาลเสนอให้ครอบคลุมการสื่อสารภายในประเทศด้วย และรัฐบาลมีแผนจะนำข้อเสนอดังกล่าวมาพิจารณา

ข้อเสนอนี้มาพร้อมกับมาตรการเร่งด่วนด้านความมั่นคงไซเบอร์ ซึ่งได้รับการสนับสนุนงบประมาณ 10,000 ล้านเยน หรือประมาณ 63 ล้านดอลลาร์ จากเงินสำรองปีงบประมาณ 2026 มาตรการดังกล่าวประกอบด้วยการใช้ปัญญาประดิษฐ์ตรวจจับภัยคุกคาม ทีมผู้เชี่ยวชาญรับมือการโจมตี และความช่วยเหลือแก่บริษัทที่ได้รับผลกระทบ

ประเด็นหลักคือขอบเขตการรวบรวมข้อมูลของรัฐบาล การสื่อสารระหว่างสองสถานที่ในญี่ปุ่นไม่อยู่ในประเภทการติดตามการสื่อสารตามกรอบป้องกันภัยไซเบอร์เชิงรุกในปัจจุบัน หากเปลี่ยนขอบเขตดังกล่าว ก็จะทำให้การสื่อสารอีกประเภทหนึ่งเข้ามาอยู่ในขอบเขตที่อาจถูกตรวจสอบได้

สำหรับภาคธุรกิจ ระบบที่กำลังพัฒนานี้ยังมาพร้อมกับข้อกำหนดที่ต้องปฏิบัติจริง การทยอยนำระบบมาใช้ครอบคลุมผู้ประกอบการโครงสร้างพื้นฐานสำคัญ 258 รายใน 15 ภาคส่วน ซึ่งต้องแจ้งข้อมูลเกี่ยวกับระบบคอมพิวเตอร์สำคัญและรายงานเหตุการณ์ไซเบอร์ร้ายแรง ภาคการเงิน การบิน ไฟฟ้า โทรคมนาคม ท่าเรือ และบัตรเครดิตเป็นส่วนหนึ่งของภาคส่วนที่เกี่ยวข้อง

ญี่ปุ่นจึงกำลังเดินหน้าปรับเปลี่ยนหลายด้านควบคู่กัน ทั้งการเพิ่มอำนาจตามกฎหมาย เสริมศักยภาพทางเทคนิค และกระชับความร่วมมือกับบริษัทที่ให้บริการจำเป็น ข้อเสนอให้ขยายการบังคับใช้ไปถึงการสื่อสารภายในประเทศยังอยู่ระหว่างการพิจารณา โดยยังไม่มีการระบุวันที่จะเสนอหรือผ่านการแก้ไขกฎหมาย

มาตรการป้องกันภัยไซเบอร์เชิงรุกคืออะไร

มาตรการป้องกันภัยไซเบอร์เชิงรุก หรือที่มักเรียกย่อว่า ACD มุ่งตรวจจับและขัดขวางการโจมตีทางไซเบอร์ก่อนที่จะสร้างความเสียหายร้ายแรง ซึ่งต่างจากการรอให้องค์กรตรวจพบการเจาะระบบแล้วจึงช่วยกู้คืน

กรอบการทำงานของญี่ปุ่นครอบคลุมการรวบรวมข้อมูลเกี่ยวกับภัยคุกคาม และภายใต้เงื่อนไขทางกฎหมาย อนุญาตให้ตำรวจหรือกองกำลังป้องกันตนเองเข้าถึงเซิร์ฟเวอร์ที่ผู้โจมตีใช้และหยุดโปรแกรมประสงค์ร้ายได้ เซิร์ฟเวอร์คือคอมพิวเตอร์ที่ให้บริการหรือส่งข้อมูลไปยังคอมพิวเตอร์เครื่องอื่น ผู้โจมตีอาจใช้เซิร์ฟเวอร์เพื่อส่งคำสั่งไปยังซอฟต์แวร์อันตรายในเครือข่ายของเหยื่อ

การหยุดโปรแกรมดังกล่าวสามารถขัดขวางการโจมตีได้ อย่างไรก็ตาม การค้นหาเซิร์ฟเวอร์ที่เกี่ยวข้องต้องอาศัยข้อมูลเกี่ยวกับวิธีดำเนินการโจมตีและระบบที่เกี่ยวข้อง จึงพออธิบายได้ว่าทำไมรัฐบาลจึงพิจารณาอำนาจรวบรวมข่าวกรองควบคู่ไปกับความสามารถในการดำเนินการขัดขวาง

ข้อเสนอเรื่องการสื่อสารภายในประเทศเกี่ยวข้องกับสถานที่ที่เจ้าหน้าที่อาจรวบรวมข้อมูลการสื่อสารได้ ส่วนข้อกำหนดเรื่องการเข้าจัดการเซิร์ฟเวอร์เกี่ยวข้องกับสิ่งที่เจ้าหน้าที่อาจดำเนินการต่อโครงสร้างพื้นฐานที่ใช้โจมตี ทั้งสองอย่างเป็นส่วนหนึ่งของการป้องกันภัยไซเบอร์เชิงรุก แต่ทำหน้าที่ต่างกัน

เหตุใดขอบเขตภายในประเทศจึงสำคัญ

กรอบกฎหมายปัจจุบันแบ่งการสื่อสารเป็นการสื่อสารที่เชื่อมโยงสถานที่ในต่างประเทศ การสื่อสารที่เชื่อมโยงญี่ปุ่นกับอีกประเทศหนึ่ง และการสื่อสารที่เกิดขึ้นภายในญี่ปุ่นทั้งหมด สองประเภทแรกอยู่ในขอบเขตที่ครอบคลุม ส่วนประเภทที่สามไม่อยู่ในกรอบการติดตามนี้

การโจมตีทางไซเบอร์อาจเกี่ยวข้องกับคอมพิวเตอร์หลายเครื่อง ไม่ใช่แค่การเชื่อมต่อโดยตรงระหว่างผู้โจมตีกับเหยื่อ เครื่องที่ถูกเจาะระบบอาจทำหน้าที่ส่งต่อคำสั่งหรือการรับส่งข้อมูลประสงค์ร้าย สำหรับผู้สืบสวน ตำแหน่งที่ตั้งของคอมพิวเตอร์ซึ่งส่งต่อข้อมูลเหล่านั้นมีผลต่ออำนาจตามกฎหมายที่นำมาใช้ได้

การขยายกรอบกฎหมายให้ครอบคลุมการสื่อสารภายในประเทศจะเพิ่มขอบเขตข้อมูลที่เจ้าหน้าที่อาจตรวจสอบได้เมื่อติดตามการโจมตีผ่านระบบต่าง ๆ ในญี่ปุ่น ขอบเขตการใช้งานจริงจะขึ้นอยู่กับถ้อยคำในกฎหมายแก้ไขและหลักเกณฑ์การปฏิบัติ รวมถึงข้อมูลที่ครอบคลุม เงื่อนไขการเข้าถึง และวิธีจัดการข้อมูลที่รวบรวมได้

การสื่อสารภายในประเทศยังเกี่ยวข้องกับประชาชนและบริษัทที่ใช้บริการภายในประเทศของตนเองด้วย ดังนั้น กฎเกณฑ์เกี่ยวกับการคัดเลือกข้อมูล การเข้าถึง การเก็บรักษา และการกำกับดูแล จึงเป็นประเด็นสำคัญในการทำความเข้าใจว่าระบบที่ขยายขอบเขตจะทำงานอย่างไรในชีวิตประจำวัน

มาตรการเร่งด่วนหลังธุรกิจถูกโจมตี

รัฐบาลของทาคาอิจิอนุมัติมาตรการเร่งด่วนในการประชุมที่เธอเป็นประธาน หลังเกิดเหตุข้อมูลส่วนบุคคลรั่วไหลครั้งใหญ่หลายครั้ง การโจมตีด้วยแรนซัมแวร์ที่มุ่งเป้าไปยัง GMO Internet Group ทำให้เธอสั่งให้จัดทำมาตรการดังกล่าวในสัปดาห์ก่อนหน้า

แรนซัมแวร์คือซอฟต์แวร์ประสงค์ร้ายที่ใช้ยึดข้อมูลหรือระบบคอมพิวเตอร์ไว้เป็นตัวประกัน โดยปกติมักเรียกเงินเพื่อแลกกับการคืนข้อมูล ธุรกิจที่ได้รับผลกระทบอาจต้องจำกัดการบุกรุก ตรวจสอบว่าระบบใดปลอดภัย และกู้คืนบริการไปพร้อมกับสืบสวนว่ามีการขโมยข้อมูลหรือไม่

มาตรการเร่งด่วนครอบคลุม 4 ด้าน ได้แก่ การยกระดับความปลอดภัยด้วยปัญญาประดิษฐ์ การเพิ่มความเข้มข้นในการรวบรวมข่าวกรอง การตอบโต้การโจมตีเชิงยุทธศาสตร์ และการปรับปรุงความช่วยเหลือแก่ผู้เสียหาย งบประมาณส่วนหนึ่งจากวงเงิน 10,000 ล้านเยนจะนำไปเสริมขีดความสามารถด้านการรวบรวมข่าวกรองของตำรวจ

รัฐบาลยังมีแผนตั้งทีมผู้เชี่ยวชาญด้านความมั่นคงไซเบอร์เพื่อรับมือผู้โจมตี ขณะที่ทีมช่วยเหลืออีกชุดซึ่งประกอบด้วยเจ้าหน้าที่จากภาครัฐและเอกชนจะช่วยบริษัทที่ถูกโจมตี และอีกหน่วยงานหนึ่งจะให้คำแนะนำแก่ธุรกิจที่เผชิญภัยคุกคามที่อาจเกิดขึ้น

ทีมเหล่านี้รับมือในช่วงเวลาที่ต่างกันของเหตุการณ์ คำแนะนำช่วยให้ธุรกิจดำเนินการได้เมื่อเริ่มพบภัยคุกคาม การเข้าช่วยเหลือโดยผู้เชี่ยวชาญสนับสนุนการรับมือขณะเกิดการโจมตี ส่วนความช่วยเหลือด้านการกู้คืนช่วยให้บริษัทที่ได้รับผลกระทบจัดการกับผลที่ตามมา นอกจากนี้ยังจะใช้ปัญญาประดิษฐ์ค้นหาจุดอ่อนในระบบคอมพิวเตอร์

ผู้ประกอบการโครงสร้างพื้นฐานต้องปฏิบัติตามข้อกำหนดใหม่

สำนักงานความมั่นคงไซเบอร์แห่งชาติในสำนักเลขาธิการคณะรัฐมนตรีและสำนักงานคณะรัฐมนตรีเผยแพร่เอกสารการดำเนินงานเมื่อวันที่ 30 กันยายน เพื่ออธิบายการทยอยนำกฎหมายรับมือภัยไซเบอร์มาใช้ การจัดตั้งระบบภายในองค์กรและความร่วมมือกับผู้ประกอบการโครงสร้างพื้นฐานสำคัญเริ่มขึ้นเมื่อวันที่ 1 ตุลาคม

ระบบนี้ครอบคลุมผู้ประกอบการที่ได้รับการกำหนด 258 รายใน 15 ภาคส่วน บริการของผู้ประกอบการเหล่านี้เชื่อมโยงความมั่นคงไซเบอร์เข้ากับชีวิตประจำวัน เพราะการหยุดชะงักอาจส่งผลต่อการชำระเงิน ไฟฟ้า การสื่อสาร การขนส่ง หรือการเคลื่อนย้ายสินค้าผ่านท่าเรือ

ผู้ประกอบการที่อยู่ในขอบเขตต้องแจ้งรัฐมนตรีผู้รับผิดชอบภาคส่วนของตนเกี่ยวกับระบบคอมพิวเตอร์สำคัญที่กำหนดไว้ รวมถึงชื่อผลิตภัณฑ์ กำหนดการดำเนินงานระบุให้แจ้งระบบที่ใช้งานอยู่แล้วภายในเดือนมีนาคมของปีถัดไป ส่วนระบบที่นำมาใช้ใหม่ต้องรายงานภายใน 4 เดือน

รัฐบาลมีแผนเปรียบเทียบรายการระบบดังกล่าวกับข้อมูลเกี่ยวกับช่องโหว่ที่ยังไม่เปิดเผยต่อสาธารณะ ช่องโหว่คือจุดอ่อนในซอฟต์แวร์หรืออุปกรณ์ที่ผู้โจมตีอาจใช้ประโยชน์ได้ การทราบว่าผู้ประกอบการรายใดใช้ผลิตภัณฑ์ที่ได้รับผลกระทบจะช่วยให้เจ้าหน้าที่ส่งคำเตือนไปยังบริษัทที่ต้องดำเนินการได้โดยตรง

ต้องรายงานเหตุการณ์ร้ายแรงต่อรัฐบาล

ตั้งแต่วันที่ 1 ตุลาคม ผู้ประกอบการที่อยู่ในขอบเขตต้องรายงานเหตุการณ์ไซเบอร์ร้ายแรงที่กระทบต่อระบบคอมพิวเตอร์สำคัญที่กำหนดไว้ต่อทั้งรัฐมนตรีผู้รับผิดชอบภาคส่วนของตนและนายกรัฐมนตรี เหตุการณ์ดังกล่าวรวมถึงการทำงานของซอฟต์แวร์ประสงค์ร้ายและการเข้าถึงโดยไม่ได้รับอนุญาต

ข้อกำหนดนี้เปิดช่องทางให้รัฐบาลรับทราบการโจมตีร้ายแรงที่เกิดขึ้นในบริการจำเป็นทั่วประเทศ จากนั้นจึงสามารถแบ่งปันรายละเอียดทางเทคนิคของเหตุการณ์กับผู้ประกอบการรายอื่น โดยคำนึงถึงความเป็นส่วนตัวขององค์กรที่ได้รับผลกระทบ เพื่อให้รายอื่นเสริมการป้องกันภัยคุกคามลักษณะเดียวกัน

คาดว่าสภาแลกเปลี่ยนข้อมูลที่มีแผนจัดตั้งขึ้นจะมีองค์กรเข้าร่วมประมาณ 100 แห่ง โดยส่วนใหญ่เป็นผู้ประกอบการโครงสร้างพื้นฐานสำคัญ จุดประสงค์คือเชื่อมโยงข้อมูลภัยคุกคามจากรัฐบาลเข้ากับบริษัทที่รับผิดชอบดูแลระบบปฏิบัติการ

แนวทางของรัฐบาลผสานข้อมูลสองประเภทเข้าด้วยกัน ได้แก่ ผลิตภัณฑ์ที่ผู้ประกอบการใช้ และภัยคุกคามที่ตรวจพบ รายการระบบช่วยระบุได้ว่าควรแจ้งเตือนใคร ส่วนข้อมูลเหตุการณ์ช่วยอธิบายว่าผู้ประกอบการควรตรวจสอบอะไรในระบบของตน

การแบ่งปันคำเตือนที่ละเอียดอ่อน

ข้อมูลภัยคุกคามของรัฐบาลอาจมีรายละเอียดที่เปิดเผยแหล่งข่าวกรองหรือระบุบริษัทแห่งใดแห่งหนึ่งได้ ก่อนส่งข้อมูลให้ผู้ประกอบการ เจ้าหน้าที่มีแผนลบรายละเอียดที่เป็นความลับหรือทำให้ข้อมูลระบุตัวบุคคลและองค์กรไม่ได้ ซึ่งเป็นกระบวนการที่เรียกว่า การทำข้อมูลให้ปลอดภัย

คำเตือนที่เป็นประโยชน์อาจเก็บสัญญาณทางเทคนิคของการโจมตีไว้ ขณะลบรายละเอียดเกี่ยวกับวิธีที่เจ้าหน้าที่ได้ข้อมูลมา เป้าหมายคือส่งข้อมูลที่นำไปดำเนินการได้ให้ธุรกิจอย่างรวดเร็ว พร้อมกับปกป้องข้อมูลที่ละเอียดอ่อน

ข้อมูลที่ละเอียดอ่อนกว่าเดิมจะแบ่งปันผ่านแนวทางที่เกี่ยวข้องกับข้อมูลชั้นความลับ บริษัทแต่ละแห่ง หรือกลุ่มจำกัดที่เรียกว่า Trusted Groups แนวทางเหล่านี้สร้างช่องทางต่างระดับตามขอบเขตการเผยแพร่ข้อมูลที่อนุญาต

สำหรับผู้ประกอบการ คุณค่าในทางปฏิบัติอยู่ที่การได้รับคำเตือนที่เฉพาะเจาะจงพอจะนำไปดำเนินการได้ ชื่อผลิตภัณฑ์ ตัวบ่งชี้ทางเทคนิค และความรู้เกี่ยวกับระบบของบริษัท ช่วยเปลี่ยนการแจ้งเตือนทั่วไปให้เป็นการตรวจสอบหรือซ่อมแซมที่ตรงจุด

การทยอยดำเนินงานมีหมุดหมายหลายช่วง

การเปลี่ยนแปลงกฎหมาย การเตรียมความพร้อมขององค์กร และการปฏิบัติงานด้านเทคนิคของญี่ปุ่นมีกำหนดการต่างกัน กฎหมายบางส่วนมีผลบังคับใช้ในเดือนตุลาคม ขณะที่กำหนดการดำเนินงานระบุว่าจะเริ่มใช้ข้อมูลการสื่อสารในช่วงฤดูใบไม้ร่วงของปีถัดไปหรือหลังจากนั้น

หมุดหมายสำคัญที่ระบุไว้ในแผนดำเนินงานของรัฐบาลและประกาศที่ตามมา ได้แก่

• 30 กันยายน: สำนักงานความมั่นคงไซเบอร์แห่งชาติและสำนักงานคณะรัฐมนตรีเผยแพร่เอกสารการดำเนินงาน
• 1 ตุลาคม: เริ่มจัดตั้งระบบภายในองค์กรและความร่วมมือกับผู้ประกอบการโครงสร้างพื้นฐานที่ได้รับการกำหนด รวมถึงข้อกำหนดให้รายงานเหตุการณ์ร้ายแรง
• 6 พฤศจิกายน: ทาคาอิจิสั่งให้รัฐมนตรีพิจารณาแก้ไขกฎหมายเพื่อเพิ่มขีดความสามารถในการรวบรวมข้อมูลสำหรับการป้องกันภัยไซเบอร์เชิงรุก
• เดือนมีนาคมของปีถัดไป: ต้องรายงานระบบคอมพิวเตอร์ที่กำหนดไว้และใช้งานอยู่แล้วตามกำหนดการดำเนินงาน
• ภายใน 4 เดือนหลังเริ่มใช้งาน: ผู้ประกอบการต้องรายงานระบบที่กำหนดไว้ซึ่งนำมาใช้ใหม่
• ฤดูใบไม้ร่วงของปีถัดไปหรือหลังจากนั้น: มีกำหนดเริ่มใช้ข้อมูลการสื่อสารในการปฏิบัติงาน

การทยอยดำเนินงานดังกล่าวหมายความว่าบริษัทต่าง ๆ ต้องปฏิบัติตามข้อกำหนดด้านการรายงานและการเตรียมความพร้อม ก่อนที่การรวบรวมข้อมูลการสื่อสารทุกส่วนจะเริ่มใช้งาน ข้อเสนอให้รวมการสื่อสารภายในประเทศจำเป็นต้องมีการแก้ไขกฎหมายเพิ่มเติมควบคู่กับการดำเนินงานตามแผนนี้

สรุปประเด็นสำคัญ

• ญี่ปุ่นกำลังพิจารณาเพิ่มการสื่อสารที่เกิดขึ้นภายในประเทศทั้งหมดไว้ในกรอบการรวบรวมข้อมูลเพื่อป้องกันภัยไซเบอร์เชิงรุก
• ทาคาอิจิสั่งให้พิจารณาแก้ไขกฎหมายในการประชุมรัฐมนตรีเมื่อวันที่ 6 พฤศจิกายน หลังพรรคร่วมรัฐบาลเสนอแนะ
• มาตรการเร่งด่วนจัดสรรเงิน 10,000 ล้านเยนจากเงินสำรองปีงบประมาณ 2026 สำหรับมาตรการด้านความมั่นคงไซเบอร์ รวมถึงการเพิ่มขีดความสามารถด้านข่าวกรองของตำรวจ
• มาตรการนี้ประกอบด้วยทีมผู้เชี่ยวชาญรับมือการโจมตี ความช่วยเหลือด้านการกู้คืนสำหรับธุรกิจ และการใช้ปัญญาประดิษฐ์
• การทยอยดำเนินงานด้านโครงสร้างพื้นฐานครอบคลุมผู้ประกอบการ 258 รายใน 15 ภาคส่วน พร้อมข้อกำหนดให้จัดทำรายการระบบและรายงานเหตุการณ์ร้ายแรง
• การปฏิบัติงานเกี่ยวกับข้อมูลการสื่อสารมีกำหนดเริ่มภายหลังมาตรการเบื้องต้นด้านการจัดตั้งระบบและการรายงาน