ประเทศไทยต้องสร้างภูมิคุ้มกันไซเบอร์ทั้งระบบ

 ⚠️ ประเทศไทยต้องไม่เพียงรอดจากแฮ็กเกอร์ แต่ต้องสร้างภูมิคุ้มกันไซเบอร์ทั้งระบบ

Thailand Must Move Beyond Surviving Hackers: Building a Comprehensive National Cyber Resilience System

บทความวิเคราะห์เชิงวิชาการด้านความมั่นคงปลอดภัยไซเบอร์ เศรษฐศาสตร์งบประมาณ และนโยบายสาธารณะ

🗓 วันพุธที่ 11 พฤศจิกายน พ.ศ. 2569

1. บทนำ

ในยุคที่เศรษฐกิจ สังคม และการบริหารราชการแผ่นดินพึ่งพาระบบดิจิทัลมากขึ้น ภัยคุกคามทางไซเบอร์ (Cyber Threats) มิใช่ปัญหาทางเทคนิคของผู้ดูแลระบบคอมพิวเตอร์อีกต่อไป หากแต่กำลังกลายเป็นความเสี่ยงเชิงโครงสร้างที่ส่งผลต่อความมั่นคงแห่งชาติ เสถียรภาพทางเศรษฐกิจ ความปลอดภัยของประชาชน และความสามารถในการดำเนินงานของสถาบันต่าง ๆ

เมื่อระบบธนาคาร โรงพยาบาล ระบบไฟฟ้า การขนส่ง การค้าระหว่างประเทศ และฐานข้อมูลภาครัฐเชื่อมโยงถึงกัน การโจมตีระบบหนึ่งอาจก่อให้เกิดผลกระทบต่อเนื่องไปยังอีกหลายระบบ ซึ่งอาจสร้างความเสียหายมากกว่าการสูญเสียข้อมูลหรือการหยุดทำงานของคอมพิวเตอร์เพียงเครื่องเดียว

ประเด็นนี้ได้รับความสนใจอย่างกว้างขวางในประเทศไทย หลังมีการนำเสนอภาพข่าวเกี่ยวกับประเทศที่มีเหตุการณ์โจมตีทางไซเบอร์ถูกรายงานมากที่สุด โดยอ้างอิงข้อมูลขององค์การเพื่อความร่วมมือทางเศรษฐกิจและการพัฒนา (OECD) ซึ่งระบุว่า ไทย สิงคโปร์ และฟิลิปปินส์ มีสัดส่วนเหตุการณ์เท่ากันที่ร้อยละ 10 ขณะที่มาเลเซียอยู่ที่ร้อยละ 6 และอินโดนีเซียร้อยละ 4

ตัวเลขดังกล่าวเป็นข้อเท็จจริงตามรายงาน OECD ปี 2026 แต่ประเด็นสำคัญที่ต้องตรวจสอบคือ ร้อยละ 10 หมายถึงอะไร และสามารถสะท้อนระดับความเสี่ยงหรือประสิทธิภาพของระบบรักษาความมั่นคงปลอดภัยไซเบอร์ของประเทศไทยได้มากน้อยเพียงใด

หากประชาชนเข้าใจว่าประเทศไทยถูกโจมตีทางไซเบอร์มากที่สุด หรือมีความปลอดภัยต่ำที่สุดในอาเซียนเพียงเพราะสัดส่วนดังกล่าว อาจนำไปสู่ข้อสรุปที่เกินกว่าหลักฐานทางสถิติจะรองรับ

ในทางกลับกัน การปฏิเสธความสำคัญของข้อมูลดังกล่าวโดยอ้างว่าเป็นเพียงเหตุการณ์ที่มีการรายงาน ก็อาจทำให้มองข้ามความเสี่ยงที่กำลังสะสมอยู่ในระบบเศรษฐกิจดิจิทัลของประเทศ

บทความนี้จึงเสนอว่า ประเทศไทยควรเปลี่ยนกระบวนทัศน์จากการมุ่งป้องกันการโจมตีทางไซเบอร์เป็นรายเหตุการณ์ ไปสู่การสร้างภูมิคุ้มกันไซเบอร์ระดับชาติ (National Cyber Resilience) ที่ครอบคลุมการกำกับดูแล การป้องกัน การตรวจจับ การตอบสนอง การฟื้นฟู ตลอดจนการจัดสรรงบประมาณและการตรวจสอบความคุ้มค่าของการลงทุนภาครัฐ

บทความใช้วิธีวิเคราะห์เอกสาร (Documentary Analysis) การตรวจสอบความสอดคล้องของข้อมูล (Data Triangulation) และการวิเคราะห์งบประมาณเชิงนิติวิทยาศาสตร์เบื้องต้น (Preliminary Forensic Budget Analysis) โดยไม่ถือว่าข้อสงสัยด้านงบประมาณเป็นหลักฐานยืนยันความผิดปกติหรือการทุจริต

คำสำคัญ

ภัยคุกคามทางไซเบอร์; ภูมิคุ้มกันไซเบอร์; ความมั่นคงแห่งชาติ; การวิเคราะห์งบประมาณเชิงนิติวิทยาศาสตร์; ความเสี่ยงเชิงระบบ; นโยบายสาธารณะ; ความมั่นคงเศรษฐกิจดิจิทัล; การกำกับดูแลความปลอดภัยไซเบอร์

2. สถิติภัยไซเบอร์ไทย: ข้อเท็จจริงที่ต้องอ่านให้ถูกต้อง

2.1 ประเทศไทยมีสัดส่วนเหตุการณ์ไซเบอร์ร้อยละ 10 จริงหรือไม่?

รายงาน Cybersecurity and Geopolitical Risks in Financial Markets ของ OECD ซึ่งเผยแพร่เมื่อวันที่ 19 มิถุนายน 2026 ระบุว่า เหตุการณ์ไซเบอร์ที่บันทึกไว้ในภูมิภาคเอเชียตะวันออกและอาเซียนมีสัดส่วนประมาณร้อยละ 5 ของเหตุการณ์ในฐานข้อมูลทั่วโลกนับตั้งแต่ปี 2014

เมื่อพิจารณาเฉพาะภูมิภาคเอเชียตะวันออกและอาเซียน พบว่าจีนมีสัดส่วนร้อยละ 22 ญี่ปุ่นร้อยละ 21 เกาหลีใต้ร้อยละ 10 ไทยร้อยละ 10 สิงคโปร์ร้อยละ 10 ฟิลิปปินส์ร้อยละ 10 มาเลเซียร้อยละ 6 อินโดนีเซียร้อยละ 4 กัมพูชาร้อยละ 3 และเวียดนามร้อยละ 3 โดยเมียนมาและลาวมีสัดส่วนเพียงเล็กน้อย (OECD, 2026)

ดังนั้น จึงสามารถกล่าวได้ว่าประเทศไทยมีสัดส่วนเหตุการณ์ไซเบอร์ที่บันทึกไว้สูงร่วมกับสิงคโปร์และฟิลิปปินส์เมื่อพิจารณาเฉพาะประเทศอาเซียน แต่ไม่สามารถกล่าวได้ว่าไทยเป็นประเทศที่ถูกโจมตีมากที่สุดในกลุ่มเอเชียตะวันออกและอาเซียนรวมกัน

ยิ่งไปกว่านั้น ตัวเลขร้อยละ 10 ไม่ใช่อัตราความเสี่ยงที่ระบบคอมพิวเตอร์ของประเทศไทยจะถูกโจมตี และไม่ใช่สัดส่วนประชาชนไทยที่ตกเป็นเหยื่ออาชญากรรมไซเบอร์

ความคลาดเคลื่อนระหว่างสัดส่วนเหตุการณ์กับอัตราความเสี่ยงถือเป็นปัญหาทางระเบียบวิธีวิจัยที่สำคัญ

หากต้องการจัดอันดับว่าประเทศใดมีความปลอดภัยไซเบอร์ต่ำกว่ากัน จำเป็นต้องพิจารณาข้อมูลเพิ่มเติม เช่น จำนวนสินทรัพย์ดิจิทัลที่มีความเสี่ยง จำนวนเหตุการณ์ต่อหน่วยงาน จำนวนการโจมตีสำเร็จ ความรุนแรงของเหตุการณ์ ความเสียหายทางเศรษฐกิจ และระยะเวลาในการฟื้นฟูระบบ

การมีรายงานจำนวนมากอาจสะท้อนการถูกโจมตีมากจริง หรืออาจสะท้อนระบบตรวจจับและการเปิดเผยข้อมูลที่มีประสิทธิภาพมากกว่า ซึ่งต้องใช้หลักฐานอื่นประกอบจึงจะจำแนกได้

2.2 ข้อจำกัดของฐานข้อมูล Cyber Events Database

ข้อมูล OECD อาศัย Cyber Events Database (CEDB) ซึ่งพัฒนาโดยมหาวิทยาลัยแมริแลนด์ ประเทศสหรัฐอเมริกา

Harry, Entrikin และ Lucyshyn (2026) อธิบายว่า CEDB 2.0 เป็นฐานข้อมูลเหตุการณ์ไซเบอร์ที่รวบรวมจากแหล่งข้อมูลสาธารณะ โดยผสมผสานวิธีค้นหาอัตโนมัติ การติดตามข่าวหลายภาษา และการตรวจสอบเหตุการณ์ตามเกณฑ์ที่กำหนด

ณ เดือนกุมภาพันธ์ 2026 ฐานข้อมูลมีเหตุการณ์ที่จำแนกแล้ว 16,382 เหตุการณ์ ครอบคลุม 175 ประเทศ โดยมีการจำแนกผู้ก่อภัยคุกคาม 1,431 รายหรือกลุ่ม

อย่างไรก็ตาม ฐานข้อมูลประเภทนี้มีข้อจำกัดสำคัญ กล่าวคือ เหตุการณ์ที่ไม่ได้รับการเปิดเผยหรือไม่มีหลักฐานสาธารณะอาจไม่ปรากฏอยู่ในข้อมูล

นอกจากนี้ การเปลี่ยนแปลงวิธีรวบรวมข้อมูล เช่น การเพิ่มระบบติดตามข่าวหลายภาษาในปี 2025 อาจทำให้ความครอบคลุมของข้อมูลเปลี่ยนแปลงไปตามเวลา

ดังนั้น การเพิ่มขึ้นของจำนวนเหตุการณ์ในฐานข้อมูลไม่จำเป็นต้องสะท้อนว่าอัตราการโจมตีจริงเพิ่มขึ้นในสัดส่วนเดียวกันทั้งหมด

บทเรียนสำคัญสำหรับประเทศไทยคือ การใช้ข้อมูลระหว่างประเทศต้องตรวจสอบนิยาม ขอบเขต ระยะเวลา ตัวหาร วิธีเก็บข้อมูล และความไม่แน่นอนก่อนนำไปใช้สื่อสารสาธารณะหรือกำหนดนโยบาย

2.3 สถานการณ์ภัยไซเบอร์ในประเทศไทย

ข้อมูลสถิติของ ThaiCERT ภายใต้สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) ระบุว่า ระหว่างเดือนมกราคมถึงกันยายน 2569 มีเหตุการณ์ภัยคุกคามทางไซเบอร์ที่บันทึกไว้รวม 3,264 เหตุการณ์

จำแนกเป็นความพยายามบุกรุกระบบ 1,138 เหตุการณ์ เหตุการณ์เกี่ยวกับความปลอดภัยของข้อมูลหรือเนื้อหา 1,085 เหตุการณ์ การฉ้อโกง 529 เหตุการณ์ การทำให้บริการไม่พร้อมใช้งาน 334 เหตุการณ์ มัลแวร์ 136 เหตุการณ์ และการบุกรุกระบบ 42 เหตุการณ์

ตัวเลขดังกล่าวเท่ากับเฉลี่ยประมาณ 363 เหตุการณ์ต่อเดือน หรือประมาณ 12 เหตุการณ์ต่อวัน

อย่างไรก็ตาม การใช้คำว่า “ถูกแฮ็กสำเร็จวันละ 12 ครั้ง” ไม่ตรงกับนิยามของข้อมูล เพราะจำนวนรวมดังกล่าวประกอบด้วยเหตุการณ์หลายประเภท รวมทั้งความพยายามบุกรุกที่ไม่จำเป็นต้องประสบความสำเร็จ

เมื่อคำนวณสัดส่วนจะพบว่า ความพยายามบุกรุกคิดเป็นประมาณร้อยละ 34.9 ของเหตุการณ์ทั้งหมด ส่วนเหตุการณ์ที่จัดประเภทเป็นการบุกรุกคิดเป็นประมาณร้อยละ 1.3

ข้อมูลนี้มิได้พิสูจน์ว่าการโจมตีประเภทอื่นไม่ก่อให้เกิดความเสียหาย แต่สะท้อนว่าการนำจำนวนเหตุการณ์ทั้งหมดไปใช้แทนจำนวนการแฮ็กสำเร็จเป็นการตีความที่ไม่ถูกต้อง

อีกประการหนึ่ง ข้อมูล ThaiCERT เป็นสถิติจากระบบรับรายงานและติดตามภัยคุกคามของประเทศไทย ซึ่งมีหลักเกณฑ์ต่างจาก CEDB ของมหาวิทยาลัยแมริแลนด์ จึงไม่ควรนำตัวเลขทั้งสองชุดมาเปรียบเทียบโดยตรง

สิ่งที่ประเทศไทยควรตั้งคำถามจึงไม่ใช่เพียงว่าเกิดเหตุการณ์กี่ครั้ง แต่ต้องถามว่าแต่ละเหตุการณ์สร้างความเสียหายเท่าใด และหน่วยงานสามารถป้องกันหรือลดผลกระทบได้ดีเพียงใด

3. จากภัยคุกคามทางเทคนิคสู่ความเสี่ยงเชิงระบบของประเทศ

3.1 ความเสี่ยงต่อระบบการเงินและเสถียรภาพเศรษฐกิจ

ระบบการเงินเป็นโครงสร้างพื้นฐานสำคัญของเศรษฐกิจสมัยใหม่ เนื่องจากเกี่ยวข้องกับการชำระเงิน สินเชื่อ การลงทุน และการเคลื่อนย้ายเงินทุน

หากระบบการชำระเงินที่สำคัญหยุดชะงัก แม้เพียงช่วงเวลาหนึ่ง ก็อาจกระทบต่อธุรกิจจำนวนมากพร้อมกัน

รายงาน OECD (2026) ให้ความสำคัญกับความเสี่ยงจากผู้ให้บริการภายนอก (Third-Party Risk) ห่วงโซ่อุปทานดิจิทัล และการแพร่กระจายของผลกระทบระหว่างสถาบันการเงิน

ประเด็นนี้สอดคล้องกับสถานการณ์ล่าสุดเมื่อวันที่ 9 พฤศจิกายน 2569 ที่ธนาคารแห่งประเทศไทยออกข่าวฉบับที่ 44/2569 กำชับให้สถาบันการเงินเพิ่มความเข้มข้นในการเฝ้าระวังและเตรียมพร้อมรับมือภัยไซเบอร์ หลังเกิดเหตุการณ์ระบบเทคโนโลยีสารสนเทศขัดข้องและการโจมตีสถาบันการเงินในต่างประเทศ

ธนาคารแห่งประเทศไทยระบุว่า ณ วันที่ออกข่าว ยังไม่พบผลกระทบต่อการให้บริการของสถาบันการเงินในไทย พร้อมทั้งเน้นการประสานงานกับผู้บริหารเทคโนโลยีสารสนเทศของสถาบันการเงิน การแลกเปลี่ยนข้อมูลภัยคุกคาม และการซักซ้อมแผนความต่อเนื่องทางธุรกิจ (Bank of Thailand, 2026)

ข้อเท็จจริงนี้แสดงให้เห็นว่า หน่วยงานกำกับดูแลสามารถดำเนินมาตรการป้องกันเชิงรุกได้โดยไม่จำเป็นต้องรอให้เกิดความเสียหายในประเทศก่อน

แต่ความพร้อมในการป้องกันต้องได้รับการพิสูจน์ด้วยผลการทดสอบระบบ ไม่ใช่เพียงการประกาศว่ามีมาตรการแล้ว

3.2 ความเสี่ยงต่อโรงพยาบาล พลังงาน และบริการสาธารณะ

ระบบสาธารณสุข พลังงาน น้ำประปา โทรคมนาคม และการขนส่งมีลักษณะร่วมกันคือ การหยุดชะงักอาจส่งผลกระทบต่อชีวิตและความปลอดภัยของประชาชน

ตัวอย่างเช่น หากระบบข้อมูลผู้ป่วยของโรงพยาบาลไม่สามารถใช้งานได้ แพทย์อาจประสบปัญหาในการตรวจสอบประวัติการรักษา การสั่งยา และการประสานงานระหว่างหน่วยบริการ

หากระบบควบคุมการจ่ายไฟฟ้าหรือสื่อสารของสาธารณูปโภคถูกแทรกแซง ผลกระทบอาจขยายไปสู่กิจกรรมทางเศรษฐกิจอื่น

ความเสี่ยงดังกล่าวทำให้ต้องคำนึงถึงความเชื่อมโยงระหว่างระบบเทคโนโลยีสารสนเทศ (Information Technology: IT) กับระบบเทคโนโลยีปฏิบัติการ (Operational Technology: OT)

การป้องกันเฉพาะฐานข้อมูลหรือเว็บไซต์จึงไม่เพียงพอ หากระบบควบคุมอุปกรณ์และโครงสร้างพื้นฐานยังมีช่องโหว่

ในเดือนตุลาคม 2569 สกมช. ได้ประชาสัมพันธ์แนวทาง HAIT Plus Version 2.0 (2026) สำหรับโรงพยาบาลของรัฐ ซึ่งสะท้อนถึงความสำคัญของการพัฒนามาตรฐานเฉพาะภาคส่วน

อย่างไรก็ตาม การมีแนวทางหรือมาตรฐานไม่เท่ากับการพิสูจน์ว่าหน่วยงานทุกแห่งปฏิบัติตามได้อย่างมีประสิทธิภาพ

จำเป็นต้องมีการประเมินความพร้อม การทดสอบการกู้คืน และการตรวจสอบโดยหน่วยงานที่มีความเป็นอิสระอย่างเหมาะสม

3.3 ความเสี่ยงต่อ SMEs และห่วงโซ่อุปทาน

การโจมตีทางไซเบอร์ไม่จำเป็นต้องเริ่มจากหน่วยงานเป้าหมายขนาดใหญ่เสมอไป

ผู้โจมตีอาจเลือกใช้บริษัทผู้ให้บริการซอฟต์แวร์ ผู้รับจ้างดูแลระบบ หรือคู่ค้าขนาดเล็กเป็นช่องทางเข้าสู่ระบบขององค์กรขนาดใหญ่

OECD (2026) ระบุว่าความเสี่ยงจากห่วงโซ่อุปทานเป็นช่องทางสำคัญที่สามารถทำให้เหตุการณ์ไซเบอร์แพร่กระจายข้ามองค์กรและข้ามพรมแดนได้

สำหรับประเทศไทย ธุรกิจขนาดกลางและขนาดย่อม วิสาหกิจชุมชน และผู้ประกอบการท้องถิ่นจำนวนมากอาจมีข้อจำกัดด้านงบประมาณ บุคลากรเฉพาะทาง และความสามารถในการตรวจสอบผู้ให้บริการเทคโนโลยี

ตัวอย่างเช่น ผู้ประกอบการค้าชายแดนไทย–มาเลเซียอาจประสบความเสี่ยงจากอีเมลปลอมที่แอบอ้างเป็นคู่ค้าและขอเปลี่ยนบัญชีรับชำระเงิน

แม้ไม่มีการเจาะเข้าสู่ระบบคอมพิวเตอร์โดยตรง การหลอกลวงเชิงวิศวกรรมสังคม (Social Engineering) ก็อาจสร้างความเสียหายทางการเงินได้

กรณีนี้สะท้อนว่าภูมิคุ้มกันไซเบอร์ต้องครอบคลุมทั้งเทคโนโลยี กระบวนการทำงาน และพฤติกรรมมนุษย์

3.4 ปัญญาประดิษฐ์กับภัยคุกคามไซเบอร์รูปแบบใหม่

การพัฒนาปัญญาประดิษฐ์ทำให้ทั้งฝ่ายป้องกันและฝ่ายโจมตีมีเครื่องมือที่มีประสิทธิภาพมากขึ้น

AI สามารถช่วยวิเคราะห์พฤติกรรมผิดปกติ ตรวจจับข้อความหลอกลวง และสนับสนุนการจัดลำดับความสำคัญของการตอบสนองต่อเหตุการณ์

ขณะเดียวกัน ผู้ไม่หวังดีอาจใช้ AI สร้างข้อความหลอกลวงที่แนบเนียน ปลอมเสียงบุคคล สร้างภาพหรือวิดีโอปลอม และเพิ่มความหลากหลายของวิธีหลอกลวง

การใช้ Deepfake หรือ Voice Cloning เพื่อหลอกให้โอนเงินหรือเปิดเผยข้อมูลสำคัญ จึงเป็นความเสี่ยงที่ต้องพิจารณาควบคู่กับมาตรการทางเทคนิค

แต่ไม่ควรสรุปว่า AI เป็นสาเหตุของเหตุการณ์ไซเบอร์ที่เพิ่มขึ้นทั้งหมด เพราะภัยคุกคามยังเกิดจากช่องโหว่ของระบบ การจัดการสิทธิ์ที่ไม่เหมาะสม และความผิดพลาดของมนุษย์ด้วย

4. ภูมิคุ้มกันไซเบอร์: แนวคิดใหม่ที่ประเทศไทยต้องนำมาใช้ทั้งระบบ

การรักษาความมั่นคงปลอดภัยไซเบอร์ (Cybersecurity) มักถูกเข้าใจว่าเป็นการป้องกันไม่ให้ผู้โจมตีเข้าถึงระบบ

แต่ภูมิคุ้มกันไซเบอร์ (Cyber Resilience) มีขอบเขตกว้างกว่า โดยให้ความสำคัญกับความสามารถในการรักษาภารกิจหลักไว้ได้ แม้เกิดเหตุการณ์ร้ายแรง รวมทั้งการฟื้นฟูและเรียนรู้หลังเหตุการณ์

กรอบ NIST Cybersecurity Framework 2.0 ของสถาบันมาตรฐานและเทคโนโลยีแห่งชาติสหรัฐอเมริกา เสนอองค์ประกอบหกด้าน ได้แก่

Govern — การกำกับดูแล

กำหนดผู้รับผิดชอบ นโยบาย ระดับความเสี่ยงที่ยอมรับได้ ตลอดจนกลไกติดตามและตรวจสอบการตัดสินใจ

Identify — การระบุสินทรัพย์และความเสี่ยง

ทราบว่าหน่วยงานมีระบบ ข้อมูล อุปกรณ์ และผู้ให้บริการใดบ้าง รวมถึงระบบใดสำคัญต่อการดำเนินภารกิจ

Protect — การป้องกัน

ใช้มาตรการควบคุมสิทธิ์ การยืนยันตัวตนหลายปัจจัย การจัดการช่องโหว่ การฝึกอบรม และการป้องกันข้อมูล

Detect — การตรวจจับ

สามารถตรวจพบพฤติกรรมผิดปกติและวิเคราะห์เหตุการณ์ได้รวดเร็วเพียงพอที่จะลดความเสียหาย

Respond — การตอบสนอง

มีแผนจัดการเหตุการณ์ การประสานงาน การสื่อสารต่อประชาชน และการควบคุมไม่ให้เหตุการณ์ลุกลาม

Recover — การฟื้นฟู

มีระบบสำรองข้อมูลและแผนกู้คืนที่ผ่านการทดสอบจริง พร้อมนำบทเรียนไปปรับปรุงระบบในอนาคต

NIST (2024) เน้นว่าทั้งหกองค์ประกอบต้องดำเนินการอย่างต่อเนื่องและเชื่อมโยงกัน มิใช่ดำเนินการแบบแยกส่วน

ในบริบทประเทศไทย การนำกรอบดังกล่าวไปใช้ควรเริ่มจากการกำหนดภารกิจสำคัญของแต่ละหน่วยงาน แล้วพิจารณาว่าระบบใดต้องได้รับการป้องกันก่อน ระบบใดสามารถหยุดชะงักได้ชั่วคราว และระบบใดต้องสามารถกู้คืนภายในเวลาที่กำหนด

แนวทางนี้ทำให้การลงทุนด้านไซเบอร์เชื่อมโยงกับผลประโยชน์สาธารณะโดยตรง แทนการซื้อเทคโนโลยีตามกระแสหรือใช้งบประมาณตามรายการที่หน่วยงานเสนอเพียงอย่างเดียว

5. Forensic Budget Analysis: ตรวจสอบงบประมาณความมั่นคงไซเบอร์ไทย

5.1 ทำไมต้องวิเคราะห์งบประมาณเชิงนิติวิทยาศาสตร์?

ความมั่นคงปลอดภัยไซเบอร์ไม่สามารถแยกออกจากความมั่นคงทางการคลังได้

หากรัฐต้องการสร้างระบบที่ป้องกัน ตรวจจับ และฟื้นฟูภัยคุกคามได้อย่างมีประสิทธิภาพ จำเป็นต้องมีงบประมาณเพียงพอและใช้จ่ายอย่างคุ้มค่า

แต่การเพิ่มงบประมาณมิได้หมายความว่าจะเพิ่มความปลอดภัยโดยอัตโนมัติ

การจัดซื้อระบบราคาแพงที่ไม่สอดคล้องกับความเสี่ยง การซื้อเทคโนโลยีซ้ำซ้อน การขาดบุคลากรดูแล หรือการไม่จัดสรรงบประมาณสำหรับบำรุงรักษา อาจทำให้รัฐมีต้นทุนสูงโดยไม่ได้รับความสามารถในการป้องกันเพิ่มขึ้นตามที่คาดหวัง

Forensic Budget Analysis จึงควรตรวจสอบความสัมพันธ์ระหว่างงบประมาณ ภารกิจ ผลผลิต ผลลัพธ์ และความเสี่ยงของการใช้จ่าย

การวิเคราะห์ในบทความนี้เป็นการตรวจสอบเชิงเอกสารและการคำนวณจากตัวเลขที่เผยแพร่ต่อสาธารณะ มิใช่การตรวจสอบบัญชีตามมาตรฐานวิชาชีพ หรือการตรวจสอบนิติวิทยาศาสตร์ทางการเงินที่มีหลักฐานธุรกรรมครบถ้วน

5.2 โครงสร้างงบประมาณแผ่นดินปี 2570

ประเทศไทยประกาศใช้งบประมาณรายจ่ายประจำปีงบประมาณ พ.ศ. 2570 วงเงินรวม 3,788,000 ล้านบาท เพิ่มขึ้นจากปีงบประมาณ พ.ศ. 2569 ซึ่งมีวงเงิน 3,780,600 ล้านบาท เป็นจำนวน 7,400 ล้านบาท หรือประมาณร้อยละ 0.2

ข้อมูลจากคำแถลงงบประมาณของรัฐบาลระบุว่า งบลงทุนมีจำนวนประมาณ 789,171.5 ล้านบาท ขณะที่รายจ่ายประจำมีจำนวนประมาณ 2,786,367.1 ล้านบาท โดยมีการกำหนดกรอบการบริหารงบประมาณภายใต้ข้อจำกัดทางการคลัง (Government of Thailand, 2026)

รัฐบาลยังได้กล่าวถึงแนวคิดการจัดทำงบประมาณฐานศูนย์ (Zero-Based Budgeting) โดยพิจารณาความจำเป็น ความเร่งด่วน และความคุ้มค่าของโครงการ

ประเด็นนี้เปิดโอกาสให้ตั้งคำถามเชิงนโยบายว่า

ภายใต้งบประมาณแผ่นดินที่มีข้อจำกัด ประเทศไทยให้ความสำคัญกับความมั่นคงปลอดภัยไซเบอร์เพียงพอหรือไม่ และงบประมาณที่มีอยู่สามารถลดความเสี่ยงได้จริงเพียงใด?

คำตอบไม่สามารถได้จากการดูวงเงินของหน่วยงานใดหน่วยงานหนึ่งเท่านั้น เพราะงบด้านไซเบอร์อาจกระจายอยู่ในหลายกระทรวง หน่วยงานกำกับดูแล รัฐวิสาหกิจ และโครงการรัฐบาลดิจิทัล

จึงต้องมีการรวบรวมข้อมูลโดยใช้การจำแนกตามภารกิจด้านความมั่นคงปลอดภัยไซเบอร์ทั่วทั้งภาครัฐ

5.3 ข้อสังเกตเกี่ยวกับงบประมาณ สกมช. ปี 2570

เมื่อวันที่ 7 กรกฎาคม 2569 มีรายงานข่าวการอภิปรายของนางสาววทันยา บุนนาค ในฐานะกรรมาธิการวิสามัญพิจารณาร่างพระราชบัญญัติงบประมาณรายจ่ายประจำปีงบประมาณ พ.ศ. 2570 โดยตั้งข้อสังเกตเกี่ยวกับโครงสร้างงบประมาณของ สกมช.

ข้อมูลที่ปรากฏในรายงานข่าวระบุว่า งบประมาณภาพรวมลดลงจากประมาณ 541 ล้านบาท เหลือประมาณ 440 ล้านบาท

เมื่อนำมาคำนวณ พบว่างบประมาณลดลง 101 ล้านบาท หรือประมาณร้อยละ 18.7

ขณะเดียวกัน งบบุคลากรตามตัวเลขที่อภิปรายเพิ่มขึ้นจากประมาณ 99 ล้านบาท เป็น 129 ล้านบาท หรือเพิ่มขึ้น 30 ล้านบาท คิดเป็นร้อยละ 30.3

หากคำนวณสัดส่วนงบบุคลากรต่องบประมาณภาพรวมจากตัวเลขดังกล่าว พบว่าสัดส่วนเพิ่มขึ้นจากประมาณร้อยละ 18.3 เป็นร้อยละ 29.3

นอกจากนี้ แผนงานด้านความมั่นคงปลอดภัยไซเบอร์ที่ทำร่วมกับหน่วยงานอื่นมีการตั้งข้อสังเกตว่างบประมาณลดลงจาก 149.7 ล้านบาท เหลือ 98.19 ล้านบาท คิดเป็นการลดลง 51.51 ล้านบาท หรือประมาณร้อยละ 34.4 (Nation TV, 2026)

ตัวเลขดังกล่าวทำให้เกิดคำถามสำคัญสามประการ

ประการแรก การลดงบประมาณภาพรวมส่งผลกระทบต่อขีดความสามารถในการป้องกันและรับมือภัยไซเบอร์หรือไม่

ประการที่สอง การเพิ่มงบบุคลากรเกิดจากการเพิ่มตำแหน่งที่จำเป็น การปรับโครงสร้างองค์กร หรือภาระผูกพันด้านบุคลากรประเภทใด

ประการที่สาม เมื่อแผนงานบางส่วนได้รับงบประมาณลดลง หน่วยงานมีมาตรการเพิ่มประสิทธิภาพหรือปรับเป้าหมายการดำเนินงานอย่างไร

อย่างไรก็ตาม การที่งบบุคลากรเพิ่มขึ้นในขณะที่งบดำเนินงานลดลง ไม่ใช่หลักฐานยืนยันความผิดปกติหรือการทุจริต

การเพิ่มบุคลากรผู้เชี่ยวชาญอาจช่วยลดการพึ่งพาผู้รับจ้างภายนอกและเพิ่มความสามารถขององค์กรในระยะยาวได้เช่นกัน

ในทางกลับกัน หากการเพิ่มงบบุคลากรไม่ได้ทำให้ความสามารถในการตรวจจับ การตอบสนอง หรือการฟื้นฟูดีขึ้น ก็จำเป็นต้องตรวจสอบประสิทธิภาพการใช้จ่าย

ที่สำคัญ ตัวเลขเหล่านี้มาจากการอภิปรายเกี่ยวกับร่างงบประมาณในเดือนกรกฎาคม 2569 จึงต้องตรวจสอบเทียบกับเอกสารงบประมาณฉบับประกาศใช้ การจัดสรรจริง และข้อมูลการเบิกจ่ายล่าสุดก่อนยืนยันว่าเป็นวงเงินสุดท้าย

5.4 ตรวจสอบความเสี่ยงงบประมาณซ้ำซ้อนด้านคลาวด์ภาครัฐ

ประเด็นที่ได้รับการตั้งข้อสังเกตอีกเรื่องหนึ่งคือ งบประมาณโครงสร้างพื้นฐานคลาวด์ภาครัฐ

รายงานข่าวการอภิปรายระบุว่า สำนักงานพัฒนารัฐบาลดิจิทัล (DGA) มีงบประมาณภายใต้แผนงานบูรณาการรัฐบาลดิจิทัลประมาณ 106.7 ล้านบาท ประกอบด้วยรายการจัดหาระบบคลาวด์ การบำรุงรักษา และระบบเชื่อมต่อเครือข่าย

ขณะเดียวกัน มีการกล่าวถึงโครงการคลาวด์ของกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมมูลค่ารวมประมาณ 4,980 ล้านบาท

ข้อกังวลคือ โครงการเหล่านี้อาจมีภารกิจหรือผู้รับบริการบางส่วนทับซ้อนกัน

แต่ในทางวิเคราะห์งบประมาณ ไม่สามารถสรุปว่ามีการซื้อซ้ำซ้อนจากการพบคำว่า “คลาวด์” ในชื่อโครงการหลายรายการ

จำเป็นต้องตรวจสอบรายละเอียดบริการ สถาปัตยกรรมระบบ ผู้ใช้เป้าหมาย ระดับความปลอดภัย ข้อตกลงการให้บริการ และหน่วยงานเจ้าของภารกิจ

บางโครงการอาจเป็นโครงสร้างพื้นฐานกลาง ขณะที่บางโครงการอาจมีวัตถุประสงค์เฉพาะสำหรับระบบข้อมูลหรือการเชื่อมต่อ

การนับงบประมาณทั้งหมดเป็นความเสียหายหรือเงินสูญเปล่าจึงเป็นข้อสรุปที่ไม่มีหลักฐานเพียงพอ

แนวทางที่เหมาะสมคือให้หน่วยงานเปิดเผยแผนผังความสัมพันธ์ของระบบคลาวด์ภาครัฐ พร้อมข้อมูลผู้ใช้ ความสามารถรองรับการใช้งาน ต้นทุนรวม และเหตุผลความจำเป็นในการจัดหาระบบแต่ละส่วน

5.5 กรอบการตรวจสอบงบประมาณเชิงนิติวิทยาศาสตร์หกมิติ

การตรวจสอบที่รอบด้านควรประกอบด้วยองค์ประกอบต่อไปนี้

มิติที่หนึ่ง: Budget Allocation

ตรวจสอบวงเงินที่ได้รับอนุมัติจริง การจัดสรรรายโครงการ การโอนเปลี่ยนแปลงงบประมาณ และความสอดคล้องกับแผนงาน

มิติที่สอง: Budget Execution

ตรวจสอบการก่อหนี้ผูกพัน การเบิกจ่ายจริง เงินคงเหลือ และเหตุผลที่โครงการดำเนินการล่าช้าหรือไม่เป็นไปตามแผน

มิติที่สาม: Procurement Integrity

ตรวจสอบราคากลาง ข้อกำหนดคุณลักษณะเฉพาะ วิธีจัดซื้อจัดจ้าง จำนวนผู้เสนอราคา ความสัมพันธ์ระหว่างสัญญา และการแก้ไขสัญญาภายหลัง

มิติที่สี่: Total Cost of Ownership

วิเคราะห์ต้นทุนตลอดอายุโครงการ รวมถึงค่าบำรุงรักษา ค่าใบอนุญาตซอฟต์แวร์ ค่าบริการคลาวด์ ค่าอบรมบุคลากร ค่าทดสอบความปลอดภัย และต้นทุนการย้ายระบบในอนาคต

มิติที่ห้า: Performance and Outcomes

ตรวจสอบว่าระบบที่จัดซื้อสามารถทำงานได้ตามเป้าหมายหรือไม่ โดยใช้ตัวชี้วัดด้านความพร้อมใช้งาน การตรวจจับ การตอบสนอง และการฟื้นฟู

มิติที่หก: Independent Accountability

กำหนดให้มีการตรวจสอบภายใน การประเมินจากบุคคลภายนอก และการเปิดเผยผลที่ไม่กระทบต่อความมั่นคงของระบบ

สำหรับข้อมูลที่ยังไม่เปิดเผย เช่น สัญญาจัดซื้อ รายการเบิกจ่ายจริง หรือผลตรวจรับงาน บทความนี้ไม่สามารถสรุปได้ว่ามีหรือไม่มีการใช้งบประมาณผิดวัตถุประสงค์

การตรวจสอบเชิงนิติวิทยาศาสตร์ที่สมบูรณ์ต้องมีเอกสารต้นทางครบถ้วน สามารถตรวจสอบเส้นทางเงินและความสัมพันธ์ระหว่างผู้เกี่ยวข้องได้ และเปิดโอกาสให้หน่วยงานที่ถูกตรวจสอบชี้แจงข้อเท็จจริง

6. การออกแบบงบประมาณภูมิคุ้มกันไซเบอร์ที่คุ้มค่า

6.1 จากงบจัดซื้อเทคโนโลยีสู่งบลดความเสียหาย

ปัญหาสำคัญของการจัดสรรงบประมาณด้านไซเบอร์คือ การวัดความสำเร็จจากจำนวนระบบที่จัดซื้อ จำนวนเครื่องมือที่ติดตั้ง หรือจำนวนบุคลากรที่ผ่านการอบรม โดยไม่มีหลักฐานเพียงพอว่าความเสี่ยงลดลงจริง

ตัวชี้วัดเช่นนี้สะท้อนผลผลิตของโครงการ แต่ยังไม่ใช่ผลลัพธ์ด้านความปลอดภัย

รัฐบาลควรเปลี่ยนไปใช้แนวทาง Risk-Based Budgeting โดยให้ความสำคัญกับระบบที่อาจก่อให้เกิดความเสียหายต่อชีวิต เศรษฐกิจ และบริการสาธารณะมากที่สุดก่อน

การลงทุนในระบบสำรองและกู้คืนข้อมูลของโรงพยาบาลอาจมีคุณค่าต่อสังคมสูงกว่าการเพิ่มเครื่องมือรักษาความปลอดภัยให้ระบบที่ไม่มีความสำคัญต่อภารกิจหลัก แม้การจัดซื้อทั้งสองโครงการจะมีวงเงินใกล้เคียงกัน

จึงควรกำหนดความสัมพันธ์ระหว่างงบประมาณกับผลลัพธ์อย่างชัดเจน ได้แก่

งบประมาณ → ความสามารถในการป้องกัน → ความสามารถในการรับมือ → การลดความเสียหาย → ความต่อเนื่องของบริการสาธารณะ

6.2 แบบจำลองงบประมาณนำร่องเชิงนโยบาย

เพื่อแสดงหลักการจัดสรรงบประมาณ บทความเสนอ สถานการณ์สมมติสำหรับโครงการนำร่องภูมิคุ้มกันไซเบอร์ระดับพื้นที่ วงเงิน 100 ล้านบาทต่อปี

ตัวเลขนี้เป็นข้อเสนอเพื่อใช้วิเคราะห์ทางเลือก ไม่ใช่งบประมาณที่รัฐบาลอนุมัติแล้ว และยังไม่ใช่ผลการศึกษาความเป็นไปได้จากราคาจัดซื้อจริง

วงเงินดังกล่าวคิดเป็นประมาณร้อยละ 0.0026 ของงบประมาณรายจ่ายแผ่นดินปี 2570

หากแบ่งตามหน้าที่ของระบบ อาจจัดสรรเป็น

• 30 ล้านบาท เพื่อยกระดับการป้องกันและการกู้คืนระบบบริการสาธารณะสำคัญ
• 25 ล้านบาท เพื่อสนับสนุนการเฝ้าระวังและตอบสนองเหตุการณ์ร่วมในระดับพื้นที่
• 20 ล้านบาท เพื่อเพิ่มความพร้อมให้ SMEs วิสาหกิจชุมชน และผู้ให้บริการรายย่อย
• 15 ล้านบาท เพื่อฝึกอบรมบุคลากรและซักซ้อมแผนรับมือเหตุการณ์
• 10 ล้านบาท เพื่อการประเมินความเสี่ยง การตรวจสอบผลลัพธ์ และการประเมินอิสระ

การจัดสรรดังกล่าวเป็นเพียงตัวอย่างโครงสร้างงบประมาณ มิใช่ผลการประมาณราคากลาง

ก่อนดำเนินโครงการจริงต้องมีการสำรวจระบบเดิม วิเคราะห์ช่องว่างด้านความปลอดภัย ตรวจสอบความซ้ำซ้อนกับงบประมาณที่ได้รับอยู่แล้ว และจัดทำรายละเอียดต้นทุนต่อหน่วย

หากนำร่องในหลายจังหวัด ควรเลือกพื้นที่ตามระดับความเสี่ยง ความสำคัญของบริการ และความพร้อมของหน่วยงาน แทนการแบ่งงบประมาณเท่ากันทุกจังหวัดโดยไม่มีเหตุผลรองรับ

6.3 การวิเคราะห์ความคุ้มค่าทางเศรษฐศาสตร์

การประเมินความคุ้มค่าของการลงทุนด้านความมั่นคงไซเบอร์ไม่ควรใช้เพียงผลตอบแทนทางการเงินจากโครงการ

เนื่องจากประโยชน์จำนวนมากเกิดขึ้นในรูปความเสียหายที่หลีกเลี่ยงได้ เช่น การป้องกันข้อมูลผู้ป่วยรั่วไหล การลดเวลาหยุดทำงานของระบบชำระเงิน และการหลีกเลี่ยงการหยุดชะงักของบริการสาธารณะ

สามารถใช้แนวคิด Expected Annual Loss เพื่อประเมินมูลค่าความเสียหายที่คาดหมายต่อปี โดยคำนึงถึงความถี่และความรุนแรงของเหตุการณ์

จากนั้นเปรียบเทียบกับต้นทุนตลอดอายุโครงการและผลการลดความเสี่ยงที่สามารถตรวจสอบได้

ตัวอย่างเช่น หากโครงการมีต้นทุนดำเนินงาน 100 ล้านบาทต่อปี การประเมินให้คุ้มค่าจากความเสียหายที่หลีกเลี่ยงได้เพียงอย่างเดียวจะต้องแสดงหลักฐานว่าประโยชน์ที่เกิดขึ้นมีมูลค่าไม่น้อยกว่าต้นทุนดังกล่าว โดยปรับให้สอดคล้องกับระยะเวลาและความไม่แน่นอน

หากสมมติว่ามาตรการลดความเสียหายที่คาดหมายได้ร้อยละ 25 ฐานความเสียหายก่อนดำเนินมาตรการต้องอยู่ที่ประมาณ 400 ล้านบาทต่อปี จึงจะหลีกเลี่ยงความเสียหายได้ 100 ล้านบาทต่อปี

ตัวเลขนี้เป็นการคำนวณเชิงสมมติฐานเท่านั้น ไม่ใช่ข้อเท็จจริงว่าประเทศไทยมีความเสียหายปีละ 400 ล้านบาท หรือโครงการสามารถลดความเสียหายได้ร้อยละ 25 จริง

การประเมินอย่างสมบูรณ์ควรใช้การวิเคราะห์ต้นทุน–ประโยชน์ การคิดลดมูลค่าปัจจุบันสุทธิ การวิเคราะห์ความอ่อนไหว และการประเมินผลประโยชน์ทางสังคมที่ไม่ใช่ตัวเงินร่วมกัน

โดยเฉพาะโครงการคุ้มครองชีวิตและบริการสาธารณะ การตัดสินใจไม่ควรอาศัยความคุ้มค่าทางการเงินเพียงอย่างเดียว แต่ต้องพิจารณาหน้าที่ของรัฐในการคุ้มครองประชาชนด้วย

7. ข้อสังเกตและข้อกังวลสำคัญ

7.1 ความเสี่ยงจากการนำสถิติไปใช้ผิดความหมาย

การเปลี่ยนสัดส่วนเหตุการณ์ที่มีรายงานให้กลายเป็นอันดับความไม่ปลอดภัยของประเทศอาจทำให้ประชาชนเข้าใจสถานการณ์คลาดเคลื่อน

รัฐและสื่อมวลชนควรเผยแพร่คำอธิบายนิยาม ตัวหาร ระยะเวลาของข้อมูล และข้อจำกัดของฐานข้อมูลควบคู่กับตัวเลขทุกครั้ง

7.2 ความเสี่ยงจากการรวมศูนย์ระบบมากเกินไป

ระบบกลางสามารถลดความซ้ำซ้อนและช่วยให้บริหารจัดการได้มีประสิทธิภาพ แต่หากขาดการแบ่งแยกความเสี่ยงและการออกแบบระบบสำรอง อาจสร้างจุดล้มเหลวร่วม (Common Point of Failure)

การรวมศูนย์จึงต้องมาพร้อมระบบสำรอง การกำหนดสิทธิ์ที่เหมาะสม และความสามารถในการดำเนินงานของหน่วยงานปลายทางเมื่อระบบกลางขัดข้อง

7.3 ความเสี่ยงจากการพึ่งพาผู้รับจ้างภายนอก

การจัดซื้อบริการความปลอดภัยไซเบอร์โดยไม่พัฒนาความรู้ภายในองค์กร อาจทำให้ภาครัฐมีความสามารถจำกัดในการตรวจสอบคุณภาพบริการ

นอกจากนี้ การผูกติดกับผู้ให้บริการรายเดียวอาจเพิ่มต้นทุนการเปลี่ยนระบบในอนาคต

7.4 ความเสี่ยงด้านสิทธิและเสรีภาพ

มาตรการรักษาความมั่นคงปลอดภัยไซเบอร์อาจเกี่ยวข้องกับการเก็บรวบรวมข้อมูล การติดตามการใช้งานระบบ และการแลกเปลี่ยนข้อมูลระหว่างหน่วยงาน

จึงจำเป็นต้องกำหนดมาตรการคุ้มครองข้อมูลส่วนบุคคล หลักความจำเป็นและได้สัดส่วน การจำกัดวัตถุประสงค์ และการตรวจสอบการใช้อำนาจอย่างเหมาะสม

การอ้างเหตุผลด้านความมั่นคงไม่ควรกลายเป็นข้อยกเว้นทั่วไปที่ทำให้การคุ้มครองสิทธิของประชาชนอ่อนแอลง

7.5 ความเหลื่อมล้ำด้านความพร้อมไซเบอร์

หน่วยงานขนาดใหญ่ในเมืองอาจมีงบประมาณและบุคลากรมากกว่าหน่วยงานระดับอำเภอ องค์กรปกครองส่วนท้องถิ่น และวิสาหกิจชุมชน

หากนโยบายไซเบอร์เน้นเฉพาะหน่วยงานส่วนกลาง ความเสี่ยงของหน่วยงานขนาดเล็กอาจสะสมและกลายเป็นช่องทางให้ภัยคุกคามแพร่กระจายได้

7.6 ความเสี่ยงด้านงบประมาณและธรรมาภิบาล

การจัดสรรงบประมาณโดยไม่มีการเปิดเผยต้นทุนรวมและผลลัพธ์ อาจนำไปสู่การลงทุนที่ไม่เหมาะสม

ขณะเดียวกัน การลดงบประมาณโดยไม่ได้วิเคราะห์ผลกระทบต่อความเสี่ยงก็อาจทำให้ระบบสำคัญมีความพร้อมต่ำลง

จึงต้องรักษาสมดุลระหว่างความประหยัดทางการคลังกับความจำเป็นด้านความมั่นคง โดยใช้หลักฐานประกอบการตัดสินใจแทนการเพิ่มหรือลดงบประมาณตามข้อสันนิษฐาน

8. ข้อเสนอเชิงนโยบายสาธารณะ

8.1 ยกระดับภูมิคุ้มกันไซเบอร์เป็นวาระแห่งชาติ

รัฐบาลควรกำหนดเป้าหมาย National Cyber Resilience ที่เชื่อมโยงกับความมั่นคงทางเศรษฐกิจ คุณภาพชีวิต และความต่อเนื่องของบริการสาธารณะ

การกำกับดูแลควรครอบคลุมทั้งหน่วยงานภาครัฐ รัฐวิสาหกิจ โครงสร้างพื้นฐานสำคัญ ภาคธุรกิจ และหน่วยงานระดับพื้นที่ โดยไม่จำเป็นต้องจัดตั้งหน่วยงานใหม่หากสามารถใช้กลไกกฎหมายและองค์กรที่มีอยู่ได้อย่างมีประสิทธิภาพ

8.2 พัฒนาระบบฐานข้อมูลภัยไซเบอร์แห่งชาติที่มีมาตรฐานเดียวกัน

ควรกำหนดนิยามข้อมูลให้สามารถแยกความพยายามโจมตี เหตุการณ์ที่ตรวจพบการบุกรุก ความเสียหาย และผลกระทบต่อบริการ

ข้อมูลที่เผยแพร่ต่อสาธารณะควรแสดงแนวโน้มตามช่วงเวลา ประเภทเหตุการณ์ และระดับความรุนแรง โดยคุ้มครองข้อมูลที่อาจทำให้ระบบหรือบุคคลตกอยู่ในความเสี่ยงเพิ่มเติม

8.3 เปลี่ยนตัวชี้วัดจากจำนวนกิจกรรมสู่ผลลัพธ์ที่ตรวจสอบได้

ควรใช้ตัวชี้วัดที่สะท้อนความสามารถในการรับมือ ได้แก่ ระยะเวลาเฉลี่ยในการตรวจพบเหตุการณ์ (Mean Time to Detect) ระยะเวลาในการตอบสนองและฟื้นฟู ความพร้อมใช้ของระบบสำคัญ และสัดส่วนหน่วยงานที่ทดสอบแผนกู้คืนผ่านตามเกณฑ์

ตัวชี้วัดเหล่านี้ต้องกำหนดนิยามที่สอดคล้องกัน และไม่ควรตั้งเป้าหมายให้ลดจำนวนรายงานเหตุการณ์จนทำให้หน่วยงานมีแรงจูงใจปกปิดข้อมูล

8.4 จัดทำแผนที่ความเสี่ยงไซเบอร์ระดับประเทศ

ควรพัฒนา National Cyber Risk Map เพื่อประเมินความเสี่ยงของระบบสำคัญตามภาคเศรษฐกิจและพื้นที่

ข้อมูลแผนที่ควรมีทั้งส่วนที่ใช้ภายในหน่วยงานความมั่นคงและส่วนสาธารณะที่ไม่เปิดเผยรายละเอียดช่องโหว่หรือข้อมูลอ่อนไหว

ระบบดังกล่าวจะช่วยให้การจัดสรรงบประมาณพิจารณาจากระดับความเสี่ยงและผลกระทบที่คาดหมายได้อย่างเหมาะสม

8.5 จัดตั้งระบบสนับสนุนความปลอดภัยไซเบอร์ร่วมระดับพื้นที่

จังหวัดหรือกลุ่มจังหวัดควรสามารถเข้าถึงบริการด้านการเฝ้าระวัง การให้คำปรึกษา การประเมินช่องโหว่ และการตอบสนองเหตุการณ์ผ่านโครงสร้างที่เชื่อมโยงกับ สกมช. และหน่วยประสานงานด้านไซเบอร์ที่มีอยู่

การจัดบริการร่วมอาจช่วยลดต้นทุนให้หน่วยงานท้องถิ่นที่ไม่มีความพร้อมในการจัดตั้งทีมเฉพาะทาง

อย่างไรก็ตาม ต้องประเมินต้นทุน ความรับผิดชอบ และความสามารถในการดูแลระยะยาวก่อนกำหนดรูปแบบองค์กร

8.6 ส่งเสริมภูมิคุ้มกันไซเบอร์สำหรับ SMEs และเศรษฐกิจฐานราก

ภาครัฐควรสนับสนุนมาตรฐานความปลอดภัยขั้นต่ำที่ผู้ประกอบการสามารถปฏิบัติได้จริง เช่น การยืนยันตัวตนหลายปัจจัย การสำรองข้อมูล การตรวจสอบบัญชีรับเงิน และการฝึกอบรมบุคลากร

สำหรับพื้นที่ค้าชายแดนไทย–มาเลเซีย ควรส่งเสริมการให้ความรู้เกี่ยวกับการปลอมแปลงคำสั่งซื้อ อีเมลธุรกิจ และการหลอกโอนเงินข้ามประเทศ

ในภาคเกษตรและวิสาหกิจชุมชน การนำระบบดิจิทัลมาใช้ต้องคำนึงถึงความปลอดภัยของข้อมูลสมาชิก ข้อมูลการผลิต และธุรกรรมด้วย

8.7 ปฏิรูประบบงบประมาณไซเบอร์แบบมุ่งผลสัมฤทธิ์

สำนักงบประมาณและหน่วยงานที่เกี่ยวข้องควรจัดทำแนวทางจำแนกงบประมาณด้านความมั่นคงไซเบอร์ที่ใช้ร่วมกันได้ทั้งภาครัฐ

การพิจารณางบควรตรวจสอบโครงการเดิม ประสิทธิภาพของระบบที่มีอยู่ ต้นทุนตลอดอายุโครงการ และโอกาสใช้โครงสร้างพื้นฐานร่วมกัน

ควรกำหนดให้โครงการขนาดใหญ่มีการประเมินความคุ้มค่าก่อนอนุมัติ และประเมินผลหลังใช้งานจริง

8.8 จัดทำการตรวจสอบงบประมาณเชิงนิติวิทยาศาสตร์ตามระดับความเสี่ยง

ควรคัดเลือกโครงการที่มีวงเงินสูง มีความซับซ้อนทางเทคโนโลยี มีการแก้ไขสัญญาบ่อยครั้ง หรือมีความเสี่ยงต่อการจัดซื้อซ้ำซ้อน เข้าสู่กระบวนการตรวจสอบเชิงลึก

การตรวจสอบต้องอาศัยข้อมูลรายการงบประมาณ สัญญา การเบิกจ่าย ราคากลาง การส่งมอบงาน และผลการใช้งานจริง

การตรวจสอบดังกล่าวต้องเป็นธรรมต่อทุกฝ่าย ไม่ถือว่าข้อสังเกตหรือข้อสงสัยเป็นข้อพิสูจน์การกระทำผิด

8.9 สร้างความร่วมมือไซเบอร์อาเซียน

ประเทศไทยควรใช้กลไกความร่วมมือระดับภูมิภาคเพื่อแลกเปลี่ยนข้อมูลภัยคุกคาม พัฒนาศักยภาพบุคลากร และประสานการรับมือเหตุการณ์ข้ามพรมแดน

โดยเฉพาะกับมาเลเซีย สิงคโปร์ อินโดนีเซีย และฟิลิปปินส์ ซึ่งมีความเชื่อมโยงทางเศรษฐกิจและระบบดิจิทัลกับประเทศไทย

การแลกเปลี่ยนข้อมูลต้องอยู่ภายใต้กฎหมายที่เกี่ยวข้องและหลักการคุ้มครองข้อมูลส่วนบุคคล

8.10 กำหนดแผนปฏิบัติการระยะสั้น กลาง และยาว

ระยะเร่งด่วนภายใน 100 วัน

สำรวจระบบสำคัญที่มีความเสี่ยงสูง ทบทวนแผนการตอบสนองเหตุการณ์ กำหนดมาตรฐานข้อมูลภัยไซเบอร์ และตรวจสอบความซ้ำซ้อนของโครงการงบประมาณที่เกี่ยวข้อง

ระยะ 12 เดือน

ทดลองระบบสนับสนุนไซเบอร์ร่วมระดับพื้นที่ ดำเนินการซักซ้อมแผนรับมือและกู้คืนระบบสำคัญ พัฒนาตัวชี้วัดผลลัพธ์ และเริ่มเผยแพร่รายงานประสิทธิภาพการลงทุน

ระยะ 36 เดือน

ขยายมาตรการที่ผ่านการประเมินผลแล้วไปยังภาคส่วนและพื้นที่อื่น พร้อมพัฒนาระบบประเมินความเสี่ยงระดับชาติ การตรวจสอบอิสระ และการทบทวนงบประมาณตามผลลัพธ์อย่างต่อเนื่อง

แผนระยะเวลาดังกล่าวเป็นข้อเสนอเชิงนโยบายที่ยังต้องผ่านการประเมินความเป็นไปได้และการกำหนดหน่วยงานรับผิดชอบอย่างเป็นทางการ

9. สรุป

ภัยคุกคามทางไซเบอร์เป็นความเสี่ยงสำคัญของประเทศไทยในยุคเศรษฐกิจดิจิทัล แต่การกำหนดนโยบายที่มีประสิทธิภาพต้องเริ่มจากการทำความเข้าใจข้อมูลอย่างถูกต้อง

สถิติ OECD ที่ระบุว่าประเทศไทยมีสัดส่วนเหตุการณ์ไซเบอร์ร้อยละ 10 เป็นข้อเท็จจริงภายในขอบเขตฐานข้อมูลที่ศึกษา แต่ไม่สามารถใช้ยืนยันได้ว่าไทยเป็นประเทศที่มีระบบความปลอดภัยไซเบอร์อ่อนแอที่สุดในอาเซียน

ขณะเดียวกัน สถิติ ThaiCERT ที่บันทึกเหตุการณ์ 3,264 เหตุการณ์ในช่วงเก้าเดือนแรกของปี 2569 สะท้อนถึงภารกิจในการติดตามและรับมือภัยคุกคามที่มีความสำคัญต่อประเทศ แต่ไม่ใช่จำนวนการบุกรุกสำเร็จทั้งหมด

สถานการณ์ดังกล่าวประกอบกับความเชื่อมโยงของระบบการเงิน สาธารณสุข พลังงาน โลจิสติกส์ และเศรษฐกิจฐานราก ทำให้ประเทศไทยจำเป็นต้องยกระดับจากการรักษาความปลอดภัยของระบบคอมพิวเตอร์รายหน่วยงาน ไปสู่การสร้างภูมิคุ้มกันไซเบอร์เชิงระบบ

สำหรับการจัดสรรงบประมาณ ข้อมูลการอภิปรายงบประมาณปี 2570 ทำให้เกิดคำถามที่สมควรตรวจสอบเกี่ยวกับสัดส่วนงบบุคลากร งบดำเนินงาน และความเป็นไปได้ของความซ้ำซ้อนระหว่างโครงการ

อย่างไรก็ตาม ข้อสังเกตเหล่านี้ยังไม่ใช่หลักฐานว่ามีการใช้งบประมาณผิดปกติ การตรวจสอบต้องดำเนินการบนพื้นฐานเอกสารงบประมาณฉบับสุดท้าย สัญญาจัดซื้อจัดจ้าง รายการเบิกจ่าย และผลลัพธ์ที่ตรวจสอบได้

ข้อเสนอสำคัญของบทความจึงอยู่ที่การเปลี่ยนจากการบริหารงบประมาณโดยมุ่งเน้นรายการจัดซื้อ ไปสู่การบริหารงบประมาณโดยมุ่งลดความเสี่ยงและความเสียหายต่อสาธารณะ

ประเทศไทยต้องไม่มุ่งหวังเพียงไม่ให้ถูกแฮ็ก เพราะไม่มีระบบใดสามารถรับประกันความปลอดภัยจากภัยคุกคามได้อย่างสมบูรณ์

แต่ประเทศไทยต้องสร้างระบบที่สามารถป้องกัน ตรวจจับ ตอบสนอง ฟื้นฟู และเรียนรู้จากเหตุการณ์ได้อย่างต่อเนื่อง โดยประชาชนยังคงได้รับบริการสำคัญและมีความเชื่อมั่นต่อสถาบันของประเทศ

ความมั่นคงปลอดภัยไซเบอร์ที่แท้จริง จึงไม่ใช่เพียงการมีเทคโนโลยีราคาแพงหรือจำนวนรายงานการโจมตีที่ลดลง หากแต่คือความสามารถของประเทศในการรักษาชีวิต เศรษฐกิจ สิทธิของประชาชน และความต่อเนื่องของสังคม แม้ต้องเผชิญภัยคุกคามที่หลีกเลี่ยงไม่ได้

🔍 แหล่งข้อมูลอ้างอิง

แหล่งข้อมูลหลักที่ใช้ในการตรวจสอบข้อเท็จจริงและประกอบการวิเคราะห์ ได้แก่

1. OECD รายงาน Cybersecurity and Geopolitical Risks in Financial Markets ปี 2026 โดยเฉพาะข้อมูลสัดส่วนเหตุการณ์ไซเบอร์ในภูมิภาคเอเชียตะวันออกและอาเซียน
2. Cyber Events Database 2.0 ของ University of Maryland ซึ่งเป็นฐานข้อมูลเหตุการณ์ไซเบอร์จากแหล่งข้อมูลสาธารณะ
3. ThaiCERT สถิติภัยคุกคามทางไซเบอร์ของประเทศไทย ประจำเดือนมกราคม–กันยายน 2569
4. ธนาคารแห่งประเทศไทย ข่าวฉบับที่ 44/2569 วันที่ 9 พฤศจิกายน 2569 เกี่ยวกับการเฝ้าระวังภัยไซเบอร์ในภาคการเงิน
5. คำแถลงประกอบงบประมาณรายจ่ายประจำปีงบประมาณ พ.ศ. 2570 และเอกสารงบประมาณของสำนักงบประมาณ
6. รายงานข่าวการอภิปรายงบประมาณปี 2570 เกี่ยวกับ สกมช. และโครงการคลาวด์ภาครัฐ เผยแพร่เมื่อวันที่ 7 กรกฎาคม 2569
7. NIST Cybersecurity Framework 2.0 และแนวทางบริหารความเสี่ยงจาก Ransomware ปี 2026
8. เว็บไซต์สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ ซึ่งเผยแพร่แนวทางและรายงานด้านความเสี่ยงของประเทศไทย

📚 บรรณานุกรม

จัดทำตามรูปแบบ APA 7th edition

Bank of Thailand. (2026, November 9). ธปท. กำชับสถาบันการเงินเพิ่มความเข้มข้นในการเฝ้าระวังและเตรียมพร้อมรับมือภัยไซเบอร์ พร้อมติดตามสถานการณ์อย่างใกล้ชิด. https://www.bot.or.th/th/news-and-media/news/news-20261109-2.html

Bureau of the Budget. (2026). เอกสารงบประมาณรายจ่ายประจำปีงบประมาณ พ.ศ. 2570 ฉบับที่ 3 เล่มที่ 1. https://bb.go.th/en/topic-detail.php?catID=0&id=19165&mid=545

Government of Thailand. (2026, June 30). คำแถลงประกอบงบประมาณรายจ่ายประจำปีงบประมาณ พ.ศ. 2570. https://www.thaigov.go.th/th/news/165752

Harry, C., Entrikin, D., & Lucyshyn, W. (2026). The University of Maryland’s Cyber Events Database 2.0: A systematic framework for analyzing global cyber threats. University of Maryland, School of Public Policy. https://spp.umd.edu/research-impact/publications/university-marylands-cyber-events-database-20-systematic-framework

Nation TV. (2026, July 7). “มาดามเดียร์” จี้ สกมช.-DGA แจงงบปี 70 ย้อนแย้ง หั่นงบไซเบอร์ แต่โป่งค่าบุคลากร. https://www.nationtv.tv/news/politics/378979863

National Cyber Security Agency. (2026). สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ. https://www.ncsa.or.th/

National Institute of Standards and Technology. (2026). Ransomware risk management: A Cybersecurity Framework 2.0 community profile (NIST IR 8374 Rev. 1). https://doi.org/10.6028/NIST.IR.8374r1

Organisation for Economic Co-operation and Development. (2026). Cybersecurity and geopolitical risks in financial markets (OECD Business and Finance Policy Papers No. 104). OECD Publishing. https://doi.org/10.1787/1002b1fd-en

Pascoe, C., Quinn, S., & Scarfone, K. (2024). The NIST Cybersecurity Framework (CSF) 2.0 (NIST CSWP 29). National Institute of Standards and Technology. https://doi.org/10.6028/NIST.CSWP.29

Thailand Computer Emergency Response Team. (2026). สถิติภัยคุกคามทางไซเบอร์ พ.ศ. 2569. https://www.thaicert.or.th/

University of Maryland, Center for Governance of Technology and Systems. (n.d.). Cyber Events Database. https://www.cpppe.umd.edu/cyber-events-database

หมายเหตุทางวิชาการ: บทความนี้เป็นการสังเคราะห์เอกสารและการวิเคราะห์เชิงนโยบาย ไม่ใช่ผลการวิจัยภาคสนามหรือรายงานตรวจสอบบัญชีอย่างเป็นทางการ ตัวเลขงบประมาณจากการอภิปรายร่างกฎหมายต้องตรวจสอบกับงบประมาณฉบับประกาศใช้และผลการเบิกจ่ายจริงก่อนใช้อ้างอิงเพื่อกล่าวถึงความผิดปกติของหน่วยงานหรือบุคคล