พ.ร.บ. การรักษาความมั่นคงปลอดภัยไซเบอร์ ประกาศในราชกิจจาฯ แล้ว ภัยคุกคามไซเบอร์ยังไม่ละเว้นการกระทำเชิงเนื้อหาอย่างโพสท์เฟสบุ๊ค นิยามระดับภัยคุกคามยังกว้างขวาง เจ้าหน้าที่เข้าถึงบ้าน ยึดคอมพิวเตอร์ ประกาศภาวะฉุกเฉินทางเน็ตได้ไม่มีกรอบเวลาแจ้งศาลย้อนหลัง

27 พ.ค. 2562 เว็บไซต์ราชกิจจานุเบกษาเผยแพร่พระราชบัญญัติ (พ.ร.บ.) การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ.2562 หลังจากสภานิติบัญญัติแห่งชาติมีมติรับรองร่างฯ ไปเมื่อ 28 ก.พ. 2562

ข้อกังวลที่มีการพูดถึงเยอะคือการให้อำนาจเจ้าหน้าที่รัฐเข้าถึงข้อมูลคอมพิวเตอร์ ค้นอสังหาริมทรัพย์ ไปจนถึงยึดอุปกรณ์คอมพิวเตอร์ได้ตามประเภทภัยคุกคามไซเบอร์ ซึ่งภัยคุกคามไซเบอร์นั้น ในนิยามตามาตรา 3 อาจหมายรวมถึงการกระทำในเชิงเนื้อหา เช่น โพสท์เฟสบุ๊ค ส่งอีเมล์ เป็นต้น

พ.ร.บ. จัดให้มีคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (กมช.) มีหน้าที่คร่าวๆ คือเสนอนโยบาย แผนปฏิบัติการ มาตรฐาน แนวทางและการบริหารจัดการเรื่องการรักษาความมั่นคงปลอดภัยไซเบอร์ มีนายกฯ เป็นประธาน มีรัฐมนตรีว่าการ (รมว.) กระทรวงกลาโหม กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม ปลัดกระทรวงการคลัง ปลัดกระทรวงยุติธรรม ผู้บัญชาการตำรวจแห่งชาติ และเลขาธิการสภาความมั่นคงแห่งชาติ เป็นกรรมการโดยตำแหน่ง พร้อมกรรมการผู้ทรงคุณวุฒิไม่เกินเจ็ดคน

ให้มีคณะกรรมการกำกับดูแลด้านความมั่นคงปลอดภัยไซเบอร์ (กกม.) ประกอบด้วยปลัดกระทรวงการต่างประเทศ กระทรวงคมนาคม กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม กระทรวงพลังงาน กระทรวงมหาดไทย กระทรวงสาธารณสุข ผู้บัญชาการตำรวจแห่งชาติ ผู้บัญชาการทหารสูงสุด เลขาธิการสภาความมั่นคง แห่งชาติ ผู้อำนวยการสำนักข่าวกรองแห่งชาติ ผู้ว่าการธนาคารแห่งประเทศไทย เลขาธิการสำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์ และเลขาธิการคณะกรรมการกิจการกระจายเสียงกิจการโทรทัศน์ และกิจการโทรคมนาคมแห่งชาติ (กสทช.) และกรรมการผู้ทรงคุณวุฒิไม่เกินสี่คน มีหน้าที่คร่าวๆ คือการติดตามการดำเนินตามนโยบายและแผนของ กมช. ดูแลและดำเนินการรับมือภัยคุกคามไซเบอร์ กำกับดูแลการดำเนินงานของศูนย์ประสานการรักษาความมั่นคงปอลดภัยระบบคอมพิวเตอร์แห่งชาติและการเผชิญเหตุและนิติวิทยาศาสตร์ทางคอมพิวเตอร์ กำหนดระดับภัยคุกคามไซเบอร์ วิเคราะห์สถานการณ์และผลกระทบของภัยคุกคามไซเบอร์

นอกจากนั้น พ.ร.บ. ยังให้มีสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ เป็นหน่วยงานของรัฐ ไม่เป็นส่วนราชการ สำนักงานจะมีเลขาธิการหนึ่งคนไว้รับผิดชอบการปฏิบัติงานของสำนักงานและบังคับบัญชาพนักงาน ในส่วนการทำงานของสำนักงานที่ทำหน้าที่รับผิดชอบงานธุรการ งานวิชาการ งานการประชุม และงานเลขานุการของคณะกรรมการและ กกม. 

การจัดการกับภัยคุกคามไซเบอร์ ตามร่างฯ กำหนดภัยคุกคามเป็นสามระดับ ดังนี้ (มาตรา 60)

ระดับไม่ร้ายแรง คือภัยที่มีความเสี่ยงอย่างมีนัยสำคัญถึงระดับที่ทำให้ระบบคอมพิวเตอร์ของหน่วยงานโครงสร้างพื้นฐานสำคัญของประเทศหรือการให้บริการของรัฐด้อยประสิทธิภาพลง

ระดับร้ายแรง ภัยที่มีการโจมตีระบบคอมพิวเตอร์ คอมพิวเตอร์ หรือข้อมูลคอมพิวเตอร์เพิ่มขึ้นอย่างมีนัยสำคัญ โดยมุ่งหมายเพื่อโจมตีโครงสร้างพื้นฐานสำคัญของประเทสและการโจมตีดังกล่าว มีผลทำให้ระบบคอมพิวเตอร์ หรือโครงสร้างสำคัญทางสารสนเทศที่เกี่ยวข้องกับการให้บริการของโครงสร้างพื้นฐานสำคัญของประเทศ ความมั่นคง ของรัฐ ความสัมพันธ์ระหว่างประเทศ เศรษฐกิจ การสาธารณสุข ความปลอดภัยสาธารณะ หรือความสงบเรียบร้อยของประชาชนเสียหายจนไม่สามารถทำงานหรือให้บริการได้

ระดับวิกฤติ

1. ภัยคุกคามจากการโจมตีระบบคอมพิวเตอร์ คอมพิวเตอร์ ข้อมูลคอมพิวเตอร์ในระดับที่สูงขึ้นกว่าภัยคุกคามทางไซเบอร์ในระดับร้ายแรง ส่งผลกระทบรุนแรงต่อโครงสร้างพื้นฐานสำคัญทางสารสนเทศ ของประเทศเป็นวงกว้าง ทำให้การทำงานของหน่วยงานรัฐ การให้บริการของโครงสร้างพื้นฐานสำคัญของประเทศที่ให้กับประชาชนล้มเหลวทั้งระบบจนรัฐควบคุมการทำงานส่วนกลางของระบบคอมพิวเตอร์ของรัฐไม่ได้ หรือการใช้มาตรการเยียวยาตามปกติแก้ไขปัญหาไม่ได้และมีความเสี่ยงที่จะลุกลามไปโครงสร้างพื้นฐานสำคัญอื่นๆ ของประเทศ ซึ่งอาจทำให้บุคคลจำนวนมากเสียชีวิตหรือระบบคอมพิวเตอร์ คอมพิวเตอร์ ข้อมูลคอมพิวเตอร์จำนวนมากถูกทำลายเป็นวงกว้างในระดับประเทศ
2. ภัยคุกคามทางไซเบอร์อันกระทบหรืออาจกระทบต่อความสงบเรียบร้อยของประชาชน หรือเป็นภัยต่อความมั่นคงของรัฐหรืออาจทำให้ประเทศหรือส่วนใดส่วนหนึ่งของประเทศตกอยู่ในภาวะคับขันหรือมีการกระทำความผิดเกี่ยวกับการก่อการร้ายตามประมวลกฎหมายอาญา การรบหรือการสงคราม ซึ่งจำเป็นต้องมีมาตรการเร่งด่วนเพื่อรักษาไว้ซึ่งการปกครองระบอบประชาธิปไตยอันมีพระมหากษัตริย์ทรงเป็นประมุขตามรัฐธรรมนูญแห่งราชอาณาจักรไทย เอกราชและบูรณภาพแห่งอาณาเขต ผลประโยชน์ของชาติ การปฏิบัติตามกฎหมาย ความปลอดภัยของประชาชน การดำรงชีวิตโดยปกติสุขของประชาชน การคุ้มครองสิทธิเสรีภาพ ความสงบเรียบร้อยหรือประโยชน์ส่วนรวม หรือการป้องปัดหรือแก้ไขเยียวยาความเสียหายจากภัยพิบัติสาธารณะอันมีมาอย่างฉุกเฉินและร้ายแรง

เมื่อปรากฎแก่ กกม. ว่าเกิด หรือคาดว่าจะเกิดภัยคุกคามทางไซเบอร์ระดับร้ายแรง กกม. สามารถออกคำสั่งให้สำนักงานดำเนินการรวบรวมข้อมูล ให้ความช่วยเหลือ ป้องกัน แจ้งเตือนและประสานงาน ทั้งนี้ มาตรา 62 อำนวยความสะดวกให้สำนักงาน โดยให้เลขาธิการสั่งให้เจ้าหน้าที่ดำเนินการได้ต่อไปนี้

1. มีหนังสือขอความร่วมมือจากคนที่เกี่ยวข้องเพื่อมาให้ข้อมูล
2. มีหนังสือขอข้อมูล เอกสาร หรือสำเนาข้อมูลในความครอบครองผู้อื่น
3. ถามบุคคลผู้มีความรู้ ความเข้าใจสถานการณ์ ข้อเท็จจริง
4. เข้าไปในอสังหาริมทรัพย์หรือสถานประกอบการที่เกี่ยวข้อง หรือคาดว่ามีส่วนเกี่ยวข้อง โดยได้รับความยินยอมจากผู้ครอบครองสถานที่นั้น

แม้ใช้คำว่าขอความร่วมมือ แต่มาตรา 74 ว่าด้วยบทลงโทษเขียนว่า ผู้ใดไม่ปฏิบัติตามหนังสือเรียกของพนักงานเจ้าหน้าที่ หรือไม่ส่งข้อมูลให้พนักงานเจ้าหน้าที่ตามมาตรา 62 (1) (2) โดยไม่มีเหตุอันสมควรแล้วแต่กรณี ต้องระวางโทษปรับไม่เกินหนึ่งแสนบาท

มาตรา 65 ให้อำนาจ กกม. ออกคำสั่งต่อไปนี้เพื่อรับมือและบรรเทาความเสียหายจากภัยคุกคามระดับร้ายแรง

1. เฝ้าระวังคอมพิวเตอร์ หรือระบบคอมพิวเตอร์ในช่วงเวลาใดเวลาหนึ่ง
2. ตรวจสอบคอมพิวเตอร์ หรือระบบคอมพิวเตอร์เพื่อหาข้อบกพร่อง
3. กำจัดข้อบกพร่อง หรือชุดคำสั่งไม่พึงประสงค์
4. รักษาสถานะข้อมูลคอมพิวเตอร์หรือระบบคอมพิวเตอร์ด้วยวิธีการใดๆ เพื่อดำเนินการทางนิติวิทยาศาสตร์ทางคอมพิวเตอร์
5. เข้าถึงข้อมูลคอมพิวเตอร์หรือระบบคอมพิวเตอร์หรือข้อมูลอื่นที่เกี่ยวข้องกับระบบคอมพิวเตอร์ที่เกี่ยวข้องเฉพาะเท่าที่จำเป็น

ข้อ 5 นั้นต้องให้เลขาธิการยื่นคำร้องต่อศาลตามเขตอำนาจเสียก่อน

สำหรับบทลงโทษ มาตรา 75 ผู้ที่ฝ่าฝืน ไม่ปฏิบัติตามคำสั่งของ กกม.ตามมาตรา 65 (1) (2) โดยไม่มีเหตุอันสมควร ต้องระวางโทษปรับไม่เกินสามแสนบาท และปรับอีกไม่เกินวันละหนึ่งหมื่นบาทนับแต่วันที่ครบกำหนดเวลาที่ กกม. ออกคำสั่งให้ปฏิบัติจนกว่าจะปฏิบัติให้ถูกต้อง

ผู้ฝ่าฝืนมาตราเดียวกันใน (3) (4) หรือไม่ปฏิบัติตามคำสั่งศาลมาตรา 65 (5) ต้องระวางโทษจำคุกไม่เกินหนึ่งปี หรือปรับไม่เกินสองหมื่นบาท หรือทั้งจำทั้งปรับ

มาตรา 67 ในกรณีที่เกิดภัยคุกคามทางไซเบอร์ในระดับวิกฤติ ให้เป็นหน้าที่และอำนาจของสภาความมั่นคงแห่งชาติ ในการดำเนินการรักษาความมั่นคงปลอดภัยไซเบอร์ตามกฎหมายว่าด้วยสภาความมั่นคงแห่งชาติและกฎหมายอื่นที่เกี่ยวข้อง

มาตรา 68 ในกรณีที่เป็นเหตุจำเป็นเร่งด่วน และเป็นภัยคุกคามทางไซเบอร์ในระดับวิกฤติ คณะกรรมการอาจมอบหมายให้เลขาธิการมีอำนาจดำเนินการได้ทันทีเท่าที่จำเป็นเพื่อป้องกันและเยียวยาความเสียหายก่อนล่วงหน้าได้โดยไม่ต้องยื่นคำร้องต่อศาล แต่หลังจากการดำเนินการดังกล่าว ให้แจ้งรายละเอียดการดำเนินการดังกล่าวต่อศาลที่มีเขตอำนาจทราบโดยเร็ว

ในกรณีร้ายแรงหรือวิกฤติ เพื่อประโยชน์ในการป้องกัน ประเมินผล รับมือ ปราบปราม ระงับ และลดความเสี่ยงจากภัยคุกคามทางไซเบอร์ ให้เลขาธิการโดยความเห็นชอบของคณะกรรมการหรือ กกม. มีอำนาจขอข้อมูลที่เป็นปัจจุบันและต่อเนื่องจากผู้ที่เกี่ยวข้องกับภัยคุกคามทางไซเบอร์ โดยผู้นั้นต้องให้ความร่วมมือและให้ความสะดวกแก่คณะกรรมการหรือ กกม. โดยเร็ว