ความมั่นคงปลอดภัยไซเบอร์สหรัฐฯ สั่นคลอน หลังศาลฎีกายกเลิกหลักการ Chevron Deference

รัฐบาลของประธานาธิบดีโจ ไบเดน พยายามยกระดับการป้องกันโครงสร้างพื้นฐานสำคัญของสหรัฐฯ จากการโจมตีทางไซเบอร์ โดยใช้กลยุทธ์การตีความกฎหมายเดิมที่มีอยู่ให้ครอบคลุมถึงความปลอดภัยทางดิจิทัล เนื่องจากสภาคองเกรสไม่มีความคืบหน้าในการออกกฎหมายใหม่ อย่างไรก็ตาม แนวทางนี้กำลังเผชิญกับอุปสรรคครั้งใหญ่หลังจากคำตัดสินของศาลฎีกาสหรัฐฯ

หัวใจสำคัญของกลยุทธ์นี้คือ Chevron deference ซึ่งเป็นหลักกฎหมายที่มีมานานหลายทศวรรษ โดยกำหนดให้ศาลยอมรับการตีความกฎหมายของหน่วยงานรัฐหากกฎหมายนั้นมีความคลุมเครือ แต่ในคดีประวัติศาสตร์ Loper Bright Enterprises v. Raimondo เมื่อปลายเดือนมิถุนายนที่ผ่านมา ศาลฎีกาซึ่งมีเสียงส่วนใหญ่เป็นฝ่ายอนุรักษนิยมได้สั่งยกเลิกหลักการนี้ ส่งผลให้ศาลมีอำนาจตัดสินใจความหมายของกฎหมายที่คลุมเครือได้ด้วยตนเอง โดยไม่ต้องยึดตามการตีความของหน่วยงานรัฐอีกต่อไป

ผลกระทบต่อการกำกับดูแลโครงสร้างพื้นฐานสำคัญ

คำตัดสินดังกล่าวสร้างแรงสั่นสะเทือนต่อแผนการบังคับใช้มาตรฐานความปลอดภัยไซเบอร์ในหน่วยงานสำคัญ เช่น โรงพยาบาล ระบบประปา และโรงไฟฟ้า ซึ่งอาจเปิดช่องให้ภาคธุรกิจยื่นฟ้องเพื่อยกเลิกกฎระเบียบที่พวกเขาเห็นว่าเข้มงวดเกินไป รวมถึงกฎเกณฑ์ด้านการรักษาความปลอดภัยบนแพลตฟอร์มคลาวด์ ท่อส่งน้ำมัน และสนามบิน

Harley Geiger จาก Center for Cybersecurity Policy and Law ระบุว่า การกำกับดูแลความปลอดภัยไซเบอร์ในส่วนที่ไม่มีกฎหมายรองรับอย่างชัดเจนจะทำได้ยากขึ้นมาก และอาจเกิดการฟ้องร้องเพื่อทดสอบขอบเขตของกฎระเบียบต่างๆ มากขึ้น

โครงการรายงานเหตุการณ์ไซเบอร์ (CIRCIA) ที่ตกอยู่ในความเสี่ยง

หนึ่งในกฎระเบียบที่เปราะบางที่สุดคือข้อกำหนดภายใต้ Cyber Incident Reporting for Critical Infrastructure Act (CIRCIA) ปี 2022 ซึ่งบังคับให้องค์กรโครงสร้างพื้นฐานสำคัญต้องรายงานการโจมตีทางไซเบอร์ภายใน 72 ชั่วโมง และรายงานการจ่ายค่าไถ่ (Ransomware) ภายใน 24 ชั่วโมง

แม้หน่วยงาน CISA (Cybersecurity and Infrastructure Security Agency) ซึ่งเป็นหน่วยงานหลักด้านความปลอดภัยไซเบอร์ของสหรัฐฯ จะผลักดันกฎนี้เพื่อปิดช่องว่างในการรับรู้ภัยคุกคาม แต่กลับถูกภาคธุรกิจวิจารณ์ว่าตีความขอบเขตของ "หน่วยงานที่ต้องรายงาน" และ "เหตุการณ์ที่ต้องแจ้ง" กว้างเกินกว่าที่สภาคองเกรสตั้งใจไว้

ความเสี่ยงทางกฎหมายยิ่งเพิ่มสูงขึ้นเมื่อ Gary Peters ประธานคณะกรรมการความมั่นคงแห่งมาตุภูมิของวุฒิสภา ซึ่งเป็นผู้ร่วมร่างกฎหมาย CIRCIA ออกมาแสดงความเห็นว่าร่างกฎระเบียบนี้มีความกว้างเกินไปและขาดความชัดเจน ซึ่งความเห็นของสมาชิกสภาจะมีน้ำหนักมากในสายตาของศาลเมื่อต้องตีความเจตนารมณ์ของกฎหมาย

สรุปผลกระทบของคำตัดสินศาลฎีกาต่อหน่วยงานรัฐต่างๆ

หน่วยงาน	เป้าหมายการกำกับดูแล	ความเสี่ยงทางกฎหมาย
CISA	การรายงานเหตุการณ์ไซเบอร์ (CIRCIA)	การตีความนิยาม "หน่วยงาน" และ "เหตุการณ์" กว้างเกินไป
HHS	ความปลอดภัยไซเบอร์ในโรงพยาบาล	การผูกเงื่อนไขเงินสนับสนุน Medicare/Medicaid กับมาตรฐานไซเบอร์
SEC	การเปิดเผยข้อมูลเหตุการณ์ไซเบอร์ของบริษัทมหาชน	อำนาจในการลงโทษบริษัทที่ถูกแฮกโดยไม่มีระบุในกฎหมายชัดเจน
TSA	ความปลอดภัยของท่อส่งน้ำมัน รถไฟ และการบิน	การใช้อำนาจฉุกเฉินต่อเนื่องโดยไม่มีฐานกฎหมายที่มั่นคง
Commerce Dept.	การยืนยันตัวตนผู้ใช้บริการคลาวด์	การใช้อำนาจเกินขอบเขตที่สภาคองเกรสกำหนด

ความท้าทายในภาคส่วนอื่นๆ และบทเรียนจาก EPA

นอกจาก CISA แล้ว ยังมีหน่วยงานอื่นๆ ที่เผชิญความเสี่ยง เช่น กระทรวงสาธารณสุขและบริการมนุษย์ (HHS) ที่พยายามบังคับใช้มาตรฐานไซเบอร์ในโรงพยาบาล หรือกระทรวงพาณิชย์ที่ต้องการให้ผู้ให้บริการคลาวด์ตรวจสอบตัวตนลูกค้าเพื่อป้องกันแฮกเกอร์

ตัวอย่างที่เห็นได้ชัดคือกรณีของ EPA (Environmental Protection Agency) ที่ต้องถอนข้อกำหนดด้านไซเบอร์สำหรับระบบประปาออกไป หลังจากถูกฟ้องร้องว่าใช้อำนาจเกินขอบเขตในการตีความกฎหมายปี 1974 ซึ่งเป็นตัวอย่างที่สะท้อนว่า "แนวทางสร้างสรรค์" ในการตีความกฎหมายเก่าอาจไม่สามารถใช้ได้อีกต่อไปในยุคหลัง Loper Bright

ข้อเท็จจริงสำคัญ

• การยกเลิก Chevron Deference: ศาลฎีกาสหรัฐฯ ตัดสินให้ศาลเป็นผู้ตีความกฎหมายที่คลุมเครือ แทนที่จะเชื่อตามการตีความของหน่วยงานรัฐ
• ความเสี่ยงของ CIRCIA: กฎการรายงานเหตุการณ์ไซเบอร์ภายใน 24-72 ชั่วโมง อาจถูกลดทอนประสิทธิภาพลงหากถูกฟ้องร้อง
• ช่องว่างทางกฎหมาย: หน่วยงานรัฐหลายแห่งใช้กฎหมายเก่า (บางฉบับมีอายุ 30-50 ปี) มาปรับใช้กับเทคโนโลยีสมัยใหม่ ซึ่งเสี่ยงต่อการถูกตัดสินว่าใช้อำนาจเกินขอบเขต
• ทางออกเดียว: สภาคองเกรสจำเป็นต้องออกกฎหมายใหม่ที่ระบุอำนาจหน้าที่ด้านไซเบอร์ให้ชัดเจนและเฉพาะเจาะจง

คำถามที่พบบ่อย

Chevron Deference คืออะไร และทำไมถึงสำคัญ?

คือหลักการทางกฎหมายที่ให้ศาลยอมรับการตีความกฎหมายของหน่วยงานรัฐหากกฎหมายนั้นเขียนไว้ไม่ชัดเจน ซึ่งช่วยให้หน่วยงานรัฐสามารถออกกฎระเบียบใหม่ๆ เพื่อรับมือกับปัญหาที่เปลี่ยนแปลงไป (เช่น ไซเบอร์) ได้รวดเร็วโดยไม่ต้องรอการออกกฎหมายใหม่จากสภา

คำตัดสิน Loper Bright ส่งผลกระทบต่อความปลอดภัยไซเบอร์อย่างไร?

ทำให้กฎระเบียบด้านไซเบอร์ที่ออกโดยหน่วยงานรัฐ (เช่น CISA, TSA, SEC) มีความเสี่ยงที่จะถูกยกเลิกผ่านการฟ้องร้อง เนื่องจากศาลไม่จำเป็นต้องเชื่อการตีความของหน่วยงานรัฐอีกต่อไป และอาจมองว่าหน่วยงานเหล่านั้นใช้อำนาจเกินกว่าที่กฎหมายกำหนด

ทำไมสภาคองเกรสถึงเป็นกุญแจสำคัญในตอนนี้?

เพราะเมื่อศาลไม่ยอมรับการตีความของหน่วยงานรัฐ ทางเดียวที่จะทำให้กฎระเบียบมีผลบังคับใช้ได้อย่างมั่นคงคือ สภาคองเกรสต้องออกกฎหมายฉบับใหม่ที่เขียนรายละเอียดและอำนาจหน้าที่ไว้อย่างชัดเจน เพื่อไม่ให้เกิดการโต้แย้งในชั้นศาล

ภาคธุรกิจได้ประโยชน์หรือเสียประโยชน์จากเรื่องนี้?

ในระยะสั้น ภาคธุรกิจอาจได้ประโยชน์จากการลดภาระในการปฏิบัติตามกฎระเบียบที่เข้มงวดหรือการไม่ต้องรายงานข้อมูลบางอย่าง แต่ในระยะยาว ความมั่นคงปลอดภัยของโครงสร้างพื้นฐานในภาพรวมอาจลดลง ซึ่งเพิ่มความเสี่ยงต่อการถูกโจมตีทางไซเบอร์ที่รุนแรงขึ้น