สปายแวร์ Paragon Solutions กับบททดสอบครั้งสำคัญของรัฐบาลสหรัฐฯ ในการควบคุมซอฟต์แวร์จารกรรม
กลายเป็นประเด็นร้อนแรงเมื่อสัญญาจ้างมูลค่า 2 ล้านดอลลาร์สหรัฐ ระหว่างหน่วยงาน Immigration and Customs Enforcement (ICE) หรือหน่วยงานตรวจคนเข้าเมืองและศุลกากรของสหรัฐฯ กับบริษัท Paragon Solutions ผู้พัฒนาสปายแวร์ (Spyware - ซอฟต์แวร์ที่แอบติดตั้งในเครื่องเป้าหมายเพื่อขโมยข้อมูล) จากอิสราเอล ถูกสั่งระงับชั่วคราวเพื่อตรวจสอบความถูกต้องตามกฎระเบียบ
เหตุการณ์นี้ถือเป็นบททดสอบแรกของคำสั่งบริหาร (Executive Order) ที่ออกโดยประธานาธิบดี โจ ไบเดน ซึ่งมุ่งเน้นการจำกัดการใช้เครื่องมือจารกรรมทางดิจิทัลของรัฐบาล เพื่อให้มั่นใจว่าการใช้งานจะเป็นไปอย่างมีความรับผิดชอบและไม่ละเมิดสิทธิมนุษยชน
เบื้องลึกการระงับสัญญาและการตรวจสอบ
สัญญาดังกล่าวถูกลงนามเมื่อวันที่ 27 กันยายน โดยบริษัทลูกของ Paragon ในรัฐเวอร์จิเนีย และหน่วยงาน Homeland Security Investigations (HSI) ซึ่งเป็นส่วนหนึ่งของ ICE อย่างไรก็ตาม เพียงไม่กี่วันหลังจากมีการเปิดเผยข้อมูลสู่สาธารณะ ทาง HSI ได้ออกคำสั่งหยุดการทำงานทันทีในวันที่ 8 ตุลาคม เพื่อตรวจสอบว่าการจัดซื้อครั้งนี้สอดคล้องกับ Executive Order 14093 หรือไม่
แม้ทางกระทรวงความมั่นคงแห่งมาตุภูมิ (DHS) จะไม่ได้ระบุชัดเจนว่าสัญญาฉบับนี้รวมถึงการใช้งาน Graphite ซึ่งเป็นผลิตภัณฑ์หลักของ Paragon ที่มีความสามารถในการดึงข้อมูลจากระบบสำรองข้อมูลบนคลาวด์ (Cloud Backups) หรือไม่ แต่รายละเอียดในสัญญาระบุว่าครอบคลุมทั้งไลเซนส์ ฮาร์ดแวร์ การบำรุงรักษา และการฝึกอบรม
กระบวนการตรวจสอบความโปร่งใส
ตามข้อกำหนดของคำสั่งบริหาร รัฐบาลต้องทำการตรวจสอบอย่างเข้มงวด (Due Diligence) ทั้งในส่วนของตัวผู้ขายและเครื่องมือที่ใช้ เพื่อประเมินความเสี่ยงด้านการต่อต้านข่าวกรอง ความปลอดภัย และโอกาสในการนำไปใช้ในทางที่ผิด โดยหน่วยงานรัฐไม่สามารถนำสปายแวร์มาใช้งานจริงได้จนกว่าจะแจ้งข้อมูลให้ทำเนียบขาวทราบล่วงหน้าอย่างน้อย 7 วัน หรือได้รับความเห็นชอบจากที่ปรึกษาด้านความมั่นคงแห่งชาติ
| หัวข้อ | รายละเอียด |
|---|---|
| มูลค่าสัญญา | 2 ล้านดอลลาร์สหรัฐ |
| คู่สัญญา | ICE (HSI Division 3) และ Paragon Solutions |
| วันที่ลงนาม | 27 กันยายน |
| วันที่ระงับงาน | 8 ตุลาคม |
| เกณฑ์การตรวจสอบ | Executive Order 14093 (การคุ้มครองสิทธิมนุษยชนและความมั่นคง) |
ข้อเท็จจริงสำคัญ
- การควบคุมเข้มงวด: สหรัฐฯ พยายามสร้างมาตรฐานการใช้สปายแวร์ที่โปร่งใสเพื่อป้องกันการละเมิดสิทธิมนุษยชน
- ความกังวลจากภาคสังคม: กลุ่ม Human Rights Watch เตือนว่าการให้ ICE เข้าถึงสปายแวร์อาจทำให้ปัญหาการปฏิบัติงานที่ผิดพลาดของหน่วยงานรุนแรงขึ้น
- ความเสี่ยงระดับโลก: ผู้เชี่ยวชาญชี้ว่าหากสหรัฐฯ ไม่เข้มงวดในการตรวจสอบ จะส่งผลต่อความเชื่อมั่นในระดับสากล
- ช่องโหว่ในยุโรป: สหภาพยุโรป (EU) ยังขาดกฎหมายควบคุมที่เด็ดขาด ทำให้เกิดวิกฤตสปายแวร์ในหลายประเทศ เช่น สเปน และกรีซ
ความแตกต่างระหว่างแนวทางของสหรัฐฯ และยุโรป
ในขณะที่สหรัฐฯ ใช้ทั้งคำสั่งบริหาร การจำกัดวีซ่า และการคว่ำบาตรเพื่อต่อสู้กับสปายแวร์ แต่ทางสหภาพยุโรปกลับมีท่าทีที่ผ่อนปรนกว่า โดยมีสมาชิกเพียง 11 จาก 27 ประเทศที่เข้าร่วมโครงการต่อต้านการแพร่กระจายของสปายแวร์ที่สหรัฐฯ เป็นผู้นำ
ความแตกต่างที่สำคัญคือ สหรัฐฯ มองว่าสปายแวร์เป็นทั้งภัยคุกคามต่อ สิทธิมนุษยชน และ ความมั่นคงแห่งชาติ (เช่น การที่แฮกเกอร์รัสเซียใช้เครื่องมือจาก NSO Group และ Intellexa โจมตีเจ้าหน้าที่รัฐ) ในขณะที่ยุโรปส่วนใหญ่เน้นไปที่ประเด็นสิทธิมนุษยชนเพียงอย่างเดียว ซึ่งผู้เชี่ยวชาญมองว่าเป็นการประเมินความเสี่ยงที่ต่ำเกินไป
คำถามที่พบบ่อย
ทำไมสัญญาของ ICE กับ Paragon Solutions ถึงถูกระงับ?
ถูกระงับเพื่อตรวจสอบว่าการจัดซื้อและใช้งานสปายแวร์เป็นไปตามคำสั่งบริหาร Executive Order 14093 ของประธานาธิบดีโจ ไบเดน ซึ่งเน้นเรื่องความโปร่งใสและการคุ้มครองสิทธิมนุษยชนหรือไม่
สปายแวร์ Graphite ของ Paragon Solutions ทำอะไรได้บ้าง?
ตามรายงาน Graphite เป็นเครื่องมือจารกรรมที่มีประสิทธิภาพสูง โดยมีความสามารถหลักในการดึงข้อมูลสำคัญออกจากระบบสำรองข้อมูลบนคลาวด์ของเป้าหมาย
Executive Order 14093 คืออะไร?
คือคำสั่งบริหารที่ลงนามโดยประธานาธิบดีโจ ไบเดน ในเดือนมีนาคม 2023 เพื่อจำกัดการใช้เทคโนโลยีสปายแวร์เชิงพาณิชย์ของรัฐบาลสหรัฐฯ และส่งเสริมการใช้งานที่รับผิดชอบต่อสิทธิมนุษยชน
ทำไมผู้เชี่ยวชาญถึงกังวลเรื่องการใช้สปายแวร์ในประเทศประชาธิปไตย?
เพราะมีหลักฐานว่าเครื่องมือเหล่านี้ถูกนำมาใช้ในทางที่ผิดแม้ในประเทศประชาธิปไตย และหากไม่มีการตรวจสอบที่เข้มงวด เครื่องมือเหล่านี้อาจถูกนำไปใช้สอดแนมผู้เห็นต่างทางการเมืองหรือเจ้าหน้าที่รัฐเสียเอง
สถานการณ์การควบคุมสปายแวร์ในยุโรปเป็นอย่างไร?
ยุโรปยังประสบปัญหาการขาดกฎหมายควบคุมที่ชัดเจน ทำให้มีการใช้สปายแวร์ในทางที่ผิดในหลายประเทศ และยังไม่สามารถรับมือกับภัยคุกคามด้านความมั่นคงที่เกิดจากซอฟต์แวร์จารกรรมได้อย่างมีประสิทธิภาพเท่าที่ควร
