สรุปสั้น
ประธานาธิบดี Donald Trump ลงนามคำสั่งพิเศษ (executive order) ให้กระทรวงกลาโหมสหรัฐฯ (ในเอกสารเรียกว่า Department of War) พัฒนากฎใหม่สำหรับการทำแผนที่และป้องกันห่วงโซ่อุปทานด้านกลาโหมที่สำคัญ ครอบคลุมทั้งซอฟต์แวร์ บริการ และเทคโนโลยีที่ใช้ในระบบความมั่นคงแห่งชาติ แม้ว่าคำสั่งจะเน้นเรื่องการจัดหาวัตถุดิบสำคัญภายในประเทศเป็นหลัก แต่มีหลายข้อกำหนดที่เกี่ยวข้องโดยตรงกับทีมความปลอดภัยไซเบอร์ โดยเฉพาะทีมที่รับผิดชอบความปลอดภัยของห่วงโซ่อุปทานซอฟต์แวร์ ความเสี่ยงจากบุคคลที่สาม และการปฏิบัติตามข้อกำหนดของผู้รับเหมากลาโหม คำสั่งระบุว่าสหรัฐฯ ต้องปกป้องห่วงโซ่อุปทานด้านกลาโหมจากการบ่อนทำลายทั้งทางกายภาพ ทางไซเบอร์ และทางเศรษฐกิจ พร้อมเรียกร้องให้มองเห็นซัพพลายเออร์และผู้รับเหมาช่วงในทุกชั้นได้ชัดเจนขึ้น
ภายใน 180 วัน รัฐมนตรีกลาโหมต้องพัฒนานโยบายบังคับให้ผู้รับเหมากลาโหมทำแผนที่ห่วงโซ่อุปทานสำคัญที่รองรับการจัดซื้อจัดจ้างด้านความมั่นคงแห่งชาติ และกฎระเบียบที่นำมาบังคับใช้จะต้องเสร็จภายใน 90 วันหลังนโยบายเสร็จสมบูรณ์ ข้อกำหนดนี้จะไม่ใช้เฉพาะกับผู้รับเหมาหลัก (prime contractor) เท่านั้น แต่อาจครอบคลุมถึงผู้รับเหมาช่วงในทุกระดับของห่วงโซ่อุปทาน ผู้รับเหมาจะต้องส่ง “indentured Bill of Materials” ที่ไล่ตามส่วนประกอบ อุปกรณ์ ซอฟต์แวร์ และวัสดุตลอดห่วงโซ่ย้อนกลับไปถึงต้นทางของวัตถุดิบ ซึ่งกว้างกว่า SBOM (Software Bill of Materials) แบบดั้งเดิมอย่างมาก และอาจเชื่อมโยงซอฟต์แวร์กับเฟิร์มแวร์ ส่วนประกอบทางกายภาพ ผู้ผลิต ซัพพลายเออร์ และประเทศต้นทางเข้าด้วยกัน
รายละเอียดข่าว
เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 21 กรกฎาคม 2569 ว่า นาย Donald Trump ประธานาธิบดีสหรัฐฯ ได้ลงนามคำสั่งพิเศษที่กำหนดให้กระทรวงกลาโหมพัฒนากฎใหม่สำหรับการทำแผนที่และรักษาความปลอดภัยห่วงโซ่อุปทานด้านกลาโหมที่สำคัญ
คำสั่งนิยาม “ห่วงโซ่อุปทานสำคัญ” ว่าหมายถึงซัพพลายเออร์และผู้รับเหมาช่วงทุกชั้นที่จัดหาสินค้า วัสดุ ระบบ ซอฟต์แวร์ หรือบริการที่จำเป็นต่อการส่งมอบตามสัญญา การรับประกันภารกิจ ความมั่นคง หรือความยืดหยุ่น นิยามที่กว้างเช่นนี้อาจดึงผู้พัฒนาซอฟต์แวร์ ผู้ให้บริการคลาวด์ ผู้ให้บริการที่มีการจัดการ (managed service provider) และบริษัทเทคโนโลยีอื่น ๆ เข้ามาอยู่ในขอบเขตของกฎที่กำลังจะออก แม้บริษัทเหล่านั้นจะอยู่ห่างจากผู้รับเหมากลาโหมหลักหลายชั้นก็ตาม
ผู้รับเหมายังต้องจัดทำขั้นตอนเป็นลายลักษณ์อักษรเพื่อตรวจสอบซัพพลายเออร์และผู้รับเหมาช่วงเชิงรุก โดยอย่างน้อยการตรวจสอบต้องพิจารณาเสถียรภาพทางการเงิน การถือครองหรืออิทธิพลจากต่างชาติ และความเสี่ยงด้านการผลิตและการจัดหา คำสั่งนิยามการถือครอง ควบคุม หรืออิทธิพลจากต่างชาติบางส่วนในแง่ว่าผลประโยชน์ต่างชาติจะสามารถเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต หรือส่งผลกระทบต่อการปฏิบัติงานตามสัญญาความมั่นคงแห่งชาติได้หรือไม่ สำหรับทีมความปลอดภัยไซเบอร์ นั่นหมายถึงการประเมินความปลอดภัยของบุคคลที่สามแบบเดิมอาจต้องขยายไปครอบคลุมเรื่องเจ้าของผู้รับผลประโยชน์ที่แท้จริง การลงทุนจากต่างชาติ สถานที่พัฒนา สิทธิ์การเข้าถึงเชิงบริหาร การจัดเก็บข้อมูล และการเปลี่ยนแปลงการควบคุมของบริษัท
หลังจากตรวจสอบเสร็จ ความเสี่ยงห่วงโซ่อุปทานที่มีนัยสำคัญจะต้องรายงานต่อกระทรวงกลาโหมภายใน 15 วันหลังกิจกรรมตรวจสอบเสร็จสิ้น จากนั้นผู้รับเหมามีเวลา 45 วันในการส่งแผนแก้ไขที่เป็นความลับ พร้อมกรอบเวลาดำเนินการ อย่างไรก็ตาม SecurityWeek ระบุว่ากรอบ 15 วันนี้ไม่ควรตีความว่าเป็นเส้นตายการรายงานเหตุความมั่นคงไซเบอร์ทั่วไป แต่ใช้กับความเสี่ยงที่พบผ่านกระบวนการตรวจสอบซัพพลายเออร์ตามคำสั่งนี้เท่านั้น
ประเด็นความเสี่ยงและการบังคับใช้
นอกจากข้อกำหนดเรื่องการทำแผนที่และตรวจสอบแล้ว คำสั่งยังเข้มงวดกฎการจัดหาที่กำหนดว่าผู้รับเหมาใช้วัสดุใดได้บ้าง โดยตั้งแต่วันที่ 1 มกราคม 2570 รัฐมนตรีกลาโหมและรัฐมนตรีเหล่าทัพจะหยุดออกข้อยกเว้น (waiver) ภายใต้ 10 U.S.C. § 4872 ที่อนุญาตให้จัดหาวัสดุครอบคลุมจากแหล่งต้องห้ามเป็นการทั่วไป การขอยกเว้นยังทำได้แต่ต้องมีแผนบรรเทาความเสี่ยงอย่างเป็นทางการที่ระบุแหล่งที่ไม่เป็นไปตามข้อกำหนด เอกสารความพยายามหาทางเลือกที่สอดคล้อง และกรอบเวลาถอดวัสดุนั้นออก ผู้รับเหมาที่ถูกพบว่าฉ้อโกงหรือจงใจไม่ปฏิบัติตามแผนบรรเทาที่ได้รับอนุมัติอาจถูกลงโทษตามสัญญาและถูกส่งเรื่องต่ออัยการสูงสุด
ประเด็นสำคัญด้านความปลอดภัยไซเบอร์คือ แผนที่ห่วงโซ่อุปทานที่ครอบคลุมตามที่คำสั่งกำหนดอาจกลายเป็นความเสี่ยงในตัวมันเอง เพราะฐานข้อมูลที่ละเอียดเชื่อมโยงระบบกลาโหมเข้ากับ dependency ของซอฟต์แวร์ ซัพพลายเออร์ วัตถุดิบ สถานที่ผลิต และคอขวดในการดำเนินงาน จะเป็นเป้าหมายที่มีค่ามหาศาลสำหรับหน่วยข่าวกรองต่างชาติและผู้ไม่หวังดี ข้อมูลห่วงโซ่อุปทานที่ถูกเจาะอาจช่วยให้ฝ่ายตรงข้ามระบุจุดล้มเหลวจุดเดียว (single point of failure) ซัพพลายเออร์ที่หายาก dependency ซอฟต์แวร์ที่เปราะบาง และช่องทางสำหรับการจารกรรม การก่อวินาศกรรม หรือการบีบบังคับทางเศรษฐกิจ ผู้รับเหมากลาโหมจึงอาจต้องใช้การควบคุมการเข้าถึงที่เข้มงวด การเข้ารหัส การบันทึกการตรวจสอบ และการแบ่งส่วนข้อมูลเพื่อปกป้องข้อมูลนี้ นอกจากนี้คำสั่งยังสั่งให้กระทรวงกลาโหมใช้เครื่องมือรวมถึง AI วิเคราะห์ข้อมูลการจัดซื้อของผู้รับเหมาเพื่อระบุจุดอ่อนด้านความมั่นคง คอขวด และจุดล้มเหลวจุดเดียว ซึ่งก็อาจตั้งคำถามเรื่องความแม่นยำของการประเมินและความปลอดภัยของฐานข้อมูลรวมศูนย์เอง
ผลกระทบต่อไทย
แม้คำสั่งนี้จะเป็นเรื่องภายในของสหรัฐฯ แต่ส่งผลกระทบต่อบริษัทไทยที่อยู่ในห่วงโซ่อุปทานของผู้รับเหมากลาโหมสหรัฐฯ ไม่ว่าจะเป็นผู้พัฒนาซอฟต์แวร์ ผู้ให้บริการคลาวด์ หรือผู้รับช่วงผลิตชิ้นส่วน เพราะนิยาม “ทุกชั้นของซัพพลายเออร์” อาจดึงบริษัทไทยที่อยู่ห่างจากผู้รับเหมาหลักหลายชั้นเข้ามาอยู่ในขอบเขตการตรวจสอบเรื่องการถือครองโดยต่างชาติและสถานที่พัฒนา บริษัทไทยที่ต้องการรักษาสัญญากับคู่ค้าสหรัฐฯ ควรเตรียมความพร้อมด้านเอกสาร SBOM ที่ละเอียด ข้อมูลเจ้าของที่แท้จริง และมาตรการความปลอดภัยของข้อมูล ในภาพกว้าง แนวคิดของคำสั่งนี้ยังเป็นตัวอย่างที่หน่วยงานความมั่นคงและโครงสร้างพื้นฐานสำคัญของไทยสามารถนำมาปรับใช้ได้ ทั้งการทำแผนที่ห่วงโซ่อุปทานซอฟต์แวร์ การประเมินความเสี่ยงบุคคลที่สามที่ครอบคลุมถึงการถือครองโดยต่างชาติ และการตระหนักว่าฐานข้อมูลห่วงโซ่อุปทานเองก็เป็นทรัพย์สินที่ต้องปกป้องอย่างเข้มงวด
คำแนะนำ
องค์กรที่อยู่ในห่วงโซ่อุปทานด้านกลาโหมหรือโครงสร้างพื้นฐานสำคัญควรเริ่มรวมการจัดการ SBOM การรับประกันฮาร์ดแวร์ การพิสูจน์ที่มาของซัพพลายเออร์ การคัดกรองการถือครองโดยต่างชาติ และการบริหารความเสี่ยงไซเบอร์เข้าเป็นโปรแกรมความปลอดภัยห่วงโซ่อุปทานเดียวกัน ทีมความเสี่ยงบุคคลที่สามควรขยายการประเมินให้ครอบคลุมเจ้าของผู้รับผลประโยชน์ที่แท้จริง สถานที่พัฒนา และสิทธิ์การเข้าถึงเชิงบริหารของคู่ค้าทุกชั้น สำหรับข้อมูลแผนที่ห่วงโซ่อุปทานที่รวบรวมไว้ ต้องใช้การควบคุมการเข้าถึงที่เข้มงวด การเข้ารหัส การป้องกันข้อมูลรั่วไหล (DLP) การบันทึกการตรวจสอบ และการแบ่งส่วนข้อมูล เพราะฐานข้อมูลนี้เองเป็นเป้าหมายที่มีค่าของหน่วยข่าวกรองต่างชาติ องค์กรควรติดตามกฎระเบียบที่จะออกตามมาอย่างใกล้ชิด เนื่องจากรายละเอียดว่าอะไรคือความเสี่ยง “ที่มีนัยสำคัญ” และครอบคลุมช่องโหว่ซอฟต์แวร์ระดับใด จะถูกกำหนดผ่านกฎเหล่านั้น