กฎหมายศูนย์ข้อมูลสหรัฐกับความเสี่ยงทางกายภาพของ AI

การที่กฎหมาย Federal Data Center Enhancement Act ของสหรัฐอเมริกา​จะหมดอายุในวันที่ 30 September นั้นตรงกับช่วงเวลาที่อุตสาหกรรมศูนย์ข้อมูลกำลังเผชิญกับการแข่งขันเร่งด่วนเพื่อสร้างโครงสร้างพื้นฐานใหม่ที่รองรับความต้องการคอมพิวเตอร์ของ AI ระดับมหภาค การขาดกฎระเบียบด้านความปลอดภัยทางกายภาพอาจทำให้ระบบสำคัญเหล่านี้กลายเป็นเป้าหมายง่าย ๆ ของผู้ไม่ประสงค์ดี

Overview

ปัจจุบันผู้ให้บริการคลาวด์ขนาดใหญ่และบริษัทพัฒนาเทคโนโลยีกำลังเร่งสร้างศูนย์ข้อมูลใหม่เพื่อรองรับการฝึกโมเดล AI ที่ต้องการกำลังประมวลผลมหาศาล การลงทุนในระบบไฟฟ้า ระบบทำความเย็น และอุปกรณ์ฮาร์ดแวร์เป็นที่จับตามองมากที่สุดเพราะเป็นตัวชี้วัดความเร็วในการเปิดให้บริการ อย่างไรก็ตาม ความสำคัญของ physical security หรือการป้องกันกายภาพต่ออาคารศูนย์ข้อมูลกลับถูกมองข้ามโดยส่วนใหญ่ เนื่องจากเป็นส่วนที่สามารถประหยัดเวลาและต้นทุนได้ง่ายที่สุดในกระบวนการก่อสร้าง

Regulatory Background

Federal Data Center Enhancement Act ถูกออกแบบมาเพื่อกำหนดมาตรฐานขั้นต่ำสำหรับศูนย์ข้อมูลของรัฐบาลสหรัฐฯ โดยเฉพาะด้านการป้องกันการบุกรุกทางกายภาพ ซึ่งเป็นส่วนหนึ่งที่ทำให้การประเมินความเสี่ยงของศูนย์ข้อมูลกลายเป็นกระบวนการที่ต้องทำตามข้อกำหนดอย่างเคร่งครัด ก่อนหน้านี้ กฎหมายดังกล่าวได้ถูกต่ออายุโดยรวมเข้ากับกฎหมายด้านการป้องกันประเทศในปี 2022 แต่เมื่อหมดอายุแล้วไม่มีร่างกฎหมายใหม่มาแทนที่ ทำให้มาตรฐานเดียวนี้หายไปจากกรอบบังคับใช้

แม้ว่ากรอบกว้างอย่าง FISMA (Federal Information Security Management Act) และรายการควบคุมของ NIST ยังคงมีผลบังคับใช้อยู่ แต่สองกรอบนี้มุ่งเน้นที่หลักการและแนวทางทั่วไป ไม่ได้ให้รายละเอียดเชิงปฏิบัติในเรื่องการรักษาความปลอดภัยกายภาพอย่างชัดเจน การขาด “กลไกการบังคับใช้” ทำให้หลายองค์กรเริ่มตีความมาตรฐานเหล่านี้ในลักษณะที่อ่อนโยนมากขึ้น

Physical Security Risks

เมื่อไม่มีข้อกำหนดที่ชัดเจน ความเสี่ยงต่อศูนย์ข้อมูลจะเกิดจากช่องโหว่หลายประการ เช่น พนักงานผู้รับเหมาที่ไม่ได้อยู่ภายใต้การตรวจสอบอย่างเข้มงวด การเปิดประตูโหลดสินค้าตรงโดยไม่มีระบบเฝ้าระวัง หรือบัตรประจำตัวของพนักงานที่ออกจากบริษัทแต่ยังคงทำงานได้ต่อเนื่อง เหตุการณ์เหล่านี้เป็นเส้นทางหลักที่อาจทำให้ข้อมูลสำคัญถูกขโมยหรือศูนย์ข้อมูลถูกทำลาย

• การเข้าถึงโดยไม่มีผู้ดูแล (unescorted access)
• ประตูโหลดสินค้าที่ไม่ได้ตรวจสอบกล้องวงจรปิด
• บัตรประจำตัวที่ยังคงใช้งานหลังจากพนักงานลาออก

หากความปลอดภัยทางกายภาพถูกมองข้ามในขั้นตอนการจัดซื้อและก่อสร้าง การแก้ไขภายหลังจะต้องใช้ต้นทุนสูงกว่าอย่างมาก และอาจทำให้ศูนย์ข้อมูลไม่สามารถดำเนินการต่อได้เมื่อเกิดเหตุฉุกเฉิน

Industry Implications

ผู้ประกอบการส่วนใหญ่ที่มีศูนย์ข้อมูลอยู่แล้วมักรักษางบประมาณด้านความปลอดภัยตามสัญญาและระดับความเสี่ยงของตนเอง แต่ในการขยายตัวใหม่เพื่อรองรับ AI ความเร็วและต้นทุนเป็นปัจจัยหลัก การไม่มีกรอบการประเมินมาตรฐานทำให้ผู้จัดซื้ออาจละเลยข้อกำหนดด้าน physical security เพื่อตรงตามเวลาเปิดใช้งานหรือเพื่อลดค่าใช้จ่ายโดยตรง

ผลลัพธ์คือช่องว่างที่เปิดให้กับศูนย์ข้อมูลใหม่หลายแห่ง—ส่วนใหญ่เป็นโครงการเอกชนที่ไม่มีข้อบังคับจากรัฐบาลมาผูกมัด—ทำให้การตรวจสอบและควบคุมความปลอดภัยกายภาพกลายเป็นเรื่อง “ตามอัธยาศัย” มากกว่า “ตามมาตรฐาน” ซึ่งเพิ่มความเสี่ยงต่อการถูกโจมตีโดยวิธีที่ง่ายที่สุดเช่น การเปิดประตูหรือใช้บัตรปลอม

Recommendations & Future Outlook

ผู้เชี่ยวชาญด้านโครงสร้างพื้นฐานสรุปว่า แนวทางแก้ไขไม่ใช่เพียงแค่ “เพิ่มกฎระเบียบใหม่” แต่ต้องทำให้การรักษาความปลอดภัยกายภาพเป็นส่วนหนึ่งของการออกแบบตั้งแต่ต้น การผสานรวมระบบควบคุมการเข้าถึง กล้องวงจรปิด ระบบตรวจจับเหตุฉุกเฉิน และการบันทึกข้อมูลให้ทำงานร่วมกันอย่างต่อเนื่อง จะช่วยให้สามารถตอบสนองต่อความผิดปกติได้ทันที

ในแง่ของนโยบาย การฟื้นฟูกฎหมาย Federal Data Center Enhancement Act หรือการสร้างมาตรฐานอิสระที่บังคับใช้ทั่วทั้งอุตสาหกรรมจะเป็นประโยชน์ แต่สำคัญยิ่งคือการทำให้แนวคิดว่าความปลอดภัยกายภาพและความปลอดภัยไซเบอร์เป็นปัญหาเดียวกันถูกนำมาปรับใช้ในขั้นตอนการออกแบบและดำเนินงานของศูนย์ข้อมูลทุกแห่ง

Summary

เมื่อกฎหมาย Federal Data Center Enhancement Act สิ้นสุดลง ความเสี่ยงต่อศูนย์ข้อมูลที่กำลังก้าวหน้าอย่างรวดเร็วเพื่อรองรับ AI จะเพิ่มขึ้นโดยไม่มีกรอบการบังคับใช้ชัดเจน การทำให้ความปลอดภัยทางกายภาพเป็นส่วนหนึ่งของการออกแบบตั้งแต่แรกและสร้างมาตรฐานอุตสาหกรรมที่ยั่งยืนถือเป็นแนวทางสำคัญเพื่อป้องกันโครงสร้างพื้นฐานระดับวิกฤตนี้จากการละเมิดในอนาคต.