Cybersecurity: ความเสี่ยงและการป้องกันภัยคุกคามทางไซเบอร์ในองค์กร
สิ่งที่เราคิดผิดเกี่ยวกับ Cybersecurity
ผมยังจำได้วัฒนาการเปลี่ยนแปลงทีทำให้ความมั่นใจของคนลดลงอย่างรวดเร็ว ปีที่แล้วมีการรายงานว่าบริษัทขนาดใหญ่ตั้งแต่ 5 หลักล้านบาทขึ้นไป ประสบการณ์การถูกแฮกมากกว่า 70% ตัวเลขนี้ไม่ใช่เรื่องการเป็นข่าว เมื่อคำนวณสูญเสีย ต้นทุน และความเสียหายต่อชื่อเสียง มันกลายเป็นว่าความปลอดภัยทางไซเบอร์ไม่ใช่เรื่องของ IT คนเดียว แต่เป็นเรื่องของการอยู่รอด
จริงๆ แล้วความประเมินผิดอยู่ตรงนี้: ความเสี่ยงทางไซเบอร์นั้นถูกมองเป็นเทคนิค ทั้งๆ ที่มันเป็นเรื่องธุรกิจ องค์กรขนาดกลางและเล็กมักจะคิดว่า "พวกเราเล็กเกินไป ไม่มีใครสนใจแฮก" นั่นเป็นความเข้าใจผิดที่อันตราย เพราะแฮกเกอร์ส่วนใหญ่ไม่เลือกเป้าหมายตามขนาด แต่เลือกตามช่องโหว่และมูลค่าการไถ่คืน
ภัยคุกคามจริงๆ คืออะไร
ลองมองสถานการณ์จากมุมมองที่เป็นรูปธรรม ภัยคุกคามไซเบอร์ปัจจุบันไม่ได้เป็นแค่กรณีการขโมยข้อมูลลูกค้า หรือหยุดชั่วคราวของระบบ มันซับซ้อนมากกว่านั้น:
- Ransomware attacks: ผู้ร้ายเข้ารหัสข้อมูลขององค์กรแล้วเรียกค่าไถ่ยาว บางกรณี วิธีนี้ของพวกเขา งง แค่ วิธีหนึ่ง (เป็นวิธีที่เวลาผ่านไปเขาสามารถขมขวัญได้อีกรอบ)
- Phishing and social engineering: ส่วนใหญ่เกิดจากพนักงาน ไม่ใช่ระบบที่ทำงาน การบอกให้ทำตามลิงก์ปลอม คลิก attachment ที่เป็นแอบแฝง นี่คือช่องเหวที่ใหญ่ที่สุด
- Data breach: เพียงแค่ข้อมูลส่วนบุคคล หรือข้อมูลลับหมวด ที่ฉุดออกไปนอก พอถ้าข้อมูลนั้นถูกอยากให้เปิดเผย ค่าปรับตาม PDPA อาจถึงขั้นล้าน บาท
- Insider threats: บางครั้งภัยมาจากคนในองค์กร พนักงานเดิม หรือคนที่มีสิทธิ์เข้าถึงข้อมูลระดับสูง
- Supply chain attacks: ผู้ร้ายไม่โจมตีองค์กรของเรา แต่โจมตีผู้ให้บริการหรือซัพพลายเยอร์ที่เรามีปฏิสัมพันธ์
ถ้าผมถามตอนนี้ว่า "องค์กรของคุณเตรียมตัวรับมือกับสถานการณ์ไหนบ้าง" ผมสัญญาได้ว่า 80% จะตอบไม่แน่นอน
ประเมินสถานการณ์ของคุณด้วยตัวเอง
มันเป็นความคิดที่ดีที่จะออกแบบ audit ภายใน หรือประเมินความเสี่ยง ก่อนที่จะรู้ว่าเราอยู่ในตำแหน่งไหน ลองถามคำถามเหล่านี้:
- มีการสำรองข้อมูล (backup) อย่างสม่ำเสมอหรือเปล่า และแยกออกจากระบบหลักแล้วรึเยา?
- พนักงานสดส่วนใหญ่ได้รับการฝึกอบรมเรื่องความปลอดภัย หรือ cyber awareness บ้าง?
- มีนโยบายการเข้าถึง (access control) ที่ชัดเจนสำหรับข้อมูลตามระดับความสำคัญหรือเปล่า?
- ระบบคอมพิวเตอร์ของคุณ update patches อย่างทันท่วงทีหรือเปล่า?
- มีการติดตามและวิเคราะห์บันทึก (log monitoring) เพื่อตรวจจับอาจารมณ์ผิดปกติหรือเปล่า?
- วิธีที่ผลิตภัณฑ์ software ที่ใช้ นั้นอัปเดตอย่างไร และใครดูแล?
ถ้าคุณตอบ "ไม่รู้" หรือ "ยังไม่ได้" มากกว่า 3 ข้อ นั่นคือสัญญาณเตือนสีแดงแล้ว
ทำไมองค์กรไทยมักไม่เสร็จลง
ผมเข้าใจความยากลำบาก เหตุผลที่องค์กรไม่ลงมือแก้ไขนั้นส่วนใหญ่เกิดจาก:
1. ปัญหา budget ความปลอดภัยไซเบอร์ถูกมองว่าเป็นต้นทุน ไม่ใช่การลงทุน ผู้บริหารมักถามว่า "เรามีปัญหา security ต่างหากไหม?" แล้วจึงปฏิเสธจัดสรรเงิน จนกว่าจะ breach เกิดขึ้นจริง
2. ขาดความรู้ IT team ขนาดเล็ก ติดงาน support user ทั้งวัน ไม่มีเวลาติดตามความเสี่ยงใหม่หรือเรียนรู้เทคนิคป้องกัน
3. ความอื่นๆ ดำเนินการ กลุ่มคนคิดว่าถ้าจัดซื้อ antivirus แล้วจะปลอดภัย ขาด comprehensive strategy ที่ครอบคลุมเรื่องต่างๆ
4. ปัญหาวัฒนธรรมองค์กร ไม่มีการสื่อสารชัดเจนถึงความเสี่ยง จึงทำให้พนักงานไม่ตั้งใจเรื่องนี้ ถือว่าเป็นเรื่องของ IT เท่านั้น
แนวทางป้องกันที่เป็นรูปธรรม
ไม่ต้องซับซ้อนมาก ลองเริ่มจากสิ่งพื้นฐาน ที่มีผล:
1. สร้างวัฒนธรรมเรื่องความปลอดภัย
ต้องเป็นเรื่องทั้งองค์กร ไม่ใช่เรื่องของ IT นาย CEO หรือผู้บริหารต้องพูดถึงเรื่องนี้เหมือนพูดถึง quality หรือ customer service นั่น คือจำเป็นพอๆ กัน ลองจัดการฝึกอบรมให้พนักงานอย่างน้อย ปีละ 1-2 ครั้ง เรื่องการจำหน่ายแฟล็กโปรแกรม phishing หรือพฤติกรรมความปลอดภัยพื้นฐาน
2. เลิกใช้รหัสผ่านเดียวทำให้หมด
สำหรับข้อมูลที่สำคัญ ต้องใช้ Multi-Factor Authentication (MFA) แม้จะเข้ารหัสถูก แฮกเกอร์ยังต้องผ่านชั้นอื่น ต่อให้เพิ่ม friction นิดนึง มันคุ้มค่า
3. ทำ backup ที่เหมาะสม
สำรองข้อมูลเป็นสิ่งจำเป็น แต่ต้องแยก offline หรือแยก network ออกจากระบบหลัก ถ้า ransomware เข้ามา อย่างน้อยคุณยังมีข้อมูลฉบับสำเร็จรูป
4. อัพเดท patch อย่างทันท่วงทีแถมสม่ำเสมอ
ช่องโหว่ส่วนใหญ่ที่ผู้ร้ายใช้ประโยชน์นั้น เกิดจากเวอร์ชัน software เก่า ที่ผู้พัฒนา patch ไปแล้ว แล้วคุณยังไม่อัปเดต สำหรับระบบสำคัญ ต้องมี process อัปเดตที่แผนการและทดสอบดีๆ เพื่อไม่ให้สิ่งแปลกปลอมเกิดขึ้น
5. ตรวจสอบสิทธิ์เข้าถึง (Access Control)
บุคคลสิทธิ์ต่างกันในการเข้าถึงข้อมูลต่างกัน พนักงาน HR ไม่ต้องเข้าถึง source code ของนักพัฒนา มีหลักการ "least privilege" คือให้เฉพาะสิทธิ์ที่จำเป็นต่องาน
6. ติดตาม log และอาจารมณ์ผิดปกติ
ต้องมี solution สำหรับตรวจจับเหตุการณ์ผิดปกติ ไม่ว่าจะง่ายๆ เช่น การเข้าระบบในเวลาที่ผิดปกติ หรือการเข้าจากที่ตั้ง IP ที่อื่น ถ้าไม่มี tool มืออาชีพ อย่างน้อย log server ของคุณต้องเก็บไว้ที่ปลอดภัย
7. ให้คำปรึกษาจากผู้เชี่ยวชาญ
ถ้าบัджเตอร์ไม่พอจ้างคน ลองซื้อบริการ penetration testing หรือ security audit จากบ้านภายนอก ผู้เชี่ยวชาญเหล่านี้จะช่วยเห็นช่องโหว่ที่ทีม IT ของคุณอาจมองไม่เห็น เห็นด้วยว่านี่เป็นเรื่องความต้องการสำหรับองค์กรขนาดกลาง ลงมาแล้ว
เชื่อมโยงกับการพัฒนาองค์กร
บทเรียนบ้านบ่นคือการป้องกันภัยคุกคามไซเบอร์เชื่อมโยงกับความสำเร็จด้านธุรกิจโดยตรง ถ้าคุณวางแผน digital transformation หรือการขยายใช้ Cloud Computing สำหรับ SME: วิธีการลงทุนโครงสร้างพื้นฐานดิจิทัลอย่างชาญฉลาด ประเด็นความปลอดภัยต้องเป็นส่วนหนึ่งของการวางแผนนั้น ไม่ใช่นึกถึงทีหลัง ไม่ใช่การเก็บแฟ้มเก่าบน cloud ที่ไม่มีการเข้ารหัส หรือใช้ password เดียวกันสำหรับทั้งทีมนะคะ
สิ่งที่ฉันต้องการให้คิด
ในโลกปัจจุบัน การโจมตีทางไซเบอร์เข้ามาเรื่อยๆ ไม่ใช่ "ถ้า" แต่เป็น "เมื่อไหร่" องค์กรจริงๆ ต้องเตรียมตัวให้พร้อม การลงมือป้องกันตั้งแต่นี้ ด้วยศูนย์ความรู้ และการลงทุนสมควร นั่นคือสิ่งที่ผมเชื่อ
สมัยก่อนกล่าวว่า "ความปลอดภัยไม่ค่อยสำคัญ" ตอนนี้ข้อมูลคือ "ทอง" ของยุค digital ถ้าคุณไม่ป้องกัน ใครมันจะทำให้คุณ?
ลองเริ่มตั้งแต่วันนี้ได้เลย: ประเมินสถานการณ์ของหน่วยงาน สำรวจเสียง พูดคุยกับแผนก IT ขอ risk assessment ตั้งแต่ขั้นเตรียมความพร้อม ไม่ต้องรอจนบริษัทอื่นโดน breach ก่อนถึงจะทำ
สำหรับข้อมูลเพิ่มเติมเกี่ยวกับประเภทของภัยคุกคามและกรอบการทำงานนั้น คุณสามารถอ่าน Wikipedia หรือหนังสือเทคนิค ที่ครอบคลุมมากกว่านี้ได้
สรุป: ปัญหา ต้องการ และการแก้ไข
ความเสี่ยงไซเบอร์เป็นเรื่องจริง มีผลต่อบริษัทจริง และต้องการการดำเนินการจริง จากการประเมิน การสร้างวัฒนธรรม การฝึกอบรม จนถึงการจัดตั้งระบบป้องกันที่เหมาะสม ทั้งหมดนี้ต้องประสานกันมาแล้ว สำหรับการสำเร็จ
