JRIT ICHI

เชื่อว่าหลายองค์กรเล็งเห็นความสำคัญของ Cybersecurity และมีการกำหนดนโยบายรวมถึงแผนปฏิบัติงาน แต่ก็มักเจออุปสรรคเมื่อนำแผนไปปฏิบัติจริง ทำให้การลงทุนด้าน Cybersecurity ไม่เกิดประสิทธิภาพเท่าที่ควร บทความนี้เราจึงยังอยู่กับ ดร.ศาศวัต มาลัยวงศ์ หรือ ดร.แก็ป Business Director บริษัท เอซีอินโฟเทค จำกัด (ACinfotec) เพื่อแนะนำแนวทางการนำ แผนงานด้านไซเบอร์ขององค์กร ไปสู่การปฏิบัติจริงอย่างมีประสิทธิภาพ รวมถึงบทบาทของที่ปรึกษา ว่ามีความสำคัญต่อกระบวนการนี้อย่างไร ในแบบฉบับที่เข้าใจง่าย นำไปปรับใช้ได้กับทุกองค์กร

อุปสรรค และการก้าวข้ามปัญหาในการยกระดับ Cybersecurity ขององค์กร
ปัญหาด้าน Cybersecurity ในองค์กร เกิดขึ้นจากหลายปัจจัย ดร.แก็ป มองว่าหลายองค์กรมีนโยบายด้านการป้องกันภัยไซเบอร์ที่ดี แต่ไม่ถูกนำไปใช้งาน บางหน่วยงานมีการวางแผนระยะสั้น ระยะกลาง และระยะยาว แต่สุดท้ายก็ไม่ถูกนำไปปฏิบัติ หรือไม่งบประมาณก็ถูกผันไปทำอย่างอื่นแทน

“อุปสรรคหลัก ๆ มาจากการที่ผู้บริหารไม่เห็นความสำคัญ จึงไม่มีการแต่งตั้งผู้รับผิดชอบอย่างชัดเจนว่าใครต้องดูแลเรื่อง Cybersecurity แล้วก็ไม่มีการกำหนดตัวชี้วัดความสำเร็จที่เป็นรูปธรรม ดังนั้นสิ่งจำเป็นแรก คือ ผู้บริหารต้องเห็นความสำคัญก่อน”

อุปสรรคที่ตามมาเมื่อองค์กรลงทุนด้าน Cybersecurity โดยที่ผู้บริหารยังไม่เห็นความสำคัญ คือขาดแผนการใช้งานและตัวชี้วัด สุดท้ายองค์กรก็ซื้อโซลูชันเพิ่มขึ้นทุกปี ผ่านไปสิบปีมีเครื่องมือเป็น 10 ตัว แต่ไม่มีประสิทธิภาพ เพราะไม่บูรณาการร่วมกัน ต่างฝ่ายต่างทำงานไปคนละทิศทาง

วิธียกระดับ Cybersecurity ขององค์กร
เมื่อผู้บริหารเห็นความสำคัญของ Cybersecurity แล้ว ขั้นตอนต่อมา ดร.แก็ป แนะนำให้วางแผนที่สอดคล้องกับความต้องการหรือบริบทความเสี่ยงขององค์กรอย่างชัดเจนแล้วจึงนำไปสู่การปฏิบัติจริง โดยเริ่มต้นจากขั้นตอนดังต่อไปนี้

1. ตั้งทีมรับผิดชอบ
ทุกองค์กรมักมีข้อจำกัดด้านบุคลากร เพราะหลายองค์กรขาดผู้เชี่ยวชาญด้าน Security จึงมี 2 ทางเลือก
• 1) สร้างทีมจากพนักงานเดิม โดยอบรมเพิ่มความรู้ แต่มีข้อเสียว่า จะไปเพิ่มภาระงานให้กับเขา
• 2) สรรหาพนักงานใหม่ที่เชี่ยวชาญด้าน Security หรือจ้างผู้เชี่ยวชาญภายนอก (Outsourced) ซึ่งปัจจุบันมีบริษัทที่ชำนาญทั้ง Security และ Privacy ให้บริการอยู่มากมาย

2. กำหนดตัวชี้วัดที่เป็นรูปธรรม เพื่อดูว่านโยบายและโซลูชันด้าน Cybersecurity ทำงานมีประสิทธิผลหรือไม่ เช่น ทดสอบส่งอีเมลหลอกลวง หรือ Phishing ไปยังพนักงานทุกไตร แล้วดูว่าเปอร์เซ็นต์ของผู้คลิกลิงก์ของไตรมาสที่ 4 ต้องน้อยลงกว่าไตรมาส 1 และไม่ควรสูงเกินกว่าค่าเฉลี่ยของอุตสาหกรรม ตัวชี้วัดนี้ช่วยประเมินได้ว่าแผนหรือกลยุทธ์ที่ใช้มีประสิทธิภาพหรือไม่ หากผลไม่เป็นไปตามเป้า ก็สามารถปรับปรุงต่อได้จนเกิดการปฏิบัติจริงที่ได้ผล

วิธีเริ่มต้นสร้าง Cybersecurity สำหรับองค์กรที่ขาดแคลนพนักงานที่เชี่ยวชาญด้าน IT/Security
“แม้การสร้างมาตรการป้องกันด้าน Cybersecurity ควรมีทีมผู้รับผิดชอบที่มีความรู้ ความเชี่ยวชาญ แต่สำหรับองค์กรที่ยังไม่พร้อม ดร.แก็ป กล่าวว่า ไม่ต้องกังวล เพราะหากยังไม่พร้อมก็สามารถเริ่มได้ง่าย ๆ โดยไม่ต้องใช้งบประมาณมากมาย แล้วค่อย ๆ นำไปต่อยอดให้สำเร็จ โดยมีวิธีปฏิบัติดังนี้

1. สร้าง ‘Cyber Hygiene’ หรือ ‘สุขอนามัยไซเบอร์’ ให้เกิดขึ้น เพื่อใช้งานไซเบอร์อย่างปลอดภัย ต้องฝึก คิดก่อนคลิก เพื่อป้องกันอีเมล Phishing โดยปฏิบัติดังนี้
– อย่ารีบเปิดอ่านข้อความ หรือดาวน์โหลดเอกสารจากอีเมล หรือ Link ที่น่าสงสัย ต้องตรวจสอบแหล่งที่มาก่อนเสมอ
– ตั้งรหัสผ่านให้แข็งแกร่งตามหลักเกณฑ์ เช่น ไม่ต่ำกว่า 12 – 15 ตัวอักษร ประกอบด้วยตัวพิมพ์ใหญ่ ตัวพิมพ์เล็ก ตัวเลข และอักขระพิเศษ
– หลีกเลี่ยงการใช้รหัสซ้ำในหลายแพลตฟอร์ม
– หากมีหลายบัญชีที่ต้องใช้รหัสผ่าน ควรใช้ Password Manager ช่วยจัดการ
– เปิดการยืนยันตัวตนแบบ 2 ขั้นตอน (2FA) สำหรับทุกบัญชี

2. อัปเดตซอฟต์แวร์ และแอปพลิเคชันให้ทันสมัยอยู่เสมอ เพื่อปิดกั้นช่องโหว่ด้านความปลอดภัย เพราะซอฟต์แวร์ที่ล้าสมัยจะเปิดประตูให้คนมาโจมตี นอกจากนี้ควรอัปเดตโปรแกรมป้องกันไวรัส หรือมัลแวร์เป็นประจำด้วย

3. หลีกเลี่ยงใช้งาน Wi-Fi สาธารณะ เพราะเสี่ยงต่อการถูกโจมตี และดักจับข้อมูลได้ง่าย โดยเฉพาะธุรกรรมทางด้านการเงิน

4. สำรองข้อมูลอยู่เสมอ โดย ดร.แก็ป แนะนำให้สำรองข้อมูลตาม สูตร 3-2-1 คือ การเก็บข้อมูลสำคัญไว้อย่างน้อย 3 ชุด บนสื่อบันทึก 2 ประเภท เช่น ฮาร์ดดิสก์ และเทป จากนั้นต้องเก็บข้อมูลสำรองไว้นอกองค์กรอีกอย่างน้อย 1 ชุด เช่นบนคลาวด์ที่น่าเชื่อถือ เพื่อป้องกันความเสียหายหากเกิดการโจมตีข้อมูล และความเสียหายจากปัญหาที่อาจเกิดขึ้นกับตัวเครื่องมือเอง เช่น ฮาร์ดดิสก์พัง หรือระบบคลาวด์ล่ม

5. รักษาความปลอดภัยข้อมูลอย่างเข้มงวด ด้วยการไม่อนุญาตให้ผู้ใดเข้าถึงข้อมูลได้ ยกเว้นผู้มีสิทธิ์เข้าถึงข้อมูลตามที่กำหนดไว้เท่านั้น

6. รู้เท่าทัน AI ปัจจุบันเทคโนโลยีปัญญาประดิษฐ์ สามารถปลอมใบหน้า และเสียงได้อย่างแนบเนียน ผู้โจมตีอาจสร้าง Deep Fake ปลอมเป็นผู้จัดการเพื่อมาขอข้อมูลจากพนักงานก็ได้ ดังนั้นต้องสอนพนักงานทุกคนว่า อย่ารีบเชื่อ แม้จะเป็นการวิดีโอคอลก็ตาม โดยเฉพาะเมื่อมีการขอข้อมูลบริษัทหรือขอให้โอนเงิน ต้องตรวจสอบกับเจ้าตัวทุกครั้ง

“ทั้งหมดนี้คือหลักสุขอนามัยไซเบอร์ที่แม้ไม่เชี่ยวชาญด้าน IT หรือ Security ก็ทำได้ เพราะเป็นความรับผิดชอบพื้นฐานของทุกคน หากทำได้ครบ ก็จะช่วยให้องค์กรและบุคคลากรมีภูมิคุ้มกันพื้นฐาน ลดความเสี่ยงได้ถึง 80% ส่วนอีก 20% ที่เป็นการโจมตีขั้นสูง จำเป็นต้องใช้เทคโนโลยีเข้ามาเสริม” ดร.แก็ป สรุป

ความสำคัญ และวิธีเลือกที่ปรึกษาด้าน Cybersecurity ที่เหมาะสม เพื่อช่วยให้องค์กรเดินทางจากแผนสู่การปฏิบัติอย่างมีประสิทธิภาพ
สำหรับการเลือกที่ปรึกษาด้าน Cybersecurity ที่เหมาะสม ต้องพูดถึงความสำคัญของที่ปรึกษากันก่อน โดย ดร.แก็ป กล่าวว่า

“ที่ปรึกษาเปรียบเสมือนเพื่อนคู่คิด ที่ช่วยให้องค์กรจัดการ Cybersecurity ได้อย่างมีประสิทธิภาพมากขึ้น ถามว่าทำไมที่ปรึกษาถึงสำคัญ เพราะที่ปรึกษาเข้ามาช่วยในเรื่องของการประเมิน และระบุความเสี่ยงได้ เพื่อป้องกันภัยไซเบอร์ซึ่งเป็นเงื่อนไขสำคัญของการทำธุรกิจยุคดิจิทัล โดยที่ธุรกิจเองมีข้อจำกัดทั้งเวลา คน และทรัพยากร ดังนั้น Cybersecurity จึงต้องถูก Optimize หรือเพิ่มประสิทธิภาพให้สอดคล้องกับธุรกิจ”

ที่ปรึกษาไม่ได้ช่วยเพียงด้าน Cybersecurity แต่ยังมีบทบาทในการเพิ่มประสิทธิภาพธุรกิจ โดยต้องประเมินทั้งบริบทองค์กร กฎหมาย และกฎระเบียบที่เกี่ยวข้อง รวมถึงโครงสร้างพื้นฐาน เช่น Infrastructure, Application, Software, และ Hardware เพื่อตรวจหาปัญหา จุดอ่อน หรือช่องโหว่ ก่อนจะวางกลยุทธ์และมาตรการรักษาความปลอดภัยที่เหมาะสม พร้อม Optimize ให้เกิดประสิทธิภาพสูงสุด

เมื่อถามย้อนกลับว่า หลักการเหล่านี้องค์กรเองทำได้หรือไม่? ตอบว่า ได้ แต่อาจต้องใช้เวลา และไม่ครอบคลุมเท่า เนื่องจากที่ปรึกษามีความเชี่ยวชาญด้านนี้โดยเฉพาะ

นอกจากการให้คำปรึกษาแล้ว หน้าที่ของที่ปรึกษายังมีการจำลองการโจมตี การวางแผนตอบสนองต่อเหตุการณ์ (Incident response) การจัดฝึกซ้อมรับมือภัยไซเบอร์ (Cyber Exercise) รวมถึงการอบรมให้ความรู้แก่พนักงานและผู้บริหารองค์กร ตั้งแต่ระดับตระหนักรู้ (Awareness) ไปจนถึงระดับเชี่ยวชาญเชิงลึก เช่น การกำจัดภัยคุกคาม การเขียนโค้ดอย่างปลอดภัย ฯลฯ

และสิ่งสำคัญที่ขาดไม่ได้ ดร.แก็ป กล่าวว่า ที่ปรึกษายังช่วยให้องค์กรปฏิบัติตามกฎระเบียบและกฎหมายได้ครบถ้วน เนื่องจากปัจจุบันธุรกิจที่ให้บริการดิจิทัลกับประชาชน ต้องเผชิญกับกฎระเบียบกำกับดูแลเรื่องของไซเบอร์เข้มงวดและรัดกุม ซึ่งจำเป็นต้องอาศัยผู้เชี่ยวชาญคอยให้คำแนะนำ

ที่ปรึกษาด้าน Cybersecurity ที่ดี ควรเลือกอย่างไร
สำหรับการเลือกที่ปรึกษาที่ดี ดร.แก็ป ให้คำแนะนำว่า ควรเลือกที่ปรึกษาที่มีประสบการณ์ มีความชำนาญ และมีความรู้เชิงลึก สามารถ Track Record ติดตามผลงานที่ผ่านมาได้อย่างเป็นรูปธรรม ยิ่งบริษัทที่ให้บริการมายาวนานก็ยิ่งมีความน่าเชื่อถือ โดยเฉพาะอย่างยิ่งหากบริษัทนั้นมีบริการที่ครบวงจร ก็จะทำให้มั่นใจได้ว่า มีทีมงานเปี่ยมคุณภาพ สามารถให้บริการได้อย่างต่อเนื่อง

นอกจากนี้ที่ปรึกษาที่ดี ควรเป็นเหมือนเพื่อนคู่คิด สามารถทำงานร่วมกันได้ดี อธิบายเรื่องที่ซับซ้อนให้เข้าใจง่าย สามารถมองเห็นช่องโหว่ หรือข้อผิดพลาดของระบบ ที่องค์กรอาจจะมองไม่เห็น และมีความรอบคอบ ละเอียด เข้มงวด

“ลูกค้าบางรายเคยบอกผมว่า ที่ปรึกษาเจ้าอื่นแนะนำให้ทำ Cybersecurity แค่นี้พอ ซึ่งผมมองว่าไม่เพียงพอ แต่เพราะลูกค้าอยากทำเท่านั้น ที่ปรึกษายอมตามใจลูกค้า พูดเฉพาะสิ่งที่ลูกค้าอยากฟัง แม้งานจะจบ แต่ความเสี่ยงก็ยังไม่ลดลงจริง ๆ ที่ปรึกษาที่ดีต้องตรงไปตรงมาแต่ยืดหยุ่น สามารถหาโซลูชันเสริมที่เหมาะสม เพื่อมาเสริมให้ลูกค้า สิ่งที่ต้องใส่ใจคือ Output เพราะหากตามใจลูกค้าโดยไม่สนใจหลักเกณฑ์ ความเสี่ยงก็จะไม่ลด และแม้ลูกค้าจะมีงบจำกัดก็สามารถเลือกประยุกต์มาตรการหรือโซลูชันเพื่อให้การป้องกันยังเข้มแข็งได้ ดังนั้นที่ปรึกษาที่ดี จึงควรเป็นผู้มีความรู้เชิงลึก มีประสบการณ์ อธิบายเข้าใจง่าย แล้วก็ตรงไปตรงมา แต่ยืดหยุ่นครับ” ดร.แก็ป อธิบาย

นวัตกรรม AI ยกระดับภูมิคุ้มกันทาง Cybersecurity
เอซีอินโฟเทค (ACinfotec) นอกจากเป็นบริษัทให้คำปรึกษา ตรวจสอบ อบรม และติดตั้งระบบ Cybersecurity ชั้นนำของประเทศไทยแล้ว ยังพัฒนานวัตกรรมด้านการป้องกันภัยไซเบอร์มาอย่างต่อเนื่อง ซึ่งปัจจุบันได้นำ AI มาใช้ในงาน Cybersecurity เพื่อยกระดับภูมิคุ้มกันทางไซเบอร์อย่างหลากหลาย ซึ่งให้บริการทั้งหน่วยงานภาครัฐ และเอกชน ประกอบด้วย

Cyber DNA นวัตกรรมตรวจสุขภาพทางไซเบอร์ ดร.แก็ป กล่าวว่า นวัตกรรมนี้เปรียบเสมือน Continuous Cyber Rating and Improvement หรือการตรวจสุขภาพทางไซเบอร์เป็นประจำ พร้อมโค้ชคอยกระตุ้นและแนะนำให้องค์กรและพนักงานปรับปรุงอย่างต่อเนื่อง คล้ายกับการตรวจสุขภาพที่โรงพยาบาล ที่บอกผลเลือดว่าดีหรือไม่ดี และควรดูแลต่ออย่างไร

Cyber Resilience Simulator เป็นการจำลองสถานการณ์การโจมตีจริงโดยใช้ AI ระบบจะปรับสถานการณ์ตามการตอบสนองของลูกค้า เพื่อวัดทั้งความเร็วในการรับมือ และคุณภาพการตัดสินใจ ดร.แก็ป แนะนำว่าให้มองเป็นเหมือน Flight simulator ที่นักบินใช้ฝึกบิน เพียงแต่นวัตกรรมนี้ใช้สำหรับ Cybersecurity

ระบบ Cybersecurity สามารถปกป้องธุรกิจ และสร้างความเชื่อมั่นได้อย่างไรบ้าง
เมื่อถามว่า ระบบ Cybersecurity สามารถปกป้องธุรกิจ และสร้างความเชื่อมั่นได้อย่างไรบ้าง ดร.แก็ป ตอบด้วยการเล่าประสบการณ์ตรงที่ให้บริการลูกค้าทั้งภาครัฐ และเอกชนมาอย่างยาวนานว่า

“ในแต่ละปี เรามีการส่งอีเมลจำลองการหลอกลวงออกไปให้กับลูกค้าราว 100,000 อีเมลต่อไตรมาส พบว่าส่วนใหญ่แล้ว การส่งไปครั้งแรก มักมีคนตกเป็นเหยื่อจำนวนมาก จากนั้นเราจึงเข้าไปสอนวิธีสังเกตให้เขาเข้าใจ และทดลองส่งใหม่เป็นครั้งที่ 2 โดยเปลี่ยนเนื้อหา พบว่ามีคนตกเป็นเหยื่อลดลงถึง 70% แต่ก็ยังเหลืออีก 30% ซึ่งต้องขยับไปอีกขั้นหนึ่งต่อ”

“ส่วนการซ้อมรับมือภัยไซเบอร์ ในแต่ละปี เราทำ Cyber Exercise ให้หน่วยงานต่าง ๆ กว่า 100 องค์กร โดยมีการวัดระดับความสามารถในการรับมือภัยคุกคาม แบบ Matrix มีตัวชี้วัดที่ละเอียดมาก พบว่าคนที่เข้าโปรแกรมของเราเป็นประจำทุกปี มีความสามารถในการตรวจจับภัยไซเบอร์ได้เร็วขึ้น รับมือได้ดีขึ้น ลดผลกระทบได้มากขึ้นอย่างเป็นนัยสำคัญ นี่เป็นกรณีศึกษาที่ทำให้เห็นได้ชัดเจนว่า การทำอย่างต่อเนื่องช่วยเสริมการปกป้องได้จริง”

สูตรสำเร็จของการสร้างและยกระดับ Cybersecurity ในองค์กรให้มีประสิทธิภาพ
1. ผู้นำต้องสนับสนุนจริง
2. ต้องมีแผนงานเป็นขั้นตอน และสามารถวัดผลได้
3. ต้องติดตามการปฏิบัติ และปรับปรุงอย่างต่อเนื่อง

ทั้ง 3 ข้อ คือ สูตรสำเร็จ ของการสร้าง และยกระดับ Cybersecurity ในองค์กรให้มีประสิทธิภาพ ที่ ดร.แก็ป มอบให้ผู้อ่าน พร้อมทั้งสรุปทิ้งท้าย

“หากถามว่าทั้ง 3 ข้อไหนสำคัญที่สุด ผมขอตอบว่า ข้อแรก เพราะถ้าผู้นำไม่ขยับ องค์กรก็ไม่ขยับ ผู้นำต้องเห็นความสำคัญ สนับสนุน พร้อมทั้งวางแผนปฏิบัติที่วัดผลได้ มีการติดตามผล พร้อมปรับปรุงอย่างต่อเนื่อง เช่น มีการประเมิน มีการฝึกซ้อม มีการจำลองสถานการณ์ ตามที่เล่ามาแล้ว เพราะภัยไซเบอร์เปลี่ยนเร็วมาก ดังนั้นสิ่งสำคัญที่สุด คือ เราต้องดีขึ้นทุกวัน ในยุค AI ผู้ที่พัฒนาตัวเองทุกวันคือผู้ชนะ ซึ่งในเรื่องของ Cybersecurity ก็เช่นเดียวกันครับ”

ช่องทางติดต่อ บริษัท เอซีอินโฟเทค จำกัด (ACinfotec)
Website: https://www.acinfotec.com/
Email: sales@acinfotec.com
โทร 02-670-8980-3
Fanpage: https://www.facebook.com/acinfotecthailand