รัฐต้องเร่งหนุนประกันภัยไซเบอร์

โดย...วารุณี อินวันนา

รัฐบาลยุคปัจจุบันมีนโยบายที่จะก้าวเข้าสู่ “ประเทศไทย 4.0” หรือ “ไทยแลนด์ 4.0” โดยจะขับเคลื่อนเศรษฐกิจด้วยนวัตกรรมใหม่ๆ ด้วยการนำดิจิทัลเข้ามาใช้ ควบคู่กับทำการวิจัย เพื่อนำมาพัฒนาผลิตภัณฑ์เพิ่มมูลค่าให้สินค้า บริการ ลดต้นทุน จากปัจจุบันที่พึ่งพิงอุตสาหกรรมหนัก ทำมากได้มาก ทำน้อยได้น้อย

ที่ผ่านมา รัฐบาลเริ่มดำเนินการรองรับการก้าวสู่ "ประเทศไทย 4.0" ด้วยการเปลี่ยนกระทรวงเทคโนโลยีสารสนเทศและการสื่อสาร (ไอซีที) เป็นกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม (ดีอี) ทำการส่งเสริมอุตสาหกรรมซอฟต์แวร์ การพัฒนาแอพพลิเคชั่นและแอนิเมชั่นต่างๆ พัฒนากำลังคนทางด้านดิจิทัลเพื่อสร้างธุรกิจเทคโนโลยีดิจิทัล หรือ Tech Startup และโครงการส่งเสริมพื้นที่พิเศษสำหรับเศรษฐกิจดิจิทัล หรือ Smart City

อย่างไรก็ตาม ปัจจุบันรัฐบาลไทยยังไม่มีการประกาศนโยบายการสร้างระบบป้องกันความเสี่ยง หรือปกป้องความเสียหาย ที่จะเกิดจากอาชญากรรมด้านไซเบอร์ (Cyber Crime) อย่างจริงจัง เห็นเพียงแนวคิดในการกำหนดยุทธศาสตร์การวิจัยรายประเด็นด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ ปี 2556-2560 โดยได้จัดทำร่าง พ.ร.บ.ว่าด้วยการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ ที่คาดว่าจะประกาศใช้ในสิ้นปีนี้

ขณะที่ภาคเอกชน องค์กรต่างๆ ในประเทศไทยยังให้ความสำคัญกับความปลอดภัยด้านไซเบอร์ค่อนข้างต่ำเมื่อเทียบกับประเทศอื่นๆ ในอาเซียน เห็นได้จากผลการจัดอันดับการให้ความสำคัญกับความปลอดภัยด้านไซเบอร์ขององค์กรไทยเมื่อปี 2555 ของ ไอเอ็มดี สถาบันศึกษาชั้นนำของประเทศสวิตเซอร์แลนด์ พบว่า ไทยอยู่ในอันดับที่ 48 จาก 60 ประเทศ เมื่อเทียบกับประเทศชั้นนำในกลุ่มอาเซียนด้วยกัน โดยมาเลเซียอยู่อันดับ 9 และสิงคโปร์อยู่อันดับ 13

ด้าน โซโฟส (Sophos) บริษัทที่มีความเชี่ยวชาญด้านความปลอดภัยของระบบคอมพิวเตอร์สัญชาติสหราชอาณาจักร ได้คำนวณอัตราของเครื่องคอมพิวเตอร์ในประเทศไทย เมื่อปี 2555 พบว่า ถูกโจมตีจากโปรแกรมที่ไม่พึงประสงค์ เป็นอันดับ 3 ของโลก โดยอันดับ 1 คือ ประเทศอินโดนิเซีย อันดับ 2 ประเทศจีน

รวมถึงศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์ประเทศไทย (ไทยเซิร์ต) ทำการรวบรวมภัยคุกคามทางไซเบอร์ปี 2557 ว่ามีสูงถึง 65 ล้านรายการ เพิ่มขึ้นกว่า 2 เท่าจากปีก่อนหน้า โดย 81% ของภัยที่ได้รับรายงานทั้งหมด เกิดจากการคุกคามที่เกิดจากการฉ้อฉล ฉ้อโกง หรือหลอกลวงเพื่อผลประโยชน์ เกิดจากโปรแกรมที่ถูกพัฒนาขึ้นเพื่อให้เป็นอันตรายต่อระบบ การบุกรุก

สำหรับ 2 เดือนแรกของปี 2558 พบว่า ความเสี่ยงจากการโจมตีด้วยโปรแกรมไม่พึงประสงค์ ได้เพิ่มสูงขึ้นเป็นอยางมาก มีสัดส่วน 28% ของรูปแบบการโจมตีทางไซเบอร์ทั้งหมดล่าสุด ธนาคารออมสิน ถูกกลุ่มโจรแฮ็กเข้าระบบของตู้เอทีเอ็ม 21 ตู้ และขโมยเงินออกมาตั้งแต่เดือน ก.ค. 2559 กว่าจะพบความผิดปกติอีก 1 เดือนให้หลัง เมื่อวันที่ 1 ส.ค. 2559 และสั่งปิดตู้เอทีเอ็มยี่ห้อ NCR ที่ตั้งอยู่นอกสาขาทั้งหมด 3,343 ตู้ ตั้งแต่วันที่ 8 ส.ค. 2559 โดยเงินถูกขโมยไปแล้ว 12.29 ล้านบาท จนถึงปัจจุบันก็ยังมีความสับสนอยู่ว่า ธนาคารออมสินได้ซื้อประกันภัยจากการถูกโจมตีระบบ หรือเพียงซื้อประกันภัยตู้เอทีเอ็มถูกงัดแงะและขโมยเงินในตู้เอทีเอ็ม

สำหรับการประกันภัยไซเบอร์ในปัจจุบันมีน้อยมาก โดยสำนักงานคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย (คปภ.) ระบุว่า ปี 2559 มีบริษัทประกันวินาศภัยในไทย ยื่นของอนุมัติขายประกันภัยไซเบอร์ประมาณ 3 ราย จากปี 2558 ที่บริษัทประกันวินาศภัยไทยยังไม่ได้มีการนำเสนอกรมธรรม์ประกันภัยไซเบอร์แต่อย่างไร

ทั้งนี้ เป็นเพราะบริษัทประกันภัยไทย รวมถึงนายหน้าประกันภัย ก็ยังต้องทำความเข้าใจกับความเสี่ยงที่จะเกิดขึ้นให้เข้าใจถ่องแท้ก่อนที่จะมีการเสนอขายเพราะเป็นเรื่องใหม่ แม้ว่าจะมีตลาดขนาดใหญ่ และความต้องการซื้อประกันภัยไซเบอร์มีสูง โดยเฉพาะกลุ่มที่มีฐานลูกค้าจำนวนมากกลายเป็นเป้าหมายการโจมตีของอาชญากรรมไซเบอร์ อาทิ กลุ่มสถาบันการเงิน กลุ่มที่ให้บริการระบบชำระเงิน กลุ่มสื่อสารและโทรคมนาคม กลุ่มคมนาคมและขนส่ง

แต่บริษัทประกันภัยไทยที่ได้ยื่นขอขายประกันภัยไซเบอร์ก็ไม่ผลีผลามในการทำตลาด โดยให้เหตุผลว่ายังมีความรู้ความเข้าใจในความเสี่ยงที่เกิดจากอาชญากรรมไซเบอร์ค่อนข้างน้อย เพราะมีความสลับซับซ้อนและเป็นความเสี่ยงที่ส่งผลกระทบในวงกว้าง สร้างความเสียหายมูลค่ามหาศาลภายในเวลาอันรวดเร็ว และความเสี่ยงด้านไซเบอร์ยังมีการเชื่อมโยงหรือสัมพันธ์กันสูง เมื่อระบบหนึ่งขององค์กรถูกโจมตีก็จะเปิดโอกาสให้ระบบอื่นๆ ขององค์กรเดียวกันได้รับผลกระทบด้วย

ขณะนี้จึงได้จำกัดวงเงินความรับผิดชอบต่อความเสียหาย 1 ครั้งไว้ และเป็นการให้ความคุ้มครองเฉพาะความเสียหายที่เกิดกับบุคคลที่ 3 เท่านั้น ครั้งละ 50 ล้านบาท และ 100 ล้านบาท อัตราเบี้ยประกันภัยค่อนข้างสูงอยู่ที่ประมาณ 0.42% ต่อวงเงินความคุ้มครอง ในการรับประกันภัยอาชญากรรมด้านไซเบอร์ จะมีการทำประกันภัยต่อไปยังบริษัทประกันภัยต่างประเทศเกือบทั้งจำนวน ซึ่งปัจจุบันมีบริษัทประกันภัยต่อจากประเทศสหรัฐและยุโรปเข้ามาทำตลาดในประเทศไทยเพียง 2-3 รายเท่านั้น เพราะในไทยระบบการป้องกันการถูกโจมตียังจัดว่าอยู่ในระดับที่ต้องปรับปรุงอีกมาก ยิ่งลูกค้ามีความต้องการสูง ก็แสดงให้เห็นว่า ระบบมีความเสี่ยงที่จะถูกโจมตีได้ง่าย จึงต้องระมัดระวังมากในการประเมินความปลอดภัยของระบบ เพื่อประเมินราคาเบี้ยประกันภัย

นอกจากนี้ ความคุ้มครองก็จะต้องกำหนดกรอบให้ชัดว่าจะรับผิดชอบความเสียหายระดับใด และคุ้มครองอะไรบ้าง เพราะในกรมธรรม์กำหนดกรอบไว้กว้างๆ ประกอบด้วย คุ้มครองค่าเสียหายจากการโจรกรรมทางอิเล็กทรอนิกส์ ค่าเสียหายจากการสื่อสารทางอิเล็กทรอนิกส์ ค่าเสียหายจากการคุกคามทางอิเล็กทรอนิกส์ ค่าเสียหายจากการทำลายทรัพย์สินทางอิเล็กทรอนิกส์ ค่าเสียหายจากการหยุดชะงักของธุรกิจทางอิเล็กทรอนิกส์ ค่าใช้จ่ายพิเศษ และความรับผิดทางคอมพิวเตอร์ อาทิ กรณีถูกโจรกรรมข้อมูล จะคุ้มครองค่าใช้จ่ายในการกอบกู้ข้อมูลคืน ซึ่งต้องพิจารณาต่อไปว่าจะครอบคลุมค่าใช้จ่ายในการเรียกค่าไถ่ด้วยหรือไม่ หรือจะคุ้มครองเฉพาะค่าใช้จ่ายในการว่าจ้างผู้เชี่ยวชาญมาทำการปลดล็อกระบบข้อมูลเท่านั้น หรือกรณีค่าเสียหายจากการคุกคามทางอิเล็กทรอนิกส์ ก็ต้องมาดูว่าจะคุ้มครองเฉพาะการถูกโจมตีจากบุคคลภายนอก หรือคุ้มครองการถูกโจมตีจากบุคคลภายในด้วย

ภาครัฐบาลจึงควรรเร่งวางนโยบายหาทางสร้างระบบป้องกันการถูกโจมตี ส่งเสริมให้ภาคเอกชนให้ความสำคัญในการวางแนวทางเพิ่มความปลอดภัยให้กับระบบ รวมถึงการสนับสนุนส่งเสริมให้บริษัทประกันวินาศภัยเข้ามารับประกันความเสี่ยงอย่างกว้างขวางโดยเร็ว เพื่อปกป้องความเสียหายของประเทศ เพราะยิ่งประเทศไทย มีการนำระบบอินเทอร์เน็ตเข้าไปใช้ในทุกธุรกิจ ทุกกระบวนการผลิต การขาย การบริการ เพิ่มขึ้น ทำให้ความเจริญก้าวหน้าทางเทคโนโลยี การสื่อสาร และโทรคมนาคม สูงขึ้น ความเสี่ยงด้านไซเบอร์ก็จะเพิ่มขึ้นอย่างหลีกเลี่ยงไม่ได้