ทำอย่างไรเมื่อเจอความเสี่ยง

ดร.ชาลี วรกุลพิพัฒน์

การวิเคราะห์ความเสี่ยงเป็นสิ่งแรกที่จะต้องทำก่อนที่จะหาทางป้องกันภัยคุกคามต่อระบบคอมพิวเตอร์ สิ่งที่ต้องจดจำไว้คือ แม้เราจะลงทุนเพื่อปกป้องระบบไปแล้ว ความเสี่ยงย่อมยังคงหลงเหลืออยู่หรือที่เรียกว่า Residual Risk ซึ่งตรงนี้ก็ต้องมาวิเคราะห์ร่วมด้วย และไม่มีทางที่ความเสี่ยงจะลดลงเหลือศูนย์

ยกตัวอย่างเช่น เราซื้อโปรแกรม Anti-Virus มาลงที่เครื่องของเรา จุดประสงค์ก็คือเพื่อช่วยลดความเสี่ยงที่จะติดไวรัส แต่ไม่ได้หมายความว่าเราจะปลอดภัยจากไวรัส 100% หลายองค์กรได้เสนอขอผู้บริหารซื้อเครื่องมือเพื่อปกป้องภัยคุกคาม และได้รับการคาดหวังจากผู้บริหารว่าเครื่องจะต้องไม่ถูก Hack เลย เป็นการสร้างความกดดันจากฝ่าย IT หรือฝ่าย Security ไปเปล่าๆ

ภายหลังการวิเคราะห์ความเสี่ยงแล้ว เรามาดูกันว่าเราจะรับมือกับมันได้อย่างไร วิธีการจัดการหรือรับมือกับความเสี่ยงมีอยู่ด้วยกัน 4 วิธี ได้แก่

1.หลีกเลี่ยง (Avoid) หมายถึง เราอยากหลีกเลี่ยงจากความเสี่ยงนั้นไปเลย อย่างกรณีการป้องกันไวรัส องค์กรอาจจะมีนโยบายห้ามใช้ USB Drive หรือ Thumb Drive เพราะคิดว่าเป็นสาเหตุของการติดไวรัส หรือมีองค์กรหนึ่ง เจ้าหน้าที่ดูแลเซิร์ฟเวอร์ไม่อนุญาตให้ Remote จากข้างนอกเครือข่ายองค์กรเข้ามาจัดการเซิร์ฟเวอร์ ต้องเดินทางมาดำเนินการที่ห้องเซิร์ฟเวอร์เท่านั้น เพราะต้องการหลีกเลี่ยงการถูก Hack ระหว่างทาง ดังนั้นการหลีกเลี่ยงก็มักจะสัมพันธ์กับคำว่าห้ามเด็ดขาด เหมาะสำหรับองค์กรที่ต้องการความมั่นคงปลอดภัยสูงสุด

2.ลด (Mitigate) หมายถึง แค่ลดความเสี่ยง เป็นการผ่อนคลายจากข้อ หลีกเลี่ยงข้างต้น แต่ก็ไม่ได้ปล่อยไปเลย จากตัวอย่างเดียวกัน องค์กรอนุญาตให้ใช้ USB Drive ได้ แต่ทุกเครื่องต้องติดตั้งโปรแกรม Anti-Virus เพื่อลดความเสี่ยงจากไวรัสด้วย หรืออีกองค์กรหนึ่งอาจยอมให้เจ้าหน้าที่ดูแลเซิร์ฟเวอร์ Remote เข้ามาจัดการเครื่องได้ แต่ต้องเข้าผ่านช่องทาง Virtual Private Network (VPN) ที่มีการเข้ารหัสลับ ก็เป็นการลดความเสี่ยงในกรณีที่ถูก Hack ไปได้

3.ถ่ายโอน (Transfer) หรือแบ่งปัน (Share) หมายถึง เราถ่ายโอนความเสี่ยงให้กับหน่วยงานอื่นช่วยรับความเสี่ยงไปแทน ซึ่งก็คือการซื้อประกันนั่นเอง ปัจจุบันมีหลายบริษัทที่เสนอบริการประกันภัยคุกคามจากข้อมูลขององค์กร การถ่ายโอนความเสี่ยงแบบนี้เหมาะสำหรับองค์กรที่มีข้อมูลสำคัญมากและมีปริมาณมาก และหากข้อมูลเกิดความเสียหาย องค์กรก็จะต้องรับผิดชอบสูง การซื้อประกันจึงเป็นวิธีที่ช่วยแบ่งเบาภาระไปได้มาก ปัจจุบันจะใช้คำว่าแบ่งปันมากกว่าถ่ายโอน เพราะแท้จริงมันก็ไม่ได้ถ่ายโอนความเสี่ยงไปยังบริษัทประกันไปหมด แต่ทั้งเราและบริษัทประกันก็รับความเสี่ยงไปด้วยกันทั้งคู่

4.ยอมรับ (Accept) หมายถึง เรายอมรับความเสี่ยงแต่โดยดีโดยไม่ต้องไปจัดการ หรือลงทุนปกป้องอะไร เพราะวิเคราะห์ดูแล้ว หากเกิดความเสียหายต่อข้อมูล ตัวองค์กรก็ไม่ได้เสียหาย หรือโอกาสเกิดน้อยมากๆ เช่น เครื่องคอมพิวเตอร์เครื่องนี้ขององค์กรไม่มีพอร์ต USB ไม่ต่ออินเทอร์เน็ต และข้อมูลในนั้นก็ไม่ได้สำคัญ มีการสำรองข้อมูลอยู่แล้ว แถมมีการใช้งานอยู่คนเดียวในห้องทำงานที่แทบไม่มีคนเดินผ่าน ก็คงไม่จำเป็นต้องลงทุนปกป้องอะไรมากกับเครื่องนี้

จะเห็นว่าทั้ง 4 วิธีการรับมือความเสี่ยงนี้มีความแตกต่างกันออกไป แต่กว่าจะได้มาว่าจะต้องใช้วิธีใด ก็ต้องมีการวิเคราะห์ความเสี่ยงก่อนเสมอ n