วินัยไซเบอร์ที่ทุกองค์กรต้องปฏิบัติ

โดย...ปริญญา หอมเอนก ปกรณ์ โชติถิรพงศ์

ในปัจจุบันเทคโนโลยีสารสนเทศและอินเทอร์เน็ตได้เข้ามามีบทบาทสำคัญอย่างยิ่งต่อองค์กรทุกองค์กรทั่วโลก องค์กรที่เป็นผู้นำตลาดในอุตสาหกรรมต่างๆ ล้วนแล้วแต่ใช้เทคโนโลยีสารสนเทศและอินเทอร์เน็ตเพื่อช่วยให้องค์กรมีความได้เปรียบในการแข่งขัน ซึ่งเป็นหนึ่งในข้อดีของการประยุกต์ใช้เทคโนโลยีสารสนเทศและอินเทอร์เน็ตกับการดำเนินงานขององค์กร แต่เนื่องจากเทคโนโลยีสารสนเทศและอินเทอร์เน็ตที่มีการพัฒนาอย่างต่อเนื่องและรวดเร็วย่อมส่งผลให้องค์กรต้องมีการปรับตัวให้ทันต่อสภาพแวดล้อมภายนอกที่เปลี่ยนแปลงไปอย่างรวดเร็ว ดังที่เรารู้จักกันดีในเรื่องของ “Disruptive Technology”

การเปลี่ยนแปลงที่สำคัญอีกประเด็นหนึ่งก็คือ ภัยคุกคามทางไซเบอร์ในรูปแบบใหม่ๆ ที่ตรวจจับได้ยากและมีผลกระทบรุนแรงต่อองค์กรมากขึ้นจากเทคโนโลยีสารสนเทศและอินเทอร์เน็ตมีการพัฒนาไปอย่างรวดเร็ว เราจะเตรียมตัวอย่างไรให้องค์กรพร้อมรับมือกับภัยคุกคามไซเบอร์รูปแบบใหม่ๆ ที่อาจจะเป็นภัยมืดที่เราไม่เคยพบมาก่อน (Unknown Threats) เข้ามาโจมตีองค์กรของเราทั้งในปัจจุบันและอนาคตโดยที่องค์กรอาจไม่รู้ตัวเลยก็เป็นได้

ภัยคุกคามไซเบอร์มีการพัฒนาในรูปแบบใหม่ๆ อยู่ตลอดเวลา และล้วนแล้วแต่เป็นภัยที่องค์กรยังไม่เคยพบเป็นส่วนใหญ่ กระบวนการที่จะทำให้องค์กรมีความพร้อมในการรับมือกับภัยคุกคามใหม่ๆ เหล่านี้ได้ต้องเกิดจากการร่วมมือกันของผู้บริหารและพนักงานในองค์กรทุกคน เพื่อการนำพาให้องค์กรมีความมั่นคงปลอดภัยที่ดีขึ้น

ดังนั้น องค์กรควรจัดให้มีการทำปฏิบัติการ “Cyber Drill” เพื่อให้เกิดกระบวนการ “Incident Response” ที่รวดเร็ว จนองค์กรสามารถเข้าสู่สภาวะ “Cyber Resilience” ที่ทนทานต่อผลกระทบจากการถูกโจมตีได้ในระดับที่ยังรักษา SLA (Service Level Agreement) กับลูกค้าไว้ได้

ปัจจุบันหน่วยงานที่มีหน้าที่กำกับดูแลในประเทศไทย ไม่ว่าจะเป็น ธปท. ก.ล.ต. และ คปภ. ล้วนให้ความสำคัญกับวินัยไซเบอร์ทั้งสามและได้ปรับปรุงประกาศ กฎระเบียบ ข้อบังคับต่างๆ ให้สอดคล้องและทันสมัยต่อภัยคุกคามทางไซเบอร์ใหม่ๆ จึงนับเป็นนิมิตหมายที่ดีต่อประเทศชาติของเรา

​แม้ว่าหลายองค์กรได้จัดให้มีการฝึกอบรมสร้างความตระหนักเกี่ยวกับความมั่นคงปลอดภัยไซเบอร์ให้แก่พนักงานและผู้บริหาร แต่กลับพบว่า การอบรมอาจไม่เพียงพอที่จะทำให้องค์กรสามารถรับมือกับการโจมตีของภัยคุกคามทางไซเบอร์ต่างๆ ได้ เนื่องจากการฝึกอบรมสร้างความตระหนักเกี่ยวกับความมั่นคงปลอดภัยไซเบอร์ ส่วนใหญ่แล้วจะเป็นการเรียนรู้ในเชิงทฤษฎีเพียงอย่างเดียว ทำให้การฝึกอบรมไม่สามารถสร้างความตระหนักรู้และสร้างกระบวนการตอบสนองต่อภัยคุกคามทางไซเบอร์เมื่อภัยคุกคามทางไซเบอร์นั้นเกิดขึ้นจริงๆ

ดังนั้น นอกจากการฝึกอบรมในห้องแล้ว จึงจำเป็นต้องให้พนักงานและผู้บริหารได้มีโอกาสสัมผัสกับสถานการณ์ที่เกิดการโจมตีทางไซเบอร์ขึ้นจริงด้วย ซึ่งเรียกว่า การซ้อมหนีไฟทางไซเบอร์ หรือ “Cyber Drill” ซึ่งเป็นการจำลองสถานการณ์การโจมตีภัยคุกคามไซเบอร์ในรูปแบบต่างๆ เพื่อให้พนักงานหรือผู้ที่เกี่ยวข้องในการตอบสนองต่อภัยคุกคามไซเบอร์เกิดความคุ้นเคย และยังสามารถตรวจสอบได้ว่าพนักงานคนใดมีความเสี่ยงสูงต่อการตกเป็นเหยื่อของภัยคุกคามไซเบอร์เหล่านั้นได้เช่นกัน

ซึ่งมีกรณีศึกษาจากการซ้อมหนีไฟทางไซเบอร์ หรือ Cyber Drill ของบริษัท ACIS Professional Center มาให้ผู้อ่านได้เห็นภาพและเกิดความเข้าใจมากขึ้น ได้มีการจำลองภัยคุกคามทางไซเบอร์ที่เรียกว่า “Phishing” คือการสร้าง E-mail ปลอม โดยผู้ไม่หวังดีจะอ้างตนว่าเป็นผู้บริหารระดับสูงโดยใช้ E-mail Address ที่ปลอมให้เหมือนหรือคล้ายกับ E-mail Address ของผู้บริหารระดับสูงที่อ้างถึง แต่ใช้เพื่อหลอกให้เป้าหมายส่งข้อมูลหรือกรอกข้อมูลสำคัญกลับมา ซึ่งกว่าจะรู้ตัว ข้อมูลองค์กรก็ได้รั่วไหลออกนอกบริษัทไปเรียบร้อยแล้ว

สำหรับกรณีศึกษานี้เป็นการจำลองการโจมตีด้วย Phishing Attack Technic โดยการสร้าง E-mail ปลอม โดยใช้ชื่อผู้บริหารระดับสูงขององค์กรส่งไปยังพนักงานทุกคนในบริษัท เพื่อหลอกให้พนักงานเข้า Website หลอกที่ถูกจัดเตรียมไว้ล่วงหน้า โดยผู้ทดสอบได้สร้างขึ้นรอไว้แล้ว ล่อลวงให้พนักงานกรอก E-mail และ Password ของตัวเองลงไป เมื่อกด “Sign in” หมายความว่าพนักงานคนนั้นตกเป็นเหยื่อของการจำลอง Phishing Attack Simulation เรียบร้อยแล้ว

อ่านต่อฉบับหน้า