The Business Plus บิสิเนสพลัส
การควบคุมดูแลรักษาความมั่นคงปลอดภัยทางไซเบอร์นอกเหนือจากเทคโนโลยีแล้ว ยังมีเรื่องของ ‘บุคลากร’ ที่ควรจะต้องยกระดับให้เกิดการรับรู้และเท่าทันภัยไซเบอร์ในองค์กร เพื่อลดโอกาสและความเสี่ยงที่จะโดนโจมตีทางไซเบอร์
ดร.ปริญญา หอมเอนก ประธานกรรมการบริหาร บริษัท เอซิส โปรเฟสชั่นนัล เซ็นเตอร์ จำกัด กล่าวถึงภาพรวมของปัญหาภัยไซเบอร์ที่เกิดขึ้นในประเทศไทยทั้งหมด แบ่งออกเป็น 3 ระดับ ดังรูปปิรามิด ได้แก่ 1. ระดับประชาชน 2. ระดับองค์กร 3. ระดับประเทศ
“การโจมตีในองค์กรเติบโตขึ้น 2 เท่า มีมูลค่าความเสียหายกว่าพันล้านบาท และแม้ว่าในระดับประเทศจะทำได้ดี แต่ภาคประชาชนยังต้องเน้นเรื่อง Cyber Vaccination คือการให้ความรู้ภัยไซเบอร์แก่ประชาชน”
และในปัจจุบันมีหน่วยงานที่คุ้มครอง และกฎหมายที่เกี่ยวข้องกับในเรื่องของภัยไซเบอร์ด้วยกัน 4 ฉบับ ได้แก่ กฎหมายธุรกรรมทางอิเล็กทรอนิกส์, พ.ร.บ.คอมพิวเตอร์ 2560, พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และพ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562
ความเสียหายที่เกิดขึ้นจากการโจมตีทางไซเบอร์ในองค์กร ทำให้องค์กรต้องเร่งหาแนวทางการจัดการเพื่อรับมือกับภัยไซเบอร์อย่างมีประสิทธิภาพที่สุด นั่นคือการสร้างการรับรู้แก่คนในองค์กรเพื่อให้มีภูมิคุ้มกันทางไซเบอร์ มีการเตรียมพร้อมรับต่อการโจมตี และเร่งตอบสนองเมื่อถูกคุกคามให้ระบบสามารถกลับมาดำเนินการได้ปกติ สิ่งเหล่านี้เรียกว่า Cyber Resilience
“เราไม่มีทางที่รอดจากภัยไซเบอร์ไปได้ 100% แต่ถ้าเราเปลี่ยนจากคำว่าจะป้องกันอย่างไร มาเป็นควรตอบสนองอย่างไรเมื่อเกิดการโจมตีทางไซเบอร์ ก็จะช่วยลดความเสียหายที่อาจเกิดขึ้นได้”
นอกจากนี้ ดร.ปริญญา กล่าวว่า การสร้างภูมิคุ้มกันทางไซเบอร์ไม่ใช่หน้าที่ของฝ่ายใดฝ่ายหนึ่ง องค์กรควรสร้างการรับรู้ด้าน Cybersecurity แก่บุคลากรได้โดยเริ่มจากจำลองสถานการณ์เพื่อซ้อมรับมือก่อนเกิดเหตุการณ์จริง ที่เรียกว่า “Cyber Drill” เพราะพื้นฐานของการป้องกันภัยไซเบอร์ที่สำคัญที่สุดคือความปลอดภัย หากองค์กรมีการตระหนัก และให้ความสำคัญเรื่องการรู้เท่าทันภัยไซเบอร์แก่บุคลากรก็จะช่วยลดความเสี่ยงทางไซเบอร์ลงได้
และสุดท้ายไม่ว่าองค์กรจะถูกจู่โจมจากภัยไซเบอร์รุนแรงแค่ไหน ธุรกิจก็ยังต้องดำเนินต่อไป ซึ่งทางดร.ปริญญา ได้กล่าวทิ้งท้ายในเรื่องของกรอบการรักษาความปลอดภัยทางไซเบอร์ NIST Cybersecurity Framework เพื่อให้องค์กรสามารถนำมาปรับใช้ตาม 5 แกนหลัก ดังนี้ 1. Identify (การระบุความเสี่ยงของภัยไซเบอร์) 2. Protect (การป้องกันรักษาความมั่นคงปลอดภัยทางไซเบอร์) 3. Detect (การตรวจจับความผิดปกติทางไซเบอร์) 4. Respond (การกำหนดแนวทางการรับมือภัยไซเบอร์อย่างรวดเร็ว) 5. Recovery (การกำหนดมาตรการฟื้นฟูระบบให้กลับมาใช้งานได้ตามปกติ)
บทความนี้เป็นส่วนหนึ่งของเรื่อง “เมื่อ “คน” คือหัวใจหลักในการป้องกันภัยไซเบอร์ องค์กรควรมีการเตรียมพร้อมรับมืออย่างไร” จากเว็บไซต์ ICHI ซึ่งสามารถอ่านบทความฉบับเต็มต่อได้ที่ ICHI Website https://bit.ly/3Ykb2Su
