การดูแลรักษาความปลอดภัยบนโลกไซเบอร์เป็นสิ่งที่ไม่ควรวางใจเป็นอย่างยิ่งเพราะหากปล่อยให้เกิดช่องว่างเมื่อใด อาจนำองค์กรไปสู่ความเสียหายอย่างมหาศาล การรักษาความมั่นคงปลอดภัยทางไซเบอร์จึงมีความจำเป็นอย่างยิ่ง เนื่องจากสามารถช่วยปกป้องข้อมูลจากการจารกรรมและความเสียหายด้านข้อมูลต่าง ๆ ที่อาจเกิดขึ้นซึ่งรวมถึงข้อมูลอันละเอียดอ่อน ข้อมูลส่วนบุคคลที่สามารถระบุตัวตนได้ (Personally Identifiable Information: PII) ข้อมูลสุขภาพที่ได้รับการคุ้มครอง (Protected Health Information: PHI) ข้อมูลส่วนบุคคล ทรัพย์สินทางปัญญา ข้อมูล และระบบข้อมูลของทุกภาคส่วน
ยักษ์ใหญ่ด้านเทคโนโลยีสร้างความยืดหยุ่นบนโลกไซเบอร์ได้อย่างไร
ปัจจุบัน องค์กรไม่สามารถพึ่งพาโซลูชันความปลอดภัยทางไซเบอร์ที่พร้อมใช้งานอย่างซอฟต์แวร์ป้องกันไวรัสหรือไฟร์วอลล์เพียงอย่างเดียวอีกต่อไป อาชญากรไซเบอร์ฉลาดขึ้นและมีกลยุทธ์ที่ยืดหยุ่นมากขึ้นเมื่อเปรียบเทียบกับการป้องกันทางไซเบอร์ทั่วไป ดังนั้น การสร้างความมั่นใจในความปลอดภัยด้านไซเบอร์จะต้องครอบคลุมการรักษาความปลอดภัยทุกด้านบนโลกไซเบอร์
ถ้าเช่นนั้น เรามาดูกันว่าบริษัทชั้นนำด้านไอทีอย่าง Microsoft, Apple, Google, Intel และ IBM มีอะไรที่เหมือนกันบ้าง คำตอบคือ ทุกบริษัทต่างก็นำมาตรฐาน ISO/IEC 27001 ไปใช้งานเช่นเดียวกับบริษัททั่วโลกที่ติดอันดับ Fortune500 ซึ่งมาตรฐาน ISO/IEC 27001 ได้กลายเป็นมาตรฐานที่ได้รับการยอมรับว่าสามารถนำไปใช้จัดการระบบข้อมูลความปลอดภัยได้อย่างมีประสิทธิผล และช่วยให้องค์กรสามารถปรับตัวบนโลกไซเบอร์ได้อย่างมั่นใจ
ในการที่จะปกป้องทรัพย์สินข้อมูลที่สำคัญขององค์กรจากภัยคุกคามทางดิจิทัลและปิดช่องว่างต่างๆ องค์กรจำเป็นต้องปรับใช้ความคิดที่ยืดหยุ่นทางไซเบอร์ ซึ่งต้องถือว่าเป็นส่วนสำคัญ และไม่เพียงแต่กับระบบทางเทคนิคเท่านั้น แต่ยังรวมถึงทีม วัฒนธรรมองค์กร และการปฏิบัติงานประจำวันด้วย ในความเป็นจริง ผู้นำธุรกิจในปัจจุบันตระหนักถึงภัยคุกคามทางไซเบอร์มากกว่าปีก่อนๆ เป็นอย่างมาก จากรายงาน Global Security Outlook 2023 ของ World Economic Forum (WEF) พบว่า 91% ของผู้ตอบแบบสอบถามกล่าวว่าพวกเขาเชื่อว่าเหตุการณ์ทางไซเบอร์ที่ขยายวงกว้างและเป็นหายนะนั้นอย่างน้อยก็น่าจะเกิดขึ้นบ้างในอีก 2 ปีข้างหน้า
บริษัทต่างๆ ทั่วโลกได้ตอบสนองต่อแรงกดดันของภัยคุกคามทางดิจิทัลโดยการนำ ISO/IEC 27001 ไปใช้ มาตรฐานนี้เป็นมาตรฐานที่รู้จักกันดีที่สุดในโลกสำหรับระบบการจัดการความปลอดภัยของข้อมูล (Information Security Management Systems: ISMS) ซึ่งเป็นเอกสารชุดนโยบาย ขั้นตอน กระบวนการ และระบบที่จัดการความเสี่ยงของข้อมูลสูญหายจากการโจมตีทางไซเบอร์ การเจาะข้อมูล การรั่วไหลของข้อมูล หรือการโจรกรรม ดังนั้น องค์กรต่างๆ จำเป็นต้องปรับใช้กรอบความคิดที่ยืดหยุ่นต่อโลกไซเบอร์
ความยืดหยุ่นบนโลกไซเบอร์คืออะไร
ความยืดหยุ่นทางไซเบอร์คือความสามารถขององค์กรในการดำเนินการเมื่อเผชิญกับการโจมตีทางไซเบอร์หรือเหตุการณ์ทางไซเบอร์อื่นๆ ซึ่งเกี่ยวข้องกับการมีมาตรการทางเทคนิคและองค์กรที่จำเป็นเพื่อตรวจจับ ตอบสนอง และกู้คืนจากเหตุการณ์ดังกล่าว ตลอดจนความสามารถในการปรับตัวและเรียนรู้จากเหตุการณ์เหล่านั้นเพื่อปรับปรุงความยืดหยุ่นในอนาคต
อันเดรียส วูล์ฟ ซึ่งเป็นหัวหน้ากลุ่มผู้เชี่ยวชาญที่รับผิดชอบมาตรฐานความปลอดภัยด้านไอทีของ ISO/IEC กล่าวว่าความยืดหยุ่นทางไซเบอร์คือสิ่งที่เข้ามาแทนที่เมื่อมาตรการป้องกันความปลอดภัยหยุดชะงัก ซึ่งในเศรษฐกิจดิจิทัล ความสามารถในการก้าวข้ามการหยุดชะงักทางไซเบอร์จะสร้างความแตกต่างให้กับองค์กรชั้นนำที่สามารถเปลี่ยนความเปราะบางให้กลายเป็นความแข็งแกร่ง และมีความมั่นใจในการรับมือกับความเสี่ยงได้เป็นอย่างดี
อันเดรียส วูล์ฟ และทีมงานได้ร่วมรับผิดชอบในการพัฒนามาตรฐาน ISO/IEC 27001 ฉบับใหม่ที่ได้รับการปรับปรุงซึ่งเผยแพร่เมื่อเดือนตุลาคม 2565 (ค.ศ.2022) ทั้งนี้ เพื่อรับมือกับความท้าทายด้านความปลอดภัยด้านเทคโนโลยีสารสนเทศทั่วโลกและปรับปรุงความน่าเชื่อถือทางดิจิทัล ซึ่งเป็นประโยชน์กับองค์กรโดยสนับสนุนให้สามารถรักษาความปลอดภัยของข้อมูลทุกรูปแบบ พัฒนากรอบการทำงานที่มีการจัดการจากส่วนกลาง ลดการใช้จ่ายในเทคโนโลยีการป้องกันที่ไม่มีประสิทธิภาพ รวมทั้งปกป้องความสมบูรณ์ ความลับ และความพร้อมใช้งานของข้อมูล
มาตรฐานไอเอสโอและความปลอดภัยทางไซเบอร์
ความยืดหยุ่นไม่ได้หมายถึงการทำงานภายในองค์กรเท่านั้น แต่จะต้องนำไปใช้กับพันธมิตรบุคคลที่สามทั้งหมดและตลอดห่วงโซ่อุปทาน ดังนั้น สภาเศรษฐกิจโลก (WEF) จึงได้จัดพิมพ์ The Cyber Resilience Index (CRI): Advancing Organizational Cyber Resilience เพื่อให้มีการนำไปใช้เป็นกรอบอ้างอิงให้สามารถมองเห็นได้ชัดเจนและมีความโปร่งใสเกี่ยวกับแนวปฏิบัติด้านความยืดหยุ่นทางไซเบอร์ตลอดทั้งอุตสาหกรรม เพื่อนร่วมงาน และห่วงโซ่อุปทาน
CRI ช่วยให้ผู้นำทางไซเบอร์ทั้งภาครัฐและเอกชนมีกรอบแนวทางปฏิบัติที่ดีที่สุดร่วมกันสำหรับความยืดหยุ่นทางไซเบอร์อย่างแท้จริง ซึ่งเป็นกลไกในการวัดประสิทธิภาพขององค์กร และเป็นภาษาที่ชัดเจนในการสื่อสารคุณค่า และภายใต้หลักการของ CRI นั้น มีแนวทางปฏิบัติที่ตามมาและแนวทางปฏิบัติย่อยสำหรับความยืดหยุ่นทางไซเบอร์ที่ดีขององค์กรซึ่งก็คือการใช้กรอบความปลอดภัยซึ่งเป็นที่ยอมรับและเป็นมาตรฐานสากล เช่น ISO/IEC 27001 นั่นเอง
ที่มา:
“กล้อง CCTV ในประเทศสหราชอาณาจักรมีอยู่กว่า 6 ล้านตัว แต่เราจะเชื่อในสิ่งที่เรามองเห็นผ่านกล้องนั้นได้จริงหรือ” เพราะสิ่งที่เรามองเห็นอาจเป็นเรื่องลวงก็ได้ นี่คือสิ่งที่ภาพยนตร์แนวสืบสวนฆาตกรรมของช่อง BBC One เรื่อง The Capture ได้สื่อให้ผู้ชมคิดถึงมุมมองที่แตกต่างออกไปเดิม
จากตัวอย่างของภาพยนตร์ดังกล่าว การโจรกรรมข้อมูลระบุตัวตนด้วยเทคโนโลยีมัลติมีเดียเสมือนจริงหรือดีปเฟก (Deepfake Technology) ได้กลายเป็นปัญหาในศตวรรษที่ 21 ไปแล้ว ทำให้เกิดการคุกคามความมั่นคงของชาติ ทำลายรากฐานของรัฐและความไว้วางใจ ผู้คนจึงหันมาตั้งข้อสงสัยว่าสิ่งที่เห็นนั้นแท้จริงแล้วเชื่อถือได้หรือไม่
ปัจจุบัน เราจำเป็นต้องรู้ถึงความสำคัญของความปลอดภัยทางไซเบอร์และภัยคุกคามจากการโจมตีทางไซเบอร์บนคอมพิวเตอร์ สมาร์ทโฟน และอุปกรณ์อื่นๆ เรามักได้รับการเตือนอยู่เสมอว่าอย่าเปิดเผยรหัสผ่านและให้ระวังอีเมลฟิชชิ่งและอีเมลสแปมที่พยายามหลอกล่อให้เราเปิดเผยข้อมูลส่วนบุคคล เช่น วันเดือนปีเกิด รายละเอียดธนาคาร ประกันสังคม หรือข้อมูลทางการแพทย์ เป็นต้น
เมื่อเราเข้าสู่ยุคของการปฏิวัติอุตสาหกรรมครั้งที่ 4 ทำให้เรามองเห็นและตระหนักถึงความเสี่ยงและภัยคุกคามดังกล่าวซึ่งเกิดขึ้นจากเทคโนโลยีที่เปลี่ยนแปลงไปอย่างรวดเร็วและซับซ้อนมากขึ้น
แนวโน้มของความเสี่ยงเกี่ยวกับภัยคุกคามทางไซเบอร์ได้รับการยืนยันจากรายงาน Global Cybersecurity Outlook 2022, ซึ่งระบุว่าต้นทุนอาชญากรรมทางไซเบอร์ทั่วโลกจะสูงถึง 10.5 ล้านล้านเหรียญสหรัฐต่อปีภายในปี 2568 (ค.ศ.2025)
การรักษาความปลอดภัยทางไซเบอร์ไม่ใช่เรื่องใหม่แต่อย่างใด ในโลกที่เชื่อมต่อถึงกันมากขึ้น เรามีความเสี่ยงจากการโจมตีทางไซเบอร์มากขึ้นสำหรับผู้คน องค์กร บริการ และระบบ เมื่อเทคโนโลยีเติบโตขึ้นอย่างซับซ้อน อาชญากรไซเบอร์ก็เก่งกาจมากขึ้นเช่นกัน ความไม่แน่นอนเหล่านั้นมีอยู่มากมาย การสร้างความไว้วางใจในความปลอดภัยทางไซเบอร์จึงควรอยู่ในระดับสูงสุด ซึ่งในการสร้างความมั่นใจว่าระบบขององค์กรจะมีความมั่นคงปลอดภัย ไอเอสโอได้นำมาพิจารณาจัดทำอยู่ในข้อกำหนดสำหรับมาตรฐานสากล 2 ฉบับอย่างครอบคลุม ได้แก่ ISO/IEC 15408 และ ISO/IEC 18045
ในส่วนของตลาดเทคโนโลยีเองก็ให้ความสำคัญกับการรักษาความปลอดภัยทางไซเบอร์ตามข้อกำหนดเช่นกัน มิเกล บานอน ผู้เชี่ยวชาญด้านการประเมินและรับรองความปลอดภัยทางไซเบอร์ และผู้ประสานงานของคณะทำงานด้านการประเมินความปลอดภัย การทดสอบ และข้อกำหนดจำเพาะ ได้กล่าวไว้ว่าการดำเนินงานภายใต้การดูแลร่วมกันขององค์การระหว่างประเทศว่าด้วยการมาตรฐาน หรือไอเอสโอ (International Organization for Standardization) และคณะกรรมการแห่งชาติว่าด้วยมาตรฐานเทคนิคทางไฟฟ้าระหว่างประเทศ หรือไออีซี (International Electrotechnical Commission) ได้ทำงานร่วมกันจนกระทั่งเป็นส่วนหนึ่งของกันและกัน
การทำงานของทั้งสององค์กรร่วมกันทำให้สามารถนำมาตรฐาน 2 ฉบับนี้ขึ้นมาใช้ร่วมกันได้ คือ ISO/IEC 15408, Information security, cybersecurity and privacy protection – Evaluation criteria for IT security – Part 1: Introduction and general model ซึ่งกำหนดเกณฑ์การประเมินสำหรับความปลอดภัยด้านเทคโนโลยีสารสนเทศ และ ISO/IEC 18045, Information technology – cybersecurity and privacy protection – Evaluation criteria for IT security – Methodology for IT security evaluation ซึ่งกำหนดวิธีการสำหรับการประเมินความปลอดภัยด้านเทคโนโลยีสารสนเทศ
ในการนำมาตรฐานทั้ง 2 ฉบับไปใช้งานจริง มิเกล บานอนกล่าวว่า มาตรฐานทั้งสองฉบับเป็นสิ่งเดียวกัน เปรียบเสมือนคันเร่งของจักรยานที่ต้องมีควบคู่ไปกับตัวจักรยานโดยไม่อาจขาดสิ่งหนึ่งสิ่งใดไปได้ ซึ่งคณะกรรมการวิชาการไอเอสโอได้ทำการปรับปรุงแก้ไขเมื่อไม่นานมานี้เพื่อให้ผู้ใช้งานสามารถนำไปจัดการข้อมูลและใช้แนวทางแบบองค์รวม มีความทันสมัย สามารถตอบสนองต่อเทคโนโลยีและความต้องการในการใช้งานที่ซับซ้อนมากขึ้นโดยมรากฐานที่สำคัญคือเทคโนโลยีมีความปลอดภัย
ในสหภาพยุโรป ก็ได้ออกกฎหมายใหม่เพื่อเสริมสร้างระบบความปลอดภัยทางไซเบอร์ และกำลังจะมีโครงการรับรองตามมาตรฐาน ISO/IEC 15408 ด้วย มิเกล บานอนชี้ให้เห็นว่าการใช้มาตรฐานเพื่อความมั่นคงปลอดภัยได้ส่งผลดีต่อผลิตภัณฑ์ในตลาดดังจะเห็นได้ว่าผลิตภัณฑ์ที่ปฏิบัติตามมาตรฐาน เช่น ระบบปฏิบัติการหรืออุปกรณ์เครือข่าย มีการพัฒนาและปรับปรุงจนถึงขั้นที่แฮ็กเกอร์ต้องกำหนดเป้าหมายไปที่ผลิตภัณฑ์ที่สามารถโจมตีได้ง่ายกว่า หากผลิตภัณฑ์ไม่ได้รับการรับรองตามมาตรฐาน ก็จะกลายเป็นจุดอ่อนให้แฮ็กเกอร์เข้าโจมตีได้ง่าย
มาตรฐานทั้ง 2 ฉบับดังกล่าวจะช่วยสร้างความยืดหยุ่นทางไซเบอร์ขององค์กรรวมทั้งสร้างความเชื่อมั่นในเทคโนโลยียุคดิจิทัลที่มีข้อมูลไม่ถูกต้องรวมทั้งข่าวปลอมมากมายรวมอยู่ด้วย โดยความไว้วางใจจะเกิดขึ้นหลังจากผลิตภัณฑ์ได้รับการตรวจประเมินอย่างเข้มงวด เป็นอิสระ และมีความเป็นกลางจนกระทั่งได้รับการรับรอง ไอเอสโอเชื่อมั่นว่ามาตรฐานดังกล่าวจะมีส่วนช่วยให้โลกของเราก้าวข้ามความท้าทายที่ยิ่งใหญ่สำหรับความเชื่อมั่นในเทคโนโลยียุคดิจิทัลไปได้ในที่สุด
ที่มา: https://www.iso.org/contents/news/2022/11/incorporate-cyber-resilience.html