CISO Insider: ฉบับที่ 1

สถานการณ์โควิด-19 ทำให้องค์กรต่างๆ ต้องพึ่งพาความยืดหยุ่นในสถานที่ทำงานมากขึ้นและเร่งให้เกิดการแปลงข้อมูลเป็นดิจิทัลเร็วขึ้น และการเปลี่ยนแปลงเหล่านี้ทำให้จำเป็นต้องเปลี่ยนแปลงกลยุทธ์ด้านการรักษาความปลอดภัยด้วยเช่นกัน ขอบเขตได้ขยายออกไปและเป็นแบบไฮบริดมากขึ้น โดยครอบคลุมระบบคลาวด์และแพลตฟอร์มมากมาย แม้ว่าเทคโนโลยีใหม่ๆ จะเป็นประโยชน์ต่อหลายองค์กร ซึ่งทำให้เกิดประสิทธิผลและการเติบโตในช่วงเวลาที่ท้าทายนี้ แต่การเปลี่ยนแปลงดังกล่าวนี้ก็นำเสนอโอกาสให้กับอาชญากรไซเบอร์ที่พยายามจะใช้ประโยชน์จากช่องโหว่ที่พบในสภาพแวดล้อมดิจิทัลที่ซับซ้อนมากขึ้นเช่นกัน

การโจมตีแบบฟิชชิ่งที่เกี่ยวข้องกับการทำงานระยะไกลที่เพิ่มขึ้นนั้นเป็นสิ่งที่ผู้เชี่ยวชาญด้านการรักษาความปลอดภัยที่ผมพูดคุยด้วยให้ความสำคัญเป็นอันดับแรกๆ และเราก็เห็นสิ่งนี้จากการค้นคว้าของเราเช่นกัน ในการสำรวจผู้นำด้านการรักษาความปลอดภัยของ Microsoft ที่ดำเนินการในปี 2020 กว่า 55 เปอร์เซ็นต์บอกเราว่าองค์กรของพวกเขาตรวจพบการโจมตีแบบฟิชชิ่งเพิ่มขึ้นนับตั้งแต่เริ่มมีการระบาดใหญ่ และ 88 เปอร์เซ็นต์กล่าวว่าการโจมตีแบบฟิชชิ่งนั้นส่งผลกระทบต่อองค์กรของพวกเขา และผมได้ยินเป็นประจำเกี่ยวกับการโจมตีแรนซัมแวร์ที่พุ่งสูงขึ้น วิธีที่ทำให้มัลแวร์ยังคงเป็นภัยคุกคามอยู่อย่างต่อเนื่อง และวิธีที่ช่องโหว่ในข้อมูลประจำตัวยังคงเป็นความท้าทายหลักที่สร้างภัยพิบัติให้กับทีมรักษาความปลอดภัยอย่างมาก

ยิ่งไปกว่านั้น เรารู้ว่าการโจมตีโดยรัฐชาตินั้นมีความก้าวร้าวและต่อเนื่องมากขึ้นเรื่อยๆ การโจมตีห่วงโซ่อุปทานของ NOBELIUM ซึ่งใช้ประโยชน์จากแพลตฟอร์ม SolarWinds เป็นหนึ่งในการโจมตีสมัยใหม่ที่เกิดขึ้นในปีที่ผ่านมา แม้ว่าเทคนิคใหม่ๆ ที่ดูฉูดฉาดเป็นสิ่งที่มักจะจับกระแสข่าวได้ แต่ CISO บอกผมตลอดว่าแม้แต่ผู้ดำเนินการภัยคุกคามขั้นสูงเหล่านี้ก็มักจะมุ่งเน้นไปที่การโจมตีที่มีต้นทุนต่ำแต่ให้มูลค่าสูง เช่นเดียวกับอาชญากรไซเบอร์ส่วนใหญ่

เพื่ออธิบายประเด็นนี้เพิ่มเติม เราพบว่ามีผู้โจมตีรัฐชาติเพิ่มขึ้นที่ใช้การโจมตีแบบสเปรย์รหัสผ่าน การเป็นผู้นำด้านการรักษาความปลอดภัยนั้นเกี่ยวกับการจัดการความเสี่ยงและการจัดลำดับความสำคัญ และผู้นำหลายๆ คนบอกผมว่าการเสริมสร้างสุขลักษณะในโลกไซเบอร์เพื่อป้องกันการโจมตีที่พบบ่อยที่สุด โดยเฉพาะอย่างยิ่งในพื้นที่ทางดิจิทัลที่กำลังเติบโตขึ้น เป็นสิ่งที่สำคัญที่สุดของพวกเขา ข้อมูลและการค้นคว้าของเราสนับสนุนความคิดเห็นนี้ โดยเราประเมินว่าสุขลักษณะด้านการรักษาความปลอดภัยขั้นพื้นฐานจะยังคงป้องกันการโจมตีได้ถึง 98 เปอร์เซ็นต์ (ดูหน้า 124 ใน  Microsoft Digital Defense Report ตุลาคม 2021)

คุณอาจคิดว่าการพูดถึงขั้นตอนการรักษาความปลอดภัยพื้นฐานนั้นเป็นเรื่องง่าย แต่การนำไปใช้ในชีวิตจริงนั้นยากกว่ามาก โดยเฉพาะอย่างยิ่งเมื่อทีมมีภาระงานมากเกินไปและมีพนักงานไม่เพียงพอ แต่ผมขอยืนยันว่าการเป็นผู้นำด้านการรักษาความปลอดภัยนั้นเกี่ยวกับการจัดการทั้งความเสี่ยงและการจัดลำดับความสำคัญ และนั่นทำให้การมุ่งเน้นไปที่ปัจจัยพื้นฐานเป็นแนวทางเชิงปฏิบัติที่แน่นหนา บ่อยครั้ง เหตุการณ์ด้านความปลอดภัยนั้นไม่ใช่ “ถ้า” แต่เป็น “เมื่อใด” มากกว่า มีสถิติการรักษาความปลอดภัยทางไซเบอร์ที่น่าตกใจหลายร้อยรายการ เช่น มีการโจมตีอาชญากรรมทางไซเบอร์ประมาณ 4,000 ครั้งทุกวันในสหรัฐอเมริกาเพียงประเทศเดียว และเว็บไซต์มากกว่า 30,000 แห่งทั่วโลกก็ถูกแฮ็กทุกวันเช่นกัน

ผมเชื่อว่าแนวป้องกันที่ดีที่สุดคือการใช้แนวทางที่สมดุลและลงทุนในการตรวจหาและการตอบสนองต่อเหตุการณ์ควบคู่ไปกับการป้องกัน

แม้ว่าอาจดูเป็นเรื่องยากที่จะลงทุนในการป้องกันระดับใหม่ๆ ในขณะที่ยังคงต้องพยายามตามให้ทันกับความต้องการในการตรวจหาและการตอบสนองที่เพิ่มมากขึ้น แต่การค้นหาสมดุลที่เหมาะสมระหว่างความพยายามทั้งสองนี้มีความสำคัญและเป็นประโยชน์อย่างมาก ผลการศึกษาของ Ponemon Institute และ IBM Security ในปี 2021 พบว่าองค์กรที่ไม่มีทีมการตอบสนองต่อเหตุการณ์หรือแผนงานจะมีค่าใช้จ่ายโดยเฉลี่ยจากการละเมิดข้อมูลเพิ่มขึ้นถึง 55 เปอร์เซ็นต์ ทีมรักษาความปลอดภัยที่สามารถสร้างสมดุลการป้องกันที่แข็งแกร่งด้วยกลยุทธ์ซึ่งรวมถึงการตอบสนองต่อเหตุการณ์และการลงทุนในเครื่องมือตรวจหาและแก้ไขนั้นจะมีความเพียบพร้อมในการเผชิญกับเหตุการณ์ที่หลีกเลี่ยงไม่ได้เป็นอย่างดี

เราทุกคนเคยได้ยินเกี่ยวกับการลาออกครั้งใหญ่ พนักงานทั่วโลกมากกว่า 40 เปอร์เซ็นต์ต่างพิจารณาที่จะลาออกจากบริษัทในปีนี้ และผู้นำด้านการรักษาความปลอดภัยกับทีมงานก็รู้สึกว่ามีพนักงานไม่เพียงพออยู่แล้ว ผมได้พูดคุยกับ CISO หลายๆ คนบ่อยครั้งเกี่ยวกับภาพรวมของสิ่งต่างๆ ที่เกิดขึ้น และการจัดหา การค้นหา และการรักษาบุคลากรผู้มีความสามารถนั้นถือเป็นหนึ่งในข้อกังวลอันดับต้นๆ ของพวกเขา และหากบุคลากรผู้มีความสามารถลาออกไป พวกเขาก็ต้องค้นหาบุคลากรผู้มีความสามารถคนใหม่หรือยกระดับทักษะของบุคลากรที่มีอยู่ เทคโนโลยีอัตโนมัติที่มีประสิทธิภาพภายในตัวนั้นช่วยได้ แต่ก็ยังไม่เพียงพอ

คำศัพท์เฉพาะด้านการรักษาความปลอดภัยได้กลายเป็นส่วนหนึ่งของคำศัพท์ที่ใช้ในชีวิตประจำวันไปแล้ว เพราะการโจมตีทางไซเบอร์ที่มีการายงานข่าวเป็นประจำ และการโจมตีเหล่านี้ (รวมถึงข่าวเกี่ยวกับการโจมตีเหล่านี้ด้วย) นั้นส่งผลกระทบอย่างลึกซึ้งต่อบริษัทได้ แต่รู้อะไรไหม นั่นก็ไม่ใช่เรื่องเลวร้ายเสียทีเดียว เนื่องจากการรักษาความปลอดภัยทางไซเบอร์กลายเป็นหัวข้อที่ทุกภาคส่วนขององค์กรคุ้นเคย เราได้ยินมาว่าแนวคิดเรื่อง “การรักษาความปลอดภัยคืองานของทุกคน” เริ่มที่จะสะท้อนไปทั่วทั้งองค์กรแล้ว ผู้นำด้านการรักษาความปลอดภัยจึงเลือกใช้วิธีสมัยใหม่นี้มากขึ้น โดยเฉพาะอย่างยิ่งรูปแบบการทำงานแบบไฮบริดใหม่และแนวรั้วการรักษาความปลอดภัยที่ถูกผลักดันด้วยวิธีการใหม่ๆ ทุกรูปแบบ เพื่อให้ทุกคนปลอดภัย แม้ว่าจะต้องเผชิญกับช่องว่างด้านบุคลากรและด้านทักษะก็ตาม ไม่ใช่ “ทำน้อยแต่ได้มาก” แต่เป็น “ทำต่างแต่ได้มาก” คือสิ่งที่ผู้นำด้านการรักษาความปลอดภัยสมัยใหม่ให้ความสำคัญในทุกวันนี้

แม้ว่าการขาดแคลนบุคลากรและทักษะจะไม่เป็นผลดีอย่างแน่นอน แต่ก็ยังมีแสงสว่างเล็กๆ ที่ปลายทางอยู่ นั่นคือการสร้างวัฒนธรรมแห่งการรักษาความปลอดภัย CISO หลายคนบอกเราว่าวิธีที่มีประสิทธิภาพมากที่สุดวิธีหนึ่งในการจัดการกับความท้าทายด้านการรักษาความปลอดภัยท่ามกลางความท้าทายด้านการจัดบุคลากรก็คือการสร้างวัฒนธรรมแห่งการรักษาความปลอดภัย โดยที่การรักษาความปลอดภัยเป็นหน้าที่ของทุกคน CISO ต่างสนับสนุนแนวคิดที่ว่าทั้งองค์กรมีหน้าที่รับผิดชอบด้านการรักษาความปลอดภัยมากขึ้นเรื่อยๆ โดยเฉพาะอย่างยิ่งเมื่อต้องเผชิญกับปัญหาขาดแคลนบุคลากรหรือความท้าทายด้านเงินทุน

ทีมพัฒนา ผู้ดูแลระบบ และผู้ใช้ จะต้องเข้าใจนโยบายความปลอดภัยที่เกี่ยวข้องกับตน การแชร์ข้อมูลเป็นเรื่องที่ต้องทำกันทุกภาคส่วน และทีมรักษาความปลอดภัยก็ค้นหาวิธีใหม่ๆ มากขึ้นในการทำงานร่วมกับนักพัฒนา ผู้ดูแลระบบ และเจ้าของกระบวนการทางธุรกิจ เพื่อทำความเข้าใจความเสี่ยงและพัฒนานโยบายและขั้นตอนที่เป็นประโยชน์ต่อทั้งองค์กร

การขาดแคลนบุคลากรและช่องว่างด้านทักษะ (โดยเฉพาะอย่างยิ่งในวิชาชีพด้านการรักษาความปลอดภัยทางไซเบอร์ที่เปลี่ยนแปลงตลอดเวลา) ทำให้ CISO ต้องมองหาวิธีการล้ำสมัยใหม่ๆ เพื่อก้าวนำหน้า กลยุทธ์หนึ่งที่เรายังคงได้ยินอยู่เสมอก็คือ “การมอบหมาย” ของพนักงานที่อยู่นอกทีมรักษาความปลอดภัย CISO ต่างพยายามที่จะใช้ประโยชน์จากทั้งองค์กร โดยเน้นไปที่การฝึกอบรมผู้ใช้ให้เป็นส่วนหนึ่งของโซลูชันและสร้างการสนับสนุนจากทีมที่มีส่วนเกี่ยวข้อง

การส่งเสริมและการเพิ่มพูนความรู้ของผู้ใช้เกี่ยวกับภัยคุกคามด้านความปลอดภัย เช่น การทำให้มั่นใจว่าผู้ใช้เข้าใจเรื่องฟิชชิ่งและสัญญาณการโจมตีที่ใช้ลูกเล่นต่างๆ นั้นช่วยเพิ่มการรับรู้ของทีมรักษาความปลอดภัยได้อย่างมาก โดยเฉพาะอย่างยิ่งในฐานะกลยุทธ์ “ปลายหอก” ที่ผู้ใช้มักเป็นจุดเริ่มต้นของการโจมตี ผมไม่ได้บอกว่าเราสามารถฝึกฝนผู้ใช้ให้จับทุกอย่างได้อย่างน่าอัศจรรย์ แต่การเตรียมพร้อมและการแจ้งเตือนผู้ใช้นั้นจะช่วยลดภาระของทีมรักษาความปลอดภัยได้อย่างมาก

อีกกลยุทธ์หนึ่งคือการมอบหมายให้ฝ่ายไอทีเป็นส่วนหนึ่งของการรักษาความปลอดภัย การทำให้ทีมไอทีมีส่วนเกี่ยวข้องใกล้ชิดกับทีมรักษาความปลอดภัยและการดูแลให้ทีมไอทีได้รับข้อมูลสรุปเกี่ยวกับกลยุทธ์ด้านการรักษาความปลอดภัยนั้นช่วยให้ผู้นำด้านการรักษาความปลอดภัยจำนวนมากขยายภารกิจของตนไปยังทุกพื้นที่ขององค์กรได้

การให้คำแนะนำและความช่วยเหลือเกี่ยวกับระบบอัตโนมัติและเวิร์กโฟลว์เชิงรุกอื่นๆ รวมถึงกลยุทธ์การจัดการงาน เป็นวิธีพื้นฐานที่ CISO ใช้ในการขยายทีมและใช้ประโยชน์จากทีมไอทีเพื่อช่วยให้มั่นใจถึงเสถียรภาพการรักษาความปลอดภัยที่แข็งแกร่ง

การศึกษาวิจัยของ Microsoft ที่อ้างถึงทั้งหมดใช้บริษัทวิจัยอิสระในการติดต่อผู้เชี่ยวชาญด้านการรักษาความปลอดภัยสำหรับการศึกษาทั้งเชิงปริมาณและเชิงคุณภาพ เพื่อรับรองว่ามีการปกป้องความเป็นส่วนตัวและความเข้มงวดในการวิเคราะห์ คำพูดและการค้นพบที่มีอยู่ในเอกสารนี้เป็นผลลัพธ์จากการศึกษาวิจัยของ Microsoft เว้นแต่จะระบุไว้เป็นอย่างอื่น