กฎหมายความยืดหยุ่นทางไซเบอร์ของ EU (CRA) และความเสี่ยงจากซัพพลายเออร์ที่ธุรกิจต้องรู้
ยุคดิจิทัลที่ทุกสิ่งเชื่อมโยงกัน ทำให้เรื่องของความปลอดภัยทางไซเบอร์ไม่ใช่แค่ทางเลือกอีกต่อไป แต่เป็นเรื่องจำเป็นที่ส่งผลต่อธุรกิจทั่วโลก ไม่ว่าธุรกิจจะเล็กหรือใหญ่ หากมีส่วนเกี่ยวข้องกับการจำหน่ายผลิตภัณฑ์ดิจิทัลในตลาดสหภาพยุโรป (EU) ยิ่งต้องรู้จักกับ กฎหมายความยืดหยุ่นทางไซเบอร์ (Cyber Resilience Act – CRA) กฎหมายใหม่ที่กำลังจะสร้างแรงกระเพื่อมใหญ่ให้กับอุตสาหกรรมเทคโนโลยี และที่สำคัญคือ ความเสี่ยงจากซัพพลายเออร์อาจกลายเป็นจุดอ่อนสำคัญที่สุดที่ธุรกิจต้องเผชิญ
CRA คืออะไร? ทำไมต้องใส่ใจ?
CRA เป็นกฎหมายที่ EU ออกมาเพื่อยกระดับ ความปลอดภัยทางไซเบอร์ ของ ผลิตภัณฑ์ดิจิทัล ทั้งหมดที่จำหน่ายในตลาด EU ไม่ว่าจะเป็นซอฟต์แวร์ ฮาร์ดแวร์ หรือแม้แต่ผลิตภัณฑ์ IoT (Internet of Things) เป้าหมายหลักคือการทำให้ผลิตภัณฑ์เหล่านี้มีความปลอดภัยมากขึ้นตลอดวงจรชีวิต โดยกำหนดให้ผู้ผลิตต้องรับผิดชอบด้านความปลอดภัยตั้งแต่ขั้นตอนการออกแบบ ไปจนถึงการบำรุงรักษาหลังการขาย
กฎหมายนี้ไม่ได้มองแค่ตัวผลิตภัณฑ์ที่บริษัทผลิตเองเท่านั้น แต่ยังครอบคลุมถึงส่วนประกอบดิจิทัลทุกชิ้นที่อยู่ในผลิตภัณฑ์นั้นด้วย นั่นหมายความว่า ถ้าผลิตภัณฑ์ของคุณมีการใช้งานซอฟต์แวร์จากภายนอก หรือใช้ โอเพนซอร์สคอมโพเนนต์ (Open-source components) แม้ว่าคุณจะไม่ได้พัฒนาส่วนเหล่านั้นเอง คุณก็ยังต้องรับผิดชอบต่อความปลอดภัยของมันภายใต้กฎหมาย CRA
ความเสี่ยงที่ซ่อนอยู่: เมื่อซัพพลายเออร์กลายเป็นจุดอ่อน
สิ่งที่เป็นความท้าทายใหญ่ที่สุดภายใต้ CRA คือเรื่องของ ห่วงโซ่อุปทานซอฟต์แวร์ (Software Supply Chain) ผู้ผลิตที่นำเข้าหรือใช้ส่วนประกอบดิจิทัลจาก ซัพพลายเออร์ รายอื่น ๆ จะต้องแน่ใจว่าส่วนประกอบเหล่านั้นปลอดภัยตามมาตรฐาน CRA ทุกประการ
ลองคิดดูว่าถ้าบริษัทของคุณผลิตอุปกรณ์อัจฉริยะที่ใช้ระบบปฏิบัติการจากซัพพลายเออร์รายหนึ่ง และใช้ไลบรารีซอฟต์แวร์แบบโอเพนซอร์สอีกหลายตัว ถ้ามี ช่องโหว่ ด้านความปลอดภัยเกิดขึ้นในส่วนประกอบเหล่านั้น ไม่ว่าจะเป็นเพราะซัพพลายเออร์ไม่ได้รักษาความปลอดภัยตามมาตรฐาน หรือนักพัฒนาโอเพนซอร์สไม่ได้อัปเดตอย่างสม่ำเสมอ ความรับผิดชอบสูงสุดจะตกอยู่ที่ “ผู้ผลิต” ซึ่งก็คือบริษัทของคุณนั่นเอง
นี่คือจุดที่ซัพพลายเออร์อาจกลายเป็นความเสี่ยงด้านการปฏิบัติตามกฎระเบียบที่ใหญ่ที่สุด เพราะบริษัทของคุณอาจจะพัฒนาผลิตภัณฑ์ออกมาอย่างดีเยี่ยม แต่กลับติดกับดักเรื่องความปลอดภัยที่มาจากบุคคลที่สาม
มาตรการสำคัญที่ต้องทำเพื่อรับมือกับ CRA
เพื่อลดความเสี่ยงและเตรียมพร้อมรับมือกับ CRA ธุรกิจควรเริ่มต้นดำเนินการหลายอย่างพร้อมกัน
หนึ่งคือการ ประเมินความเสี่ยง ของผลิตภัณฑ์ดิจิทัลทั้งหมดอย่างละเอียดถี่ถ้วน รวมถึงส่วนประกอบทุกชิ้นที่มาจากซัพพลายเออร์ภายนอก ไม่ใช่แค่ประเมินแค่ตอนเริ่มต้น แต่ต้องทำอย่างต่อเนื่อง
สองคือการสร้างมาตรฐาน ความปลอดภัยตั้งแต่เริ่มออกแบบ (Security by Design) ให้เป็นส่วนหนึ่งของกระบวนการพัฒนาผลิตภัณฑ์ โดยไม่มองว่าเป็นเพียงการแก้ไขปัญหาตอนท้าย
สามคือการมีกระบวนการจัดการ ช่องโหว่ (Vulnerability Management) ที่แข็งแกร่ง ทั้งสำหรับผลิตภัณฑ์ของตนเองและต้องสามารถตรวจสอบจัดการช่องโหว่ที่พบในส่วนประกอบจากซัพพลายเออร์ได้
สี่คือการขอ รายการส่วนประกอบซอฟต์แวร์ (Software Bill of Materials – SBOM) จากซัพพลายเออร์ทุกราย นี่คือ “ส่วนผสม” ของซอฟต์แวร์ทั้งหมดที่ใช้ในผลิตภัณฑ์ ทำให้เห็นภาพรวมของความเสี่ยงได้ชัดเจนขึ้นและช่วยในการติดตามช่องโหว่
สุดท้าย การมี ข้อตกลงและสัญญาที่ชัดเจน กับซัพพลายเออร์ ให้พวกเขามีความรับผิดชอบด้านความปลอดภัยตามข้อกำหนดของ CRA และมีแผนการตอบสนองต่อเหตุการณ์ที่เกิดขึ้นอย่างรวดเร็ว
การเตรียมตัวสำหรับ CRA ไม่ใช่แค่การหลีกเลี่ยงบทลงโทษที่รุนแรงเท่านั้น แต่ยังเป็นการสร้าง ความน่าเชื่อถือ และ ความไว้วางใจ ให้กับลูกค้าในระยะยาว การลงทุนในความปลอดภัยทางไซเบอร์วันนี้คือการลงทุนในอนาคตของธุรกิจอย่างแท้จริง