เปิดม่านความจริง: ทำไมองค์กรส่วนใหญ่ยังไม่รู้ว่าตัวเอง ‘เปราะบาง’ ขนาดไหน?

เปิดม่านความจริง: ทำไมองค์กรส่วนใหญ่ยังไม่รู้ว่าตัวเอง ‘เปราะบาง’ ขนาดไหน?

ในโลกดิจิทัลที่หมุนเร็ว การโจมตีทางไซเบอร์ไม่ใช่แค่เรื่องของแฮกเกอร์เจาะระบบตรงๆ อีกต่อไปแล้ว

ภัยคุกคามกำลังพัฒนาไปสู่รูปแบบที่ซับซ้อนและแฝงตัวอย่างแนบเนียน หนึ่งในนั้นคือ ภัยคุกคามห่วงโซ่อุปทาน (supply chain attacks) ซึ่งกำลังกลายเป็นฝันร้ายของหลายองค์กรในช่วงไม่กี่เดือนที่ผ่านมา

#

เมื่อจุดอ่อนไม่ได้อยู่ที่เรา แต่อยู่ที่ ‘เพื่อน’ ที่เราไว้ใจ

หลายคนอาจคิดว่าระบบของเราแข็งแกร่ง มีกำแพงป้องกันแน่นหนา แต่ลองนึกภาพป้อมปราการที่แข็งแกร่งที่สุด

แต่มีช่องโหว่เล็กๆ ตรงทางเข้าออกของเสบียง หรือมีคนส่งของที่ไม่น่าไว้ใจ

นั่นคือสิ่งที่ ภัยคุกคามห่วงโซ่อุปทาน ทำ มันไม่ได้โจมตีระบบขององค์กรโดยตรง แต่พุ่งเป้าไปที่ส่วนประกอบ ซอฟต์แวร์ หรือบริการจาก บุคคลที่สาม (third-party) ที่องค์กรเราใช้งานอยู่

เมื่อผู้ให้บริการเหล่านั้นถูกโจมตี ข้อมูลหรือระบบของเราก็ตกอยู่ในอันตรายไปด้วยโดยที่เราอาจไม่รู้ตัวเลยว่า ความเปราะบาง (vulnerability) ไม่ได้มาจากข้างใน แต่มาจากส่วนที่เราพึ่งพา

#

ปัญหาไม่ใช่ ‘ไม่รู้’ แต่เป็น ‘ไม่ทำ’ หรือ ‘ไม่เห็นภาพรวม’

น่าเสียดายที่หลายทีมงานในองค์กรยังคงมองข้าม ความเสี่ยงจากบุคคลที่สาม (third-party risk) เหล่านี้ไป พวกเขารู้ว่าต้องพึ่งพาซอฟต์แวร์หรือบริการจากภายนอก แต่กลับไม่มีกลไกจัดการความเสี่ยงที่ชัดเจน

เหมือนกับการยอมรับว่าเราใช้ส่วนผสมหลายอย่างในการทำอาหาร แต่ไม่เคยตรวจสอบแหล่งที่มา หรือคุณภาพของส่วนผสมเหล่านั้นเลย

ผลลัพธ์คือ องค์กรส่วนใหญ่ไม่มี การมองเห็น (visibility) ที่แท้จริงว่าตัวเองมี ความเปราะบาง ซ่อนอยู่ที่จุดไหนบ้าง และเมื่อเกิดการโจมตีขึ้น ก็มักจะสายเกินไป

การมัวแต่ตั้งรับและแก้ไขเมื่อเกิดเหตุการณ์แล้ว ทำให้องค์กรต้องเสียเวลา ทรัพยากร และอาจถึงขั้นเสียชื่อเสียงอย่างมหาศาล

#

เปลี่ยนเกมด้วยการป้องกันเชิงรุก: ต้องรู้ว่าเรากำลังใช้อะไรอยู่บ้าง

ถึงเวลาแล้วที่เราต้องเปลี่ยนมุมมอง จากการป้องกันแค่ภายใน มาสู่ การป้องกันเชิงรุก (proactive defense) ที่มองเห็นภาพรวมทั้งหมดของระบบนิเวศดิจิทัล

สิ่งสำคัญคือการเริ่มต้นทำความเข้าใจว่าซอฟต์แวร์และระบบที่เราใช้อยู่นั้น ประกอบด้วยอะไรบ้าง มาจากไหน

แนวคิดอย่าง Software Bill of Materials (SBOM) ที่เปรียบเสมือนรายการส่วนประกอบทั้งหมดของซอฟต์แวร์ จะช่วยให้เรามี การมองเห็น ที่จำเป็น

นอกจากนี้ การประยุกต์ใช้หลักการ Zero-Trust Architecture ซึ่งหมายถึงการไม่เชื่อใจใครหรืออะไรเลย ไม่ว่าจะภายในหรือภายนอกเครือข่าย ก็เป็นอีกก้าวสำคัญที่ช่วยเสริมสร้าง ความปลอดภัยทางไซเบอร์ (cybersecurity) ขององค์กรให้แข็งแกร่งขึ้นได้ แม้ว่าการนำมาใช้เต็มรูปแบบจะซับซ้อน แต่หลักการพื้นฐานสามารถเริ่มประยุกต์ใช้ได้

#

ก้าวต่อไปเพื่อความยืดหยุ่นที่แท้จริง

การเผชิญหน้ากับความจริงที่ว่าเราอาจจะ เปราะบาง มากกว่าที่คิด ไม่ใช่เรื่องน่ากลัว

แต่เป็นโอกาสให้เราได้เสริมสร้าง ความยืดหยุ่น (resilience) ขององค์กร การจัดการ ความเสี่ยงจากบุคคลที่สาม ไม่ใช่แค่เรื่องของฝ่ายไอที แต่เป็นภารกิจที่ทุกคนในองค์กรต้องให้ความสำคัญ

การลงทุนในการตรวจสอบอย่างต่อเนื่อง การสร้างความเข้าใจ และการกำหนดนโยบายที่ชัดเจน จะช่วยให้องค์กรไม่เพียงแค่รอดพ้นจากภัยคุกคามในปัจจุบัน แต่ยังพร้อมรับมือกับความท้าทายในอนาคตได้อย่างมั่นคง