ความน่าสนใจของผลสำรวจที่ทำร่วมกันระหว่าง Microsoft และ Frost and Sullivan นั้น คือการออกมาบอกว่าองค์กรขนาดใหญ่กำลังอยู่ในความเสี่ยงและประเทศไทยกำลังเผชิญความเสียหายทางเศรษฐกิจถึง 408 ล้านบาท และในปีที่ผ่านมาก็มีพนักงานที่ถูกปลดจากปัญหาภัยคุกคามไปแล้วไม่น้อยก่า 60%
รายงานวิจัยของ ฟรอสต์ แอนด์ ซัลลิแวน ภายใต้ความร่วมมือกับไมโครซอฟท์ สำรวจ 1,300 รายจาก 13 ประเทศ ได้แก่ออสเตรเลีย จีน ฮ่องกง อินโดนีเซีย อินเดีย ญี่ปุ่น เกาหลีใต้ มาเลเซีย นิวซีแลนด์ ฟิลิปปินส์ สิงคโปร์ ไต้หวัน และไทย ผู้เข้าร่วมการสำรวจทุกท่านล้วนเป็นผู้บริหารที่มีอำนาจตัดสินใจทางธุรกิจและไอที และมีส่วนร่วมในการกำหนดทิศทางกลยุทธ์ด้านความปลอดภัยทางไซเบอร์ขององค์กร
รายงานวิจัยได้เผยถึง ความเสียหายทางเศรษฐกิจในประเทศไทย ที่เป็นผลกระทบมาจากความปลอดภัยทางไซเบอร์สามารถส่งผลถึง 2.86 แสนล้านบาท หรือเท่ากับ 2.2 เปอร์เซ็นต์ของผลิตภัณฑ์มวลรวมของประเทศ ซึ่งคิดเป็นมูลค่า 14,360 ล้านล้านบาท และยังพบว่า 3 ใน 5 ขององค์กรในประเทศไทยเคยได้รับผลกระทบจากการโจมตีทางไซเบอร์ 15% หรือไม่แน่ใจว่าเคยถูกโจมตีหรือไม่ เพราะยังขาดกระบวนการตรวจสอบหรือวิเคราะห์การคุกคามระบบอย่างเหมาะสม 47%
นายโอม ศิวะดิตถ์ ผู้บริหารด้านนโยบายภาครัฐ บริษัท ไมโครซอฟท์ (ประเทศไทย) จำกัด กล่าวว่า ในยุคที่คลาวด์และโมบายล์คอมพิวติ้งมีบทบาทในการทำหน้าที่เชื่อมต่อธุรกิจกับลูกค้า และช่วยเพิ่มศักยภาพในการทำงาน ทุกองค์กรจึงต้องเผชิญกับความเสี่ยงใหม่ๆ ไปพร้อมกัน เมื่อขอบเขตของระบบไอทีแบบดั้งเดิมหายไป ผู้ประสงค์ร้ายก็มีช่องทางและเป้าหมายใหม่ๆ สำหรับการจู่โจมมากขึ้น ส่วนองค์กรที่ตกเป็นเป้าก็อาจประสบความเสียหายทางการเงินเป็นมูลค่ามหาศาล และยังสูญเสียความพึงพอใจของลูกค้าและความน่าเชื่อถือทางธุรกิจ ดังจะเห็นได้จากกรณีการรั่วไหลของข้อมูลของบางองค์กรที่อาจเป็นข่าวผ่านตาใครหลายคนไปในระยะหลัง
“ความเสียหายที่แท้จริงจากภัยอันตรายบนโลกไซเบอร์ ครอบคลุมทั้งเชิงเศรษฐกิจ โอกาสทางธุรกิจ และการตกงาน”
รายงานวิจัยพบว่า
- องค์กรขนาดใหญ่ในประเทศไทยอาจประสบความเสียหายทางเศรษฐกิจเป็นมูลค่าสูงถึง 408 ล้านบาท ซึ่งสูงกว่าความเสียหายขององค์กรธุรกิจขนาดกลางถึง 450 เท่า หรือราว 900,000 บาท
- ในช่วง 12 เดือนที่ผ่านมา 3 ใน 5 ขององค์กรทั้งหมด หรือประมาณ 60% ต้องมีการปลดพนักงานออกในหลายตำแหน่งเนื่องจากผลกระทบของภัยคุกคามทางไซเบอร์
ทางด้านของ ฟรอสต์ แอนด์ ซัลลิแวน ได้สร้างแบบจำลองขึ้น เพื่อประเมินมูลค่าความเสียหายที่อาจเกิดขึ้นจากอาชญากรรมไซเบอร์ โดยนำปัจจัยเชิงเศรษฐกิจองค์รวมและข้อมูลเชิงลึกจากผู้เข้าร่วมการสำรวจมาพิจารณา แบบจำลองดังกล่าวนี้แบ่งผลกระทบที่สามารถเกิดขึ้นได้จากเหตุการณ์ภัยคุกคามทางไซเบอร์ออกเป็น 3 แบบ ได้แก่
- ผลกระทบทางตรง: ความเสียหายทางด้านการเงินที่เกิดขึ้นโดยตรงจากภัยคุกคามทางไซเบอร์ ซึ่งรวมถึงประสิทธิภาพในการทำงานที่ลดลง ระยะเวลาในการฟื้นฟู และค่าเสียหายที่ต้องชดใช้
- ผลกระทบทางอ้อม: การสูญเสียโอกาสทางธุรกิจ เช่น การสูญเสียลูกค้าเพราะขาดความเชื่อมั่น
- ผลกระทบวงกว้าง: ผลกระทบมวลรวมเชิงเศรษฐกิจ เช่น สภาพคล่องทางการใช้จ่ายขององค์กรและผู้บริโภคลดลง
นายณัฐชัย จารุศิลาวงศ์ Consultant, Mobility Practice บริษัท ฟรอสต์ แอนด์ ซัลลิแวน (ประเทศไทย) จำกัด กล่าวว่า ผลกระทบของภัยคุกคามทางไซเบอร์นั้น เปรียบได้กับภูเขาน้ำแข็ง โดยผลกระทบทางตรงจะเป็นส่วนที่เห็นได้ชัดมากที่สุด แต่ส่วนนี้กลับเปรียบเสมือนยอดเล็กๆ ของภูเขา ที่ยังมีส่วนที่มองไม่เห็นยังจมอยู่ใต้น้ำอีกมาก
“การจู่โจมทางไซเบอร์สามารถก่อความเสียหายอีกมากมายที่อาจมองไม่เห็นในทันที ทั้งในทางอ้อมและในวงกว้าง จึงทำให้โดยทั่วไปแล้ว มูลค่าความเสียหายที่แท้จริงของภัยร้ายเหล่านี้มักถูกประเมินไว้ต่ำกว่าความเป็นจริงอยู่เสมอ”
นอกจากความสูญเสียด้านการเงินแล้ว ภัยคุกคามทางไซเบอร์ยังทำลายความสามารถขององค์กรไทยในการคว้าโอกาสทางธุรกิจในยุคแห่งเศรษฐกิจดิจิทัล โดยผลสำรวจเผยว่ากว่า 73 % ของผู้เข้าร่วมการสำรวจพบว่าองค์กรของตน ได้หยุดแผนการนำเทคโนโลยีดิจิทัลเข้ามาปฏิรูปธุรกิจ เนื่องจากความกังวลด้านภัยคุกคามทางไซเบอร์
ภัยร้ายที่ต้องจับตาและช่องโหว่ที่ต้องจัดการ ในกลยุทธ์ด้านความปลอดภัยขององค์กรไทย
ถึงแม้ว่าการจู่โจมจากอาชญากรไซเบอร์ด้วยมัลแวร์เรียกค่าไถ่ จะเป็นข่าวใหญ่ที่สร้างความสนใจในหมู่องค์กรต่างๆ ได้ไม่น้อย แต่ผลวิจัยระบุว่าสำหรับองค์กรในประเทศไทยแล้ว ภัยร้ายในโลกไซเบอร์ที่มีผลกระทบสูงสุด และใช้เวลาในการแก้ไขฟื้นฟูนานที่สุด คือ การเลียนแบบตัวตนของแบรนด์ในโลกออนไลน์ การขโมยข้อมูล และการทำลายข้อมูล
นอกจากความเสี่ยงจากภายนอกองค์กรแล้ว รายงานวิจัยฉบับนี้ยังชี้ให้เห็นถึงช่องว่างเชิงกลยุทธ์ขององค์กรต่างๆ ในการปกป้องระบบและข้อมูลให้ปลอดภัย
- อย่าให้ความปลอดภัยเป็นแค่เรื่องทีหลัง: ถึงแม้ว่าองค์กรจำนวนมากจะผ่านการถูกจู่โจมมาแล้ว แต่กลับมีองค์กรเพียง 26% เท่านั้นที่นำประเด็นด้านความปลอดภัยในโลกไซเบอร์มาพิจารณาก่อนที่จะเริ่มดำเนินงานในโครงการดิจิทัล ทรานส์ฟอร์เมชัน ขณะที่องค์กรที่ยังไม่เคยถูกจู่โจมนั้น มีอัตราส่วนการนำปัจจัยด้านความปลอดภัยมาพิจารณาก่อนเริ่มดำเนินงานคิดเป็น 37% ส่วนองค์กรที่เหลือนั้น จะเริ่มพิจารณาเรื่องความปลอดภัยหลังจากที่เริ่มดำเนินงานไปแล้ว หรืออาจไม่พิจารณาถึงเลยก็เป็นได้ ซึ่งองค์กรในกลุ่มหลังนี้จะไม่สามารถพัฒนาผลิตภัณฑ์หรือโซลูชั่นที่มีรากฐานอยู่บนความปลอดภัยอย่างแท้จริง (“secure-by-design”) ขึ้นมาได้ จึงอาจทำให้ผลิตภัณฑ์หรือบริการที่ขาดความปลอดภัยหลุดออกไปสู่ตลาดได้
- การมีระบบซับซ้อน ไม่ได้แปลว่าปลอดภัย: โดยทั่วไปแล้ว เป็นที่เชื่อกันว่าการนำโซลูชั่นด้านความปลอดภัยจำนวนมากมาใช้งานร่วมกันจะช่วยให้ระบบในภาพรวมมีความปลอดภัยสูงขึ้น แต่ผลวิจัยในครั้งนี้กลับเผยให้เห็นว่าในกลุ่มองค์กรที่ใช้โซลูชั่นด้านความปลอดภัยรวม 26-50 โซลูชั่น มีเพียง 15% เท่านั้นที่สามารถแก้ไขปัญหาและฟื้นฟูจากผลกระทบของการจู่โจมได้ภายในเวลาหนึ่งชั่วโมง ขณะที่องค์กรที่ใช้โซลูชั่นด้านดังกล่าวน้อยกว่า 10 โซลูชั่น มีอัตราส่วนการแก้ไขปัญหาภายในหนึ่งชั่วโมงสูงกว่าที่ 22%
- ยังขาดวิสัยทัศน์เชิงกลยุทธ์: องค์กรจำนวนมากเริ่มหันมาปฏิรูปธุรกิจด้วยนวัตกรรมดิจิทัลกันแล้ว เพื่อช่วงชิงความได้เปรียบในการแข่งขัน แต่งานวิจัยครั้งนี้ก็ยังชี้ให้เห็นว่าองค์กรถึง 33% ยังมองความปลอดภัยเป็นเพียงแค่ปัจจัยในการปกป้ององค์กรจากผู้ประสงค์ร้าย โดยมีเพียง 28% ที่เล็งเห็นว่ากลยุทธ์ด้านความปลอดภัยขององค์กรเป็นหัวใจสำคัญของกระบวนการดิจิทัล ทรานส์ฟอร์เมชัน
AI พร้อมเป็นแนวหน้าในการปกป้ององค์กรจากผู้ประสงค์ร้าย
เมื่อโลกดิจิทัลเป็นเสมือนสนามรบ ที่อาวุธของผู้จู่โจมพัฒนาและเปลี่ยนแปลงอย่างไม่หยุดยั้ง ขณะที่ช่องทางการโจมตียังคงเพิ่มมากขึ้นอย่างรวดเร็ว AI จึงเป็นเครื่องมือชิ้นสำคัญในการยับยั้งการโจมตีด้วยศักยภาพในการวิเคราะห์ข้อมูลเพื่อตรวจจับและหยุดยั้งการจู่โจมได้ โดยจากการสำรวจพบว่า 4 ใน 5 ขององค์กรในประเทศไทยหรือ 84% ได้นำ AI มาใช้เสริมความแข็งแกร่งของระบบด้านความปลอดภัยแล้ว หรือมีแผนที่จะนำมาใช้งานในอนาคตอันใกล้
สถาปัตยกรรมด้านความปลอดภัยที่มี AI เป็นองค์ประกอบหลักจะสามารถทำงานได้อย่างชาญฉลาด และอาจมองเห็นถึงจุดอ่อนหรือช่องโหว่ในระบบรักษาความปลอดภัยขององค์กรได้ก่อนที่จะเกิดปัญหาขึ้นจริง นอกจากนี้ องค์กรที่ใช้งาน AI ในการปกป้องระบบของตนยังสามารถทำงานได้รวดเร็วและคล่องตัวกว่าองค์กรที่พึ่งพาความสามารถของมนุษย์เพียงอย่างเดียว ไม่ว่าจะเป็นการระบุชนิดและช่องทางการจู่โจม การกำจัดภัยร้ายที่เข้าจู่โจมอย่างต่อเนื่อง และการแก้ไขปัญหาในระบบ จึงทำให้ AI มีบทบาทที่สำคัญยิ่งในกลยุทธ์ด้านความปลอดภัยเชิงดิจิทัลของทุกองค์กร
ข้อแนะนำในการรักษาความปลอดภัยสำหรับองค์กรยุคใหม่ในโลกดิจิทัล
AI เป็นแค่องค์ประกอบหนึ่งที่องค์กรต่างๆ จำเป็นต้องนำมาผสมผสานหรือผนึกรวมเป็นแกนหลักของแนวทางการรักษาความปลอดภัยทางไซเบอร์อย่างจริงจัง โดยการปกป้องให้ระบบขององค์กรปลอดภัยอย่างแท้จริงนั้น จะต้องคำนึงถึงปัจจัยอื่นๆ เช่น บุคลากร กระบวนการ และเทคโนโลยี รวมถึงบทบาทและผลกระทบของปัจจัยเหล่านี้ที่มีต่อความปลอดภัยโดยรวมขององค์กรด้วย
เพื่อที่จะช่วยให้องค์กรสามารถต้านทานและตอบโต้กับการโจมตีทางไซเบอร์และมัลแวร์ได้ดียิ่งขึ้น องค์กรต่างๆ สามารถนำ 5 หลักปฏิบัตินี้มาปรับใช้ เพื่อช่วยยกระดับการป้องกันภัยคุกคามทางไซเบอร์มีให้ประสิทธิภาพยิ่งขึ้น
- ความปลอดภัยทางไซเบอร์คือส่วนสำคัญในการขับเคลื่อนการปฏิรูปธุรกิจด้วยดิจิทัล: ความไม่เชื่อมโยงกันระหว่างกลยุทธ์ด้านความปลอดภัยทางไซเบอร์กับแนวทางการปฏิรูปธุรกิจด้วยดิจิทัลอาจสร้างความสับสนวุ่นวายให้พนักงานในองค์กรอย่างมาก ทั้งนี้ ความปลอดภัยทางไซเบอร์เป็นสิ่งจำเป็นสำหรับการปฏิรูปธุรกิจด้วยดิจิทัล โดยมีบทบาทในการกำหนดแนวทางและรักษาความปลอดภัยขององค์กร ขณะเดียวกัน การปฏิรูปธุรกิจด้วยดิจิทัลก็ยังเปิดโอกาสให้องค์กรสามารถพลิกรูปแบบและแนวทางการรับมือกับความเสี่ยงทางไซเบอร์รูปแบบต่างๆ ในปัจจุบัน
- ลงทุนอย่างต่อเนื่องเพื่อเสริมสร้างรากฐานด้านความปลอดภัยให้แข็งแกร่ง: ร้อยละ 90 ของการโจมตีทางไซเบอร์สามารถป้องกันได้ โดยนำวิธีปฏิบัติที่ได้มาตรฐานเข้ามาปรับใช้อยู่เสมอ ไม่ว่าจะเป็นการตั้งรหัสผ่านที่คาดเดาได้ยาก ใช้การยืนยันตัวตนหลากหลายรูปแบบในสถานการณ์ที่น่าสงสัย รวมถึงคอยอัปเดตระบบปฏิบัติการของอุปกรณ์ ซอฟต์แวร์และโปรแกรมป้องกันมัลแวร์ต่างๆ ให้ทันสมัย และเลือกใช้ของแท้เพื่อป้องกันการโจมตีทางไซเบอร์ได้อย่างทันท่วงที การเตรียมความพร้อมไม่ได้ครอบคลุมเพียงแค่อุปกรณ์หรือระบบเท่านั้น แต่ยังต้องรวมถึงการฝึกอบรมและกำหนดนโยบายเพื่อสร้างพื้นฐานที่แข็งแกร่งด้านความปลอดภัยด้วย
- ยกระดับทักษะและเพิ่มประสิทธิภาพของเครื่องมือต่างๆ โดยการใช้ประโยชน์จากเครื่องมือที่มีให้คุ้มค่า: เครื่องมือที่ดีก็อาจไร้ประโยชน์เมื่ออยู่ในมือของผู้ที่ขาดทักษะ หากลดจำนวนโซลูชั่นและความซับซ้อนในการปฏิบัติงานด้านความปลอดภัยลง ก็จะสามารถช่วยให้ผู้ปฏิบัติงานทำหน้าที่ได้อย่างมีประสิทธิภาพมากขึ้นด้วยเครื่องมือที่มีอยู่ ส่วนการจัดลำดับความสำคัญของโซลูชั่นที่ใช้งานอยู่นั้น เป็นวิธีที่ดีที่เข้ามาช่วยเพิ่มการป้องกันความเสี่ยงได้มากขึ้น โดยไม่ต้องนำเครื่องมือจำนวนมากมาใช้ และไม่ทำให้เกิดความซับซ้อนเพิ่มขึ้นด้วย โดยเฉพาะเมื่อโซลูชั่นที่เลือกใช้ได้รวบรวมเครื่องมือต่างๆ มาไว้ด้วยกันอย่างเหมาะสมและเอื้อประโยชน์ซึ่งกัน
- ประเมิน ตรวจสอบ และปฏิบัติตามกรอบข้อบังคับอย่างต่อเนื่อง: การยอมรับและปฏิบัติตามข้อบังคับหรือมาตรฐานต่างๆ ควรเป็นหน้าที่ประการหนึ่งขององค์กร ขณะเดียวกัน ตัวองค์กรเองก็ควรให้มีการประเมินและตรวจสอบเป็นประจำ เพื่อป้องกันช่องโหว่ที่อาจเกิดขึ้น และเพื่อให้สามารถอุดช่องโหว่เหล่านั้นได้ ในขณะที่องค์กรกำลังเปลี่ยนแปลงไปอย่างรวดเร็ว ผู้บริหารขององค์กรเองก็ควรดูแลให้องค์กรดำเนินงานตามมาตรฐานของอุตสาหกรรมนั้นๆ พร้อมนำแนวทางการรักษาความปลอดภัยที่ดีมาปรับใช้อยู่เสมอ
- ใช้ประโยชน์จาก AI และระบบอัตโนมัติ (automation) เพื่อเพิ่มสมรรถนะและประสิทธิภาพ: เมื่อองค์กรขาดความสามารถในการรักษาความปลอดภัย ระบบอัตโนมัติและ AI ควรถูกนำมาพิจารณาเพื่อเพิ่มขีดความสามารถและประสิทธิภาพในการรักษาความปลอดภัยทางไซเบอร์ ความก้าวหน้าของ AI ในปัจจุบันถือเป็นเครื่องบ่งชี้ถึงศักยภาพอันมหาศาลของเทคโนโลยีนี้ในอนาคต โดยนอกจากการตรวจหาภัยคุกคามที่อาจถูกมองข้ามไปแล้ว นวัตกรรมเหล่านี้ยังสามารถช่วยวิเคราะห์และตีความมาเป็นสัญญาณเตือนภัยก่อนเกิดการโจมตี และแนะนำแนวทางการปฏิบัติงานเพื่อตัดไฟแต่ต้นลมได้ ระบบในลักษณะนี้ได้พิสูจน์แล้วถึงประสิทธิภาพในการทำงาน โดยเฉพาะในกรณีของระบบคลาวด์ที่ประมวลผลข้อมูลในปริมาณมหาศาล ยิ่งไปกว่านั้น การใช้ประโยชน์จากระบบอัตโนมัติและ AI ยังช่วยให้บุคลากรผู้มีความสามารถด้านการดูแลรักษาความปลอดภัยทางไซเบอร์ได้มุ่งให้ความสำคัญกับเนื้องานในระดับสูงได้อย่างเต็มที่
เรื่องของปัญหาภัยคุกคามยังคงมีความเสี่ยงที่ต้องป้องกันและระมัดระวังอย่างต่อเนื่องนะคะ ยิ่งไทยเป็นประเทศที่กำลังปรับตัวในหลายๆ อย่าง ทั้งโอกาสทางธุรกิจ การเข้าสู่ยุคของดิจิทัลในการทำธุรกิจ ดังนั้น จะรักษาหรือทิ้งธุรกิจที่มีในมือ ก็ต้องวางแผนให้รอบคอบแล้วค่ะ