The Top Ten Cybersecurity and Privacy Threats and Trends 2022-2024

แนวโน้มและทิศทางภัยด้าน Cybersecurity และ Privacy ปี 2565-2567

ทุกๆ ปี ภายในงานสัมมนาประจำปี CDIC (Cyber Defense Initiative Conference) ผมจะประกาศ 10 แนวโน้มทางด้านความมั่นคงปลอดภัยไซเบอร์ของประเทศไทย ซึ่งผมได้ทำการศึกษาวิจัยจากสถานการณ์และแนวโน้มทั่วโลก จากนั้นจะนำข้อมูลมาวิเคราะห์เป็นแนวโน้มของประเทศไทย

สำหรับปีนี้ได้วิเคราะห์ออกมาเป็นแนวโน้มของ 3 ปีนับจาก คือ “The Top Ten Cybersecurity and Privacy Threats and Trends 2022-2024” โดยมี ดังนี้

Trend #1 : ความเหลื่อมล้ำทางดิจิทัลและความจำเป็นเร่งด่วนในการฉีดวัคซีนไซเบอร์ให้กับประชาชน

Digital Inequality and Cyber Vaccination

การแก้ปัญหาความเหลื่อมล้ำทางดิจิทัล (Digital Inequality) เป็นเรื่องสำคัญที่จำเป็นเร่งด่วนในการให้ความรู้ประชาชนทั่วประเทศและทั่วโลก เพื่อไม่ให้ตกเป็นเหยื่อการหลอกลวงต่างๆ ที่เข้ามาทางไซเบอร์ ซึ่งการฉีดวัคซีนไซเบอร์ให้กับประชาชนนับได้ว่าเป็นเรื่องจำเป็นของรัฐบาลทุกประเทศ และควรมีหน่วยงานรับผิดชอบต่อเรื่องการสร้างภูมิคุ้มกันทางดิจิทัลให้แก่ประชาชนโดยตรง ด้วยการสร้างระบบให้ความรู้ความเข้าใจเรื่องภัยไซเบอร์กับประชาชนอย่างต่อเนื่อง เพื่อให้เกิดความคุ้นชินและสามารถเผชิญเหตุได้ด้วยตนเองอย่างมั่นคงปลอดภัยในระดับหนึ่ง

โดยสถานการณ์ปัจจุบันการแพร่ระบาดของ COVID-19 เป็นปัจจัยในการเร่งให้เกิดกระบวนการ Digital Transformation ผนวกกับมาตรการล็อกดาวน์ที่ผ่านมาทำให้ประชาชนต้อง Work from Home ประเด็นเหล่านี้ยิ่งทำให้จำเป็นต้องพึ่งพาระบบสารสนเทศทั้งสิ้น หากประชาชน และคนทำงานไม่มีความตระหนักรู้ ก็จะกลายเป็นช่องโหว่ให้ภัยไซเบอร์สามารถเข้าสู่ระบบได้ง่ายขึ้น

สิ่งที่สำคัญเทคโนโลยีเพียงอย่างเดียวไม่สามารถแก้ไขปัญหาได้ เพราะปัญหาทางไซเบอร์ไม่อาจแก้ได้โดยทางเทคนิคเท่านั้น แต่จำเป็นต้องอาศัยกระบวนการที่ดีและต้องให้ความรู้กับประชาชนด้วย (Process and People, not only Technology)  

Trend #2 : การโจมตีทางไซเบอร์ในระบบห่วงโซ่อุปทานและการรับรองมาตรฐานระดับวุฒิภาวะทางไซเบอร์

Supply Chain Cyber Attacks and CMMC (Cybersecurity Maturity Model Certification)

ข้อมูลจากงานวิจัยทั่วโลกพบว่า การโจมตีทางไซเบอร์อาจมีสาเหตุมาจากห่วงโซ่อุปทาน (Supply Chain) ของการต่อเชื่อมระบบระหว่างหน่วยงาน โดยมีช่องโหว่ที่ทำให้เกิดปัญหาด้านความมั่นคงปลอดภัยอย่างคาดไม่ถึง ดังนั้นจึงมีความจำเป็นที่จะต้องมีมาตรฐานหรือการรับรองความมั่นคงปลอดภัยในระบบห่วงโซ่อุปทาน

ปัจจุบันประเทศสหรัฐอเมริกาได้ออกกฎระเบียบสำหรับบริษัทที่จะให้บริการเป็นคู่สัญญากับกระทรวงกลาโหม ต้องผ่านมาตรฐานที่เรียกว่า CMMC ย่อมาจาก Cybersecurity Maturity Model Certification มาตรฐานดังกล่าวได้กำหนดไว้ในเอกสาร NIST SP800-171 Protecting Controlled Unclassified Information in Nonfederal Systems and Organizations โดยเน้นไปที่ระดับวุฒิภาวะห้าระดับของกระบวนการ (Processes) และการปฏิบัติ (Practices) โดยบริษัทที่จะเข้ามาเป็นคู่สัญญา หรือ Contractor ของกระทรวงกลาโหมจำเป็นต้องปฏิบัติตามมาตรฐานดังกล่าว

ซึ่งขณะนี้ CMMC ส่งผลกระทบต่อคู่สัญญากว่า 600,000 บริษัททั่วโลก และผู้ประกอบการไทยที่ผลิตชิ้นส่วนอุปกรณ์สื่อสารต่างๆ ควรเตรียมความพร้อมเช่นกันเพื่อพัฒนาศักยภาพในการป้องกันความมั่นคงปลอดภัยให้ได้มาตรฐานโลกเช่นกัน

Trend #3 : ความท้าทายจากพฤติกรรมการทำงานที่เปลี่ยนไปและสถาปัตยกรรมความมั่นคงปลอดภัยที่เหมาะสมกับโลกยุค Post-COVID

Remote working Challenge and Zero Trust Architecture Implementation

การทำงานแบบ Work from Home ยังคงเป็นความท้าทายต่อเนื่อง เพราะมีแนวโน้มว่าสถานการณ์ COVID-19 ยังคงอยู่กับเราต่อไปอีกระยะหนึ่ง ทำให้ระบบความมั่นคงปลอดภัยขององค์กรจำเป็นต้องมีการปรับเปลี่ยนให้ทันยุคทันสมัย

นับจากนี้สถาปัตยกรรมด้านความมั่นคงปลอดภัย “Zero Trust Architecture” ซึ่งเป็นสถาปัตยกรรมที่ใช้แนวคิดในการกำจัดความเชื่อใจนั้น จะถูกนำมาใช้ในหลายๆ มิติ เพราะภัยไซเบอร์ในปัจจุบันและอนาคตมีการพัฒนารูปแบบใหม่ๆ อยู่ตลอดเวลา เนื่องจากในปัจจุบันองค์กรต่างๆ มีความนิยมในการใช้งานคลาวด์คอมพิวติ้งโดยพนักงานสามารถทำงานจากที่ใดก็ได้ ด้วยอุปกรณ์ใดก็ได้ สถาปัตยกรรมด้านความมั่นคงปลอดภัยสมัยใหม่จึงถูกออกแบบให้ผู้ดูแลระบบไม่ควรเชื่อใจทั้งบุคคลและอุปกรณ์ต่างๆ ในรูปแบบเดิมอีกต่อไป ทำให้ต้องมีการนำ Zero Trust Architecture มาใช้ โดยมีการตรวจสอบทั้งบุคคลและอุปกรณ์เป็นระยะอย่างต่อเนื่อง  

องค์กรสมัยใหม่จำเป็นต้อง “Balance” ระหว่างการปกป้องความมั่นคงปลอดภัยที่แข็งแกร่ง แต่ในขณะเดียวกันก็ต้องไม่เป็นอุปสรรคต่อการสร้างคุณค่าต่อการดำเนินธุรกิจ โดยระบบต้องสามารถตรวจจับพฤติกรรมที่มีความเสี่ยงและผิดปกติได้อย่างต่อเนื่อง และพร้อมที่จะยกระดับความเชื่อใจหากถูกคุกคามทางไซเบอร์ได้อย่างทันท่วงที 

Trend #4 : โชคร้าย 3 ชั้นขั้นก้าวหน้ากับมัลแวร์เรียกค่าไถ่ที่ร้ายกว่าเดิม  

(Rising of the Next Generation Triple Extortion Ransomware)

ปัญหา Ransomware ในช่วงหลายปีที่ผ่าน มีการพัฒนาจากการเรียกค่าไถ่แบบเดิมๆ เพิ่มขึ้นเป็น 3 ขั้นตอน เรียกว่า “Triple Extortion Ransomware” โชคร้าย 3 ชั้น โดยในขั้นที่ 1 แฮกเกอร์มักจะเรียกค่าไถ่ด้วยข้อเสนอในการส่ง Decryption Key หรือกุญแจถอดรหัสในการกู้คืนข้อมูลให้เหยื่อ หากเหยื่อยังไม่ยอมจ่ายก็ไปต่อที่ขั้นที่ 2 โดยแฮกเกอร์จะนำข้อมูลไปโพสต์แล้วทำการเรียกค่าไถ่ให้จ่ายเพื่อลบข้อมูลออกจากการ Publish ใน Dark Web หรือ Public Web และหากเหยื่อยังไม่ยอมจ่ายอีก แฮกเกอร์ก็จะดำเนินการในขั้นที่ 3 คือ ปล่อยข้อมูลส่วนบุคคลของลูกค้าต่อสาธารณะ จากนั้นเมื่อข้อมูลลูกค้ารั่วไหลออกไปแล้ว เหยื่ออาจถูกลูกค้าฟ้องร้องเมื่อ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคลมีผลบังคับใช้แล้ว

ทั้ง 3 ขั้นตอนที่กล่าวมานี้เป็นวิธีการที่แฮกเกอร์นิยมใช้ แต่วันนี้แฮกเกอร์ได้คิดวิธีใหม่ๆ ในการเรียกค่าไถ่ที่ซับซ้อนและสร้างความเสียหายให้มากขึ้นจากมัลแวร์เรียกค่าไถ่ โดยมีแนวโน้มที่อาจจะขยายวงกว้างอย่างรวดเร็วนับจากปี 2022 นี้เป็นต้นไป

วิธีใหม่ๆ ยกตัวอย่าง เช่น ขู่ว่าจะถล่มด้วย DDoS Attack ถ้าเหยื่อยังไม่ยอมจ่ายเงินเรียกค่าไถ่ ซึ่งอาจจะโจมตีจนทำให้เว็บไซต์ของเหยื่อล่มไม่สามารถใช้งานได้ หรือขู่ว่าจะติดต่อไปหาเจ้าของข้อมูลส่วนบุคคลเป็นรายบุคคลซึ่งเกิดขึ้นแล้วในต่างประเทศ แฮกเกอร์ได้นำข้อมูลผู้ป่วยที่แฮกมาจากโรงพยาบาล ติดต่อไปยังผู้ป่วยแต่ละรายเพื่อข่มขู่ หรือแฮกเกอร์อาจขายข้อมูลให้แฮกเกอร์รายอื่นๆ ซึ่งข้อมูลที่แฮกเกอร์ที่รับซื้อได้ไปนั้น ก็จะนำไปหลอกเหยื่อโดยการส่งอีเมลหรือ SMS ไปยังเจ้าของข้อมูลส่วนบุคคลแต่ละราย

ทั้งสองกรณีหลังนี้ เจ้าของข้อมูลส่วนบุคคลสามารถที่จะดำเนินคดีหรือร้องเรียนบริษัทเหยื่อที่ถูกแฮกข้อมูลได้ จากข้อหากระทำข้อมูลรั่วโดยขาดความระมัดระวังที่เหมาะสม

Trend #5 : การเข้าสู่ยุคปกป้อง “ข้อมูลระบุตัวตน” ต้องหยุดภัยโจรกรรม ยับยั้งการเปิดเผยข้อมูลที่ไม่ควรเปิดเผย

Identity is the New Perimeter The need to prevent Identity Theft/Sensitive Data Exposure

ข้อมูลระบุตัวตน เปรียบเสมือนกุญแจประตูบ้าน หากหลุดไปก็เหมือนมอบกุญแจประตูให้แฮกเกอร์ซึ่งจะเข้าในบ้านเมื่อใดก็ได้ ทุกวันนี้คนจำนวนมากใช้การยืนยันตัวตนด้วยชื่อผู้ใช้ (Username) และรหัสผ่าน  (Password)  โดยชื่อผู้ใช้ก็มักจะใช้อีเมลซึ่งเป็นข้อมูล Public ทำให้แฮกเกอร์ทราบชื่อผู้ใช้ได้โดยไม่ยากนัก อีกทั้งผู้ใช้มักตั้งรหัสผ่านแบบง่ายๆ สามารถเดาได้ไม่ยากจึงเป็นโอกาสของแฮกเกอร์ที่จะเข้าถึงข้อมูลของเราได้ง่ายยิ่งขึ้น

ผู้ให้บริการแพลตฟอร์มต่างๆ มีฟีเจอร์ 2FA (Two-Factor Authentication) ให้เข้าไปตั้งค่าใช้งานได้ เป็นการยืนยันตัวตนแบบสองปัจจัย โดยระบบจะทำการส่ง OTP มาให้ผู้ใช้เพื่อยืนยันเพิ่มเป็นปัจจัยที่สองหรือชั้นที่สอง

ขณะนี้มีข่าวว่า Google กำลังจะบังคับให้ผู้ใช้งานต้องยืนยันตัวตนด้วย 2FA หลังจากที่ได้มีการทดสอบระบบกับผู้ใช้จำนวนหนึ่งมาแล้ว เมื่อยักษ์ใหญ่ระดับโลกออกมากำหนดเป็นข้อบังคับก็เชื่อว่าอีกไม่นานผู้ให้บริการรายเล็กรายน้อย ผู้พัฒนาแอป และบริการอื่นๆ จะทำตาม และในไม่ช้า 2FA ก็จะกลายเป็นการยืนยันตัวตนขั้นพื้นฐานไปในที่สุด

ในอนาคตผู้ให้บริการแพลตฟอร์มต่างๆ มีความพยายามที่จะสร้างระบบการยืนยันตัวตนรูปแบบใหม่ๆ เพื่อหนีจากแฮกเกอร์ที่มักจะพัฒนาการโจมตีได้ล้ำหน้าเราไปหนึ่งก้าวเสมอ ซึ่งการยืนยันตัวตนในอนาคตไม่จำเป็นต้องอยู่ในรูปแบบชื่อผู้ใช้ (Username) และรหัสผ่าน (Password) อีกต่อไป

Trends #6 : ปัญหาการถูกโจมตีทางไซเบอร์ ไม่ได้เกิดจากปัญหาทางเทคนิคเพียงอย่างเดียว

Cybersecurity, Data Privacy and Data Protection are Not Just a Technical Problems

ในหลายยุคสมัยที่ผ่านมาเทคโนโลยีนับเป็นเครื่องไม้เครื่องมือในการดำเนินธุรกิจที่ดี สามารถแก้ปัญหาต่างๆ ได้แต่เทคโนโลยียังไม่อาจหยุดยั้งภัยคุกคามทางไซเบอร์ได้ทั้งหมด เพราะปัญหาการถูกโจมตีทางไซเบอร์ ไม่ได้เป็นเรื่องของเทคโนโลยีเพียงอย่างเดียว แต่ยังมีองค์ประกอบอื่นเข้ามาเกี่ยวข้อง ทั้งด้านคน และกระบวนการ ซึ่งเป็นที่มาของ PPT Concept (People, Process และ Technology)

PPT เป็นแนวคิดสากลที่องค์กรทั่วโลกนำมาปฏิบัติในการวางยุทธศาสตร์ด้านความมั่นคงปลอดภัยไซเบอร์ (Cybersecurity Strategy) ซึ่งรวมไปถึงการบริหารจัดการข้อมูลส่วนบุคคล (Personal Data) ความเป็นส่วนตัว (Privacy) และการปกป้องข้อมูลส่วนบุคคล (Personal Data Protection) โดยพบว่า People หรือคน เป็นประเด็นสำคัญที่ก่อให้เกิดปัญหามากที่สุด จึงต้องสร้างความตระหนักรู้ และสร้างทักษะที่ดีในการปกป้องตนเองจากภัยต่างๆ ที่จะนำมาสู่องค์กร

สิ่งสำคัญอีกประการที่จะนำทางองค์กรไปสู่ความสำเร็จภายใต้แผนยุทธศาสตร์ด้าน Cybersecurity คือ วัฒนธรรมองค์กร (Corporate Culture) การบริหารจัดการด้านความมั่นคงปลอดภัยไซเบอร์ที่ดี มีความจำเป็นที่จะต้องสร้างวัฒนธรรมองค์กรด้วยการฝังรากฐานจิตวิญญาณพนักงานให้มีทัศนคติที่ถูกต้อง (Cybersecurity Mindset) ต่อการปกป้องข้อมูลและระบบขององค์กรตลอดจนปกป้องข้อมูลของตนเองด้วย

Trends #7 : “ประกันภัยไซเบอร์” ภาคบังคับ ความท้าทายที่ต้องรู้-ต้องเข้าใจ-ต้องทำ 

Cyber Insurance Challenges: Myths, Misconceptions and Terminations

ประกันภัยไซเบอร์เป็นเรื่องจำเป็นหรือภาคบังคับนับจากนี้ไป องค์กรจะต้องพิจารณาทำประกัน เพื่อให้มีผู้รับความเสี่ยงในการรับมือกับความเสียหายที่อาจเกิดขึ้นจากภัยคุกคามทางไซเบอร์ต่างๆ ไม่ว่าจะเป็นเรื่องการกู้คืนข้อมูล การชดเชยค่าความเสียหาย การชำระค่าปรับต่างๆ

เนื่องจากยุคนี้ภัยไซเบอร์นับว่ามีความเสี่ยงสูง และนับวันจะยิ่งสูงขึ้นเรื่อยๆ ด้วยความฉลาดของแฮกเกอร์ที่มีพัฒนาการก้าวตามติดการพัฒนาทางไซเบอร์และวิวัฒนาการของเทคโนโลยีในระบบการป้องกันต่างๆ อย่างกระชั้นชิด

ดังนั้นไม่เพียงแค่มีเทคโนโลยีการป้องกันที่ดีเท่านั้น แต่สิ่งสำคัญคือ “คน” จำเป็นต้องตระหนักรู้ และพัฒนาทักษะการป้องกันอยู่ตลอดเวลา

การทำประกันภัยไซเบอร์เป็นเรื่องที่องค์กรควรทำ หากแต่มีรายละเอียดต่างๆ มากมายที่ทั้งผู้ขายและผู้ทำประกันจะต้องมีความเข้าใจอย่างถ่องแท้ เพื่อไม่ให้เกิดความเข้าใจผิดจนกระทั่งถึงจุดที่ตัดสินใจ “ไม่ทำ”ประกันภัยไซเบอร์

กระนั้นจึงเป็นความท้าทายทั้งผู้ขายและผู้ทำประกันที่จะต้องรู้และเข้าใจในรายละเอียด ต้องเลือกบริษัทรับประกันภัยที่น่าเชื่อถือ มีข้อตกลงชัดเจนว่าหากเกิดเหตุ “ใครคือผู้รับผิดชอบ” ค่าปรับ ค่าสินไหมทดแทน และค่าความเสียหายต่างๆ

ขณะที่ผู้ขายหรือบริษัทผู้รับประกันภัยไซเบอร์ก็มีความท้าทายเรื่องความยากในการขายและการนำเสนอ เนื่องจากมีรายละเอียด เงื่อนไข การชำระเบี้ยประกัน อีกทั้งข้อตกลงมากมายที่ต้องอธิบายให้ผู้ทำประกันเข้าใจ รวมทั้งต้องอธิบายให้ผู้ทำประกันมองเห็นคุณค่าของการทำประกันภัยไซเบอร์ด้วย

Trends #8 : การเปลี่ยนแปลงของโลกจากสภาวะ VUCA เป็นสภาวะ BANI เปลี่ยนการดำรงชีวิตคนในยุคหลัง COVID

Living in Post COVID-Era : From a VUCA world to a BANI world,  Are We Secured to Are We Ready?

การใช้ชีวิตในยุคหลัง COVID-19 จะเปลี่ยนไปแม้แต่ในโลกไซเบอร์ก็เช่นกัน คำถามว่าเราปลอดภัยหรือไม่? (Are we secure?) ใช้ไม่ได้อีกต่อไป เพราะไม่มีความปลอดภัย 100% บนโลกไซเบอร์ แต่จะต้องเปลี่ยนคำถามเป็น “เราพร้อมหรือยัง?” (Are we ready?) เพราะเราอาจถูกแฮกได้ตลอดเวลาไม่ว่าจะเป็นวันนี้พรุ่งนี้หรืออีกไม่กี่นาทีนี้ก็ตาม

ดังนั้นเราจึงต้องเตรียมความพร้อมรับมือกับภัยไซเบอร์ที่สามารถเกิดขึ้นได้เสมอ เปรียบเหมือนกับการฉีดวัคซีน COVID-19 แม้จะฉีดแล้วก็ยังติดเชื้อได้ ไม่สามารถป้องกันได้ 100% เราจึงจำเป็นต้องมีการสร้างภูมิคุ้มกันเพื่อป้องกันตนเองในเบื้องต้น

ในขณะที่โลกกำลังก้าวจาก VUCA World ไปสู่ BANI World ซึ่งยุคหลัง COVID-19 จะยิ่งมีความชัดเจนขึ้น คือ

– Brittle (ความเปราะบาง) : ความสำเร็จของการดำเนินธุรกิจไม่ได้คงอยู่อย่างยั่งยืนตลอดไป สามารถจะเปลี่ยนแปลงหรือถูกทำลายได้ตลอดเวลา และมีการเปลี่ยนแปลงอย่างรวดเร็ว

– Anxious (ความกังวล) : ความไม่แน่นอนทำให้เกิดความกังวล จึงต้องเรียนรู้ที่จะอยู่กับความรู้สึกและสิ่งแวดล้อมที่มีความกังวลไปตลอดไม่สามารถจะละทิ้งไปได้

– Nonlinear (ความคาดเดาได้ยาก) : เราไม่อาจทำนายอนาคตได้ยาวไกลอีกต่อไป เพราะอะไรก็อาจเกิดขึ้นได้ในระยะเวลาอันใกล้ เราจึงต้องอยู่กับสภาวะที่คาดเดาได้ยากต่อไป

– Incomprehensible (ความไม่เข้าใจ) : เมื่อไม่มีความแน่นอน ไม่มีความชัดเจน จึงทำให้เกิดความเข้าใจอย่างแท้จริงได้ยากมาก อาจกระทบต่อการวางแผนที่จะควบคุมสถานการณ์ต่างๆ ให้ได้ทั้งหมด

BANI World เป็นยุคที่การดำรงอยู่ของมนุษย์ทำได้ยากกว่า VUCA World ซึ่งเดิมคือ Volatility ความผันผวน, Uncertainty ความไม่แน่นอน, Complexity ความซับซ้อน และ Ambiguity ความคลุมเครือ ที่ทำให้หลายองค์กรได้ทำการ Disrupt ตัวเองเพื่อเปลี่ยนแปลงองค์กรไปบ้างแล้ว

Trends #9 : โค้ชด้านการจัดการข้อมูลรั่วไหลกำลังเป็นที่ต้องการ องค์กรคาดหวังให้ช่วยวางแผนตอบสนองต่อเหตุการณ์การโจมตีทางไซเบอร์เชิงรุก

High Demand of Data Breach Coach and Proactive Incident Response

อุบัติการณ์ข้อมูลองค์กรหรือข้อมูลส่วนตัวรั่วไหลมีโอกาสเกิดขึ้นได้ตลอดเวลา ทำให้องค์กรคิดที่จะหาตัวช่วยในการป้องกันระบบเพื่อไม่ให้เกิดเหตุการณ์ข้อมูลรั่วไหลและการละเมิดข้อมูล จึงต้องการโค้ชหรือผู้เชี่ยวชาญที่จะให้ความช่วยเหลือองค์กรในเรื่องการให้ความรู้ทาง Cybersecurity และ Data Privacy รวมถึงประเมินสถานภาพความเสี่ยงเพื่อรักษาผลประโยชน์ต่อการทำประกันภัยไซเบอร์ ตลอดจนให้คำแนะนำด้านการจัดการระบบเพื่อให้เกิดความมั่นคงปลอดภัยในระดับ Cyber Resilience อีกทั้งยังสามารถให้ความช่วยเหลือในยามที่เกิดสถานการณ์ฉุกเฉินไม่พึงประสงค์ด้วย 

ปัจจัยที่ทำให้องค์กรต้องการโค้ชหรือผู้เชี่ยวชาญเกี่ยวกับปัญหาการละเมิดข้อมูล ไม่เพียงแต่กระแสโลกที่มีปัญหาดังกล่าวเกิดขึ้นอย่างมากเท่านั้น แต่อีกปัจจัยหนึ่งที่หนุนนำคือ การบังคับใช้ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล ที่จะสิ้นสุดการขยายเวลาและเริ่มบังคับใช้ในวันที่ 1 มิถุนายน 2565 เป็นอีกเหตุผลหนึ่งที่องค์กรจำเป็นต้องเร่งดำเนินการเพื่อสร้างความพร้อม 

นอกจากนี้องค์กรยังต้องมีแผนกลยุทธ์ในการตอบสนองต่อเหตุการณ์การโจมตีทางไซเบอร์เชิงรุก (Proactive Incident Response) เช่น มีการเฝ้าระวังและตรวจจับความผิดปกติแบบ 24X7 โดยไม่รอให้เกิดปัญหาก่อนแล้วจึงคิดหาทางแก้ไข ทั้งนี้องค์กรจำเป็นต้องมีการป้องกันระบบที่ดีในระดับที่ผู้บริหารองค์กรสามารถยอมรับกับความเสียหายที่อาจเกิดขึ้นได้ และต้องมีแผนสำรองฉุกเฉินตามมาตรฐานสากล                               

Trends #10 : กลยุทธ์สู่ความสำเร็จในการบริหารจัดการความมั่นคงปลอดภัยไซเบอร์ ผู้บริหารระดับสูงต้องเป็นผู้นำการขับเคลื่อน & สร้างวัฒนธรรมไซเบอร์ในองค์กร

The Important of building strong Cybersecurity Culture and Top Management Leadership in Cybersecurity Execution within organization.

การขับเคลื่อนกลยุทธ์ด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ ซึ่งจำเป็นจะต้องใช้ทั้งกรอบหรือแนวทางปฏิบัติ เทคโนโลยี กระบวนการตามมาตรฐานสากล ตลอดจนการให้ทักษะความรู้ต่างๆ ต่อพนักงานและผู้บริหารที่องค์กรควรจะต้องนำไปปฏิบัติ เพื่อให้บรรลุวัตถุประสงค์แล้วนั้น ยังมีกลยุทธ์สำคัญอีกสองประการที่จะทำให้เกิดความสำเร็จ คือ 

• กลยุทธ์ที่ผู้บริหารระดับสูงต้องเป็นผู้นำการขับเคลื่อน ควรจะมีการกำหนดให้ Cybersecurity เป็นหนึ่งในแผนยุทธศาสตร์ในการขับเคลื่อนองค์กร ตลอดจนมีแผนปฏิบัติ มีการประเมินและติดตามผล อย่างต่อเนื่อง เป็นหนึ่งในหัวข้อของการประชุมผู้บริหารระดับสูงและกรรมการในทุกๆ ครั้ง 
• กลยุทธ์ที่ผู้บริหารระดับสูงต้องสร้างวัฒนธรรมด้าน Cybersecurity ให้แก่องค์กร เพื่อกำหนดวิถีทางหรือพฤติกรรมของคนในองค์กรไปสู่ทิศทางเดียวกัน โดยมุ่งเน้นความตระหนักรู้ ความระมัดระวัง การรักษาผลประโยชน์ขององค์กร การไม่ละเมิดข้อมูล หากองค์กรใดมีวัฒนธรรมด้าน Cybersecurity ที่แข็งแกร่งจะสร้างความเข้มแข็งให้กับระบบการบริหารจัดการข้อมูลขององค์กรได้ในระยะยาว

กลยุทธ์ทั้งสองประการนี้จะทำให้การขับเคลื่อน Cybersecurity ขององค์กรไปสู่ความสำเร็จได้ง่ายยิ่งขึ้น 

หวังเป็นอย่างยิ่งว่า “The Top Ten Cybersecurity and Privacy Threats and Trends 2022-2024” จะเป็นแนวทางให้ผู้อ่านทุกท่านสามารถนำไปปรับใช้ในการทำงานองค์กรและชีวิตประจำวันได้บ้าง