www.cioworldmagazine.com

 Breaking News
  • AIS ได้รับใบอนุญาต 700 เมกะเฮิรตซ์ รองรับบริการ 5G AIS โดย แอดวานซ์ ไวร์เลส เน็ทเวอร์ค ได้สิทธิในการได้รับอนุญาต ให้ใช้คลื่นความถี่สำหรับกิจการโทรคมนาคมย่าน 700 เมกะเฮิรตซ์ สร้างความพร้อมสำหรับการให้บริการ 5G ที่จะเกิดขึ้นภายใน 2-3 ปีข้างหน้า...
  • คณะ ICT มหิดล ฯ เปิดอบรม เสริมแกร่งมืออาชีพด้านไอซีที “คณะ ICT ม.มหิดล เปิดโปรแกรมอบรม Retraining & Coaching ICT Professionals พัฒนาบุคลากรมืออาชีพด้าน ICT ให้แข็งแกร่งในยุค Thailand 4.0 โดยคณาจารย์ผู้สอนมากประสบการณ์บวกวิชาการ หลักสูตร ICT Project Management และ Data Science for Business เปิดคลาส กรกฎาคมนี้”...
  • Ricoh กับการแข่งขันในยุค Digital Workplace “บทสัมภาษณ์ พรชัย วรอังกูร ผู้บริหาร Ricoh ผู้เล่นหลักในอุตสาหกรรมอุปกรณ์สำนักงานและเทคโนโลยีไอที กับการแข่งขันที่บริบทเปลี่ยนไปสู่ดิจิทัลและการปฏิรูปธุรกิจ เพื่อก้าวไปสู่ความเป็น Dynamic Workplace Intelligence SI”...
  • KTC ปรับบริการสินเชื่อบุคคล เบิกเงินสดออนไลน์ โอนเข้าบัญชีเรียลไทม์ KTC เดินหน้าขับเคลื่อนสินเชื่อบุคคล เปิดตัวสินเชื่อมีวัตถุประสงค์ สร้างเครือข่ายพันธมิตร คัดกรองและรักษาพอร์ตคุณภาพลูกหนี้เติบโตยั่งยืน สรา้งบริการดิจิทัล เบิกถอนเงินสดออนไลน์ รับเงินโอนเข้าบัญชีแบบเรียลไทม์...
  • เอสซีจีโลจิสติกส์จับมือสตาร์ทอัพ MyCloud เสริมตลาด Fulfillment เอสซีจีโลจิสติกส์ ร่วมมือกับสตาร์ทอัพ MyCloud Fulfillment เดินหน้าใช้เทคโนโลยีดิจิทัลวิเคราะห์ข้อมูลเชิงลึก เสริมบริการ Fulfillment by SCG Logistics ช่วยพ่อค้าแม่ค้าออนไลน์พัฒนาธุรกิจให้ตอบโจทย์ลูกค้าให้ดียิ่งขึ้น รองรับ E-Commerce ที่เติบโตสูงขึ้นกว่าร้อยละ 12 จากปีที่แล้ว พร้อมขยายบริการสู่ตลาดอาเซียนและจีน...

ICT Trend Watch (ตอนที่38) สิ่งที่ผู้บริหารองค์กรควรทราบและดำเนินการ ในการรับมือกับการโจมตีทางไซเบอร์

ICT Trend Watch (ตอนที่38) สิ่งที่ผู้บริหารองค์กรควรทราบและดำเนินการ ในการรับมือกับการโจมตีทางไซเบอร์
December 13
13:38 2016

ดร.ไพโรจน์ ธรรมศีลสุวรร NEC Corporation (Thailand) &Technology Coordinator of TTC, JAPAN ผู้เชี่ยวชาญด้านไอทีและการสื่อสาร ผ่านประสบการณ์มากกว่า 10 ปี ดำรงตำแหน่งคณะอนุกรรมการวิจัยวิจัยโทรคมนาคม TRIDI และอาจารย์มหาวิทยาลัยชั้นนำของประเทศ

“การรับมือภัยทางไซเบอร์ ไม่ใช่เรื่องของผู้บริหารหรือพนักงานด้านไอทีอย่างเดียว หลายคนเข้าใจคลาดเคลื่อนไปจนทำให้เมื่อเกิดเหตุขึ้นมาในองค์กรความรุนแรงของมันส่งผลต่อธุรกิจอย่างมาก บทความนี้เป็นการตอกย้ำและชี้ชัดลงไปเลยว่า ผู้บริหารระดับสูงขององค์กรมีบทบาทอย่างมากสำหรับเรื่องนี้ และควรจะต้องเป็นผู้นำอย่างแท้จริงในการสร้างแนวทางการป้องกันภัยไซเบอร์”

Banner_CIO_big one_version2

1ถึงแม้ว่าผู้บริหารระดับสูงขององค์กรในปัจจุบันจะเริ่มตระหนักถึงภัยคุกคามจากการถูกโจมตีทางไซเบอร์ แต่เมื่อพูดถึงมาตรการป้องกันภัยคุกคามทางไซเบอร์ที่จะเกิดขึ้นกับองค์กร ผู้บริหารส่วนใหญ่จะมองว่าเป็นเรื่องทางเทคนิคและเป็นเรื่องไกลตัว ผู้บริหารระดับสูงไม่ต้องเข้าไปเกี่ยวข้อง ซึ่งเป็นความเข้าใจที่ก่อให้เกิดอันตรายอย่างร้ายแรงต่อองค์กรได้ เนื่องจากในความเป็นจริงมาตรการทางไซเบอร์รวมถึงหน่วยงานและระบบที่จะทำการปฏิบัติตามาตรการป้องกันเหล่านั้นจะต้องได้รับการสนับสนุนอย่างเต็มที่จากทางผู้บริหารระดับสูงขององค์กร มิฉะนั้นจะเกิดขึ้นและได้รับการปฏิบัติตามอย่างต่อเนื่องได้ยาก

เหตุผลอย่างหนึ่งก็เนื่องจากต้องการมีลงทุนทั้งคนและระบบเพื่อปฏิบัติตามมาตรการ รวมถึงให้พนักงานขององค์กรอื่นๆ ที่ไม่เกี่ยวข้องโดยตรงปฏิบัติตามเพื่อการนี้อย่างต่อเนื่องเช่น อัพเดตเวอร์ชั่นของซอฟต์แวร์อย่างสม่ำเสมอ ห้ามเปิดอีเมล์หรือเข้าเว็บไซต์ที่น่าสงสัย ไม่นำแอพพลิเคชั่นที่ไม่ได้รับการยืนยันความปลอดภัยมาแอบใส่ในเครื่องพีซีที่ทำงานต่างๆ เป็นต้น

นอกจากนี้การลงทุนเพื่อป้องกันการโจมตีทางไซเบอร์ดังกล่าวนั้น โดยส่วนใหญ่จะประเมินผลเป็นตัวชี้วัดเกี่ยวกับผลประกอบการทางธุรกิจหลักขององค์กรได้ยาก ไม่เหมือนกับการลงทุนอื่นๆ ในบริษัททำให้โดยส่วนใหญ่แล้วการลงทุนที่เกี่ยวกับมาตรการเหล่านี้มักถูกไว้ในลำดับรองๆ เมื่อเทียบกับการลงทุนที่เกี่ยวกับการดำเนินธุรกิจหลักอื่นๆ ด้วยเหตุนี้ครั้งนี้เราจะมาพูดถึงความเข้าใจพื้นฐานในการป้องกันการโจมตีทางไซเบอร์สำหรับผู้บริหารระดับสูงกันครับ

ความเข้าใจแรกสุดที่ผู้บริหารขององค์กรควรตระหนักคือ สิ่งสำคัญสูงสุดอย่างหนึ่งสำหรับองค์กรคือความปลอดภัยทางข้อมูลโดยเฉพาะอย่างยิ่งจากการโจมตีแบบเจาะจงเป้าหมายซึ่งมีแนวโน้มเพิ่มมากขึ้นทุกวัน เพราะข้อมูลของลูกค้าหรือข้อมูลในการดำเนินธุรกิจที่สำคัญหรือแม้แต่ข้อมูลเกี่ยวกับความลับของผลิตภัณฑ์หรือเทคโนโลยีใหม่ๆ ที่บริษัทมีอยู่รั่วไหลออกมา อาจเป็นสาเหตุที่ทำให้เกิดผลกระทบกับการดำเนินธุรกิจของบริษัทก็ได้

นอกจากนี้ในการโจมตีแบบเจาะจงเป้าหมายยังเกิดขึ้นได้ในอีกหลายรูปแบบเช่น การเข้าโจมตีเพื่อแอบยึดระบบไอทีขององค์กรเพื่อใช้เป็นฐานทำการโจมตีทางไซเบอร์ไปยังองค์กรอื่นเพราะฉะนั้นผู้บริหารไม่ควรคิดว่าถ้าบริษัทเราไม่มีข้อมูลลับอะไรที่ถูกขโมยหรือรั่วไหลไปแล้วเดือดร้อนก็ไม่ต้องสนใจเรื่องการถูกโจมตีทางไซเบอร์ก็ถือเป็นความคิดที่ยังไม่รอบคอบดีพอ

สิ่งต่อไปที่ผู้บริหารควรทราบก็คือความรู้เกี่ยวกับขั้นตอนการโจมตีแบบเจาะจงเป้าหมาย โดยทั่วไปจะแบ่งได้เป็นขั้นหลักๆ ดังนี้คือ ขั้นแรกจะเป็นการตรวจสอบเพื่อเตรียมโจมตีเกี่ยวกับข้อมูลขององค์กรเป้าหมายเช่น โครงสร้างองค์กร จุดอ่อนของระบบที่สามารถเข้าโจมตีได้ง่าย จากนั้นจะเข้าสู่ขั้นตอนที่สองในการแทรกซึมเข้าระบบ โดยผ่านทางช่องทางที่ใช้กันตามปกติในการดำเนินธุรกิจเช่น ส่งเป็นอีเมล์ที่มีการปลอมแปลงเนื้อหาให้ดูเป็นอีเมล์ปกติที่ทางบริษัทมีการรับส่งเป็นประจำ หรือผ่านเข้ามากับหน่วยความจำUSB หรือแม้แต่ผ่านเข้ามากับการปลอมแปลงหรือมีการใส่กับดักไว้ในเว็บไซต์ที่ผู้ใช้ของบริษัทมีโอกาสได้เข้าไปดูบ่อยๆ

ขั้นตอนต่อไปหลังจากสามารถนำมัลแวร์ไปติดในเครื่องใดเครื่องหนึ่งในระบบได้แล้ว จะเป็นขั้นตอนในการสร้างฐานในการโจมตีขึ้นในระบบ โดยทางมัลแวร์ที่อยู่ในเครื่องพีซีที่ติดไปแล้วจะทำการติดต่อไปยังเซิร์ฟเวอร์สั่งการที่อยู่ภายนอกองค์กรหรือที่เรียกว่า เซิร์ฟเวอร์Command-and-control (C&C) ซึ่งจะดำเนินการสั่งการและควบคุมให้เกิดการโจมตี จากนั้นจะเข้าสู่ขั้นตอนของการตรวจสอบเซิร์ฟเวอร์หรือจุดต่างๆ ภายในระบบเพื่อหาสถานที่ที่มีข้อมูลสำคัญๆ อยู่ จากนั้นก็เข้าสู่ขบวนการสุดท้ายเพื่อโจมตีไปยังเป้าหมายที่เป็นเซิร์ฟเวอร์ที่มีข้อมูลสำคัญๆ อยู่และทำการขโมยออกไป เป็นต้น

สิ่งที่ทางผู้บริหารควรรู้อีกอย่างหนึ่งคือ การลงโปรแกรมแอนตี้ไวรัสไว้ในเครื่องพีซีที่ใช้อยู่ในบริษัทเพียงอย่างเดียว อาจไม่สามารถป้องกันเครื่องจากการติดมัลแวร์ได้ร้อยเปอร์เซ็นต์ โดยหลักการแล้ว สิ่งสำคัญที่จะป้องกันการโจมตีทางไซเบอร์ คือการที่เราต้องพยายามป้องกันการโจมตีตั้งแต่ในขั้นตอนของการแทรกซึมเข้าระบบดังกล่าวข้างต้น เช่นมีมาตรการออกมาเพื่อให้ผู้ใช้งานในบริษัทไม่เปิดอีเมล์ที่น่าสงสัย

แต่อย่างไรก็ตามต้องยอมรับว่าในปัจจุบันการโจมตีทางอีเมล์เป็นสิ่งที่สังเกตได้ยากขึ้นเพราะผู้โจมตีจะพยายามทำให้ถูกสังเกตพบได้ยาก อย่างเช่นใช้หัวเรื่องของอีเมล์หรือชื่อของไฟล์แนบเป็นหัวข้อที่เกี่ยวข้องกับธุรกิจหรือเนื้องาน อย่างที่กล่าวข้างต้นว่าในการโจมตีอย่างมีเป้าหมาย ผู้โจมตีจะมีการตรวจสอบองค์กรที่จะโจมตีก่อนเป็นอย่างดี ดังนั้นอีเมล์ที่มีไฟล์ที่มีมัลแวร์อยู่ก็อาจจะใช้หัวข้ออีเมล์หรือชื่อไฟล์แนบจำพวก เรื่องเกี่ยวกับการสอบถามเกี่ยวกับผลิตภัณฑ์ การสั่งซื้อ การขอเข้าสัมภาษณ์ผู้บริหาร การเปลี่ยนแปลงของสวัสดิการต่างๆ เป็นต้น

มาตรการในการป้องกันขั้นพื้นฐานเพื่อจัดการกับความเสี่ยงที่เกิดจากถูกโจมตีดังกล่าว จะประกอบด้วยการจัดการในทุกขั้นตอน เริ่มจากขั้นตอนของการป้องกันไม่ให้เหตุการณ์การโจมตีเข้าสู่องค์กรเกิดขึ้นได้สำเร็จ ขั้นต่อไปคือกรณีถ้าเกิดตรวจพบการโจมตีขึ้น ต้องมีมาตรการในการลดขอบเขตความเสียหายและผลกระทบให้น้อยที่สุด โดยสิ่งสำคัญเพื่อการนี้คือการที่องค์กรของเราต้องมีการสร้างหน่วยงานหรือระบบตรวจสอบเพื่อให้สามารถจับสัญญานของเหตุการณ์การโจมตีที่เกิดขึ้นได้อย่างทันท่วงที และเนื่องด้วยผลเสียที่เกิดจากถูกโจมตีอาจนำไปสู่ความเสียหายร้ายแรงได้ คณะผู้บริหารระดับสูงของบริษัทต้องตระหนักอยู่เสมอถึงภัยหรือความเสี่ยงที่เกิดขึ้นจากการถูกโจมตีทางไซเบอร์นี้ และเป็นผู้นำผู้เกี่ยวข้องในองค์กรให้มีการออกแบบและปฏิบัติตามมาตรการป้องกันต่างๆ ดังกล่าวอย่างเคร่งครัด

ตัวอย่างของความเป็นผู้นำของผู้บริหารระดับสูงในการรับมือเมื่อพบว่ามีการโจมตีทางไซเบอร์เกิดขึ้นกับองค์กร ก็เช่นต้องมีการกำหนดหน่วยงานและตัวบุคคลที่มีหน้าที่รับผิดชอบในการตัดสินใจ ในการรวบรวมข้อมูลเกี่ยวกับการโจมตีทางไซเบอร์ตั้งแต่ระดับผู้บริหารระดับสูง ผู้บริหารระดับกลาง เรื่อยไปจนถึงระดับปฏิบัติการให้ชัดเจน เพื่อที่ว่าเมื่อเกิดการโจมตีขึ้น ข้อมูลที่เกี่ยวข้องจะถูกส่งจากระดับปฏิบัติการขึ้นไปตามลำดับจนถึงผู้บริหารระดับสูงที่ถูกกำหนดหน้าที่ให้รับผิดชอบไว้แล้วอย่างทันท่วงที

นอกจากนั้นแล้ว คณะผู้บริหารระดับสูงควรมีความรับผิดชอบในการตัดสินใจในเรื่องสำคัญที่มีผลกระทบต่อธุรกิจอย่างมีนัยสำคัญต่างๆ ไม่ว่าจะเป็นความจำเป็นในการแจ้งหรือติดต่อให้ลูกค้าที่ได้รับผลกระทบทราบ ความจำเป็นในการแจ้งไปยังหน่วยงานภาครัฐที่เกี่ยวข้องเช่นตำรวจ ความจำเป็นและช่วงเวลาที่เหมาะสมในการแถลงข้อเท็จจริงต่อสาธารณะ (เทียบกับการปิดเงียบไว้แล้วเกิดข่าวลือภายหลัง) ความจำเป็นในการหยุดให้บริการในส่วนของระบบที่ถูกโจมตีและอื่นๆ เป็นต้นนั่นเอง

4F39FF60-E4BD-48D1-B96F-4EC67D202F1C

Related Articles

0 Comments

No Comments Yet!

There are no comments at the moment, do you want to add one?

Write a comment

Write a Comment

This site uses Akismet to reduce spam. Learn how your comment data is processed.

BannerWeb_CIOworld_3
300x250 (B2)
Banner (320x250 Pixel) EDIT
CEBIT_webbanner_320x250pxl_TH

Like Us On Facebook

Facebook Pagelike Widget
communication

Categories

Newsletters

ลงทะเบียนรับข่าวสารจาก CIOWorldMagazine.com