ยินดีต้อนรับสู่ส่วนที่ D: ลักษณะองค์กรด้านความมั่นคงปลอดภัยไซเบอร์ (Cybersecurity Organisational Characteristics)
สวัสดีครับ! ยินดีต้อนรับเข้าสู่บทเรียนที่สำคัญที่สุดบทหนึ่งในหลักสูตร P3 ของคุณ ในอดีต องค์กรมักมองว่าความมั่นคงปลอดภัยไซเบอร์เป็นปัญหาทางเทคนิคที่มอบหมายให้ฝ่าย IT รับผิดชอบทั้งหมด แต่ในการบริหารความเสี่ยงระดับองค์กรยุคใหม่ Cybersecurity ได้รับการยอมรับว่าเป็นความเสี่ยงทางธุรกิจในภาพรวมที่ถูกกำกับดูแลโดยการออกแบบโครงสร้างองค์กร ความเป็นผู้นำ วัฒนธรรม และการควบคุมระดับปฏิบัติการ
ทำไมเรื่องนี้ถึงสำคัญ? ในฐานะมืออาชีพด้านการเงินเชิงกลยุทธ์ คุณต้องเข้าใจว่าองค์กรจัดโครงสร้างด้านธรรมาภิบาล ทรัพยากรมนุษย์ ความสัมพันธ์กับบุคคลภายนอก และการควบคุมภายในอย่างไร เพื่อป้องกันภัยคุกคามทางไซเบอร์และปกป้องมูลค่าของผู้ถือหุ้น
1. ธรรมาภิบาล ความรับผิดชอบ และความเป็นผู้นำ
องค์กรที่มีความยืดหยุ่นทางไซเบอร์ (Cyber-resilient) เริ่มต้นจากธรรมาภิบาลที่เข้มแข็งและ การส่งสัญญาณจากระดับบน (Tone at the Top) ที่ชัดเจน
การกำกับดูแลของคณะกรรมการและการส่งสัญญาณจากระดับบน
คณะกรรมการบริษัท (Board of Directors) มีหน้าที่รับผิดชอบสูงสุดต่อการบริหารความเสี่ยงระดับองค์กร ซึ่งรวมถึงความเสี่ยงทางไซเบอร์ แม้ว่ากรรมการไม่จำเป็นต้องมีทักษะการเขียนโค้ดทางเทคนิค แต่ต้องทำหน้าที่ดังนี้:
• กำหนด ระดับความเสี่ยงที่ยอมรับได้ทางไซเบอร์ (Cyber Risk Appetite) และขอบเขตความเสี่ยงที่ยอมรับได้ (Risk Tolerance)
• ตรวจสอบให้แน่ใจว่ามี การจัดสรรทรัพยากร (Resource Allocation) ที่เพียงพอสำหรับโครงการความมั่นคงปลอดภัยไซเบอร์ เทคโนโลยี และการฝึกอบรม
• กำหนดและสื่อสารมาตรฐานระดับสูงเกี่ยวกับ ความซื่อสัตย์สุจริตและค่านิยมทางจริยธรรม (Integrity and Ethical Values) ในการคุ้มครองข้อมูลและสินทรัพย์ดิจิทัล
• เอาผิดและกำหนดความรับผิดชอบต่อฝ่ายบริหารระดับสูงในการพัฒนาและรักษาโครงการบริหารความเสี่ยงทางไซเบอร์ (Cybersecurity Risk Management Programme - CRMP)
เปรียบเทียบ: ให้มองคณะกรรมการเหมือนกัปตันเรือ พวกเขาไม่ได้ลงไปซ่อมเครื่องยนต์เรือด้วยตนเองโดยตรง แต่มีหน้าที่รับผิดชอบต่อการเดินทางที่ปลอดภัย โปรโตคอลความปลอดภัย การจัดหาทรัพยากร และทำให้มั่นใจว่าเรือจะไม่แล่นเข้าไปในน่านน้ำอันตรายเพียงเพื่อลดต้นทุน
ความรับผิดชอบและบทบาทของ CISO
โครงสร้างองค์กรที่มีวุฒิภาวะสูงจะกำหนดสายการบังคับบัญชาและความรับผิดชอบอย่างชัดเจน หลายองค์กรได้แต่งตั้ง ประธานเจ้าหน้าที่ฝ่ายความมั่นคงปลอดภัยสารสนเทศ (Chief Information Security Officer หรือ CISO) ซึ่ง CISO จะทำหน้าที่เป็นสะพานเชื่อมระหว่างการปฏิบัติการด้านความปลอดภัยทางเทคนิคกับกลยุทธ์ธุรกิจระดับผู้บริหาร เพื่อให้มั่นใจว่าความเสี่ยงทางไซเบอร์ได้รับการรายงานอย่างเป็นกลางไปยังฝ่ายบริหารระดับสูงและคณะกรรมการความเสี่ยงของคณะกรรมการบริษัท
การสรรหาและพัฒนาบุคลากรที่มีคุณสมบัติเหมาะสม
ขีดความสามารถด้านความมั่นคงปลอดภัยไซเบอร์ขึ้นอยู่กับทรัพยากรมนุษย์ที่มีความสามารถเป็นอย่างมาก ลักษณะองค์กรที่มีความยืดหยุ่นทางไซเบอร์ประกอบด้วย:
• การตรวจสอบและคัดกรองประวัติ (Vetting and Screening): การตรวจสอบประวัติสำหรับพนักงานและผู้รับจ้างที่ต้องจัดการกับข้อมูลที่มีความอ่อนไหว
• การว่าจ้างบุคลากรที่มีคุณสมบัติเหมาะสม: การสรรหามืออาชีพที่มีความเชี่ยวชาญและได้รับการรับรองมาตรฐานในด้านสถาปัตยกรรมความปลอดภัยและการวิเคราะห์ความเสี่ยง
• การฝึกอบรมและพัฒนาอย่างต่อเนื่อง: การอัปเดตข้อมูลให้เจ้าหน้าที่ฝ่ายความมั่นคงปลอดภัยไซเบอร์ก้าวทันภัยคุกคามรูปแบบใหม่ๆ และภาระผูกพันตามกฎระเบียบอยู่เสมอ
2. การบริหารความเสี่ยงทางไซเบอร์ของคู่ค้าและพันธมิตรทางธุรกิจ
องค์กรยุคใหม่พึ่งพาบุคคลภายนอก (Third Parties) อย่างกว้างขวาง รวมถึงผู้ให้บริการคลาวด์ ผู้จำหน่ายซอฟต์แวร์ ศูนย์บริการที่ว่าจ้างจากภายนอก (Outsourced Service Centres) และพันธมิตรในห่วงโซ่อุปทาน อย่างไรก็ตาม การจ้างบุคคลภายนอกดำเนินงานไม่ได้หมายความว่าเป็นการโอนย้ายความเสี่ยงออกไปด้วย
การบริหารความเสี่ยงจากบุคคลภายนอก (Third-Party Risk Management - TPRM)
องค์กรต้องระบุ ประเมิน และจัดการความเสี่ยงที่เกิดจากการเชื่อมต่อและการทำงานร่วมกับบุคคลภายนอก:
• การตรวจสอบสถานะและการเริ่มต้นความสัมพันธ์ (Due Diligence and Onboarding): การประเมินมาตรการควบคุมความมั่นคงปลอดภัยไซเบอร์และสถานะการปฏิบัติตามกฎระเบียบของผู้ขายที่คาดหวังก่อนทำสัญญา
• ข้อผูกพันตามสัญญาและ SLA: การรวมมาตรฐานความมั่นคงปลอดภัยไซเบอร์ สิทธิในการตรวจสอบ (Right-to-Audit Clauses) ข้อกำหนดในการแจ้งเตือนเมื่อเกิดเหตุข้อมูลรั่วไหล และข้อกำหนดในการปกป้องข้อมูลเข้าไว้ในข้อตกลงระดับการให้บริการ (Service Level Agreements - SLAs)
• หลักการให้สิทธิเท่าที่จำเป็น (Principle of Least Privilege): การจำกัดการเข้าถึงระบบของผู้ขายและคู่ค้าไว้เฉพาะสิ่งที่จำเป็นสำหรับหน้าที่ทางธุรกิจนั้นๆ อย่างเคร่งครัด
• การติดตามผลอย่างต่อเนื่อง: การทบทวนรายงานการตรวจสอบของบุคคลภายนอกเป็นระยะ (เช่น การรับรองมาตรฐาน SOC 2 หรือ ISO 27001) และการประเมินช่องโหว่ในห่วงโซ่อุปทาน
3. การสื่อสารวัตถุประสงค์และความคาดหวังด้านความมั่นคงปลอดภัยไซเบอร์
กรอบการทำงานด้านความมั่นคงปลอดภัยไซเบอร์ที่ดีจำเป็นต้องมีการสื่อสารวัตถุประสงค์ ความคาดหวัง และความรับผิดชอบอย่างสม่ำเสมอไปยังทั้งผู้ใช้งานภายในและภายนอก
ผู้ใช้งานภายใน (พนักงานและผู้รับจ้าง)
• การสื่อสารความคาดหวังที่ชัดเจนเกี่ยวกับการปกป้องรหัสผ่าน ข้อมูลประจำตัว และข้อมูลที่มีความอ่อนไหว
• การจัดโปรแกรมสร้างความตระหนักรู้อย่างสม่ำเสมอ ซึ่งครอบคลุมกลวิธีวิศวกรรมสังคม (Social Engineering) ทั่วไป เช่น Phishing และการโจมตีโดยการแอบอ้างบุคคล (Impersonation Attacks)
• การส่งเสริมวัฒนธรรมที่ตอบสนองและสนับสนุนกัน โดยที่พนักงานได้รับการสนับสนุนให้รายงานการเผลอคลิกลิงก์หรือข้อสงสัยเกี่ยวกับช่องโหว่ในทันทีโดยไม่ต้องกลัวว่าจะถูกลงโทษ
ผู้ใช้งานภายนอก (ลูกค้า ผู้ใช้บริการ และพันธมิตรทางธุรกิจ)
• การสื่อสารข้อกำหนดเกี่ยวกับการยืนยันตัวตนแบบหลายปัจจัย (Multi-Factor Authentication - MFA) และขั้นตอนการโต้ตอบที่ปลอดภัยสำหรับพอร์ทัลและบัญชีลูกค้า
• การเผยแพร่ประกาศความเป็นส่วนตัวและคำชี้แจงด้านความปลอดภัยที่ชัดเจนเพื่ออธิบายถึงวิธีการจัดการและปกป้องข้อมูลที่มีความอ่อนไหว
• การสร้างช่องทางที่เป็นทางการและปลอดภัยสำหรับพันธมิตรและนักวิจัยด้านความปลอดภัยในการรายงานช่องโหว่หรือเหตุการณ์ที่พบ
4. นโยบายและมาตรการควบคุมความมั่นคงปลอดภัยไซเบอร์
ธรรมาภิบาลขององค์กรถูกนำไปปฏิบัติจริงผ่านนโยบายบริษัทที่เป็นทางการและมาตรการควบคุมภายในที่กำหนดขึ้นเพื่อจัดการกับช่องโหว่ต่างๆ
นโยบายหลักด้านความมั่นคงปลอดภัยไซเบอร์
• นโยบายการใช้งานที่ยอมรับได้ (Acceptable Use Policy - AUP): กำหนดแนวทางการใช้งานที่ยอมรับได้สำหรับสินทรัพย์ IT ของบริษัท อุปกรณ์ส่วนตัว (BYOD) และช่องทางดิจิทัลต่างๆ
• นโยบายการควบคุมการเข้าถึง (Access Control Policy): กำกับการจัดสรรสิทธิผู้ใช้ การยืนยันตัวตนแบบหลายปัจจัย รหัสผ่านที่ปลอดภัย และการกำหนดสิทธิการเข้าถึงตามบทบาทหน้าที่ (Role-Based Access)
• นโยบายการจัดประเภทและการจัดการข้อมูล (Data Classification and Handling Policy): จัดประเภทข้อมูล (เช่น ข้อมูลสาธารณะ ข้อมูลภายใน ข้อมูลลับ ข้อมูลลับจำกัดสิทธิ์) และกำหนดโปรโตคอลสำหรับการเข้ารหัส การจัดเก็บ และการเก็บรักษาข้อมูล
มาตรการควบคุมเชิงป้องกันเทียบกับมาตรการควบคุมเชิงตรวจพบ (Preventive vs Detective Controls)
• มาตรการควบคุมเชิงป้องกัน (Preventive Controls): ออกแบบมาเพื่อป้องกันไม่ให้เกิดเหตุการณ์ขึ้น (เช่น ไฟร์วอลล์ การเข้ารหัสข้อมูลขณะจัดเก็บและขณะส่งผ่าน การยืนยันตัวตนแบบหลายปัจจัย การแบ่งแยกหน้าที่ในการดูแลระบบ IT)
• มาตรการควบคุมเชิงตรวจพบ (Detective Controls): ออกแบบมาเพื่อระบุเหตุการณ์และช่องโหว่ได้อย่างทันท่วงที (เช่น การบันทึกเหตุการณ์ของระบบแบบอัตโนมัติ ระบบตรวจจับการบุกรุก การสแกนหาช่องโหว่ตามรอบเวลา การประเมินความปลอดภัยโดยบุคคลที่เป็นอิสระ)
5. โมเดลการป้องกันสามระดับ (Three Lines of Defence) ในความมั่นคงปลอดภัยไซเบอร์
CIMA นำโมเดล Three Lines of Defence มาปรับใช้เพื่อให้การสร้างความเชื่อมั่นต่อความเสี่ยงทางไซเบอร์เป็นไปอย่างมีโครงสร้าง:
ระดับที่ 1: ฝ่ายปฏิบัติการและฝ่ายเทคโนโลยีสารสนเทศ (Operational Management and IT Functions)
รับผิดชอบการบริหารความเสี่ยงในแต่ละวัน การดูแลรักษาการกำหนดค่าระบบให้ปลอดภัย การติดตั้งแพตช์ระบบ การตั้งกฎไฟร์วอลล์ และการบังคับใช้มาตรการควบคุมความปลอดภัยในการปฏิบัติงาน
ระดับที่ 2: การบริหารความเสี่ยงและการปฏิบัติตามกฎระเบียบด้านความมั่นคงปลอดภัยสารสนเทศ (Risk Management and Information Security Compliance)
กำหนดกรอบการทำงานและนโยบายด้านความมั่นคงปลอดภัยไซเบอร์ในภาพรวม ติดตามความเสี่ยงที่เปิดรับเทียบกับความเสี่ยงที่คณะกรรมการยอมรับได้ ติดตามการปฏิบัติตามกฎระเบียบ และทำหน้าที่ท้าทายการปฏิบัติงานของระดับที่ 1 อย่างเป็นอิสระ
ระดับที่ 3: การตรวจสอบภายใน (Internal Audit)
ให้ความเชื่อมั่นที่เป็นอิสระและเป็นกลางแก่คณะกรรมการและคณะกรรมการตรวจสอบ เกี่ยวกับความเพียงพอและประสิทธิผลในการปฏิบัติงานของทั้งการควบคุมในระดับที่ 1 และธรรมาภิบาลในระดับที่ 2
6. สรุปและการทบทวนเพื่อเตรียมสอบ
ข้อผิดพลาดทั่วไปที่ควรหลีกเลี่ยงในการสอบ:
• มองว่าความเสี่ยงทางไซเบอร์เป็นเรื่องของฝ่าย IT เท่านั้น: ความเสี่ยงทางไซเบอร์เป็นความเสี่ยงระดับองค์กรที่มีคณะกรรมการและผู้บริหารระดับสูงเป็นเจ้าของความเสี่ยง
• ละเลยความเสี่ยงจากบุคคลภายนอก: การรั่วไหลของข้อมูลมักมีจุดเริ่มต้นมาจากผู้ขายภายนอกและพันธมิตรในห่วงโซ่อุปทานที่มีสิทธิเข้าถึงระบบ
• มองข้ามการควบคุมด้านทรัพยากรมนุษย์: ความมั่นคงปลอดภัยไซเบอร์ที่มีประสิทธิภาพต้องอาศัยพนักงานที่มีความสามารถ ผ่านการตรวจสอบประวัติ และได้รับการฝึกอบรมอย่างต่อเนื่อง ไม่ใช่พึ่งพาแค่เครื่องมือซอฟต์แวร์ทางเทคนิคเท่านั้น
สรุปทบทวนสั้นๆ:
• Tone at the Top: คณะกรรมการเป็นผู้กำหนดความเสี่ยงที่ยอมรับได้ ระดับทรัพยากร และความคาดหวังทางจริยธรรม
• ทุนมนุษย์ (Human Capital): การตรวจสอบประวัติ การว่าจ้างบุคลากรที่มีคุณสมบัติเหมาะสม และการฝึกอบรมอย่างต่อเนื่องจะช่วยลดช่องโหว่
• การบริหารจัดการคู่ค้า (Vendor Management): การตรวจสอบสถานะอย่างรอบคอบ ข้อตกลง SLA และการให้สิทธิเข้าถึงเท่าที่จำเป็นจะช่วยจัดการความเสี่ยงจากห่วงโซ่อุปทาน
• การสื่อสาร: ต้องสื่อสารความคาดหวังด้านความปลอดภัยอย่างสม่ำเสมอไปยังทั้งผู้ใช้งานภายในและภายนอก
• นโยบายและการควบคุม: นโยบายที่เป็นทางการจะช่วยสนับสนุนมาตรการควบคุมเชิงป้องกัน (การหยุดยั้งภัยคุกคาม) และมาตรการควบคุมเชิงตรวจพบ (การตรวจพบภัยคุกคามอย่างรวดเร็ว)
• Three Lines of Defence: ฝ่ายปฏิบัติการ (ระดับที่ 1), ความเสี่ยงและการปฏิบัติตามกฎระเบียบ (ระดับที่ 2) และการตรวจสอบภายใน (ระดับที่ 3)