ทำความรู้จัก Cyber Resilience แนวปฏิบัติสำคัญยุคดิจิทัล

ในยุคที่ภัยคุกคามทางไซเบอร์พัฒนาอย่างรวดเร็วและซับซ้อนมากขึ้น การป้องกันเพียงอย่างเดียวอาจไม่เพียงพออีกต่อไป องค์กรจึงจำเป็นต้องมีแนวทางที่ครอบคลุมตั้งแต่การเตรียมพร้อม รับมือ ไปจนถึงการฟื้นฟูระบบหลังเกิดเหตุการณ์ ซึ่งแนวคิดนี้เรียกว่า Cyber Resilience แต่ Cyber Resilience แปลว่าอะไรแล้วสำคัญต่อองค์กรอย่างไร สามารถเรียนรู้ไปพร้อมกันในบทความนี้

Cyber Resilience คืออะไร?

Cyber Resilience คือ ความสามารถขององค์กรในการเตรียมความพร้อม รับมือ และตอบสนองต่อภัยคุกคามทางไซเบอร์ รวมถึงการกู้คืนระบบและกระบวนการทำงานให้กลับสู่ภาวะปกติได้อย่างรวดเร็ว แนวคิดนี้มุ่งเน้น “ความยืดหยุ่น” และ “ความต่อเนื่องทางธุรกิจ” มากกว่าการป้องกันเพียงอย่างเดียว

ปัจจุบัน Cyber Resilience มีบทบาทสำคัญมากขึ้น เนื่องจากภัยคุกคามไซเบอร์มีหลากหลายรูปแบบ ตั้งแต่การโจมตีแบบ ransomware การรั่วไหลของข้อมูล ไปจนถึงช่องโหว่จากเทคโนโลยีใหม่ ๆ ที่องค์กรอาจไม่สามารถป้องกันได้ทั้งหมด ดังนั้น การมีแผนรับมือที่ชัดเจน กระบวนการจัดการที่เป็นระบบ และแนวทางฟื้นฟูที่มีประสิทธิภาพ จึงเป็นสิ่งจำเป็นเพื่อให้ธุรกิจดำเนินต่อไปได้อย่างไม่สะดุด

Cyber Resilience สำคัญอย่างไรต่อองค์กรในยุคดิจิทัล

การสร้าง Cyber Resilience ถือเป็นแนวปฏิบัติที่ดีที่สุดสำหรับองค์กรยุคดิจิทัล เพราะช่วยให้สามารถวางแผนรับมือความเสี่ยงไซเบอร์ในหลายรูปแบบได้อย่างเป็นระบบ ครอบคลุมทั้งการเตรียมความพร้อม การตอบสนองเมื่อเกิดเหตุการณ์ และการฟื้นฟูหลังเหตุการณ์

รากฐานของกลยุทธ์ Cyber Resilience ที่มีประสิทธิภาพ คือ การประเมินความเสี่ยงทางไซเบอร์อย่างรอบด้าน ไม่ว่าจะเป็นภัยคุกคามจากภายในองค์กร เช่น ความผิดพลาดของพนักงาน การลบข้อมูลโดยไม่ตั้งใจ หรือภัยคุกคามจากภายนอก เช่น การเจาะระบบ และ Ransomware เมื่อองค์กรเข้าใจความเสี่ยงที่อาจเผชิญได้อย่างชัดเจน ก็จะสามารถออกแบบมาตรการป้องกันและแผนรับมือได้เหมาะสมกับบริบททางธุรกิจ

การเป็นองค์กรที่มี Cyber Resilience ไม่ได้หมายถึงการไม่ถูกโจมตีเลย แต่หมายถึงความสามารถในการรักษาการดำเนินงานให้ต่อเนื่อง ลดผลกระทบ และกลับมาดำเนินการได้อย่างรวดเร็วที่สุด

ข้อได้เปรียบที่องค์กรคุณจะได้รับเมื่อมีแผน Cyber Resilience

แม้ว่าการโจมตีทางไซเบอร์จะเกิดขึ้นบ่อยครั้งและมีความซับซ้อนมากขึ้น แต่อีกหลายองค์กรยังไม่มีความพร้อมเพียงพอในการรับมือ กลยุทธ์ Cyber Resilience ที่แข็งแกร่งจึงช่วยให้องค์กรสามารถป้องกัน ลดผลกระทบ และฟื้นฟูได้อย่างมีประสิทธิภาพ โดยมีประโยชน์สำคัญดังนี้

ลดความเสี่ยงต่อผลกระทบทางเศรษฐกิจ

การถูกโจมตีหรือข้อมูลรั่วไหลอาจสร้างความเสียหายทางการเงินอย่างมหาศาล โดยต้นทุนเฉลี่ยของการละเมิดข้อมูลในปี 2022 อยู่ที่ประมาณ £3,270 ต่อเหตุการณ์ และต้นทุนจะเพิ่มสูงขึ้นตามขนาดขององค์กร ค่าใช้จ่ายเหล่านี้อาจเกิดจากการหยุดชะงักของพนักงาน การกู้คืนระบบ ค่าเสียโอกาสทางธุรกิจ มูลค่าหุ้นที่ลดลง หรือแม้กระทั่งค่าไถ่จาก ransomware

นอกจากนี้ หากองค์กรไม่สามารถพิสูจน์ได้ว่ามีมาตรการปกป้องข้อมูลที่เหมาะสม อาจต้องเผชิญค่าปรับจำนวนมาก ตัวอย่างเช่น ในสหราชอาณาจักร ค่าปรับจากการละเมิดข้อมูลอาจสูงถึง 17.5 ล้านปอนด์ หรือ 4% ของรายได้รวมทั่วโลกต่อปี แล้วแต่ว่าจำนวนใดจะสูงกว่า

ระยะเวลาการกู้คืนที่รวดเร็วขึ้น 

การมีแผนที่ชัดเจนและซักซ้อมอย่างสม่ำเสมอช่วยให้องค์กรสามารถฟื้นตัวได้รวดเร็ว เพราะพนักงานทุกคนเข้าใจบทบาทและหน้าที่ของตนเองเมื่อเกิดเหตุการณ์จริง

ในสถานการณ์การโจมตีไซเบอร์ เวลาเป็นปัจจัยสำคัญ หากไม่มีการเตรียมตัวล่วงหน้า การรับมืออาจกลายเป็นความโกลาหล ส่งผลให้ความเสียหายขยายวงกว้างมากขึ้น

สร้างความสอดคล้องตามกฎหมายและข้อบังคับ 

องค์กรมีหน้าที่รับผิดชอบในการปกป้องข้อมูลของลูกค้าให้เป็นไปตามกฎหมายและข้อบังคับ เช่น GDPR หากไม่ปฏิบัติตาม อาจถูกปรับ ถูกฟ้องร้อง หรือสูญเสียความน่าเชื่อถือ

การพัฒนากลยุทธ์ Cyber Resilience ช่วยให้องค์กรสามารถระบุข้อกำหนดด้านกฎหมายที่เกี่ยวข้อง วิเคราะห์ความเสี่ยง และกำหนดมาตรการให้สอดคล้องกับข้อบังคับได้อย่างเป็นระบบ

เพิ่มความเชื่อมั่นของลูกค้า

ในยุคที่ความเป็นส่วนตัวทางออนไลน์เป็นประเด็นสำคัญ ความล้มเหลวในการจัดการเหตุการณ์ไซเบอร์อาจส่งผลเสียต่อชื่อเสียงองค์กรอย่างถาวร

การมี Cyber Resilience Strategy ที่ชัดเจนช่วยสร้างความมั่นใจให้ลูกค้าและคู่ค้า ว่าองค์กรให้ความสำคัญกับการปกป้องข้อมูลอย่างจริงจัง และสามารถรับมือกับสถานการณ์วิกฤตได้อย่างมืออาชีพ

ความต่อเนื่องทางธุรกิจ (Business Cotinuity)

Cyber Resilience ช่วยเสริมสร้างความยั่งยืนขององค์กรในระยะยาว โดยลดโอกาสที่ภัยคุกคามจะส่งผลกระทบต่อการดำเนินธุรกิจอย่างรุนแรง

แผนตอบสนองที่มีประสิทธิภาพจะช่วยลดความเสี่ยง ควบคุมความเสียหาย และทำให้องค์กรสามารถดำเนินงานต่อไปได้ แม้เผชิญเหตุการณ์ไม่คาดคิด

ความแตกต่างระหว่าง Cyber Resilience และ Cybersecurity

แม้ทั้งสองคำจะเกี่ยวข้องกับความปลอดภัยทางไซเบอร์ แต่มีจุดเน้นที่แตกต่างกันอย่างชัดเจน

Cybersecurity คือ ความสามารถขององค์กรในการป้องกันและปกป้องระบบจากภัยคุกคามไซเบอร์ที่เพิ่มขึ้นอย่างต่อเนื่อง เป้าหมายหลักคือการลดโอกาสที่การโจมตีจะประสบความสำเร็จ

ในทางกลับกัน Cyber Resilience คือ ความสามารถในการลดความเสียหายต่อระบบ กระบวนการทำงาน และชื่อเสียงขององค์กร รวมถึงความสามารถในการดำเนินงานต่อไปได้ แม้ระบบหรือข้อมูลบางส่วนจะถูกโจมตีหรือถูกละเมิดแล้ว ซึ่ง Cyber Resilience ครอบคลุมทั้งภัยคุกคามจากภายนอก เช่น แฮกเกอร์และ ransomware และภัยคุกคามจากภายใน เช่น การลบข้อมูลโดยไม่ตั้งใจ

หากเปรียบเทียบกัน Cyber Security จะเน้นการสร้างแนวป้องกันเพื่อไม่ให้การโจมตีเกิดขึ้น ขณะที่ Cyber Resilience ยอมรับความจริงว่าไม่มีระบบใดปลอดภัย 100% และจึงเตรียมแผนรองรับไว้เสมอในกรณีที่การโจมตีหลุดรอดเข้ามา ดังนั้นองค์กรจึงจำเป็นต้องมีทั้ง Cybersecurity เพื่อลดโอกาสการโจมตี และ Cyber Resilience เพื่อลดผลกระทบเมื่อการโจมตีเกิดขึ้น

ขั้นตอนการกำหนดนโยบาย Cyber Resilience ให้แก่องค์กร

การสร้าง Cyber Resilience ไม่ใช่เรื่องง่าย เนื่องจากภัยคุกคามมีหลากหลายรูปแบบและเปลี่ยนแปลงอยู่ตลอดเวลา อย่างไรก็ตาม สามารถเริ่มต้นได้ผ่านขั้นตอนสำคัญดังนี้:

วิเคราะห์ความเสี่ยง

กำหนดและวิเคราะห์ความเสี่ยงทั้งหมดที่องค์กรอาจเผชิญ ระบุข้อมูลสำคัญที่อาจตกเป็นเป้าหมาย ช่องโหว่ที่มีอยู่ ความเป็นไปได้ของเหตุการณ์ และมาตรการลดความเสี่ยงที่เหมาะสม

จัดลำดับความสำคัญของเป้าหมายทางธุรกิจ

หลังจากประเมินความเสี่ยงแล้ว ควรกำหนดเป้าหมายทางธุรกิจและลำดับความสำคัญ เพื่อให้แน่ใจว่าทรัพยากรด้านความปลอดภัยถูกใช้ในส่วนที่มีความสำคัญสูงสุด รวมถึงกำหนดความสามารถที่องค์กรต้องมีเมื่อเกิดเหตุการณ์ไซเบอร์

ดำเนินกลยุทธ์ Cyber Resilience โดยมุ่งเน้นที่ทีมงาน

คุณไม่สามารถสร้างแผนรับมือเหตุการณ์ (Incident Response Plan) ที่มีประสิทธิภาพได้ หากมุ่งเน้นเพียงแค่เทคโนโลยีเท่านั้น แม้ว่าโซลูชันด้านเทคโนโลยีจะมีคุณค่า แต่จะเกิดประสิทธิผลได้ก็ต่อเมื่อมีทีมงานที่ผ่านการฝึกอบรมสามารถนำเครื่องมือเหล่านั้นมาใช้งานได้อย่างเหมาะสมและมีประสิทธิภาพ แผนรับมือเหตุการณ์ที่แข็งแกร่งต้องครอบคลุมมากกว่าเทคโนโลยี โดยรวมถึงแผนการสื่อสาร ประเด็นด้านกฎหมาย และกลยุทธ์ควบคุมความเสียหาย

แนวทางแก้ไข: จัดทำแผนรับมือที่ครอบคลุมครบถ้วน
ฝึกอบรมทีมรับมือเหตุการณ์ให้เข้าใจทั้งเครื่องมือและกระบวนการทำงาน ไม่ควรมุ่งเน้นเฉพาะเทคโนโลยีเพียงอย่างเดียว

• พัฒนาขั้นตอนและแนวทางการสื่อสารที่ชัดเจน
• กำหนดบทบาทและความรับผิดชอบอย่างชัดเจน
• ทำให้ทีมเข้าใจภาระผูกพันทางกฎหมายในการรายงานเหตุการณ์ และการปฏิบัติตามข้อกำหนดด้านการละเมิดข้อมูล

ทบทวนและพัฒนาอย่างต่อเนื่อง

เป็นความเข้าใจผิดที่พบบ่อยว่า เมื่อสร้างแผนรับมือเหตุการณ์แล้ว ไม่จำเป็นต้องปรับปรุงเพิ่มเติม อย่างไรก็ตาม ความจริงคือ หากไม่มีการทบทวน อัปเดต และฝึกซ้อมอย่างสม่ำเสมอ แผนรับมือจะสูญเสียประสิทธิภาพ นอกจากนี้ หากไม่มีการจำลองสถานการณ์ และการวิเคราะห์หลังเกิดเหตุการณ์  องค์กรจะไม่สามารถค้นหาสาเหตุที่แท้จริงของปัญหา และป้องกันไม่ให้เกิดซ้ำในอนาคตได้

แนวทางแก้ไข: ทบทวนแผนรับมืออย่างสม่ำเสมอ

• กำหนดกระบวนการทบทวนแผนอย่างเป็นระบบและต่อเนื่อง
• ปรับปรุงแผนให้สอดคล้องกับ Threat Landscape ที่เปลี่ยนแปลงอยู่เสมอ
• ดำเนินการจำลองสถานการณ์เป็นระยะ เพื่อปรับปรุงกลยุทธ์การตอบสนองและสร้างความพร้อมให้ทีมงาน

แนวทางข้างต้นจะช่วยให้องค์กรสามารถสร้างแผนรับมือเหตุการณ์เชิงรุกได้อย่างมีประสิทธิภาพ อย่างไรก็ตาม หากองค์กรขาดทรัพยากรหรือเครื่องมือที่เพียงพอ การขอความช่วยเหลือจากผู้เชี่ยวชาญก็เป็นอีกหนึ่งกลยุทธ์ที่เหมาะสม ควรพิจารณาร่วมมือกับผู้ให้บริการด้านความมั่นคงปลอดภัยไซเบอร์ที่มีประสบการณ์ เพื่อเสริมศักยภาพในการป้องกันและรับมือภัยคุกคามอย่างครบวงจร

องค์ประกอบหลักสำคัญของ Cyber Resilience

Assessment Framework

เพื่อประเมินระดับความพร้อมด้าน Cyber Resilience หลายองค์กรนิยมใช้กรอบการประเมิน (Assessment Framework) ที่ช่วยกำหนดโครงสร้างการดำเนินงานอย่างเป็นระบบ โดยมีองค์ประกอบสำคัญดังนี้

Framework Implementation Tiers

Framework Implementation Tiers ระบุระดับความพร้อมขององค์กรด้านการบริหารความเสี่ยงไซเบอร์ แบ่งออกเป็น 4 ระดับ ได้แก่

• Tier 1 – Partial: ยังไม่มีการจัดการความเสี่ยงอย่างเป็นระบบ เป็นการแก้ปัญหาเฉพาะหน้า

• Tier 2 – Risk Informed: มีการบริหารความเสี่ยง แต่ยังไม่เป็นทางการ

• Tier 3 – Repeatable: มีนโยบายที่ได้รับอนุมัติและนำไปใช้ทั่วองค์กร

• Tier 4 – Adaptive: มีการพัฒนาและปรับปรุงแนวทางอย่างต่อเนื่อง เพื่อรองรับภัยคุกคามรูปแบบใหม่

Framework Profiles

Framework Profiles คือ การกำหนดลักษณะเฉพาะขององค์กร เช่น ประเภทธุรกิจ วัตถุประสงค์ วัฒนธรรมองค์กร และการเปรียบเทียบสถานะปัจจุบันกับเป้าหมายที่ต้องการ เพื่อวางแผนพัฒนาในอนาคต

Framework Core

Framework Core คือ ชุดหลักการและกิจกรรมด้านความมั่นคงปลอดภัยเทคโนโลยีสารสนเทศที่องค์กรต้องนำไปปฏิบัติ เพื่อให้บรรลุผลลัพธ์ด้านการบริหารความเสี่ยง หนึ่งในกรอบทำงานที่ได้รับความนิยมทั่วโลกคือ National Institute of Standards and Technology หรือ NIST ซึ่งได้พัฒนา NIST Cybersecurity Framework เพื่อเป็นแนวทางบริหารจัดการความมั่นคงปลอดภัยไซเบอร์อย่างเป็นระบบ โดยมีองค์ประกอบหลัก 6 ด้าน ดังนี้

1. การระบุความเสี่ยง (Identification)

กำหนดขอบเขตการประเมินความเสี่ยง บริหารจัดการทรัพย์สิน IT วิเคราะห์บริบททางธุรกิจ และจัดลำดับความสำคัญให้สอดคล้องกับทรัพยากรและกลยุทธ์องค์กร

2. การป้องกัน (Protection)

กำหนดมาตรการควบคุม เช่น การตั้งค่า Security Baseline การบริหารสิทธิ์เข้าถึง การพัฒนา Secure SDLC การจัดการ Patch และการฝึกอบรม Security Awareness เพื่อควบคุมความเสี่ยงให้อยู่ในระดับที่เหมาะสม

3. การตรวจจับ (Detection)

ติดตามพฤติกรรมผิดปกติ ทดสอบช่องโหว่ และดำเนินการเฝ้าระวังอย่างต่อเนื่อง

4. การตอบสนอง (Response)

กำหนดแผนรับมือ ขั้นตอนการสื่อสาร การสืบสวน วิเคราะห์สาเหตุ และจัดทำรายงาน รวมถึงปรับปรุงมาตรการหลังเหตุการณ์ 

5. การกู้คืน (Recovery)

วางแผนกู้คืนระบบ ทดสอบแผนฉุกเฉิน และกำหนดแนวทางสื่อสารเมื่อเกิดเหตุ เพื่อให้องค์กรสามารถกลับมาดำเนินงานได้รวดเร็วและลดผลกระทบทางธุรกิจ การนำแนวคิดเหล่านี้มาปรับใช้ร่วมกับโซลูชันบริหารจัดการด้าน IT และความมั่นคงปลอดภัยที่เหมาะสม จะช่วยให้องค์กรสร้าง Cyber Resilience ได้อย่างเป็นรูปธรรม และพร้อมรับมือกับความท้าทายในโลกดิจิทัลอย่างมั่นคงในระยะยาว

6. การกำกับดูแลและบริหารความมั่นคงปลอดภัยในระดับองค์กร (Govern)

Govern คือองค์ประกอบใหม่ที่ถูกเพิ่มเข้ามาใน NIST Cybersecurity Framework 2.0 เพื่อสะท้อนให้เห็นว่า Cybersecurity ไม่ได้เป็นเพียงภารกิจของฝ่าย IT เท่านั้น แต่เป็นความรับผิดชอบเชิงกลยุทธ์ในระดับองค์กร โดยเฉพาะในระดับผู้บริหารและคณะกรรมการ

แนวคิดด้าน Governance มุ่งเน้นการกำหนดทิศทางเชิงนโยบาย โครงสร้างบทบาทหน้าที่ และความรับผิดชอบที่ชัดเจน เพื่อให้การบริหารความเสี่ยงด้านความมั่นคงปลอดภัยไซเบอร์เชื่อมโยงและสอดคล้องกับเป้าหมายทางธุรกิจ กฎหมาย รวมถึงข้อกำหนดที่เกี่ยวข้อง การมีกรอบกำกับดูแลที่ชัดเจนช่วยให้องค์กรสามารถตัดสินใจด้าน Cybersecurity ได้อย่างเป็นระบบ มีความต่อเนื่อง และสนับสนุนความยั่งยืนในระยะยาว

[หากต้องการศึกษาเพิ่มเติมเกี่ยวกับ National Institute of Standards and Technology Framework 2.0 สามารถดูรายละเอียดเพิ่มเติมได้จากบทความของ ManageEngine]

10 ตัวชี้วัดหลักสำหรับประเมิน Cyber Resilience

• ตัวชี้วัดที่ 1: Mean Time to Detect (MTTD)

ตัวชี้วัดนี้มักอยู่ลำดับต้น ๆ เพราะสะท้อนแก่นแท้ของ Cyber Resilience โดยวัดระยะเวลาตั้งแต่เริ่มเกิดการโจมตีจนถึงช่วงเวลาที่องค์กรรับรู้เหตุการณ์

MTTD เป็นตัวบ่งชี้สำคัญที่ใช้ประเมินว่าองค์กรมีความพร้อมในการตอบสนองต่อภัยคุกคามได้ทันท่วงทีหรือไม่ ค่า MTTD ที่ต่ำหมายถึงความสามารถในการตรวจจับที่ดีกว่า และช่วยลดการขยายวงของความเสียหายจากการละเมิดข้อมูล

• ตัวชี้วัดที่ 2: Mean Time to Acknowledge (MTTA)

ตัวชี้วัดนี้วัดขั้นตอนถัดมา คือ ระยะเวลาเฉลี่ยตั้งแต่มีการแจ้งเตือนจนถึงการเริ่มดำเนินการป้องกัน คำนวณโดยนำเวลารวมที่ใช้ในการรับทราบเหตุการณ์ทั้งหมด หารด้วยจำนวนเหตุการณ์ในช่วงเวลานั้น

ตัวอย่างกรณีการโจมตี Change Healthcare โดยกลุ่ม ALPHV/Blackcat Ransomware ว่า จากระดับความเสียหายที่เกิดขึ้น ชี้ให้เห็นว่าการโจมตีไม่ได้ถูกตรวจพบในทันที แต่ถูกค้นพบจากการหยุดชะงักของบริการ

ซึ่งระยะเวลาที่ใช้ในการควบคุมและประเมินขอบเขตเหตุการณ์สะท้อนคะแนน MTTD หรือ MTTR ที่ไม่ดี หากให้ความสำคัญกับตัวชี้วัดเหล่านี้มากกว่านี้ องค์กรอาจไม่ต้องใช้เวลาหลายวันกว่าจะกลับมาให้บริการได้เต็มรูปแบบ

การวัดประสิทธิภาพของการตอบสนองต่อเหตุการณ์

การตอบสนองเริ่มต้นเมื่อมีการตรวจพบและรับทราบเหตุการณ์แล้ว ซึ่งต่างจาก Cybersecurity ที่เน้นการป้องกัน Cyber Resilience ยอมรับว่าการโจมตีไม่สามารถควบคุมได้ทั้งหมด จึงเน้นความพร้อมรับมือแม้ระบบป้องกันจะล้มเหลว

• ตัวชี้วัดที่ 3: Mean Time to Contain (MTTC)

MTTC คือ ระยะเวลาที่ทีมรับมือเหตุการณ์ใช้ในการตรวจจับ รับทราบ และควบคุมเหตุการณ์เพื่อป้องกันไม่ให้ผู้โจมตีสร้างความเสียหายเพิ่มเติม

อีกนัยหนึ่งคือ ระยะเวลาเฉลี่ยที่ใช้ในการควบคุมภัยคุกคาม ยิ่งใช้เวลาน้อยเท่าใด ความเสียหายก็ยิ่งลดลง

• ตัวชี้วัดที่ 4: Mean Time to Resolve (MTTR)

MTTR คือ ระยะเวลาเฉลี่ยที่ใช้ในการแก้ไขและฟื้นฟูเหตุการณ์จนสมบูรณ์ รวมถึงการป้องกันไม่ให้เหตุการณ์เดิมเกิดซ้ำ ครอบคลุมขั้นตอนการตรวจจับ วิเคราะห์ และซ่อมแซม

ตัวชี้วัดนี้สะท้อนความสามารถขององค์กรในการกู้คืนข้อมูลสำคัญและกลับมาดำเนินงานได้เต็มรูปแบบหลังการโจมตีสำเร็จ

ตัวชี้วัดด้านประสิทธิภาพและการปฏิบัติตามข้อกำหนด

ความสามารถในการฟื้นตัวภายในระยะเวลาที่เหมาะสมเพื่อรักษาความต่อเนื่องทางธุรกิจ ถือเป็นตัวบ่งชี้สำคัญของความยืดหยุ่น ทั้งนี้ ความซับซ้อนของระบบ เช่น การผสมผสานระหว่างระบบเดิม (Legacy Systems) และเทคโนโลยีใหม่ อาจลดระดับ Cyber Resilience ได้ เนื่องจากเพิ่มความท้าทายในการจัดการช่องโหว่และพื้นผิวการโจมตี

• ตัวชี้วัดที่ 5: Security Policy Compliance Rate

เป็นการวัดว่าองค์กรปฏิบัติตามนโยบายความปลอดภัยของตนเองได้ดีเพียงใด โดยมักวัดผ่านการ Audit หรือการประเมินอัตโนมัติ

คำนวณจากสัดส่วนของหน่วยงานหรือพนักงานที่ปฏิบัติตามข้อกำหนด ตัวอย่างเช่น หากมีพนักงาน 100 คน และมี 25 คนที่ปฏิบัติตามข้อกำหนดด้านความปลอดภัยข้อหนึ่ง แสดงว่าอัตราการปฏิบัติตามคือ 25%

• ตัวชี้วัดที่ 6: Access Management and Authentication Success

การจัดการสิทธิ์การเข้าถึงช่วยยืนยันตัวตนผู้ใช้ และมอบสิทธิ์ตามบทบาทหน้าที่ที่เหมาะสม ควรตรวจสอบว่ามีการเพิกถอนสิทธิ์ของพนักงานที่ลาออกแล้วหรือไม่ และสิทธิ์สอดคล้องกับบทบาทงานหรือไม่

ตัวชี้วัดด้านการป้องกันและการป้องปราม

ควรวัดสัดส่วนเหตุการณ์ที่ถูกป้องกันได้ด้วยมาตรการเชิงรุก จำนวน False Positive/False Negative และระดับความตระหนักรู้ด้านความปลอดภัยของพนักงาน

• ตัวชี้วัดที่ 7: Number of Cybersecurity Incidents Reported

การเปรียบเทียบตัวชี้วัดกับมาตรฐานอุตสาหกรรมหรือผลการดำเนินงานในอดีต ช่วยให้องค์กรประเมินระดับความพร้อมด้านความมั่นคงปลอดภัยของตนเอง และขับเคลื่อนการปรับปรุงอย่างต่อเนื่อง

• ตัวชี้วัดที่ 8: Intrusion Attempt Frequency

การติดตามความถี่ของความพยายามบุกรุกช่วยให้องค์กรเข้าใจว่าจุดใดถูกโจมตีบ่อย และมาตรการป้องกัน เช่น IDS/IPS, Firewall และระบบตรวจจับมัลแวร์ มีประสิทธิภาพเพียงใด

มุมมองด้านการเงินของความมั่นคงปลอดภัยไซเบอร์

แม้องค์กรจะฟื้นตัวได้ภายในเวลาที่เหมาะสม แต่ยังมีต้นทุนที่ต้องวิเคราะห์และบริหารจัดการ

• ตัวชี้วัดที่ 9: Cost per Incident

ต้นทุนต่อเหตุการณ์ หรือมูลค่าความเสียหายที่หลีกเลี่ยงได้จากการป้องกันเหตุการณ์ เป็นตัวชี้วัดหลักในการประเมินความคุ้มค่าของการลงทุนด้านเครื่องมือและกระบวนการความปลอดภัย

ควรรวมต้นทุนทั้งที่เห็นได้ชัด เช่น ค่าเครื่องมือ ค่ากู้คืน ค่าปรับ และต้นทุนแฝง เช่น การสูญเสียผลิตภาพและชื่อเสียงองค์กร

• ตัวชี้วัดที่ 10: Phishing Attack Success Rate

วัดเปอร์เซ็นต์ของพนักงานที่ตกเป็นเหยื่อการโจมตีแบบฟิชชิง เช่น คลิกลิงก์อันตรายหรือดาวน์โหลดไฟล์แนบที่เป็นอันตราย

อัตราการคลิกที่ต่ำสะท้อนระดับความยืดหยุ่นต่อฟิชชิงที่สูงขึ้น นอกจากนี้ยังสามารถใช้วัดสัดส่วนพนักงานที่ผ่านการอบรมด้านความตระหนักรู้ด้านความปลอดภัยและผ่านการทดสอบได้อีกด้วย

จากแนวคิดสู่การปฏิบัติ: ทำให้ Cyber Resilience เกิดขึ้นจริง

Cyber Resilience ที่แท้จริงไม่สามารถเกิดขึ้นได้จากนโยบายเพียงอย่างเดียว แต่ต้องอาศัย ระบบบริหารจัดการ Endpoint การจัดการ Patch แบบอัตโนมัติ การตรวจสอบสิทธิ์การเข้าถึง การเฝ้าระวังภัยแบบต่อเนื่อง และระบบกู้คืนโครงสร้างพื้นฐานสำคัญ 

ManageEngine ขอแนะนำ Endpoint Central โซลูชันที่ช่วยในเรื่องการจัดการ Patch อัตโนมัติ การตั้งค่า Security Baseline และการตรวจสอบอุปกรณ์ปลายทางแบบรวมศูนย์ ซึ่งถือเป็นปัจจัยสำคัญในการปฏิบัติตามแนวคิด Cyber Resilience ทดลองใช้งานฟรี 30 วันได้ที่นี่

องค์กรที่สามารถเชื่อมโยงระหว่าง Framework, Metrics และ Technology Stack ได้อย่างครบวงจร จะมีความสามารถในการลด MTTD, MTTR และ Cost per Incident ได้อย่างมีนัยสำคัญ ผู้บริหารที่ต้องการยกระดับ Cyber Resilience จากระดับนโยบายสู่ระดับปฏิบัติการ สามารถศึกษาแนวทางเพิ่มเติมจาก Resilience Guide และคู่มือ Cyber Resilience Knowledge Base ของ ManageEngine

ติดตามข่าวสารเพิ่มเติมได้ที่

Linkedin : https://www.linkedin.com/company/manageenginethailand
Facebook: https://www.facebook.com/manageenginethailand

แหล่งอ้างอิง

สำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์ (SEC) — “Cyber Resilience คืออะไร?”
ManageEngine — “What is Cyber Resilience?”
The NEBR Centre — “What Are the Benefits of Cyber Resilience?”