ความปลอดภัยไซเบอร์สำหรับองค์กร: เริ่มจากอะไรก่อน
คำถามที่ได้ยินบ่อยที่สุดจากผู้บริหารคือ "ต้องซื้ออะไรถึงจะปลอดภัย" แต่ในทางปฏิบัติ เหตุที่เกิดกับองค์กรขนาดกลางส่วนใหญ่ไม่ได้มาจากการเจาะระบบที่ซับซ้อน หากมาจากช่องโหว่พื้นฐานที่แก้ได้โดยแทบไม่ต้องลงทุนเพิ่ม บทความนี้เรียงลำดับสิ่งที่ควรทำก่อนหลัง สำหรับองค์กรที่ยังไม่มีทีมความปลอดภัยเฉพาะทาง
ภัยที่พบจริง มักเรียบง่ายกว่าที่คิด
รูปแบบที่พบซ้ำ ๆ ได้แก่ อีเมลหลอกให้กรอกรหัสผ่านหรือโอนเงิน บัญชีผู้ใช้ที่ใช้รหัสผ่านซ้ำกับบริการอื่นที่ข้อมูลรั่วไปแล้ว อุปกรณ์ที่ไม่ได้อัปเดตมานาน และการเข้าถึงข้อมูลของพนักงานที่ลาออกไปแล้วแต่ยังไม่ถูกปิดสิทธิ์
สังเกตว่าทั้งหมดนี้แก้ด้วยกระบวนการมากกว่าการซื้อเครื่องมือ การเริ่มจากจุดเหล่านี้จึงให้ผลตอบแทนสูงที่สุดต่อเวลาและงบที่ใช้
1. เริ่มจากบัญชีผู้ใช้
บัญชีผู้ใช้เป็นประตูหน้าขององค์กร สิ่งที่ควรทำเป็นอันดับแรกคือ
- เปิดการยืนยันตัวตนสองขั้นตอนกับทุกบริการที่รองรับ โดยเฉพาะอีเมล ระบบบัญชี และระบบธนาคาร
- เลิกใช้บัญชีร่วมที่หลายคนใช้รหัสผ่านเดียวกัน เพราะเมื่อเกิดเหตุจะสืบไม่ได้ว่าใครทำอะไร
- ทำรายการบัญชีทั้งหมดที่องค์กรมี พร้อมระบุผู้รับผิดชอบของแต่ละระบบ
- กำหนดขั้นตอนปิดสิทธิ์ทันทีเมื่อมีคนลาออกหรือย้ายตำแหน่ง และตรวจย้อนหลังว่าที่ผ่านมามีบัญชีค้างอยู่หรือไม่
2. สำรองข้อมูลคือแนวป้องกันสุดท้าย
เมื่อเกิดเหตุเรียกค่าไถ่ข้อมูล สิ่งเดียวที่ทำให้องค์กรไม่ต้องตกอยู่ในภาวะจำยอมคือไฟล์สำรองที่ใช้กู้คืนได้จริง
หลักที่ควรยึดคือมีสำเนาอย่างน้อยสองชุดบนสื่อคนละประเภท และอย่างน้อยหนึ่งชุดต้องแยกออกจากระบบหลัก ไม่เชื่อมต่อค้างไว้ตลอดเวลา เพราะไฟล์สำรองที่ต่ออยู่กับเครือข่ายเดียวกันมักถูกเข้ารหัสไปพร้อมกับข้อมูลหลัก
ที่สำคัญไม่แพ้กันคือต้องทดสอบกู้คืนจริงเป็นระยะ ไม่ใช่ดูแค่ว่ามีไฟล์สำรองอยู่
3. อัปเดตระบบและจัดการอุปกรณ์ที่หมดอายุ
ช่องโหว่ที่ถูกใช้โจมตีส่วนใหญ่เป็นช่องโหว่ที่มีแพตช์ออกมาแล้ว แต่องค์กรยังไม่ได้ติดตั้ง การกำหนดรอบอัปเดตที่ชัดเจนสำหรับระบบปฏิบัติการ เบราว์เซอร์ และซอฟต์แวร์ที่ใช้งาน จึงเป็นงานพื้นฐานที่ให้ผลสูง
อีกจุดที่มักถูกลืมคืออุปกรณ์เครือข่ายที่ผู้ผลิตเลิกสนับสนุนแล้ว เช่น เราเตอร์หรือกล้องวงจรปิดรุ่นเก่า ซึ่งจะไม่มีแพตช์ออกมาอีก อุปกรณ์เหล่านี้ควรถูกจัดทำบัญชีและวางแผนเปลี่ยน
4. คนคือด่านแรก
ไม่มีเครื่องมือใดป้องกันได้ หากพนักงานกรอกรหัสผ่านลงในหน้าเว็บปลอมด้วยความสุจริตใจ การอบรมที่ได้ผลไม่จำเป็นต้องยาว แต่ควรใช้ตัวอย่างจริงที่ใกล้ตัว เช่น อีเมลแอบอ้างเป็นผู้บริหารสั่งโอนเงินด่วน หรือใบแจ้งหนี้ปลอมที่เปลี่ยนเลขบัญชี
สิ่งที่ควรกำหนดควบคู่กันคือขั้นตอนยืนยันก่อนโอนเงินหรือเปลี่ยนเลขบัญชีผู้รับ โดยต้องยืนยันผ่านช่องทางอื่นที่ไม่ใช่อีเมลฉบับเดียวกัน
5. เตรียมแผนไว้ก่อนเกิดเหตุ
คำถามที่ควรตอบได้ล่วงหน้าคือ ถ้าพรุ่งนี้เช้าเปิดคอมพิวเตอร์แล้วเข้าไฟล์ไม่ได้ จะโทรหาใครเป็นคนแรก ใครมีอำนาจสั่งตัดระบบออกจากเครือข่าย และจะสื่อสารกับลูกค้าอย่างไร
แผนไม่จำเป็นต้องยาว แต่ต้องมีรายชื่อผู้ติดต่อที่ใช้ได้จริง และเก็บไว้ในที่ที่เข้าถึงได้แม้ระบบหลักจะใช้งานไม่ได้ ควรระบุด้วยว่าเหตุลักษณะใดที่เข้าข่ายต้องแจ้งหน่วยงานกำกับหรือแจ้งเจ้าของข้อมูลตามกฎหมาย
เช็กลิสต์สำหรับ 30 วันแรก
- เปิดการยืนยันตัวตนสองขั้นตอนกับอีเมลและระบบการเงิน
- ทำรายการบัญชีผู้ใช้ทั้งหมด และปิดบัญชีที่ไม่มีเจ้าของแล้ว
- ตรวจว่าไฟล์สำรองชุดล่าสุดกู้คืนได้จริง
- ทำรายการอุปกรณ์และซอฟต์แวร์ที่ยังไม่ได้อัปเดตหรือหมดการสนับสนุน
- กำหนดขั้นตอนยืนยันก่อนโอนเงินหรือเปลี่ยนเลขบัญชีผู้รับ
- เขียนรายชื่อผู้ติดต่อฉุกเฉินและเก็บสำเนาไว้นอกระบบ
หกข้อนี้ใช้เวลาไม่มากและไม่ต้องลงทุนสูง แต่ปิดช่องทางที่เกิดเหตุจริงได้เกือบทั้งหมด เมื่อพื้นฐานแน่นแล้ว จึงค่อยพิจารณาเครื่องมือเฉพาะทางตามความเสี่ยงของธุรกิจต่อไป