Cisco 2018 Asia Pacific Security Capabilities Benchmark Study

รายงานการศึกษาความสามารถด้านการรักษาความปลอดภัยในเอเชีย-แปซิฟิกประจำปี 2561 ของซิสโก้ (Cisco 2018 Asia Pacific Security Capabilities Benchmark Study) ซึ่งตีพิมพ์เผยแพร่ในวันนี้ ระบุว่าบริษัทต่างๆ ในประเทศไทยกว่าครึ่งไม่ได้จัดการกับการแจ้งเตือนภัยคุกคามทางไซเบอร์ที่ได้รับทั้งๆ ที่เป็นการแจ้งเตือนที่ถูกต้อง

จากบริษัทที่ทำการสำรวจ 74 เปอร์เซ็นต์ระบุว่าได้รับการแจ้งเตือนมากกว่า 5,000 ครั้งในแต่ละวัน  ปัจจุบันจำนวนภัยคุกคามทางไซเบอร์เพิ่มขึ้นอย่างรวดเร็ว ดังนั้นความท้าทายที่แท้จริงจึงอยู่ที่ว่า “มีการดำเนินการอย่างไรหลังจากที่ได้รับการแจ้งเตือนภัยคุกคาม และมีการแจ้งเตือนภัยคุกคามจำนวนเท่าไรที่ได้รับการตรวจสอบอย่างแท้จริง”

ผลการศึกษาแสดงให้เห็นว่า ในบรรดาการแจ้งเตือนภัยคุกคามที่ได้รับ โดยเฉลี่ยแล้วมีเพียง 37 เปอร์เซ็นต์เท่านั้นที่ถูกตรวจสอบ และในบรรดาการแจ้งเตือนที่ถูกตรวจสอบ พบว่า 32 เปอร์เซ็นต์เป็นการแจ้งเตือนที่ถูกต้อง แต่กลับมีเพียง 37 เปอร์เซ็นต์เท่านั้นที่ได้รับการดำเนินการและแก้ไขอย่างจริงจัง  นั่นแสดงให้เห็นว่ายังต้องมีการปรับปรุงอีกมากเพื่อช่วยให้บริษัทต่างๆ รวมถึงบุคลากรด้านการรักษาความปลอดภัยในไทยสามารถรับมือกับสถานการณ์ภัยคุกคามทางไซเบอร์ที่มีการเปลี่ยนแปลงอย่างรวดเร็ว

ผลการศึกษานี้เน้นย้ำถึงความท้าทายที่บริษัทต่างๆ ต้องเผชิญ โดย 95 เปอร์เซ็นต์ของผู้ตอบแบบสอบถามระบุว่าองค์กรของตนประสบปัญหาการละเมิดระบบรักษาความปลอดภัยในปีที่ผ่านมา

นอกจากนี้ การโจมตีทางไซเบอร์ยังก่อให้เกิดผลกระทบทางการเงินอย่างมากต่อบริษัทต่างๆ โดยในบรรดาบริษัทที่ถูกโจมตีเมื่อปีที่แล้ว 74 เปอร์เซ็นต์ระบุว่าได้รับความเสียหายมูลค่ากว่า 16.5 ล้านบาท(ประมาณ 500,000 ดอลลาร์) ขณะที่ 8 เปอร์เซ็นต์กล่าวว่ามูลค่าความเสียหายมีกว่า 5 ล้านดอลลาร์ หรือ 165 ล้านบาท หรือมากกว่านั้น โดยความเสียหายที่ว่านี้ครอบคลุมถึง การสูญเสียรายได้ การสูญเสียลูกค้า และค่าใช้จ่ายต่างๆที่เกิดขึ้น  ฯลฯ

นายวัตสัน ถิรภัทรพงศ์ กรรมการผู้จัดการประจำประเทศไทย และภูมิภาคอินโดจีนของซิสโก้ กล่าวว่า “ปัจจุบัน การสร้างสรรค์นวัตกรรมและการปรับใช้เทคโนโลยีดิจิทัลเกิดขึ้นอย่างขึ้นอย่างรวดเร็วในประเทศไทย ขณะที่รัฐบาลตระหนักถึงบทบาทที่สำคัญของเทคโนโลยีในการพัฒนาอุตสาหกรรมหลักๆ ของประเทศให้เติบโต  ความสำเร็จของโมเดลการพัฒนาที่อาศัยเทคโนโลยีดิจิทัล (digital-led growth) นี้ขึ้นอยู่กับความสามารถของประเทศไทยในการรับมือกับความท้าทายด้านไซเบอร์ซีเคียวริตี้ โดยจำเป็นต้องอาศัยความร่วมมือจากทุกภาคส่วน ไม่ว่าจะเป็นบริษัทเอกชน หน่วยงานกำกับดูแล หรือสถาบันการศึกษา”

“บริษัทต่างๆ จำเป็นที่จะต้องจัดเตรียมบุคลากร ระบบงาน และเทคโนโลยีไว้ให้พร้อม เพื่อให้สามารถระบุ สกัดกั้น และจัดการกับภัยคุกคามทางไซเบอร์ ขณะที่หน่วยงานกำกับดูแลต้องกำหนดนโยบายและกฎหมายที่จะขัดขวางไม่ให้กลุ่มคนร้ายดำเนินการโจมตีทางไซเบอร์ในประเทศไทย และสุดท้าย เราต้องการความช่วยเหลือจากสถาบันการศึกษาเพื่อพัฒนาบุคลากรทางด้านไซเบอร์ซีเคียวริตี้ที่มีความรู้ความสามารถ” คุณวัตสันกล่าว

ภัยคุกคามทางไซเบอร์เริ่มพัฒนาเปลี่ยนแปลงจากเดิมที่มุ่งโจมตีเฉพาะโครงสร้างพื้นฐานด้านไอที (IT Infrastructure) แต่ตอนนี้กลับพุ่งเป้าไปที่ “โครงสร้างพื้นฐานในการดำเนินงาน” (Operational Infrastructure) ซึ่งสร้างความท้าทายเพิ่มมากขึ้นให้แก่บริษัทต่างๆ  จากผลการสำรวจพบว่า 36 เปอร์เซ็นต์ของผู้ตอบแบบสอบถามระบุว่าตนเองเคยพบการโจมตีทางไซเบอร์ต่อโครงสร้างพื้นฐานในการดำเนินงาน ขณะที่ 56 เปอร์เซ็นต์คาดว่าอาจจะมีการโจมตีที่คล้ายคลึงกันนี้เกิดขึ้นกับองค์กรของตนในหนึ่งปีข้างหน้า

เนื่องจากภัยคุกคามทางไซเบอร์มีขอบเขตกว้างมากขึ้นเรื่อยๆ ผู้ตอบแบบสอบถามคาดหมายว่าในหนึ่งปีข้างหน้า จะมีการพิจารณาทบทวนนโยบายด้านความปลอดภัยอย่างเข้มงวดมากขึ้นจากทุกฝ่ายที่เกี่ยวข้อง โดยเฉพาะอย่างยิ่งลูกค้าซึ่งต้องการตรวจสอบให้แน่ใจว่าข้อมูลของตนได้รับการคุ้มครองอย่างเหมาะสม  ทั้งนี้ 76 เปอร์เซ็นต์ของผู้ตอบแบบสอบถามคาดว่าจะมีการพิจารณาตรวจสอบจากลูกค้าเพิ่มมากขึ้น  นอกจากนั้น ความกังวลใจเรื่องความเป็นส่วนตัวเป็นอีกหนึ่งอุปสรรคที่ทำให้ยอดขายของบริษัทชะลอตัวลง โดย 77 เปอร์เซ็นต์ของผู้ตอบแบบสอบถามระบุว่าความกังวลใจดังกล่าวส่งผลให้ลูกค้าชะลอการตัดสินใจซื้อออกไป

มร. สตีเฟ่น เดน กรรมการผู้จัดการ ฝ่ายเทคโนโลยีการรักษาความปลอดภัยของซิสโก้ภูมิภาคเอเชีย-แปซิฟิก ญี่ปุ่น และจีน กล่าวว่า “ในเรื่องของไซเบอร์ซีเคียวริตี้ การปกป้องเฉพาะโครงสร้างพื้นฐานไอทีของบริษัทไม่ใช่มาตรการเพียงพออีกต่อไป เพราะทุกวันนี้คู่ค้า ลูกค้า และพนักงานคาดหวังว่าบริษัทจะปกป้องข้อมูลของพวกเขาให้ปลอดภัย  ขณะที่กฎระเบียบที่เข้มงวดอย่างเช่น กฎหมายคุ้มครองข้อมูลส่วนบุคคลของสหภาพยุโรป (General Data Protection Regulation – GDPR) เริ่มมีผลบังคับใช้ บริษัทต่างๆ จึงจำเป็นที่จะต้องจัดเตรียมนโยบาย เทคโนโลยี และทรัพยากรที่เหมาะสม  ส่วนบริษัทที่ไม่ได้ดำเนินการดังกล่าวนอกจากจะต้องเสี่ยงต่อการถูกโทษปรับที่รุนแรงแล้ว ยังอาจสูญเสียความเชื่อมั่นของลูกค้าอีกด้วย”

การใช้ผลิตภัณฑ์จากผู้ผลิตหลายรายเป็นอีกหนึ่งปัจจัยที่ทำให้ปัญหามีความซับซ้อนมากขึ้น โดย 51 เปอร์เซ็นต์ของผู้ตอบแบบสอบถามระบุว่าองค์กรของตนทำงานร่วมกับบริษัทด้านซีเคียวริตี้มากกว่า 10 บริษัท ขณะที่ 65 เปอร์เซ็นต์ใช้ผลิตภัณฑ์หรือโซลูชั่นซีเคียวริตี้มากกว่า 10 อย่าง ส่งผลให้เกิดความยุ่งยากซับซ้อนและความเสี่ยงเพิ่มมากขึ้น เพราะผลิตภัณฑ์ด้านการรักษาความปลอดภัยที่แตกต่างกันอาจทำให้เกิดความล่าช้าในการตรวจจับและสกัดกั้นภัยคุกคามที่เล็ดลอดเข้ามา  ผลการศึกษายังชี้ให้เห็นว่าบริษัทต่างๆ กำลังประสบปัญหานี้ โดย 44 เปอร์เซ็นต์ของผู้ตอบแบบสอบถามระบุว่าองค์กรของตนประสบปัญหาในการผนวกรวมการแจ้งเตือนเรื่องความปลอดภัยจากผลิตภัณฑ์ของหลายๆ บริษัทเข้าด้วยกัน

ทั้งนี้ มีการประมาณการว่า หากตรวจพบการละเมิดระบบไซเบอร์ซีเคียวริตี้เกือบจะทันทีภายในองค์กรขนาดใหญ่ ก่อให้เกิดความเสียหายต่อธุรกิจราว 433,000 ดอลลาร์ หรือ ประมาณ 14 ล้านบาท และ หากว่าตรวจพบล่าช้ากว่าหนึ่งสัปดาห์ ตัวเลขความเสียหายนี้ก็จะเพิ่มเป็นสามเท่า หรือประมาณ 1,204,000 ดอลลาร์ หรือ ประมาณ 40 ล้านบาท

คำแนะนำที่สำคัญ: รายงานผลการสำรวจนำเสนอคำแนะนำที่จะช่วยให้บริษัทต่างๆ สามารถตรวจสอบสถานการณ์ภัยคุกคามได้อย่างทันท่วงที ลดความเสี่ยง และปรับปรุงระบบรักษาความปลอดภัยให้ดีขึ้น รายงานดังกล่าวระบุว่าบริษัทต่างๆ ควรจะพิจารณาแนวทางต่อไปนี้:

• เพิ่มประสิทธิภาพของเครื่องมือต่างๆ และปรับใช้เครื่องมือรุ่นใหม่สำหรับการตรวจสอบในอุปกรณ์ต่างๆ
• การเข้าถึงข้อมูลข่าวกรองที่แม่นยำและทันต่อเหตุการณ์เกี่ยวกับภัยคุกคามต่างๆ โดยสามารถผนวกรวมข้อมูลดังกล่าวเข้าไว้ในกระบวนการตรวจสอบ และการจัดการเหตุการณ์ด้านความปลอดภัย
• การติดตั้งเครื่องมือป้องกันที่เป็นปราการด่านแรก ซึ่งจะต้องสามารถปรับขนาดได้อย่างยืดหยุ่น เช่น แพลตฟอร์มการรักษาความปลอดภัยบนระบบคลาวด์
• การแบ่งเซ็กเมนต์เครือข่ายเพื่อลดโอกาสในการแพร่หลายของภัยคุกคาม
• มีการทบทวนและดำเนินการตามขั้นตอนการรับมือกับภัยคุกคามด้านความปลอดภัยอย่างสม่ำเสมอ