<h2>Marriott กำลังถูกฟ้องร้องดำเนินคดีแบบกลุ่มและหุ้นยังร่วงอย่างต่อเนื่องไปถึง 5.6% หลังบริษัทยอมรับว่ามีการรั่วไหลของข้อมูลลูกค้ากว่า 500 ล้านราย และ 327 ล้านรายในนั้นถูกจารกรรมไปทั้งข้อมูลชื่อ ที่อยู่ และหมายเลขพาสปอร์ต ผลักดันให้ Chuck Schumer สมาชิกวุฒิสภา ถึงกับเรียกร้องให้บริษัทออกค่าใช้จ่ายทำพาสปอร์ตใหม่ให้ และเขาไม่ใช่สมาชิกวุฒิสภารายเดียวที่เดือดจัดกับเรื่องนี้</h2>
“ซีอีโอหลายคนไม่เคยมองประเด็นการป้องกันการจัดเก็บข้อมูลของพวกเราอย่างจริงจัง นอกเสียจากว่าจะมีผลกับหน้าที่การงานของตัวเอง” <strong>Elizabeth Warren</strong> สมาชิกวุฒิสภาอีกรายหนึ่งกล่าว “สภาคองเกรสควรเน้นย้ำการเรียกร้องความรับผิดชอบจากบริษัทต่อเหตุความผิดพลาดครั้งใหญ่นี้”

ด้าน <strong>Marriott International</strong> เปิดเผยว่าบริษัทกำลังศึกษาหารอยรั่วที่ทำให้เกิดการจารกรรมข้อมูล ขณะเดียวกัน วิธีปฏิบัติของบริษัทก็สร้างคำถามว่า ทำไม Marriott จึงเพิ่งจะตรวจพบปัญหาซึ่งมีหลักฐานว่าเกิดขึ้นมาตั้งแต่ 4 ปีก่อน

&nbsp;
<h2>จุดบอดจากการควบรวม Starwood ปี 2015</h2>
<strong>Andrei Barysevich</strong> นักวิจัยด้านภัยคุกคามอัจฉริยะ (threat intelligence) บริษัท <strong>Recorded Future</strong> กล่าวว่า บริษัทที่มีทรัพยากรในระดับนี้ควรจะชี้เป้านักจารกรรมข้อมูลที่เข้ามาในระบบได้ตั้งแต่ปี 2015

นั่นคือช่วงที่ Marriott ประกาศการควบรวมกิจการ <strong>Starwood Hotels and Resorts Worldwide</strong> <span style="color: #ff0000;">และนั่นคือจุดที่ทำให้เกิดปัญหาทั้งหมดขึ้น เนื่องจากจุดรั่วไหลของข้อมูลเกี่ยวพันถึงระบบฐานข้อมูลการจองห้องพักของลูกค้า Starwood แต่เป็นเรื่องเหลือเชื่อว่า Marriott จะมองไม่เห็นความเสี่ยงในขณะนั้น</span>

หนึ่งในความเสี่ยงที่ปรากฏคือ หลังจากการควบรวมกิจการเพียง 2 เดือน Starwood เพิ่งรายงานว่าบริษัทถูกจารกรรมข้อมูลบัตรเครดิตขนานใหญ่ตั้งแต่เมื่อปี 2014 นอกจากนี้ <strong>Alex Holden</strong> ผู้ก่อตั้งบริษัท <strong>Hold Security</strong> ยังเปิดเผยกับ FORBES ว่า ในปีเดียวกันนั้นเว็บไซต์ของบริษัท Starwood ยังเป็นฐานฝังบั๊กการจารกรรมข้อมูลแบบ SQL injection และมีข้อเสนอให้แฮกเว็บไซต์นี้แพร่กระจายไปในเว็บไซต์ใต้ดินต่างๆ

<figure><img class="size-full wp-image-2433" src="http://forbesthailand.com/wp-content/uploads/2018/12/99071_17060510240053464536-e1544160141969.jpg" alt="Marriott International ควบรวบกิจการเครือ Starwood ในปี 2015 และนั่นอาจเป็นจุดเริ่มต้นของการรั่วไหลของข้อมูลลูกค้า (PHOTO CREDIT: hospitality-on.com)" width="800" height="595" /><figcaption> Marriott International ควบรวบกิจการเครือ Starwood ในปี 2015 และนั่นอาจเป็นจุดเริ่มต้นของการรั่วไหลของข้อมูลลูกค้า (PHOTO CREDIT: hospitality-on.com)</figcaption></figure>

ดังนั้นการควบรวมกิจการ Starwood โดย Marriott นั้น จะต้องมีการประเมินความเสี่ยงมาแล้ว เพียงแต่ว่าเหตุผลของการนิ่งเฉยของ Marriott นั้นจะเป็นเพราะบริษัทไม่ได้ตระหนักถึงอันตรายที่จะเกิดขึ้น หรือพวกเขาเพียงแค่เป็นอีกเวอร์ชันหนึ่งของระบบ <strong>‘recall coordinator’s formula’</strong> (อ้างอิงภาพยนตร์ <em>Fight Club</em> ซึ่งตัวเอกของเรื่องเป็นพนักงานเรียกคืนรถยนต์ เขาอธิบายว่าบริษัทเลือกที่จะไม่เรียกคืนรถยนต์ที่มีปัญหา ถ้าหากประเมินแล้วว่าค่าชดเชยที่จ่ายให้กับลูกค้าหลังปัญหาเกิดขึ้นแล้วจะต่ำกว่าค่าใช้จ่ายในการเรียกคืนสินค้าทั้งหมด - ผู้แปล) โดย Marriott อาจให้ผู้บริโภครับความเสี่ยง เพราะบริษัทประเมินแล้วว่าค่าใช้จ่ายชดเชยการรั่วไหลของข้อมูลจะต่ำกว่าค่าใช้จ่ายในการเพิ่มการป้องกันความปลอดภัยให้ดีกว่าเดิม

&nbsp;
<h2>กฎหมายต้านการเก็บและซื้อขายข้อมูลส่วนบุคคล</h2>
“ขณะนี้หลายบริษัทเลือกที่จะใช้ระบบรักษาความปลอดภัยที่ไม่ดีพอเพราะราคาถูก มากกว่าจะคิดถึงผลที่จะตามมาหากเกิดการรั่วไหลของข้อมูล” <strong>John M. Simpson</strong> ผู้อำนวยการโครงการด้านเทคโนโลยีและความเป็นส่วนตัวจาก <strong>Consumer Watchdog</strong> กล่าว “พ.ร.บ.ความเป็นส่วนตัวของลูกค้าจะช่วยแก้ไขปัญหาดังกล่าวและบีบให้บริษัทมีความรับผิดชอบมากขึ้น”

Simpson เชื่อว่าเหตุการณ์การรั่วไหลข้อมูลของ Marriott จะเป็นหลักฐานชั้นดีถึงความจำเป็นของกฎหมาย <strong>California Consumer Privacy Act (CCPA)</strong> เขากล่าวว่า ถ้าหากกฎหมาย CCPA บังคับใช้แล้วในวันนี้ Marriott จะต้องหลังชนฝาเพราะเหยื่อของเหตุการณ์แฮกข้อมูลจะสามารถฟ้องร้องบริษัทได้

<span style="color: #ff0000;">กฎหมาย CCPA นั้นให้สิทธิพลเมืองรัฐ California ที่จะรับรู้ว่าข้อมูลส่วนตัวใดบ้างที่บริษัทนำไปเก็บสะสมไว้ รวมถึงได้มีการขายหรือเปิดเผยข้อมูลนั้นให้ใครหรือไม่ และยังสามารถเลือกปฏิเสธไม่ให้มีการขายข้อมูลได้ด้วย ซึ่งกฎหมายฉบับนี้จะเริ่มมีผลบังคับใช้ในปี 2020</span> ถึงแม้ว่าจะเป็นการออกกฎหมายที่ฟังดูเป็นเหตุเป็นผล แต่ก็ต้องเผชิญการต่อต้านอย่างรุนแรง

ทั้ง <strong>Amazon, Facebook, Google, Microsoft, Twitter, Uber</strong> แม้แต่บริษัทผู้ให้บริการอินเทอร์เน็ตอย่าง <strong>AT&amp;T</strong> และ <strong>Verizon</strong> ต่างพยายามล็อบบี้เพื่อเอาชนะการออกกฎหมาย CCPA อย่างไรก็ตาม กฎหมายลักษณะนี้เป็นกระแสที่กำลังมาแรงในโลก ตัวอย่างเช่นการออกกฎหมาย <strong>General Data Protection Regulation (GDPR)</strong> ในสหภาพยุโรป และกฎหมายควบคุมการซื้อขายข้อมูลในรัฐ Vermont ซึ่งเพิ่งตราขึ้นเมื่อเดือนพฤษภาคมที่ผ่านมา
<ul>
 	<li>อ่านประกอบ <a href="http://forbesthailand.com/commentaries/insights/gdpr-%E0%B8%81%E0%B8%B2%E0%B8%A3%E0%B8%9B%E0%B8%A3%E0%B8%B1%E0%B8%9A%E0%B8%95%E0%B8%B1%E0%B8%A7%E0%B8%98%E0%B8%B8%E0%B8%A3%E0%B8%81%E0%B8%B4%E0%B8%88.html">GDPR กับการปรับตัวของธุรกิจ</a></li>
</ul>
&nbsp;
<h2>ผลกระทบลูกโซ่: ไม่ใช่แค่การรั่วไหลของข้อมูลส่วนตัว แต่เป็นความมั่นคงของชาติ</h2>
สำหรับภาคธุรกิจโรงแรม การต้องเผชิญกับคลื่นการออกกฎหมายความปลอดภัยทางข้อมูลเป็นสิ่งที่ดีเช่นกัน เพราะผลกระทบลูกโซ่จากการรั่วไหลข้อมูลของธุรกิจโรงแรมนั้นจะส่งผลมากกว่าลูกค้ารายบุคคล

“ด้วยการโยงใยระหว่างธุรกิจที่อยู่ภายในโรงแรม ไม่ว่าจะเป็นร้านค้า ร้านอาหาร บริการซักแห้ง ศูนย์ธุรกิจ และอื่นๆ การรั่วไหลข้อมูลสามารถแพร่กระจายไปได้ทั่วองค์กรและอาจจะซับซ้อนรวมถึงมีค่าใช้จ่ายสูงเกินกว่าจะเยียวยาได้” บริษัทประกัน <strong>Axa XL </strong>ให้ความเห็น

<figure><img class="size-full wp-image-2434" src="http://forbesthailand.com/wp-content/uploads/2018/12/table-3084384_1920-e1544160298647.jpg" alt="ภายในโรงแรมยังมีร้านค้า ร้านอาหาร บริการซักแห้ง ศูนย์ธุรกิจ และอื่นๆ ทำให้การรั่วไหลของข้อมูลสามารถแพร่กระจายไปมากกว่าที่คิด" width="800" height="532" /><figcaption> ภายในโรงแรมยังมีร้านค้า ร้านอาหาร บริการซักแห้ง ศูนย์ธุรกิจ และอื่นๆ ทำให้การรั่วไหลของข้อมูลสามารถแพร่กระจายไปมากกว่าที่คิด</figcaption></figure>

ภัยคุกคามดิจิทัลยังขยายวงกว้างได้มากกว่านั้น เมื่อปีก่อน <strong>Fancy Bear</strong> กลุ่มนักจารกรรมข้อมูลชาวรัสเซีย ซึ่งมีความเชื่อมโยงกับหน่วยสายลับทหาร <strong>GRU </strong>ใน Moscow ถูกพบว่าพวกเขาใช้เครื่องมือจารกรรมข้อมูล <strong>Eternal Blue</strong> ที่รั่วไหลออกมาจาก <strong>NASA</strong> ในการแฮกข้อมูลเหยื่อผ่านการเชื่อมต่อสัญญาณไวไฟของโรงแรม

ถ้าหากคุณสงสัยว่าทำไมรัฐบาลรัสเซียต้องสนใจว่าคุณเช็กอีเมลกี่ครั้งระหว่างไปพักผ่อนที่ Santo Domingo ลองอ่านข้อความนี้จาก <strong>Michael Daly</strong> ซีทีโอด้านความปลอดภัยทางไซเบอร์ของ <strong>Raytheon Intelligence</strong> ด้านล่าง

“นี่เป็นสิ่งที่มากกว่าแค่การรั่วไหลของข้อมูลส่วนตัวของลูกค้า ถ้าใช้มุมคิดแบบสายลับที่กำลังรวบรวมข้อมูลต่างๆ ข้อมูลเหล่านี้จะฉายภาพให้เห็นวิถีดำเนินชีวิตของผู้นำทางการเมืองและผู้นำธุรกิจทั่วโลก รวมไปถึงว่าพวกเขาเดินทางกับใคร ที่ไหน และเมื่อไหร่ สิ่งนี้เปรียบเหมือนการบินลาดตระเวนที่ทรงประสิทธิภาพอย่างเหลือเชื่อในการรวบรวมข้อมูล และกลายเป็นการยกระดับการรั่วไหลของข้อมูลสู่ปัญหาความมั่นคงของชาติ”

&nbsp;

<em>แปลและเรียบเรียงบางส่วนจาก <a href="https://www.forbes.com/sites/davidvolodzko/2018/12/04/marriott-breach-exposes-far-more-than-just-data/#179757256297">Marriott Breach Exposes Far More Than Just Data</a> โดย David Volodzko บรรณาธิการของ Brightwire บริษัทด้านเทคโนโลยีข้อมูล ตีพิมพ์ใน forbes.com</em>

&nbsp;

การรั่วไหลของข้อมูลลูกค้ากว่า 500 ล้านรายของ Marriott ส่งผลกระทบลูกโซ่มากกว่าที่คุณคิด

<h2><span style="font-size: 20px;">จาก Mirai ไป Persirai, CloudBleed ตลอดจน WannaCry อันโด่งดัง การกระหน่ำโจมตีไซเบอร์ที่เราได้พบเห็นกันเมื่อไม่นานมานี้ นับเป็นการส่งสัญญาณที่สั่นคลอนความมั่นคง และสร้างความปั่นป่วนไปทั่วเอเชียตะวันออกเฉียงใต้ ในขณะที่ภาคพื้นดังกล่าวเคยเป็นแค่ผู้ชมเหตุการณ์ไซเบอร์ระดับโลกในหลายเหตุการณ์ที่ผ่านมา</span></h2>
แต่ด้วยการรับเอาเทคโนโลยีและนวัตกรรมมาใช้อย่างรวดเร็วภายในเวลาไม่กี่ปี จึงกลายเป็นว่า อาชญากรไซเบอร์เปลี่ยนเป้าหมายมาที่ภาคพื้นนี้ และโดนโจมตีกันทั่วหน้าตั้งแต่หน่วยงานภาครัฐฯ ในสิงคโปร์ไปจนถึงโรงพยาบาลหลายๆ แห่งในอินโดนีเซีย แทบจะไม่มีอุตสาหกรรมไหนที่อาชญากรไซเบอร์เอื้อมไปไม่ถึง

&nbsp;
<h2>IoT โลกแห่งความโกลาหล</h2>
ในเวลาที่มีคลื่นลูกใหม่ของภัยคุกคามด้านไซเบอร์ซัดกระหน่ำเข้ามา ทุกคนต่างกลั้นใจด้วยความกลัว ทั้งองค์กรธุรกิจและหน่วยงานทั่วไป ต่างดิ้นรนเพื่อหาวิธีป้องกันทุกจุดเชื่อมต่อปลายทางหรือ endpoint ที่ไม่ปลอดภัย พร้อมกับต้องเล่นเกมเดาใจกันเองว่าภัยคุกคามครั้งต่อไปจะเกิดจากที่ไหน ยิ่งเป็นการเพิ่มความไม่แน่นอนกับสิ่งที่ไม่มีแบบแผน อย่างไรก็ตาม รายงานการวิเคราะห์ภัยคุกคามเรื่อง การตามล่า IoT (Threat Analysis Report: The Hunt for IoT) จาก F5 Labs ซึ่งคาดเดาว่า จากการโจมตี IoT ที่มีอัตราเติบโตสูงถึง 1,373% ภายในปีที่ผ่านมา และยังส่อเค้าว่าจะไม่ลดลง ดังนั้นอุตสาหกรรมจึงต้องเตรียมตัวล่วงหน้าเพื่อป้องกัน Mirai รุ่นถัดไป

โดยเฉพาะสำหรับภาคพื้นเอเชียตะวันออกเฉียงใต้ ภัยคุกคามคืบคลานเข้ามาใกล้ทุกทีฟรอสต์ แอนด์ ซัลลิแวน พบว่าเกือบครึ่ง (49%) ขององค์กรในภาคพื้นดังกล่าว จะนำ Internet of Things (IoT) มาใช้ในหลากหลายธุรกิจ นั่นหมายความว่าสิ่งที่เชื่อมต่อถึงกันทั้งหมด เช่น รถยนต์ บ้าน ไปจนกระทั่งแผ่นตรวจสอบระดับน้ำตาลที่ใช้แปะบนผิว เหล่านี้ยิ่งเป็นการเพิ่มปริมาณ endpoint ที่ไม่ปลอดภัยเป็นทวีคูณซึ่งนับเป็นการคุกคามแผนกไอทีที่มีงานล้นมืออยู่แล้วให้ต้องเสียเวลาไปกับเรื่องนี้มากขึ้น

IoT ไม่ใช่แค่เรื่องสิ่งของจริงๆ แล้วเป็นเรื่องของแอพพลิเคชั่นและการบริการที่ทำให้มันสามารถทำงานได้ ข้อมูลซึ่งมีปริมาณมหาศาลอย่างที่ไม่เคยเป็นมาก่อนจะถาโถมไปที่เกตเวย์ของแอพฯ และอุปกรณ์ที่ทำให้ IoT มีพลัง โดยอาจสร้างผลสืบเนื่องรุนแรงในส่วนของภัยคุกคามด้านความปลอดภัยตลอดจนกฎเกณฑ์ความเป็นส่วนตัว การหาทางก้าวให้ทันกับปัญหาเรื่องการรักษาความปลอดภัย ประสิทธิภาพและความพร้อมใช้งานของแอพฯ ที่พัฒนาไปข้างหน้าอย่างอย่างรวดเร็ว นับเป็นสิ่งสำคัญในการรับมือกับความต้องการด้าน IoT ที่มีการเติบโตอย่างมหาศาล

&nbsp;
<h2>หาจุดสมดุลในความปั่นป่วน</h2>
การเผยแพร่วิธีปฏิบัติเรื่องของเซน เป็น แนวทางที่เราควรนำมาแก้ปัญหาโดยการมองปัญหาให้เป็นโอกาส บางทีการโจมตีที่เกิดขึ้นเมื่อเร็วๆ นี้ เกี่ยวกับการคุกคามบนไซเบอร์อาจไม่ใช่หายนะ แต่เป็นโอกาสให้เราได้กลับมาฟื้นฟูเรื่องของสมดุลในระบบโครงสร้างด้านการรักษาความปลอดภัยบนไซเบอร์

1. หยั่งรู้ได้ด้วยตัวเอง เซน สนับสนุน ความจำเป็นในเรื่องของการหยั่งรู้ได้ด้วยตัวเอง คุณต้องสามารถมองเห็น traffic ของแอพฯ ทั้งหมดเพื่อให้จดจ่ออยู่กับปัจจุบัน การรับรู้ประสบการณ์ทั้งจากภายในและภายนอกอย่างมีไหวพริบประยุกต์ใช้ได้กับเรื่องมุมมองในการรักษาความปลอดภัยเช่นกัน จงไตร่ตรองอย่างลึกซึ้งในการประเมินเรื่องการรักษาความปลอดภัยทุกขั้นตอนของการเดินทางของแอพฯ และสร้างความปลอดภัยให้กับแอพฯ แทนที่จะปิดล็อคมัน การมีกรอบความคิดด้านการรักษาความปลอดภัยในเชิงกลยุทธ์

2. ทำไอทีให้เรียบง่าย การให้ความสำคัญกับสิ่งที่เราต้องการปกป้องในสภาพแวดล้อมที่มีแอพฯ เป็นศูนย์กลาง คุณควรระบุแอพฯ ทั้งหมดที่ใช้ในเครือข่าย ไม่ว่าจะเป็นแอพฯ ที่ไอทีนำมาใช้หรือเป็นพวก shadow apps ที่บรรดาพนักงานที่ไม่มีความอดทนนำมาติดตั้งใช้งานแบบที่ไม่ได้รับอนุญาต และอันดับแรกก็คือการรักษาความปลอดภัยสิ่งที่คิดว่าน่าจะถูกโจมตีได้ง่ายที่สุด

3. การครองสติ สติเป็นสภาวะของการพิจารณาอย่างเปิดใจอย่างมีจุดประสงค์และจดจ่ออยู่กับปัจจุบัน การรับรู้ประสบการณ์ทั้งจากภายในและภายนอกอย่างมีไหวพริบประยุกต์ใช้ได้กับเรื่องมุมมองในการรักษาความปลอดภัยเช่นกัน จงไตร่ตรองอย่างลึกซึ้งในการประเมินเรื่องการรักษาความปลอดภัยทุกขั้นตอนของการเดินทางของแอพฯ และสร้างความปลอดภัยให้กับแอพฯแทนที่จะปิดล็อคมัน การมีกรอบความคิดด้านการรักษาความปลอดภัยในเชิงกลยุทธ์นอกจากจะช่วยปกป้องข้อมูลของคุณ แล้วยังช่วยยกระดับประสบการณ์ที่ดีให้กับลูกค้าและสร้างความเชื่อมั่นในแบรนด์ของคุณได้

&nbsp;

<img style="width: 250px; height: 262px;" src="http://forbesthailand.com/uploads/library/46ce1a927d7364560b592e0a3858cd0e.png" alt="" />
วัชระ จิระเจริญสุวรรณ
ผู้จัดการประจำประเทศไทย
F5 เน็ตเวิร์กส์

<hr />

<a href="https://goo.gl/NqyVqC"><span style="color: #008080;">ติดตามบทความทางธุรกิจอื่นๆ ได้จาก Forbes Thailand ฉบับเดือนพฤศจิกายน 2560 ในรูปแบบ e-Magazine</span></a>
<a href="https://goo.gl/NqyVqC"><img style="width: 250px; height: 330px;" src="http://www.forbesthailand.com/uploads/library/fa338d6758136ad1b1c9c4bff5c426f6.png" alt="" /></a>

News

Forbes lists

World

Leaderboard

Commentaries

Forbes life

Events