<h2>เหตุการณ์ข้อมูลรั่วไหล เป็นปัญหาที่เกิดขึ้นบ่อยครั้ง และกรณีที่ได้รับการเปิดเผยมักจะเป็นเหตุการณ์ที่เกิดขึ้นในต่างประเทศ </h2>
ตัวอย่างเช่น เมื่อเดือนกันยายน ปี 2017 บริษัท Equifax ซึ่งเป็นหนึ่งในบริษัทเครดิตบูโรที่ใหญ่ที่สุดในสหรัฐอเมริกาเผชิญปัญหาการรั่วไหลของข้อมูลส่วนบุคคลของลูกค้าประมาณ 143 ล้านราย และข้อมูลบัตรเครดิตของลูกค้า 209,000 ราย สร้างความเสียหายเป็นมูลค่าสูงประมาณ 439 ล้านเหรียญสหรัฐฯ ทำให้เจ้าหน้าที่ผู้บริหารระดับสูง รวมถึงเจ้าหน้าที่ผู้บริหารระดับสูงด้านเทคโนโลยีสารสนเทศต้องลาออกจากตำแหน่ง เพื่อแสดงความรับผิดชอบ นับเป็นหนึ่งในเหตุการณ์ที่มีข้อมูลถูกละเมิดมากที่สุดในศตวรรษที่ 21

นอกจากนี้ ย้อนไปเมื่อปลายปี 2016 ข้อมูลส่วนบุคคลของผู้ใช้บริการ Uber ประมาณ 57 ล้านราย และข้อมูลของคนขับอีกประมาณ 600,000 ราย ได้รับการเปิดเผยออกไปโดยไม่ได้รับอนุญาต ข้อมูลเหล่านั้นรวมถึงชื่อ อีเมล เบอร์โทรศัพท์มือถือ และเลขใบขับขี่ ซึ่งเหตุการณ์ดังกล่าวส่งผลให้เจ้าหน้าที่ผู้บริหารระดับสูงฝ่ายรักษาความมั่นคงปลอดภัยต้องลาออกจากงาน

เหตุการณ์ข้อมูลรั่วไหลทั้งสองกรณีย้ำถึงความจำเป็นของ Data Security โดยเฉพาะข้อมูลที่ได้รับการจัดเก็บในรูปแบบของดิจิทัล ไม่เพียงเพื่อลดความเสี่ยงที่จะเกิดการเข้าถึงข้อมูล โดยไม่ได้รับอนุญาต และถูกนำไปเปิดเผยหรือใช้ต่อในทางมิชอบเท่านั้น แต่ยังเป็นเพราะ การจู่โจมทางไซเบอร์เพื่อเข้าถึงข้อมูล นับวันจะมากขึ้นในแบบที่หลากหลาย และสร้างความเสียหายรุนแรงกว่าเดิมหลายเท่า

“มัลแวร์” สาเหตุสูญเสียข้อมูล

องค์กรธุรกิจไม่สามารถมองข้ามความจำเป็นในเรื่องการรักษาความมั่นคงปลอดภัยของข้อมูลได้ เพราะมีข้อมูลอยู่มากมายและหลากหลายประเภทที่เข้ามามีส่วนเกี่ยวข้องกับการดำเนินธุรกิจ ทั้งข้อมูลที่มีลักษณะอ่อนไหว และข้อมูลที่เป็นความลับ ไม่ว่าจะเป็นข้อมูลส่วนบุคคลของพนักงานและลูกค้าข้อมูลที่เกี่ยวกับผลิตภัณฑ์ที่เป็นความลับทางการค้า ข้อมูลทรัพย์สินทางปัญญา และข้อมูลของคู่ค้าทางธุรกิจ เป็นต้น

หนึ่งในมาตรการสำคัญเพื่อคุ้มครองความมั่นคงปลอดภัยของข้อมูลจากภัยไซเบอร์ ได้แก่ การป้องกันไม่ให้มัลแวร์เข้าสู่ระบบเครือข่าย (Network) ขององค์กรหรือลดโอกาสการจู่โจมของมัลแวร์ ผ่านทางช่องโหว่ที่มีอยู่ ซึ่งมัลแวร์นี้เป็นตัวการสำคัญที่นำข้อมูลออกไป (Spyware) หรือบังคับให้องค์กรต้องจ่ายค่าไถ่เพื่อแลกกับข้อมูล (Ransomeware)

ดังนั้น องค์กรต้องทำการสำรวจช่องโหว่ที่มีอยู่ เพื่อรีบปิดช่องโหว่เหล่านั้นก่อนที่มัลแวร์จะอาศัยเป็นช่องทางจู่โจมเข้าสู่ระบบเครือข่ายและสร้างความเสียหายตามมาลดโอกาสการจู่โจมของมัลแวร์

นอกจากความผิดพลาดของบุคคล (Human Error) จุดอ่อนในขั้นตอนและกระบวนการรักษาความมั่นคงปลอดภัยไซเบอร์ขององค์กรคือการขาดการควบคุมภายในที่เพียงพอ และสาเหตุอื่นๆ

จากการศึกษาของ บีเอสเอ พันธมิตรซอฟต์แวร์ พบว่า อีกหนึ่งสาเหตุสำคัญที่ทำให้เกิดช่องโหว่ให้มัลแวร์อาศัยเป็นช่องทางจู่โจมเข้าสู่ระบบเครือข่ายได้โดยง่าย คือ การที่องค์กรติดตั้งหรือใช้งานซอฟต์แวร์เถื่อน หรือการใช้งานซอฟต์แวร์โดยไม่มีสัญญาอนุญาตให้ใช้สิทธิ (License) เพราะซอฟต์แวร์ที่ไม่มีสัญญาอนุญาตให้ใช้สิทธิ ทำให้องค์กรไม่ได้รับสิทธิในการอัปเดตด้านความปลอดภัย (Security Update) ของซอฟต์แวร์ ไม่ได้รับสิทธิในการอุดช่องโหว่ของซอฟต์แวร์ (Patch) และไม่ได้รับสิทธิในบริการด้านความปลอดภัยอื่นๆ จากบริษัทซอฟต์แวร์

ไอดีซี (IDC) ซึ่งเป็นสำนักวิจัยระดับโลกประเมินว่า โอกาสของการเผชิญกับการจู่โจมของมัลแวร์ มีสูงถึง 1 ใน 3 หากมีการติดตั้งหรือใช้งานซอฟต์แวร์โดยไม่มีสัญญาอนุญาตให้ใช้สิทธิ จากการวิเคราะห์เชิงสถิติของไอดีซีซึ่งยืนยันค่าความสัมพันธ์ (Correlation) ที่สูงระหว่างการใช้ซอฟต์แวร์ โดยไม่มีสัญญาอนุญาตให้ใช้สิทธิกับการถูกมัลแวร์จู่โจมเข้าสู่ระบบเครือข่าย

นอกจากนี้ ไอดีซีได้สำรวจความคิดเห็นของเจ้าหน้าที่ผู้บริหารด้านเทคโนโลยีระดับสูง (CIO) พบว่าร้อยละ 54 เห็นว่าการใช้ซอฟต์แวร์ที่มีสัญญาอนุญาตให้ใช้สิทธิถูกต้องครบถ้วน จะช่วยลดความเสี่ยงด้านความมั่นคงปลอดภัยไซเบอร์

<img style="width: 638px; height: 362px;" src="http://forbesthailand.com/uploads/library/12b79152ed1a3593828e103515a79824.jpg" alt="" />

ค้นจุดอ่อนระบบความปลอดภัย

จุดอ่อนอีกประการหนึ่งที่ทำให้มัลแวร์มีโอกาสจู่โจมเข้าสู่ระบบเครือข่าย คือการที่องค์กรไม่มีนโยบายด้านการบริหารจัดการสินทรัพย์ด้านเทคโนโลยีสารสนเทศโดยเฉพาะสินทรัพย์ด้านซอฟต์แวร์ ซึ่งจะทำให้องค์กรขาดข้อมูลเกี่ยวกับซอฟต์แวร์ที่มีการติดตั้งและใช้งานทั้งหมดในระบบเครือข่าย เมื่อองค์กรไม่ทราบว่ามีซอฟต์แวร์ใดติดตั้งหรือใช้งานอยู่ องค์กรก็จะไม่ทราบว่ามีซอฟต์แวร์ใดบ้างที่ต้องจัดการดูแล

กล่าวกันว่าหนึ่งในสาเหตุที่ทำให้โรงพยาบาลหลายแห่งในประเทศอังกฤษตกเป็นเหยื่อของมัลแวร์เรียกค่าไถ่ WannaCry คือ การไม่อัปเกรดซอฟต์แวร์เวอร์ชั่นเก่าที่บริษัทเจ้าของซอฟต์แวร์หยุดให้บริการด้านความปลอดภัยแล้ว โรงพยาบาลอาจไม่ตกเป็นเหยื่อของมัลแวร์ หากมีข้อมูลเกี่ยวกับซอฟต์แวร์เวอร์ชั่นเก่าและจัดการอัปเกรด
<ul>
 	<li><a href="http://forbesthailand.com/news-detail.php?did=1658">เกาหลีเหนืออาจอยู่เบื้องหลังไวรัสเรียกค่าไถ่ WannaCry: เพื่อป่วนโลกหรือเพื่อเงิน?</a></li>
</ul>
นอกจากนี้ การที่องค์กรขาดข้อมูลเกี่ยวกับสินทรัพย์เทคโนโลยีสารสนเทศประเภทซอฟต์แวร์ที่ใช้งานอยู่ ยังทำให้การแก้ไขสถานการณ์กรณีที่เกิดการจู่โจมทางไซเบอร์ล่าช้าและไม่มีประสิทธิภาพเท่าที่ควร

เช่น เจ้าหน้าที่ด้านความมั่นคงปลอดภัยที่ไม่มีบัญชีรายการซอฟต์แวร์ ฮาร์ดแวร์ อุปกรณ์ไอที และข้อมูลผู้ใช้งาน จะไม่สามารถทราบได้ทันทีว่าซอฟต์แวร์ใดที่เป็นช่องโหว่ และฮาร์ดแวร์ อุปกรณ์ไอที และผู้ใช้งานคนใดที่ได้รับผลกระทบ รวมทั้งเจ้าหน้าที่ไม่สามารถกำหนดขอบเขตของปัญหาที่เกิดขึ้น และไม่สามารถจัดอันดับความสำคัญของปัญหาได้ทันที

ควบคุมภายในการใช้ซอฟต์แวร์

จากการสำรวจของบีเอสเอ พันธมิตรซอฟต์แวร์ พบว่า องค์กรธุรกิจส่วนใหญ่ในประเทศไทย ให้ความสำคัญกับการคุ้มครองความมั่นคงปลอดภัยของข้อมูลมากขึ้น

เห็นได้จากการมีวิธีปฏิบัติ ขั้นตอน และกระบวนการจัดการด้านไซเบอร์ที่ดี (Good Cyber Hygiene) เช่น มีการลงทุนมากขึ้นกับฮาร์ดแวร์และซอฟต์แวร์ที่เป็นเทคโนโลยีล่าสุดสำหรับการป้องกันภัยไซเบอร์ เช่น เอ็นพอยท์ ซีเคียวริตี้ (Endpoint Security) ไฟล์วอลล์ (Firewalls) การสร้างหน่วยงานที่รับผิดชอบด้านความมั่นคงปลอดภัยไซเบอร์และการอบรมบุคลากร เป็นต้น

<img style="width: 638px; height: 425px;" src="http://www.forbesthailand.com/uploads/library/0ebcd49609c8751e6613a231bd9c41fa.jpg" alt="" />

อย่างไรก็ตาม องค์กรส่วนใหญ่กลับขาดนโยบายการควบคุมภายในเพียงพอที่จะทำให้แน่ใจว่า ไม่มีการติดตั้งหรือใช้ซอฟต์แวร์ที่ไม่มีสัญญาอนุญาตให้ใช้สิทธิที่สร้างจุดอ่อนให้ระบบความปลอดภัย และขาดนโยบายการบริหารจัดการซอฟต์แวร์รวมถึงขาดกลยุทธ์ในการผนวกกระบวนการบริหารจัดการซอฟต์แวร์ เพื่อเข้ามาสนับสนุนและเพิ่มประสิทธิภาพให้กับกระบวนการรักษาความมั่นคงปลอดภัยของข้อมูล

ด้วยเหตุนี้ องค์กรธุรกิจในประเทศไทยจึงยังคงมีความเสี่ยงสูง ที่จะเผชิญหน้ากับการจู่โจมของมัลแวร์ การรั่วไหลของข้อมูล และ การละเมิดข้อมูล หากสิ่งเหล่านี้เกิดขึ้นกับองค์กรใดแล้ว นอกจากต้องเสียงบประมาณและเวลาในการแก้ไขปัญหา ยังส่งผลเสียต่อชื่อเสียงองค์กรอีกด้วย และในภาพรวมจะส่งผลให้องค์กรธุรกิจในไทยสูญเสียความน่าเชื่อถือในสายตาของนักลงทุนต่างชาติ

ดังนั้น องค์กรธุรกิจในไทยต้องไม่มองข้ามความสำคัญของการควบคุมภายในด้านการใช้งานซอฟต์แวร์ และนโยบายการบริหารจัดการสินทรัพย์ไอที โดยเฉพาะสินทรัพย์ซอฟต์แวร์ ที่ควรจัดให้มีขึ้นในทันที เพราะเป็นหนึ่งในมาตรการสำคัญและเป็นวิธีพื้นฐานการเพิ่มประสิทธิภาพด้านการคุ้มครองความมั่นคงปลอดภัยของข้อมูล

&nbsp;

<figure><img style="width: 250px; height: 259px;" src="http://forbesthailand.com/uploads/library/73e64c02b683ab2e7f721bf48025cd0e.jpg" alt="" width="250" height="259" /><figcaption> วารุณี รัชตพัฒนากุล ผู้จัดการประจำประเทศไทย บีเอสเอ I พันธมิตรซอฟต์แวร์</figcaption></figure>

&nbsp;

News

Forbes lists

World

Leaderboard

Commentaries

Forbes life

Events