ปัจจุบันมีมาตรฐานมากมายที่สามารถนำมาประยุกต์ใช้ในการออกแบบระบบรักษาความปลอดภัยทำให้องค์กรปลอดภัยจากภัยคุกคามทางไซเบอร์ได้หลากหลายวิธีการ วันนี้ผู้เขียนจะนำ Cyber Security Frameworks 1 ตัวมาแนะนำ ของทาง NIST Cybersecurity Framework หรือหลายท่านอาจจะอ่านออกเสียงว่า “นิช” และปัจจุบันแนวทางการออกแบบพระราชบัญญัติ การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 ที่เพิ่งออกมาก็มีกรอบการพัฒนาและเขียนมาจากการยกมาตรฐานของ NIST มาใช้อ้างอิงเช่นกัน

    โดยหน่วยงาน NIST คือ เป็นหน่วยงานหนึ่งของกระทรวงพาณิชย์สหรัฐ ที่สนับสนุนและรักษามาตรฐานความปลอดภัยในหลายๆ ด้านเพื่อปกป้องระบบขององค์กรโดยเป้าหมายหลักเพื่อส่งเสริมนวัตกรรมและการแข่งขันในอุตสาหกรรม โดยความก้าวหน้าทางวิทยาศาสตร์ การวัดมาตรฐานและเทคโนโลยีในรูปแบบที่ช่วยเพิ่มความมั่นคงทางเศรษฐกิจ และการปรับปรุงคุณภาพชีวิตของเราให้ดียิ่งขึ้น

    ในช่วงปี 2018 ได้มีการออกเอกสาร หรือแนวทางการออกแบบความปลอดภัยออกมาภายใต้ชื่อเอกสาร NIST Cybersecurity Framework 1.1 เพื่อเป็นกรอบการออกแบบและวางกลยุทธิ์ให้ระบบรักษาความปลอดภัยทางไซเบอร์ โดยเป็นที่ยอมรับอย่างแพร่หลายด้วยแนวทางการปฏิบัติที่เข้าใจง่ายและเป็นขั้นตอน สามารถปฏิบัติตามได้อย่างทันที ดังนั้นหากองค์กรไหนจะเริ่มออกแบบมาตรฐานหรือยกระดับความปลอดภัยในหน่วยงานให้มีความมั่นคงปลอดภัยด้านไซเบอร์ NIST Cybersecurity Framework 1.1 ถือเป็นแนวทางที่ดีในการนำมาใช้

    โดยหลักการของการออกแบบนั้นได้แบ่งขั้นตอนและแผนการออกเป็น 5 ขั้นตอนหลัก

• Identify – การระบุและเข้าใจถึงบริบทต่างๆ เพื่อการบริหารจัดการความเสี่ยง
• Protect – การวางมาตรฐานควบคุมเพื่อปกป้องระบบขององค์กร
• Detect – การกำหนดขั้นตอนและกระบวนการต่างๆ เพื่อตรวจจับสถานการณ์ที่ผิดปกติ
• Respond – การกำหนดขั้นตอนและกระบวนการต่างๆ เพื่อรับมือกับสถานการณ์ผิดปกติที่เกิดขึ้น
• Recovery – การกำหนดขั้นตอนและกระบวนการต่างๆ เพื่อให้ธุรกิจสามารถดำเนินได้อย่างต่อเนื่อง และฟื้นฟูระบบให้กลับคืนมาเหมือนเดิม
  

    โดยแต่ละขั้นตอนนั้นในเชิงรายละเอียดได้มีการแนะนำแนวทางปฏิบัติที่เป็นการช่วยให้องค์กรสามารถวางแนวทางการยืนยันตัวตน ปกป้อง ตรวจสอบ และตอบสนองต่อภัยคุกคาม และฟื้นฟูระบบหลังจากได้รับผลกระทบไว้ได้อย่างดี พร้อมทั้งกำหนดบทบาทให้คนที่ออกแบบสามารถนำแนวทางปฏิบัติมาใช้ได้ทันที หากลองดูภาพประกอบแล้วจะเข้าใจการออกแบบมากขึ้นว่าจำเป็นต้องเพิ่มมาตรการอะไรเพิ่มเข้าไปในหน่วยงานเพื่อยกระดับเพิ่มบ้างในแต่ละขั้นตอน

    จากภาพที่ยกตัวอย่างจะเห็นได้ชัดเจนว่าการนำ NIST Cybersecurity Framework มาใช้เป็นแนวทางการพัฒนาพระราชบัญญัติ การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 ตามแต่ละขั้นตอนของ NIST เลย ดังนั้นการทำให้ระบบของหน่วยงานมีความพร้อมและสามารถตรวจสอบรับมือต่อภัยคุกคามได้นั้นสามารถใช้แนวทางการออกแบบโดยใช้ NIST Cybersecurity Framework 1.1 มาประยุกต์เพื่อพัฒนาต่อได้ทันที

    ที่สนใจนำ NIST Cybersecurity Framework เข้ามาประยุกต์ในภายในองค์กร สามารถดูรายละเอียดเพิ่มเติมและดาวน์โหลดเอกสารฟรีได้ที่ : https://www.nist.gov/cyberframework