ประเทศไทยปลอดภัยแค่ไหนต่อภัยไซเบอร์ ?

    สถานการณ์ความมั่นคงปลอดภัยทางไซเบอร์ของประเทศไทยในปัจจุบัน เป็นประเด็นที่อยู่ภายใต้การพิจารณาอย่างเข้มข้น โดยเฉพาะอย่างยิ่งจากความร่วมมือในการประเมินความเสี่ยงระดับชาติ (Thailand National Cyber Risk Assessment Framework: THNCF) ที่จัดทำขึ้นโดยสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) ร่วมกับมหาวิทยาลัยมหิดล จากการประเมินเชิงลึกและข้อเสนอแนะของผู้เชี่ยวชาญ ทำให้เห็นภาพรวมที่ซับซ้อน ประเทศไทยมีความตื่นตัวในการจัดทำกรอบมาตรฐาน แต่ยังเผชิญกับความเสี่ยงสูงหลายด้าน โดยเฉพาะภัยคุกคามที่มีความซับซ้อนและภัยคุกคามที่มาจากช่องโหว่พื้นฐาน

1. สถานะความพร้อมและมุมมองของผู้เชี่ยวชาญ
    ผู้เชี่ยวชาญตั้งคำถามว่า "ประเทศไทยพร้อมแค่ไหนต่อภัยคุกคามไซเบอร์" โดยมองว่าเป็นเรื่องที่ยากจะตอบ เนื่องจากในขณะนี้ ประเทศไทยกำลังอยู่ในช่วง "วิ่งไล่เก็บมาตรฐาน" (running to collect standards) นอกจากนี้ ยังมีข้อสังเกตเกี่ยวกับบริบททางวัฒนธรรมและความเป็นพลเมืองดิจิทัล เช่น

• คนไทยมีนิสัย "ใจดี" และอาจมีความตื่นตัวในการรับมือภัยคุกคามก็ต่อเมื่อ เกิดเหตุการณ์ร้ายแรงขึ้นแล้วเท่านั้น
• ประเทศไทยมีการใช้ผลิตภัณฑ์และเทคโนโลยีจากต่างประเทศเป็นส่วนใหญ่ ส่งผลให้มี "ช่องโหว่" และการเผยแพร่ข้อมูลในสองเวอร์ชัน (ภาษาไทยและภาษาอังกฤษ) ทำให้ผู้ไม่ประสงค์ดีสามารถเข้าถึงช่องโหว่ได้ง่ายขึ้น
• การพึ่งพาต่างชาติสูงทำให้เสี่ยงต่อการถูก "วางยา" ตั้งแต่ระดับฮาร์ดแวร์ หรือแม้แต่การกีดกันทางเทคโนโลยี (เช่น กรณี Nvidia/AMD)

2. กรอบการประเมินความสามารถระดับชาติ (NCF)

    สกมช. และมหาวิทยาลัยมหิดลได้พัฒนา National Capability Framework (NCF) ซึ่งถือเป็น กรอบความสามารถระดับประเทศครั้งแรก เพื่อวัดระดับความพร้อม ซึ่งหมายถึงความสามารถในการติดตามสถานการณ์ภัยคุกคามและความขัดแย้งของโลกอย่างต่อเนื่อง และพัฒนาปรับปรุงรอบด้าน (continuous improvement)

    มาตรวัดระดับความพร้อม (Maturity Scale) ถูกสร้างขึ้นโดยทีมงาน National Capability Framework (NCF) โดยอ้างอิงมาตรฐานของ ENISA มีเป้าหมายเพื่อ บ่งบอกว่าความสามารถ (Capability) ในแต่ละด้านขององค์กรนั้นครบถ้วน สมบูรณ์ เก่ง หรือมีการเติบโตไปมากน้อยแค่ไหน มาตรวัดนี้มีทั้งหมด 5 ระดับ ซึ่งแสดงถึงการก้าวหน้าขององค์กรในการจัดการความมั่นคงปลอดภัยทางไซเบอร์

    การจำแนกระดับความพร้อม (Maturity Levels)

1. Initial (เริ่มต้น) เป็นระดับพื้นฐานที่สุด หมายความว่าองค์กร ยังไม่เคยมีการดำเนินการใด ๆ หรือแม้แต่ประเมินตนเองว่าอยู่ในระดับใด
2. Guidance (มีแนวทาง) องค์กรเริ่มมีการกำหนดแนวทาง เริ่มริเริ่มโครงการ (Initiate Project) มีการออกระเบียบ นโยบาย หรือแผนงานเบื้องต้น รวมถึงสามารถระบุผู้เกี่ยวข้อง (Stakeholder) ได้แล้ว
3. Exhibit (แสดงให้เห็น) ระดับนี้แสดงถึง ความชัดเจน ในการปฏิบัติงาน โดยเริ่มมีแนวทางในการดำเนินการที่ชัดเจน มีการบังคับใช้ มีการจัดสรรทรัพยากร และมอบหมายบุคลากรเพื่อดำเนินโครงการอย่างเป็นรูปธรรม ผู้เชี่ยวชาญชี้ว่า อย่างน้อยที่สุด ทุกองค์กรควรจะต้องบรรลุระดับนี้แล้ว
4. Optimization (การเพิ่มประสิทธิภาพ) ระดับนี้คือกุญแจสำคัญของการ ขับเคลื่อนดำเนินการอย่างเป็นรูปธรรมชัดเจน องค์กรสามารถ ระบุความท้าทาย (Challenge) และช่องว่าง (Gap) ของตนเองได้แล้ว ซึ่งหมายถึงการ รู้ตัวตนเอง ว่ามีปัญหาหรือความเสี่ยงใด อย่างไรก็ตาม หากองค์กรเพียงแค่รู้ตัวตนเอง แต่ไม่ได้ดำเนินการต่อเนื่องเพื่อสร้างความยั่งยืน
5. ระดับ 5: Adaptive (ปรับตัวได้) นี่คือ เป้าหมายสูงสุด ของ Maturity Scale ระดับ 5 หมายถึงการที่องค์กรมี Adaptiveness (ความสามารถในการปรับตัว) ซึ่งทำให้ สามารถปรับตัวและเติบโตได้อย่างต่อเนื่อง คีย์เวิร์ดสำคัญของระดับนี้คือ ความยั่งยืน (Sustainability) ซึ่งเชื่อมโยงกับการทำ PDCA และการพัฒนาอย่างต่อเนื่อง

    มิติความสามารถหลัก 4 ด้านที่ต้องเสริมสร้าง

    พัฒนาขึ้นโดยความร่วมมือระหว่าง สกมช. และมหาวิทยาลัยมหิดล เพื่อใช้ประเมินความพร้อมและศักยภาพขององค์กร ได้กำหนด มิติความสามารถหลักที่ต้องเสริมสร้าง (Capability) ที่จำเป็นออกเป็น 4 มิติหลัก

1. มิติของการกำกับดูแล (Regulatory Control) กำหนดบทบาทหน้าที่ที่ชัดเจน การออกแบบและกำหนดมาตรฐาน และการจัดการความเสี่ยง
2. มิติของการสร้างศักยภาพ/การตระหนักรู้ (Capability Building/Awareness) ฝึกอบรม (Training) การยกระดับทักษะ (Upskilling/Reskilling) โดยเฉพาะการฝึกคนให้มี "Critical Thinking" และ "Sense of Awareness" เพื่อให้เท่าทันภัยคุกคามที่เกิดจาก AI
3. มิติด้านกฎหมายและข้อบังคับ (Laws and Regulations) นำแนวทางปฏิบัติ (Implementation) เช่น PDPA และกฎหมายไซเบอร์ มาประยุกต์ใช้ และความจำเป็นในการสร้าง Collaboration ด้านกฎระเบียบ เพื่อลดความซ้อนทับหรือภาระในการปฏิบัติตาม
4. มิติของความร่วมมือ (Collaboration) สร้างความร่วมมือที่เกี่ยวข้องทั้งในระดับองค์กร ภายในชาติ และนานาชาติ

3. ภัยคุกคามและช่องโหว่ที่ถูกระบุบ่อยที่สุด

จากการรวบรวมข้อมูลความเสี่ยงจาก 54 หน่วยงาน รวม 1,193 รายการความเสี่ยง (Records) พบว่าความเสี่ยงส่วนใหญ่ยังคงเป็นภัยคุกคามพื้นฐาน

นอกจากนี้ยังมีประเภทช่องโหว่

สินทรัพย์ที่ถูกเล็งเป้าหมายมากที่สุดคือ ซอฟต์แวร์และระบบสารสนเทศ รองลงมาคือ ข้อมูล และ เครือข่าย ตามลำดับ

    4. ช่องว่างและความเสี่ยงที่มองข้าม (Underreported Threats)

รายงานการประเมินพบว่าความเสี่ยงที่มีความซับซ้อนสูงมักจะถูกกล่าวถึงน้อยมาก

     5. ความเสี่ยงจำเพาะตามภาคส่วน (Line Sector Risk)

ความเสี่ยงที่หน่วยงานต้องเผชิญแตกต่างกันไปตามลักษณะของภารกิจ

6. ข้อเสนอแนะเชิงกลยุทธ์เพื่อความปลอดภัยที่ยั่งยืน

เพื่อเพิ่มความปลอดภัยและความยั่งยืนทางไซเบอร์ ผู้เชี่ยวชาญได้เสนอแนวทางสำคัญ

1. การลดการพึ่งพาต่างชาติ (Made in Thailand): ควรลงทุนในการพัฒนาโครงสร้างพื้นฐานด้านความมั่นคงปลอดภัยไซเบอร์ตั้งแต่ระดับ Chip, Hardware, Software ไปจนถึงแพลตฟอร์ม เพื่อให้ประเทศสามารถควบคุมและจัดการความเสี่ยงได้อย่างแท้จริง
2. การจัดการข้อมูลชีวมิติ (Biometric Data): ต้องให้ความสำคัญกับการรักษาความปลอดภัยของ Identity และข้อมูลชีวมิติ (เช่น ม่านตา, ลายนิ้วมือ) อย่างจริงจัง เนื่องจากเป็นข้อมูลที่ติดตัวและไม่สามารถรีเซ็ตได้
3. การกำหนดมาตรฐานองค์ประกอบความเสี่ยง: สกมช. ควรออก รหัสมาตรฐาน (Coding) สำหรับองค์ประกอบความเสี่ยง (Asset, Threat Event, Vulnerability, Threat Actor) เพื่อให้ข้อมูลที่ส่งมามีความเป็นมาตรฐานเดียวกันทั่วประเทศ
4. การพัฒนาบุคลากรเฉพาะทาง: การฝึกอบรมบุคลากรควรเน้นแบบ พุ่งเป้า (Segmented) และพัฒนาทักษะที่เกี่ยวข้องกับการจัดการความเสี่ยงที่ตรวจพบในแต่ละภาคส่วน
5. การสร้างความร่วมมือและความยั่งยืน: ต้องเน้นย้ำถึงความสำคัญของการ Connecting the Dot หรือการสร้างความเชื่อมโยงในการดำเนินงานตั้งแต่การเก็บข้อมูล การวิเคราะห์ การออกกฎหมาย ไปจนถึงการฝึกอบรม เพื่อให้เกิดการดำเนินงานอย่างต่อเนื่องและยั่งยืน (Adaptive) รวมถึงการส่งเสริมให้หน่วยงานมีการซักซ้อมแผนรับมือเหตุการณ์ (Incident Response Plan) อย่างสม่ำเสมอ

    ส่วนตัวผู้เขียนมองว่า ประเทศไทยยังมีช่องโหว่ด้านความปลอดภัยไซเบอร์อยู่เยอะ เรามีกรอบการทำงานที่ดีขึ้นก็จริง แต่ยังต้องพึ่งพาต่างประเทศสูง และภัยรูปแบบใหม่ ๆ ก็ยังรับมือได้ไม่เต็มที่ จุดที่สำคัญที่สุดคือ เราต้องทำให้ทุกคน ทั้งภาครัฐ เอกชน และประชาชน ตระหนักร่วมกัน เพราะความมั่นคงไซเบอร์ไม่ใช่หน้าที่ของใครคนใดคนหนึ่ง แต่เป็นของพวกเราทุกคน

ติดตามข่าวสารใหม่ๆได้ที่ Avery it tech #เพราะเทคโนโลยีอยู่รอบตัวคุณ #tech #itsolution #technology