ภายในงาน Cyber Defense Initiative Conference (CDIC) ครั้งที่ 18 ประจำปี 2019 ที่กำลังจัดอยู่ในขณะนี้ อาจารย์ปริญญา หอมเอนก ผู้ก่อตั้งและประธานบริษัท ACIS Professional Center ได้ออกมากล่าวสรุปแนวโน้มภัยคุกคามไซเบอร์ 10 ประการในปี 2020 รวมไปถึงอัปเดตเทรนด์ทางด้านความมั่นคงปลอดภัยไซเบอร์ล่าสุด ซึ่งสามารถสรุปประเด็นสำคัญได้ดังนี้
ภัยคุกคามไซเบอร์ เรื่องปกติที่ทุกคนต้องประสบ
อาจารย์ปริญญาระบุว่า ภัยคุกคามไซเบอร์กำลังกลายเป็นเรื่องปกติทั่วไปที่ทุกองค์กรต้องเจอ จากรายงานล่าสุดของ Cybint และ Cybersecurity Ventures พบว่าร้อยละ 60 ขององค์กรเคยประสบกับการโจมตีไซเบอร์ เช่น DDoS Attack, Phishing หรือ Social Engineering คาดว่าความเสียหายอันเนื่องมาจากอาชญากรรมไซเบอร์จะพุ่งขึ้นแตะ $6 ล้านล้าน (ประมาณ 181 ล้านล้านบาท) ในปี 2021 นี้ สอดคล้องกับรายงาน The Global Risks Report ประจำปี 2019 ของ World Economic Forum ที่ระบุว่า ความเสี่ยงอันเนื่องมาจากการโจมตีไซเบอร์สูงเกินค่าเฉลี่ยเป็นที่เรียบร้อย โดยมี Impact เป็นอันดับ 7 และ Likelihood เป็นอันดับ 5 ท่ามกลางปัจจัยเสี่ยงรวม 30 รายการ
10 อันดับภัยคุกคามและความมั่นคงปลอดภัยไซเบอร์ที่ควรจับตามองในปี 2020
อาจารย์ปริญญา ด้วยความร่วมมือกับ ACIS Professional Center และ Cybertron Research LAB ได้สรุปแนวโน้มภัยคุกคามไซเบอร์และประเด็นด้านความมั่นคงปลอดภัยที่ควรจับตามองในปี 2020 รวม 10 ประการ ดังนี้
1. Cyber Fraud with a DeepFake
DeepFake คือการใช้เทคโนโลยี AI ในการสร้าง Content ปลอมอย่างแนบเนียน ซึ่งอาจแปลงได้ทั้งภาพ เสียง หรือวิดีโอ เช่น ตัดต่อใบหน้าของผู้มีชื่อเสียงเข้าไปแทนหน้าตัวเองในวิดีโอ ทำให้ผู้ไม่ประสงค์ดีสามารถนำผู้มีชื่อเสียงคนดังกล่าวไปพูดหลอกลวงหรือแสดงบทละครเท็จตามต้องการได้
2. Beyond Fake News
การเป็นสร้างข่าวโดยใช้ส่วนหนึ่งของความจริง ไม่ใช่ข่าวโดยธรรมชาติ เพื่อเปลี่ยนแปลงความคิดของคน เช่น การ์ตูนล้อเลียนเสียดสีทางการเมืองจากเพจต่างๆ ซึ่งข่าวเหล่านี้จะดูน่าเชื่อถือเพราะมีฐานมาจากความจริง แต่ส่งผลลบต่อเป้าหมายบุคคลหรือองค์กร มักมีเป้าหมายเพื่อการดิสเครดิต
3. Cyber Sovereignty and National Security in the Long Run
ทุกวันนี้เราอาจไม่ได้มีอธิปไตยทางไซเบอร์จริงๆ สาเหตุมาจากสื่อที่เรารับชมนั้นถูกคัดสรรค์และกลั่นกรอง (Filter Bubble Effect) มาจากผู้ให้บริการ และเป็นตัวเราเองที่ยินยอมส่งมอบข้อมูลของตนให้ผู้ให้บริการเหล่านั้นโดยไม่รู้สึกรู้สาอะไรเสียด้วย เหล่านี้อาจส่งผลกระทบต่อความมั่นคงปลอดภัยของชาติในระยะยาวได้ อย่างไรก็ตาม ยังคงมีประเทศที่เรียกได้ว่าสามารถเอาชนะการคุกคามอธิปไตยทางไซเบอร์ได้ นั่นก็คือประเทศจีน เนื่องมาจากความพยายามปิดกั้นการเข้าถึงบริการต่างๆ จากภายนอกและสนับสนุนให้ประชาชนใช้บริการภายในประเทศนั่นเอง
4. Cyber Attack : A New Normal in Cybersecurity
การโจมตีไซเบอร์เกิดขึ้นทุกวันรอบตัวเรา ไม่ว่าจะเป็นหน่วยงาน องค์กร บริษัท หรือแม้แต่บุคคลทั่วไป ซึ่งอีกไม่นานสิ่งเหล่านี้จะกลายเป็นเรื่องธรรมดาสามัญ ผู้บริหารจึงจำเป็นต้องปรับเปลี่ยนแนวคิดในการรับมือกับภัยคุกคามไซเบอร์เสียใหม่ จาก ถ้า ถูกโจมตีจะป้องกันอย่างไร ไปเป็น เมื่อไหร่ก็ตาม ที่ถูกโจมตีจะรับมืออย่างไร เพื่อให้ธุรกิจยังคงดำเนินต่อไปได้ หรือก็คือเปลี่ยนจาก Cybersecurity ไปเป็น Cyber Resilience นั่นเอง
5. Tighten in Cyber Resilience and Data Protection Regulatory Compliance
กฎหมายและข้อบังคับต่างๆ จะมีความเข้มงวดมากขึ้น ดังที่เห็นจากการออก พ.ร.บ การรักษาความมั่นคงปลอดภัยไซเบอร์ และ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 นั่นเอง ส่งผลให้ผู้บริหารจำเป็นต้องให้ความสำคัญกับ Value Preservation หรือการอนุรักษ์คุณค่าของธุรกิจที่มีอยู่ให้มากขึ้นตาม กล่าวคือต้องเพิ่มความเสถียรและความมั่นคงปลอดภัยเพื่อให้ธุรกิจยังคงดำเนินการได้อย่างต่อเนื่องแม้จะเกิดเหตุการโจมตีไซเบอร์ก็ตาม
6. Data Breaches as Top Cyber Concerns for Business
Data Breach หรือการเจาะช่องโหว่เพื่อขโมยข้อมูลจะเป็นประเด็นอันดับ 1 ที่ธุรกิจต้องให้ความสนใจ ทั้งนี้สาเหตุส่วนใหญ่มักเกิดการตั้งค่าบนระบบ Cloud ไม่รัดกุมหรือไม่มั่นคงปลอดภัยเพียงพอ รวมไปถึงความผิดพลาดอันเนื่องมาจากตัวบุคคลเอง จึงควรมีการเพิ่มมาตรการควบคุม เช่น การเข้ารหัสข้อมูล และการสร้างความตระหนักด้านภัยคุกคามและความมั่นคงปลอดภัยในแก่บุคลากรภายในองค์กร
7. Orchestration And Automation Boosting Security Staff Effectiveness
ระบบรักษาความมั่นคงปลอดภัยในปัจจุบันเริ่มมีความซับซ้อนและยุ่งยากเพิ่มขึ้นตามวิวัฒนาการของภัยคุกคามไซเบอร์ ผู้ดูแลระบบต้องเผชิญกับการแจ้งเตือนและเหตุการณ์ด้านความมั่นคงปลอดภัยปริมาณมหาศาลจนเริ่มรับมือไม่ไหว เทคโนโลยี AI & Automation จึงเข้ามาช่วยปิดช่องโหว่ตรงจุดนี้และเพิ่มความสามารถในการรับมือกับภัยคุกคามได้อย่างมีประสิทธิภาพมากยิ่งขึ้น ในขณะที่ Managed Security Service Provider ก็ต้องผันตัวเองมาเป็น Managed Detection and Response ด้วย
8. Increasing Impact of State-Sponsored Cyberattacks
การโจมตีไซเบอร์แบบ State-sponsored หรือที่มีหน่วยงานรัฐ/ประเทศหนุนหลังจะเพิ่มมากขึ้น โดยเฉพาะอย่างยิ่งการโจมตีที่มีเป้าหมายไปยังโครงสร้างพื้นฐานสำคัญของประเทศ เช่น โรงไฟฟ้า หรือระบบขนส่งมวลชน เป็นต้น
9. The Cybersecurity Skills Gap Crisis
องค์กรจะเผชิญกับการขาดแคลนบุคลากรที่มีทักษะด้านความมั่นคงปลอดภัยไซเบอร์ เนื่องจากการโจมตีไซเบอร์จะกลายเป็นเรื่องปกติสามัญและกฎหมายดิจิทัลหลายฉบับได้ถูกบังคับใช้ ส่งผลให้ตลาดต้องการผู้ที่มีความสามารถด้านนี้เป็นอย่างมาก ในขณะที่ CISO (Chief Information Security Officer) จะถูกยกระดับขึ้นมาให้มีตำแหน่งเทียบเท่า CIO/CTO และขึ้นตรงกับ CEO แทน
10. 5G Networks Increased Exposure to Entry Points for Attackers.
การมาถึงของเครือข่าย 5G จะเพิ่มช่องทางใหม่ๆ ให้แฮ็กเกอร์สามารถโจมตีผู้ใช้โดยตรงได้มากยิ่งขึ้น เนื่องจากผู้ใช้สามารถเชื่อมต่ออินเทอร์เน็ตความเร็วสูงได้โดยตรง ไม่ต้องผ่านระบบป้องกันหรือ Gateway ที่ช่วยกลั่นกรองใดๆ ขององค์กรอีกต่อไป
- ครึ่งปีแรกของ 2019 พบว่ามีข้อมูลกว่า 4,100 ล้านรายการถูกเปิดเผยสู่สาธารณะจากเหตุ Data Breach (RiskBased, 2019)
- 71% ของเหตุ Data Breach มีเรื่องเงินหรือผลตอบแทนเป็นแรงจูงใจ ในขณะที่ 25% มีเรื่องการเมืองระหว่างประเทศหรือหน่วยงานรัฐหนุนหลัง (Verizon, 2019)
- 52% ของเหตุ Data Breach มีสาเหตุมาจากการแฮ็ก 28% มาจากมัลแวร์ และ 32-33% มาจาก Phishing และ Social Engineering (Verizon, 2019)
- โดยเฉลี่ยแล้ว แฮ็กเกอร์ทั่วโลกจะทำการโจมตีทุกๆ 39 วินาที หรือคิดเป็น 2,244 ครั้งต่อวัน (University of Maryland, 2019)
- 206 วัน เป็นระยะเวลาเฉลี่ยกว่าจะพบว่ามีเหตุ Data Breach เกิดขึ้นในองค์กร (IBM, 2019)
- ความเสียหายที่เกิดขึ้นจากเหตุ Data Breach โดยเฉลี่ยอยู่ที่ $3.92 ล้าน (ประมาณ 119 ล้านบาท) (Security Intelligence, 2019)
มาตรฐานสากลถูกนำมาประยุกต์ใช้ในกฎหมายไทยมากขึ้น
สำหรับประเทศไทยนั้น อัปเดตด้านความมั่นคงปลอดภัยไซเบอร์ที่เห็นชัดที่สุด คือ การออกกฎหมาย 2 ฉบับ ได้แก่ พ.ร.บ. การรักษาความมั่นคงปลอดภัยไซเบอร์ สำหรับปกป้องโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (Critical Information Infrastructure: CII) และ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล สำหรับปกป้องความเป็นส่วนบุคคลของประชาชน เทียบเท่ากับ GDPR ที่บังคับใช้ในสหภาพยุโรป โดยกฎหมายฉบับแรกนั้นเริ่มบังคับใช้เป็นที่เรียบร้อยตั้งแต่เดือนพฤษภาคม 2019 ในขณะที่กฎหมายฉบับหลังจะเริ่มบังคับใช้เดือนพฤษภาคม 2020
จากการบังคับใช้ พ.ร.บ. การรักษาความมั่นคงปลอดภัยไซเบอร์ นี้ ทำให้ NIST Cybersecurity Framework ถูกนำมาประยุกต์ใช้กับหน่วยงาน CII ของประเทศ และกำลังทำให้อุตสาหกรรมของประเทศไทยขับเคลื่อนจาก Cybersecurity ไปสู่ Cyber Resilience ในขณะที่มาตรฐาน ISO 27701, ISO 29100, GDPR และ NIST Privacy Framework ก็จะถูกนำมาประยุกต์ใช้เป็นหลักการของ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล นอกจากนี้ NICE Framework (NIST SP800-181) ก็จะถูกนำมาใช้เพื่อพัฒนา Cybersecurity Workforce ในประเทศไทยอีกด้วย
