ไทย พร้อมแค่ไหน กับภาคปฏิบัติ(ตาม)ก.ม.ไซเบอร์

 

 

          ประเทศไทยได้รับการปักหมุดบนแผนที่โลกว่าเป็นอีกหนึ่งประเทศที่มีการประกาศใช้พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ (Cyber Security Act) ตั้งแต่มีการประกาศในราชกิจจานุเบกษาไปเมื่อปลายเดือนพฤษภาคม 2562 (พร้อมๆ กับพ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล หรือ Personal Data Protection Act)

 

 

          แต่หลายเดือนที่ผ่านไปกลับยังไม่เห็นความเคลื่อนไหวต่างๆ ของ “สิ่งที่ต้องทำ” ตามที่กำหนดไว้ในกฎหมายนี้ เพื่อให้เกิดการขับเคลื่อนการบังคับใช้กฎหมายนี้อย่างเป็นรูปธรรม ได้แก่ การจัดตั้งคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (กมช.) คณะกรรมการกำกับดูแลด้านความมั่นคงปลอดภัยไซเบอร์ (กกม.) และสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์

 

 

 

          ทั้งนี้ในระหว่างที่รัฐบาลรวมทั้งหน่วยงานต้นทางที่เป็นผู้ผลักดันกฎหมายด้านนี้โดยตรงอย่าง กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม (ดีอี) ยังไม่มีการ “ขยับ” ให้สาธารณชนได้เห็นความคืบหน้าของการทำงานที่เกี่ยวกับ พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ (หรือเรียกสั้นๆ ว่า พ.ร.บ.ไซเบอร์) แต่ในระดับองค์กรทั้งรัฐและเอกชน ซึ่งต้องมีความเกี่ยวพัน รวมทั้งเป็นผู้ที่อยู่ปลายอีกด้านหนึ่งของพ.ร.บ.ไซเบอร์ หลายภาคส่วน ได้มีการส่งสัญญาณชัดเจนเกี่ยวกับ “การลงทุน” ติดตั้งเทคโนโลยีที่จะเป็นตัวช่วยในการปฏิบัติตามข้อกำหนดในพ.ร.บ.ฉบับนี้

          ++

 

          เม็ดเงินลงทุนด้านความปลอดภัยไซเบอร์
          ข้อมูลจากเว็บไซต์ของ RSA Conference เมื่อกลางปีระบุว่า องค์กรในภาพรวมทั่วโลกมีการจัดสรรงบประมาณด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ เพิ่มขึ้นถึง 141% ระหว่างปี 2553-2561 ขณะที่ในปีนี้ คาดว่าจะมีการใช้จ่ายสำหรับผลิตภัณฑ์และบริการด้านไซเบอร์ซิเคียวริตี้ คิดเป็นมูลค่ารวมมากกว่า 124 พันล้านดอลลาร์สหรัฐ

 

 

 

 

          อีกทั้งยังได้แรงขับเคลื่อนจากการลงทุนเพื่อให้รองรับกฎระเบียบคุ้มครองข้อมูลทั่วไปของสหภาพยุโรป (General Data Protection Regulation : GDPR) ที่เริ่มประกาศใช้เมื่อปีที่ผ่านมาอีกด้วย โดยคาดว่าจะมีองค์กรไม่น้อยกว่า 30% จากทั่วโลกเตรียมควักกระเป๋าลงทุนซื้อบริการและจ้างบริษัทที่ปรึกษาเพื่อเตรียมตัวรับกฎหมาย GDPR

          อย่างไรก็ตาม RSA ระบุว่าสัดส่วนของเปอร์เซ็นต์ที่เพิ่มขึ้นหลักๆ ของไซเบอร์ซิเคียวริตี้ มาจากการใช้จ่ายด้านการรักษาความปลอดภัยในระบบคลาวด์ ซึ่งมีการเติบโตถึง 148% ตั้งแต่ช่วง 2 ปีที่ผ่านมา ส่วนเม็ดเงินที่ใช้จ่ายกับการรักษาความปลอดภัยข้อมูลทั่วไป เติบโต 38% และการลงทุนด้านซอฟต์แวร์ซิเคียวริตี้ เพิ่มขึ้น 25% ระหว่างปี 2560-2562

          ดร.รัฐิติ์พงษ์ พุทธเจริญ ผู้จัดการอาวุโส ฝ่ายวิศวกรรมระบบ ฟอร์ติเน็ต ประเทศไทย กล่าวว่า แนวโน้มการลงทุนด้านไซเบอร์ซิเคียวริตี้ของไทย มีความคึกคักเป็นอย่างมากจากการประกาศใช้ทั้ง พ.ร.บ. ทั้ง 2 ฉบับข้างต้น อีกทั้งตลาดด้านนี้ในไทยยังคงรักษาระดับการเติบโตเป็นเลข 2 หลักได้อย่างต่อเนื่อง สอดคล้องกับตลาดรวมทั่วโลก

 

 

 

 

++

          ส่องสถานการณ์ไซเบอร์ซิเคียวริตี้
          ดร.รัฐิติ์พงษ์ ได้ให้มุมมองเกี่ยวกับภาพรวมสถานการณ์ด้านไซเบอร์ซิเคียวริตี้ว่า ปัจจุบันทั้งระดับโลกและไทยเป็นไปในทิศทางเดียวก มีความตื่นตัวค่อนข้างสูง และมีการลงทุนด้านนี้ค่อนข้างมาก โดยมีปัจจัยผลักดันหลักๆ 5 ข้อ ได้แก่

          1.กฎหมายและข้อบังคับต่างๆ หลายประเทศต้องมีการปฏิบัติตาม เพื่อให้ comply หรือตอบข้อกำหนดตามกฎหมายเหล่านั้น ต้องมีการลงทุนเครื่องมือด้านนี้มากขึ้น และส่วนหนึ่งก็เพราะมีบทลงโทษเรื่องค่าปรับอยู่ด้วย องค์กรต่างๆ จึงต้องปรับปรุงระบบซิเคียวริตี้ของตัวเอง

          2.องค์กรต่างๆ เริ่ม migrate บริการของตัวเองไปใช้ระบบคลาวด์ ความเสี่ยงมากขึ้นและเพิ่มความเสี่ยงรูปแบบใหม่ เมื่อเทียบกับจากเดิมบริการขององค์กรอยู่ในระบบดาต้าเซ็นเตอร์ของตัวเอง ที่มีด่านป้องกันค่อนข้างแข็งแรง ดังนั้นเมื่อไปอยู่บนคลาวด์ จึงจำเป็นต้องมีด่านป้องกันบนคลาวด์ด้วย ต้องมีการติดตั้งระบบการรักษาความปลอดภัย จึงกระตุ้นเม็ดเงินด้านนี้เพิ่มมากขึ้น

 

 

 

 

          3.การโจมตี ที่มีความซับซ้อน มีกาพัฒนาเพิ่มขึ้นเรื่อยๆ เพื่อหลบแนวป้องกันที่มีอยู่ มีการใช้เทคนิคใหม่ๆ เข้ามาช่วยเพื่อฝ่าด่านป้องกันการโจมตีระบบ เช่น การนำเอาเอไอ หรือเอาเครื่องมือต่างๆ เช่น ชุด kit, attack kit เข้ามาช่วยพัฒนามัลแวร์ ดังนั้นเมื่อมีความซับซ้อนของมัลแวร์เพิ่มขึ้น องค์กรก็ต้องพยายามไล่ตามให้ทัน จะเริ่มเห็นว่ามีการนำเอาระบบเอไอเข้ามาใช้ มีการใช้เทคโนโลยีอย่างการเรียนรู้ของเครื่องจักร (Machine Learning) เข้ามาใช้ในการป้องกันมัลแวร์

          4.การขาดแคลนบุคลากรขององค์กร วงการนี้ขาดแคลนบุคลากรที่มีความชำนาญค่อนข้างมาก องค์กรต่างๆ จึงต้องหาวิธีมาปิดช่องว่าง (gap) ตรงนี้ โดยการทำให้ระบบซิเคียวริตี้ขององค์กรมีความสามารถในการเผชิญเหตุ/ตอบโต้ภัยจากการโจมตี (Respond) ได้อย่างอัตโนมัติ จึงต้องมีการลงทุนในตัวเครื่องมือเพิ่ม

          และ 5.ชื่อเสียงองค์กร เห็นได้ว่าที่ผ่านมา มีข่าวเป็นระยะๆ ที่องค์กรใหญ่และมีชื่อเสียงระดับโลก ข้อมูลรั่วไหล ถูกโจมตี ซึ่งช่วยกระตุ้นให้ผู้บริหารหันมาสนใจ และให้งบลงทุนด้านนี้มากขึ้น

++

          จุดแข็ง-จุดอ่อนประเทศไทยด้านไซเบอร์ซิเคียวริตี้
          ผู้จัดการอาวุโส ฝ่ายวิศวกรรมระบบ ฟอร์ติเน็ต ประเทศไทย กล่าวด้วยว่า พ.ร.บ.ไซเบอร์ กำหนดให้โครงสร้างพื้นฐานสำคัญของประเทศ อันหมายถึงบรรดาหน่วยงานหรือองค์กรที่ธุรกรรมทางอิเล็กทรอนิกส์ของตนมีผลเกี่ยวเนื่องสำคัญต่อความมั่นคงหรือความสงบเรียบร้อยของประเทศทั้ง 8 กลุ่ม ได้แก่ กลุ่มความมั่นคงและบริการภาครัฐที่สำคัญ กลุ่มการเงินการธนาคาร กลุ่มเทคโนโลยีสารสนเทศและโทรคมนาคม กลุ่มการขนส่งและโลจิสติกส์ กลุ่มพลังงานและสาธารณูปโภค กลุ่มสาธารณสุขจำเป็นต้องยกระดับการรักษาความมั่นคงปลอดภัยของหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (Critical Information Infrastructure : CII) ให้มีประสิทธิภาพยิ่งขึ้น

          โดยได้ประยุกต์มาตรฐานจากสถาบันมาตรฐานและเทคโนโลยีแห่งชาติ สหรัฐอเมริกา (National Institute of Standard and Technology : NIST) มาเป็นมาตรการขั้นต่ำ ใน 5 มาตรการด้วยกัน ได้แก่ มาตรการในการระบุความเสี่ยง (Identify) มาตรการในการป้องกันภัยคุกคาม (Protect) มาตรการในการตรวจสอบและเฝ้าระวัง (Detect) มาตรการในการเผชิญเหตุ ตอบโต้ภัย (Respond) และมาตรการรักษาและฟื้นฟู (Recover)

          “ประเทศไทยมีการลงทุนค่อนข้างมากอยู่แล้วกับการป้องกัน ดังนั้นแนวโน้มการลงทุนเพิ่มเติม เม็ดเงินหลักๆ น่าจะเป็นด้านของการตอบโต้ และการเฝ้าระวัง ซึ่งองค์กรส่วนใหญ่ยังมีจุดอ่อนอยู่”

          จากประสบการณ์ทำตลาดในระดับโลกของฟอร์ติเน็ต ตลาดไทยและทั่วโลกต่างมีแนวโน้มการลงทุนเป็นไปในลักษณะเดียวกัน องค์กรจำเป็นต้องพึ่งพาเทคโนโลยี หรือหา Tools ใหม่ๆ ที่สามารถปฏิบัติตามข้อกำหนดของพ.ร.บ.ได้ในทุกกรณี โดยเฉพาะอย่างยิ่งในการ "เฝ้าระวัง” ซึ่งเป็นเม็ดเงินที่มีการลงทุนสูง เทคโนโลยีที่เหมาะสมจำเป็นต้องสามารถป้องกันภัยได้กว้าง (Broad) ครอบคลุมทุกแพลทฟอร์มและอุปกรณ์ อุปกรณ์ทั้งหมดจะต้องทำงานร่วมกันอย่างราบรื่น (Integrated) และทำงานได้อย่างอัตโนมัติ (Automation) สามารถปฏิบัติงานตามมาตรการ 5 ประการข้างต้นจากส่วนกลางได้

          ทั้งนี้ฟอร์ติเน็ตมีแพลตฟอร์มด้านความปลอดภัยไซเบอร์ที่เรียกว่า “Fortinet Security Fabric” ที่สามารถตอบโจทย์มาตรการทั้ง 5 ด้านได้เป็นอย่างดี และครอบคลุมทั้ง 3 ส่วนสำคัญ ได้แก่ คน กระบวนการ และเทคโนโลยี อีกทั้งให้ความสำคัญกับภัยไซเบอร์รูปแบบใหม่ๆ ที่เกิดขึ้นทุกวันผ่านการโจมตีทางเว็บ แอพพลิเคชั่น และเว็บไซต์ รวมถึงอุปกรณ์ในกลุ่ม IoT และระบบ

          “ในไทยหน่วยงานด้าน CI เช่น ธนาคาร รัฐวิสาหกิจบางแห่ง และกลุ่มพลังงาน ตื่นตัวค่อนข้างมาก แต่บางหน่วยงาน เช่น สาธารณสุข โดยเฉพาะโรงพยาบาลรัฐ และโลจิสติกส์ ยังเงียบๆ กันอยู่ อีกกลุ่มคือ โทรคมนาคม ยังน่าห่วง การลงทุนด้านการดูแลซิเคียวริตี้ ยังไม่ได้ลงถึงระดับผู้ใช้งานปลายทาง เพราะทุกวันนี้ปัญหาการโจมตีจะเกิดกับอุปกรณ์ที่มีการใช้งานที่บ้าน”