การเตรียมความพร้อมในการเข้าสู่ยุคเศรษฐกิจดิจิทัล หรือ “Digital Economy” เพื่อการพัฒนาอย่างยั่งยืน จึงจำเป็นต้องมีการบริหารจัดการการป้องกันและตอบโต้ Cyber Attack ที่มีประสิทธิผล และประสิทธิภาพ….
ปัจจุบันนี้ประเทศไทยกำลังมุ่งหน้าสู่ Thailand 4.0 รัฐบาลมีการสนับสนุนให้ประเทศเตรียมความพร้อมในการเข้าสู่ยุคเศรษฐกิจดิจิทัล หรือ “Digital Economy” อันเนื่องมาจากโลกมีการพัฒนาเทคโนโลยีสารสนเทศอย่างก้าวกระโดด ไม่ว่าจะเป็นเทคโนโลยีอินเทอร์เน็ตแบบทุกที่ทุกเวลา
การพัฒนาเทคโนโลยีในการเชื่อมต่ออุปกรณ์ดิจิทัลที่อยู่รอบตัวเข้ากับอินเทอร์เน็ต หรือ Internet of Things (IoT) ทำให้อุปกรณ์ดิจิทัลสามารถเชื่อมโยงกันได้หลายพันล้านอุปกรณ์ จากการพัฒนาดังกล่าว รัฐบาลมองว่าสามารถช่วยทำให้ประชาชนหรือองค์กรในประเทศไทยเชื่อมต่อกันได้ง่ายและสะดวกมากขึ้น ภาครัฐเองก็สามารถบริการประชาชนได้อย่างสะดวกรวดเร็ว
แต่ในทางตรงกันข้ามก็ย่อมมีภัยคุกคามรูปแบบใหม่ที่เกิดจากการพัฒนาเทคโนโลยีสารสนเทศอย่างก้าวกระโดดเช่นกัน
ดังนั้นเพื่อการพัฒนาอย่างยั่งยืน ประเทศเราจึงจำเป็นต้องมีการบริหารจัดการการป้องกันและตอบโต้ภัยคุกคามไซเบอร์ที่มีประสิทธิผลและประสิทธิภาพด้วยเช่นกัน
Cyber Attack คือเรื่องสำคัญที่ต้องใส่ใจ
โดยเฉพาะการบริหารจัดการเรื่องความมั่นคงปลอดภัยไซเบอร์ระดับประเทศ ซึ่งเน้นไปที่การบริหารจัดการการรักษาความมั่นคงปลอดภัยโครงสร้างพื้นฐานที่มีความสำคัญอย่างยิ่งยวดของประเทศ (National Critical Infrastructure Cybersecurity) เช่น กลุ่มการสื่อสารโทรคมนาคม กลุ่มพลังงาน ไฟฟ้า ประปา กลุ่มธนาคารและสถาบันการเงิน กลุ่มสถาบันการศึกษา เป็นต้น
เมื่อวันที่ 5 กันยายน 2559 ที่ผ่านมาได้มีประชุมร่วมกันระหว่างองค์กรหรือหน่วยงานโครงสร้างพื้นฐานที่สำคัญของประเทศไทยร่วมกับ The Global Cybersecurity Capacity Centre แห่ง University of Oxford เพื่อประเมินศักยภาพและขีดความสามารถของโครงสร้างพื้นฐานที่มีความสำคัญอย่างยิ่งยวดของประเทศไทย
ในการบริหารจัดการความมั่นคงปลอดภัยไซเบอร์ระดับประเทศ โดยใช้ National Cybersecurity Capacity Maturity Model (CMM) เป็น Guideline ในการประเมินศักยภาพและขีดความสามารถในการบริหารจัดการด้านความมั่นคงปลอดภัยไซเบอร์ระดับประเทศดังกล่าว
National Cybersecurity Capacity Maturity Model (CMM) ถูกพัฒนาขึ้นโดยมีวัตถุประสงค์เพื่อใช้ในการประเมินศักยภาพและขีดความสามารถในด้านการบริหารจัดการความมั่นคงปลอดภัยไซเบอร์ระดับประเทศ พัฒนาโดย The Global Cyber Security Capacity Centre แห่ง University of Oxford โดยมีเป้าหมายเพื่อช่วยเพิ่มขีดความสามารถด้านการบริหารจัดการความมั่นคง
ปลอดภัยไซเบอร์ของประเทศให้เป็นระบบ มีประสิทธิผล เป็นที่ยอมรับในระดับสากล ซึ่ง Global Cyber Security Capacity Centre ได้นำ National Cybersecurity Capacity Maturity Model (CMM) มาใช้ในการประเมินความสามารถด้านการบริหารจัดการความมั่นคงปลอดภัยไซเบอร์มาแล้วใน 14 ประเทศทั่วโลก
โครงสร้างของ National Cybersecurity Capacity Maturity Model (CMM)
Global Cyber Security Capacity Centre ได้แบ่งมุมมองในการประเมินศักยภาพและขีดความสามารถในการบริหารจัดการความมั่นคงปลอดภัยไซเบอร์ระดับประเทศออกเป็น 5 มิติ ล้วนเป็นประเด็นสำคัญที่ผู้บริหารองค์กรไม่ว่าจะเป็นภาครัฐหรือภาคเอกชนควรพิจารณาเพื่อสร้างขีดความสามารถด้านความมั่นคงปลอดภัยไซเบอร์ทั้งสิ้น และแต่ละมิติจะมีความเชื่อมโยงซึ่งกัน และกัน (รูปที่ 1)
มิติที่ 1 : Cybersecurity Policy and Strategy
เป็นมิติที่เกี่ยวข้องกับการประเมินขีดความสามารถในการพัฒนานโยบายและกลยุทธ์เกี่ยวกับความมั่นคงปลอดภัยไซเบอร์ของประเทศ ซึ่งแบ่งออกเป็น 6 ปัจจัย ดังต่อไปนี้
- National Cybersecurity Strategy เกี่ยวข้องกับขีดความสามารถในการพัฒนากลยุทธ์ความมั่นคงปลอดภัยด้านไซเบอร์ ระดับประเทศ องค์กรที่เกี่ยวข้องและเนื้อหาของกลยุทธ์ดังกล่าว
- Incident Response เกี่ยวข้องกับขีดความสามารถในการระบุและกระบวนการในการตอบสนองต่อภัยคุกคามด้านไซเบอร์ ระดับประเทศ
- Critical Infrastructure (CI) Protection เกี่ยวข้องกับขีดความสามารถในการระบุโครงสร้างพื้นฐานที่สำคัญยิ่งยวดของ ประเทศ และการบริหารความเสี่ยงด้านความมั่นคงปลอดภัยด้านไซเบอร์ระดับประเทศ
- Crisis Management เกี่ยวข้องกับขีดความสามารถในการวางแผนบริหารจัดการกับวิกฤตการณ์ฉุกเฉิน การฝึกฝนเตรียม รับวิกฤตการณ์ฉุกเฉิน และการสร้างสถานการณ์จำลองให้พนักงานในองค์กรเตรียมพร้อมรับมือกับวิกฤตการณ์ทางไซเบอร์ ต่าง ๆ
- Cyber Defense Consideration เกี่ยวข้องกับขีดความสามารถในการออกแบบระบบป้องกันภัยไซเบอร์ระดับประเทศและ การนำกลยุทธ์การป้องกันทางไซเบอร์ของภาครัฐไปปฏิบัติจริง
- Communications Redundancy เกี่ยวข้องกับขีดความสามารถในการวางแผนให้ระบบสื่อสารระหว่างหน่วยงานที่ เกี่ยวข้องเมื่อเกิดภัยคุกคามทางไซเบอร์ยังสามารถติดต่อกันได้ มีการระบุหน้าที่ของบุคลากรที่เกี่ยวข้องอย่างชัดเจน รวม ไปถึงการมีแผนสำรองเมื่อระบบการสื่อสารล้มเหลว เช่น ระบบโทรศัพท์เคลื่อนที่ เป็นต้น
มิติที่ 2 : Cyber Culture and Society
เป็นมิติที่เกี่ยวข้องกับการประเมินมุมมองและทัศนคติของประชาชนในประเทศในเรื่องความเชื่อมั่นด้านความมั่นคงปลอดภัยด้านไซเบอร์ในการใช้บริการอินเทอร์เน็ต หรือ Online Service ต่าง ๆ รวมทั้งความเข้าใจของประชาชนในเรื่องความเสี่ยงในการใช้อินเทอร์เน็ต ซึ่งแบ่งออกเป็น 5 ปัจจัยย่อย ดังต่อไปนี้
- Cybersecurity Mind-set เกี่ยวข้องกับการประเมินระดับการให้ความสำคัญต่อเรื่องความมั่นคงปลอดภัยไซเบอร์ ทัศนคติต่อความมั่นคงปลอดภัยด้านไซเบอร์ และ การปฏิบัติงานที่เกี่ยวข้องกับความมั่นคงปลอดภัยไซเบอร์ของภาครัฐ ภาคเอกชน รวมทั้งผู้ใช้บริการ Online Service ต่าง ๆ
- Trust and Confidence on the Internet เกี่ยวข้องกับการประเมินความเชื่อมั่นด้านความปลอดภัยไซเบอร์ของผู้ใช้บริการ Online Service, E-Government และ E-Commerce
- User Understanding of Personal Information Protection Online เกี่ยวข้องกับการประเมินผู้ใช้บริการอินเทอร์เน็ตของภาครัฐและภาคเอกชนในเรื่องความตระหนักและความเข้าใจถึงภัยไซเบอร์ที่มากับ Online Service, E-Government และ E-Commerce
- Reporting Mechanisms เกี่ยวข้องกับการสำรวจช่องทางการส่งรายงานที่เกี่ยวข้องกับอาชญากรรมไซเบอร์อย่างเป็นระบบ
- Media and Social Media เกี่ยวข้องกับการสำรวจการให้ความรู้เกี่ยวกับความมั่นคงปลอดภัยไซเบอร์ในการใช้งาน Social Media
มิติที่ 3 : Cybersecurity Education, Training and Skills
เป็นมิติที่เกี่ยวข้องกับการประเมินการบริหารจัดการเรื่องการเพิ่มความตระหนักให้ประชาชนรู้ถึงความสำคัญในเรื่องความมั่นคงปลอดภัยไซเบอร์ของทั้งภาครัฐและภาคเอกชน นอกจากนี้ยังประเมินการอบรมความรู้ด้านความมั่นคงปลอดภัยไซเบอร์ของภาครัฐ ภาคเอกชนและประชาชนทั่วไป ซึ่งแบ่งออกเป็น 3 ปัจจัย ดังต่อไปนี้
- Awareness Raising เกี่ยวข้องกับความหลากหลายและรูปแบบของโครงการในการเพิ่มความตระหนักรู้ถึงความเสี่ยงและภัยคุกคามไซเบอร์
- Framework for Education เกี่ยวข้องกับระบบการศึกษาด้านความมั่นคงปลอดภัยไซเบอร์ คุณภาพของผู้สอนในประเทศ และยังมีการตรวจสอบความสนใจด้านความมั่นคงปลอดภัยไซเบอร์ในภาครัฐและภาคเอกชน
- Framework for Professional Training เกี่ยวข้องกับระบบการอบรมด้านความมั่นคงปลอดภัยไซเบอร์ และยังมีการตรวจสอบแผนพัฒนาบุคลากรด้านความมั่นคงปลอดภัยไซเบอร์ภายในองค์กร
มิติที่ 4 : Legal and Regulatory Frameworks
เป็นมิติที่เกี่ยวข้องกับการประเมินขีดความสามารถของรัฐบาลในการร่างกฎหมายและออกกฎหมายที่เกี่ยวข้องกับความมั่นคงปลอดภัยไซเบอร์ ซึ่งแบ่งออกเป็น 3 ปัจจัย ดังต่อไปนี้
- Legal Frameworks เกี่ยวข้องกับขอบเขตของกฎหมายและการบังคับใช้ที่เกี่ยวข้องกับความมั่นคงปลอดภัยไซเบอร์
- Criminal Justice System เกี่ยวข้องกับความสามารถในการบังคับใช้กฎหมายเพื่อการสืบสวนสอบสวนอาชญากรรมไซเบอร์ รวมทั้งความสามารถของศาลในการตัดสินคดีที่เกี่ยวข้องกับอาชญากรรมไซเบอร์
- Formal and Informal Cooperation Frameworks to Combat Cybercrime เกี่ยวข้องกับความร่วมมือขององค์กรทั้งภายในประเทศและต่างประเทศในการจัดการกับอาชญากรรมไซเบอร์
มิติที่ 5 : Standards, Organizations and Technologies
เป็นมิติที่เกี่ยวข้องกับการประเมินประสิทธิผลในการใช้เทคโนโลยีความมั่นคงปลอดภัยไซเบอร์เพื่อป้องกันภัยไซเบอร์ในระดับบุคคล ระดับองค์กร และ โครงสร้างพื้นฐานของประเทศ นอกจากนี้ยังมีการตรวจสอบมาตรฐาน การควบคุม และการพัฒนาเทคโนโลยีเพื่อลดความเสี่ยงที่เกี่ยวข้องกับความมั่นคงปลอดภัยไซเบอร์ ซึ่งแบ่งออกเป็น 7 ปัจจัย คือ
- Adherence to Standards เกี่ยวข้องกับการประเมินขีดความสามารถของรัฐบาลในการร่างมาตรฐานด้านความมั่นคงปลอดภัยไซเบอร์ของประเทศและการนำมาตรฐานความมั่นคงปลอดภัยไซเบอร์มาปฏิบัติจริงในประเทศ
- Internet Infrastructure Resilience เกี่ยวข้องกับการประเมินความเชื่อมั่นของประชาชนในเรื่องการให้บริการอินเทอร์เน็ตและโครงสร้างพื้นฐานสำคัญของประเทศ
- Software Quality เกี่ยวข้องกับการตรวจสอบคุณภาพการใช้งานของโปรแกรมและความต้องการคุณสมบัติต่าง ๆ ในโปรแกรมด้านความมั่นคงปลอดภัยไซเบอร์จากภาครัฐและภาคเอกชน
- Technical Security Controls เกี่ยวข้องกับการควบคุมความมั่นคงปลอดภัยไซเบอร์ในทางเทคนิคของบุคคลทั่วไป ภาครัฐและภาคเอกชน
- Cryptographic Controls เกี่ยวข้องกับการควบคุมการเข้ารหัสของทุกภาคส่วนในอุตสาหกรรมและบุคคลทั่วไป เพื่อป้องกันไม่ให้ข้อมูลสำคัญถูกเผยแพร่โดยไม่ได้รับอนุญาต
- Cybersecurity Marketplace เกี่ยวข้องกับการส่งเสริมตลาดให้มีการแข่งขันในการพัฒนาเทคโนโลยีด้านความมั่นคงปลอดภัยไซเบอร์ และธุรกิจประกันที่เกี่ยวข้องกับความมั่นคงปลอดภัยไซเบอร์ของประเทศ
- Responsible Disclosure เกี่ยวข้องกับหน่วยงานที่มีหน้าที่ในการเก็บข้อมูลและเผยแพร่ข้อมูลด้านความมั่นคงปลอดภัยไซเบอร์ ที่มีความเกี่ยวข้องกับทุกภาคส่วนในอุตสาหกรรม
ส่วนขยาย * บทความนี้เรียบเรียงขึ้นเพื่อวิเคราะห์ในแง่มุมที่น่าสนใจ ไม่ได้มีวัตถุมุ่งเพื่อโจมตี หน่วยงานใดหน่วยงานหนึ่ง ** Columnist : ปริญญา หอมเอนก, ปกรณ์ โชติถิรพงศ์ ACIS Professional Center Co., Ltd. and Cybertron Co., Ltd. Compose : ชลัมพ์ ศุภวาที (Editors and Reporters) *** Articles from : ELEADER Magazine ฉบับที่ 333 NOV 2016
สามารถกดติดตาม ข่าวสาร และบทความทางด้านเทคโนโลยี ของเราได้ที่
