ลงทุนแมนจะเล่าให้ฟัง x KBank

รู้ไหมว่า ช่วงต้นปีที่ผ่านมา ประเทศไทยกลายเป็น 1 ใน 10 ประเทศที่ตกเป็นเป้าหมายและถูกโจมตีด้วย Ransomware หรือการโจมตีทางไซเบอร์โดยใช้มัลแวร์เรียกค่าไถ่ สูงที่สุดในโลก

นี่จึงเป็นเหตุผลสำคัญที่เรื่อง Cybersecurity ถูกบรรจุอยู่ในหลักสูตร K SME CARE ที่ธนาคารกสิกรไทยจัดขึ้นเพื่อให้ความรู้กับผู้ประกอบการไทย ซึ่งจัดต่อเนื่องมาแล้วถึง 27 รุ่น จนเกิดเป็นเครือข่ายผู้ประกอบการกว่า 14,000 คนทั่วประเทศ

โดยมีคุณวีรวัฒน์ ภาวนาวิวัฒน์ CEO & Founding Principal Cybersecurity Consultant บริษัท รีโคนิกซ์ จำกัด (Reconix Co., Ltd) ที่ปรึกษาด้าน Cybersecurity ชั้นนำของไทย ได้มาเจาะลึกเรื่องความมั่นคงปลอดภัยทางไซเบอร์ ให้ผู้ประกอบการฟังแบบเข้าใจง่าย ๆ

เพราะอะไรความมั่นคงปลอดภัยทางไซเบอร์ ถึงกลายเป็นเรื่องที่ธุรกิจทุกขนาดต้องรู้ ?
แล้วธุรกิจที่ไม่มีแผนกไอที ต้องเริ่มป้องกันตัวเองตรงไหนก่อน ?
ลงทุนแมนจะเล่าให้ฟัง

คุณวีรวัฒน์เริ่มต้นด้วยการชวนมองภาพใหญ่ของธุรกิจก่อนว่า รายได้ ยอดขาย เครดิต และมูลค่ากิจการ ล้วนถูกขับเคลื่อนด้วยสิ่งเดียวกัน นั่นคือ ความเชื่อมั่น

ความเชื่อมั่นที่ลูกค้าให้เพราะบริการดี สินค้ามีคุณภาพ และไว้ใจได้ ความเชื่อมั่นที่คู่ค้าให้เครดิตเทอมชำระเงิน หรือแม้แต่ความเชื่อมั่นของนักลงทุนที่ให้มูลค่ากิจการ

ความเชื่อมั่นแบบนี้ กว่าจะสร้างได้ต้องใช้เวลานาน ซึ่งบางทีต้องใช้เวลาถึง 10-20 ปี แต่มันสามารถพังทลายลงได้ภายในคืนเดียว หากเกิดเหตุการณ์ข้อมูลรั่วไหล หรือระบบถูกแฮก

ในยุคปัจจุบัน Cybersecurity จึงเหมือนเป็นเกราะที่ปกป้องความน่าเชื่อถือ ซึ่งเป็นหัวใจของความยั่งยืนทางธุรกิจทั้งหมด

คุณวีรวัฒน์เผยตัวเลขที่หลายคนอาจคาดไม่ถึง ช่วงต้นปีที่ผ่านมา ประเทศไทยกลายเป็น 1 ใน 10 ประเทศที่ตกเป็นเป้าหมายและถูกโจมตีด้วย Ransomware สูงที่สุดในโลก

สาเหตุหนึ่งก็เพราะผู้โจมตีมองเห็น มูลค่าทางเศรษฐกิจของธุรกิจไทยที่สูงขึ้นเรื่อย ๆ

และพฤติกรรมของแฮกเกอร์ยุคนี้ก็เปลี่ยนไปจากเดิมมาก

คุณวีรวัฒน์อธิบายว่า แฮกเกอร์จะไม่เจาะระบบของธุรกิจ แล้วเรียกค่าไถ่ทันทีเหมือนในอดีต แต่จะแอบฝังตัวสะกดรอยอยู่ในระบบของธุรกิจนานหลายเดือน ผ่านช่องโหว่ของอุปกรณ์หรือซอฟต์แวร์ที่องค์กรใช้งานอยู่

ระหว่างนั้นแฮกเกอร์จะค่อย ๆ ศึกษากระบวนการทำงานขององค์กร ตำแหน่งที่เก็บข้อมูลสำคัญ ไปจนถึงวิธีการสำรองข้อมูล

ก่อนจะเลือกจังหวะลงมือโจมตี เพื่อเรียกค่าไถ่ในช่วงเวลาที่สร้างความเสียหายได้มากที่สุด

ซ้ำร้ายไปกว่านั้นคือ เทคโนโลยี AI ยังเข้ามาเร่งความเร็วของการโจมตีให้สั้นลงไปอีก ซึ่งทุกวันนี้ AI สามารถสแกนหาช่องโหว่และเจาะระบบสำเร็จได้ภายในเวลาเพียงไม่กี่ชั่วโมง

พอเป็นแบบนี้ จากเดิมที่เคยถามว่า “เราจะโดนแฮกไหม” ต้องเปลี่ยนเป็น “เราจะโดนเมื่อไร”
และ “ตอนนี้มีแฮกเกอร์แอบฝังตัวอยู่ในระบบของเราแล้วหรือยัง”

หลายคนอาจคิดว่า ธุรกิจขนาดเล็กหรือธุรกิจที่ไม่ได้อยู่ในสายเทคโนโลยีคงไม่ใช่เป้าหมาย แต่คุณวีรวัฒน์บอกว่า นี่คือความเข้าใจผิดที่อันตรายที่สุด

เพราะแฮกเกอร์ในปัจจุบันใช้เครื่องมืออัตโนมัติและ AI สแกนกวาดไปทั่วอินเทอร์เน็ตพร้อมกันเป็นจำนวนมาก

หากพบจุดที่มีช่องโหว่หรือประตูเปิดอยู่ ระบบจะถูกเจาะทันทีโดยไม่ได้สนใจว่า เจ้าของระบบคือธุรกิจขนาดเล็กหรือขนาดใหญ่ ซึ่งแฮกเกอร์จะเข้ามาสำรวจดูมูลค่าและความสำคัญของเป้าหมายทีหลัง

อีกความเข้าใจผิดที่พบบ่อยคือ เปิดกิจการมา 20-30 ปีแล้วไม่เคยโดนแฮกมาก่อน

คุณวีรวัฒน์อธิบายว่า การไม่เคยเห็นสัญญาณผิดปกติ ไม่ได้แปลว่าไม่เคยถูกโจมตี และระบบเก่าที่ใช้งานมานานก็ยิ่งมีช่องโหว่สะสมมากขึ้นตามอายุการใช้งานด้วย

และยังยกเคสที่น่าสนใจว่า ทางทีม Reconix เคยเข้าไปทดสอบเจาะระบบเว็บไซต์ของบริษัทหนึ่งที่เปิดกิจการมา 30 ปี โดยไม่มีข้อมูลล่วงหน้าใด ๆ

โดยวันแรกของการทดสอบ ทีมงานก็พบช่องโหว่ที่สามารถอ่านและลบไฟล์ในระบบได้ทันที และมันก็เพียงพอจะทำให้เว็บไซต์หยุดทำงานทั้งหมด

และในวันสุดท้ายของการทดสอบ ทีมงานสามารถเข้าถึงฐานข้อมูลทั้งหมดขององค์กรได้สำเร็จ

คุณวีรวัฒน์ยังเสริมว่า ความเสี่ยงทางไซเบอร์ไม่ได้จำกัดอยู่แค่เรื่องซอฟต์แวร์หรือระบบไอทีเท่านั้น แต่เกิดขึ้นได้จากกระบวนการทำงานปกติขององค์กรด้วย

ตัวอย่างที่พบได้บ่อยคือ อีเมลแจ้งเปลี่ยนเลขบัญชีสำหรับโอนเงิน ซึ่งแฮกเกอร์เจาะเข้าไปในระบบอีเมลของคู่ค้าหรือซัปพลายเออร์ แล้วส่งอีเมลปลอมแทรกเข้าไปในสายสนทนาเดิม ทำให้พนักงานฝ่ายบัญชีหลงเชื่อและโอนเงินเข้าบัญชีผิดโดยไม่รู้ตัว

หรือแม้แต่ข้อมูลแค่ชื่อกับเบอร์โทรศัพท์ของลูกค้า ซึ่งถือเป็นข้อมูลส่วนบุคคลที่อยู่ภายใต้กฎหมาย PDPA

ตัวอย่างเคสหนึ่งที่โรงพยาบาลจ้างผู้รับเหมาไปทำลายเอกสารเวชระเบียนผู้ป่วย แต่ผู้รับเหมากลับนำเอกสารเหล่านั้นไปทิ้งจนกลายเป็นถุงใส่ขนมตามท้องตลาด

ผลสุดท้ายคือ โรงพยาบาลในฐานะเจ้าของข้อมูลต้องถูกฟ้องร้องและเสียค่าปรับหลักล้านบาท

ซึ่งค่าปรับตามกฎหมาย PDPA ไม่ได้ขึ้นอยู่กับจำนวนข้อมูลที่หลุดออกไปเพียงอย่างเดียว

มีเคสหนึ่งที่ข้อมูลรั่วไหลออกไปเพียงหลักร้อยคน แต่กลับถูกปรับสูงถึง 7 ล้านบาท เพราะองค์กรไม่มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล และไม่มีกระบวนการจัดการรายงานเหตุการณ์ที่ดีพอ

ขณะที่อีกเคสหนึ่งซึ่งกระทบผู้คนกว่า 200,000 คน กลับถูกปรับเพียงหลักแสนบาท เพราะองค์กรนั้นมีมาตรการรับมือและแจ้งเตือนหน่วยงานกำกับดูแลอย่างถูกต้องตั้งแต่ต้น

รวมไปถึง พฤติกรรมเสี่ยงอย่างการดาวน์โหลดซอฟต์แวร์เถื่อน หรือนำไฟล์งานของบริษัทไปเปิดในเครื่องส่วนตัว ก็เพียงพอจะนำมัลแวร์เข้าสู่ระบบได้แล้ว แม้คนภายในอาจไม่ได้ตั้งใจทำร้ายองค์กรเลยก็ตาม

ดังนั้น ความเชื่อมั่นด้านความปลอดภัยควรมาจากระบบและกระบวนการตรวจสอบ มากกว่าอาศัยความไว้ใจส่วนตัวเพียงอย่างเดียว

อีกความเข้าใจผิดคือ การมีระบบสำรองข้อมูลแล้วคิดว่าปลอดภัย โดนแฮกแล้วก็แค่กู้คืนก็ได้

ซึ่งหากที่เก็บข้อมูลสำรองอยู่ในเซิร์ฟเวอร์เดียวกับระบบหลัก ข้อมูลสำรองนั้นก็จะถูกลบไปพร้อมกันทันทีที่ระบบหลักโดน Ransomware โจมตี

และหากไม่เคยทดลองกู้คืนข้อมูลจริงมาก่อน ก็ไม่นับว่าเป็นระบบสำรองที่พร้อมใช้งานได้จริงเช่นกัน

อย่างบริษัทเดินเรือระดับโลกแห่งหนึ่งเคยถูก Ransomware โจมตีจนระบบล่มทั้งองค์กร ต้องหยุดการดำเนินงาน มูลค่าความเสียหายที่รายงานสูงถึง 250-300 ล้านดอลลาร์สหรัฐ จากการถูกแฮกเพียงครั้งเดียว

หรือเครือโรงแรมและกาสิโนแห่งหนึ่งในสหรัฐฯ ต้องหยุดให้บริการไปนานถึง 9 วัน สร้างความเสียหายหลายร้อยล้านดอลลาร์สหรัฐเช่นกัน

มาถึงตรงนี้ หลายคนอาจเริ่มกังวลว่าแล้วธุรกิจของตัวเองต้องทำอย่างไรบ้าง

คุณวีรวัฒน์อธิบายว่า ความเสี่ยงด้านไซเบอร์เกิดจาก 3 ปัจจัยหลักเสมอคือ คน กระบวนการทำงาน และเทคโนโลยี

และสิ่งที่ผู้ประกอบการทำได้ทันที โดยไม่ต้องใช้งบประมาณเลยก็มีอยู่จริง

เริ่มจากการกำหนดขั้นตอนยืนยันผ่านช่องทางอื่นเสมอ อย่างเช่น โทรศัพท์กลับไปยืนยันทุกครั้งที่มีอีเมลแจ้งเปลี่ยนเลขบัญชีโอนเงินของคู่ค้า

ตามด้วยการเปิดใช้การยืนยันตัวตนหลายปัจจัย (Multi-Factor Authentication) เพิ่มเติมจากการใช้งานแค่เพียงรหัสผ่าน เช่น เปิดใช้งาน OTP หรือ Passkey ในทุกบัญชีสำคัญ และใช้โปรแกรมจัดการรหัสผ่านเพื่อตั้งรหัสที่สุ่มและไม่ซ้ำกันในแต่ละเว็บไซต์

รวมถึงการตัดสิทธิ์การเข้าถึงระบบขององค์กรทันที เมื่อพนักงานลาออก

คุณวีรวัฒน์แนะนำว่า ในระยะเวลา 30 วัน ให้จัดทำทะเบียนข้อมูลว่าองค์กรมีข้อมูลอะไรบ้าง ใครเป็นเจ้าของ และเก็บไว้ที่ไหน

พร้อมกับจัดทำทะเบียนระบบและเซิร์ฟเวอร์ทั้งหมดที่องค์กรใช้งาน ตรวจสอบว่าระบบใดเปิดให้เข้าถึงได้จากอินเทอร์เน็ตบ้าง

แยกที่เก็บข้อมูลสำรองออกจากระบบหลัก และทดลองกู้คืนข้อมูลจริงอย่างน้อยหนึ่งครั้ง เพื่อให้มั่นใจว่ากู้ได้จริงเมื่อถึงเวลาจำเป็น

และไม่ลืมจัดอบรมให้พนักงานรู้จักสังเกตอีเมลหลอกลวง ลิงก์ หรือไฟล์แนบปลอมที่อาจแฝงมัลแวร์เข้ามา

ส่วนแผนระยะยาวในกรอบ 90 วัน ให้จัดทำกระบวนการรับมือ และรายงานเหตุการณ์ข้อมูลรั่วไหลให้ถูกต้องตามแนวทาง PDPA

วางตารางอัปเดตแพตช์ซอฟต์แวร์อย่างสม่ำเสมอ เพื่อปิดช่องโหว่ที่เปิดเผยต่อสาธารณะ

และหากมีแอปพลิเคชันที่พัฒนาขึ้นเองใช้งานภายในองค์กร ควรจัดให้มีการทดสอบเจาะระบบอย่างน้อยปีละ 1 ครั้ง หรือทุกครั้งที่มีการปรับเปลี่ยนระบบครั้งใหญ่

คุณวีรวัฒน์ทิ้งท้ายในงานว่า Trust ในธุรกิจนั้นสร้างขึ้นมายากและใช้เวลานานมาก แต่สามารถพังทลายลงได้ง่าย ๆ เพียงเพราะถูกแฮกครั้งเดียว

Cybersecurity ไม่ใช่เรื่องของการทำให้ความเสี่ยงเป็นศูนย์ แต่คือการตระหนักรู้ สร้างระบบป้องกันล่วงหน้า และเตรียมความพร้อมรับมือให้ธุรกิจเติบโตต่อไปได้อย่างมั่นคง

ถึงตรงนี้จะเห็นว่า ภัยไซเบอร์ไม่ใช่เรื่องไกลตัวธุรกิจอีกต่อไป ไม่ว่าจะเป็นกิจการขนาดเล็กที่เพิ่งเริ่มต้น ไปจนถึงธุรกิจที่ดำเนินกิจการมาหลายสิบปีแล้วก็ตาม

และเป็นเหตุผลที่ธนาคารกสิกรไทยเลือกหยิบเรื่อง Cybersecurity มาเป็นไฮไลต์สำคัญของงาน K SME CARE รุ่นที่ 27 นี้

ก็เพื่อให้ผู้ประกอบการมีความรู้เท่าทันภัยไซเบอร์ ตั้งแต่การเข้าใจความเสี่ยงที่แท้จริง ไปจนถึงวิธีป้องกันที่ลงมือทำได้จริงตั้งแต่วันนี้..

#KBank #KSMECARE #WeGroomYouGrow #Cybersecurity

Reference :
- หลักสูตร K SME CARE #27 จากธนาคารกสิกรไทย