ในหลายองค์กรในประเทศไทย งานด้านความมั่นคงปลอดภัยไซเบอร์มักเริ่มต้นจากการดูแลของผู้จัดการฝ่าย IT ผู้ให้บริการ IT ภายนอก หรือทีมสนับสนุน รูปแบบนี้อาจเพียงพอเมื่อระบบสารสนเทศยังไม่ซับซ้อน แต่จะเริ่มมีข้อจำกัดเมื่อมีการใช้บริการคลาวด์ การเข้าถึงจากระยะไกล ผู้ให้บริการหลายราย ข้อกำหนดตามสัญญา และข้อมูลที่มีความสำคัญเพิ่มขึ้น
ปัญหาไม่ได้หมายความว่าองค์กรขาดทักษะทางเทคนิคเสมอไป หลายครั้งสิ่งที่ขาดคือผู้รับผิดชอบที่สามารถแปลงความเสี่ยงให้เป็นการตัดสินใจ กำหนดลำดับความสำคัญ ประสานผู้เกี่ยวข้อง และรายงานต่อฝ่ายบริหารได้อย่างชัดเจน นี่คือบทบาทที่ CISO ภายนอก สามารถเข้ามาช่วยได้ เมื่อองค์กรยังไม่จำเป็นต้องมีตำแหน่งเต็มเวลา หรือยังไม่สามารถจัดหาบุคลากรภายในได้เหมาะสม
ประเด็นสำคัญที่ควรรู้
- CISO ภายนอกทำหน้าที่ด้านธรรมาภิบาลและการกำกับดูแลความมั่นคงปลอดภัยเป็นหลัก ไม่ใช่เพียงผู้ให้บริการทางเทคนิคเพิ่มเติมอีกหนึ่งราย
- รูปแบบนี้เหมาะเมื่อระดับความเสี่ยงและข้อกำหนดต่าง ๆ เพิ่มขึ้นเร็วกว่าความสามารถขององค์กรในการกำกับดูแลเรื่องเหล่านี้ด้วยทรัพยากรภายใน
- ในประเทศไทย PDPA, Cybersecurity Act และกฎเฉพาะบางอุตสาหกรรมอาจมีผลต่อแนวทางด้านความมั่นคงปลอดภัย แต่ไม่ได้กำหนดให้องค์กรทุกแห่งต้องมี CISO
- CISO ภายนอกไม่แทนที่ฝ่ายบริหาร ทีม IT, DPO หรือผู้ให้บริการปฏิบัติการ แต่ช่วยกำหนดบทบาท ความรับผิดชอบ และการประสานงานให้ชัดเจน
- คุณค่าของบทบาทนี้ควรสะท้อนผ่านแผนงานที่เป็นไปได้ ความรับผิดชอบที่ชัดเจน การติดตามมาตรการควบคุม และรายงานที่ฝ่ายบริหารนำไปใช้ตัดสินใจได้
ความจำเป็นเกิดขึ้นเมื่อการรักษาความมั่นคงปลอดภัยไม่มีผู้กำกับดูแลที่ชัดเจน
องค์กรอาจมีผู้ให้บริการ IT ที่มีความสามารถ มีระบบสำรองข้อมูล ไฟร์วอลล์ และบริการคลาวด์ที่ดูแลอย่างเหมาะสม แต่ยังมีจุดอ่อนด้านธรรมาภิบาลได้ เครื่องมือเหล่านี้ไม่สามารถตัดสินใจแทนองค์กรได้ว่า ระดับความเสี่ยงใดยอมรับได้ งบประมาณด้านใดควรมาก่อน ใครเป็นผู้รับผิดชอบเมื่อเกิดเหตุ หรือควรอนุมัติผู้ให้บริการรายใหม่หรือไม่
CISO ภายนอกเข้ามาเติมบทบาทด้านการกำกับดูแลนี้ โดยช่วยให้ฝ่ายบริหารระบุความเสี่ยงที่ต้องตัดสินใจ จัดทำนโยบายที่จำเป็น ติดตามแผนแก้ไข และตรวจสอบว่ามาตรการที่ตกลงกันถูกนำไปใช้จริง อย่างไรก็ตาม ความรับผิดชอบต่อการตัดสินใจทางธุรกิจยังคงอยู่ภายในองค์กร
แนวคิดดังกล่าวสอดคล้องกับหลักธรรมาภิบาลที่ใช้ในประเทศไทย ตัวอย่างเช่น Corporate Governance Code ของสำนักงาน ก.ล.ต. กำหนดแนวทางให้คณะกรรมการของบริษัทที่อยู่ในขอบเขตต้องนำความเสี่ยงด้าน IT เข้ามาเป็นส่วนหนึ่งของการบริหารความเสี่ยง และดูแลให้มีนโยบายกับกระบวนการด้านความมั่นคงปลอดภัยที่เหมาะสม ทั้งนี้เป็นกรอบเฉพาะสำหรับองค์กรที่เกี่ยวข้อง ไม่ใช่ข้อกำหนดทั่วไปสำหรับ SME ทุกแห่ง
สถานการณ์ที่ CISO ภายนอกเริ่มมีความเหมาะสมในประเทศไทย
องค์กรเติบโตโดยยังไม่มีหน้าที่ด้านความมั่นคงปลอดภัยโดยเฉพาะ
เมื่อมีการเพิ่มระบบ แอปพลิเคชัน SaaS การเข้าถึงจากภายนอก และผู้ให้บริการหลายราย งานประจำวันอาจยังเดินต่อได้ แต่ไม่มีใครเห็นภาพความเสี่ยงแบบรวมศูนย์ CISO ภายนอกสามารถช่วยจัดทำแผนผังสินทรัพย์และการพึ่งพาที่สำคัญ กำหนดความรับผิดชอบ และสร้างแผนปรับปรุงที่เหมาะกับทรัพยากรขององค์กร
บริษัทในประเทศไทยต้องนำข้อกำหนดของกลุ่มบริษัทต่างประเทศมาปฏิบัติ
บริษัทลูกในประเทศไทยอาจต้องปฏิบัติตามนโยบาย มาตรฐาน แบบประเมินความมั่นคงปลอดภัย หรือมาตรการควบคุมที่สำนักงานใหญ่ในต่างประเทศกำหนด ความท้าทายคือการปรับข้อกำหนดเหล่านั้นให้เข้ากับระบบ ผู้ให้บริการ และวิธีทำงานในประเทศ พร้อมจัดทำหลักฐานที่กลุ่มบริษัทสามารถนำไปใช้ได้จริง
CISO ภายนอกในประเทศไทยสามารถเป็นจุดเชื่อมระหว่างฝ่ายบริหาร ทีม IT ผู้ให้บริการ และทีม security ของกลุ่มบริษัท ช่วยหลีกเลี่ยงทั้งการนำรูปแบบจากต่างประเทศมาใช้โดยไม่ปรับให้เหมาะกับบริบท และการทำ compliance แบบเอกสารที่ไม่ส่งผลต่อการปฏิบัติงานจริง
ลูกค้าและคู่ค้าต้องการหลักประกันด้านความมั่นคงปลอดภัยมากขึ้น
แบบสอบถามด้านความมั่นคงปลอดภัย เงื่อนไขในสัญญา การขอนโยบายอย่างเป็นทางการ หรือหลักฐานการบริหารสิทธิ์การเข้าถึง อาจสะท้อนว่าองค์กรยังขาดโครงสร้างในการตอบคำถามเหล่านี้ คำขอดังกล่าวไม่ได้ก่อให้เกิดหน้าที่ตามกฎหมายเสมอไป แต่อาจกลายเป็นเงื่อนไขทางการค้าได้
CISO ภายนอกช่วยให้องค์กรตอบข้อกำหนดได้อย่างสอดคล้องกัน และแยกให้ชัดว่ามาตรการใดใช้อยู่จริงกับมาตรการใดที่ยังอยู่ในแผน สิ่งที่ให้คำมั่นแก่ลูกค้าควรตรงกับการควบคุมที่องค์กรดำเนินการอยู่จริง
เหตุการณ์ด้านความมั่นคงปลอดภัยเปิดเผยข้อจำกัดขององค์กร
หลังเหตุ ransomware บัญชีถูกยึด การรั่วไหลของข้อมูล หรือระบบหยุดให้บริการเป็นเวลานาน การกู้คืนระบบเพียงอย่างเดียวไม่เพียงพอ องค์กรต้องเข้าใจสาเหตุ กำหนดผู้รับผิดชอบต่อการแก้ไข และติดตามให้มาตรการเหล่านั้นเสร็จสิ้น
การใช้ CISO ภายนอกหลังเหตุฉุกเฉินสามารถเปลี่ยนบทเรียนจากเหตุการณ์ให้เป็นแผนปรับปรุงที่ครอบคลุมความรับผิดชอบ สิทธิ์การเข้าถึง ระบบสำรองข้อมูล ผู้ให้บริการ การตรวจจับ และกระบวนการตอบสนองต่อเหตุการณ์
องค์กรเข้าสู่ขอบเขตที่มีกฎกำกับมากขึ้น
องค์กรในประเทศไทยไม่ได้อยู่ภายใต้ข้อกำหนดด้านความมั่นคงปลอดภัยแบบเดียวกันทั้งหมด พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 กำหนดกรอบที่เกี่ยวข้องกับหน่วยงานภาครัฐและองค์กรที่ถูกระบุเป็นโครงสร้างพื้นฐานสำคัญทางสารสนเทศ หรือ Critical Information Infrastructure นอกจากนี้บางอุตสาหกรรมยังมีกฎเฉพาะ ตัวอย่างเช่น สำนักงาน ก.ล.ต. มีข้อกำหนดด้าน IT และความมั่นคงปลอดภัยสำหรับผู้ประกอบธุรกิจบางประเภทที่อยู่ภายใต้การกำกับดูแล
ในสภาพแวดล้อมเหล่านี้ CISO ภายนอกสามารถช่วยยกระดับธรรมาภิบาลและความพร้อมต่อการตรวจสอบ แต่ขอบเขตงานต้องสอดคล้องกับกฎหมายและข้อกำหนดที่ใช้กับองค์กรนั้นจริง
สิ่งที่ CISO ภายนอกควรกำกับดูแลจริง
การทำงานที่ดีไม่ควรจบเพียงรายงานคำแนะนำหนึ่งชุด แต่ควรสร้างกระบวนการกำกับดูแลที่ฝ่ายบริหารสามารถติดตามได้อย่างต่อเนื่อง
- จัดทำภาพรวมความเสี่ยง สินทรัพย์ แอปพลิเคชัน ผู้ให้บริการ และการพึ่งพาที่สำคัญ;
- จัดทำแผนงานโดยเรียงลำดับตามความเสี่ยง ความพยายาม งบประมาณ และข้อจำกัดในการดำเนินงาน;
- จัดทำนโยบายและขั้นตอนที่จำเป็น โดยไม่เพิ่มเอกสารที่ไม่มีประโยชน์ต่อการปฏิบัติงาน;
- กำกับดูแลตัวตน สิทธิ์พิเศษ และบัญชีที่มีความเสี่ยงสูง;
- บริหารความเสี่ยงจากผู้ให้บริการภายนอกและบริการคลาวด์;
- เตรียมและประสานการตอบสนองต่อเหตุการณ์ด้านความมั่นคงปลอดภัย;
- สร้างความตระหนักด้านความมั่นคงปลอดภัยให้พนักงานและผู้รับผิดชอบธุรกิจ;
- เตรียมความพร้อมสำหรับการ audit แบบสอบถามจากลูกค้า และการตรวจสอบตามข้อกำหนดเฉพาะอุตสาหกรรม;
- รายงานต่อฝ่ายบริหารเป็นประจำด้วยตัวชี้วัดที่เข้าใจและนำไปใช้ตัดสินใจได้
ขอบเขตที่เหมาะสมขึ้นอยู่กับลักษณะองค์กร SME ด้านบริการ โรงงาน แพลตฟอร์มดิจิทัล และบริษัทลูกของกลุ่มต่างประเทศ มีสินทรัพย์ ภัยคุกคาม และข้อจำกัดที่แตกต่างกัน
สิ่งที่ CISO ภายนอกไม่สามารถแทนที่
CISO ภายนอกไม่ได้แทนผู้ดูแลระบบหรือเครือข่าย ทีม support, SOC, MSSP, ผู้ตรวจสอบ หรือผู้ให้บริการทดสอบเจาะระบบ หน่วยงานเหล่านี้ทำหน้าที่ดำเนินการหรือประเมินมาตรการควบคุม ส่วน CISO ทำหน้าที่ด้านธรรมาภิบาล กำหนดลำดับความสำคัญ และตรวจสอบว่าการดำเนินการตอบสนองต่อความเสี่ยงที่ระบุไว้จริง
CISO ภายนอกไม่ได้แทน DPO เช่นกัน ภายใต้ PDPA ของไทย การแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล มีเงื่อนไขเฉพาะ การคุ้มครองข้อมูลส่วนบุคคลและความมั่นคงปลอดภัยไซเบอร์มีส่วนที่ทับซ้อนกัน เช่น มาตรการรักษาความมั่นคงปลอดภัยและการจัดการเหตุละเมิดข้อมูล แต่บทบาททั้งสองยังแยกจากกัน องค์กรจึงควรกำหนดความรับผิดชอบระหว่างฝ่ายบริหาร CISO, DPO, IT และผู้ให้บริการให้ชัดเจน
สุดท้าย CISO ภายนอกไม่ควรตัดสินใจทางธุรกิจแทนฝ่ายบริหาร บทบาทนี้สามารถเสนอคำแนะนำ จัดทำข้อมูล และเตรียมทางเลือกสำหรับการตัดสินใจได้ แต่การยอมรับความเสี่ยงที่มีนัยสำคัญ งบประมาณ และลำดับความสำคัญทางธุรกิจยังเป็นความรับผิดชอบของฝ่ายบริหาร
PDPA และความมั่นคงปลอดภัยไซเบอร์ต้องเชื่อมกันโดยไม่ทำให้เป็นเรื่องเดียวกัน
PDPA ของไทยกำหนดให้องค์กรที่อยู่ในขอบเขตต้องมีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมสำหรับข้อมูลส่วนบุคคล แหล่งข้อมูลของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลมีเนื้อหาเฉพาะด้าน Security Management และการจัดการเหตุละเมิดข้อมูล ประเด็นเหล่านี้ทำให้ฝ่าย compliance และ security ต้องทำงานร่วมกันอย่างใกล้ชิด
อย่างไรก็ตาม การปฏิบัติตาม PDPA เพียงอย่างเดียวไม่ได้ทำให้องค์กรมีโปรแกรมความมั่นคงปลอดภัยไซเบอร์ที่ครบถ้วน ยังมีสินทรัพย์อื่นที่ต้องปกป้องแม้ไม่ใช่ข้อมูลส่วนบุคคล เช่น บัญชีผู้ดูแลระบบ ความลับทางเทคนิค ทรัพย์สินทางปัญญา ความพร้อมใช้งานของระบบ ระบบสำรองข้อมูล และความต่อเนื่องทางธุรกิจ
CISO ภายนอกจึงควรทำงานร่วมกับ DPO ในเรื่องที่เกี่ยวข้องกัน โดยไม่ลดบทบาทด้านความมั่นคงปลอดภัยไซเบอร์ให้เหลือเพียงส่วนหนึ่งของงาน compliance ด้านข้อมูลส่วนบุคคล
รูปแบบการใช้ CISO ภายนอกมีได้หลายแบบ
องค์กรที่มีวุฒิภาวะด้าน IT อยู่แล้วอาจต้องการการกำกับดูแลแบบต่อเนื่องในลักษณะ part-time องค์กรอีกแห่งอาจต้องการโครงการเพื่อจัดโครงสร้างใหม่ทั้งเรื่องความรับผิดชอบ ความเสี่ยง และแผนงาน ส่วนบริษัทที่กำลังเติบโตอาจใช้ CISO ภายนอกเป็นช่วงเปลี่ยนผ่านก่อนรับบุคลากรภายใน
รูปแบบที่เหมาะสมขึ้นอยู่กับจำนวนและความสำคัญของการตัดสินใจ ระดับความเสี่ยง วุฒิภาวะของ IT ข้อกำหนดด้านกฎระเบียบ และความสามารถของทีมภายในในการดำเนินแผน ไม่ควรเลือกเพียงจากจำนวนวันให้คำปรึกษาที่ซื้อมา
จะทราบได้อย่างไรว่าถึงเวลาต้องมีบทบาทนี้แล้ว
คำถามต่อไปนี้ช่วยประเมินสถานการณ์ได้:
- ฝ่ายบริหารได้รับภาพรวมความเสี่ยงไซเบอร์หลักขององค์กรอย่างชัดเจนและสม่ำเสมอหรือไม่
- มีผู้รับผิดชอบที่สามารถกำหนดลำดับความสำคัญด้านความมั่นคงปลอดภัยนอกเหนือจากงาน IT ประจำวันหรือไม่
- ความรับผิดชอบระหว่างองค์กรกับผู้ให้บริการภายนอกถูกกำหนดไว้อย่างชัดเจนหรือไม่
- สิทธิ์เข้าถึงที่สำคัญ ผู้ให้บริการ ระบบสำรองข้อมูล และแผนตอบสนองต่อเหตุการณ์ได้รับการตรวจสอบเป็นระยะหรือไม่
- องค์กรสามารถตอบข้อกำหนดจากลูกค้า กลุ่มบริษัท หรือหน่วยงานกำกับได้โดยไม่ต้องแก้ปัญหาเฉพาะหน้าใช่หรือไม่
- มาตรการที่ตกลงหลังการ audit หรือเหตุการณ์ด้านความมั่นคงปลอดภัยถูกติดตามจนเสร็จสิ้นหรือไม่
- องค์กรแยกความรับผิดชอบของ CISO, DPO, IT และฝ่ายบริหารได้ชัดเจนหรือไม่
หากหลายคำตอบเป็น “ไม่” ความต้องการหลักขององค์กรอาจไม่ใช่การซื้อเครื่องมือด้านความมั่นคงปลอดภัยเพิ่ม แต่คือการมีหน้าที่กำกับดูแลที่ชัดเจนและต่อเนื่อง
การเลือก CISO ภายนอกให้เหมาะกับองค์กรในประเทศไทย
การคัดเลือกควรพิจารณาความสามารถด้านธรรมาภิบาลควบคู่กับความเชี่ยวชาญทางเทคนิค ผู้ให้บริการต้องสามารถทำงานกับฝ่ายบริหาร ผู้รับผิดชอบธุรกิจ ทีม IT และผู้ขายได้ พร้อมเข้าใจบริบทของประเทศไทยและรู้วิธีนำข้อกำหนดระหว่างประเทศมาใช้เฉพาะเมื่อเกี่ยวข้องกับองค์กรจริง
สำหรับองค์กรที่ทำงานหลายประเทศ ความสามารถในการสื่อสารด้วยภาษาที่ทีมในประเทศและกลุ่มบริษัทใช้งานก็มีความสำคัญ เอกสารและรายงานควรเข้าใจได้ในบริบทท้องถิ่น และยังสามารถนำไปใช้โดยสำนักงานใหญ่หรือลูกค้าต่างประเทศได้
รูปแบบการทำงานควรเพิ่มความเป็นอิสระขององค์กรด้วย การวิเคราะห์ความเสี่ยง นโยบาย แผนดำเนินงาน และรายงานต่าง ๆ ต้องยังใช้งานได้หากมีการเปลี่ยนผู้ให้บริการ
บทบาทด้านการบริหารก่อนบทบาทด้านเทคนิค
การใช้ CISO ภายนอกในประเทศไทย เริ่มเหมาะสมเมื่อองค์กรต้องการการกำกับดูแลความมั่นคงปลอดภัยอย่างต่อเนื่อง แต่ยังไม่มีบทบาทนี้ภายใน ปัจจัยกระตุ้นอาจมาจากการเติบโต เหตุการณ์ด้านความมั่นคงปลอดภัย ข้อกำหนดจากกลุ่มบริษัท ความต้องการของลูกค้า หรือกรอบกำกับเฉพาะอุตสาหกรรมที่เข้มขึ้น สิ่งที่เหมือนกันคือความมั่นคงปลอดภัยได้กลายเป็นเรื่องของการบริหาร ไม่ใช่เพียงงานปฏิบัติการ IT
แนวทางที่เหมาะสมคือกำหนดขอบเขตอำนาจ ความรับผิดชอบ และผลลัพธ์ที่คาดหวังก่อนเลือกรูปแบบการใช้บริการ Cybersiam มองเรื่องความมั่นคงปลอดภัยไซเบอร์และการปฏิบัติตามข้อกำหนดผ่านธรรมาภิบาล การบริหารความเสี่ยง และการปรับปรุงอย่างต่อเนื่องสำหรับองค์กรที่ดำเนินงานในประเทศไทย
