องค์กรในประเทศไทยควรใช้ CISO ภายนอกเมื่อใด

ในหลายองค์กรในประเทศไทย งานด้านความมั่นคงปลอดภัยไซเบอร์มักเริ่มต้นจากการดูแลของผู้จัดการฝ่าย IT ผู้ให้บริการ IT ภายนอก หรือทีมสนับสนุน รูปแบบนี้อาจเพียงพอเมื่อระบบสารสนเทศยังไม่ซับซ้อน แต่จะเริ่มมีข้อจำกัดเมื่อมีการใช้บริการคลาวด์ การเข้าถึงจากระยะไกล ผู้ให้บริการหลายราย ข้อกำหนดตามสัญญา และข้อมูลที่มีความสำคัญเพิ่มขึ้น

ปัญหาไม่ได้หมายความว่าองค์กรขาดทักษะทางเทคนิคเสมอไป หลายครั้งสิ่งที่ขาดคือผู้รับผิดชอบที่สามารถแปลงความเสี่ยงให้เป็นการตัดสินใจ กำหนดลำดับความสำคัญ ประสานผู้เกี่ยวข้อง และรายงานต่อฝ่ายบริหารได้อย่างชัดเจน นี่คือบทบาทที่ CISO ภายนอก สามารถเข้ามาช่วยได้ เมื่อองค์กรยังไม่จำเป็นต้องมีตำแหน่งเต็มเวลา หรือยังไม่สามารถจัดหาบุคลากรภายในได้เหมาะสม

ความจำเป็นเกิดขึ้นเมื่อการรักษาความมั่นคงปลอดภัยไม่มีผู้กำกับดูแลที่ชัดเจน

องค์กรอาจมีผู้ให้บริการ IT ที่มีความสามารถ มีระบบสำรองข้อมูล ไฟร์วอลล์ และบริการคลาวด์ที่ดูแลอย่างเหมาะสม แต่ยังมีจุดอ่อนด้านธรรมาภิบาลได้ เครื่องมือเหล่านี้ไม่สามารถตัดสินใจแทนองค์กรได้ว่า ระดับความเสี่ยงใดยอมรับได้ งบประมาณด้านใดควรมาก่อน ใครเป็นผู้รับผิดชอบเมื่อเกิดเหตุ หรือควรอนุมัติผู้ให้บริการรายใหม่หรือไม่

CISO ภายนอกเข้ามาเติมบทบาทด้านการกำกับดูแลนี้ โดยช่วยให้ฝ่ายบริหารระบุความเสี่ยงที่ต้องตัดสินใจ จัดทำนโยบายที่จำเป็น ติดตามแผนแก้ไข และตรวจสอบว่ามาตรการที่ตกลงกันถูกนำไปใช้จริง อย่างไรก็ตาม ความรับผิดชอบต่อการตัดสินใจทางธุรกิจยังคงอยู่ภายในองค์กร

แนวคิดดังกล่าวสอดคล้องกับหลักธรรมาภิบาลที่ใช้ในประเทศไทย ตัวอย่างเช่น Corporate Governance Code ของสำนักงาน ก.ล.ต. กำหนดแนวทางให้คณะกรรมการของบริษัทที่อยู่ในขอบเขตต้องนำความเสี่ยงด้าน IT เข้ามาเป็นส่วนหนึ่งของการบริหารความเสี่ยง และดูแลให้มีนโยบายกับกระบวนการด้านความมั่นคงปลอดภัยที่เหมาะสม ทั้งนี้เป็นกรอบเฉพาะสำหรับองค์กรที่เกี่ยวข้อง ไม่ใช่ข้อกำหนดทั่วไปสำหรับ SME ทุกแห่ง

สถานการณ์ที่ CISO ภายนอกเริ่มมีความเหมาะสมในประเทศไทย

องค์กรเติบโตโดยยังไม่มีหน้าที่ด้านความมั่นคงปลอดภัยโดยเฉพาะ

เมื่อมีการเพิ่มระบบ แอปพลิเคชัน SaaS การเข้าถึงจากภายนอก และผู้ให้บริการหลายราย งานประจำวันอาจยังเดินต่อได้ แต่ไม่มีใครเห็นภาพความเสี่ยงแบบรวมศูนย์ CISO ภายนอกสามารถช่วยจัดทำแผนผังสินทรัพย์และการพึ่งพาที่สำคัญ กำหนดความรับผิดชอบ และสร้างแผนปรับปรุงที่เหมาะกับทรัพยากรขององค์กร

บริษัทในประเทศไทยต้องนำข้อกำหนดของกลุ่มบริษัทต่างประเทศมาปฏิบัติ

บริษัทลูกในประเทศไทยอาจต้องปฏิบัติตามนโยบาย มาตรฐาน แบบประเมินความมั่นคงปลอดภัย หรือมาตรการควบคุมที่สำนักงานใหญ่ในต่างประเทศกำหนด ความท้าทายคือการปรับข้อกำหนดเหล่านั้นให้เข้ากับระบบ ผู้ให้บริการ และวิธีทำงานในประเทศ พร้อมจัดทำหลักฐานที่กลุ่มบริษัทสามารถนำไปใช้ได้จริง

CISO ภายนอกในประเทศไทยสามารถเป็นจุดเชื่อมระหว่างฝ่ายบริหาร ทีม IT ผู้ให้บริการ และทีม security ของกลุ่มบริษัท ช่วยหลีกเลี่ยงทั้งการนำรูปแบบจากต่างประเทศมาใช้โดยไม่ปรับให้เหมาะกับบริบท และการทำ compliance แบบเอกสารที่ไม่ส่งผลต่อการปฏิบัติงานจริง

ลูกค้าและคู่ค้าต้องการหลักประกันด้านความมั่นคงปลอดภัยมากขึ้น

แบบสอบถามด้านความมั่นคงปลอดภัย เงื่อนไขในสัญญา การขอนโยบายอย่างเป็นทางการ หรือหลักฐานการบริหารสิทธิ์การเข้าถึง อาจสะท้อนว่าองค์กรยังขาดโครงสร้างในการตอบคำถามเหล่านี้ คำขอดังกล่าวไม่ได้ก่อให้เกิดหน้าที่ตามกฎหมายเสมอไป แต่อาจกลายเป็นเงื่อนไขทางการค้าได้

CISO ภายนอกช่วยให้องค์กรตอบข้อกำหนดได้อย่างสอดคล้องกัน และแยกให้ชัดว่ามาตรการใดใช้อยู่จริงกับมาตรการใดที่ยังอยู่ในแผน สิ่งที่ให้คำมั่นแก่ลูกค้าควรตรงกับการควบคุมที่องค์กรดำเนินการอยู่จริง

เหตุการณ์ด้านความมั่นคงปลอดภัยเปิดเผยข้อจำกัดขององค์กร

หลังเหตุ ransomware บัญชีถูกยึด การรั่วไหลของข้อมูล หรือระบบหยุดให้บริการเป็นเวลานาน การกู้คืนระบบเพียงอย่างเดียวไม่เพียงพอ องค์กรต้องเข้าใจสาเหตุ กำหนดผู้รับผิดชอบต่อการแก้ไข และติดตามให้มาตรการเหล่านั้นเสร็จสิ้น

การใช้ CISO ภายนอกหลังเหตุฉุกเฉินสามารถเปลี่ยนบทเรียนจากเหตุการณ์ให้เป็นแผนปรับปรุงที่ครอบคลุมความรับผิดชอบ สิทธิ์การเข้าถึง ระบบสำรองข้อมูล ผู้ให้บริการ การตรวจจับ และกระบวนการตอบสนองต่อเหตุการณ์

องค์กรเข้าสู่ขอบเขตที่มีกฎกำกับมากขึ้น

องค์กรในประเทศไทยไม่ได้อยู่ภายใต้ข้อกำหนดด้านความมั่นคงปลอดภัยแบบเดียวกันทั้งหมด พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 กำหนดกรอบที่เกี่ยวข้องกับหน่วยงานภาครัฐและองค์กรที่ถูกระบุเป็นโครงสร้างพื้นฐานสำคัญทางสารสนเทศ หรือ Critical Information Infrastructure นอกจากนี้บางอุตสาหกรรมยังมีกฎเฉพาะ ตัวอย่างเช่น สำนักงาน ก.ล.ต. มีข้อกำหนดด้าน IT และความมั่นคงปลอดภัยสำหรับผู้ประกอบธุรกิจบางประเภทที่อยู่ภายใต้การกำกับดูแล

ในสภาพแวดล้อมเหล่านี้ CISO ภายนอกสามารถช่วยยกระดับธรรมาภิบาลและความพร้อมต่อการตรวจสอบ แต่ขอบเขตงานต้องสอดคล้องกับกฎหมายและข้อกำหนดที่ใช้กับองค์กรนั้นจริง

สิ่งที่ CISO ภายนอกควรกำกับดูแลจริง

การทำงานที่ดีไม่ควรจบเพียงรายงานคำแนะนำหนึ่งชุด แต่ควรสร้างกระบวนการกำกับดูแลที่ฝ่ายบริหารสามารถติดตามได้อย่างต่อเนื่อง

• จัดทำภาพรวมความเสี่ยง สินทรัพย์ แอปพลิเคชัน ผู้ให้บริการ และการพึ่งพาที่สำคัญ;
• จัดทำแผนงานโดยเรียงลำดับตามความเสี่ยง ความพยายาม งบประมาณ และข้อจำกัดในการดำเนินงาน;
• จัดทำนโยบายและขั้นตอนที่จำเป็น โดยไม่เพิ่มเอกสารที่ไม่มีประโยชน์ต่อการปฏิบัติงาน;
• กำกับดูแลตัวตน สิทธิ์พิเศษ และบัญชีที่มีความเสี่ยงสูง;
• บริหารความเสี่ยงจากผู้ให้บริการภายนอกและบริการคลาวด์;
• เตรียมและประสานการตอบสนองต่อเหตุการณ์ด้านความมั่นคงปลอดภัย;
• สร้างความตระหนักด้านความมั่นคงปลอดภัยให้พนักงานและผู้รับผิดชอบธุรกิจ;
• เตรียมความพร้อมสำหรับการ audit แบบสอบถามจากลูกค้า และการตรวจสอบตามข้อกำหนดเฉพาะอุตสาหกรรม;
• รายงานต่อฝ่ายบริหารเป็นประจำด้วยตัวชี้วัดที่เข้าใจและนำไปใช้ตัดสินใจได้

ขอบเขตที่เหมาะสมขึ้นอยู่กับลักษณะองค์กร SME ด้านบริการ โรงงาน แพลตฟอร์มดิจิทัล และบริษัทลูกของกลุ่มต่างประเทศ มีสินทรัพย์ ภัยคุกคาม และข้อจำกัดที่แตกต่างกัน

สิ่งที่ CISO ภายนอกไม่สามารถแทนที่

CISO ภายนอกไม่ได้แทนผู้ดูแลระบบหรือเครือข่าย ทีม support, SOC, MSSP, ผู้ตรวจสอบ หรือผู้ให้บริการทดสอบเจาะระบบ หน่วยงานเหล่านี้ทำหน้าที่ดำเนินการหรือประเมินมาตรการควบคุม ส่วน CISO ทำหน้าที่ด้านธรรมาภิบาล กำหนดลำดับความสำคัญ และตรวจสอบว่าการดำเนินการตอบสนองต่อความเสี่ยงที่ระบุไว้จริง

CISO ภายนอกไม่ได้แทน DPO เช่นกัน ภายใต้ PDPA ของไทย การแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล มีเงื่อนไขเฉพาะ การคุ้มครองข้อมูลส่วนบุคคลและความมั่นคงปลอดภัยไซเบอร์มีส่วนที่ทับซ้อนกัน เช่น มาตรการรักษาความมั่นคงปลอดภัยและการจัดการเหตุละเมิดข้อมูล แต่บทบาททั้งสองยังแยกจากกัน องค์กรจึงควรกำหนดความรับผิดชอบระหว่างฝ่ายบริหาร CISO, DPO, IT และผู้ให้บริการให้ชัดเจน

สุดท้าย CISO ภายนอกไม่ควรตัดสินใจทางธุรกิจแทนฝ่ายบริหาร บทบาทนี้สามารถเสนอคำแนะนำ จัดทำข้อมูล และเตรียมทางเลือกสำหรับการตัดสินใจได้ แต่การยอมรับความเสี่ยงที่มีนัยสำคัญ งบประมาณ และลำดับความสำคัญทางธุรกิจยังเป็นความรับผิดชอบของฝ่ายบริหาร

PDPA และความมั่นคงปลอดภัยไซเบอร์ต้องเชื่อมกันโดยไม่ทำให้เป็นเรื่องเดียวกัน

PDPA ของไทยกำหนดให้องค์กรที่อยู่ในขอบเขตต้องมีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมสำหรับข้อมูลส่วนบุคคล แหล่งข้อมูลของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลมีเนื้อหาเฉพาะด้าน Security Management และการจัดการเหตุละเมิดข้อมูล ประเด็นเหล่านี้ทำให้ฝ่าย compliance และ security ต้องทำงานร่วมกันอย่างใกล้ชิด

อย่างไรก็ตาม การปฏิบัติตาม PDPA เพียงอย่างเดียวไม่ได้ทำให้องค์กรมีโปรแกรมความมั่นคงปลอดภัยไซเบอร์ที่ครบถ้วน ยังมีสินทรัพย์อื่นที่ต้องปกป้องแม้ไม่ใช่ข้อมูลส่วนบุคคล เช่น บัญชีผู้ดูแลระบบ ความลับทางเทคนิค ทรัพย์สินทางปัญญา ความพร้อมใช้งานของระบบ ระบบสำรองข้อมูล และความต่อเนื่องทางธุรกิจ

CISO ภายนอกจึงควรทำงานร่วมกับ DPO ในเรื่องที่เกี่ยวข้องกัน โดยไม่ลดบทบาทด้านความมั่นคงปลอดภัยไซเบอร์ให้เหลือเพียงส่วนหนึ่งของงาน compliance ด้านข้อมูลส่วนบุคคล

รูปแบบการใช้ CISO ภายนอกมีได้หลายแบบ

องค์กรที่มีวุฒิภาวะด้าน IT อยู่แล้วอาจต้องการการกำกับดูแลแบบต่อเนื่องในลักษณะ part-time องค์กรอีกแห่งอาจต้องการโครงการเพื่อจัดโครงสร้างใหม่ทั้งเรื่องความรับผิดชอบ ความเสี่ยง และแผนงาน ส่วนบริษัทที่กำลังเติบโตอาจใช้ CISO ภายนอกเป็นช่วงเปลี่ยนผ่านก่อนรับบุคลากรภายใน

รูปแบบที่เหมาะสมขึ้นอยู่กับจำนวนและความสำคัญของการตัดสินใจ ระดับความเสี่ยง วุฒิภาวะของ IT ข้อกำหนดด้านกฎระเบียบ และความสามารถของทีมภายในในการดำเนินแผน ไม่ควรเลือกเพียงจากจำนวนวันให้คำปรึกษาที่ซื้อมา

จะทราบได้อย่างไรว่าถึงเวลาต้องมีบทบาทนี้แล้ว

คำถามต่อไปนี้ช่วยประเมินสถานการณ์ได้:

• ฝ่ายบริหารได้รับภาพรวมความเสี่ยงไซเบอร์หลักขององค์กรอย่างชัดเจนและสม่ำเสมอหรือไม่
• มีผู้รับผิดชอบที่สามารถกำหนดลำดับความสำคัญด้านความมั่นคงปลอดภัยนอกเหนือจากงาน IT ประจำวันหรือไม่
• ความรับผิดชอบระหว่างองค์กรกับผู้ให้บริการภายนอกถูกกำหนดไว้อย่างชัดเจนหรือไม่
• สิทธิ์เข้าถึงที่สำคัญ ผู้ให้บริการ ระบบสำรองข้อมูล และแผนตอบสนองต่อเหตุการณ์ได้รับการตรวจสอบเป็นระยะหรือไม่
• องค์กรสามารถตอบข้อกำหนดจากลูกค้า กลุ่มบริษัท หรือหน่วยงานกำกับได้โดยไม่ต้องแก้ปัญหาเฉพาะหน้าใช่หรือไม่
• มาตรการที่ตกลงหลังการ audit หรือเหตุการณ์ด้านความมั่นคงปลอดภัยถูกติดตามจนเสร็จสิ้นหรือไม่
• องค์กรแยกความรับผิดชอบของ CISO, DPO, IT และฝ่ายบริหารได้ชัดเจนหรือไม่

หากหลายคำตอบเป็น “ไม่” ความต้องการหลักขององค์กรอาจไม่ใช่การซื้อเครื่องมือด้านความมั่นคงปลอดภัยเพิ่ม แต่คือการมีหน้าที่กำกับดูแลที่ชัดเจนและต่อเนื่อง

การเลือก CISO ภายนอกให้เหมาะกับองค์กรในประเทศไทย

การคัดเลือกควรพิจารณาความสามารถด้านธรรมาภิบาลควบคู่กับความเชี่ยวชาญทางเทคนิค ผู้ให้บริการต้องสามารถทำงานกับฝ่ายบริหาร ผู้รับผิดชอบธุรกิจ ทีม IT และผู้ขายได้ พร้อมเข้าใจบริบทของประเทศไทยและรู้วิธีนำข้อกำหนดระหว่างประเทศมาใช้เฉพาะเมื่อเกี่ยวข้องกับองค์กรจริง

สำหรับองค์กรที่ทำงานหลายประเทศ ความสามารถในการสื่อสารด้วยภาษาที่ทีมในประเทศและกลุ่มบริษัทใช้งานก็มีความสำคัญ เอกสารและรายงานควรเข้าใจได้ในบริบทท้องถิ่น และยังสามารถนำไปใช้โดยสำนักงานใหญ่หรือลูกค้าต่างประเทศได้

รูปแบบการทำงานควรเพิ่มความเป็นอิสระขององค์กรด้วย การวิเคราะห์ความเสี่ยง นโยบาย แผนดำเนินงาน และรายงานต่าง ๆ ต้องยังใช้งานได้หากมีการเปลี่ยนผู้ให้บริการ

บทบาทด้านการบริหารก่อนบทบาทด้านเทคนิค

การใช้ CISO ภายนอกในประเทศไทย เริ่มเหมาะสมเมื่อองค์กรต้องการการกำกับดูแลความมั่นคงปลอดภัยอย่างต่อเนื่อง แต่ยังไม่มีบทบาทนี้ภายใน ปัจจัยกระตุ้นอาจมาจากการเติบโต เหตุการณ์ด้านความมั่นคงปลอดภัย ข้อกำหนดจากกลุ่มบริษัท ความต้องการของลูกค้า หรือกรอบกำกับเฉพาะอุตสาหกรรมที่เข้มขึ้น สิ่งที่เหมือนกันคือความมั่นคงปลอดภัยได้กลายเป็นเรื่องของการบริหาร ไม่ใช่เพียงงานปฏิบัติการ IT

แนวทางที่เหมาะสมคือกำหนดขอบเขตอำนาจ ความรับผิดชอบ และผลลัพธ์ที่คาดหวังก่อนเลือกรูปแบบการใช้บริการ Cybersiam มองเรื่องความมั่นคงปลอดภัยไซเบอร์และการปฏิบัติตามข้อกำหนดผ่านธรรมาภิบาล การบริหารความเสี่ยง และการปรับปรุงอย่างต่อเนื่องสำหรับองค์กรที่ดำเนินงานในประเทศไทย