ความมั่นคงปลอดภัยไซเบอร์และความเสี่ยงด้านเทคโนโลยีของภาครัฐ

ทำไมสิ่งนี้จึงสำคัญต่อคุณค่าสาธารณะ

เมื่อระบบของโรงพยาบาลถูกผู้โจมตีเข้ารหัส แพทย์ไม่เห็นประวัติการใช้ยา รถพยาบาลถูกเบี่ยง และการผ่าตัดถูกยกเลิก เมื่อระบบควบคุมของสาธารณูปโภคน้ำถูกเจาะ คุณค่าสาธารณะที่เป็นเดิมพันไม่ใช่เซิร์ฟเวอร์ที่ล่ม แต่คือความปลอดภัยของน้ำดื่ม เมื่อฐานข้อมูลของหน่วยงานสิทธิประโยชน์ถูกละเมิด ผู้ที่เปิดเผยมากที่สุดมักเป็นผู้ที่รับผลที่ตามมาได้น้อยที่สุด การจ่ายเงินที่ล่าช้า อัตลักษณ์ที่ถูกขโมย ครอบครัวที่พิสูจน์ตัวตนต่อรัฐที่เป็นหนี้การสนับสนุนพวกเขาไม่ได้ ความมั่นคงปลอดภัยคอมพิวเตอร์ เรียกทั่วไปว่าความมั่นคงปลอดภัยไซเบอร์ คือแนวปฏิบัติของการคุ้มครองระบบคอมพิวเตอร์ เครือข่าย และข้อมูลจากการเข้าถึงโดยไม่ได้รับอนุญาต การรบกวน หรือความเสียหาย ในสถาบันสาธารณะ แนวปฏิบัตินั้นอยู่บนเส้นทางระหว่างรัฐและพลเมืองที่มันรับใช้โดยตรง

นี่คือเหตุผลที่หัวข้อวางกรอบความเสี่ยงไซเบอร์เป็นคำถามคุณค่าสาธารณะ ไม่ใช่เฉพาะทางเทคนิค ความชอบธรรมและการสนับสนุนขึ้นกับการที่พลเมืองเชื่อว่าสถาบันที่ถือข้อมูลของพวกเขาและดำเนินบริการจำเป็นของพวกเขาไว้วางใจได้ที่จะรักษาทั้งสองให้ปลอดภัย (ดู หัวข้อ 1.2 — สามเหลี่ยมเชิงกลยุทธ์: ความชอบธรรม คุณค่า และขีดความสามารถ) การละเมิดที่เป็นข่าวดีครั้งเดียวทำความเสียหายถาวรต่อความไว้วางใจนั้นได้ ในแบบเดียวกับเหตุฉุกเฉินที่จัดการผิด เพราะพลเมืองตัดสินสถาบันจากวิธีที่ประพฤติภายใต้การโจมตีเท่ากับวิธีที่ทำงานประจำวัน (ดู หัวข้อ 3.12 — การจัดการวิกฤต เหตุฉุกเฉิน และความยืดหยุ่นฟื้นตัว ซึ่งถือเหตุการณ์ไซเบอร์เป็นประเภทหนึ่งภายในวินัยความยืดหยุ่นฟื้นตัวที่กว้างกว่า) ความมั่นคงปลอดภัยไซเบอร์ยังแยกไม่ออกจากธรรมาภิบาลข้อมูล สถาบันคุ้มครองสิ่งที่ไม่รู้ว่าตนถืออยู่ไม่ได้ และการทำงานร่วมกันได้และความเปิดที่สร้างคุณค่าสาธารณะจากข้อมูลยังขยายพื้นผิวที่ผู้โจมตีใช้ประโยชน์ได้ (ดู หัวข้อ 5.4 — ข้อมูล การทำงานร่วมกันได้ และข้อมูลเปิดในภาครัฐ)

ปัญหาทรัพยากรเฉียบพลันและเฉพาะต่อภาครัฐและภาคสังคม หน่วยงานระดับชาติขนาดใหญ่มีทีมความมั่นคงปลอดภัยโดยเฉพาะและงบประมาณระดับองค์กรมากขึ้น คณะกรรมการประปาที่ให้บริการเมืองเล็ก ทรัสต์โรงพยาบาลระดับภูมิภาค และองค์กรไม่แสวงหากำไรท้องถิ่นที่ดำเนินที่พักพิงต่อต้านความรุนแรงในครอบครัวโดยทั่วไปไม่มี แม้ถือข้อมูลที่ความอ่อนไหวเทียบเท่าหรือเกินธนาคารใด ผู้โจมตีรู้ หน่วยงานสาธารณะที่ขาดทรัพยากรไม่ใช่กรณีขอบในหัวข้อนี้ พวกเขาอยู่ใกล้ศูนย์กลางของมัน เพราะสถาบันสาธารณะมัธยฐานที่เผชิญความเสี่ยงนี้วันนี้ไม่ใช่กระทรวงระดับชาติ แต่เป็นหน่วยงานท้องถิ่นขนาดเล็ก สาธารณูปโภคภูมิภาค หรือองค์กรการกุศลที่มีบุคลากรเทคโนโลยีสารสนเทศหยิบมือเดียวและไม่มีผู้เชี่ยวชาญความมั่นคงปลอดภัยเลย

ท้ายที่สุด นี่เป็นปัญหาที่มีชีวิตและแย่ลง ไม่ใช่สมมติ แคมเปญแรนซัมแวร์มุ่งเป้าหน่วยงานท้องถิ่น โรงพยาบาล โรงเรียน และองค์กรภาคสังคมมากขึ้น พอดีเพราะพวกเขารวมข้อมูลอ่อนไหว บริการจำเป็น ความทนต่อการหยุดทำงานต่ำ และการป้องกันที่ค่อนข้างอ่อน การรวมกันที่ทำให้มีแนวโน้มจ่ายมากขึ้นและมีแนวโน้มน้อยลงที่จะป้องกันการโจมตีได้ตั้งแต่แรก การถือความมั่นคงปลอดภัยไซเบอร์เป็นส่วนเสริมเฉพาะทางแทนพันธะคุณค่าสาธารณะระดับธรรมาภิบาล สำหรับองค์กรประเภทนี้ เกือบเป็นคำเชิญ

แนวคิดหลัก

โครงสร้างพื้นฐานสำคัญ (critical infrastructure) คือชุดของระบบและสินทรัพย์ พลังงาน น้ำ การขนส่ง การดูแลสุขภาพ การเงิน การสื่อสาร ที่จำเป็นมากจนการไร้ความสามารถหรือการทำลายจะมีผลทำให้พิการต่อความปลอดภัย เศรษฐกิจ หรือความเชื่อมั่นสาธารณะ การคุ้มครองโครงสร้างพื้นฐานสำคัญคือวินัยของการรักษาความมั่นคงปลอดภัยระบบเหล่านี้จากภัยคุกคามทั้งกายภาพและดิจิทัล สำคัญที่นี่เพราะเหตุการณ์ไซเบอร์ภาครัฐที่มีผลสืบเนื่องมากที่สุดหลายอย่างไม่ใช่การโจมตีข้อมูลนามธรรม แต่เป็นการโจมตีเทคโนโลยีปฏิบัติการที่ทำให้โครงสร้างพื้นฐานกายภาพทำงาน ต่างจากเทคโนโลยีสารสนเทศที่เก็บบันทึกและประมวลผลธุรกรรม

ผู้คุกคาม (threat actor) คือบุคคล กลุ่ม หรือรัฐใดที่อาจพยายามเจาะระบบ ในภาครัฐมีตั้งแต่กลุ่มอาชญากรที่มีแรงจูงใจทางการเงินไปจนถึงผู้แสดงที่รัฐสนับสนุนที่แสวงหาการจารกรรมหรือการรบกวน และสถาบันเดียวกันอาจเผชิญทั้งสองพร้อมกันด้วยวัตถุประสงค์ที่ต่างกันมาก แรนซัมแวร์ คือซอฟต์แวร์ประสงค์ร้ายที่เข้ารหัสข้อมูลหรือระบบขององค์กรและเรียกร้องการชำระเงินเพื่อปล่อย มันกลายเป็นภัยคุกคามหลักต่อหน่วยงานสาธารณะพอดีเพราะบริการจำเป็นทนการหยุดทำงานยาวไม่ได้ ซึ่งเพิ่มแรงกดดันให้จ่าย ฟิชชิง (phishing) เป็นรูปแบบของวิศวกรรมสังคมที่ผู้โจมตีหลอกบุคลากรให้เปิดเผยข้อมูลรับรองหรือติดตั้งมัลแวร์ โดยทั่วไปผ่านอีเมลหลอกลวง และยังเป็นวิธีที่พบบ่อยที่สุดที่ผู้โจมตีได้ที่ยืนครั้งแรก เพราะมันมุ่งผู้คนแทนเทคโนโลยี

การละเมิดข้อมูล (data breach) คือการเข้าถึง เปิดเผย หรือสูญหายของข้อมูลโดยไม่ได้รับอนุญาต ไม่ว่าผ่านการโจมตีภายนอก คนใน หรือความผิดพลาดของมนุษย์ธรรมดา เช่น ฐานข้อมูลที่กำหนดค่าผิดซึ่งเปิดทิ้งไว้ต่ออินเทอร์เน็ต การโจมตีห่วงโซ่อุปทาน (supply chain attack) เจาะองค์กรทางอ้อม โดยมุ่งผู้จัดหา ผู้ขายซอฟต์แวร์ หรือผู้ให้บริการที่บริหารจัดการที่ปลอดภัยน้อยกว่าที่องค์กรเป้าหมายไว้วางใจ สิ่งเหล่านี้อันตรายเป็นพิเศษสำหรับภาครัฐเพราะหน่วยงานสาธารณะจำนวนมากใช้ผู้ขายซอฟต์แวร์หยิบมือเดียวร่วมกัน ซึ่งหมายความว่าการเจาะผู้ขายรายเดียวตกทอดสู่สถาบันหลายร้อยแห่งพร้อมกันได้

สุขอนามัยไซเบอร์ (cyber hygiene) คือชุดของแนวปฏิบัติประจำ การปะซอฟต์แวร์ทันที การบังคับการยืนยันตัวตนที่แข็งแรง การจำกัดว่าใครเข้าถึงอะไร การสำรองข้อมูลและทดสอบการกู้คืนสำรองเหล่านั้น ที่ป้องกันการโจมตีที่สำเร็จส่วนใหญ่โดยไม่ต้องใช้เครื่องมือแปลกใหม่ การละเมิดส่วนใหญ่ใช้ช่องโหว่ที่ทราบและไม่ได้ปะหรือข้อมูลรับรองที่อ่อนแทนเทคนิคใหม่ ดังนั้นช่องว่างระหว่างสุขอนามัยไซเบอร์จริงขององค์กรกับนโยบายที่ระบุมักเป็นตัวทำนายความเสี่ยงที่ดีกว่าความซับซ้อนของภัยคุกคามที่มันตั้งชื่อในทะเบียนความเสี่ยง

สถาปัตยกรรมศูนย์ความไว้วางใจ (zero trust architecture) เป็นหลักการออกแบบความมั่นคงปลอดภัยที่ถือว่าไม่มีผู้ใช้หรืออุปกรณ์ใดควรได้รับความไว้วางใจโดยค่าเริ่มต้น แม้ภายในเครือข่ายขององค์กรเอง และทุกคำขอเข้าถึงต้องถูกตรวจสอบไม่ว่ามาจากที่ใด มันมีอิทธิพลในแนวทางภาครัฐเพราะสอดคล้องกับวิธีที่งานรัฐบาลสมัยใหม่เกิดขึ้นจริง บุคลากร ผู้รับเหมา และพลเมืองเข้าถึงบริการจากหลายอุปกรณ์และสถานที่ ดีกว่าแบบจำลองเก่าที่ไว้วางใจสิ่งใดที่อยู่ในขอบเขตแล้ว

การจัดการเหตุการณ์ความมั่นคงปลอดภัยคอมพิวเตอร์ (computer security incident management) เรียกทั่วไปว่าการตอบสนองต่อเหตุการณ์ คือกระบวนการที่จัดระเบียบของการตรวจจับ ควบคุม ขจัด และฟื้นฟูจากเหตุการณ์ความมั่นคงปลอดภัย ตามด้วยการทบทวนว่าอะไรทำให้มันเกิดขึ้น ภาระผูกพันการเปิดเผย (disclosure obligation) คือหน้าที่ทางกฎหมายหรือการกำกับดูแลที่จะแจ้งบุคคลที่ได้รับผลกระทบ ผู้กำกับดูแล หรือสาธารณชนเมื่อข้อมูลส่วนบุคคลหรือบริการสำคัญถูกเจาะ ภายในเวลาที่กำหนดและตามมาตรฐานที่กำหนด บนตรรกะว่าพลเมืองและหน่วยกำกับดูแลมีสิทธิรู้เมื่อข้อมูลหรือบริการจำเป็นของพวกเขาถูกวางไว้ในความเสี่ยง และการเปิดเผยทันเวลาให้ผู้คนปกป้องตนเองได้

แนวปฏิบัติที่ดี

1. ถือความมั่นคงปลอดภัยไซเบอร์เป็นความรับผิดชอบของหน่วยกำกับดูแล ไม่ใช่หน้าที่ทางเทคนิคที่มอบหมาย คณะกรรมการ สภา และทีมบริหารควรได้รับการบรรยายสรุปเรื่องความเสี่ยงไซเบอร์เป็นประจำด้วยภาษาธรรมดาและอนุมัติงบประมาณโดยตรง แทนที่จะปล่อยให้มันถูกเจรจาภายในบรรทัดเทคโนโลยีสารสนเทศที่กว้างกว่าที่มันเป็นสิ่งที่ตัดง่ายที่สุด
2. สำรวจสิ่งที่ท่านถือและสิ่งที่พึ่งพามันก่อนตัดสินใจว่าจะคุ้มครองอย่างไร องค์กรรักษาความปลอดภัยข้อมูลหรือระบบที่ยังไม่ได้ทำแผนที่ไม่ได้ บัญชีสินทรัพย์และข้อมูลที่เป็นปัจจุบัน อ้างโยงกับงานการทำงานร่วมกันได้และธรรมาภิบาลข้อมูลที่ครอบคลุมที่อื่น (ดู หัวข้อ 5.4 — ข้อมูล การทำงานร่วมกันได้ และข้อมูลเปิดในภาครัฐ) เป็นเงื่อนไขเบื้องต้นสำหรับทุกแนวปฏิบัติอื่นในรายการนี้
3. ใช้พื้นฐานทุกที่ก่อนใช้จ่ายกับสิ่งขั้นสูงใด การจัดการการปะ การยืนยันตัวตนหลายปัจจัย การสำรองที่ทดสอบแล้ว และการควบคุมการเข้าถึงสิทธิน้อยที่สุดหยุดการโจมตีในโลกจริงส่วนใหญ่ท่วมท้น หน่วยงานสาธารณะที่ไม่มีสิ่งเหล่านี้ไม่ควรจัดลำดับความสำคัญการสมัครสมาชิกข่าวกรองภัยคุกคามหรือเครื่องมือเฝ้าติดตามเฉพาะ
4. รับกรอบที่ยอมรับแทนการประดิษฐ์ของตนเอง กรอบ เช่น Cybersecurity Framework ของสถาบันมาตรฐานและเทคโนโลยีแห่งชาติ (NIST) ให้คำศัพท์ร่วมและโครงสร้าง ระบุ ป้องกัน ตรวจจับ ตอบสนอง ฟื้นฟู ที่องค์กรเล็กรับในรูปแบบง่ายและองค์กรใหญ่รับเต็มได้ โดยไม่ต้องประดิษฐ์อนุกรมวิธานพื้นฐานใหม่
5. รวมทรัพยากรข้ามองค์กรเล็กแทนที่จะแต่ละแห่งซื้อลำพัง บริการปฏิบัติการความมั่นคงปลอดภัยร่วม สระตอบสนองเหตุการณ์ไซเบอร์ระดับภูมิภาค หรือกรอบการจัดซื้อจัดจ้างทั้งภาคส่วนให้กลุ่มหน่วยงานท้องถิ่นขนาดเล็กหรือองค์กรไม่แสวงหากำไรมีการคุ้มครองที่ไม่มีแห่งใดจ่ายได้ลำพัง คำตอบที่ตรงที่สุดข้อเดียวต่อปัญหาการขาดทรัพยากรที่หัวข้อนี้เป็นศูนย์กลาง
6. เขียนแผนตอบสนองเหตุการณ์ก่อนเหตุการณ์ และซ้อม แผนที่ร่างครั้งแรกระหว่างการโจมตีสดคือแผนที่ร่างไม่ดี ภายใต้ความตื่นตระหนก โดยผู้ที่ไม่เคยทดสอบว่ามันทำงานจริงหรือไม่ แผนที่ซ้อมอย่างน้อยทุกปีเปลี่ยนชั่วโมงแรกที่วุ่นวายเป็นลำดับขั้นที่ซ้อมของขั้นตอนที่ทราบ (ดู หัวข้อ 3.12 — การจัดการวิกฤต เหตุฉุกเฉิน และความยืดหยุ่นฟื้นตัว สำหรับวินัยที่กว้างกว่าที่นี่ดึงจาก)
7. ตัดสินใจนโยบายการเปิดเผยและการจ่ายล่วงหน้า ไม่ใช่ระหว่างเหตุการณ์ องค์กรจะพิจารณาจ่ายค่าไถ่หรือไม่ ใครมีอำนาจตัดสินใจ และจะแจ้งผู้ที่ได้รับผลกระทบอย่างไรและเมื่อใดควรเป็นนโยบายที่คณะกรรมการอนุมัติ ไม่ใช่การตัดสินใจด้นสดภายใต้แรงกดดันของคำเรียกร้องการกรรโชกสด
8. แบ่งส่วนเครือข่ายเพื่อให้การเจาะหนึ่งไม่กลายเป็นการเจาะทุกอย่าง การแยกเทคโนโลยีปฏิบัติการที่ควบคุมโครงสร้างพื้นฐานกายภาพออกจากเทคโนโลยีสารสนเทศสำนักงานทั่วไป และการแยกระบบที่อ่อนไหวสูงออกจากระบบที่อ่อนไหวต่ำกว่า จำกัดว่าผู้บุกรุกที่เข้าผ่านจุดอ่อนหนึ่งเดินทางไปไกลได้เพียงใด
9. จัดการความเสี่ยงของบุคคลที่สามและห่วงโซ่อุปทานอย่างเข้มงวดเท่ากับความเสี่ยงภายใน กำหนดการรับประกันความมั่นคงปลอดภัย ข้อกำหนดสิทธิตรวจสอบ และภาระผูกพันการแจ้งเหตุการณ์ในสัญญากับผู้ขายซอฟต์แวร์และผู้ให้บริการที่บริหารจัดการ เพราะส่วนที่เติบโตของเหตุการณ์ภาครัฐสำคัญเกิดจากผู้จัดหาที่ไว้วางใจมากกว่าการโจมตีโดยตรง
10. ลงทุนในผู้คน ไม่ใช่เฉพาะเครื่องมือ การฝึกอบรมประจำที่สมจริง รวมแบบฝึกหัดฟิชชิงจำลอง ลดการโจมตีด้วยวิศวกรรมสังคมที่สำเร็จอย่างวัดได้ และการรักษาบุคลากรความมั่นคงปลอดภัยที่มีทักษะแม้หนึ่งหรือสองคนในองค์กรเล็กมักมีค่ามากกว่าการใช้จ่ายเทียบเท่ากับใบอนุญาตซอฟต์แวร์เพิ่มเติม
11. รายงานเหตุการณ์อย่างซื่อตรงและใช้เหตุเกือบพลาดเป็นบทเรียนฟรี วัฒนธรรมที่ลงโทษบุคลากรที่รายงานการละเมิดที่สงสัยรับประกันว่าครั้งถัดไปจะถูกรายงานช้าหรือไม่เลย องค์กรที่ปรับปรุงเร็วที่สุดคือผู้ที่ถือทุกเหตุเกือบพลาดเป็นหลักฐานให้เรียนรู้แทนเหตุผลที่จะโทษ
12. สร้างความยืดหยุ่นไซเบอร์เข้าในเงื่อนไขการจัดซื้อจัดจ้างและเงินอุดหนุน ไม่ใช่เฉพาะนโยบายภายใน ผู้ให้ทุนและหน่วยงานมอบหมายบริการกำหนดระดับพื้นฐานของแนวปฏิบัติความมั่นคงปลอดภัยจากองค์กรที่พวกเขาให้ทุนหรือทำสัญญาได้ ขยายการเข้าถึงของแนวปฏิบัติที่ดีสู่พันธมิตรส่งมอบขนาดเล็กที่มิฉะนั้นไม่มีแรงกดดันภายนอกให้ลงทุน (ดู หัวข้อ 3.7 — การจัดซื้อจัดจ้างภาครัฐและการมอบหมายบริการ)

คำถามที่ควรหารือกับทีมของท่าน

เรารู้หรือไม่ว่าเราถือข้อมูลและระบบอะไรจริง และอะไรในนั้นจะทำร้ายใครสักคนหากถูกเจาะ? หลายองค์กรค้นพบขอบเขตจริงของข้อมูลที่ถือเฉพาะระหว่างการสอบสวนการละเมิด ซึ่งเป็นเวลาที่แย่ที่สุดที่จะเรียนรู้ ไล่ดูบริการหลักของท่านและถามสำหรับแต่ละอย่างว่ามันแตะข้อมูลส่วนบุคคลหรือข้อมูลอ่อนไหวเชิงปฏิบัติการใด และจะเกิดอะไรกับบุคคลจริงหากข้อมูลนั้นถูกขโมย แก้ไข หรือทำให้ใช้ไม่ได้ หากคำตอบที่ซื่อตรงคือ "เราไม่แน่ใจ" ความไม่แน่นอนนั้นเองคือข้อค้นพบ และการปิดมันคือรายการแรกในวาระของท่าน คำถามนี้สำคัญที่สุดสำหรับองค์กรที่เติบโตโดยการเข้าซื้อ การควบรวม หรือระบบเดิมที่สะสม ที่ความทรงจำเชิงสถาบันของสิ่งที่มีอยู่บางลง

หากเราถูกแรนซัมแวร์โจมตีพรุ่งนี้ เรากู้คืนจากการสำรองได้โดยไม่ต้องจ่ายหรือไม่? คุณค่าของการสำรองไม่ใช่ว่ามันมีอยู่ แต่ว่ามันถูกทดสอบให้กู้คืนได้จริง เร็วพอ จากรุ่นที่ใหม่พอจะมีความหมาย ถามว่าการสำรองถูกทดสอบครั้งล่าสุดด้วยการฝึกกู้คืนจริงเมื่อใด ไม่ใช่เพียงบันทึกความสำเร็จ และการกู้คืนเต็มจะใช้เวลานานเท่าใดเทียบกับที่องค์กรของท่านทนการหยุดทำงานได้นานเท่าใด หากตัวเลขเหล่านั้นไม่ตรงกัน ท่านมีการตัดสินใจเรื่องทรัพยากรที่ต้องทำตอนนี้ ไม่ใช่ระหว่างเหตุการณ์ นี่เป็นช่วงเวลาที่ควรหารือด้วยว่าการสำรองเองถูกแยกจากเครือข่ายที่ผู้โจมตีที่ไปถึงระบบหลักของท่านไปถึงได้ด้วยหรือไม่

ใครมีอำนาจตัดสินใจว่าเราจะจ่ายค่าไถ่หรือไม่ และเราเคยหารือเรื่องนี้ก่อนถูกถามหรือยัง? นี่เป็นหนึ่งในการตัดสินใจเดิมพันสูงสุดที่ทีมบริหารเผชิญ มักต้องการภายในชั่วโมงและด้วยข้อมูลที่ไม่สมบูรณ์ว่าผู้โจมตีมีอะไรจริง การตัดสินใจกระบวนการ ผู้มีอำนาจ และหลักการล่วงหน้า แม้การตัดสินสุดท้ายยังขึ้นกับรายละเอียดของเหตุการณ์ ป้องกันการตัดสินใจด้นสดภายใต้แรงกดดันการกรรโชก หารือว่ากฎหมายของเขตอำนาจของท่านและเงื่อนไขของผู้ให้ทุนระบุอะไรเรื่องการจ่ายค่าไถ่ และท่านต้องแจ้งใคร

พันธมิตรและผู้จัดหารายเล็กที่สุดของเราเป็นความเสี่ยงต่อเรามากกว่าที่เราเป็นต่อตัวเองหรือไม่? องค์กรกลางที่ปลอดภัยดียังอาจถูกเจาะผ่านผู้จัดหา ผู้รับเหมา หรือพันธมิตรส่งมอบที่ปลอดภัยไม่ดีซึ่งมีการเข้าถึงที่ชอบธรรมต่อระบบหรือข้อมูลของมัน ทำแผนที่บุคคลที่สามที่เข้าถึงระบบของท่านหรือถือข้อมูลของท่านได้ และซื่อตรงว่าท่านมีการรับประกันเหนือแนวปฏิบัติความมั่นคงปลอดภัยของพวกเขาจริงเท่าใดเทียบกับที่ท่านสมมติว่ามี ตัดสินใจมาตรฐานขั้นต่ำที่ท่านจะกำหนดจากพวกเขาต่อไป และท่านจะตรวจสอบอย่างไรแทนที่จะเพียงขอการรับประกันเป็นลายลักษณ์อักษร

เราจะรู้หรือไม่ว่าเราถูกเจาะ และเร็วเพียงใด? เหตุการณ์ที่ทำลายมากที่สุดบางอย่างไม่ใช่เหตุการณ์ที่เกิดเร็ว แต่เป็นเหตุการณ์ที่ตรวจไม่พบเป็นเดือน ระหว่างนั้นผู้โจมตีสำรวจ ยกระดับสิทธิ และขโมยข้อมูลอย่างเงียบ ๆ หารือว่าท่านจะตรวจจับกิจกรรมผิดปกติจริงอย่างไรวันนี้ ใครเฝ้าดู และการเฝ้าติดตามนั้นทำงานนอกเวลาทำการหรือไม่ เพราะการโจมตีจำนวนมากถูกเปิดตัวโดยจงใจในเวลากลางคืนหรือสุดสัปดาห์วันหยุดยาวเมื่อการตอบสนองช้าที่สุด หากการตรวจจับขึ้นกับพลเมืองหรือองค์กรพันธมิตรที่บอกท่านว่ามีสิ่งผิดทั้งหมด นั่นเป็นช่องว่างวิกฤต

คณะกรรมการหรือหน่วยกำกับดูแลของเราเข้าใจความเสี่ยงนี้ดีพอที่จะกำกับมัน หรือเราจ้างเหมาภายนอกวิจารณญาณนั้นให้ทีมเทคโนโลยีสารสนเทศอย่างเงียบ ๆ? การตัดสินใจเรื่องความเสี่ยงไซเบอร์เกี่ยวข้องกับการแลกเปลี่ยนจริงระหว่างต้นทุน ความต่อเนื่องของบริการ และการคุ้มครองพลเมืองที่เป็นธุรกิจของหน่วยกำกับดูแลโดยชอบ ไม่ใช่เรื่องทางเทคนิคที่มอบหมายที่จะพยักหน้าผ่าน หารือว่าความเสี่ยงไซเบอร์ปัจจุบันถูกรายงานต่อคณะกรรมการหรือสภาของท่านอย่างไร ด้วยภาษาที่ผู้ไม่เชี่ยวชาญลงมือตามได้จริงหรือไม่ และงบประมาณสำหรับมันถูกตัดสินด้วยความเข้มงวดเท่ากับความเสี่ยงสำคัญอื่นใดหรือไม่ หากหน่วยกำกับดูแลของท่านอธิบายสามความเสี่ยงไซเบอร์สูงสุดขององค์กรด้วยถ้อยคำของตนเองไม่ได้ในปัจจุบัน นั่นคือช่องว่างที่ต้องปิดก่อน

ในทางปฏิบัติ: ตัวอย่างคุณค่าสาธารณะ

หน่วยงานขนส่งสาธารณะระดับภูมิภาคขนาดกลาง สมมติ ยกตัวอย่างรูปแบบมากกว่ารายงานองค์กรจริงใด ดำเนินระบบกำหนดตารางและการชำระเงินที่ล้าสมัยซึ่งถูกปะเป็นชิ้น ๆ มาทศวรรษแทนการทำให้ทันสมัย ทีมเทคโนโลยีสารสนเทศมีสามคน รับผิดชอบทุกอย่างตั้งแต่ตั๋วช่วยเหลือจนถึงความมั่นคงปลอดภัยเครือข่าย และความมั่นคงปลอดภัยไซเบอร์ไม่เคยมีบรรทัดของตนเองในงบประมาณ มันอยู่ภายในการจัดสรร "การบำรุงรักษาระบบ" ทั่วไปที่ไม่เติบโตในแง่จริงมาหลายปี

ผู้โจมตีเข้าผ่านอีเมลฟิชชิงที่ส่งถึงเจ้าหน้าที่การเงิน ใช้ใบแจ้งหนี้ปลอมจากผู้จัดหาที่หน่วยงานใช้จริง เมื่ออยู่ข้างใน ผู้โจมตีใช้เวลาหกสัปดาห์เคลื่อนผ่านเครือข่ายอย่างเงียบ ๆ ก่อนปรับใช้แรนซัมแวร์ที่เข้ารหัสระบบกำหนดตาราง แพลตฟอร์มชำระค่าโดยสาร และการสำรองของหน่วยงาน ที่ไม่เคยถูกแยกจากเครือข่ายหลัก รถโดยสารยังวิ่งด้วยความจำของคนขับเรื่องเส้นทางของตนในวันแรก แต่เก็บค่าโดยสารอิเล็กทรอนิกส์ไม่ได้ จอข้อมูลเรียลไทม์มืด และระบบการเงินของหน่วยงานใช้ไม่ได้สำหรับเงินเดือน

ทีมบริหารเผชิญการตัดสินใจเรื่องค่าไถ่โดยไม่มีนโยบายตกลงล่วงหน้า ไม่มีใครตัดสินใจล่วงหน้าว่าใครมีอำนาจอนุมัติการจ่าย ตำแหน่งทางกฎหมายคืออะไร หรือจะบอกผู้โดยสารว่าอะไร การกู้คืนจากการสำรองไม่ใช่ทางเลือก เพราะการสำรองถูกเข้ารหัสพร้อมทุกอย่างอื่น หลังเก้าวันของการหยุดชะงัก การฟื้นฟูบริการบางส่วน และการจ่ายที่คณะกรรมการของหน่วยงานภายหลังอธิบายว่าเป็นทางเลือกที่แย่น้อยที่สุดที่มีในขณะนั้น หน่วยงานมอบหมายการทบทวนอิสระ

ข้อค้นพบของการทบทวนไม่หวือหวาและสอดคล้องทั้งหมดกับรูปแบบที่หัวข้อนี้อธิบาย ไม่มีการยืนยันตัวตนหลายปัจจัยบนระบบการเงิน ไม่มีการแบ่งส่วนเครือข่ายระหว่างระบบสำนักงานและโครงสร้างพื้นฐานการชำระเงิน ไม่มีการทดสอบกู้คืนการสำรองในรอบสองปี และไม่มีทัศนวิสัยระดับคณะกรรมการเรื่องความเสี่ยงไซเบอร์เลยก่อนเหตุการณ์ การตอบสนองของหน่วยงานไม่หวือหวาเท่ากัน แผนเป็นระยะแก้พื้นฐาน ข้อตกลงการเฝ้าติดตามความมั่นคงปลอดภัยร่วมกับหน่วยงานขนส่งข้างเคียงสองแห่งเพื่อแบ่งต้นทุนของการครอบคลุมเฉพาะทางที่ไม่มีแห่งใดจ่ายได้ลำพัง และวาระถาวรของคณะกรรมการเรื่องความเสี่ยงไซเบอร์ ไม่มีอย่างใดแพงตามมาตรฐานของโครงการเทคโนโลยีสารสนเทศใหญ่ ทั้งหมดถูกข้ามหลายปีเพราะไม่เคยเป็นงานที่มอบหมายชัดเจนของใครที่จะยืนยัน

มุมมองสี่ภาคส่วน

รัฐบาลท้องถิ่น

หน่วยงานท้องถิ่นอยู่ที่จุดตัดที่ไม่สบายใจ พวกเขาถือข้อมูลอ่อนไหวสูง บันทึกการดูแลสังคม ข้อมูลที่อยู่อาศัยและสิทธิประโยชน์ ทะเบียนเลือกตั้ง และดำเนินบริการที่พลเมืองอยู่โดยไม่มีไม่ได้ง่าย ๆ แต่โดยทั่วไปมีงบประมาณความมั่นคงปลอดภัยที่เล็กที่สุดและบุคลากรเฉพาะทางน้อยที่สุดของรัฐบาลระดับใด กระทรวงระดับชาติขนาดใหญ่สร้างศูนย์ปฏิบัติการความมั่นคงปลอดภัยภายในได้ สภาตำบลเล็กมักทำไม่ได้ ซึ่งทำให้บริการร่วม การรวมระดับภูมิภาค และโครงการสนับสนุนระดับชาติเป็นเส้นทางเชิงปฏิบัติสู่การคุ้มครองที่เพียงพอแทนส่วนเสริมทางเลือก เจ้าหน้าที่ท้องถิ่นที่ได้รับเลือกยังมักเตรียมพร้อมน้อยที่สุด ของรัฐบาลระดับใด ที่จะซักถามการบรรยายสรุปความเสี่ยงทางเทคนิค ซึ่งทำให้การรายงานด้วยภาษาธรรมดาต่อสมาชิกที่ได้รับเลือกเป็นความท้าทายด้านธรรมาภิบาลที่แตกต่างในระดับนี้

รัฐบาลระดับชาติ

รัฐบาลระดับชาติโดยทั่วไปมีทรัพยากรที่จะสร้างหน่วยงานความมั่นคงปลอดภัยไซเบอร์เฉพาะและกรอบระดับชาติ หน่วยงาน เช่น ศูนย์ความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (National Cyber Security Center) ของสหราชอาณาจักร หรือCybersecurity and Infrastructure Security Agency ของสหรัฐ มีอยู่เพื่อกำหนดมาตรฐาน ประสานการตอบสนอง และสนับสนุนหน่วยงานสาธารณะที่มีทรัพยากรน้อยกว่าภายในเขตอำนาจ ความท้าทายที่โดดเด่นระดับชาติน้อยกว่าเกี่ยวกับสุขอนามัยพื้นฐานและมากกว่าเกี่ยวกับผู้คุกคามที่รัฐสนับสนุนและมีความสามารถสูง การพึ่งพากันของโครงสร้างพื้นฐานสำคัญระดับชาติข้ามภาคส่วนและผู้ดำเนินการเอกชน และมิติทางการทูตและกฎหมายของการระบุแหล่งที่มาและการตอบสนอง ซึ่งแทบไม่ปรากฏในระดับท้องถิ่นหรือองค์กร

ภาคสังคมและองค์กรไม่แสวงหากำไร

องค์กรไม่แสวงหากำไรและ NGO มักถือข้อมูลที่อ่อนไหวที่สุดของภาคส่วนใด บันทึกสุขภาพ บันทึกผู้รอดชีวิตจากความรุนแรงหรือการประหัตประหาร งานกรณีผู้ลี้ภัยและขอลี้ภัย ขณะดำเนินงานด้วยงบประมาณความมั่นคงปลอดภัยที่บางที่สุดของประเภทองค์กรใดในหนังสือเล่มนี้ เพราะผู้ให้ทุนแทบไม่กันเงินสำหรับความมั่นคงปลอดภัยและเงื่อนไขเงินอุดหนุนแทบไม่กำหนด องค์กรภาคสังคมจำนวนมากยังพึ่งอาสาสมัครและการหมุนเวียนบุคลากรสูง ซึ่งทำให้การฝึกอบรมความมั่นคงปลอดภัยและการควบคุมการเข้าถึงที่สม่ำเสมอค้ำจุนยากกว่าในองค์กรที่มั่นคงและมีบุคลากรมืออาชีพ เหตุการณ์ความมั่นคงปลอดภัยอาจเป็นภัยต่อการดำรงอยู่ขององค์กรการกุศลขนาดเล็กในแบบที่แทบไม่เป็นสำหรับกรมรัฐบาล เพราะความเสียหายต่อชื่อเสียงและการสูญเสียความไว้วางใจของผู้บริจาคจบองค์กรได้ทีเดียว (ดู หัวข้อ 3.8 — การบริหารภาคสังคมและองค์กรไม่แสวงหากำไร)

ระดับพหุภาคีและระหว่างประเทศ

องค์กรพหุภาคีและระหว่างประเทศดำเนินงานข้ามเขตอำนาจที่มีกฎหมายการเปิดเผยต่างกัน นิยามโครงสร้างพื้นฐานสำคัญต่างกัน และระดับขีดความสามารถไซเบอร์ระดับชาติต่างกัน ซึ่งทำให้การประสานงานเองเป็นปัญหาที่แตกต่าง ระบบของหน่วยงานระหว่างประเทศเองอาจได้รับการคุ้มครองดีขณะที่หน่วยงานสมาชิกระดับชาติของมันแตกต่างกันมาก และหน่วยงาน เช่น องค์การเพื่อความร่วมมือและการพัฒนาทางเศรษฐกิจหรือสำนักงานความมั่นคงปลอดภัยไซเบอร์แห่งสหภาพยุโรป เล่นบทบาทการกำหนดมาตรฐานและการสร้างขีดความสามารถเท่ากับปฏิบัติการ เลนส์พหุภาคียังเป็นที่ที่การตอบสนองเหตุการณ์ข้ามพรมแดนและข้อตกลงแบ่งปันข้อมูลสำคัญที่สุด เพราะการโจมตีที่เริ่มในโครงสร้างพื้นฐานของประเทศหนึ่งตกทอดสู่ของอีกประเทศภายในชั่วโมง เร็วกว่าที่กลไกประสานงานระหว่างประเทศส่วนใหญ่สร้างมาให้เคลื่อน

รูปแบบความล้มเหลวที่พบบ่อย

ละครความมั่นคงปลอดภัยโดยไม่มีสาระเชิงปฏิบัติการ องค์กรรับเอกสารนโยบายที่ดูน่าประทับใจ ใบรับรองการปฏิบัติตามข้อกำหนด หรือเครื่องมือแพงชิ้นเดียว และถือกล่องว่าติ๊กแล้ว ขณะที่สุขอนามัยพื้นฐาน การปะ การยืนยันตัวตนหลายปัจจัย การสำรองที่ทดสอบ ยังไม่สม่ำเสมอ สิ่งนี้เสียเงินจริงเพื่อภาพของความมั่นคงปลอดภัยแทนความมั่นคงปลอดภัยเอง และมักค้นพบว่าเป็นละครเฉพาะหลังเหตุการณ์เผยช่องว่างระหว่างนโยบายและการปฏิบัติ

ความเสี่ยงที่ไม่มีเจ้าของ ความมั่นคงปลอดภัยไซเบอร์ถูกสมมติว่าเป็นงานของคนอื่น ทีมเทคโนโลยีสารสนเทศ ผู้ขาย ผู้กำกับดูแล และไม่มีเจ้าของที่รับผิดชอบรายเดียวระดับหน่วยกำกับดูแล สิ่งนี้ผลิตความเสี่ยงที่ถูกหารือทุกที่และตัดสินไม่มีที่ไหน และเป็นรูปแบบที่ทำให้องค์กรตอบคำถามพื้นฐานเรื่องการเผชิญของตนเองไม่ได้เมื่อถูกถามพอดี

การลงทุนต่ำที่ให้เหตุผลด้วยการไม่มีเหตุการณ์ก่อนหน้า เพราะโครงการความมั่นคงปลอดภัยที่ดำเนินดีไม่ผลิตเหตุการณ์ที่มองเห็นได้เมื่อสำเร็จ มันถูกตัดงบได้ง่ายในรอบงบประมาณตึงเพื่อสิ่งที่มีผลผลิตที่มองเห็นได้ และการไม่มีการละเมิดจนบัดนี้ถูกเข้าใจผิดว่าเป็นหลักฐานของการคุ้มครองที่เพียงพอแทนหลักฐานที่ยังไม่ถูกทดสอบ สิ่งนี้สะท้อนตรรกะงบประมาณเดียวกันที่บ่อนทำลายการลงทุนด้านความยืดหยุ่นฟื้นตัวโดยกว้างกว่า (ดู หัวข้อ 3.12 — การจัดการวิกฤต เหตุฉุกเฉิน และความยืดหยุ่นฟื้นตัว)

ระบบเดิมที่ใช้ต่อเกินอายุที่รองรับได้ หน่วยงานสาธารณะใช้ซอฟต์แวร์หรือฮาร์ดแวร์บ่อยครั้งนานหลังผู้ขายหยุดออกแพตช์ความมั่นคงปลอดภัยให้ เพราะการแทนที่แพง รบกวน หรือไม่เป็นที่นิยมทางการเมือง และระบบ "ยังทำงาน" ระบบที่ไม่ได้ปะและไม่ได้รับการสนับสนุนไม่ใช่ความไม่สะดวกของระบบเดิม แต่เป็นประตูเปิดที่ผู้โจมตีเดินผ่านโดยไม่มีต้นทุน

วัฒนธรรมเหตุการณ์ที่โทษก่อน เมื่อบุคลากรที่รายงานการละเมิดที่สงสัยหรือความผิดพลาดถูกลงโทษแทนการสนับสนุน เหตุการณ์ในอนาคตถูกรายงานช้า ลดความสำคัญ หรือไม่รายงานเลย และองค์กรสูญเสียสัญญาณเตือนล่วงหน้าที่การรายงานทันเวลาให้ ความล้มเหลวนี้ทบต้นทุกอย่างอื่นในรายการนี้ เพราะไม่มีการแก้ไขข้างต้นข้อใดทำงานหากองค์กรเห็นปัญหาของตนเองอย่างซื่อตรงไม่ได้

แบบจำลองวุฒิภาวะ

รายการตรวจสอบ

• บุคคลหรือคณะกรรมการที่ระบุชื่อระดับหน่วยกำกับดูแลเป็นเจ้าของความเสี่ยงไซเบอร์และรายงานเป็นประจำด้วยภาษาธรรมดา
• มีบัญชีรายการปัจจุบันของข้อมูลและระบบที่องค์กรถือ และอันใดอ่อนไหวที่สุดหรือสำคัญที่สุดต่อบริการ
• บังคับใช้การยืนยันตัวตนหลายปัจจัยบนทุกระบบที่ถือข้อมูลอ่อนไหวหรือควบคุมบริการสำคัญ
• การสำรองถูกทำเป็นประจำ เก็บแยกจากเครือข่ายหลัก และทดสอบการกู้คืนภายในสิบสองเดือนที่ผ่านมา
• ซอฟต์แวร์และระบบถูกปะตามกำหนดที่กำหนด และระบบใดที่ปะไม่ได้อีกต่อไปมีแผนที่บันทึกไว้เพื่อแทนที่หรือแยก
• มีแผนตอบสนองต่อเหตุการณ์เป็นลายลักษณ์อักษร ระบุว่าใครมีอำนาจตัดสินใจสำคัญ และถูกซ้อมผ่านแบบฝึกหัดที่สมจริงในปีที่ผ่านมา
• มีนโยบายที่คณะกรรมการอนุมัติเรื่องการจ่ายค่าไถ่และวิธีและเวลาที่ผู้ได้รับผลกระทบ ผู้กำกับดูแล และสาธารณชนจะถูกแจ้ง
• สัญญากับผู้ขายซอฟต์แวร์และผู้ให้บริการที่บริหารจัดการรวมการรับประกันความมั่นคงปลอดภัยและภาระผูกพันการแจ้งเหตุการณ์
• บุคลากรได้รับการฝึกอบรมความมั่นคงปลอดภัยที่สมจริงเป็นประจำ รวมแบบฝึกหัดฟิชชิงจำลอง
• การรายงานเหตุการณ์ที่สงสัยหรือเหตุเกือบพลาดถูกถือเป็นข้อมูลที่มีค่า ไม่ใช่เหตุผลสำหรับการโทษ
• สำรวจข้อตกลงความมั่นคงปลอดภัยร่วมหรือรวมกับองค์กรเพื่อนที่ขนาดและงบประมาณคล้ายกัน
• ความเสี่ยงไซเบอร์ปรากฏอย่างชัดแจ้งในการวางแผนวิกฤตและความยืดหยุ่นฟื้นตัวที่กว้างกว่าขององค์กร ไม่ใช่เป็นแผนแยกที่ไม่เชื่อมต่อ

แหล่งข้อมูลสำคัญ

หัวข้อนี้ดึงจาก Cybersecurity Framework ของสถาบันมาตรฐานและเทคโนโลยีแห่งชาติ (NIST) ในฐานะกรอบที่มีโครงสร้างชั้นนำสำหรับการจัดระเบียบแนวปฏิบัติความมั่นคงปลอดภัยไซเบอร์ พันธกิจที่เผยแพร่และแนวทางของสำนักงานความมั่นคงปลอดภัยไซเบอร์แห่งสหภาพยุโรปเรื่องการบรรลุระดับความมั่นคงปลอดภัยไซเบอร์ร่วมทั่วสหภาพยุโรป งานนโยบายความมั่นคงปลอดภัยดิจิทัลขององค์การเพื่อความร่วมมือและการพัฒนาทางเศรษฐกิจ ซึ่งวางกรอบความมั่นคงปลอดภัยดิจิทัลเป็นประเด็นการจัดการความเสี่ยงทางเศรษฐกิจและสังคมแทนประเด็นทางเทคนิคล้วน และแนวทางปฏิบัติการที่เผยแพร่โดยหน่วยงานความมั่นคงปลอดภัยไซเบอร์ระดับชาติ เช่น ศูนย์ความมั่นคงปลอดภัยไซเบอร์แห่งชาติของสหราชอาณาจักรและ Cybersecurity and Infrastructure Security Agency ของสหรัฐ ซึ่งทั้งสองให้แนวทางฟรีที่มุ่งหน่วยงานสาธารณะที่ขาดทรัพยากรโดยเฉพาะ

เอกสารอ้างอิง

1. Computer security — Wikipedia — https://en.wikipedia.org/wiki/Computer_security
2. Critical infrastructure — Wikipedia — https://en.wikipedia.org/wiki/Critical_infrastructure
3. Ransomware — Wikipedia — https://en.wikipedia.org/wiki/Ransomware
4. Phishing — Wikipedia — https://en.wikipedia.org/wiki/Phishing
5. Data breach — Wikipedia — https://en.wikipedia.org/wiki/Data_breach
6. Supply chain attack — Wikipedia — https://en.wikipedia.org/wiki/Supply_chain_attack
7. Zero trust architecture — Wikipedia — https://en.wikipedia.org/wiki/Zero_trust_architecture
8. Computer security incident management — Wikipedia — https://en.wikipedia.org/wiki/Computer_security_incident_management
9. National Cyber Security Center (United Kingdom) — Wikipedia — https://en.wikipedia.org/wiki/National_Cyber_Security_Centre_(United_Kingdom)
10. Cybersecurity and Infrastructure Security Agency — Wikipedia — https://en.wikipedia.org/wiki/Cybersecurity_and_Infrastructure_Security_Agency
11. Cybersecurity Framework — National Institute of Standards and Technology — https://www.nist.gov/cyberframework
12. Who we are — European Union Agency for Cybersecurity (ENISA) — https://www.enisa.europa.eu/about-enisa/who-we-are
13. Digital security — Organisation for Economic Co-operation and Development (OECD) — https://www.oecd.org/en/topics/digital-security.html
14. What we do at the NCSC — National Cyber Security Center (United Kingdom) — https://www.ncsc.gov.uk/section/about-ncsc/what-we-do
15. About CISA — Cybersecurity and Infrastructure Security Agency (United States) — https://www.cisa.gov/about