ความมั่นคงทางไซเบอร์ในภาคส่วนที่สำคัญ: ความท้าทาย ภัยคุกคาม และการป้องกัน

อินฟอร์เมเทค ดิจิตอล » Recursos » ความมั่นคงทางไซเบอร์ในภาคส่วนที่สำคัญ: ความท้าทาย ภัยคุกคาม และการป้องกัน

ความมั่นคงปลอดภัยทางไซเบอร์ในภาคส่วนที่สำคัญได้กลายเป็นข้อกังวลหลักสำหรับรัฐบาลและภาคธุรกิจ ไม่ใช่แค่ปัญหาทางเทคนิคเท่านั้น การปกป้องโครงสร้างพื้นฐานเหล่านี้มีความสำคัญอย่างยิ่งต่อไฟฟ้าในบ้านของเรา น้ำประปา เงินที่เราใช้ในชีวิตประจำวัน และการดูแลสุขภาพที่เราได้รับ เมื่อระบบเหล่านี้ล้มเหลวเนื่องจากการโจมตีทางไซเบอร์ ปัญหาจะไม่ใช่แค่ปัญหาทางคอมพิวเตอร์อีกต่อไป แต่จะกลายเป็นปัญหาทางสังคม เศรษฐกิจ และแม้กระทั่งภูมิรัฐศาสตร์

ในสเปน มีสิ่งอำนวยความสะดวกหลายพันแห่งที่ถือเป็นโครงสร้างพื้นฐานที่สำคัญซึ่งหากหยุดชะงักอาจก่อให้เกิดความเสียหายร้ายแรงต่อประเทศได้ ในขณะเดียวกัน จำนวนและความซับซ้อนของการโจมตีก็เพิ่มขึ้นอย่างต่อเนื่อง โดยมีกลุ่มอาชญากร ผู้กระทำการโดยรัฐ และการโจมตีแบบผสมผสานที่รวมองค์ประกอบดิจิทัลและทางกายภาพเข้าด้วยกัน เป็นผู้ขับเคลื่อน ในบริบทนี้ การเสริมสร้างความมั่นคงปลอดภัยทางไซเบอร์ของภาคส่วนเหล่านี้จึงไม่ใช่เรื่องที่เลือกได้อีกต่อไป แต่เป็นเรื่องสำคัญเชิงกลยุทธ์

เมื่อพูดถึงโครงสร้างพื้นฐานที่สำคัญและภาคส่วนเชิงกลยุทธ์ เราหมายถึงอะไร?

โครงสร้างพื้นฐานที่สำคัญประกอบด้วยสิ่งอำนวยความสะดวก เครือข่าย ระบบ บริการ และอุปกรณ์ทั้งหมด ไม่ว่าจะเป็นทางกายภาพหรือเสมือนจริง ซึ่งหากเกิดความเสียหายจะส่งผลกระทบโดยตรงต่อการทำงานขั้นพื้นฐานของรัฐและชีวิตประจำวันของประชาชน ซึ่งรวมถึงพลังงาน น้ำ การขนส่ง การดูแลสุขภาพ การเงิน อาหาร โทรคมนาคม และบริการสาธารณะที่จำเป็น การระบุและจำแนกประเภทของจุดอ่อนเป็นกุญแจสำคัญในการจัดลำดับความสำคัญของมาตรการและทรัพยากรในด้านเหล่านี้

กฎหมายของสเปน โดยเฉพาะอย่างยิ่งกฎหมายฉบับที่ 8/2011 ว่าด้วยการคุ้มครองโครงสร้างพื้นฐานที่สำคัญ ได้แยกแยะความแตกต่างระหว่างสองแนวคิดหลัก ได้แก่ โครงสร้างพื้นฐานเชิงกลยุทธ์ และโครงสร้างพื้นฐานที่สำคัญ โครงสร้างพื้นฐานที่สำคัญทั้งหมดถือเป็นโครงสร้างพื้นฐานเชิงกลยุทธ์ แต่โครงสร้างพื้นฐานเชิงกลยุทธ์ไม่จำเป็นต้องกลายเป็นโครงสร้างพื้นฐานที่สำคัญเสมอไป

โครงสร้างพื้นฐานเชิงกลยุทธ์ครอบคลุมสิ่งอำนวยความสะดวกและเครือข่ายที่หลากหลายซึ่งสนับสนุนบริการที่จำเป็น แต่ในบางกรณีอาจสามารถทดแทนหรือชดเชยได้ด้วยทางเลือกอื่น ในทางตรงกันข้าม โครงสร้างพื้นฐานจะถือว่ามีความสำคัญอย่างยิ่งเมื่อการดำเนินงานมีความจำเป็นอย่างขาดไม่ได้ และไม่มีทางเลือกอื่นที่เหมาะสมภายในกรอบเวลาที่เหมาะสม

ดังนั้น โครงสร้างพื้นฐานที่สำคัญจึงเป็นส่วนย่อยที่อ่อนไหวเป็นพิเศษของโครงสร้างพื้นฐานเชิงกลยุทธ์ การหยุดชะงักของโครงสร้างพื้นฐานที่สำคัญนี้จะส่งผลกระทบอย่างร้ายแรงต่อบริการที่จำเป็นอย่างน้อยหนึ่งอย่าง ซึ่งอาจกระทบต่อความมั่นคง เศรษฐกิจ หรือสวัสดิการสังคม

กฎหมายฉบับที่ 8/2011 และระเบียบปฏิบัติที่เกี่ยวข้องระบุว่าภาคส่วนต่อไปนี้มีความเปราะบางเป็นพิเศษได้แก่ การบริหารราชการแผ่นดิน อวกาศ อุตสาหกรรมนิวเคลียร์และเคมี วงจรน้ำ พลังงาน สุขภาพ เทคโนโลยีสารสนเทศและการสื่อสาร การขนส่ง อาหาร และระบบการเงินและภาษี เป็นต้น ภาคส่วนเหล่านี้ล้วนพึ่งพาระบบดิจิทัลที่เชื่อมโยงกันมากขึ้นเรื่อยๆ

ความปลอดภัยทางไซเบอร์ในโครงสร้างพื้นฐานที่สำคัญ: แนวคิดและขอบเขต

การรักษาความปลอดภัยทางไซเบอร์ที่ใช้กับโครงสร้างพื้นฐานที่สำคัญนั้นครอบคลุมถึงชุดนโยบาย เทคโนโลยี กระบวนการ และมาตรการขององค์กรที่มุ่งปกป้องสิ่งอำนวยความสะดวกเหล่านี้จากภัยคุกคามทางดิจิทัล รวมถึงความปลอดภัยบนคลาวด์วัตถุประสงค์หลักคือการรับประกันความพร้อมใช้งาน ความสมบูรณ์ และความลับของระบบและข้อมูลที่สนับสนุนบริการที่จำเป็น

ซึ่งเกี่ยวข้องกับการปกป้องทั้งระบบสารสนเทศขององค์กร (IT) และสภาพแวดล้อมการปฏิบัติงาน (OT) ซึ่ง เป็นที่ตั้ง ของระบบควบคุมอุตสาหกรรม (ICS), SCADA, PLCและอุปกรณ์อื่นๆ ที่โต้ตอบโดยตรงกับกระบวนการทางกายภาพ เช่น การควบคุมโครงข่ายไฟฟ้า โรงบำบัดน้ำเสีย ท่อส่งน้ำมัน โรงกลั่น หรือระบบรถไฟ

คุณลักษณะสำคัญของความปลอดภัยทางไซเบอร์ในภาคส่วนที่สำคัญคือการผสานรวมของระบบไอทีและระบบโอทีเป็นเวลานานที่ทั้งสองระบบแยกจากกัน: ระบบธุรกิจและระบบประมวลผลข้อมูลทำงานอยู่ด้านหนึ่ง และระบบควบคุมอุตสาหกรรมทำงานอยู่อีกด้านหนึ่ง โดยมักไม่มีการเชื่อมต่ออินเทอร์เน็ตโดยตรง การเปลี่ยนแปลงสู่ระบบดิจิทัล อินเทอร์เน็ตของสรรพสิ่งในภาคอุตสาหกรรม และความต้องการการตรวจสอบแบบเรียลไทม์ได้ทำลายกำแพงเหล่านี้ลงแล้ว

การหลอมรวมกันนี้ทำให้เกิดประสิทธิภาพ ความโปร่งใส และความสามารถในการจัดการแบบรวมศูนย์ แต่ก็เปิดช่องโหว่ด้านความปลอดภัยใหม่ๆ ด้วย เช่นกัน อุปกรณ์ OT และ IoT จำนวนมากไม่ได้ถูกออกแบบมาโดยคำนึงถึงเกณฑ์ด้านความปลอดภัยที่แข็งแกร่ง การแก้ไขช่องโหว่มีความซับซ้อน และวงจรชีวิตยาวนาน ผลที่ได้คือระบบนิเวศที่เชื่อมโยงถึงกัน ซึ่งการละเมิดระบบไอทีอาจส่งผลกระทบต่อระบบอุตสาหกรรมที่เคยแยกตัวออกจากกันมาก่อน

ในบริบทนี้ กลยุทธ์ด้านการป้องกันมุ่งเป้าไปที่การป้องกันการหยุดชะงักของบริการ การก่อวินาศกรรม การจารกรรม การบิดเบือนกระบวนการ และการขโมยหรือการยึดข้อมูล ในขณะเดียวกันก็รักษาความต่อเนื่องในการดำเนินงานและการปฏิบัติตามข้อกำหนดด้านกฎระเบียบและบรรทัดฐานเฉพาะภาคส่วน

บริการที่จำเป็นและความเปราะบางทางดิจิทัลที่เพิ่มมากขึ้น

บริการที่จำเป็นในยุคปัจจุบันเกือบทั้งหมดพึ่งพาระบบดิจิทัล ไม่ว่าจะเป็นโรงไฟฟ้าอัตโนมัติ เครือข่ายการกระจายไฟฟ้าอัจฉริยะ โรงบำบัดน้ำเสีย สนามบิน ท่าเรือ เครือข่ายรถไฟใต้ดิน โรงพยาบาลที่เชื่อมต่อกันอย่างมาก ตู้เอทีเอ็ม แพลตฟอร์มธนาคารออนไลน์ และระบบภาษีอิเล็กทรอนิกส์

การพึ่งพาเทคโนโลยีนี้ส่งผลโดยตรง: การโจมตีทางไซเบอร์ที่ร้ายแรงใด ๆ จะกลายเป็นปัญหาที่จับต้องได้สำหรับประชาชนอย่างรวดเร็วมันไม่ใช่เพียงเหตุการณ์ภายในคอมพิวเตอร์เท่านั้น แต่มันอาจทำให้หลายพื้นที่ไม่มีไฟฟ้าใช้ ทำให้เส้นทางรถไฟเป็นอัมพาต ขัดขวางการผ่าตัด หรือทำให้ผู้คนหลายล้านคนไม่สามารถเข้าถึงเงินของตนได้

ตัวอย่างล่าสุดแสดงให้เห็นถึงความเปราะบางของเราอย่างชัดเจน การโจมตีด้วยมัลแวร์เรียกค่าไถ่ต่อระบบสาธารณสุขของไอร์แลนด์ในปี 2021บังคับให้ระบบคลินิกต้องปิดตัวลง และยกเลิกการนัดหมายและการรักษาเป็นเวลาหลายชั่วโมง ส่งผลให้เกิดความวุ่นวายในการดำเนินงานและเป็นอันตรายต่อความปลอดภัยของผู้ป่วย สถานการณ์ที่คล้ายกันนี้เคยเกิดขึ้นในประเทศอื่นๆ ส่งผลกระทบต่อโรงพยาบาล ห่วงโซ่อุปทาน และเครือข่ายเชื้อเพลิง เหตุการณ์เหล่านี้จำเป็นต้องมีการวิเคราะห์ทางนิติวิทยาศาสตร์ดิจิทัล เฉพาะทาง เพื่อทำความเข้าใจขอบเขตและฟื้นฟูการดำเนินงาน

ในสเปน ข้อมูลสะท้อนให้เห็นถึงการเพิ่มขึ้นอย่างมีนัยสำคัญของเหตุการณ์ที่ส่งผลกระทบต่อองค์กรในภาคส่วนเชิงกลยุทธ์ ในเวลาเพียงหนึ่งปี สัดส่วนของหน่วยงานที่ประสบปัญหาการเข้าถึงระบบโดยไม่ได้รับอนุญาตเพิ่มขึ้นมากกว่ายี่สิบเปอร์เซ็นต์ ซึ่งแสดงให้เห็นถึงการเร่งตัวของความเสี่ยงทางดิจิทัลและความจำเป็นในการปรับปรุงที่สำคัญและการเสริมสร้างความแข็งแกร่งอย่างต่อเนื่อง

ทั้งหมดนี้อธิบายได้ว่าทำไมการปกป้องโครงสร้างพื้นฐานที่สำคัญจึงกลายเป็นสิ่งสำคัญลำดับต้นๆ ทั้งในด้านความมั่นคงของชาติและภาคธุรกิจและทำไมจึงมีการส่งเสริมกรอบกฎระเบียบของยุโรปและระดับชาติโดยเฉพาะเพื่อเสริมสร้างความยืดหยุ่นของโครงสร้างพื้นฐานดังกล่าว

ภัยคุกคามทางไซเบอร์หลักในภาคส่วนและโครงสร้างพื้นฐานที่สำคัญ

ภัยคุกคามต่อโครงสร้างพื้นฐานที่สำคัญมีความซับซ้อนมากขึ้นเรื่อยๆ มันประกอบไปด้วยการโจรกรรมทางไซเบอร์เพื่อผลประโยชน์ทางการเงินการจารกรรมทางไซเบอร์และการก่อวินาศกรรมที่ได้รับการสนับสนุนจากรัฐ การโจมตีโดยกลุ่มแฮ็กเกอร์เพื่อการเคลื่อนไหวทางการเมือง และความผิดพลาดของมนุษย์หรือการละเมิดความไว้วางใจโดยบุคคลที่มีสิทธิ์เข้าถึงอย่างถูกต้อง

ภัยคุกคามประเภทหนึ่งที่เกี่ยวข้องอย่างยิ่งคือภัยคุกคามขั้นสูงแบบต่อเนื่อง (Advanced Persistent Threats หรือ APTs)เหล่านี้เป็นการปฏิบัติการที่ยืดเยื้อ มีเป้าหมายเฉพาะเจาะจง และมีการวางแผนอย่างเป็นระบบ มักเกี่ยวข้องกับหน่วยงานข่าวกรองหรือกลุ่มที่ได้รับการสนับสนุนจากรัฐ โดยทั่วไปแล้วจะเกิดขึ้นเป็นหลายขั้นตอน ได้แก่ การเข้าสู่เครือข่ายผ่านช่องโหว่หรือการหลอกลวงแบบฟิชชิ่งที่ซับซ้อน การเคลื่อนที่ไปยังเครือข่ายภายในและการยกระดับสิทธิ์ และสุดท้ายคือการขโมยข้อมูลสำคัญหรือการเตรียมการเพื่อก่อวินาศกรรม

การวิเคราะห์ต่างๆ ชี้ให้เห็นว่า การโจมตีโครงสร้างพื้นฐานที่สำคัญส่วนใหญ่มีแรงจูงใจทางการเงินไม่ว่าจะเป็นการกรรโชกทรัพย์ การขโมยทรัพย์สินทางปัญญา หรือการฉ้อโกง กลุ่มที่เคลื่อนไหวมากที่สุด ได้แก่ APT28 (Fancy Bear) ซึ่งมักเชื่อมโยงกับผลประโยชน์ของรัสเซีย; Mustang Panda ซึ่งเกี่ยวข้องกับปฏิบัติการที่มาจากจีนในยุโรปและภูมิภาคอื่นๆ; และ APT34 (OILRIG) ซึ่งมุ่งเน้นไปที่ภาคพลังงานในตะวันออกกลาง

ในขณะเดียวกันมัลแวร์เรียกค่าไถ่ได้กลายเป็นหนึ่งในภัยคุกคามที่ร้ายแรงที่สุดต่อภาคส่วนที่สำคัญ ในการโจมตีเหล่านี้ ระบบจะถูกเข้ารหัสหรือล็อกไว้จนกว่าจะมีการจ่ายค่าไถ่ ซึ่งมักมาพร้อมกับภัยคุกคามของการรั่วไหลของข้อมูลสำคัญ การโจมตีท่อส่งน้ำมัน Colonial Pipeline ในปี 2021 ซึ่งทำให้เกิดการหยุดชะงักของการจัดส่งเชื้อเพลิงในบางส่วนของสหรัฐอเมริกา เป็นตัวอย่างสำคัญว่าการโจมตีทางไซเบอร์สามารถนำไปสู่การต่อแถวยาวที่ปั๊มน้ำมันและปัญหาด้านการจัดหาได้อย่างไร

การก่อวินาศกรรมและการจารกรรมที่มีแรงจูงใจทางภูมิรัฐศาสตร์ก็เพิ่มขึ้นเช่นกัน ผู้ประกอบการด้านพลังงาน การขนส่ง และการดูแลสุขภาพตกเป็นเป้าหมายของปฏิบัติการที่มุ่งหวังจะทำให้เกิดความไม่มั่นคง กดดัน หรือเพียงแค่ต้องการข้อมูลเชิงกลยุทธ์ เหตุการณ์ Stuxnet ซึ่งส่งผลกระทบต่อเครื่องปั่นเหวี่ยงที่โรงงานนิวเคลียร์นาตันซ์ของอิหร่าน ยังคงเป็นหนึ่งในกรณีศึกษาที่ได้รับการศึกษามากที่สุดเกี่ยวกับมัลแวร์ที่ออกแบบมาโดยเฉพาะเพื่อก่อกวนกระบวนการทางอุตสาหกรรม

ปัจจัยเสี่ยงที่สำคัญอีกประการหนึ่งคือภัยคุกคามจากภายในองค์กร ภัยคุกคามเหล่านี้ไม่ได้มาจากพนักงานที่มีเจตนาร้ายเสมอไป การละเมิดข้อมูลจำนวนมากเกิดจากความผิดพลาดของพนักงานภายในหรือซัพพลายเออร์ การขาดการฝึกอบรม การจัดการรหัสผ่านที่ไม่ดี หรือความประมาทในการบังคับใช้มาตรการรักษาความปลอดภัย

ห่วง โซ่อุปทานเพิ่มความซับซ้อนอีกชั้นหนึ่ง โครงสร้างพื้นฐานที่สำคัญนั้นอาศัยเครือข่ายของผู้ผลิต ผู้รวมระบบ บริษัทบำรุงรักษา ผู้ให้บริการซอฟต์แวร์ และผู้ให้บริการคลาวด์ ผู้โจมตีสามารถใช้ประโยชน์จากจุดอ่อนที่สุด เช่น การอัปเดตที่บกพร่อง อุปกรณ์ที่กำหนดค่าไว้ล่วงหน้าที่ไม่ปลอดภัย หรือผู้ขายที่มีแนวปฏิบัติที่ไม่ดี เพื่อเข้าถึงระบบของผู้ให้บริการที่สำคัญโดยไม่ต้องโจมตีโดยตรง

ภาคการขนส่งเป็นตัวอย่างที่ชัดเจนของความเสี่ยงนี้ โดยมีสัดส่วนเหตุการณ์ที่เกิดขึ้นสูงในรายงานระดับชาติบางฉบับ การโจมตีผู้ให้บริการรถไฟหรือสนามบิน หรือซัพพลายเออร์ด้านเทคโนโลยีของพวกเขา อาจส่งผลกระทบเป็นลูกโซ่ เช่น การหยุดชะงักของเส้นทาง สินค้าถูกกักไว้ในท่าเรือหรือศูนย์โลจิสติกส์ สินค้าขาดแคลน และความสูญเสียทางการเงินอย่างมาก

นอกจากนี้การโจมตีแบบไฮบริด กำลังได้รับความนิยมมากขึ้น โดยผสมผสานการกระทำทางไซเบอร์เข้ากับเหตุการณ์ทางกายภาพเพื่อเพิ่มผลกระทบ ตัวอย่างเช่น เหตุการณ์ไฟฟ้าดับบางส่วนในยูเครนในปี 2015 หลังจากการโจมตีทางไซเบอร์ต่อบริษัทไฟฟ้า และการบินวนของโดรนเหนือสนามบินในสแกนดิเนเวียที่ทำให้ต้องปิดน่านฟ้าด้วยเหตุผลด้านความปลอดภัย ล้วนเป็นตัวอย่างของการที่โลกดิจิทัลและโลกทางกายภาพเกี่ยวพันกัน

กรอบการกำกับดูแล ความยืดหยุ่น และการรับมือกับเหตุการณ์

การปกป้องโครงสร้างพื้นฐานที่สำคัญนั้นอาศัยกรอบการกำกับดูแลและองค์กรเฉพาะที่ผสมผสานกฎหมายระดับชาติ คำสั่งของสหภาพยุโรป และมาตรฐานทางเทคนิค ในประเทศสเปน กฎหมายฉบับที่ 8/2011 ที่กล่าวถึงข้างต้นได้กำหนดวัตถุประสงค์หลักคือการปกป้องโครงสร้างพื้นฐานนี้จากภัยคุกคาม ผ่านการดำเนินการมาตรการแบบบูรณาการที่ครอบคลุมทั้งด้านความปลอดภัยทางกายภาพและทางตรรกะ การกำหนดนโยบายและมาตรฐาน เช่น มาตรฐานที่ควบคุมสภาพแวดล้อมที่มีผู้ใช้หลายคนและผู้เช่าหลายราย ถือเป็นส่วนหนึ่งของกรอบนี้

หนึ่งในแนวคิดสำคัญคือความยืดหยุ่นทางไซเบอร์ซึ่งหมายถึงความสามารถในการคาดการณ์ รับมือ ปรับตัว และฟื้นตัวจากเหตุการณ์โดยไม่สูญเสีย หรือสูญเสียเพียงเล็กน้อยในด้านขีดความสามารถในการดำเนินงาน แผนการป้องกันเฉพาะด้าน (SPPs) อยู่ภายใต้กรอบนี้ โดยครอบคลุมถึงการวิเคราะห์ความเสี่ยง มาตรการรักษาความปลอดภัยทางเทคนิคและองค์กร และระเบียบปฏิบัติที่ชัดเจนสำหรับกรณีเกิดเหตุการณ์

ในระดับยุโรป คำสั่งว่าด้วยความยืดหยุ่นของหน่วยงานสำคัญ (Critical Entities Resilience Directive - CER) ซึ่งประกาศใช้ในปี 2022 เน้นย้ำถึงเป้าหมายในการลดช่องโหว่และปรับปรุงขีดความสามารถในการฟื้นฟูหลังเหตุการณ์ร้ายแรง รวมถึงการโจมตีแบบไฮบริด โดยกำหนดให้ประเทศสมาชิกและหน่วยงานสำคัญต้องใช้มาตรการที่เป็นรูปธรรมด้านความปลอดภัย การจัดการความเสี่ยง และการรายงานเหตุการณ์

ในประเทศสเปนINCIBE-CERT (ศูนย์รับมือเหตุการณ์ด้านความปลอดภัยทางไซเบอร์ของ INCIBE) ทำหน้าที่เป็นศูนย์กลางอ้างอิงระดับชาติสำหรับการจัดการเหตุการณ์ทางไซเบอร์ โดยให้บริการตลอด 24 ชั่วโมง 7 วันต่อสัปดาห์ 365 วันต่อปี ออกประกาศเตือนเกี่ยวกับช่องโหว่และภัยคุกคาม และประสานงานการตอบสนองทางเทคนิคกับองค์กรภาครัฐและเอกชน

เมื่อเกิดเหตุการณ์ที่ส่งผลกระทบต่อผู้ปฏิบัติงานสำคัญในภาคเอกชน การตอบสนองจะได้รับการประสานงานกับสำนักงานประสานงานด้านความมั่นคงทางไซเบอร์ (OCC)ของกระทรวงมหาดไทย ซึ่งทำหน้าที่เป็นจุดนัดพบระหว่างกองกำลังรักษาความปลอดภัยและหน่วยงานต่างๆ ที่เกี่ยวข้อง

การตรวจสอบระบบอย่างต่อเนื่องด้วยเทคโนโลยีการตรวจสอบขั้นสูงช่วยให้สามารถตรวจจับพฤติกรรมที่ผิดปกติได้เกือบจะแบบเรียลไทม์ INCIBE-CERT และศูนย์เฉพาะทางอื่นๆ ใช้แหล่งข้อมูลข่าวกรองที่รวบรวมจากเซ็นเซอร์และรายงานหลายตัวเพื่อพัฒนาระบบเตือนภัยล่วงหน้าและแจ้งเตือนองค์กรที่อาจได้รับผลกระทบเกี่ยวกับเหตุการณ์ต่างๆการวิเคราะห์บันทึกข้อมูลเป็นส่วนสำคัญของกระบวนการนี้

ในทางปฏิบัติ ผู้ให้บริการระบบรักษาความปลอดภัยที่สำคัญส่วนใหญ่จะรวมศูนย์ปฏิบัติการด้านความปลอดภัย (SOC) เข้ากับทีมรับมือเหตุการณ์ฉุกเฉิน (CSIRT) ซึ่งสอดคล้องกับข้อผูกพันทางกฎหมายและเชื่อมต่อกับช่องทางการรายงานและการประสานงานอย่างเป็นทางการ

กลยุทธ์ทางเทคนิคที่สำคัญ: การแบ่งส่วน การตรวจสอบ และการควบคุมการเข้าถึง

ในโครงสร้างพื้นฐานที่สำคัญ การติดตั้งซอฟต์แวร์ป้องกันไวรัสและไฟร์วอลล์เพียงอย่างเดียวไม่เพียงพอ จำเป็นต้องใช้สถาปัตยกรรมความปลอดภัยแบบหลายชั้นเพื่อลดผลกระทบจากการละเมิดที่อาจเกิดขึ้นและจำกัดการเข้าถึงของผู้โจมตี

หนึ่งในแนวทางปฏิบัติที่แพร่หลายที่สุดคือการแบ่งส่วนเครือข่าย (Network Segmentation ) ซึ่งเกี่ยวข้องกับการแบ่งสภาพแวดล้อมออกเป็นโซนหรือส่วนต่างๆ ที่แยกจากกัน โดยมีการควบคุมการเข้าถึงและการกรองการรับส่งข้อมูลระหว่างกัน ด้วยวิธีนี้ แม้ว่าผู้โจมตีจะสามารถเข้าถึงจุดใดจุดหนึ่งได้ แต่ก็จะเป็นเรื่องยากมากที่พวกเขาจะเคลื่อนที่ได้อย่างอิสระทั่วทั้งเครือข่าย

ในสภาพแวดล้อมทางอุตสาหกรรม เป็นเรื่องปกติมากที่จะใช้โมเดล Purdueซึ่งจัดระบบออกเป็นระดับต่างๆ ตั้งแต่อุปกรณ์ภาคสนามและควบคุม ไปจนถึงเครือข่ายขององค์กร ระหว่างระดับเหล่านี้ จะมีการจัดตั้งเขตปลอดทหารทางอุตสาหกรรม ไฟร์วอลล์ พร็อกซี และการควบคุมอื่นๆ เพื่อป้องกันไม่ให้ระบบ OT ที่มีความละเอียดอ่อนที่สุดสัมผัสกับเครือข่ายขององค์กรหรืออินเทอร์เน็ตโดยตรง

บนพื้นฐานนี้ องค์กรหลายแห่งได้พัฒนาต่อยอดไปอีกขั้นด้วยการแบ่งส่วนย่อยระดับไมโคร (microsegmentation ) ซึ่งเพิ่มการควบคุมที่ละเอียดมากยิ่งขึ้น เช่น ในระดับแอปพลิเคชันหรือเวิร์กโฟลว์ กลยุทธ์นี้มีประโยชน์อย่างยิ่งในโครงสร้างพื้นฐานที่สำคัญซึ่งมีระบบเก่าที่ยากต่อการแก้ไข โดยที่พื้นที่ที่สามารถเข้าถึงได้จากส่วนอื่นๆ นั้นมีขนาดเล็กที่สุด

การเฝ้าระวังและการตรวจจับตั้งแต่เนิ่นๆ ช่วยเติมเต็มภาพรวม องค์กรต่างๆ กำลังใช้งานเครื่องมือเฝ้าระวังอย่างต่อเนื่อง ระบบตรวจจับและป้องกันการบุกรุก (IDS/IPS)การวิเคราะห์ปริมาณการรับส่งข้อมูลเครือข่าย และโซลูชันการวิเคราะห์พฤติกรรมผู้ใช้และเอนทิตี (UEBA) ซึ่งสามารถระบุรูปแบบที่ผิดปกติซึ่งหลุดรอดจากการควบคุมแบบดั้งเดิมที่ใช้ลายเซ็นได้

ปัญญาประดิษฐ์เริ่มมีบทบาทสำคัญในศูนย์ปฏิบัติการด้านความปลอดภัยเหล่านี้ โดยทำให้สามารถตรวจจับความผิดปกติเล็กน้อยในพฤติกรรมปกติของระบบ OT และ IT เชื่อมโยงเหตุการณ์ในข้อมูลจำนวนมาก และสร้างการแจ้งเตือนที่แม่นยำยิ่งขึ้น ลดสัญญาณรบกวนและจำนวนการแจ้งเตือนที่ผิดพลาด

สุดท้ายนี้การควบคุมการเข้าถึงที่มีประสิทธิภาพซึ่งรวมถึงการตรวจสอบสิทธิ์แบบหลายปัจจัย การจัดการสิทธิ์อย่างเข้มงวด การแบ่งแยกหน้าที่ และการบันทึกกิจกรรมอย่างครอบคลุม เป็นสิ่งจำเป็นอย่างยิ่งในการลดความเสี่ยงที่เกี่ยวข้องกับผู้ใช้ภายใน บัญชีบริการ และการเข้าถึงจากผู้ขายระยะไกล ควบคู่ไปกับแนวปฏิบัติด้านความปลอดภัยที่ดีบนระบบและเซิร์ฟเวอร์

ปัจจัยมนุษย์ วัฒนธรรมความปลอดภัย และการทำงานร่วมกัน

เหตุการณ์ร้ายแรงหลายครั้งแสดงให้เห็นว่าจุดอ่อนที่สุดยังคงเป็นปัจจัยด้านมนุษย์การคลิกอีเมลหลอกลวงการใช้รหัสผ่านซ้ำ แล็ปท็อปที่ไม่ได้เข้ารหัส หรือการจัดการสิทธิ์การเข้าถึงที่ไม่ดี อาจเปิดช่องทางให้เกิดการโจมตีซึ่งส่งผลกระทบต่อบริการที่สำคัญในที่สุด

ดังนั้น นอกเหนือจากเทคโนโลยีแล้ว องค์กรที่บริหารจัดการโครงสร้างพื้นฐานที่สำคัญจำเป็นต้องมีโปรแกรมการฝึกอบรมและการสร้างความตระหนักรู้ที่เข้มแข็งสำหรับบุคลากรทุกคน รวมถึงผู้จัดการ ช่างเทคนิค พนักงานโรงงาน และทีมสนับสนุน ไม่ใช่แค่การจัดอบรมเป็นครั้งคราว แต่เป็นการสร้างวัฒนธรรมความปลอดภัยที่แท้จริง

ซึ่งเกี่ยวข้องกับการบูรณาการการจัดการความเสี่ยงด้านความปลอดภัยทางไซเบอร์เข้ากับกระบวนการทางธุรกิจและการดำเนินงานประจำวันการกำหนดความรับผิดชอบที่ชัดเจน การทบทวนนโยบายและขั้นตอนอย่างสม่ำเสมอ และการส่งเสริมให้สามารถรายงานพฤติกรรมที่น่าสงสัยได้โดยไม่ต้องกลัวการถูกตอบโต้

การทำงานร่วมกันระหว่างแผนกภายในต่างๆ เช่น ไอที โอที ฝ่ายปฏิบัติการ ฝ่ายกฎหมาย ฝ่ายปฏิบัติตามกฎระเบียบ และฝ่ายทรัพยากรบุคคล ก็มีความสำคัญอย่างยิ่ง ในอดีต ทีมเทคโนโลยีสารสนเทศและผู้จัดการโรงงานอุตสาหกรรมมักทำงานแยกจากกัน แต่การหลอมรวมทางดิจิทัลเรียกร้องให้มีการจัดการความเสี่ยงอย่างเป็นระบบ

ในภาคส่วนที่สำคัญการทำงานร่วมกับหน่วยงานภาครัฐและหน่วยงานกำกับดูแล มีความสำคัญไม่แพ้กัน กรอบกฎระเบียบบางประการกำหนดให้ต้องรายงานเหตุการณ์ภายในกรอบเวลาที่กำหนด แบ่งปันข้อมูลเกี่ยวกับภัยคุกคาม และประสานแผนปฏิบัติการกับกระทรวง กองกำลังรักษาความปลอดภัย หรือหน่วยงานเฉพาะทาง

ความร่วมมือนี้ช่วยยกระดับการป้องกันระบบนิเวศทั้งหมดเนื่องจากข้อมูลเกี่ยวกับการโจมตีที่ตรวจพบในบริษัทหนึ่งสามารถนำไปใช้เพื่อป้องกันเหตุการณ์ในองค์กรอื่น ๆ ในภาคส่วนเดียวกันหรือในโครงสร้างพื้นฐานที่เกี่ยวข้องได้

ความท้าทายใหม่: ปัญญาประดิษฐ์ ข้อมูลอัตโนมัติ และการคำนวณควอนตัม

การปฏิวัติทางดิจิทัลในปัจจุบันนำมาซึ่งทั้งเครื่องมือป้องกันใหม่และช่องทางการโจมตีใหม่ปัญญาประดิษฐ์ ระบบอัตโนมัติขั้นสูง และในอนาคตอันใกล้ การคำนวณควอนตัม กำลังเปลี่ยนแปลงความเข้าใจเกี่ยวกับความปลอดภัยทางไซเบอร์ในภาคส่วนที่สำคัญอย่างสิ้นเชิง

ในด้านหนึ่งปัญญาประดิษฐ์เชิงป้องกันช่วยให้สามารถวิเคราะห์ข้อมูลการปฏิบัติงานและข้อมูลความปลอดภัยจำนวนมหาศาล ตรวจจับรูปแบบที่ผิดปกติแบบเรียลไทม์ และกระตุ้นการตอบสนองอัตโนมัติ เช่น การแยกโหนดที่ถูกบุกรุก การกำหนดค่าเครือข่ายใหม่ หรือการปรับนโยบายการเข้าถึงแบบไดนามิก

AI แบบ Generative สามารถช่วยสังเคราะห์ข้อมูลเกี่ยวกับภัยคุกคามและพัฒนากฎการตรวจจับที่ซับซ้อน ในขณะที่ AI แบบ Agentic สามารถวางแผนและดำเนินการอย่างอิสระภายในกรอบที่กำหนดไว้ล่วงหน้าเพื่อรักษาความต่อเนื่องของบริการเมื่อเผชิญกับเหตุการณ์ต่างๆ

อย่างไรก็ตาม ความสามารถเหล่านี้กำลังถูกนำไปใช้ในด้านการโจมตีเช่นกัน ผู้โจมตีได้ใช้AI เพื่อปรับปรุงแคมเปญฟิชชิงสร้างมัลแวร์ที่หลบเลี่ยงการตรวจจับได้มากขึ้น ค้นหาช่องโหว่ และทำให้การเคลื่อนที่ในเครือข่ายที่ซับซ้อนเป็นไปโดยอัตโนมัติ นอกจากนี้ โมเดล AI ที่ใช้โดยโครงสร้างพื้นฐานที่สำคัญอาจกลายเป็นเป้าหมายได้เอง การโจมตีข้อมูลการฝึกอบรม การจัดการอัลกอริทึม การแทรกข้อมูลที่เป็นอันตราย หรือการเปลี่ยนแปลงผลลัพธ์ อาจนำไปสู่การตัดสินใจที่ผิดพลาดในกระบวนการอัตโนมัติ

ดังนั้น การปกป้องระบบ AI จึงต้องใช้มาตรการเฉพาะได้แก่ การรับรองความสมบูรณ์และความลับของข้อมูลการฝึกอบรม การตรวจสอบการอนุมานและผลลัพธ์ของแบบจำลองเพื่อตรวจจับความผิดปกติ การกำหนดการควบคุมการเข้าถึงที่เข้มงวดสำหรับสภาพแวดล้อมการพัฒนาและการใช้งาน และการตรวจสอบแบบจำลองอย่างต่อเนื่องเพื่อหาความเป็นไปได้ในการดัดแปลงแก้ไข

ในขณะเดียวกันการคำนวณควอนตัมก็ก่อให้เกิดความท้าทายพื้นฐานในระยะกลางและระยะยาว อัลกอริทึมการเข้ารหัสลับหลายอย่างที่ใช้อยู่ในปัจจุบันอาจถูกเจาะระบบได้ด้วยคอมพิวเตอร์ควอนตัมที่มีประสิทธิภาพสูง แม้ว่าอุปกรณ์ทั่วไปที่สามารถถอดรหัสการเข้ารหัสลับมาตรฐานได้ในสภาพแวดล้อมการใช้งานจริงจะยังไม่พร้อมใช้งาน แต่การคาดการณ์ต่างๆ ชี้ว่าความเสี่ยงนี้จะเกิดขึ้นในอีกหนึ่งถึงสองทศวรรษข้างหน้า

มุมมองนี้เป็นแรงผลักดันให้เกิด กลยุทธ์"เก็บรวบรวมข้อมูลตอนนี้ ถอดรหัสในภายหลัง"กล่าวคือ ผู้โจมตีจะจัดเก็บข้อมูลที่เข้ารหัสไว้ในปัจจุบัน โดยคาดหวังว่าจะสามารถถอดรหัสได้เมื่อเทคโนโลยีควอนตัมพัฒนาขึ้น สำหรับโครงสร้างพื้นฐานที่สำคัญ ซึ่งจัดการกับข้อมูลที่ละเอียดอ่อนและมีอายุการใช้งานยาวนาน แนวทางนี้ก่อให้เกิดความเสี่ยงอย่างมาก

ด้วยเหตุนี้ ความสนใจในด้านการเข้ารหัสลับหลังควอนตัมจึง เพิ่มมากขึ้น ซึ่งเป็นชุดอัลกอริธึมการเข้ารหัสและการลงลายมือชื่อที่ออกแบบมาเพื่อต้านทานการโจมตีจากคอมพิวเตอร์ควอนตัมในอนาคต องค์กรหลายแห่งเริ่มประเมินและวางแผนการย้ายไปใช้ระบบเหล่านี้แล้ว โดยตระหนักว่านี่ไม่ใช่การเปลี่ยนแปลงที่สามารถทำได้แบบฉับพลันในชั่วข้ามคืน

การเปลี่ยนแปลงทางเทคโนโลยีเหล่านี้ยังผลักดันให้เกิดโมเดลความปลอดภัยที่มีพลวัตมากขึ้น เช่นการแบ่งส่วนย่อยตามพฤติกรรมซึ่งปรับนโยบายการกรองอย่างต่อเนื่องตามบริบท หรือแนวทางความไว้วางใจเป็นศูนย์ ซึ่งถือว่าไม่มีการเชื่อมต่อใดที่น่าเชื่อถือโดยค่าเริ่มต้น และต้องการการตรวจสอบตัวตนและบริบทอย่างต่อเนื่อง แม้กระทั่งภายในเครือข่ายภายในเองก็ตาม

ความสามารถด้านความปลอดภัยและกรณีการใช้งานในภาคส่วนสำคัญๆ

เพื่อให้สิ่งต่างๆ ข้างต้นใช้งานได้จริง โครงสร้างพื้นฐานที่สำคัญต้องพัฒนาระบบรักษาความปลอดภัยที่บูรณาการอย่างดีหนึ่งในสิ่งที่สำคัญที่สุดคือการมองเห็นภาพรวมที่ครอบคลุมทั้งสภาพแวดล้อม OT และ IT พร้อมด้วยรายการสินทรัพย์ที่ชัดเจน แผนผังความสัมพันธ์ และการตรวจสอบจากส่วนกลาง

ความสามารถในการมองเห็นภาพรวมนี้เป็นพื้นฐานสำหรับ ความสามารถ ในการตรวจจับภัยคุกคามแบบเรียลไทม์ ซึ่งได้รับการสนับสนุนจากระบบการเชื่อมโยงเหตุการณ์ การวิเคราะห์ปริมาณการรับส่งข้อมูล การตรวจจับการบุกรุก และการวิเคราะห์พฤติกรรมขั้นสูงที่กำลังได้รับความนิยมมากขึ้น สิ่งนี้ช่วยให้สามารถระบุการเข้าถึงที่ไม่ได้รับอนุญาต รูปแบบการใช้งานที่ผิดปกติ การสื่อสารกับโดเมนควบคุมและสั่งการ และความพยายามในการยกระดับสิทธิ์ได้

สิ่งที่สำคัญไม่แพ้กันคือฟังก์ชันการตอบสนองอัตโนมัติซึ่งสามารถใช้มาตรการรับมือได้โดยไม่ต้องมีการแทรกแซงจากมนุษย์เมื่อตรวจพบเหตุการณ์ร้ายแรง เช่น การแยกอุปกรณ์ การบล็อกบัญชี การแบ่งส่วนฉุกเฉิน การย้อนกลับการตั้งค่า เป็นต้น ในสภาพแวดล้อมที่ทุกนาทีมีค่า ความเร็วนี้สามารถสร้างความแตกต่างได้อย่างมาก

ตัวอย่างเช่น ในภาคพลังงาน บริษัทหลายแห่งได้นำศูนย์ปฏิบัติการด้านความปลอดภัย (OT SOC) เฉพาะทางมาใช้ ซึ่งบูรณาการการตรวจสอบระบบ SCADA เข้ากับการวิเคราะห์ปริมาณการรับส่งข้อมูลเครือข่ายอุตสาหกรรม ศูนย์เหล่านี้สามารถสกัดกั้นความพยายามก่อวินาศกรรมที่มุ่งเป้าไปที่การรบกวนการจ่ายกระแสไฟฟ้าได้สำเร็จ ด้วยการตรวจจับการเข้าถึงระบบควบคุมโดยไม่ได้รับอนุญาตตั้งแต่เนิ่นๆ

ในด้านการขนส่ง โดยเฉพาะอย่างยิ่งการบินและทางรถไฟ การปกป้องระบบสัญญาณ การควบคุมการจราจร และระบบสื่อสารมีความสำคัญอย่างยิ่งการแบ่งส่วนเครือข่ายขั้นสูงออกเป็นโซนที่มีความปลอดภัยสูงซึ่งเชื่อมต่อกันผ่านทางเกตเวย์ที่มีการควบคุมอย่างเข้มงวดเท่านั้น ได้ป้องกันการบุกรุกเครือข่ายขององค์กรไม่ให้ส่งผลกระทบต่อระบบปฏิบัติการที่จัดการการจราจรและความปลอดภัยของผู้โดยสาร

ในขณะเดียวกัน ภาคการดูแลสุขภาพกำลังเผชิญกับแรงกดดันที่เพิ่มมากขึ้น เนื่องจากข้อมูลด้านสุขภาพมีมูลค่าสูงเป็นพิเศษในตลาดมืด โรงพยาบาลและเครือข่ายการดูแลสุขภาพจึงมุ่งเน้นทั้งการเสริมสร้างการฝึกอบรมบุคลากรเพื่อป้องกันการหลอกลวงทางอีเมลและมัลแวร์เรียกค่าไถ่และการใช้งานระบบเข้ารหัสแบบครบวงจรสำหรับข้อมูลผู้ป่วย รวมถึงแผนการสำรองข้อมูลและกู้คืนที่ช่วยให้สามารถกู้คืนบันทึกทางการแพทย์และระบบวินิจฉัยโรคได้อย่างรวดเร็ว

ในทุกภาคส่วนเหล่านี้ การผสมผสานระหว่างเทคโนโลยีขั้นสูง กระบวนการบริหารความเสี่ยงที่ครบวงจร และบุคลากรที่มีความรับผิดชอบ คือสิ่งที่สร้างความแตกต่างระหว่างโครงสร้างพื้นฐานที่เปราะบางกับโครงสร้างพื้นฐานที่สามารถรับมือ ฟื้นตัว และให้บริการที่จำเป็นได้อย่างต่อเนื่องแม้ในสถานการณ์การโจมตีทางไซเบอร์ที่เลวร้ายที่สุด

ความเป็นจริงในปัจจุบันแสดงให้เห็นว่า การป้องกันภัยไซเบอร์ในภาคส่วนที่สำคัญไม่สามารถแก้ไขได้ด้วยโครงการครั้งเดียวหรือเพียงแค่ข้อกำหนดทางกฎหมายอีกต่อไป แต่ต้องใช้กลยุทธ์ที่ต่อเนื่อง หลากหลายมิติ และประสานงานกัน โดยที่เทคโนโลยี กระบวนการ บุคลากร และความร่วมมือระหว่างภาครัฐและเอกชนต้องผสานรวมกันเพื่อรักษาความปลอดภัยของเสาหลักที่ค้ำจุนการทำงานของสังคมเรา