<h2>นอกจากสถานการณ์โควิด-19 ที่ส่งผลกระทบต่อผลประกอบการและการดำเนินกิจการมาเกือบ 2 ปี องค์กรทั้งเล็กและใหญ่จำนวนมากกำลังเผชิญกับความท้าทายในการปกป้องระบบโครงสร้างพื้นฐานด้านงานเทคโนโลยีสารสนเทศ (IT infrastructure)</h2>
เพราะจำเป็นต้องปรับเปลี่ยนรูปแบบการทำงานมาเป็นการ work from home ในช่วงของการล็อกดาวน์ อาชญากรทางไซเบอร์จึงฉวยโอกาสโจมตีเข้าที่ระบบเครือข่ายคอมพิวเตอร์และอุปกรณ์คอมพิวเตอร์ส่วนบุคคลของพนักงาน จนจำนวนอาชญากรรมทางไซเบอร์เพิ่มขึ้นอย่างรวดเร็วแบบที่ไม่เคยเกิดขึ้นมาก่อน Cybersecurity Venture คาดการณ์ว่ามูลค่าความเสียหายอาจสูงถึง 10.05 ล้านล้านเหรียญสหรัฐฯ ในปี 2025

ความเสียหายที่เกิดขึ้น เช่น สูญเสียรายได้จากการที่ธุรกิจหยุดชะงักการดำเนินงาน การสูญเสียชื่อเสียง รวมถึงค่าปรับที่เกิดจากการไม่ปฏิบัติตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล หรือที่เรียกกันว่า PDPA (Personal Data Protection Act) และ European GDPR ที่ย่อมาจาก General Data Protection Regulation เป็นหลักกฎหมายคุ้มครองข้อมูลส่วนบุคคลที่บังคับใช้ในสหภาพยุโรป (EU) ที่มีผลต่อธุรกิจทั่วโลก

ตัวอย่างที่เป็นข่าวดังและส่งผลกระทบในวงกว้างคือ กรณีที่ บริษัท CNA Financial ซึ่งเป็นหนึ่งในบริษัทประกันขนาดใหญ่ที่สุดในสหรัฐฯ ถูกโจมตีด้วย Ransomware (Phoenix CryptoLocker) เมื่อวันที่ 21 มีนาคม ปี 2564 ทำให้ต้องหยุดทำการ 3 วัน แม้ว่าข้อมูลของผู้ถือกรมธรรม์จะไม่ถูกเปิดเผย แต่มีความกังวลอย่างมากว่าอาจทำให้ข้อมูลรั่วไหล

ประเด็นที่น่าตกใจคือ หลายกรณีที่การโจมตีทางไซเบอร์ไม่ได้หวังผลทางธุรกิจ ดังในกรณีเมื่อเดือนกุมภาพันธ์ที่ผ่านมามีการแทรกซึมเข้าระบบคอมพิวเตอร์ที่บริหารจัดการระบบน้ำประปาของรัฐ Florida เพื่อเพิ่มระดับของ sodium hydroxide เพื่อทำให้น้ำเป็นพิษ

อะไรคือจุดอ่อนหลักของระบบเทคโนโลยีสารสนเทศที่ทำให้เกิดการโจมตีทางไซเบอร์?

จากผลกระทบที่เกิดขึ้นผู้บริหารระดับสูงได้จัดให้การปกป้องระบบโครงสร้างพื้นฐานด้านงานเทคโนโลยีสารสนเทศอยู่ในแผนและกลยุทธ์การบริหารความเสี่ยง และการวางแผนความต่อเนื่องของธุรกิจ (business continuity plan) ซึ่งแปลว่า เรื่องดังกล่าวไม่ใช่งานที่เกี่ยวข้องเฉพาะฝ่ายไอทีอีกต่อไป

ความจริงที่เจ็บปวดคือ สาเหตุหลักของความเสียหายจากการโจมตีทางไซเบอร์อาจไม่ได้เกิดจากตัวระบบเท่านั้น เพราะแม้ว่าองค์กรจะมีการจัดซื้อไอทีโซลูชันราคาแพงเพียงใด หากบุคลากรที่เกี่ยวข้องทั้งทางตรงและทางอ้อมขาดความรู้เรื่อง cybersecurity การโจมตีย่อมเกิดขึ้นได้อย่างง่ายดาย จากงานวิจัยของ Stanford University พบว่า 88% ของการรั่วไหลของข้อมูลนั้นมาจากความผิดพลาดของพนักงาน

องค์กรจึงควรให้ความสำคัญในการอบรม สร้างความตระหนักรู้ให้ข้อมูลความรู้ ออกนโยบายด้านความปลอดภัยของข้อมูลและระบบเทคโนโลยีสารสนเทศ รวมถึงการกำหนดขั้นตอนการเข้าถึงและการควบคุมข้อมูลภายในองค์กร ซึ่งจะช่วยลดปริมาณอาชญากรรมทางไซเบอร์ที่เกิดขึ้นจากความไม่รู้ของพนักงานได้

การจัดผังโครงสร้างองค์กรสามารถสร้างผลลัพธ์เชิงบวกต่อการปฏิบัติตัวของพนักงาน และปรับปรุงกระบวนการตัดสินใจที่เกี่ยวข้องกับ cybersecurity ได้ ตัวอย่างเช่น หลายองค์กรออกแบบให้ Chief Information Security Officer (CISO) รายงานตรงต่อ Chief Information Officer (CIO) ในขณะที่องค์กรอีกมากที่สร้าง best practice ในด้านนี้ขอให้ CISO รายงานขึ้นตรงกับผู้บริหารสูงสุดอย่าง CEO หรือ Board of Directors

กล่าวโดยสรุป ความเสี่ยงด้าน cybersecurity ไม่ได้จำกัดอยู่เฉพาะแต่ระบบเทคโนโลยีสารสนเทศและอุปกรณ์ไอที เช่น คอมพิวเตอร์ เซิร์ฟเวอร์ ดาต้าเซ็นเตอร์ และระบบเครือข่ายไอทีเท่านั้น แต่ยังรวมถึงภัยคุกคามที่มีต่อระบบการดำเนินงานต่างๆ ขององค์กรอีกด้วย พนักงานที่ขาดความตระหนักรู้ ความเข้าใจข้อมูลที่ถูกต้อง กระบวนการทำงานที่ออกแบบมาอย่างรัดกุม และการขาดอำนาจการตัดสินใจของ CISO ล้วนเป็นปัจจัยที่นำไปสู่ปัญหาด้านความปลอดภัยขององค์กรทั้งสิ้น

&nbsp;

<img class="alignnone wp-image-51726" src="https://forbesthailand.com/wp-content/uploads/2021/09/ดร.-วารินทร์-แคร่า-01.jpg" alt="ดร. วารินทร์ แคร่า " width="300" height="300" />

ดร. วารินทร์ แคร่า
ผู้ร่วมก่อตั้งและประธาน บริษัท Cloudsec Asia

&nbsp;

อ่านเพิ่มเติม:
<ul id="crumbs">
 	<li><a style="color: #008000;" href="https://forbesthailand.com/commentaries/insights/global-ai-adoption-index-2021-%e0%b8%ad%e0%b8%87%e0%b8%84%e0%b9%8c%e0%b8%81%e0%b8%a3%e0%b8%95%e0%b9%89%e0%b8%ad%e0%b8%87%e0%b8%9e%e0%b8%a3%e0%b9%89%e0%b8%ad%e0%b8%a1%e0%b9%81.html">“GLOBAL AI ADOPTION INDEX 2021” องค์กรต้องพร้อมและเตรียมตัวแค่ไหน</a></li>
 	<li><a style="color: #008000;" href="https://forbesthailand.com/world/asia/%e0%b8%97%e0%b8%b3%e0%b9%80%e0%b8%99%e0%b8%b5%e0%b8%a2%e0%b8%9a-forbes-30-under-30-asia-2021-%e0%b8%95%e0%b8%ad%e0%b8%99%e0%b8%97%e0%b8%b5%e0%b9%88-1.html">ทำเนียบ FORBES 30 UNDER 30 ASIA 2021 ตอนที่ 1</a></li>
 	<li><a style="color: #008000;" href="https://forbesthailand.com/world/america/cameron-%e0%b9%81%e0%b8%a5%e0%b8%b0-tyler-winklevoss-%e0%b8%84%e0%b8%b9%e0%b9%88%e0%b9%81%e0%b8%9d%e0%b8%94%e0%b8%9e%e0%b8%b1%e0%b8%99%e0%b8%a5%e0%b9%89%e0%b8%b2%e0%b8%99-gemini-%e0%b9%81%e0%b8%ab.html">CAMERON และ TYLER WINKLEVOSS คู่แฝดพันล้าน GEMINI แห่งวงการคริปโต</a></li>
</ul>

<hr />

<a href="https://bit.ly/3kQ4qdp">คลิกอ่านฉบับเต็ม และบทความทางด้านธุรกิจได้ที่นิตยสาร Forbes Thailand ฉบับเดือนกันยายน 2564 ในรูปแบบ e-magazine</a>

<img class="alignnone wp-image-51728" src="https://forbesthailand.com/wp-content/uploads/2021/09/241075955_2915910085290729_2041653271010729516_n.jpg" alt="" width="300" height="394" />

จุดอ่อนของ IT Infrastructure ที่ผู้บริหารระดับสูงต้องรู้เพื่อป้องกัน Cyberattack

การรั่วไหลของ ข้อมูลทางการแพทย์ และการถูกจู่โจมทางไซเบอร์กำลังเป็นภัยที่เกิดขึ้นทั่วโลก เช่น ในปีนี้ ข้อมูลในเวชระเบียนของประชาชนชาวอินโดนีเซียอย่างน้อย 1 ล้านรายเกิดการรั่วไหลบนเว็บมืดที่ซ่อนตัวอยู่ตามโลกอินเทอร์เน็ต ในประเทศไอร์แลนด์ ระบบบริการทางสาธารณสุขก็ถูกมัลแวร์โจมตี ขัดขวางการให้บริการตรวจเชื้อโควิด-19 ทำให้โรงพยาบาลต้องยกเลิกการนัดหมายจำนวนมาก การถูกจู่โจม แฮกข้อมูลเช่นนี้ ได้สร้างความยุ่งเหยิงใหญ่ 2 ประการคือ ข้อมูลด้านสุขภาพของผู้ป่วยอาจถูกนำไปใช้ในทางที่ผิดและส่งผลเลวร้ายตามมา และภาครัฐต้องวางนโยบายเพื่อป้องกันการละเมิดข้อมูลส่วนบุคคลในกรณีต่างๆ เพิ่มเติม

ปัจจุบัน องค์กรทางสาธารณสุขกำลังเผชิญปัญหาในการปกป้องข้อมูลผู้ป่วย สืบเนื่องมาจากการใช้งานทางดิจิทัล ซึ่งเดิมนั้น จะบันทึกข้อมูลลงบนกระดาษ แต่ปัจจุบัน ได้เปลี่ยนมาอยู่บนฐานข้อมูลหลายแห่ง และเข้าถึงได้ผ่านหลากหลายแอปพลิเคชัน เว็บไซต์ เครื่องมือติดตามผลสุขภาพ ผู้ให้บริการทางการแพทย์ และอื่นๆ ซึ่งยังมักอนุญาตให้เข้าถึงได้แบบทางไกลได้ด้วย

นอกจากนี้ เครื่องมือต่างๆ ในโรงพยาบาลที่ใช้เก็บและบันทึกข้อมูลก็อาจยังไม่ได้รับการป้องกันหรือมีการเฝ้าตรวจสอบอย่างเพียงพอ ส่วนผู้ป่วยเองก็ยังขาดความเข้าใจด้านสิทธิความเป็นส่วนตัว เจ้าหน้าที่สาธารณสุขก็ยังไม่เห็นความสำคัญของความปลอดภัยเท่าที่ควร เพราะองค์กรยังไม่ได้ให้การฝึกอบรมในด้านนี้ เพื่อปกป้องความเป็นส่วนตัวของผู้ป่วย องค์กรทางสาธารณสุขต้องสร้างเกราะป้องกันในมิติต่างๆ ให้ครอบคลุม ซึ่ง Thoughtworks มีข้อเสนอแนะในเรื่องของขั้นตอนการปฏิบัติดังนี้

1.ติดตั้งระบบการเข้ารหัสข้อมูล
มีความสำคัญทั้งในการจัดเก็บ ใช้งาน และส่งต่อข้อมูล ซึ่งข้อมูลที่ถูกจัดเก็บควรมีการเข้ารหัสด้วย AES 256 หรือมาตรฐานที่เท่ากัน ส่วนข้อมูลที่กำลังใช้งานหรือส่งต่อควรมีการจำกัดการเข้าถึงตามบทบาทของผู้ใช้งาน หรือความจำเป็นของการใช้งาน หรือใช้ข้อมูลที่ผ่านการปิดบังแล้ว (Data obfuscation) แทนการใช้ข้อมูลดิบ

2.เสริมความปลอดภัยของอุปกรณ์ต่างๆ
ไม่ควรมีการเข้าถึงข้อมูลได้ด้วยอุปกรณ์ส่วนตัวของผู้ใช้งาน เว้นแต่ว่าอุปกรณ์นั้นมีการควบคุมที่ช่วยยืนยันความปลอดภัยของข้อมูลในระดับที่เหมาะสม และมีขั้นตอนการอนุมัติระบุไว้ชัดเจน เหมือนอุปกรณ์ที่ใช้ในการเข้าถึงภายใน ส่วนอุปกรณ์ทางด้าน IoT ควรติดตั้งบนเน็ตเวิร์กที่ไม่ได้เชื่อมต่อกับเน็ตเวิร์กที่เก็บข้อมูลของผู้ป่วยโดยตรง

3.เสริมความปลอดภัยของโครงสร้างทาง IT
เซิร์ฟเวอร์ควรมีเพียงพอร์ตที่จำเป็นที่เปิดให้เข้าถึงได้เท่านั้น ไม่ว่าจะเป็นแบบ On-premise หรือ Cloud ก็ตาม หากเป็นการติดตั้งบน On-premise ระบบก็ควรมีความปลอดภัยเชิงกายภาพด้วย และการเข้าถึงควรเป็นไปตามหลัก Least Privilege คือให้เท่าที่จำเป็นเท่านั้น

4.ติดตั้งมาตรการจำแนกข้อมูลที่ชัดเจน
องค์กรต้องกำหนดมาตรการการจำแนกข้อมูลของผู้ป่วยอย่างระมัดระวังและปฏิบัติตามที่กำหนดไว้

5.เปิดใช้งานระบบควบคุมการเข้าถึง การเก็บรักษา รวมทั้งลบข้อมูล
ผู้ป่วยควรมีสถานะเป็นเจ้าของข้อมูล ส่วนผู้ให้บริการทางการแพทย์ควรเป็นผู้ดูแล ในขณะที่ระบบควบคุมการเข้าถึงควรปรับให้ใช้ได้ทั้งในระดับเน็ตเวิร์ก ระบบ ฐานข้อมูล และเว็บ

- ข้อมูลควรเก็บไว้ตามข้อกำหนดทางกฎระเบียบและลบทิ้งอย่างถาวรเมื่อไม่จำเป็นอีกต่อไป
- ข้อมูลควรได้รับการสำรองตามมาตรการที่ผ่านการตกลงและเป็นไปตามแผนบริหารความต่อเนื่องของธุรกิจ (Business Continuity Plan หรือ BCP)
- ผู้ป่วยควรมีสิทธิ์ในการขอลบข้อมูล

6.กำหนดการเข้าถึง จัดเก็บและใช้งานของบุคคลที่สาม 

บุคคลที่สามไม่ควรเข้าถึงข้อมูลของผู้ป่วยได้ แต่หากจำเป็น ก็ต้องได้รับการยินยอมจากผู้ป่วยก่อน หรือปฏิบัติตามข้อกำหนดและปิดบังข้อมูลก่อนแบ่งปันให้บุคคลที่สาม

7.จัดตั้งระบบการบันทึกข้อมูลและการตรวจสอบ

ควรมีการจัดเก็บบันทึกข้อมูลทั้งหมดไว้ในระบบที่บริหารจากส่วนกลางและมีการตรวจสอบ เช่นเดียวกับบุคคลที่สามที่เกี่ยวข้อง หลังเสร็จสิ้นการดำเนินงาน ผู้ให้บริการทางสาธารณสุขควรเก็บข้อมูลทั้งหมดจากบุคคลที่สามและลบข้อมูลที่ได้ครอบครองอยู่ทั้งหมด

8.กำหนดมาตรการแจ้งเตือนความปลอดภัยและการรั่วไหลของข้อมูล

ผู้ให้บริการทางสาธารณสุขควรแจ้งมาตรการความปลอดภัยที่ชัดเจน บ่งบอกว่าเก็บข้อมูลประเภทใดบ้าง เพื่อประวัตถุประสงค์ใด นำไปประมวลผลอย่างไร ระยะเวลาการเก็บข้อมูลและสิทธิ์ในการเข้าถึง รวมถึงขั้นตอนที่บุคคลหรือหน่วยงานที่กำกับดูแลจะได้รับการแจ้งเตือน หากเกิดการรั่วไหลหรือละเมิดสิทธิ์ของข้อมูล

9.การประเมินผลทั้งภายในและภายนอก

องค์กรสาธารณสุขควรปฏิบัติตามกระบวนการและระยะเวลาที่วางไว้ เพื่อประเมินช่องโหว่และทดสอบการเจาะระบบทั่วทั้งเน็ตเวิร์ก แอปพลิเคชัน ฐานข้อมูล ระบบและอุปกรณ์ทั้งหมด

ข้อมูลของผู้ป่วยมีความสำคัญอย่างมากในระบบสาธารณสุข การเข้าถึงข้อมูลที่แม่นยำในเวลาที่ต้องการได้เป็นเรื่องของความเป็นและความตายเลยทีเดียว อย่างไรก็ตาม ความปลอดภัยของข้อมูลที่ไม่เพียงพอถือเป็นการละเมิดสิทธิส่วนบุคคลในด้านความเป็นส่วนตัว ทุกองค์กรสาธารณสุขจึงจำเป็นต้องหาวิธีดำเนินการที่เหมาะสมในเส้นแบ่งบางๆ นี้ ด้วยแนวคิดการใส่ใจความปลอดภัยเป็นอันดับหนึ่งและปฏิบัติตามแนวทางที่กำหนด ระบบนิเวศของข้อมูลทางสาธารณสุขจะสามารถใช้ประโยชน์เชิงกลยุทธ์จากข้อมูลของผู้ป่วยได้ ในขณะเดียวกัน ก็สามารถคงมาตรฐานความปลอดภัยและความเป็นส่วนตัวขั้นสูงสุดไว้ได้ด้วย

&nbsp;

<img class="alignnone size-full wp-image-51030" src="https://forbesthailand.com/wp-content/uploads/2021/09/Thoughtworks_02.jpg" alt="" width="300" height="208" />
บทความโดย
Gyanesh Ojha, Information Security Enthusiast และ Neelu Tripathy, Security Practice Lead
Thoughtworks

ภาพเปิด: pixabay.com

<hr />

<a href="https://www.facebook.com/ForbesThailandMagazine/">ไม่พลาดบทความและเรื่องราวน่าสนใจอื่นๆ ติดตามเราได้ที่เฟซบุ๊ก Forbes Thailand Magazine</a>

&nbsp;

News

Forbes lists

World

Leaderboard

Commentaries

Forbes life

Events