ทำไม? Security Risk จึงถี่ขึ้นและรุนแรงมากขึ้น

ทำไม? จึงเป็นสถานการณ์ที่ IA ควรมีบทบาทสำคัญในการปกป้องและลดความเสี่ยงให้กับองค์กร

โดยธรรมชาติ จะ balance ระหว่างจุดอ่อนและการป้องกัน เมื่อการป้องกันมีจุดอ่อน ก็จะใช้เวลาไม่นานในการป้องกันจุดอ่อนนั้น ๆ ทำให้อยู่ในลักษณะผลักกันนำ ผลักกันตาม นั่นเป็นเพราะจุดอ่อนที่ส่งผลกระทบในวงกว้าง ไม่ได้เกิดขึ้นพร้อมกัน จึงมีเวลาในการพัฒนาระบบป้องกัน ในขณะที่จุดอ่อนของระบบงานของแต่ล่ะหน่วยงาน โดยส่วนใหญ่ก็มีการจัดการความเสี่ยงที่เหมาะสมกับสภาพความเสี่ยง ระบบที่มีความเสี่ยงสูงและล่อแหลมต่อการบุกรุก ก็มีการลงทุนในระบบรักษาความปลอดภัยที่มักจะสมน้ำสมเนื้อ

ในขณะที่หลายระบบ ถึงแม้จะมีจุดอ่อน ถ้าเป็นระบบที่ไม่เกี่ยวข้องกับเงิน หรือคริปโต ถ้าเป็นก่อนยุค AI ก็มักจะเป็นจุดอ่อนที่อยู่ใต้พรม แต่พอมาถึงอยู่ AI ที่มีขีดความสามารถมากขึ้น ก็เหมือนจู่ ๆ มีคนมารื้อพรมแล้วพบจุดอ่อนมากมาย

ในสถานการณ์ Security Risk สำหรับระบบที่เชื่อมต่อกับ Internet ในปัจจุบัน ไม่ได้อยู่ในสถานการณ์ปกติ เพราะฝั่ง AI มีขีดความสามารถมากขึ้นเรื่อย ๆ และการสแกนหาจุดอ่อนที่อยู่ภายในพรม ทำได้ง่าย และใช้เวลาเพียงเล็กน้อย เมื่อเจอจุดอ่อนที่อยู่ใต้พรม ก็กวาดออกมาจนหมดสิ้น

หลายคนสงสัยว่า ในเมื่อมีจุดอ่อนอยู่ใต้พรม ทำไมไม่แก้ไข ในความเป็นจริงแล้ว หลายกรณีทำได้ค่อนข้างยาก ยกตัวอย่างเช่น ระบบงานที่พัฒนาบน PHP ที่เคยเป็นที่นิยม โดยเฉพาะการพัฒนาระบบงานบน PHP Framework เช่น Laravel หรือ CodeIgniter (CI) เป็นต้น เมื่อ PHP upgrade version ใหม่ให้ปลอดภัยมากขึ้น แต่การ upgrade PHP Framework ทำได้ค่อนข้างยาก เพราะ PHP version ใหม่จะยกเลิก PHP ฟังก์ชัน (Functions), คำสั่ง (Commands), หรือคลาส (Classes) เก่าๆ ที่ล้าสมัย มีช่องโหว่ ไปด้วย ถ้าจะ upgrade PHP Framework จึงไม่ใช่เพียงแค่คลิ๊กแล้ว upgrade แต่ต้องใช้เวลาและงบประมาณค่อนข้างมาก ในขณะที่ไอทีก็ต้องพัฒนาโครงการใหม่ ๆ เพื่อรองรับธุรกิจ ก็เลยต้องใช้งานบน PHP version เก่า ที่ end-of-life ไปแล้ว ในหลายกรณียังมีการใช้ PHP Version 5.x ซึ่่ง end-of-life ไปตั้งแต่ปี 2518 หรือ 8 ปีที่แล้ว หรือใช้ระบบโดยไม่มี security patch มานานกว่า 8 ปี ระบบอื่นก็เช่นเดียวกัน ทำให้ระบบที่เคยมั่นคงปลอดภัยในอดีต แต่มีข้อจำกัดในการ upgrade ให้รองรับ version ใหม่หรือความเสี่ยงใหม่ ๆ ค่อนข้างมาก ที่ผ่านมาก็ยังอยู่กันได้ เพราะไม่มี AI มารื้อจุดอ่อนที่อยู่ใต้พรม

จากช่องว่างดังกล่าว ทำให้ประเด็นทาง Security Risk มีมากขึ้น องค์กรไม่ควรอยู่บนความเสี่ยงจากการใช้ระบบที่มีจุดอ่อน และเป็นจุดอ่อนที่บุคคลภายนอกซึ่งอาจเป็นผู้บุกรุกค้นพบจุดอ่อนนั้นแล้ว

แต่องค์กรจะทำอย่างไร ในเมื่อการแก้ไขจุดอ่อนที่เปิดเผยต่อสาธารณะพร้อม ๆ กัน ในบางกรณีมากกว่า 6 เดือนหรือมากกว่านั้น จะเปิดรับความเสี่ยงก็กระไรอยู่ เพราะอาจส่งผลกระทบต่อองค์กรอย่างมีนัยสำคัญ

ทำไม? ในสถานการณ์ลักษณะนี้ IA ควรมีบทบาทในการเป็น strategic partner ในการจัดการปัญหา Security Risk เช่น เสนอให้สำรวจระบบงานที่มีความเสี่ยงจาก AI รวมทั้งเพิ่ม risk factor และปรับน้ำหนักของความเสี่ยงในเรื่องนี้ตามระดับความสามารถของ AI ที่เพิ่มขึ้นเรื่อย ๆ ตลอดจนใช้ความชำนาญใน internal control เพื่อนำเสนอแนวทางการกำหนด Internal Control

การควบคุมในเชิงป้องกัน (Preventive) เป็นมาตรการควบคุมที่มีประสิทธิผล แต่อาจไม่ได้ทันที่ก็อาจนำเสนอการควบคุมในการเชิงป้องกันอื่น (Compensating Control) ที่สามารถชดเชย เช่น การลดความเสี่ยงจากข้อมูลรั่วไหลโดยกำหนดมาตรการควบคุมข้อมูลผ่าน DLP (Data Loss Prevention หรือ Data Leakage Prevention) ที่สอดคล้องกับจุดอ่อนจากการทำ security assessment แม้ว่าผู้บุกรุกจะบุกรุกผ่านจุดอ่อนของระบบ แต่ก็จะติดปราการด่านที่ 2 คือ DLP นอกจากนี้จะสามารถนำผลการทำ security assessment ไปใช้เป็นแนวทางการปรับปรุงระบบ monitor ให้ครอบคลุมถึงจุดอ่อนที่ยังไม่ได้รับการแก้ไข หรือมาตรการควบคุมอื่น ๆ ก่อนที่ไอทีจะแก้ไขจุดอ่อนให้แล้วเสร็จ เป็นต้น