การโจมตีผ่านซัพพลายเชน (Supply Chain Attacks) กลายเป็นภัยคุกคามอันดับต้น ๆ ของภาคธุรกิจ โดยในช่วงปีที่ผ่านมามีองค์กรถึงหนึ่งในสามที่ได้รับผลกระทบจากการโจมตีประเภทนี้ อุปสรรคสำคัญที่ทำให้องค์กรจัดการความเสี่ยงไม่ได้ คือการขาดแคลนบุคลากรด้านความปลอดภัยไอที และการที่ต้องรับมือกับงานด้านความปลอดภัยหลายอย่างพร้อมกัน ซึ่งผู้ตอบแบบสอบถามทั่วโลกถึง 42% ระบุถึงสองปัจจัยนี้
เอเชียแปซิฟิกวิกฤติขาดคน
การขาดแคลนผู้เชี่ยวชาญทำให้องค์กรตรวจสอบช่องโหว่ของ Third Party ได้ไม่สม่ำเสมอ ในเอเชียแปซิฟิก สัดส่วนองค์กรที่ขาดแคลนบุคลากรมีตั้งแต่ 34% ในสิงคโปร์ ไปจนถึง 57% ในเวียดนาม ขณะที่มาเลเซียมีความต้องการบุคลากรด้านนี้ถึง 28,068 คนภายในปี 2026 จากปัจจุบันที่มีอยู่ราว 16,765 คน
นอกจากนี้ ภาระงานที่ล้นมือยังทำให้ภัยคุกคามในซัพพลายเชนอาจถูกมองข้าม โดยปัญหานี้พบมากในอินเดีย (54%) เวียดนาม (48%) และสิงคโปร์ (47%)
ช่องโหว่สัญญาและระบบหละหลวม
องค์กรในเอเชียแปซิฟิก 30-61% รายงานว่าสัญญาไม่มีข้อผูกพันด้านความปลอดภัยทางไอทีสำหรับผู้รับเหมา ซึ่งชี้ให้เห็นถึงการขาดข้อกำหนดที่ชัดเจน นอกจากนี้ 25-38% ยังระบุว่าพนักงานที่ไม่ได้อยู่ฝ่ายไอทีมักไม่เข้าใจความเสี่ยงนี้อย่างถ่องแท้
ธุรกิจทั่วโลก 85% ยอมรับว่าต้องยกระดับการป้องกันความเสี่ยงจากซัพพลายเชน โดยมีเพียง 15% เท่านั้นที่มองว่ามาตรการรักษาความปลอดภัยในปัจจุบันมีประสิทธิภาพพอ ระดับความเชื่อมั่นในเอเชียแปซิฟิกแตกต่างกันไป อินเดีย (11%) อินโดนีเซีย (14%) และสิงคโปร์ (14%) มีความเชื่อมั่นต่ำ ขณะที่เวียดนาม (21%) และจีน (34%) มีความเชื่อมั่นสูงกว่า
มาตรการป้องกันพื้นฐานยังคงถูกใช้งานไม่ทั่วถึง เช่น การตรวจสอบสิทธิ์แบบสองขั้นตอน (2FA) ในสิงคโปร์มีอัตราใช้งานต่ำเพียง 28% ส่วนประเทศอื่นๆ แม้จะสูงกว่า 35% แต่ก็ยังต่ำกว่าค่าเฉลี่ยทั่วโลก การดำเนินงานที่ไม่สม่ำเสมอนี้ทำให้องค์กรเสี่ยงต่อช่องโหว่ในระบบนิเวศธุรกิจ
บทเรียนและทางรอดองค์กร
องค์กรที่เคยถูกโจมตีผ่านซัพพลายเชนมีแนวโน้มที่จะขอผลการทดสอบการเจาะระบบเพิ่มขึ้นเป็น 56% ส่วนผู้ที่เคยถูกละเมิดความสัมพันธ์ทางธุรกิจจะหันมาเน้นตรวจสอบการปฏิบัติตามมาตรฐานอุตสาหกรรม (56%) และนโยบายของผู้รับเหมา (53%)
องค์กรจะสร้างความยืดหยุ่นได้ก็ต่อเมื่อดำเนินมาตรการป้องกันทั่วองค์กรและวางแผนร่วมมือกับซัพพลายเออร์อย่างรอบคอบ โดยมีแนวทางปฏิบัติดังนี้:
- ประเมินซัพพลายเออร์ก่อนทำสัญญา: ตรวจสอบนโยบาย ประวัติเหตุการณ์ และขอผลการทดสอบการเจาะระบบ (Pen Test) สำหรับซอฟต์แวร์และบริการคลาวด์
- ระบุข้อกำหนดในสัญญา: ระบุข้อกำหนดด้านความปลอดภัยที่ชัดเจน เช่น การตรวจสอบความปลอดภัยเป็นประจำ และโปรโตคอลแจ้งเตือนเหตุการณ์
- ใช้บริการ Managed Security Services: สำหรับองค์กรที่ขาดบุคลากร การใช้บริการดูแลระบบรักษาความปลอดภัยแบบเอาต์ซอร์สเป็นทางเลือกที่มีประสิทธิภาพ
- ลงทุนอบรมพนักงาน: เพิ่มพูนความรู้ด้านความปลอดภัยไซเบอร์ให้พนักงาน เพื่อรับมือการโจมตีที่ซับซ้อน
- ร่วมมือกับซัพพลายเออร์: ให้ความสำคัญร่วมกันเพื่อเสริมสร้างการป้องกันของทั้งสองฝ่าย
หมายเหตุ: ข้อมูลอ้างอิงจากการสำรวจผู้เชี่ยวชาญด้านเทคนิค 1,714 คน ในองค์กรที่มีพนักงานมากกว่า 500 คน ครอบคลุม 16 ประเทศ
ข่าวอื่น ๆ ที่น่าสนใจ
State of Thai AI 2026: โอกาส 3 ล้านล้าน ที่คนไทยคว้าได้แค่ 10%
Chula x Founder Institute: ดันสตาร์ตอัปไทย ลุยสนามจริงสู่เวทีโลก
