ภัยไซเบอร์ไม่ได้เกิดจากแฮกเกอร์เพียงอย่างเดียว ระบบอาจล่มจากการอัปเดตที่ผิดพลาด ข้อมูลอาจรั่วจากการส่งอีเมลผิด หรือคนในองค์กรอาจสร้างช่องโหว่โดยไม่ตั้งใจ ต่อให้องค์กรลงทุนด้านความปลอดภัยมากเพียงใด ก็ไม่มีระบบใดรับประกันได้ว่าจะป้องกันความผิดพลาดและการโจมตีได้ทั้งหมด
โจทย์ขององค์กรจึงเปลี่ยนจากการพยายามทำให้ “ไม่เกิดเหตุ” ไปสู่การเตรียมพร้อมว่า หากเกิดเหตุขึ้นแล้วจะลดความเสียหาย กู้คืนระบบ และกลับมาดำเนินงานได้เร็วเพียงใด นี่คือแนวคิด Cyber Resilience ซึ่งไม่ได้เป็นเรื่องของเทคโนโลยีเพียงอย่างเดียว แต่เกี่ยวข้องกับคน กระบวนการ กฎหมาย ธรรมาภิบาล และการตัดสินใจของผู้บริหาร
ภาพของ Cyber Resilience ชัดขึ้นเมื่อมองผ่านประสบการณ์ของ ดร.นพ.ศุภฤกษ์ถวิลลาภผู้ช่วยผู้อำนวยการกองระบาดวิทยากรมควบคุมโรคกระทรวงสาธารณสุข หนึ่งในผู้พัฒนาหลักของหมอพร้อม มุมกฎหมายจาก ผศ.ดร.ผศ.ดร.พีรพัฒ โชคสุวัฒนสกุล อาจารย์ประจำคณะนิติศาสตร์ จุฬาลงกรณ์มหาวิทยาลัย และมุมพฤติกรรมมนุษย์ ผศ.ดร.เจนนิเฟอร์ ชวโนวานิช รองคณบดีและประธานคณะวิชาจิตวิทยาอุตสาหกรรมและองค์การ คณะจิตวิทยาจุฬาลงกรณ์มหาวิทยาลัย ในหัวข้อ “Cyber Resilience: เทคโนโลยี คน และธรรมาภิบาล เพื่อองค์กรที่พร้อมรับมือทุกความเปลี่ยนแปลง” ภายในงานการประชุมวิชาการและนิทรรศการเนคเทค ประจำปี 2569 (NECTEC-ACE 2026) ภายใต้แนวคิด “NECTEC 40 Years – Legacy & Beyond”
ไม่มีระบบปลอดภัย 100% ต้องจัดลำดับความเสี่ยง
ดร.นพ.ศุภฤกษ์ กล่าวว่า การออกแบบระบบในอุดมคติ ทุกคนย่อมต้องการวางความปลอดภัยไว้ตั้งแต่ต้น แต่โลกการทำงานจริงเต็มไปด้วยข้อจำกัด โครงการที่วางแผนพัฒนา 6 เดือนอาจถูกเร่งให้เปิดใช้ในวันรุ่งขึ้น งบประมาณอาจถูกตัด หรือองค์กรอาจยังต้องใช้โครงสร้างพื้นฐานเดิมที่ไม่สามารถเปลี่ยนใหม่ได้ทันที โรงพยาบาลบางแห่งยังมีคอมพิวเตอร์ที่ใช้ระบบปฏิบัติการเก่าอย่าง Windows 2000 ซึ่งไม่สามารถติดตั้งโปรแกรมป้องกันไวรัสรุ่นใหม่ได้ การเพิ่มความปลอดภัยจึงอาจหมายถึงการลงทุนเปลี่ยนเครื่องใหม่ทั้งระบบ
เมื่อทรัพยากรมีจำกัด สิ่งที่ต้องทำคือจัดลำดับความเสี่ยง จุดใดมีความสำคัญและหลีกเลี่ยงไม่ได้ต้องได้รับการจัดการก่อน ส่วนความเสี่ยงลำดับรองอาจใช้การอบรมหรือกระบวนการบริหารจัดการเข้ามาช่วย
“ชีวิตจริงใครอยากให้ทุกอย่างมันปลอดภัยที่สุด แต่บางทีเราต้องเลือกเหมือนกัน ทำอันนี้ก่อนแล้วทำอันนี้ทีหลัง” ดร.นพ.ศุภฤกษ์ กล่าว
ความปลอดภัยยังต้องสมดุลกับการใช้งานจริง หากระบบบังคับรหัสผ่านที่ซับซ้อนหรือยืนยันตัวตนหลายขั้นตอนในทุกจุดจนสร้างภาระให้ผู้ใช้ สุดท้ายคนก็จะพยายามหาทางหลีกเลี่ยงมาตรการเหล่านั้น ทางออกจึงไม่ใช่การเพิ่มความเข้มงวดทุกจุด แต่เลือกใช้มาตรการที่เหมาะสมกับระดับความเสี่ยง เช่น เพิ่มการยืนยันตัวตนเมื่อเข้าถึงข้อมูลส่วนบุคคล และออกแบบระบบโดยคำนึงถึงความสามารถด้านเทคโนโลยีของผู้ใช้ที่แตกต่างกัน
Cyber Drill ซ้อมรับมือก่อนเกิดวิกฤติจริง
จำนวนครั้งที่ถูกโจมตีอาจไม่ใช่ตัวชี้วัดที่ดีว่าองค์กรพร้อมรับมือมากเพียงใด เพราะตัวเลขสามารถถูกปรับวิธีนับให้ดูดีได้ ดร.นพ.ศุภฤกษ์ ให้ความสำคัญกับการทดสอบว่า เมื่อเกิดเหตุจริง คนและระบบยังทำงานตามแผนได้หรือไม่
หาก Ransomware เกิดขึ้นตอนตี 3 ฝ่ายไอทีอาจต้องรับทั้งโทรศัพท์ ข้อความ และคำถามจากหลายฝ่าย พร้อมกับตัดสินใจว่าจะปิดระบบหรือไม่ ข้อมูลได้รับผลกระทบแค่ไหน และต้องเริ่มกู้คืนจากจุดใด ในสถานการณ์เช่นนี้ SOP ที่เขียนไว้อย่างดีอาจไม่มีประโยชน์ หากคนไม่เคยซ้อมมาก่อนและไม่สามารถตั้งสติได้
องค์กรจึงต้องฝึกตั้งแต่การจำลองสถานการณ์ในห้องประชุม ไปจนถึงการทดสอบที่ใกล้เคียงเหตุการณ์จริง เช่น ตัดการเชื่อมต่ออินเทอร์เน็ตแล้วทดลองกู้ระบบกลับมา พร้อมซ้อมการตัดสินใจว่าจะปิดระบบใด ใครเป็นคนสื่อสาร และเมื่อใดต้องแถลงข่าว
“ตั้งสติพูดง่าย ทำยาก แล้วทำอย่างไรให้มันง่ายขึ้น คือซ้อม” ดร.นพ.ศุภฤกษ์ กล่าว
การซ้อมจึงไม่ได้วัดเพียงความพร้อมของระบบ แต่รวมถึงความพร้อมของผู้บริหารและคนที่ต้องตัดสินใจด้วย เพราะเมื่อเกิดวิกฤติ ความเสียหายมักขยายเร็วกว่าเวลาที่องค์กรมีไว้สำหรับตั้งหลัก
PDPA บังคับให้องค์กรเตรียมพร้อมก่อนข้อมูลรั่ว
ผศ.ดร.พีรพัฒน์ กล่าวว่าแนวคิดทางกฎหมายก็เปลี่ยนไปในทิศทางเดียวกับ Cyber Resilience เพราะความเสียหายไม่จำเป็นต้องเกิดจากการถูกแฮก ระบบอาจล่มจากการอัปเดตที่ผิดพลาด หรือข้อมูลส่วนบุคคลอาจรั่วเพียงเพราะพนักงานส่งอีเมลผิดคน
เขาเคยพบเหตุการณ์ลักษณะนี้ด้วยตัวเอง หลังจากไปบรรยายเรื่องความมั่นคงปลอดภัยของข้อมูล วันรุ่งขึ้นกลับได้รับอีเมลที่มีข้อมูลพนักงานซึ่งป่วยโควิดและข้อมูลครอบครัวติดมาด้วย เนื่องจากอีเมลของเขาถูกใส่ไว้ในช่อง CC โดยไม่ตั้งใจ ความเสียหายจึงเกิดขึ้นโดยไม่ต้องมีใครเจาะระบบ
กฎหมายอย่าง PDPA จึงให้ความสำคัญกับการเตรียมการก่อนเกิดเหตุ ตั้งแต่องค์กรต้องรู้ว่าตัวเองกำลังประมวลผลข้อมูลอะไร ใครรับผิดชอบ ไปจนถึงการเตรียมขั้นตอนเมื่อข้อมูลรั่วไหล หากเหตุเข้าข่ายต้องแจ้ง องค์กรมีกรอบเวลา 72 ชั่วโมง ซึ่งทำให้ความพร้อมของผู้ให้บริการภายนอกหรือ Vendor กลายเป็นเรื่องสำคัญ หาก Vendor แจ้งช้า องค์กรก็อาจไม่มีเวลาเพียงพอสำหรับดำเนินการในขั้นตอนต่อไป
Incident Response Plan จึงไม่ควรอยู่ในมือฝ่ายไอทีเพียงฝ่ายเดียว แต่ต้องเชื่อมฝ่ายกฎหมาย ผู้บริหาร ผู้รับผิดชอบข้อมูล และฝ่ายสื่อสาร ทุกคนต้องรู้ว่าเกิดเหตุแล้วจะติดต่อใคร ใครประเมินความเสียหาย ใครแจ้งหน่วยงานกำกับ และใครเป็นผู้สื่อสารในชั่วโมงแรกของวิกฤติ
อีกสิ่งที่ ผศ.ดร.พีรพัฒน์ ให้ความสำคัญคือ Log เพราะเมื่อเกิดข้อพิพาท คำอธิบายไม่สามารถทดแทนหลักฐานที่ตรวจสอบย้อนหลังได้ การมีประวัติการทำงานของระบบช่วยพิสูจน์ได้ว่าองค์กรดำเนินการอย่างไร และได้ใช้ความระมัดระวังตามหน้าที่หรือไม่
ภัยไซเบอร์ยิ่งเสียหายเมื่อคนไม่กล้ารายงาน
ผศ.ดร.เจนนิเฟอร์ กล่าวว่า การตอบสนองของมนุษย์ต่อภัยคุกคามขึ้นอยู่กับ 2 เรื่อง คือ คนมองว่าสถานการณ์นั้นรุนแรงเพียงใด และตัวเองมีทรัพยากรเพียงพอที่จะรับมือหรือไม่ หากพนักงานคิดว่าปัญหาร้ายแรง แต่ไม่รู้ว่าต้องทำอะไร ไม่มีคนช่วย และกลัวถูกลงโทษ ความกลัวอาจทำให้ตื่นตระหนก นิ่งเฉย หรือเลือกปิดบังความผิดพลาด
ในทางกลับกัน หากรู้ว่ามีนโยบาย มีทีมไอที และมีคนที่พร้อมช่วยเหลือ พนักงานจะมีโอกาสตัดสินใจอย่างมีสติมากกว่า เรื่องนี้สำคัญเมื่อความผิดพลาดเกิดจากการส่งข้อมูลผิดหรือกดลิงก์ที่ไม่ควรกด เพราะยิ่งรายงานเร็ว องค์กรยิ่งมีโอกาสจำกัดความเสียหาย
“Error หรือข้อผิดพลาดมันเกิดขึ้นเป็นเรื่องปกติ” ผศ.ดร.เจนนิเฟอร์ กล่าว โดยแยกออกจากกรณีที่มี Protocol อยู่แล้วแต่จงใจไม่ปฏิบัติตาม
องค์กรจึงต้องสร้างวัฒนธรรมที่ทำให้คนกล้ารายงาน ไม่ใช่สร้างบรรยากาศที่ทุกคนพยายามซ่อนปัญหาเพื่อไม่ให้ถูกตำหนิ
Cyber Safety Culture เริ่มจากผู้นำไม่ใช่แค่การอบรม
การอบรมสร้างความตระหนักรู้ด้านไซเบอร์เป็นสิ่งจำเป็น แต่ ผศ.ดร.เจนนิเฟอร์ กล่าวถึงงานวิจัยที่พบว่า แม้คนผ่านการอบรมแล้วก็ยังมีผู้ที่กดลิงก์ที่ไม่ควรกดมากกว่าร้อยละ 50 การเปลี่ยนพฤติกรรมจึงไม่สามารถพึ่งการอบรมอย่างเดียว
สิ่งที่ต้องสร้างคือ Cyber Safety Culture ซึ่งต้องเริ่มจากการกำหนดบทบาทให้ชัดว่าเมื่อเกิดเหตุแต่ละคนต้องทำอะไร และที่สำคัญคือบทบาทของผู้นำ หากพนักงานรีบรายงานว่าตัวเองส่งข้อมูลผิดแล้วถูกตำหนิทันที ครั้งต่อไปเขาอาจเลือกไม่บอก ผู้บริหารจึงต้องสร้างบรรยากาศที่ทำให้คนรู้ว่าการรายงานความผิดพลาดจะนำไปสู่การแก้ปัญหา ไม่ใช่การหาคนมารับผิดเพียงอย่างเดียว
บทบาทของผู้บริหารยังเชื่อมกับการทำงานของฝ่ายไอทีโดยตรง เพราะต่อให้มี SOP มี Governance และมีมาตรฐานพร้อม หากผู้บริหารเลือกข้ามขั้นตอนเมื่อมีงานเร่งด่วน ความเสี่ยงก็ยังคงอยู่ และเมื่อเกิดเหตุ ฝ่ายไอทีมักกลายเป็นกลุ่มแรกที่ต้องเข้ามารับมือ
Cyber Resilience จึงไม่ใช่เรื่องที่ฝ่ายไอทีสร้างขึ้นได้เพียงลำพัง แต่ต้องมีผู้บริหารเป็นส่วนหนึ่งของระบบตั้งแต่ก่อนเกิดวิกฤติ
Shadow AI ขยายความเสี่ยงไซเบอร์ไปทั้งองค์กร
เมื่อ AI เข้าไปอยู่ในงานของคนจำนวนมากขึ้น เส้นแบ่งระหว่าง “คนไอที” กับ “ผู้ใช้งานทั่วไป” ก็ยิ่งบางลง ผศ.ดร.พีรพัฒน์ ยกตัวอย่าง Shadow AI เมื่อพนักงานนำเครื่องมือ AI มาใช้โดยที่ฝ่ายไอทีอาจไม่รับรู้ และอาจนำข้อมูลลูกค้าหรือข้อมูลภายในไปใช้กับเครื่องมือเหล่านั้น
การห้ามเพียงอย่างเดียวอาจไม่แก้ปัญหา เพราะการใช้ Shadow AI บอกว่าคนทำงานมีความต้องการบางอย่างที่ระบบขององค์กรยังไม่ตอบโจทย์ วิธีหนึ่งจึงเป็นการเปิดพื้นที่ให้พนักงานบอกว่ากำลังใช้เครื่องมืออะไรและใช้เพื่ออะไร โดยไม่เริ่มจากการตำหนิ เพื่อให้องค์กรเข้าใจความต้องการจริงและวางแผนใช้เทคโนโลยีได้ปลอดภัยขึ้น
“เวลามันเกิด Crisis ขึ้น มันคิดไม่ทันแล้ว” ผศ.ดร.พีรพัฒน์ กล่าว
ยิ่ง AI ทำให้เทคโนโลยีกระจายไปอยู่ในมือของคนทุกฝ่าย การคิดล่วงหน้าว่าอะไรอาจผิดพลาด ใครต้องรับผิดชอบ และเมื่อเกิดเหตุแต่ละฝ่ายต้องทำอะไร ยิ่งกลายเป็นเรื่องจำเป็น เพราะจุดเสี่ยงครั้งต่อไปอาจไม่ได้อยู่ในระบบหลักขององค์กร แต่อยู่ในวิธีที่คนคนหนึ่งเลือกใช้เทคโนโลยีในงานประจำวัน
Cyber Resilience วัดที่การรับมือและฟื้นตัว
มุมมองจากเทคโนโลยี กฎหมาย และจิตวิทยามาบรรจบกันที่จุดเดียวกันว่า Cyber Resilience ไม่ได้หมายถึงการสร้างระบบที่ไม่มีวันผิดพลาด แต่คือการเตรียมองค์กรให้พร้อมเมื่อความผิดพลาดเกิดขึ้น
องค์กรต้องรู้ว่าความเสี่ยงสำคัญอยู่ตรงไหน เลือกใช้ทรัพยากรกับจุดที่จำเป็น ออกแบบความปลอดภัยให้คนใช้งานได้จริง เตรียมแผนตอบสนองต่อเหตุการณ์ เก็บ Log ที่ตรวจสอบย้อนหลังได้ ซ้อมสถานการณ์ก่อนเกิดเหตุ และสร้างวัฒนธรรมที่ทำให้คนกล้าพูดถึงความผิดพลาด
เมื่อเทคโนโลยีกระจายเข้าไปอยู่ในงานทุกส่วน ความปลอดภัยไซเบอร์จึงไม่สามารถฝากไว้กับฝ่ายไอทีเพียงฝ่ายเดียว ผู้บริหาร ฝ่ายกฎหมาย ฝ่ายธุรกิจ คนทำงาน และผู้ให้บริการภายนอกต่างเป็นส่วนหนึ่งของความพร้อมเดียวกัน
สำหรับคนที่อยู่หลังระบบ ดร.นพ.ศุภฤกษ์ ทิ้งท้ายด้วยคำสั้น ๆ ว่า “Save ตัวเอง” เพราะหลายครั้งคนทำงานทำดีที่สุดตามมาตรฐานและความถูกต้องทางวิชาการแล้ว แต่ยังมีข้อจำกัดจากทรัพยากร ความเข้าใจขององค์กร หรือการตัดสินใจที่อยู่นอกเหนืออำนาจของตัวเอง
Cyber Resilience จึงไม่ได้วัดจากการที่องค์กรไม่เคยถูกโจมตีหรือไม่เคยเกิดข้อมูลรั่วไหล แต่อยู่ที่ว่าเมื่อเหตุเกิดขึ้นจริง คนยังรู้ว่าต้องทำอะไร ผู้บริหารยังตัดสินใจได้ ระบบสำคัญสามารถกลับมาทำงาน และองค์กรสามารถเรียนรู้จากสิ่งที่เกิดขึ้นเพื่อรับมือกับครั้งต่อไปได้ดีขึ้น
ข่าวอื่น ๆ ที่น่าสนใจ
Connected Government โจทย์ใหญ่รัฐบาลดิจิทัลไทย เชื่อมข้อมูลอย่างไรให้มั่นคงและปลอดภัย
สกมช. จับมือ พาโล อัลโต้ เปิดโรดแมป เสริมแกร่งคลาวด์ภาครัฐรับมือภัยคุกคาม AI
