เนื่องจากในยุคดิจิทัลมีความเสี่ยงทางโซเบอร์ที่อาจเกิดขึ้นได้ทุกเมื่อ ไม่ว่าจะเป็นความประมาทเลินเล่อหรือการถูกคุกคามโดยเจตนา ซึ่งส่งผลกระทบต่อเนื่องทางธุรกิจ (Business Continuity) ขององค์กร โดยความเสี่ยงนี้ไม่ได้จำกัดอยู่เพียงบุคลากรภายในองค์กร (Internal IT Administrator) เท่านั้น แต่ยังรวมไปถึงผู้ให้บริการระบบฯ (Vendor Product Principal) อีกด้วย
สภาพปัญหาและช่องโหว่ในปัจจุบัน (Current Pain Points)
การใช้กระบวนการควบคุมสิทธิ์แบบเดิม (Manual Control) ก่อให้เกิดความเสี่ยงที่สำคัญ 2 ประการ:
- การมอบสิทธิ์การใช้งานแบบถาวรให้แก่บัญชีผู้ใช้งาน: ไม่ว่าจะเป็นบุคลากรภายใน (Admin Staff) หรือบุคคลภายนอก (Vendor)
- การให้สิทธิ์ระดับสูง (Privileged Access) ให้แก่บัญชีผู้ใช้งานพร้อมกับรหัสผ่าน โดยขาดมาตรฐานควบคุมการรั่วไหลของข้อมูล โดยไม่ตั้งใจหรือโดนแอบลักลอบใช้จากภัยไซเบอร์
- ไม่มีการกำกับดูแลที่รัดกุมภายหลังจากเสร็จสิ้นภารกิจ (Temporary work as needed) อาจนำไปสู่การใช้งานเกินระยะเวลาที่ควรเป็น และการตรวจสอบภายหลังไม่มีรายงานระบุถึงได้
- ไม่ได้ทำการยกเลิกสิทธิ์ (Revoke Access Control) หรือขาดการกำกับดูแล และ/หรือ การแจ้งเตือนจากพันธมิตรธุรกิจ (Partner) อาจใช้สิทธิที่เคยได้รับเข้าถึงระบบและข้อมูลได้ การกระทำนั้นอาจส่งผลต่อความเสียหายทั้งทางตรงและทางอ้อม
- การให้สิทธิ์ระดับสูงกับบัญชีผู้ใช้ภายนอก แม้จะมั่นใจกับการมี Firewall หรือ การเข้าถึงผ่านระบบ VPN แล้วก็ตาม ทำให้การเข้าถึงจากภายนอกสามารถเข้าถึงเครือข่ายภายในได้ ซึ่งหากเป็นอุปกรณ์ส่วนตัว (BYOD) อาจส่งผลให้ไม่สามารถแยกส่วนการทำงานได้อย่างชัดเจน
- การให้สิทธิ์การเข้าถึงระบบฐานข้อมูลขององค์กรโดยได้สิทธิ์สูงสุดผูกไปกับบัญชีพร้อมรหัสผ่าน และเข้าถึงฐานข้อมูลทั้งหมดที่มีขององค์กร
- การทำงานร่วมกันระหว่างเจ้าหน้าที่ภายในและภายนอก: ในการเข้าปฏิบัติงานในระบบฯต่างๆ เจ้าหน้าที่ขององค์กรต้องเตรียมเครื่องที่จะรองรับการเข้าถึงจากภายนอก ซึ่งหากเครื่องดังกล่าวเป็นเครื่องของตนเองนั้นอาจไม่สามารถทำงานอย่างอื่นได้ หรือในกรณีมีการโจมตีทางไซเบอร์ถึงเครื่องดังกล่าวอาจเป็นจุดแพร่กระจายความเสี่ยงเข้าสู่องค์กรโดยตรง ส่งผลต่อการแก้ปัญหาหรือการไม่สามารถให้บริการของระบบที่ได้รับผลกระทบ ทั้งเวลาที่ใช้ไปกับการนั้นสามารถลดและพร้อมใช้งานโดยมีมาตรการคุมเข้ม
- การตรวจสอบตลอดการทำงานที่มี: เป็นการรายงานด้วยตัวบุคคลซึ่งใช้การทบทวนความจำหรือเสียเวลาในการรวบรวมหาข้อมูลเพื่อประกอบการประเมินผลการปฏิบัติงาน เนื่องจากไม่มีระบบรองรับเพื่อให้การตลอดจนการทำงานแบ่งแยกหน้าที่ได้ และการตรวจสอบได้ในกรณีเกิดเหตุการณ์ที่ไม่ปกติ
ทั้งนี้ หากนำระบบบริหารจัดการสิทธิพิเศษสูงเข้ามาใช้ จะช่วยให้การทำงานดำเนินอยู่เป็นไปอย่างมีระบบระเบียบ กำหนดขั้นตอนการทำงานได้ พร้อมมีการบันทึกเพื่อการตรวจสอบ และได้ประโยชน์ส่วนที่เป็นการวางแผนด้านความมั่นคงปลอดภัย เมื่อเปรียบเทียบกับความเสี่ยงหากเกิดขึ้น อาจไม่สามารถประเมินมูลค่าความเสียหายได้
เขียนโดย : Manikan
วันที่เผยแพร่ : 11 พ.ค. 2569
