ความปลอดภัยทางไซเบอร์: สิ่งที่ผู้นำต้องรู้

ความต้องการความปลอดภัยในโลกไซเบอร์ได้เพิ่มขึ้นอย่างรวดเร็วในช่วงไม่กี่ปีที่ผ่านมา เนื่องจากวัฒนธรรมการทำงานจากที่บ้านอย่างแพร่หลายอย่างฉับพลันทำให้บริษัทต่างๆ ทั่วโลกต้องทบทวนระบบความปลอดภัยทางไซเบอร์ มาตรฐาน และกลยุทธ์สำหรับอนาคต

นั่นคือเหตุผลที่ BrainStation รวบรวมผู้เชี่ยวชาญในอุตสาหกรรมสี่คนซึ่งเป็นผู้นำกลยุทธ์การรักษาความปลอดภัยในโลกไซเบอร์ที่บริการทางการเงินยักษ์ใหญ่อย่าง Mastercard บริษัทการลงทุน Blackstone เว็บไซต์เครือข่ายมืออาชีพ LinkedIn และผู้พัฒนาซอฟต์แวร์ Citrix เพื่ออภิปรายเกี่ยวกับสิ่งที่ผู้นำจำเป็นต้องรู้เกี่ยวกับความปลอดภัยในโลกไซเบอร์ ซึ่งเป็นส่วนหนึ่งของ Digital Leadership Event Series ของ BrainStation

คุณสามารถรับชมการอภิปรายแบบเต็มได้ที่นี่:

ความปลอดภัยทางไซเบอร์คืออะไร?

ก่อนที่จะสำรวจวิธีที่ภูมิทัศน์การรักษาความปลอดภัยในโลกไซเบอร์กำลังเปลี่ยนแปลง ผู้เข้าร่วมของเราถูกถามถึงแนวคิดของพวกเขาเกี่ยวกับความปลอดภัยทางไซเบอร์ที่เกี่ยวข้อง

Eugene Dvorochkin สมาชิกอาวุโสของทีมความปลอดภัยของข้อมูลที่ LinkedIn สรุปความปลอดภัยทางไซเบอร์ว่า “ใช้เทคโนโลยี กระบวนการ และการควบคุมเพื่อปกป้องระบบ เครือข่าย และข้อมูล ในท้ายที่สุด ทุกอย่างกลับไปที่ข้อมูล…สิ่งที่เราพยายามทำคือปกป้องข้อมูลนั้น ปกป้องความสมบูรณ์ของข้อมูล และทำให้แน่ใจว่า [ไม่มี] การใช้งานโดยไม่ได้รับอนุญาต”

Kurt Roemer หัวหน้านักยุทธศาสตร์ด้านความปลอดภัยของ Citrix อธิบายว่าการมุ่งเน้นแบบดั้งเดิมของการรักษาความปลอดภัยทางไซเบอร์ที่การรักษาความลับ ความสมบูรณ์ และความพร้อมใช้งานของข้อมูลควรขยายให้ครอบคลุมปัจจัยที่สี่: ความปลอดภัย “ในขณะที่เราใช้ IoT และปัญญาประดิษฐ์อื่นๆ และ [แอพพลิเคชั่นความเป็นจริงเสริม] มันถูกรวมเข้ากับโลกทางกายภาพของเราในลักษณะที่ความปลอดภัยกลายเป็นสิ่งสำคัญอย่างยิ่ง”

Puneet Bhatnagar รองประธานอาวุโส / หัวหน้า IAM – Cybersecurity ที่ Blackstone ใช้แนวทางเชิงปรัชญามากขึ้น: “ฉันถามตัวเองด้วยคำถามพื้นฐานว่า 'ฉันจะช่วยสร้างความไว้วางใจในการออกแบบระบบได้อย่างไร? ฉันรู้สึกสบายใจในการสมัครสมัครเมื่อฉันให้ข้อมูลส่วนตัวหรือไม่? ฉันเชื่อถือแบรนด์ที่ฉันนำเสนอข้อมูลนั้นหรือไม่' เป็นสิ่งสำคัญสำหรับองค์กรที่จะต้องมองว่าการรักษาความปลอดภัยทางไซเบอร์เป็นทุกสิ่งที่พวกเขาต้องทำเพื่อสร้างความไว้วางใจภายในแอปพลิเคชันและระบบนิเวศของพวกเขา”

Sukhmani Dev รองประธานฝ่าย Digital & Security Solutions ของ Mastercard เห็นด้วย “เราต้องการให้แน่ใจว่าความไว้วางใจนั้นสะท้อนให้เห็นในทุกธุรกรรม”

การบรรลุเป้าหมายสูงสุดนั้นเป็นกระบวนการที่มีพลังเช่นเดียวกับเทคโนโลยี ด้านล่างนี้เป็นเพียงตัวอย่างแนวโน้มกว้างๆ บางส่วนที่ผู้ร่วมอภิปรายของเราระบุ

การรักษาความปลอดภัยทางไซเบอร์มีความสำคัญมากกว่าที่เคย

โควิด-19 และการระเบิดของวัฒนธรรมการทำงานจากที่บ้านได้บีบอัดวิวัฒนาการที่คาดว่าจะใช้เวลาหนึ่งทศวรรษให้เหลือเวลาไม่กี่เดือน การเร่งความเร็วนั้นหมายถึงกิจกรรมออนไลน์ที่มากขึ้น ผู้ใช้ใหม่มากขึ้น และความซับซ้อนที่มากขึ้นในแต่ละระบบที่ผู้ใช้พึ่งพา ซึ่งทั้งหมดนี้เป็นโอกาสสำหรับผู้ไม่หวังดี ผลที่ได้คือความต้องการความปลอดภัยทางดิจิทัลที่เพิ่มขึ้นอย่างฉับพลันและฉับพลัน

ความต้องการส่วนใหญ่นั้นมาจากปริมาณที่เรียบง่าย ในช่วงล็อกดาวน์ ผู้คนจำนวนมากขึ้นทำงานและซื้อของจากอุปกรณ์ในบ้าน Dvorochkin อธิบายว่า “เมื่อคุณใช้เครือข่ายในบ้าน คุณอาจใช้อุปกรณ์ส่วนตัว เช่น คอมพิวเตอร์ส่วนบุคคลหรือ iPhone เพื่อเข้าถึงสภาพแวดล้อมและข้อมูลขององค์กร และคุณยังพึ่งพาระบบของบุคคลที่สามมากขึ้น เช่น Zoom หรืออื่นๆ วิธีการสื่อสาร คุณกำลังเข้าสู่สภาพแวดล้อมที่ยากต่อการรักษาความปลอดภัย”

สำหรับบริษัทข้ามชาติขนาดใหญ่หลายแห่ง การรองรับการทำงานทางไกลนั้นค่อนข้างตรงไปตรงมา แต่สำหรับธุรกิจอิฐและปูนขนาดเล็กจำนวนมาก นี่หมายถึงการโจมตีครั้งแรกในโลกดิจิทัล – และสิ่งเหล่านี้มีความเสี่ยงต่อแฮ็กเกอร์เป็นพิเศษ “[เป็นความเข้าใจผิด] ว่ามีเพียงบริษัทขนาดใหญ่ที่มีชื่อเสียงเท่านั้นที่เป็นเป้าหมายของการโจมตี” Dvorochkin กล่าวต่อ “แฮ็กเกอร์มีความก้าวหน้ามากขึ้น แต่เครื่องมือและเทคนิคที่พวกเขาใช้นั้นกลายเป็นสาธารณะโดยพื้นฐานแล้ว ทุกคนสามารถออนไลน์และเริ่มแฮ็คบริษัทใดก็ได้ ไม่ใช่แค่บริษัทขนาดใหญ่ที่มีชื่อเสียงเท่านั้นที่ตกเป็นเป้าหมายของแฮ็กเกอร์ที่เชี่ยวชาญ มันสามารถเป็นร้านแม่และป๊อปทุกร้านได้อย่างแท้จริง”

Dev ระบุความซับซ้อนที่เพิ่มขึ้นของระบบเป็นเวกเตอร์อื่น “ทุกอย่างเชื่อมต่อถึงกันมากกว่าที่เคย” เธอกล่าว “ถ้าคุณนึกถึงธนาคาร พวกเขาอาจมีซัพพลายเออร์ แต่ซัพพลายเออร์ของพวกเขาก็มีซัพพลายเออร์ และสิ่งเหล่านี้คือห่วงโซ่อุปทานขนาดใหญ่ จุดเชื่อมต่อเติบโตขึ้นอย่างมากในช่วงไม่กี่ปีที่ผ่านมา”

นี่หมายถึงลิงก์ที่อ่อนแอกว่าสำหรับแฮ็กเกอร์ที่จะหาประโยชน์ – และแฮ็กเกอร์ได้สังเกตเห็นแล้ว

ย้ายจากระบบสู่ผู้ใช้

การเติบโตของขนาดและความซับซ้อนยังหมายถึงทีมรักษาความปลอดภัยในโลกไซเบอร์กำลังต่อสู้ในแนวหน้าที่มากกว่าที่เคย สิ่งนี้นำไปสู่การเปลี่ยนแปลงวิธีที่ผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์คิดเกี่ยวกับงานของพวกเขา หากเป้าหมายคือการรักษาความปลอดภัยข้อมูลภายในป้อมปราการดิจิทัล งานของการรักษาความปลอดภัยทางไซเบอร์คือการปกป้องขอบเขต – แต่ขอบเขตและรูปแบบการโจมตีจะเปลี่ยนแปลงตลอดเวลา การล็อคข้อมูลไม่ใช่คำตอบ การมีระบบนั้นไม่มีประโยชน์หากไม่มีใครสามารถเข้าถึงได้ แต่ลำดับความสำคัญเปลี่ยนไปเป็นอันดับแรก การยืนยันตัวตนของผู้ที่เข้าถึงข้อมูล และประการที่สอง ให้สิทธิ์เข้าถึงเฉพาะข้อมูลที่พวกเขาต้องการ แทนที่จะเป็นทั้งระบบ

“ก่อนหน้านี้ คุณอาจมีบางสิ่งที่ถือว่าปลอดภัยเมื่ออยู่ในกำแพงทั้งสี่เท่านั้น” Roemer กล่าว “จะเกิดอะไรขึ้นถ้าคุณหันกลับมาและพูดว่า 'เราจะรักษาความปลอดภัยเหล่านี้ได้อย่างไรเมื่ออยู่นอกกำแพงทั้งสี่ในเมฆ' เมื่อคุณดูรูปแบบการทำงานแบบไฮบริด คุณมีคนที่ทำงานในสถานการณ์ต่างๆ ที่อาจจะเกิดขึ้นทุกสัปดาห์ ในสำนักงาน ในบ้านของพวกเขา บางทีในร้านกาแฟอีกครั้ง หรืออาจกำลังเดินทาง คุณจะแน่ใจได้อย่างไรว่าคุณมีสภาพแวดล้อมการรักษาความปลอดภัยที่เหมาะสมสำหรับบุคคลเหล่านั้น”

สำหรับ Bhatnagar นี่หมายความว่า "ขอบเขตที่แท้จริงเพียงอย่างเดียวที่คุณมีซึ่งคุณสามารถรักษาความปลอดภัยได้อย่างแท้จริงคือขอบเขตข้อมูลประจำตัวของคุณ" โดยทั่วไปแล้วต้องมีการตรวจสอบสิทธิ์แบบหลายปัจจัย ซึ่งช่วยตรวจสอบว่าผู้คนเป็นอย่างที่พวกเขาพูด (“มีสถิติบ้าๆ อยู่บ้าง” Bhatnagar กล่าว “เช่น การละเมิดมากกว่า 90% เกิดจากการประนีประนอมอีเมลบางประเภท” ).

ผลที่ได้คือ “เพียงแค่มีขอบเขตเครือข่ายที่ดีหรือมีชุดไฟร์วอลล์ที่ดีไม่เพียงพอ คุณต้องเปลี่ยนความคิดจากการเป็นระบบ-หรือเครือข่ายเป็นศูนย์กลางไปเป็นตัวตน-หรือผู้ใช้เป็นศูนย์กลาง นั่นคือตอนที่เราเริ่มคิดเกี่ยวกับกระบวนทัศน์ใหม่ของความเชื่อถือเป็นศูนย์ ด้วยปริมาณข้อมูลที่ผู้คนเข้าถึงอยู่ตลอดเวลา คุณจะคอยติดตามเสมอหากคุณเพียงแค่พยายามแก้ไขระบบหรือรักษาความปลอดภัยเครือข่าย”

การเปลี่ยนโฟกัสไปที่ข้อมูลระบุตัวตนของผู้ใช้ช่วยขจัดการเข้าถึงแฮ็กเกอร์ภายนอก แต่ยังช่วยลดความเสี่ยงจากภายในด้วยการจำกัดการเข้าถึงข้อมูลที่ต้องการของผู้ใช้ที่ถูกต้องตามกฎหมาย แน่นอนว่าสิ่งนี้ขึ้นอยู่กับความสามารถในการแยกวิเคราะห์ข้อมูลที่คุณต้องการ Dvorochkin อธิบายว่า “ในสมัยก่อน บริษัทต่างๆ ต่างมีสิทธิพิเศษมากเกินไป และพวกเขาสามารถเข้าถึงทุกอย่าง ตามสั่ง ซึ่งเห็นได้ชัดว่านำไปสู่ความเสี่ยงมากขึ้น [คุณต้อง] เฉพาะเจาะจงมากเกี่ยวกับข้อมูลทั้งหมดที่คุณมี คุณไม่รู้ว่าคุณไม่รู้อะไร ดังนั้นการติดแท็กเพื่อระบุตัวตนที่ดีจึงสำคัญมาก - การรู้ว่าข้อมูลของคุณอยู่ที่ใด มีข้อมูลจำนวนเท่าใด และธุรกรรมที่คุณมีกับข้อมูลนั้น โดยเฉพาะอย่างยิ่งกับซัพพลายเออร์บุคคลที่สาม . เพราะเป็นอีกครั้งที่เราต้องพึ่งพาแอปพลิเคชันบุคคลที่สามมากขึ้นเรื่อยๆ และเห็นได้ชัดว่าพวกเขาไม่ไว้วางใจในระดับเดียวกับพนักงานภายในของเรา ทุกอย่างกลับมาที่การระบุตัวตน การมีสินค้าคงคลังที่ดี และสามารถจำกัดมันได้”

วัฒนธรรมและการศึกษาคือหัวใจสำคัญ

คุณไม่สามารถใช้กลยุทธ์การรักษาความปลอดภัยในโลกไซเบอร์ได้เว้นแต่เพื่อนร่วมทีมของคุณจะเข้าร่วม และมนุษย์มักจะเป็นจุดอ่อนที่สุดในห่วงโซ่การรักษาความปลอดภัยทางไซเบอร์ การแฮ็กส่วนใหญ่ไม่ได้ทำโดยการเขียนโค้ดแต่โดยการวางตัวเป็นผู้มีอำนาจและหลอกให้ผู้อื่นให้รหัสผ่าน การแก้ปัญหาที่นี่คือสังคมมากพอๆ กับที่เป็นเทคโนโลยี

“ความปลอดภัยทางไซเบอร์ไม่ใช่ความรับผิดชอบของคนเดียวหรือของทีมเดียว” Bhatnagar กล่าว “ทุกคนต้องพับแขนเสื้อขึ้นและเป็นเจ้าของมัน เราให้ความสำคัญอย่างมากกับการฝึกอบรมการรับรู้ของผู้ใช้ปลายทาง ช่วยให้พวกเขาระบุอีเมลฟิชชิง การจำลองฟิชชิง และเพิ่มความซับซ้อนของการจำลองเหล่านี้ขึ้นเรื่อยๆ ดังนั้นเราจึงให้ความรู้แก่พนักงานของเราอย่างต่อเนื่อง”

ซึ่งสามารถลดการละเมิดข้อมูลแต่ละกรณีได้โดยตรง แต่ยังช่วยปลูกฝังวัฒนธรรมทั่วทั้งบริษัทที่ให้ความสำคัญกับความปลอดภัยทางไซเบอร์ “เมื่อคุณพูดออกมาแล้ว มันเป็นภาษาที่ทุกคนเข้าใจ ไม่ใช่แค่ผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์ของคุณเท่านั้นที่จำเป็นต้องมีเทคนิคขั้นสูง แต่มีกรอบงานทั่วไปที่ผู้นำธุรกิจคนอื่นๆ สามารถเข้าใจได้ คุณสามารถใช้สิ่งนั้นเพื่อสร้างความตระหนักและรับงบประมาณและเงินทุนและทรัพยากรที่คุณต้องการเพื่อทำการปรับปรุงเชิงกลยุทธ์ต่อไป”

Dev เล็งเห็นถึงความสำคัญของวัฒนธรรมองค์กร “และควบคู่ไปกับวัฒนธรรม” เธอกล่าว “ฉันจะบอกว่าการฝึกอบรม….มันเป็นวิธีคิดและการดำเนินงานที่ต่างไปจากเดิมอย่างสิ้นเชิง เมื่อเทียบกับระบบเดิม เทคโนโลยี การออกแบบ และอื่นๆ ที่เหลือจะเข้าที่เข้าทางหากคุณมีทัศนคติที่ดีต่อวัฒนธรรม”

สำหรับ Roemer สิ่งนี้เริ่มต้นที่ด้านบน “การรักษาความปลอดภัยเป็นความรับผิดชอบร่วมกัน และเราทุกคนจำเป็นต้องเป็นผู้ปฏิบัติงานด้านความปลอดภัย ผู้นำต้องไปที่ HR และแจ้งให้ทราบว่าจำเป็นต้องมีความสามารถในการรักษาความปลอดภัยทั่วทั้งองค์กร และพูดคุยเกี่ยวกับวิธีที่พวกเขาสามารถให้โอกาสในการเพิ่มทักษะและความก้าวหน้าสำหรับผู้ที่พบว่าการรักษาความปลอดภัยเป็นอาชีพที่น่าสนใจ และสามารถดึงบุคคลเหล่านั้นได้ – ไม่ใช่แค่เพียง จากองค์กรไอที แต่จากทั่วทั้งองค์กร ตามที่เห็นสมควร และให้ติดต่อส่วนที่เหลือขององค์กร [และสื่อสารว่า] เราต้องการผู้เชี่ยวชาญด้านความปลอดภัยเพิ่มเติมอย่างมาก และเราทุกคนจำเป็นต้องได้รับการพิจารณาว่าเป็นผู้ปฏิบัติงาน”

เปลี่ยนจากแทคติกเป็นแพลตฟอร์ม

ค่อนข้างขัดแย้งกัน เมื่อพิจารณาจากการเปลี่ยนโฟกัสจากการรักษาความปลอดภัยระบบทั้งหมดไปยังขอบเขตข้อมูลประจำตัวผู้ใช้ เรายังเห็นการเปลี่ยนแปลงจากกลยุทธ์และไปสู่แพลตฟอร์ม นั่นคือการจัดระเบียบความพยายามในการรักษาความปลอดภัยทางไซเบอร์ให้เป็นกลยุทธ์แบบองค์รวม แทนที่จะเป็นอาร์เรย์ของบุคคล แพทช์

Roemer อธิบายว่า "เหตุผลของเรื่องนี้ก็คือการจัดการ [acollection of] point products เป็นเรื่องยากมาก พวกมันทำงานร่วมกันได้ไม่ดี และเราไม่มีทรัพยากรที่จะใช้มันให้เกิดประสิทธิภาพ ดังนั้นยิ่งเราสร้างและรวมเป็นแพลตฟอร์มได้มากเท่าไหร่ เราก็ยิ่งขยายความสามารถด้านความปลอดภัยได้มากขึ้นเท่านั้น”

Dvorochkin เสริมว่านี่หมายถึงการประสานงานไม่ใช่แค่แทคติกเท่านั้น แต่ยังรวมถึงทั้งทีมด้วย “บ่อยครั้ง โดเมนหรือหน้าที่ของเทคโนโลยีถูกแยกออกจากกัน เห็นได้ชัดว่าเราทุกคนพยายามบรรลุเป้าหมายเดียวกัน ซึ่งทำให้บริษัทประสบความสำเร็จ”

สำหรับ Bhatnagar แนวทางเชิงกลยุทธ์ที่มากขึ้นรวมถึงการมีศูนย์ปฏิบัติการด้านความปลอดภัยที่มีพนักงานดีและได้รับทุนสนับสนุน แม้ว่าจะดีเสมอที่จะเป็นเชิงรุก แต่ก็ไม่ได้หมายความว่าการละเมิดจะไม่เกิดขึ้นในที่สุด และเมื่อเกิดขึ้น จำเป็นที่องค์กรจะต้องพร้อมที่จะดำเนินการ “มีหลายสิ่งหลายอย่างที่จะออกมาทางซ้ายเสมอ เพราะแฮ็กเกอร์มีความก้าวหน้ามากขึ้นเรื่อยๆ และเทคนิคของพวกมันยังคงดื้อรั้นมากขึ้น”

ความปลอดภัยทางไซเบอร์เป็นไดนามิกเสมอ

Dvorochkin สะท้อนความรู้สึกของ Bhatnagar – การตอบสนองเป็นสิ่งสำคัญ กลยุทธ์การรักษาความปลอดภัยทางไซเบอร์จำเป็นต้องมีไดนามิกเพื่อตอบโต้การโจมตีทั้งในเชิงรุกและเชิงโต้ตอบ ในด้านปฏิกิริยา เขากล่าวว่า “ไม่สำคัญหรอกว่า ถ้า มันเป็นเรื่องของ เมื่อ คุณจะถูกละเมิด แทบจะเป็นไปไม่ได้เลยที่จะได้รับการปกป้องอย่างเต็มที่อย่างต่อเนื่อง ในที่สุดบางสิ่งก็จะผ่านพ้นไป การปกป้องปริมณฑลนั้นสำคัญ การควบคุมนักสืบที่ดีก็สำคัญ แต่คุณต้องมีการตอบสนองที่ดี การประเมินที่ดี และสามารถทดสอบตัวเองได้”

ในด้านเชิงรุก นี่หมายถึงการประเมินกลยุทธ์ของคุณอย่างต่อเนื่อง คุณไม่สามารถตั้งค่าและลืมมันได้ “[มี] ความเข้าใจผิดที่ว่า 'โอเค เราลงทุนในเทคโนโลยี เราทำการตั้งค่าครั้งเดียว เรามีโปรแกรมความปลอดภัยทางไซเบอร์ เราพร้อมแล้ว” Dvorochkin กล่าวต่อ “การติดตั้งเครื่องมือบางอย่างเพียงครั้งเดียว – จะไม่ปกป้องคุณ เทคโนโลยีเปลี่ยนแปลงเกือบทุกวันเนื่องจากความสัมพันธ์แบบเสริมฤทธิ์กันระหว่างเทคโนโลยีกับไซเบอร์ และการรักษาความปลอดภัยทางไซเบอร์ก็เปลี่ยนแปลงไปอย่างรวดเร็วเช่นกัน ดังนั้นคุณต้องมีพลัง คุณต้องมีความทันสมัยอยู่เสมอ และคุณต้องมีการลงทุนที่ดีจากบริษัทของคุณ เพราะการรักษาความปลอดภัยทางไซเบอร์นั้นไม่ถูก”

“พิจารณาพอร์ตโฟลิโอเทคโนโลยีสารสนเทศของคุณเป็นชุดของการลงทุน” Roemer กล่าวเสริม “เช่นเดียวกับการลงทุนส่วนตัวของคุณ ให้ผ่านมันไปเป็นครั้งคราวและประเมินใหม่ว่าอะไรใช้ได้ผล อะไรไม่ดี และสถานที่ที่คุณต้องทิ้งสุนัขและไปยังบางสิ่งที่จะให้ผลตอบแทนที่ดีกว่าแก่คุณ ความปลอดภัยเป็นอย่างมากเช่นนั้น เราต้องการความคล่องตัว และหากคุณถือว่าพอร์ตโฟลิโอเทคโนโลยีสารสนเทศของคุณไม่ใช่ชุดการตัดสินใจที่ล่มสลาย แต่เนื่องจากเป็นชุดของการลงทุนที่ได้รับการประเมินอย่างต่อเนื่อง คุณจะสามารถช่วยในการก้าวไปข้างหน้าและจัดการกับความต้องการด้านความปลอดภัยในปัจจุบันและอนาคต”

( บทความนี้ได้รับการปรับปรุงล่าสุดในเดือนมกราคม 2022. )