หยุดวิกฤตวันสิ้นโลก: AI อันตรายกับองค์กรของคุณอย่างไร

นายปิแอร์ แซมซัน ประธานเจ้าหน้าที่ฝ่ายรายได้ (CRO) Hackuity เปิดเผยว่า เครื่องมือ AI ช่วยเพิ่มประสิทธิภาพในการทำงานได้ก็จริง แต่ก็ทำให้ชีวิตของวายร้ายไซเบอร์สะดวกขึ้นด้วยเช่นกัน งานวิจัยจาก Salesforce ให้ข้อมูลว่าผู้บริหารอาวุโสฝ่ายไอทีราว 2 ใน 3 (67%) ให้ความสำคัญกับ Generative AI (AI เชิงสร้างผลงาน) ในอนาคตอันใกล้นี้ ขณะเดียวกันราว 71% ก็เชื่อว่า AI จะนำมาซึ่งความเสี่ยงด้านความปลอดภัยของข้อมูลในรูปแบบใหม่ๆ

ข้อมูลจากสมาคมผู้ประกอบการปัญญาประดิษฐ์ประเทศไทยระบุว่า ประเทศไทยมีการใช้ AI อย่างแพร่หลาย ทั้งในระดับผู้ประกอบการไปจนถึงหน่วยงานภาครัฐ โดยส่วนใหญ่ตื่นตัวในการนำเทคโนโลยี AI มาใช้ในองค์กร ขณะเดียวกันรายได้ของบริษัทสตาร์ตอัปด้านการพัฒนา AI ของไทยก็เพิ่มขึ้น 25% ในปี 2565 และคาดการณ์ว่าเพิ่มขึ้นราว 35% ในปี 2566 

ปัจจุบันคนร้ายได้ใช้ ChatGPT และ Generative AI เพื่อช่วยเขียนโค้ดอันตราย (และอวดผลงานระหว่างกันในกลุ่มนักพัฒนา) ขณะที่ฝ่ายสนับสนุน ChatGPT อาจมองความเสี่ยงดังกล่าวในระดับที่ต่ำ แต่นักวิจัยพบว่า คนร้ายสามารถหลอกล่อ ChatGPT ให้สร้างไวรัสหรือสปายแวร์ได้เช่นกัน

แต่อย่าเพิ่งตื่นตระหนกเกินไป เพราะที่จริง "ความล้ำหน้า" ล่าสุดเหล่านี้ไม่ใช่พัฒนาการใหม่เสียทีเดียว แต่แค่เป็นการเร่งกระบวนการเดิมๆ ของแฮกเกอร์ให้เร็วขึ้น เช่นเดียวกับเครื่องมือ AI ที่ทำงานได้เอง นั่นหมายถึงในด้านหนึ่งทีมรักษาความปลอดภัยก็สามารถนำมาใช้ในการป้องกันภัยได้เช่นกัน อย่างการตรวจหาความผิดปกติด้านระบบรักษาความปลอดภัยไซเบอร์ หรือคนร้ายเองก็ใช้ในการสร้างโค้ดที่หลบหลีกการตรวจจับได้ด้วย

ควรเริ่มที่จุดใด 

เช่นเดียวกับภัยคุกคามรูปแบบใหม่อื่นๆ แต่ละองค์กรควรประเมินความเสี่ยงที่เกิดจาก ChatGPT ภายใต้บริบทการโจมตีที่เกี่ยวข้องกับตนเอง แนวทางดังกล่าวไม่ใช่การทบทวนระบบรักษาความปลอดภัยไซเบอร์ใหม่ทั้งหมด แต่บริษัทต่างๆ ต้องมั่นใจว่ามีปราการป้องกันที่แข็งแกร่งในด้านความปลอดภัยทางไซเบอร์ของตนเอง

ตามรายงานล่าสุดของซิสโก้ องค์กรส่วนใหญ่ยังคงเผชิญกับอุปสรรคในการตรวจสอบ ยกระดับ และแก้ไขปัญหาภัยคุกคามพื้นฐานทั่วไป มีเพียงราว 15% ที่มีความ "มั่นคง" ทางไซเบอร์ และมากกว่าครึ่งยังอยู่ในระดับ "เริ่มต้น" หรือ "เริ่มดำเนินการ" เท่านั้น ดังนั้นจึงเกิดเป็นช่องว่างด้านความปลอดภัยพื้นฐานที่จำเป็นต้องจัดการเป็นลำดับแรก ก่อนที่จะจัดสรรทรัพยากรไปรับมือกับภัยคุกคามล่าสุดจาก AI หรือกล่าวง่ายๆ ว่า อย่าเพิ่งรีบอวดฝีมือทำอาหารในเมื่อคุณเองก็ไม่ได้เข้าครัวมาหลายปี

หลายบทความมักพาดหัวให้คุณเชื่อว่า Generative AI และ ChatGPT เป็นภัยคุกคามไซเบอร์รูปแบบใหม่ ทั้งที่จริงเป็นเพียงแค่การขยายขอบเขตการโจมตีแบบโบราณ เรียกว่า AI ทำให้คนร้ายสามารถใช้เทคนิคเดิมๆ โจมตีได้ในระดับที่กว้างขึ้นกว่าในอดีต แต่ที่อธิบายไปทั้งหมดจะไม่สำคัญเลยเลยหากผู้ใช้งานขาดความพร้อมพื้นฐานที่ถูกต้อง

เราควรปกป้องตนเองอย่างไร

หลักการซีโรทรัสต์ซึ่งใช้ในการยืนยันตัวตนผู้ใช้ภายใต้สถาปัตยกรรมความปลอดภัยยุคใหม่ถือเป็นเฟรมเวิร์กที่ช่วยรับมือปัญหายุคใหม่ในโลกธุรกิจทุกวันนี้ โดยช่วยปกป้องคนที่ทำงานจากทางไกล ปกป้องระบบไฮบริดคลาวด์ และป้องกันบริษัทจากมัลแวร์เรียกค่าไถ่

องค์กรหลายแห่งใช้ระบบจัดการช่องโหว่ (ASM - Attack Surface Management) ที่ช่วยในการค้นหาและวิเคราะห์ช่องโหว่และโอกาสที่จะถูกโจมตี ซีโร่ทรัสต์เองก็มองข้ามเส้นคั่นความปลอดภัยแบบเดิมๆ เช่นกัน ทั้งหมดแม้จะไม่ปลอดภัยพอ แต่ก็เป็นเรื่องจำเป็น

หลักการสำคัญมีง่ายๆ ว่า อย่าเชื่อหรืออนุมานในตัวตนของใคร และกำหนดสิทธิ์ให้แต่ละคนต่ำที่สุดเพื่อลดช่องโหว่ที่อาจเกิดขึ้น หลักการที่ว่านี้ใช้ได้ในกรณีที่ต้องรับมือกับภัยคุกคามจาก Generative AI เช่นกัน

กระบวนการที่ถูกต้องเป็นอย่างไร

ระบบจัดการช่องโหว่ที่มีประสิทธิภาพเริ่มต้นที่การรู้ว่าเราต้องให้ความสำคัญกับช่องโหว่ใด และสร้างกระบวนการแก้ไขให้ทีมของตนสามารถจัดการกับปัญหาดังกล่าวได้โดยอัตโนมัติอย่างเป็นระบบ ตลอดจนกำจัดจุดบอดบริบทความมั่นคงปลอดภัยไซเบอร์และมุ่งเน้นไปที่สิ่งสำคัญสำหรับองค์กร

การบรรลุเป้าหมายตามมาตรการรักษาความปลอดภัยไซเบอร์จำเป็นต้องมีโซลูชันอันชาญฉลาดที่สามารถรวบรวมข้อมูลจากเครื่องมือรักษาความปลอดภัยที่ทำงานแยกกัน ซึ่งบริษัทส่วนใหญ่ได้ติดตั้งไว้เรียบร้อยแล้ว โดยนำมาวิเคราะห์หาช่องโหว่และรูรั่วที่พบบ่อยกว่า 200,000 รายการ ซึ่ง AI สามารถช่วยในเรื่องดังกล่าวได้

เริ่มด้วยเรื่องพื้นฐาน วิเคราะห์เพื่อให้ทราบความเสี่ยงสำคัญที่เกิดขึ้นกับธุรกิจของตน และความเสี่ยงดังกล่าวทำให้องค์กรต้องเตรียมความพร้อมทางเทคนิคอย่างไร ทีมงานไม่สามารถปกป้องสิ่งที่มองไม่เห็น ดังนั้นจึงต้องแบ่งภาระหน้าที่กันอย่างชัดเจน กำหนดผู้รับผิดชอบด้านความมั่นคงปลอดภัยไซเบอร์ให้เรียบร้อยตั้งแต่ผู้บริหารระดับบนลงล่าง รวมถึงคณะกรรมการบริษัท พนักงานบริษัทอาจเป็นปราการด่านหน้าหรือเป็นช่องทางโจมตีหลักจากวายร้าย

ทั้งหมดก็ขึ้นอยู่กับการลงทุนของแต่ละองค์กรเดินหน้าตามแผนทีละขั้นตอน ความมั่นคงปลอดภัยไซเบอร์เป็นกระบวนการที่ต้องปรับปรุงพัฒนาอย่างต่อเนื่อง ดังนั้นการใช้กฎ 80:20 จึงเป็นทางออกที่ให้ผลดี เริ่มต้นด้วยการมองหา 20% ที่สามารถจัดการกับความเสี่ยง 80% ในองค์กรได้ โดยให้ปกป้องด้วยมาตรการที่ทำได้เร็วและครอบคลุมเรื่องพื้นฐาน แล้วจึงค่อยก้าวสู่ขั้นต่อไปอย่างการบริหารจัดการช่องโหว่

เราควรลงทุนเพิ่มเติมด้านเทคโนโลยีหรือไม่ 

เริ่มจากการติดตั้งเครื่องมือตรวจสอบและวางมาตรการป้องกันเครือข่ายและอุปกรณ์ปลายทาง (แต่สำหรับบริษัทขนาดเล็กที่มีงบประมาณไม่เพียงพอต่อการลงทุนทางเทคโนโลยี ก็ควรพิจารณาและใช้บริการดูแลรักษาระบบที่ครอบคลุมงานต่างๆ ด้านการรักษาความปลอดภัย) โดยต้องมั่นใจว่ากระแสข้อมูลทั้งหมดสอดรับกับวัตถุประสงค์หลักของทีมรักษาความปลอดภัย

สิ่งที่สังเกตเห็นก็คือ ปัญหาข้อมูลรั่วไหลกว่า 80% เกิดขึ้นจากการขาดแนวทางปฏิบัติด้านความมั่นคงปลอดภัยไซเบอร์พื้นฐานที่สามารถป้องกันได้ไม่ยากด้วยการจัดงบประมาณต่อเนื่อง ความใส่ใจของผู้บริหารระดับสูง และการตระหนักถึงความเสี่ยงต่างๆ ดังนั้นจึงไม่เพียงแค่เรื่องบุคลากรและกระบวนการเท่านั้น แต่การลงทุนในเทคโนโลยีที่ดีจะช่วยให้ทุกอย่างดีขึ้นด้วยเช่นกัน เรียกว่า AI อาจกลายเป็นพันธมิตรชั้นยอดหากยึดหลักการป้องกันทางไซเบอร์อย่างเข้มแข็ง อันได้แก่ มองเห็น ปกป้องรักษา ติดตาม ตอบโต้ และประเมินผล