Kaspersky เตือน! วิกฤตขาดแคลนบุคลากรไอที ทำซัพพลายเชนทั่วเอเชียแปซิฟิกเสี่ยงโดนโจมตีพุ่ง

แคสเปอร์สกี้ (Kaspersky) เปิดเผยรายงานล่าสุด ระบุการขาดแคลนบุคลากรด้านความปลอดภัยทางไซเบอร์เป็นอุปสรรคสำคัญในการลดความเสี่ยงจากการโจมตีซัพพลายเชน (Supply Chain Attacks) ทั่วภูมิภาคเอเชียแปซิฟิก พร้อมแนะธุรกิจไทย และ APAC เร่งยกระดับทักษะบุคลากร และใช้เทคโนโลยีตรวจจับอัจฉริยะเพื่ออุดช่องโหว่ก่อนสายเกินไป…

Kaspersky เตือน! วิกฤตขาดแคลนบุคลากรไอที ทำซัพพลายเชนทั่วเอเชียแปซิฟิกเสี่ยงโดนโจมตีพุ่ง

การศึกษาทั่วโลกครั้งใหม่ของ แคสเปอร์สกี้ ระบุถึงการขาดแคลนบุคลากรด้านความปลอดภัยไอทีที่มีคุณสมบัติเหมาะสม และความจำเป็นที่องค์กรระดับโลกต้องจัดลำดับความสำคัญของงานด้านความปลอดภัยต่าง ๆ เพื่อลดความเสี่ยงจากการโจมตีซัพพลายเชน และความสัมพันธ์ที่เชื่อถือกันทางธุรกิจ โดยผู้ตอบแบบสอบถามทั่วโลกจำนวนเกือบครึ่งหนึ่ง (42%) ระบุถึงปัจจัยทั้ง 2 นี้

ผลการศึกษาล่าสุดของ แคสเปอร์สกี้ เกี่ยวกับความเสี่ยงของซัพพลายเชน และความสัมพันธ์ที่เชื่อถือกันทางธุรกิจแสดงให้เห็นว่า การโจมตีซัพพลายเชนกลายเป็นภัยคุกคามอันดับต้น ๆ ขององค์กรธุรกิจ โดยองค์กรจำนวนหนึ่งในสามได้รับผลกระทบจากการโจมตีประเภทนี้ในช่วงปีที่ผ่านมา

ความรุนแรง และความถี่ของการโจมตีซัพพลายเชนทำให้องค์กรจำเป็นต้องค้นหาสาเหตุสำคัญที่ขัดขวางไม่ให้องค์กรจัดการกับความเสี่ยงได้อย่างประสบความสำเร็จ จากผลสำรวจพบว่า หนึ่งในอุปสรรคสำคัญในการลดความเสี่ยงในซัพพลายเชนและความสัมพันธ์ที่เชื่อถือกันคือการขาดแคลนบุคลากรที่มีคุณสมบัติเหมาะสม

การขาดแคลนบุคลากรนี้ทำให้องค์กรขาดศักยภาพในการเข้าถึง และตรวจสอบช่องโหว่ของเธิร์ดปาร์ตี้ที่อาจเกิดขึ้นในระบบนิเวศขององค์กรอย่างสม่ำเสมอ ในตลาดเอเชียแปซิฟิก สัดส่วนขององค์กรที่ระบุว่าขาดแคลนบุคลากรด้านความปลอดภัยไอทีที่มีคุณสมบัติเหมาะสมมีตั้งแต่สิงคโปร์ 34% และเวียดนาม 57%

ความท้าทายด้านความพร้อมของบุคลากรที่มีความเชี่ยวชาญด้านความปลอดภัยทางไซเบอร์นั้นเห็นได้ชัดในมาเลเซียเช่นกัน โดยความต้องการผู้เชี่ยวชาญที่มีทักษะยังคงเพิ่มขึ้นอย่างต่อเนื่องตามความพยายามของประเทศในการเสริมสร้างขีดความสามารถด้านความปลอดภัยทางไซเบอร์ภายใต้ยุทธศาสตร์ความปลอดภัยทางไซเบอร์

ของมาเลเซียปี 2025-2030 กระทรวงดิจิทัลคาดการณ์ว่ามาเลเซียจะต้องการผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์ถึง 28,068 คน ภายในปี 2026 ในขณะที่การประมาณการก่อนหน้านี้ระบุว่าปัจจุบันมีบุคลากรอยู่ประมาณ 16,765 คน

ในบรรดาอุปสรรคสำคัญอื่น ๆ ผู้ตอบแบบสอบถามระบุถึงความจำเป็นในการจัดการกับลำดับความสำคัญด้านความปลอดภัยทางไซเบอร์หลายอย่างพร้อมกัน โดยเฉพาะอย่างยิ่งในผู้ตอบแบบสอบถามจากอินเดีย (54%) เวียดนาม (48%) และสิงคโปร์ (47%) ข้อมูลนี้สะท้อนให้เห็นว่าทีมรักษาความปลอดภัยต้องรับผิดชอบงานมากเกินไปในเวลาเดียวกัน ซึ่งอาจทำให้ภัยคุกคามในซัพพลายเชนไม่ได้รับการแก้ไข

นอกเหนือจากข้อจำกัดด้านทรัพยากรแล้ว ผู้ตอบแบบสอบถามยังชี้ให้เห็นถึงปัญหาเชิงโครงสร้าง ในตลาดเอเชียแปซิฟิก สัดส่วนของผู้ตอบแบบสอบถามที่รายงานว่าสัญญาไม่มีข้อผูกพันด้านความปลอดภัยทางไอทีสำหรับผู้รับเหมามีตั้งแต่ 30-61%

ซึ่งบ่งชี้ว่าองค์กรจำนวนมากยังคงดำเนินงานโดยไม่มีข้อกำหนดด้านความปลอดภัยที่ชัดเจนสำหรับบุคคลภายนอก นอกจากนี้ 25-38% ระบุว่าเจ้าหน้าที่ที่ไม่ใช่ฝ่ายรักษาความปลอดภัยทางไอที ​​มักไม่เข้าใจความเสี่ยงนี้อย่างถ่องแท้

การสำรวจทั่วโลกพบว่า ธุรกิจจำนวน 85% ยอมรับว่าองค์กรของตนจำเป็นต้องยกระดับการป้องกันความเสี่ยงจากซัพพลายเชน และความสัมพันธ์ที่เชื่อถือกัน โดยมีองค์กรเพียง 15% เท่านั้นที่พิจารณาว่ามาตรการรักษาความปลอดภัยในปัจจุบันมีประสิทธิภาพเพียงพอ

ทั้งนี้ความเชื่อมั่นนี้ลดลงอย่างมากในประเทศเศรษฐกิจสำคัญ เช่น เยอรมนี (6%) ตุรกี (7%) อิตาลี (8%) บราซิล (8%) รัสเซีย (8%) และซาอุดีอาระเบีย (9%) ส่วนในภูมิภาคเอเชียแปซิฟิกนั้นมีระดับความเชื่อมั่นมีความแตกต่างกันมากขึ้น

ในขณะที่ตลาดอย่างเช่น อินเดีย (11%), อินโดนีเซีย (14%) และสิงคโปร์ (14%) รายงานระดับความเชื่อมั่นที่ต่ำใกล้เคียงกัน แต่ตลาดอื่น ๆ อย่างเช่น เวียดนาม (21%) และจีน (34%) แสดงให้เห็นถึงความเชื่อมั่นในมาตรการคุ้มครองที่มีอยู่มากกว่า

ผลการสำรวจแสดงให้เห็นว่า แนวทางการลดความเสี่ยงจากเธิร์ดปาร์ตี้ในปัจจุบันยังคงกระจัดกระจาย แม้แต่มาตรการป้องกันที่พบได้ทั่วไปอย่างการตรวจสอบสิทธิ์แบบ 2 ขั้นตอน

ก็ยังมีการใช้งานที่ไม่สม่ำเสมอทั่วทั้งภูมิภาค โดยมีอัตราการใช้งานแตกต่างกันอย่างมากในแต่ละตลาด ผู้ตอบแบบสอบถามจากสิงคโปร์มีอัตราการใช้งานที่ต่ำอย่างน่าตกใจเพียง 28% ในขณะที่ประเทศอื่นๆ รายงานอัตราการใช้งานที่สูงกว่า โดยมีคะแนนการนำแนวทางปฏิบัตินี้มาใช้สูงกว่า 35% แต่ยังคงต่ำกว่าค่าเฉลี่ยทั่วโลก

นอกจากนี้ ในตลาดเอเชียแปซิฟิก การดำเนินการด้านความปลอดภัยทางไซเบอร์ไม่ได้ดำเนินการอย่างสม่ำเสมอ ทำให้องค์กรต่าง ๆ มองเห็นความปลอดภัยของพันธมิตรได้น้อยลง ทำให้เสี่ยงต่อช่องโหว่ที่เปลี่ยนแปลงไปในระบบนิเวศขององค์กร

เป็นที่น่าสังเกตว่า บริษัทที่เคยเจอการโจมตีซัพพลายเชน และความสัมพันธ์ธุรกิจมาก่อน มักจะนำเอาพฤติกรรมด้านความปลอดภัยที่เข้มงวดมากขึ้นมาใช้ ในระดับโลก บริษัทที่ได้รับผลกระทบจากเหตุการณ์โจมตีซัพพลายเชนมีแนวโน้มที่จะขอผลการทดสอบการเจาะระบบมากกว่า (56%)

ในขณะที่ผู้ที่ตกเป็นเหยื่อของการละเมิดความสัมพันธ์ธุรกิจจะให้ความสำคัญกับการตรวจสอบการปฏิบัติตามมาตรฐานอุตสาหกรรม (56%) และนโยบายซัพพลายเชนของผู้รับเหมาเอง (53%)

เซอร์เกย์ โซลดาตอฟ หัวหน้าศูนย์ปฏิบัติการด้านความปลอดภัย แคสเปอร์สกี้ กล่าวว่า เมื่อทีมรักษาความปลอดภัยทำงานหนักเกินไป บุคลากรขาดแคลน และต้องให้ความสำคัญกับงานเร่งด่วนมากกว่าการสร้างความยืดหยุ่นในระยะยาว องค์กรต่าง ๆ ก็จะตกอยู่ในความเสี่ยงต่อภัยคุกคามที่สามารถแฝงตัวเข้ามาในระบบนิเวศ

ของผู้ให้บริการได้อย่างเงียบ ๆ อุตสาหกรรมจำเป็นต้องนำกลยุทธ์การลดความเสี่ยงที่เป็นหนึ่งเดียว และสอดคล้องกันมากขึ้นมาใช้เพื่อทำลายวงจรนี้

ตั้งแต่การประเมินผู้รับเหมาที่เป็นมาตรฐานไปจนถึงการสร้างความตระหนักรู้ที่แข็งแกร่งขึ้นระหว่างทีม ความปลอดภัยของซัพพลายเชนควรกลายเป็นความรับผิดชอบร่วมกันที่สามารถบังคับใช้ได้ทั่วทั้งเครือข่ายธุรกิจ

ด้าน เอเดรียน เฮีย กรรมการผู้จัดการ ภูมิภาคเอเชียแปซิฟิก แคสเปอร์สกี้ กล่าวว่า ขณะที่องค์กรต่าง ๆ ทั่วเอเชียแปซิฟิกขยายระบบนิเวศดิจิทัลของตน ความปลอดภัยของซัพพลายเชนจำเป็นต้องได้รับการจัดการด้วยระเบียบวินัยในระดับเดียวกับการดำเนินงานภายใน นั่นหมายถึงการกำหนดข้อกำหนดด้านความปลอดภัยที่ชัดเจน

สำหรับพันธมิตร การตรวจสอบมาตรฐานเหล่านั้นอย่างสม่ำเสมอ และการสร้างความรับผิดชอบในกระบวนการทางธุรกิจประจำวัน ด้วยแนวทางที่เป็นระบบ องค์กรต่าง ๆ สามารถเสริมสร้างความไว้วางใจทั่วทั้งระบบนิเวศของตนในขณะที่ลดความเสี่ยงที่สามารถจะหลีกเลี่ยงได้

องค์กรธุรกิจต่าง ๆ จะสามารถลดความเสี่ยงในซัพพลายเชน และสร้างความยืดหยุ่นให้กับธุรกิจได้ก็ต่อเมื่อมีการดำเนินมาตรการป้องกันทั่วทั้งองค์กร และวางแผนกลยุทธ์ในการสร้างความร่วมมือกับซัพพลายเออร์ และผู้รับเหมาอย่างรอบคอบเท่านั้น

ข้อแนะนำเพื่อลดความเสี่ยง

• ใช้บริการรักษาความปลอดภัยแบบจัดการ (Managed Security Services) สำหรับองค์กรที่ขาดทรัพยากรด้านความปลอดภัยทางไซเบอร์โดยเฉพาะ วิธีที่ดีที่สุดคือการใช้บริการเอาต์ซอร์ส ใช้บริการต่าง ๆ เช่น Managed Detection and Response (MDR) และ/หรือ Incident Response ซึ่งครอบคลุมวงจรการจัดการเหตุการณ์ทั้งหมด ตั้งแต่การระบุภัยคุกคามไปจนถึงการป้องกัน และการแก้ไขอย่างต่อเนื่อง
• ลงทุนในหลักสูตรด้านความปลอดภัยทางไซเบอร์เพิ่มเติม เพิ่มพูนความรู้ด้านความปลอดภัยทางไซเบอร์ของพนักงานด้วยหลักสูตรฝึกอบรมด้านความปลอดภัยทางไซเบอร์ของ แคสเปอร์สกี้ (Cybersecurity Training) ที่เน้นการปฏิบัติจริง ทั้งแบบเรียนรู้ด้วยตนเอง หรือแบบสด หลักสูตรเหล่านี้ช่วยให้ผู้เชี่ยวชาญด้านความปลอดภัยพัฒนาทักษะและปกป้องบริษัทจากการโจมตีที่ซับซ้อน
• ประเมินซัพพลายเออร์อย่างละเอียดก่อนทำสัญญา ตรวจสอบนโยบายด้านความปลอดภัยทางไซเบอร์ ข้อมูลเกี่ยวกับเหตุการณ์ที่ผ่านมา และการปฏิบัติตามมาตรฐานความปลอดภัยของอุตสาหกรรม สำหรับซอฟต์แวร์ และบริการคลาวด์ ขอแนะนำให้ตรวจสอบข้อมูลช่องโหว่ และผลการทดสอบการเจาะระบบด้วย
• ปฏิบัติตามข้อกำหนดด้านความปลอดภัยในสัญญา สัญญากับซัพพลายเออร์ควรมีข้อกำหนดด้านความปลอดภัยของข้อมูลที่เฉพาะเจาะจง เช่น การตรวจสอบความปลอดภัยเป็นประจำ การปฏิบัติตามนโยบายความปลอดภัยที่เกี่ยวข้องขององค์กร และโปรโตคอลการแจ้งเตือนเหตุการณ์
• ร่วมมือกับซัพพลายเออร์ในประเด็นด้านความปลอดภัย เสริมสร้างการป้องกันทั้งสองฝ่ายและให้ความสำคัญร่วมกัน

สามารถอ่านคำแนะนำเพิ่มเติมพร้อมกับข้อค้นพบที่น่าสนใจอื่น ๆ เกี่ยวกับความเสี่ยงทางธุรกิจต่อการโจมตีซัพพลายเชนได้ ที่นี่

ส่วนขยาย

* บทความเรื่องนี้น่าจะเป็นประโยชน์สำหรับการวิเคราะห์ในมุมมองที่น่าสนใจ 
** เขียน: ชลัมพ์ ศุภวาที (บรรณาธิการ และผู้สื่อข่าว) 
*** ขอขอบคุณภาพประกอบบางส่วนจาก N/A

สามารถกดติดตามข่าวสาร และบทความทางด้านเทคโนโลยีของเราได้ที่  www.facebook.com/itday.in.th