Security · WHITE FORCES KNOWLEDGE
Cybersecurity Baseline สำหรับ SME ก่อนซื้อเครื่องมือเพิ่ม
เผยแพร่ · ตรวจทานล่าสุด · อ่านประมาณ 5 นาทีความปลอดภัยเริ่มจากวินัยและการมองเห็นทรัพย์สิน ไม่ใช่จำนวนเครื่องมือ แผนเล็กที่ทำต่อเนื่องลดความเสี่ยงได้มาก
รู้ว่ามีอะไรและใครเข้าถึง
ทำ inventory อุปกรณ์ ระบบ cloud โดเมน และบัญชี admin ระบุเจ้าของ เปิด MFA ใช้ password manager และไม่แชร์บัญชีสิทธิ์สูง
จุดเริ่มที่ง่ายที่สุดคือกระดาษหนึ่งแผ่นหรือสเปรดชีตหนึ่งไฟล์ ไล่รายการคอมพิวเตอร์ทุกเครื่อง บริการออนไลน์ทุกตัวที่บริษัทสมัครไว้ โดเมน อีเมล และใครถือสิทธิ์ผู้ดูแลของแต่ละอย่าง องค์กรจำนวนมากพบตั้งแต่ขั้นนี้ว่ามีบัญชีของพนักงานที่ลาออกไปแล้วยังใช้งานได้ หรือบริการที่จ่ายเงินอยู่แต่ไม่มีใครรู้ว่าใครเป็นเจ้าของ การมองเห็นคือด่านแรกของการป้องกัน
Patch และ Backup อย่างพิสูจน์ได้
กำหนดรอบอัปเดตและสำรองหลายชุด ทดสอบกู้ข้อมูลจริง เพราะไฟล์ backup ที่เปิดไม่ได้ไม่ใช่แผน recovery
หลักที่จำง่ายสำหรับ backup คือ 3-2-1 มีข้อมูลสามชุด บนสื่อสองประเภท และหนึ่งชุดอยู่นอกสถานที่หรือนอกระบบหลัก เพื่อให้เหตุการณ์เดียว เช่น ไฟไหม้ ransomware หรือลบผิด ไม่ทำลายทุกสำเนาพร้อมกัน ส่วน patch ให้จัดรอบประจำ เช่น เดือนละครั้งสำหรับงานทั่วไป และเร่งด่วนภายในไม่กี่วันเมื่อมีช่องโหว่ร้ายแรงที่ถูกใช้โจมตีจริง
เตรียมวันเกิดเหตุ
เขียนรายชื่อผู้ติดต่อ วิธีตัดอุปกรณ์ วิธีเก็บหลักฐาน และลำดับสื่อสาร ฝึกสถานการณ์สั้น ๆ เมื่อระบบสำคัญเปลี่ยน
แผนรับเหตุไม่ต้องหนาเป็นเล่ม เอกสารสองหน้าที่ทุกคนหาเจอและเข้าใจ ใช้ได้จริงกว่าคู่มือร้อยหน้าที่ไม่มีใครเปิด เนื้อหาขั้นต่ำคือใครคือผู้ตัดสินใจ ติดต่อใครเมื่อเกิดเหตุนอกเวลางาน ขั้นตอนแรกที่ต้องทำและห้ามทำ เช่น ห้ามปิดเครื่องที่ติดมัลแวร์ทันทีเพราะหลักฐานจะหาย และช่องทางสื่อสารสำรองเมื่อระบบหลักใช้ไม่ได้
ตัวอย่างสถานการณ์ที่เกิดขึ้นได้จริง
สถานการณ์ที่พบบ่อยที่สุดในธุรกิจไทยไม่ใช่การเจาะระบบซับซ้อน แต่เป็นอีเมลหลอกลวง เช่น อีเมลปลอมเป็นผู้บริหารสั่งให้โอนเงินด่วน หรือปลอมเป็นคู่ค้าแจ้งเปลี่ยนเลขบัญชีรับเงิน การป้องกันไม่ได้อยู่ที่เครื่องมือแพง แต่อยู่ที่กติกา เช่น การเปลี่ยนเลขบัญชีคู่ค้าต้องยืนยันทางโทรศัพท์กับเบอร์ที่บันทึกไว้เดิมเสมอ และการโอนเกินวงเงินที่กำหนดต้องมีผู้อนุมัติสองคน
อีกกรณีคือ ransomware ที่เข้ามาทางเครื่องที่ไม่ได้อัปเดต หรือทางการเปิดการเข้าถึงระยะไกลไว้โดยไม่มีการป้องกันเพียงพอ ธุรกิจที่มี backup แยกนอกระบบและทดสอบกู้จริงเป็นระยะ จะฟื้นได้โดยไม่ต้องเจรจากับผู้โจมตี ส่วนธุรกิจที่ backup อยู่ในเครื่องเดียวกับข้อมูลจริง มักพบว่าไฟล์สำรองถูกเข้ารหัสไปพร้อมกัน ความแตกต่างนี้ตัดสินกันตั้งแต่ก่อนเกิดเหตุ
ขั้นตอนวาง Baseline ที่แนะนำ
เรียงตามลำดับผลต่อความเสี่ยง ทำทีละขั้นได้โดยไม่ต้องรอครบ
- ทำทะเบียนทรัพย์สินและบัญชีรวบรวมอุปกรณ์ บริการ โดเมน และบัญชีผู้ดูแลทั้งหมด พร้อมชื่อผู้รับผิดชอบ
- เปิด MFA ทุกบัญชีสำคัญเริ่มจากอีเมล บริการการเงิน โดเมน และ cloud ซึ่งเป็นกุญแจไปสู่ระบบอื่นทั้งหมด
- จัดระเบียบรหัสผ่านใช้ password manager เลิกใช้รหัสซ้ำ และยกเลิกการแชร์บัญชีสิทธิ์สูงร่วมกัน
- วางรอบ patch และ backupกำหนดรอบอัปเดตประจำ ตั้ง backup อัตโนมัติตามหลัก 3-2-1 และนัดทดสอบกู้คืน
- เขียนแผนรับเหตุสองหน้าระบุผู้ตัดสินใจ ช่องทางติดต่อ ขั้นตอนแรก และข้อห้าม แจกให้ทุกคนที่เกี่ยวข้อง
- ทบทวนเป็นรอบทุกไตรมาสตรวจบัญชีที่ไม่ใช้แล้ว สิทธิ์ที่เกินจำเป็น และผลการทดสอบกู้คืนล่าสุด
เช็กลิสต์ Baseline ขั้นต่ำ
- มีทะเบียนอุปกรณ์ บริการ และบัญชีผู้ดูแล ที่อัปเดตล่าสุดไม่เกินหนึ่งไตรมาส
- บัญชีอีเมล การเงิน โดเมน และ cloud ทุกบัญชีเปิด MFA แล้ว
- ไม่มีการใช้รหัสผ่านซ้ำระหว่างบริการ และไม่มีบัญชี admin ที่แชร์กัน
- บัญชีพนักงานที่พ้นสภาพถูกปิดภายในวันที่มีผล
- backup เป็นอัตโนมัติ มีสำเนานอกระบบหลัก และทดสอบกู้คืนภายในหกเดือนที่ผ่านมา
- ระบบปฏิบัติการและซอฟต์แวร์หลักได้รับ patch ตามรอบที่กำหนด
- มีแผนรับเหตุที่ระบุผู้ติดต่อและขั้นตอนแรก พร้อมช่องทางสื่อสารสำรอง
- พนักงานรู้วิธีสังเกตอีเมลหลอกลวงและรู้ว่าต้องแจ้งใคร
มาตรการพื้นฐานกับความเสี่ยงที่ลดได้
มาตรการแต่ละข้อจัดการความเสี่ยงคนละแบบ ควรมีครบก่อนพิจารณาเครื่องมือขั้นสูง
| มาตรการ | ลดความเสี่ยงจาก | รอบทบทวน |
|---|---|---|
| MFA | บัญชีถูกขโมยจากรหัสผ่านรั่วหรือถูกเดา | เมื่อเพิ่มบริการใหม่ |
| Password manager | การใช้รหัสซ้ำ ที่ทำให้รั่วที่เดียวพังทุกที่ | รายปี |
| Patch ตามรอบ | ช่องโหว่ที่ผู้โจมตีใช้เครื่องมืออัตโนมัติกวาดหา | รายเดือน และเร่งด่วนตามประกาศช่องโหว่ |
| Backup 3-2-1 | ransomware ไฟล์เสียหาย และการลบผิดพลาด | ทดสอบกู้คืนทุกหกเดือน |
| ทะเบียนทรัพย์สิน | จุดบอดที่ไม่มีใครดูแลและบัญชีค้างของคนที่ออกไปแล้ว | รายไตรมาส |
| อบรมพนักงาน | อีเมลหลอกลวงและการหลอกให้โอนเงิน | รายปี และเมื่อมีรูปแบบโจมตีใหม่ |
ข้อผิดพลาดที่พบบ่อย
- ซื้อเครื่องมือก่อนทำพื้นฐานอุปกรณ์ราคาแพงช่วยไม่ได้ ถ้าบัญชี admin ยังไม่มี MFA และไม่มีใครรู้ว่าบริษัทมีระบบอะไรบ้าง
- คิดว่าธุรกิจเล็กไม่ตกเป็นเป้าการโจมตีส่วนใหญ่เป็นระบบอัตโนมัติที่กวาดหาเหยื่อทุกขนาด ไม่ได้เลือกเฉพาะบริษัทใหญ่
- backup ไว้ที่เดียวกับข้อมูลจริงเหตุการณ์เดียวทำลายทั้งต้นฉบับและสำเนา ต้องมีสำเนานอกระบบหลักเสมอ
- ให้สิทธิ์ admin กับทุกคนเพื่อความสะดวกยิ่งสิทธิ์กว้าง ความเสียหายเมื่อบัญชีใดถูกยึดยิ่งใหญ่ ควรให้สิทธิ์ตามหน้าที่จริง
- เขียนแผนแล้วไม่เคยซ้อมแผนที่ไม่เคยลองใช้จะพังเมื่อเกิดเหตุจริง การซ้อมสั้น ๆ ปีละครั้งเผยจุดอ่อนได้มาก
คำถามที่พบบ่อย
งบน้อยควรเริ่มจากอะไรก่อน
เริ่มจากสิ่งที่แทบไม่มีค่าใช้จ่าย คือเปิด MFA ทำทะเบียนทรัพย์สิน ปิดบัญชีค้าง และตั้ง backup อัตโนมัติ มาตรการเหล่านี้ตัดช่องทางโจมตีที่พบบ่อยที่สุดได้โดยใช้เวลามากกว่าเงิน
ใช้โปรแกรมป้องกันไวรัสที่มากับระบบพอไหม
สำหรับธุรกิจขนาดเล็ก เครื่องมือที่มากับระบบปฏิบัติการรุ่นปัจจุบันเมื่อเปิดใช้และอัปเดตสม่ำเสมอถือว่าเป็นฐานที่ใช้ได้ ความเสี่ยงที่ใหญ่กว่ามักอยู่ที่บัญชีไม่มี MFA รหัสผ่านซ้ำ และไม่มี backup
ถ้าโดน ransomware ควรจ่ายไหม
หน่วยงานด้านความปลอดภัยส่วนใหญ่ไม่แนะนำให้จ่าย เพราะไม่รับประกันว่าจะได้ข้อมูลคืนและเป็นการสนับสนุนวงจรโจมตี ทางที่ดีคือลงทุนกับ backup ที่กู้ได้จริงตั้งแต่วันนี้ และเมื่อเกิดเหตุให้ตัดระบบที่ติดออกจากเครือข่าย เก็บหลักฐาน และปรึกษาผู้เชี่ยวชาญกับหน่วยงานที่เกี่ยวข้อง
ต้องจ้างผู้เชี่ยวชาญด้านความปลอดภัยประจำไหม
ธุรกิจขนาดเล็กส่วนใหญ่ยังไม่จำเป็น ใช้แนวทางคือทำ baseline ให้ครบด้วยทีมที่มี และใช้ผู้ให้บริการภายนอกช่วยตรวจหรือดูแลตามรอบ เมื่อระบบและข้อกำกับซับซ้อนขึ้นจึงพิจารณาจ้างเฉพาะทาง
แหล่งอ้างอิง
มาตรฐานและแนวปฏิบัติที่ใช้อ้างอิง
- NIST Cybersecurity Framework — กรอบบริหารความเสี่ยงไซเบอร์
- CIS Critical Security Controls — มาตรการความปลอดภัยเรียงตามลำดับความสำคัญ
- OWASP — ความเสี่ยงและแนวป้องกันของเว็บแอปพลิเคชัน
- สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.)