งาน IBM Connect 2015 มีการบรรยายของคุณ Denis Kennelly ตำแหน่ง Vice President of Development Security ของ IBM Security ซึ่งเป็นธุรกิจด้านความปลอดภัยของ IBM (ถือเป็นบริษัทความปลอดภัยรายใหญ่ในแง่รายได้ แต่คนไม่ค่อยรู้กันว่า IBM ก็มี Security)

หัวข้อการบรรยายเป็นเรื่องภูมิทัศน์ที่เปลี่ยนไปของวงการความปลอดภัยยุคใหม่ ซึ่งคุณ Denis ก็เตือนบรรดาผู้บริหารของบริษัทต่างๆ ที่เข้าร่วมฟังงานนี้ว่า ได้เวลาแต่งตั้ง CISO แล้ว (ส่วน CISO คืออะไร โปรดติดตามกันต่อไป)

สิ่งที่รายงานแนวโน้มความปลอดภัยทุกฉบับพูดตรงกันคือ ทุกวันนี้การแฮ็กระบบไม่ใช่เรื่องของมือสมัครเล่นอีกต่อไปแล้ว แต่เป็นขบวนการอาชญากรรมขนาดใหญ่ที่ทำงานอย่างเป็นระบบ และบางครั้งก็เป็นผลงานของภาครัฐด้วยซ้ำ

ขบวนการอาชญากรรมไซเบอร์หรือ cybercrime ทำงานกันจริงจัง มี ecosystem ใต้ดินขนาดใหญ่มาก ตัวอย่างเช่น มีผู้สร้างชุดดัดแปลงมัลแวร์ขาย สำหรับคนที่อยากได้มัลแวร์ไปเจาะระบบ ถ้าจ่ายแพ็กเกจราคาแพง มีบริการซัพพอร์ตหลังขายทางโทรศัพท์ พ่วงด้วยการคืนเงินถ้ามัลแวร์เจาะระบบไม่ได้อย่างที่โฆษณาไว้

ทุกวันนี้วงการไอทีมีคนสร้างเครื่องมือวิเคราะห์ข้อมูลสมัยใหม่จำนวนมาก วงการอาชญากรรมใต้ดินก็มีเครื่องมือลักษณะเดียวกันไว้วิเคราะห์จุดอ่อนของระบบ

สถิติของ IBM พบว่ารูปแบบและพฤติกรรมการโจมตีเปลี่ยนไปจากเดิม ในปี 2012 เราเห็นการโจมตีด้วย SQL injection ค่อนข้างมาก (จุดสีเหลือง) แต่พอมาเป็นปี 2015 การโจมตีด้วย SQL injection เริ่มลดลง เปลี่ยนมาเป็นการโจมตีด้วยมัลแวร์ (จุดสีฟ้า) มากขึ้น ขนาดของความเสียหายก็เพิ่มตามไปด้วย

คำถามคือในแง่องค์กรแล้ว ควรปรับตัวรับมือภัยคุกคามใหม่ๆ อย่างไร

คำตอบมาเป็นแผนภาพด้านล่างครับ ข้อแรกเลยคือองค์กรต้องมี__ผู้บริหารด้านความปลอดภัยสารสนเทศ__ (Chief Information Security Officer หรือ CISO อ่านว่า "ซีโซ่") ได้แล้ว เพราะตำแหน่งนี้จะมีหน้าที่ดูแลรับผิดชอบระบบความปลอดภัยทั้งหมดขององค์กร มีคนทำงานด้านนี้ชัดเจน คอยกำหนดนโยบายว่าองค์กรต้องทำอะไรบ้างเพื่อความปลอดภัยของทุกคน

จากนั้นข้อสอง องค์กรต้องหัดเรียนรู้เครื่องมือความปลอดภัยใหม่ๆ ตามกระแสโลก เช่น cloud, mobile, IoT และสุดท้ายคือเลือกอิมพลีเมนต์ระบบความปลอดภัยในจุดสำคัญๆ เช่น identity, data security

คำแนะนำของ IBM แบ่งออกเป็น 4 ข้อ 4 มิติ ดังภาพ

ข้อแรกคือ Optimize the Security Program หรือเสริมความเข้มแข็งของนโยบายความปลอดภัยในภาพรวม องค์กรต้องเรียนรู้เทคโนโลยีใหม่ๆ ถ้าไม่รู้ก็ต้องหาผู้เชี่ยวชาญภายนอกองค์กรมาช่วย และที่สำคัญต้องประเมิน (asset) ระดับความปลอดภัยขององค์กรเพื่อให้รู้ว่าปัจจุบันเรายืนอยู่ตรงไหนแล้ว

ข้อสอง Stop Advanced Threats หาวิธีหยุดยั้งและป้องกันภัยคุกคาม ซึ่งมีเครื่องมือสมัยใหม่ให้เลือกหลายอย่าง เช่น ระบบตรวจจับแบบเรียลไทม์ ระบบข่าวกรองด้านความปลอดภัย (security intelligence)

ข้อสาม Protect Critical Assets เลือกปกป้องจุดสำคัญขององค์กรก่อน ซึ่งตัวองค์กรต้องประเมินเองว่าจุดไหนสำคัญ พลาดไม่ได้

ข้อสี่ Safeguard Cloud and Mobile ส่วนของเทคโนโลยีคลาวด์และอุปกรณ์พกพา ที่เป็นเทคโนโลยีใหม่ในโลกไอทีองค์กร ก็ต้องหาวิธีป้องกัน และใช้เทคโนโลยีเหล่านี้มาช่วยให้องค์กรสมัยใหม่ปลอดภัยมากยิ่งขึ้น

สุดท้าย คุณ Denis บอกว่าโลกของซอฟต์แวร์ความปลอดภัยนั้น fragmented มาก เพราะไม่มีบริษัทที่ครองตลาดเบ็ดเสร็จ ในตลาดมีบริษัทใหญ่ประมาณ 4-5 ราย และบริษัทรายย่อยอีกเป็นร้อย ดังนั้นในการเลือกโซลูชันความปลอดภัยต้องคำนึงถึง integration หรือการประสานงานระหว่างซอฟต์แวร์แต่ละตัวด้วย