หากมีสิ่งหนึ่งที่ สตาร์ทอัพด้านเทคโนโลยี ควรได้เรียนรู้จากปี 2025 นั่นก็คือ ไม่มีธุรกิจใดที่เล็กเกินกว่าจะเป็นเป้าหมายของอาชญากรไซเบอร์ ในความเป็นจริง ขณะนี้ SMB เป็น เป้าหมายที่น่าดึงดูดใจสำหรับมัลแวร์เรียกค่าไถ่ มากกว่าองค์กรขนาดใหญ่รุ่นเก่า เนื่องจากมีทรัพยากรที่จำกัดและมีข้อมูลลูกค้าที่มีค่า
บ่อยครั้งที่สตาร์ทอัพขาดความรู้หรือทรัพยากรที่จำเป็นในการตัดสินใจที่ดีในช่วงเริ่มต้นธุรกิจ ได้มีการติดต่อผู้เชี่ยวชาญด้านความปลอดภัยด้านไอทีที่ทำงานร่วมกับสตาร์ทอัพด้านเทคโนโลยีอยู่บ่อยครั้ง เพื่อรับข้อมูลเชิงลึกเกี่ยวกับสิ่งที่ธุรกิจจำเป็นต้องรู้เมื่อเพิ่งเริ่มต้น
Gary Power ซึ่งดำรงตำแหน่ง COO และผู้อำนวยการฝ่ายบริการลูกค้าที่ Power Consulting(หน้าต่างใหม่) มีความเชี่ยวชาญ 25 ปีในอุตสาหกรรมไอทีแบบเอาท์ซอร์ส Power Consulting ทำงานอย่างใกล้ชิดกับธุรกิจทุกขนาดในทุกอุตสาหกรรม โดยให้บริการต่าง ๆ รวมถึงบริการด้านไอทีที่จัดการ การวางแผนเชิงกลยุทธ์ด้านไอที ตลอดจนการตรวจสอบและบริการด้านความปลอดภัยทางไซเบอร์
ได้พูดคุยกับ Gary เพื่อทำความเข้าใจว่าสตาร์ทอัพด้านเทคโนโลยีทำข้อผิดพลาดที่ใดในช่วงเริ่มต้นธุรกิจ
ธุรกิจไม่ได้เล็กเกินไปสำหรับมาตรการความปลอดภัยทางไซเบอร์
การใช้ Data Breach Observatory ทำให้ Proton สามารถติดตามข้อมูลธุรกิจที่รั่วไหลบนดาร์กเว็บเพื่อทำความเข้าใจว่าแฮกเกอร์กำลังกำหนดเป้าหมายไปที่ใครและธุรกิจถูกละเมิดอย่างไร ตรวจพบการละเมิดข้อมูล 794 ครั้ง รวมเป็นบันทึกที่รั่วไหลมากกว่า 300 ล้านรายการ และเห็นได้ชัดว่าองค์กรขนาดเล็กมีความเสี่ยงเพิ่มขึ้นเรื่อย ๆ
ธุรกิจสามารถได้รับประโยชน์จากการตรวจสอบว่าธุรกิจอื่น ๆ ได้รับผลกระทบจากการละเมิดข้อมูลอย่างไรและเพราะเหตุใด ข้อมูลเชิงลึกที่ได้รับจาก Data Breach Observatory รวมถึงคำแนะนำด้านความปลอดภัยทางไซเบอร์สำหรับสตาร์ทอัพด้านเทคโนโลยี สามารถพบได้ใน eBook เล่มล่าสุด The breaches that broke 2025
ไม่ว่าการจัดการข้อมูลยืนยันตัวตนจะไม่เพียงพอ หรือล้มเหลวในการใช้มาตรการป้องกัน เช่น การเข้ารหัสลับจากต้นทางถึงปลายทาง ดูเหมือนว่า SMB กำลังทำข้อผิดพลาดที่สำคัญในแนวทางปฏิบัติ ด้านความปลอดภัย และหากธุรกิจขนาดเล็กยังคงเสี่ยงต่อภัยคุกคามทางไซเบอร์ ในที่สุดก็จะสร้างความเสียหายต่ออุตสาหกรรมและนวัตกรรมทั่วโลกโดยการจำกัดการเติบโตของธุรกิจ
Gary ตั้งข้อสังเกตว่าส่วนสำคัญในการปกป้องธุรกิจอย่างเพียงพอคือการเปลี่ยนแนวคิดเมื่อพูดถึงมาตรการรักษาความปลอดภัยที่เลือกใช้
“ในช่วงเริ่มต้น ผู้ก่อตั้งมักจะถามคำถามเชิงรับ เช่น ‘เราต้องการสิ่งนี้จริง ๆ หรือ?’ หรือ ‘นี่มันเกินความจำเป็นสำหรับขนาดของเราหรือไม่?’ เมื่อธุรกิจเติบโตขึ้น คำถามจะเปลี่ยนเป็น ‘อะไรที่จะหยุดเราจากการถูกละเมิดข้อมูลได้จริง ๆ?’ และ ‘เราจะปรับขนาดอย่างปลอดภัยโดยไม่ทำให้ธุรกิจช้าลงได้อย่างไร?'”
แทนที่จะข้ามขั้นตอนเมื่อธุรกิจเริ่มมั่นคง ให้ลงทุนในความปลอดภัยทางไซเบอร์ตั้งแต่เริ่มต้น ท้ายที่สุดแล้ว อย่างที่ Gary กล่าวว่า: “ผู้ก่อตั้งที่ประสบความสำเร็จมากที่สุดตระหนักดีว่าความปลอดภัยคือผู้ช่วย ไม่ใช่ตัวขัดขวาง”
เครื่องมือรุ่นเก่าไม่ได้ปลอดภัยโดยอัตโนมัติ
เมื่อถึงเวลาต้องเลือกเครื่องมือ เช่น โซลูชัน อีเมล, ไดรฟ์ และ โปรแกรมจัดการรหัสผ่าน ที่ธุรกิจจะใช้ ตัวเลือกจะสร้างความแตกต่างอย่างมาก Gary เตือนว่าอย่าทึกทักเอาเองว่าโซลูชันที่เป็นที่นิยมและทันสมัยจะเป็นตัวเลือกที่ปลอดภัยที่สุดโดยอัตโนมัติ
“จุดบอดที่ใหญ่ที่สุดคือการทึกทักเอาเองว่าความปลอดภัยนั้น ‘มีอยู่แล้วในตัว’ เนื่องจากกำลังใช้เครื่องมือที่ทันสมัยหรือแพลตฟอร์มคลาวด์ ผู้ก่อตั้งมักเชื่อว่า Microsoft 365, Google Workspace หรือ AWS เท่ากับความปลอดภัยโดยอัตโนมัติ ในความเป็นจริง การละเมิดข้อมูลส่วนใหญ่มีสาเหตุมาจากการกำหนดค่าที่ผิดพลาด การควบคุมข้อมูลระบุตัวตนที่หละหลวม สุขอนามัยในการเข้าถึงที่ไม่ดี และการขาดการตรวจสอบ ไม่ใช่เทคนิคการแฮกที่แปลกใหม่“
นี่อาจจะฟังดูไม่ดีนัก แต่ความจริงแล้วเป็นเรื่องที่ดี: การคาดการณ์และป้องกันเทคนิคการแฮ็กที่ซับซ้อนนั้นทำได้ยากกว่าการสร้างระบบจัดการข้อมูลระบุตัวตนและแนวทางปฏิบัติในการตรวจสอบที่แข็งแกร่งภายในเครือข่าย ปัญหาที่ Gary เน้นย้ำสามารถแก้ไขได้โดยใช้วิธีต่อไปนี้:
- แนวทางปฏิบัติเกี่ยวกับความปลอดภัยของเว็บแอปพลิเคชั่นอย่างถี่ถ้วน ซึ่งช่วยระบุและบรรเทาภัยคุกคามที่อาจเกิดขึ้นกับสภาพแวดล้อมระบบได้
- มาตรการจัดการข้อมูลระบุตัวตน เช่น การลงชื่อเข้าใช้เพียงครั้งเดียว (SSO) และ การยืนยันตัวตนผ่านสองขั้นตอน (2FA) ที่ช่วยปกป้องเครือข่ายธุรกิจ ขณะเดียวกันก็ช่วยให้สมาชิกในทีมเข้าถึงเครือข่ายธุรกิจได้ง่ายขึ้นและปลอดภัยยิ่งขึ้น
- การตรวจสอบดาร์กเว็บเป็นเครื่องมือที่มีประโยชน์ซึ่งสามารถแจ้งให้ทราบได้หากมีข้อมูลธุรกิจปรากฏบนดาร์กเว็บ เพื่อให้ดำเนินการได้อย่างรวดเร็วและป้องกันการละเมิดข้อมูล
ข้อผิดพลาดของมนุษย์คือภัยคุกคามที่ร้ายแรง
แม้ว่าเครื่องมือจะปลอดภัย แต่ก็ไม่มีประโยชน์หากไม่ได้รับการใช้งานอย่างปลอดภัย จริงๆ แล้วข้อผิดพลาดของมนุษย์เป็นหนึ่งในภัยคุกคามความปลอดภัยทางไซเบอร์ที่ใหญ่ที่สุดของธุรกิจ ช่องทางที่อาจถูกโจมตีกำลังเติบโตขึ้นอย่างรวดเร็วเนื่องจากความซับซ้อนของเครือข่ายธุรกิจสมัยใหม่ ซึ่งทำให้สมาชิกในทีมต้องสร้างบัญชีหลายสิบบัญชีด้วยรหัสผ่านที่ไม่ซ้ำกัน และอาจต้องเข้าถึงบัญชีเหล่านี้จากอุปกรณ์ส่วนตัว
“ข้อผิดพลาดสำคัญอีกประการหนึ่งคือการประเมินความเสี่ยงจากมนุษย์ต่ำเกินไป: ฟิชชิ่ง การใช้ข้อมูลยืนยันตัวตนซ้ำ และอุปกรณ์ที่ไม่ได้รับการจัดการ มักจะเป็นช่องทางแรกที่ถูกเจาะเข้ามา“
ความเสี่ยงเหล่านี้อาจเกิดจากการขาดความตระหนักรู้ด้านความปลอดภัยทางไซเบอร์และความคาดหวังที่ไม่ชัดเจนเกี่ยวกับวิธีการ หรือการอนุญาตให้เข้าถึงเครือข่ายธุรกิจผ่านอุปกรณ์ส่วนตัวของสมาชิกในทีม แต่ยังดีที่สามารถจัดการปัญหาเหล่านี้ได้ง่ายๆ ด้วยแนวทางสองทางร่วมกัน ได้แก่ นโยบายและการให้ความรู้:
- การให้ความรู้ทั่วทั้งธุรกิจเกี่ยวกับวิธีสังเกตกลโกงฟิชชิ่งและมัลแวร์ประเภทอื่นๆ(หน้าต่างใหม่) จะช่วยให้สมาชิกในทีมทุกคนปกป้องเครือข่ายธุรกิจได้
- นโยบายการทำงานทางไกลและนโยบายการนำอุปกรณ์ส่วนตัวมาใช้เอง (BYOD) หากเกี่ยวข้องกับธุรกิจ
- โปรแกรมจัดการรหัสผ่านสำหรับธุรกิจที่ปลอดภัยจะช่วยรับประกันว่าจะมีการบังคับใช้นโยบายรหัสผ่าน และข้อมูลยืนยันตัวตนที่สำคัญจะถูกเก็บไว้ในตำแหน่งส่วนกลาง และแชร์ได้อย่างปลอดภัยหากจำเป็น
“การตัดสินใจในระยะแรกจะกลายเป็นค่าเริ่มต้นถาวร” Gary กล่าว “โมเดลข้อมูลระบุตัวตน ตำแหน่งของข้อมูล การเข้าถึงของผู้ดูแลระบบ และมาตรฐานอุปกรณ์ เป็นเรื่องยากอย่างยิ่งที่จะแก้ไขในภายหลัง โดยเฉพาะอย่างยิ่งเมื่อมีลูกค้า นักลงทุน และผู้ควบคุมกฎระเบียบเข้ามาเกี่ยวข้อง หนี้ความปลอดภัยจะทวีคูณขึ้นเหมือนหนี้ทางเทคนิค การกำหนดแนวป้องกันที่ดีตั้งแต่เนิ่นๆ นั้นมีค่าใช้จ่ายน้อยกว่าและสร้างความหยุดชะงักน้อยกว่าการมาปรับเปลี่ยนการควบคุมภายหลังการละเมิดข้อมูล การตรวจสอบที่ล้มเหลว หรือการถูกปฏิเสธประกันภัยไซเบอร์“
พื้นฐานความปลอดภัยมีความสำคัญมากกว่าเครื่องมือ
เครื่องมือไม่ใช่สิ่งเดียวที่ธุรกิจต้องพิจารณาเมื่อเข้าสู่ตลาด โครงสร้างพื้นฐานด้านไอทีจะเป็นตัวกำหนดความปลอดภัยในการทำงานของสมาชิกในทีม ความสามารถในการตรวจพบความเสี่ยง และความรวดเร็วในการบรรเทาปัญหา
Gary อธิบายถึงวิธีที่ผู้เชี่ยวชาญจาก Power Consulting ใช้ตั้งค่าไอทีและโครงสร้างพื้นฐานความปลอดภัยทางไซเบอร์สำหรับสตาร์ทอัพ “เรามุ่งเน้นไปที่พื้นฐานก่อนที่จะใช้เครื่องมือที่ดูล้ำสมัย”
- ตั้งค่านโยบายการจัดการข้อมูลระบุตัวตนและการเข้าถึงที่แข็งแกร่ง รวมถึง MFA และ “การให้สิทธิ์ขั้นต่ำที่จำเป็น” ซึ่งหมายความว่าผู้ใช้ควรเข้าถึงเฉพาะระบบที่จำเป็นเท่านั้น
- รักษาความปลอดภัยให้กับเอนด์พอยต์ รวมถึงอุปกรณ์ส่วนตัวของพนักงาน ตั้งแต่วันแรก ซอฟต์แวร์การจัดการอุปกรณ์สามารถช่วยติดตามข้อมูลว่าใครกำลังเข้าสู่ระบบเครือข่ายและจากที่ใด
- ใช้การเก็บบันทึกและการตรวจสอบแบบรวมศูนย์ เพื่อไม่ให้มองข้ามปัญหาต่างๆ เช่น การเข้าถึงโดยไม่ได้รับอนุญาตหรือการละเมิดข้อมูลบัญชี
- เตรียมรับมือกับกิจกรรมที่อาจเกิดขึ้นด้วยเครื่องมือสำรองข้อมูลและการกู้คืนที่เหมาะสม เช่น การสำรองข้อมูลแบบแก้ไขไม่ได้ (ซึ่งไม่สามารถเปลี่ยนแปลงได้หลังจากสร้างขึ้น) หรือการปกป้องนอกสถานที่ ซึ่งข้อมูลสำคัญจะถูกส่งและจัดเก็บไว้นอกสถานที่ตั้งธุรกิจหลัก
การสร้างธุรกิจบนพื้นฐานที่มั่นคง ถือเป็นการลงทุนในธุรกิจที่ปลอดภัยยิ่งขึ้นในอนาคต เวลาที่ใช้ไปกับการสร้างโครงสร้างพื้นฐานที่ปลอดภัยนั้นคุ้มค่ากับเงินที่ประหยัดได้และความเสี่ยงที่จะหลีกเลี่ยงได้ในระยะยาว
ใช้เวลาในการตั้งค่าอย่างเหมาะสม
Gary แนะนำให้มุ่งเน้นไปที่สถาปัตยกรรมข้อมูลระบุตัวตนเนื่องจากเป็นส่วนที่มีผลกระทบต่อความปลอดภัยสูงสุด สมาชิกในทีมทุกคนมีข้อมูลระบุตัวตนดิจิทัลที่ช่วยให้เข้าถึงข้อมูลและเครื่องมือที่จำเป็นในเครือข่ายธุรกิจ และการกำหนดค่าส่วนนี้ให้ดีจะสร้างความแตกต่างอย่างมากในอนาคต
“สถาปัตยกรรมข้อมูลระบุตัวตนที่ไม่ดีเป็นสิ่งที่เลิกทำได้ยากที่สุด บัญชีที่แชร์ร่วมกัน การเปิดใช้ MFA ที่น้อยเกินไป และการมีผู้ดูแลระบบมากเกินไป จะสร้างความเสี่ยงในระยะยาว” Gary อธิบาย “การกระจัดกระจายของข้อมูลที่ไม่มีโครงสร้างเป็นปัญหาใหญ่อีกประการหนึ่ง เมื่อข้อมูลที่ละเอียดอ่อนกระจัดกระจายไปตามไดรฟ์ส่วนตัว กล่องจดหมายอีเมล และแอป SaaS ที่ไม่ได้รับการจัดการ การกลับมาควบคุมข้อมูลเหล่านั้นก็เป็นเรื่องที่ยุ่งยาก ท้ายที่สุดแล้ว การขาดเอกสารและการระบุเจ้าของข้อมูลในระยะแรกจะนำไปสู่ความสับสนและจุดบอดเมื่อทีมเติบโตขึ้น”
