น่าจะเคยประสบกับสถานการณ์นี้: กำลังอยู่ในขั้นตอนสุดท้ายของการทำข้อตกลงกับลูกค้าระดับองค์กรที่มีแนวโน้มดี สัญญาพร้อมแล้ว ตกลงราคาเรียบร้อย จากนั้นบทสนทนาก็หยุดชะงักลง
เหตุผลน่ะหรือ? เนื่องจากลูกค้าขอ เอกสารการปฏิบัติตามข้อกำหนดด้านความปลอดภัยทางไซเบอร์ และไม่สามารถจัดหาให้ได้
เป็นช่วงเวลาที่น่าหงุดหงิด และเป็นเรื่องที่เข้าใจได้หากจะรู้สึกว่าการปฏิบัติตามข้อกำหนดด้านความปลอดภัยทางไซเบอร์เป็นเรื่องของบริษัทขนาดใหญ่ที่มีทีมรักษาความปลอดภัยโดยเฉพาะและมีงบประมาณมหาศาล สำหรับสตาร์ทอัพที่กำลังเติบโตหรือธุรกิจขนาดเล็ก เรื่องนี้อาจรู้สึกเหมือนเป็นภาระงานเอกสารที่ล้นมือ
ข่าวดีก็คือมีวิธีง่ายๆ ในการพิสูจน์ว่าให้ความสำคัญกับการปกป้องข้อมูลอย่างจริงจัง
คู่มือนี้จะอธิบายรายละเอียดว่าการปฏิบัติตามข้อกำหนดหมายถึงอะไรสำหรับธุรกิจ เฟรมเวิร์กหลักๆ ที่จะได้พบเจอ และวิธีเริ่มต้นใช้งานโดยไม่จำเป็นต้องมีทีมผู้เชี่ยวชาญด้านไอที
การปฏิบัติตามข้อกำหนดด้านความปลอดภัยทางไซเบอร์คืออะไร?
การปฏิบัติตามข้อกำหนดด้านความปลอดภัยทางไซเบอร์คือวิธีพิสูจน์ว่ามีการปกป้องข้อมูลที่ละเอียดอ่อนตามมาตรฐานที่เป็นที่ยอมรับ ไม่ใช่แค่เรื่องของการมีเครื่องมือที่เหมาะสมเท่านั้น แต่เป็นเรื่องของการมีกระบวนการและเอกสารที่ถูกต้องเพื่อรองรับสิ่งเหล่านั้น
ลองคิดว่าเป็น “รายงานผลการเรียน” ด้านความปลอดภัยของธุรกิจ สิ่งนี้แสดงให้ผู้ที่มีโอกาสเป็นลูกค้าและพันธมิตรเห็นว่ามีการกำหนดกฎเกณฑ์ มีการปฏิบัติตามกฎเหล่านั้น และสามารถพิสูจน์ได้
นี่ไม่ใช่ทางเลือก ข้อบังคับอย่าง GDPR(หน้าต่างใหม่) และ HIPAA(หน้าต่างใหม่) มีผลบังคับใช้ทางกฎหมายอย่างแท้จริง ทั้งค่าปรับ การฟ้องร้อง และข้อจำกัดในการดำเนินงานล้วนเกิดขึ้นได้ทั้งสิ้น และภัยคุกคามทางไซเบอร์ไม่ใช่เรื่องสมมติ โดย ธุรกิจขนาดเล็กสี่ในห้าราย(หน้าต่างใหม่) เพิ่งประสบปัญหาการละเมิดข้อมูลเมื่อไม่นานมานี้
ความเสี่ยงจากการไม่ปฏิบัติตามข้อกำหนดด้านข้อมูล
การข้ามการปฏิบัติตามข้อกำหนดอาจดูเหมือนเป็นวิธีประหยัดเวลาและเงินทอง แต่นั่นคือการเดิมพันที่มองการณ์สั้น ผลกระทบที่ตามมาจะส่งผลต่อสามด้านที่สำคัญ ได้แก่:
- บทลงโทษทางการเงิน: การละเมิด GDPR เพียงครั้งเดียวอาจมีมูลค่าความเสียหายหลายล้าน สำหรับธุรกิจขนาดเล็ก แม้แต่ค่าปรับในระดับปานกลางก็อาจหมายถึงการเลิกจ้าง การเติบโตที่หยุดชะงัก หรือการปิดกิจการ
- การหยุดชะงักของการดำเนินงาน: การละเมิดข้อมูลทำให้ระบบออฟไลน์เป็นเวลาหลายสัปดาห์ พนักงานจะถูกดึงตัวจากงานที่สร้างรายได้เพื่อมาจัดการกับวิกฤต ค่าใช้จ่ายในการกู้คืนระบบอาจเกิน 1 ล้านดอลลาร์ ได้อย่างง่ายดายเมื่อคำนวณรวมเวลาที่ระบบหยุดทำงาน ค่าธรรมเนียมทางกฎหมาย และการสูญเสียสัญญาจ้าง
- ความเสียหายต่อชื่อเสียง: ลูกค้าที่ไว้วางใจมอบข้อมูลให้เนื่องจากเห็นว่าเป็นผู้ที่เชื่อถือได้อาจไม่ให้โอกาสเป็นครั้งที่สอง ในอุตสาหกรรมที่มีความใกล้ชิดกัน ข่าวสารจะแพร่กระจายไปอย่างรวดเร็ว ความล้มเหลวในการปฏิบัติตามข้อกำหนดไม่ได้เพียงแค่ทำร้ายแบรนด์เท่านั้น แต่ยังอาจทำให้โอกาสในการขายหดตัวลงไปหลายปี
เฟรมเวิร์กหลักๆ ด้านความปลอดภัยทางไซเบอร์ที่ทุกธุรกิจควรทราบ
เหล่านี้คือมาตรฐานที่ลูกค้า หน่วยงานกำกับดูแล และพันธมิตรระดับองค์กรน่าจะถามถึง
GDPR (General Data Protection Regulation)
หากมีลูกค้าแม้เพียงรายเดียวในสหภาพยุโรป หรือหากมีการเก็บรวบรวมที่อยู่อีเมลจากผู้เข้าชมในสหภาพยุโรปบนเว็บไซต์ GDPR(หน้าต่างใหม่) จะนำมาปรับใช้ด้วย โดยไม่คำนึงว่าบริษัทจะตั้งอยู่ที่ใด การไม่ปฏิบัติตามข้อกำหนดอาจส่งผลให้ถูกปรับสูงสุดถึง 20 ล้านยูโร หรือ 4% ของรายได้ทั่วโลกต่อปี แล้วแต่ว่าจำนวนใดจะสูงกว่า
ความหมายคือ: ต้องมีความโปร่งใสเกี่ยวกับวิธีการเก็บรวบรวมและใช้ข้อมูล และต้องให้สิทธิ์ผู้คนในการเข้าถึง แก้ไข หรือลบข้อมูลของตน
HIPAA (Health Insurance Portability and Accountability Act)
เป็นบริษัท SaaS ที่ให้บริการผู้ให้บริการด้านสุขภาพของสหรัฐฯ หรือไม่? หรืออาจจะเป็นคลินิกที่จัดการการนัดหมาย? ทันทีที่ข้อมูลของผู้ป่วยสัมผัสกับระบบ HIPAA(หน้าต่างใหม่) จะนำมาปรับใช้ทันที โดยโทษปรับมีตั้งแต่หลักพันไปจนถึงหลักล้านดอลลาร์ ขึ้นอยู่กับความรุนแรงและมีเรื่องความประมาทเลินเล่อเข้ามาเกี่ยวข้องด้วยหรือไม่
ความหมายคือ: ต้องมีมาตรการป้องกันที่เข้มงวด เช่น การเข้ารหัสลับข้อมูล การควบคุมการเข้าถึง และขั้นตอนที่ชัดเจนในการรายงานการละเมิดข้อมูล
NIS2 (Network and Information Security Directive)
นี่คือข้อกำหนดของสหภาพยุโรปในการเสริมสร้างความปลอดภัยทางไซเบอร์ในภาคส่วนที่จำเป็น เช่น พลังงาน การขนส่ง และโครงสร้างพื้นฐานดิจิทัล แม้ว่าจะไม่ได้รับการควบคุมโดยตรง แต่ลูกค้าระดับองค์กรอาจกำหนดให้ต้องปฏิบัติตามมาตรฐาน NIS2(หน้าต่างใหม่) ซึ่งเป็นส่วนหนึ่งของการตรวจสอบผู้ให้บริการของลูกค้าเหล่านั้น
ความหมาย: ข้อกำหนดนี้กำหนดให้มีการดำเนินการจัดการความเสี่ยงและการรายงานเหตุการณ์ที่เข้มงวด
ISO 27001 & SOC 2
เหล่านี้คือมาตรฐานสากลที่ประเมินว่ามีการจัดการและปกป้องข้อมูลอย่างไร สำหรับลูกค้าระดับองค์กร การได้รับใบรับรอง ISO 27001(หน้าต่างใหม่) หรือรายงาน SOC 2 ถือเป็นสัญญาณแห่งความน่าเชื่อถืออย่างมาก ซึ่งเป็นการบอกลูกค้าเหล่านั้นว่า “ผ่านการตรวจสอบโดยผู้เชี่ยวชาญอิสระแล้ว และระบบรักษาความปลอดภัยมีความแข็งแกร่ง”
ความหมายคือ: ต้องดำเนินการควบคุมความปลอดภัยตามที่มีเอกสารกำหนด ยอมรับการตรวจสอบที่เป็นอิสระ และรักษาใบรับรองนั้นไว้อย่างต่อเนื่อง
วิธีเริ่มต้นใช้งานการปฏิบัติตามข้อกำหนดด้านความปลอดภัยทางไซเบอร์
การปฏิบัติตามข้อกำหนดอาจรู้สึกเหมือนมีรายการสิ่งที่ต้องตรวจสอบยาวเหยียด แต่พื้นฐานหลักๆ มีเพียงห้าขั้นตอนที่นำไปใช้ได้จริง
- วางแผนว่ามีข้อมูลอะไรบ้าง ข้อมูลนั้นอยู่ที่ใด และใครมีสิทธิ์เข้าถึงบ้าง อาจต้องประหลาดใจเมื่อพบรายชื่อลูกค้าที่บันทึกไว้ใน Dropbox ส่วนตัวของผู้รับเหมา หรือตารางคำนวณที่แชร์ซึ่งมีข้อมูลที่ละเอียดอ่อนซึ่งใครๆ ก็แก้ไขได้
- เขียนนโยบายต่างๆ ขึ้นมา ใครสามารถเข้าถึงอะไรได้บ้าง? จะรายงานการละเมิดข้อมูลอย่างไร? จะทำลายข้อมูลเก่าอย่างไร? หากไม่มีการบันทึกเป็นลายลักษณ์อักษร ก็เท่ากับว่าสิ่งนั้นไม่มีอยู่จริง ดูแลให้เอกสารเหล่านี้มีความชัดเจน ทันสมัย และตรวจสอบให้แน่ใจว่าทีมงานปฏิบัติตามจริง
- จัดหา โปรแกรมจัดการรหัสผ่านสำหรับธุรกิจ(หน้าต่างใหม่) ให้แก่ทีมงาน โดยระบบจะสร้างข้อมูลยืนยันตัวตนที่คาดเดายาก จัดเก็บอย่างปลอดภัย และกำหนดให้พฤติกรรมที่ดีเป็นค่าเริ่มต้น ซึ่งช่วยลบออกข้อจำกัดในการจดจำรหัสผ่านที่ซับซ้อน
- ใช้งาน VPN สำหรับธุรกิจ(หน้าต่างใหม่) ซึ่งจะเข้ารหัสทราฟฟิกอินเทอร์เน็ตทั้งหมดของทีมงาน เพื่อให้แน่ใจว่าข้อมูลจะได้รับการปกป้องไม่ว่าจะเข้าสู่ระบบจากที่ใดก็ตาม นี่เป็นวิธีที่ตรงไปตรงมาในการปฏิบัติตามข้อกำหนดด้านความปลอดภัยของเครือข่ายสำหรับเฟรมเวิร์กหลักเกือบทั้งหมด
- มอบหมายให้บุคคลใดบุคคลหนึ่งโดยเฉพาะ (แม้จะเป็นเพียงส่วนหนึ่งของบทบาทหน้าที่) เป็นผู้รับผิดชอบต่อสถานะการปฏิบัติตามข้อกำหนด บุคคลดังกล่าวควรติดตามการเปลี่ยนแปลงกฎระเบียบต่างๆ ดูแลเอกสารให้ได้รับการอัปเดตแล้ว และตรวจสอบให้แน่ใจว่าฝ่ายบริหารได้รับทราบข้อมูลอยู่เสมอ
วิธีรักษาการปฏิบัติตามข้อกำหนดด้านความปลอดภัยทางไซเบอร์อย่างต่อเนื่อง
ข้อบังคับต่างๆ มีการเปลี่ยนแปลง ทีมงานเติบโตขึ้น และเครื่องมือที่ใช้งานก็พัฒนาไปอย่างต่อเนื่อง นั่นคือสาเหตุที่เรื่องนี้จำเป็นต้องได้รับความใส่ใจอย่างสม่ำเสมอ
- ทบทวนนโยบายต่างๆ อย่างสม่ำเสมอ: ดำเนินการทบทวนทุกไตรมาสเพื่อให้แน่ใจว่าเอกสารสะท้อนถึงขั้นตอนการทำงานจริง
- เฝ้าระวังความเสี่ยง: อย่ารอให้เกิดการละเมิดข้อมูลขึ้นก่อนจึงค่อยพบว่าข้อมูลยืนยันตัวตนรั่วไหล ควรใช้เครื่องมือที่ เฝ้าระวังดาร์กเว็บ และแจ้งเตือนหากข้อมูลของบริษัทไปปรากฏในการละเมิดข้อมูล
- ดำเนินการตรวจสอบภายใน: ทดสอบการควบคุมระบบก่อนที่ผู้ตรวจสอบจะเข้ามา ตรวจสอบหาช่องโหว่ด้วยตนเอง ซึ่งมักจะมีค่าใช้จ่ายน้อยกว่าการปล่อยให้ช่องโหว่เหล่านั้นถูกเปิดเผยสู่ภายนอก
- ฝึกอบรมทีมงาน: นโยบายต่างๆ จะได้ผลก็ต่อเมื่อผู้คนปฏิบัติตาม การฝึกอบรมระยะสั้นที่นำไปใช้ได้จริงเกี่ยวกับฟิชชิ่งและการจัดการข้อมูลจะช่วยรักษาพฤติกรรมความปลอดภัยให้เฉียบคมอยู่เสมอ
- ใช้เครื่องมือที่เปิดใช้งานความปลอดภัยที่ดี: การปฏิบัติตามข้อกำหนดจะง่ายขึ้นเมื่อการรักษาความปลอดภัยเป็นค่าเริ่มต้น ควรเลือกเครื่องมือที่เข้ารหัสข้อมูลธุรกิจ ให้การควบคุมการเข้าถึงอย่างละเอียด และตั้งค่าแจ้งเตือนความเสี่ยง เช่น รหัสผ่านที่คาดเดายากโดยอัตโนมัติ
ทำให้การปฏิบัติตามข้อกำหนดด้านความปลอดภัยทางไซเบอร์เป็นส่วนหนึ่งของ BAU
การปฏิบัติตามข้อกำหนดไม่จำเป็นต้องเป็นเรื่องที่เร่งรีบวุ่นวาย เมื่อมีเครื่องมือที่เหมาะสม สิ่งนี้จะกลายเป็นส่วนหนึ่งของรูปแบบการดำเนินธุรกิจ ช่วยให้มีคำตอบที่ชัดเจนสำหรับแบบสอบถามและการตรวจสอบด้านความปลอดภัย
Proton Pass(หน้าต่างใหม่) และ Proton VPN(หน้าต่างใหม่) ถูกสร้างขึ้นมาเพื่อสิ่งนี้ การตั้งค่าใช้เวลาเพียงไม่กี่นาที และไม่จำเป็นต้องมีทีมไอทีมาจัดการเครื่องมือเหล่านี้
- Proton VPN จะเข้ารหัสทราฟฟิกเครือข่ายทั้งหมดของบริษัท และจำกัดการเข้าถึงเฉพาะอุปกรณ์ที่ได้รับอนุมัติ ซึ่งตรงตามข้อกำหนดด้านความปลอดภัยของเครือข่ายที่เข้มงวด
- Proton Pass ช่วยให้สามารถบังคับใช้การยืนยันตัวตนผ่านสองขั้นตอน จัดการข้อมูลยืนยันตัวตนอย่างปลอดภัย และดึงบันทึกกิจกรรมได้โดยตรงจากแผงควบคุมผู้ดูแลระบบเพื่อทำการตรวจสอบ เมื่อมีพนักงานใหม่เข้ามา ก็สามารถกำหนดสิทธิ์การเข้าถึงได้ในไม่กี่คลิก และเมื่อมีคนลาออก ก็สามารถยกเลิกสิทธิ์ได้ในทันที
นอกจากนี้ยังสามารถใช้ประโยชน์จากการปฏิบัติตามข้อกำหนดของระบบเพื่อเป็นประโยชน์แก่ธุรกิจได้อีกด้วย เมื่อลูกค้าระดับองค์กรถามถึงความปลอดภัยของซอฟต์แวร์ที่ใช้งาน ก็สามารถอ้างอิงถึงข้อมูลยืนยันตัวตนของระบบได้
Proton ได้รับการรับรองมาตรฐาน ISO 27001 และได้รับการยืนยัน SOC 2 Type II โดยตั้งอยู่ในประเทศ สวิตเซอร์แลนด์ และเป็นโอเพ่นซอร์สอย่างสมบูรณ์ ซึ่งช่วยให้มีหลักฐานจากบุคคลที่สามที่สามารถตรวจสอบได้ว่าข้อมูลจะได้รับการปกป้องด้วยมาตรฐานระดับโลกสูงสุด
Proton for Business(หน้าต่างใหม่) มอบเครื่องมือที่จำเป็น ไม่ใช่แค่เพื่อเริ่มต้นเส้นทางการปฏิบัติตามข้อกำหนดเท่านั้น แต่ยังรวมถึงการรักษาความสม่ำเสมอในระยะยาวอีกด้วย
