ไม่มีอะไรคุกคามองค์กรไปกว่าความซับซ้อนจากอุปกรณ์หลายยี่ห้อเกินความจำเป็น

องค์กรมากมายต่างแสวงหาอุปกรณ์หรือโซลูชันใหม่เพื่อป้องกันตัวจากภัยคุกคามที่เกิดขึ้นใหม่ทุกวัน แต่อย่างไรก็ดีปัญหาที่ตามมาคือความหลากหลายเกินไปของอุปกรณ์ทำให้เกิดช่องว่างในการรักษาความมั่นคงปลอดภัยไปเสียอีก ดังนั้นบทความที่เราคัดเลือกสรุปมานี้จะกล่าวถึงข้อเสียเหล่านั้นและวิธีการในเชิงปฏิบัติว่าควรจะทำอย่างไร

มีหลายปัจจัยที่ก่อให้เกิดความซับซ้อนของระบบ เช่น จำนวนของอุปกรณ์มือถือที่เพิ่มขึ้น ความซับซ้อนของการโจมตีเพื่องแสวงหาผลกำไรหรือมุ่งร้ายด้านอื่น หรือการนำผลิตภัณฑ์มากมายจากผู้ผลิตที่แข่งกันออกมาอย่างทันสมัยอยู่เสมอมาใช้แต่ยังขาดการจัดวางให้เหมาะสม รวมถึงความต้องการของผู้บริหารระดับสูงที่ต้องการได้มาซึ่งข้อมูลและการเข้าถึงพื้นที่การค้าขายบนโลกดิจิตอล

อย่างไรก็ตามไม่ใช่เพราะว่า CISO ขาดความเข้าใจปัจจัยเหล่านี้ เนื่องจากหน้าที่ของ CISO เกิดขึ้นเมื่อประมาณ 3-5 ปีก่อนนี้เองเพื่อแก้ปัญหาด้านความมั่นคงปลอดภัยไซเบอร์ซึ่งยังถือว่าใหม่อยู่มาก อีกทั้งการจ้าง CISO เข้ามาก็เปรียบเสมือนหาหัวหน้าหน่วยดับเพลิงมาดับไฟที่เกิดขึ้นมาแล้วและไม่ใช่ว่าจะทำงานได้อย่างราบรื่น เนื่องจากการทำสิ่งต่างๆ ต้องขออนุญาตอีกหลายขั้นตอน ดังนั้น CISO มักจะถูกวางไว้ทำงานที่แทบจะเป็นไปไม่ได้ในการรักษาความมั่นคงปลอดภัยขององค์กรเพราะปัจจัยหลายประการที่กล่าวมาจึงเป็นเรื่องยากที่จะรับการโจมตีหรือปิดช่องโหว่ได้ทั้งหมด

มันคงไม่มากไปนักหากจะกล่าวว่าหลายองค์กรมีผลิตภัณฑ์เพื่อรักษาความมั่นคงปลอดภัยมากกว่า 50 ยี่ห้อ บางส่วนก็ขาดการดูแล บ้างก็ทำหน้าที่ซ้ำกัน แม้ทำหน้าที่ของตนได้แต่ก็ทำงานประสานก็ไม่ได้อีก นอกจากนี้ยังมีความขัดแย้งของคำสั่งและนโยบายที่เกิดจากผู้บริหารที่มีสิ่งกระตุ้นแตกต่างกัน เจ้าของผลิตภัณฑ์หน้าใหม่ทำให้ภาคอุตสาหกรรมรู้สึกว่าการมีผลิตภัณฑ์เหล่านี้เหมือนแก้ปัญหาได้ง่ายและรวดเร็วที่จะบอกถึงลักษณะและสาเหตุของปัญหาที่มันถูกพัฒนาให้มีความซับซ้อนมากขึ้น อีกทั้งทำงานได้อย่างอัตโนมัติ อย่างไรก็ตามการมองที่ปัจจัยภัยคุกคามจากภายนอกอย่างเดียวไม่ได้แก้ปัญหาที่สาเหตุทั้งหมดบ่อยครั้งที่มันอาจจะไม่ใช่ต้นเหตุของปัญหาที่แท้จริง ทุกวันนี้เครือข่ายขยายกว้างมากขึ้นแต่ไม่ได้รับการปกป้องอย่างครอบคลุมฝ่ายที่น่าจะได้รับผลประโยชน์เต็มๆ จากความซับซ้อนของความมั่งคงปลอดภัยภายในน่าจะมีเพียงเจ้าของผลิตภัณฑ์และแฮ็กเกอร์ เพราะนั่นคือความคิดที่จะแก้ไขปัญหาด้วยโซลูชันระยะสั้นซึ่งนำมาสู่ค่าใช้จ่ายในภายหลัง

ต้องเริ่มแก้ปัญหาอย่างไร

เราไม่ควรเลือกผลิตภัณฑ์ตามความรู้สึกรักหรือชอบในนวัตกรรมเทคโนโลยีใหม่ๆ มันควรสอดคล้องกับหลักการ เช่น ความชัดเจน ความถูกต้องเหมาะสม ความมีประสิทธิภาพ ทัศนคติและเทคโนโลยีที่ล้ำหน้าไม่ได้ช่วยอะไรหากองค์กรยังคงสับสนหรือมีความขัดแย้งในฝ่ายบริหารระดับสูง มีประโยชน์มากมายจะการแบ่งส่วนของเครือข่ายออกเป็นหลายส่วนแต่ความคิดนั้นมักจะจบลงไม่สวยหากมีการแบ่งฝักแบ่งฝ่ายระหว่างบุคคลระดับสูงในองค์กร

ประสิทธิภาพด้านความมั่นคงปลอดภัยไซเบอร์ต้องเริ่มต้นที่การตัดสินใจจากผู้บริหารระดับ C เลเวลว่าพวกเขาจัดหน้าที่ของผู้นำและวางทรัพยากรไว้อย่างไร หากมันยังไม่เรียบร้อยดี CISO ต้องประสานผู้บริหารระดับสูงเหล่านั้น ซึ่งมันเป็นทางเดียวที่จะได้มาซึ่งทรัพยากรต่างๆ หรืออำนาจและความร่วมมือเพื่อใช้ในการสร้างความมั่นคงปลอดภัย นอกจากนั้น CISO ยังต้องเป็นคนกลางที่จะแลกเปลี่ยนสารระหว่างภายนอกและภายในเพื่อเกิดความชัดเจนและวางแนวทางด้านความมั่นคงปลอดภัยให้เกิดประสิทธิภาพสูงสุด

ที่มา : https://www.forbes.com/sites/forbestechcouncil/2017/11/27/if-it-is-not-seamless-it-is-not-secure