‘ข้อมูลรั่ว' จากพนักงาน อันตราย! ไม่ต่างจากถูก'โจรไซเบอร์แฮก'

การละเมิดนโยบายความปลอดภัยข้อมูลองค์กรโดยพนักงาน 'อันตราย‘ พอๆ กับการโจมตีของแฮกเกอร์จากภายนอก ’แคสเปอร์สกี้' ยักษ์ซอฟต์แวร์ซิเคียวริตี้รายใหญ่ของโลก เปิดผลศึกษาล่าสุด พบสองปีที่ผ่านมา เหตุการณ์โจมตีทางไซเบอร์ต่อองค์กรธุรกิจในเอเชียแปซิฟิก 33% เกิดขึ้นจากพนักงานที่จงใจละเมิดระเบียบการรักษาความปลอดภัย

ตัวเลขนี้เกือบจะเท่ากับความเสียหายที่เกิดจากรุกล้ำความปลอดภัยทางไซเบอร์ที่เกิดจากการแฮก จำนวน 40% ตัวเลขของเอเชียแปซิฟิกนี้สูงกว่าค่าเฉลี่ยทั่วโลกเล็กน้อยที่ 26% และ 30% ตามลำดับ

‘ข้อผิดพลาดของมนุษย์’ จึงเป็นหนึ่งในสาเหตุหลักของเหตุการณ์ทางไซเบอร์ต่อองค์กรธุรกิจ แต่ไม่อาจระบุแยกถูกหรือผิดได้ เนื่องสถานะความปลอดภัยทางไซเบอร์ขององค์กรมีความซับซ้อนมากกว่านั้น ทั้งยังมีอีกหลายปัจจัย

เหตุเกิดจากพนง.ในองค์กร

แคสเปอร์สกี้ สอบถามความเห็นผู้เชี่ยวชาญด้านความปลอดภัยด้านไอที ที่ทำงานให้กับกลุ่มธุรกิจเอสเอ็มอีและเอ็นเตอร์ไพร์ซทั่วโลก เกี่ยวกับผลกระทบพนักงานที่มีต่อความปลอดภัยทางไซเบอร์ของบริษัท พบว่า นอกจากข้อผิดพลาดที่แท้จริงแล้ว การละเมิดนโยบายความปลอดภัยของข้อมูลโดยพนักงาน คือ หนึ่งปัญหาที่ใหญ่ที่สุดต่อธุรกิจในภูมิภาคนี้

ผู้ตอบแบบสอบถามจากองค์กรต่างๆ ในเอเชียแปซิฟิก ระบุว่า ช่วงสองปีที่ผ่านมา การกระทำโดยเจตนาเพื่อละเมิดกฎความปลอดภัยทางไซเบอร์เกิดขึ้นโดยทั้งพนักงานที่ไม่ใช่ฝ่ายไอที และพนักงานฝ่ายไอที

ทั้งระบุว่า ช่วงสองปีที่ผ่านมา การละเมิดนโยบายความปลอดภัยโดยเจ้าหน้าที่รักษาความปลอดภัยไอทีอาวุโส ทำให้เกิดเหตุการณ์ทางไซเบอร์ 16% ซึ่งสูงกว่าค่าเฉลี่ยทั่วโลก 4% ผู้เชี่ยวชาญด้านไอทีอื่นๆ และเพื่อนร่วมงานที่ไม่ใช่ไอทีทำให้เกิดเหตุการณ์ทางไซเบอร์ประมาณ 15% และ 12% ตามลำดับ

ในแง่พฤติกรรมพนักงานแต่ละคน ปัญหาที่พบบ่อย คือ พนักงานจงใจทำสิ่งต้องห้าม และล้มเหลวในการปฏิบัติตามมาตรการที่จำเป็น ผู้ตอบแบบสอบถาม ระบุว่า เหตุการณ์ทางไซเบอร์ช่วงสองปีที่ผ่านมาจำนวนหนึ่งในสี่ (35%) เกิดขึ้นจากการใช้รหัสผ่านที่ไม่รัดกุม หรือไม่สามารถเปลี่ยนแปลงรหัสผ่านได้ทันท่วงที ซึ่งเป็นจำนวนที่สูงกว่า10% ของผลลัพธ์ทั่วโลกที่ 25%

อีกสาเหตุหนึ่งของการละเมิดความปลอดภัยทางไซเบอร์จำนวนเกือบหนึ่งในสาม (32%) เป็นผลมาจากการที่พนักงานในเอเชียแปซิฟิกเยี่ยมชมเว็บไซต์ที่ไม่ปลอดภัย รายงานพบว่า องค์กร 25% เผชิญกับเหตุการณ์ทางไซเบอร์เนื่องจากพนักงานไม่ได้อัปเดตซอฟต์แวร์ระบบหรือแอปพลิเคชันเมื่อจำเป็น

“เอเดรียน เฮีย” กรรมการผู้จัดการ ภูมิภาคเอเชียแปซิฟิก แคสเปอร์สกี้ กล่าวว่า “น่าตกใจที่ว่า แม้ปีนี้จะมีข่าวการละเมิดข้อมูลและการโจมตีด้วยแรนซัมแวร์ที่เกิดขึ้นหลายครั้งในภูมิภาค แต่พนักงานจำนวนมาก ยังคงจงใจละเมิดนโยบายความปลอดภัยของข้อมูลขั้นพื้นฐาน

ผลการศึกษาล่าสุดนี้แสดงว่า ตัวเลขของภูมิภาคนี้สูงกว่าค่าเฉลี่ยทั่วโลกอยู่เสมอ แนวทางการทำงานร่วมกันแบบหลายแผนกเพื่อสร้างวัฒนธรรมความปลอดภัยทางไซเบอร์ขององค์กรที่แข็งแกร่ง จึงเป็นความจำเป็นเร่งด่วน เพื่อแก้ไขช่องว่างด้านปัจจัยมนุษย์ที่กำลังถูกอาชญากรไซเบอร์แสวงหาประโยชน์”

เกิดจากการใช้บริการหรืออุปกรณ์

การใช้บริการหรืออุปกรณ์ที่ไม่พึงประสงค์เป็นอีกสาเหตุสำคัญที่ทำให้เกิดการละเมิดนโยบายความปลอดภัยของข้อมูลอย่างจงใจ บริษัทจำนวนเกือบหนึ่งในสี่ (31%) ประสบปัญหาทางไซเบอร์ เนื่องจากพนักงานใช้ระบบที่ไม่ได้รับอนุญาตในการแชร์ข้อมูล พนักงานในบริษัท 25% จงใจเข้าถึงข้อมูลผ่านอุปกรณ์ที่ไม่ได้รับอนุญาต ในขณะที่พนักงาน 26% ส่งข้อมูลงานไปยังอีเมลส่วนตัว

นอกจากนี้ ยังมีการปรับใช้ Shadow IT หรือการใช้งานซอฟต์แวร์ที่ยังไม่ได้รับการอนุญาตจากผู้ดูแลระบบไอทีบนอุปกรณ์ทำงาน โดยผู้ตอบแบบสอบถาม 15% ระบุว่า ทำให้เกิดเหตุการณ์โจมตีทางไซเบอร์

การสำรวจพบข้อมูลที่น่าตกใจ ผู้ตอบแบบสอบถามในเอเชียแปซิฟิก ยอมรับว่า นอกเหนือจากพฤติกรรมขาดความรับผิดชอบ การกระทำที่เป็นอันตราย 26% เป็นการกระทำโดยพนักงานเพื่อผลประโยชน์ส่วนตัว นอกจากนี้ ผู้ตอบแบบสอบถาม 18% รายงานว่า การละเมิดนโยบายความปลอดภัยของข้อมูลโดยจงใจโดยพนักงาน เป็นปัญหาที่ค่อนข้างใหญ่ในบริการทางการเงิน

เร่งสร้างวัฒนธรรมความปลอดภัย

“อเล็กซี่ วอว์ก” หัวหน้าฝ่ายความปลอดภัยของข้อมูล แคสเปอร์สกี้ กล่าวว่า นอกเหนือจากภัยคุกคามความปลอดภัยทางไซเบอร์จากภายนอกแล้ว ยังมีปัจจัยภายในอีกมากมายที่นำไปสู่เหตุการณ์ในองค์กรได้ ตามสถิติแสดงให้เห็นว่า พนักงานจากแผนกต่างๆ ไม่ว่าจะเป็นผู้เชี่ยวชาญ หรือผู้ที่ไม่เชี่ยวชาญด้านความปลอดภัยไอที สามารถส่งผลเสียต่อความปลอดภัยทางไซเบอร์ทั้งโดยตั้งใจและไม่ได้ตั้งใจ

ดังนั้นสิ่งสำคัญ ที่ต้องพิจารณาวิธีการป้องกันการละเมิดนโยบายความปลอดภัยของข้อมูล เช่น นำแนวทางบูรณาการเพื่อความปลอดภัยทางไซเบอร์จากงานวิจัย นอกเหนือจากเหตุการณ์ทางไซเบอร์ 26% ที่เกิดจากการละเมิดนโยบายความปลอดภัยของข้อมูลแล้ว การละเมิด 38% เกิดขึ้นเนื่องจากความผิดพลาดของมนุษย์ ซึ่งเป็นตัวเลขที่น่าตกใจ จึงจำเป็นต้องสร้างวัฒนธรรมความปลอดภัยทางไซเบอร์ในองค์กรตั้งแต่เริ่มต้น

"การพัฒนาและบังคับใช้นโยบายความปลอดภัย รวมถึงสร้างความตระหนักรู้ความปลอดภัยทางไซเบอร์ให้พนักงาน ทำให้พนักงานสามารถเข้าถึงกฎอย่างมีความรับผิดชอบมากขึ้น และเข้าใจถึงผลที่ตามมาจากการละเมิดอย่างชัดเจน”