การบริหารจัดการความมั่นคงปลอดภัยไซเบอร์ ด้วยหลักอิทธิบาท 4

การบริหารจัดการความมั่นคงปลอดภัยไซเบอร์ที่ดี ไม่ได้เริ่มต้นจากการซื้อ Firewall, EDR, SIEM, MFA หรือเครื่องมือราคาแพง แต่เริ่มต้นจาก วิธีคิดขององค์กร ว่าจะทำอย่างไรให้ Cybersecurity เป็นภารกิจที่มีเป้าหมาย มีความต่อเนื่อง มีผู้รับผิดชอบ สามารถตรวจสอบได้ และพัฒนาให้ดีขึ้นอยู่เสมอ

แนวคิดนี้สอดคล้องอย่างน่าสนใจกับ อิทธิบาท 4 - ฉันทะ วิริยะ จิตตะ วิมังสา ซึ่งเป็นหลักแห่งความสำเร็จในพุทธธรรม และสามารถนำมาประยุกต์เป็นกรอบความคิดในการบริหาร Cybersecurity สมัยใหม่ได้

เมื่อพิจารณาควบคู่กับ NIST Cybersecurity Framework (CSF) 2.0 ซึ่งกำหนดผลลัพธ์ด้านการบริหารความเสี่ยงไซเบอร์ผ่าน 6 Functions ได้แก่ Govern, Identify, Protect, Detect, Respond และ Recover ซึ่งถูกนำมาอ้างอิงในการเขียน พ.ร.บ.ว่าด้วยการรักษาความมั่นคงปลอดภัยไซเบอร์ และ ISO/IEC 27001:2022 ซึ่งกำหนดข้อกำหนดสำหรับการสร้าง ดำเนินงาน บำรุงรักษา และปรับปรุง Information Security Management System หรือ ISMS อย่างต่อเนื่อง ซึ่งกรอบนี้ถูกใช้อ้างอิงมาตั้งแต่ พ.ร.บ.ว่าด้วยธุรกรรมทางอิเล็กทรอนิกส์ พ.ศ. 2544 เราจะเห็นความเชื่อมโยงระหว่าง “หลักคิด” กับ “ระบบบริหารจัดการ” ได้อย่างชัดเจนยิ่งขึ้น

1. ฉันทะ - รู้ว่าทำไปเพื่ออะไร

ฉันทะ คือความพอใจ ความตั้งใจ และการเห็นคุณค่าของสิ่งที่ทำ

สำหรับ Cybersecurity นี่คือจุดเริ่มต้นที่สำคัญที่สุด เพราะองค์กรต้องตอบให้ได้ก่อนว่า

เรากำลังปกป้องอะไร และปกป้องไปเพื่ออะไร?

Cybersecurity จึงไม่ควรเริ่มต้นจากคำถามว่า “เราจะซื้อ Security Tool อะไร” แต่ควรเริ่มจากการทำความเข้าใจภารกิจขององค์กร สินทรัพย์และข้อมูลสำคัญ ความคาดหวังของผู้มีส่วนได้เสีย ผลกระทบทางธุรกิจ ตลอดจนระดับความเสี่ยงที่องค์กรยอมรับได้

หลักคิดนี้สัมพันธ์อย่างมากกับ Govern Function ของ NIST CSF 2.0 ซึ่งครอบคลุม Organizational Context, Risk Management Strategy, Roles, Responsibilities and Authorities, Policy, Oversight และ Cybersecurity Supply Chain Risk Management โดย NIST วาง Govern ไว้เป็นศูนย์กลางที่กำหนดทิศทางให้กับอีกห้า Functions.

ในมุมของ ISO/IEC 27001 แนวคิดเดียวกันสะท้อนอยู่ตั้งแต่การทำความเข้าใจบริบทขององค์กร การกำหนดบทบาทผู้นำ การวางแผน และการบริหารความเสี่ยงสารสนเทศ เพื่อให้องค์กรสร้าง ISMS ที่สอดคล้องกับวัตถุประสงค์และบริบทของตนเอง ไม่ใช่นำมาตรการสำเร็จรูปมาใช้โดยไม่พิจารณาความเสี่ยงจริงขององค์กร.

ฉันทะจึงอาจมองได้ว่าเป็น Cybersecurity Purpose & Governance

ถ้าองค์กรไม่มีฉันทะ การทำ Cybersecurity มักจบลงที่ “ทำเพื่อให้ผ่าน Audit” แต่ถ้ามีฉันทะ เป้าหมายจะเปลี่ยนเป็น

ทำเพื่อให้องค์กรสามารถบรรลุภารกิจและดำเนินงานต่อไปได้อย่างมั่นคง แม้อยู่ท่ามกลางความเสี่ยงและภัยคุกคามทางไซเบอร์

2. วิริยะ - ทำอย่างต่อเนื่อง ไม่ใช่ทำเป็นครั้งคราว

วิริยะ คือความเพียรและการลงมือปฏิบัติอย่างต่อเนื่อง

Cybersecurity ไม่มีสถานะที่เรียกว่า “ทำเสร็จแล้ว” เพราะระบบ เทคโนโลยี บุคลากร คู่ค้า ช่องโหว่ และภัยคุกคามเปลี่ยนแปลงอยู่ตลอดเวลา

NIST CSF 2.0 ระบุว่า Functions ต่าง ๆ มีความสัมพันธ์กัน และกิจกรรมใน Govern, Identify, Protect และ Detect ต้องเกิดขึ้นอย่างต่อเนื่อง ขณะที่ความสามารถใน Respond และ Recover ต้องเตรียมพร้อมอยู่เสมอเพื่อให้สามารถนำมาใช้เมื่อเกิดเหตุการณ์จริง.

ดังนั้น “วิริยะ” ในโลก Cybersecurity จึงปรากฏอยู่ในการทำงานจริง เช่น

• การบริหาร Asset และ Vulnerability อย่างต่อเนื่อง
• การ Patch และ Harden ระบบ
• Identity and Access Management
• Security Awareness
• Data Protection
• Continuous Monitoring
• Incident Response
• Backup และ Recovery
• Supply Chain Security
• การทดสอบและฝึกซ้อมแผนอย่างสม่ำเสมอ

หลักดังกล่าวสอดคล้องกับ ISO/IEC 27001 ซึ่งไม่ได้ต้องการเพียงให้มีเอกสาร แต่ต้องการให้องค์กร establish, implement, maintain and continually improve ระบบบริหารจัดการความมั่นคงปลอดภัยสารสนเทศ และนำกระบวนการบริหารความเสี่ยงมาใช้ให้เหมาะสมกับองค์กร.

วิริยะจึงเปรียบได้กับ Cybersecurity Execution & Discipline

กล่าวง่าย ๆ คือ

รู้ว่าต้องทำอะไรแล้วยังไม่เพียงพอ ต้องทำจริง ทำซ้ำ และทำอย่างมีวินัย

3. จิตตะ - รู้ว่าเกิดอะไรขึ้นกับระบบและข้อมูลของเรา

จิตตะ หมายถึงความเอาใจใส่ จดจ่อ และไม่ทอดทิ้งสิ่งที่กำลังทำ

Cyber Incident จำนวนมากไม่ได้เกิดเพราะองค์กรไม่มี Security Technology แต่อาจเกิดจากสิ่งที่ไม่มีใครใส่ใจ เช่น Account ของอดีตพนักงานที่ยังใช้งานได้ สิทธิ์การเข้าถึงที่มากเกินความจำเป็น ระบบที่หมดอายุแต่ยังเชื่อมต่อเครือข่าย หรือข้อมูลสำคัญที่ถูกสำเนาไปเก็บไว้หลายแห่งโดยไม่มีใครทราบ

จิตตะในโลก Cybersecurity จึงหมายถึงการมี Visibility และ Situational Awareness

องค์กรควรรู้ว่า

เรามีอะไร - Identify

อะไรสำคัญ - Risk Assessment

ใครเข้าถึงอะไร - Protect

ตอนนี้กำลังเกิดอะไรขึ้น - Detect

ถ้าเกิดเหตุ ใครต้องทำอะไร - Respond

และทำอย่างไรให้ธุรกิจกลับมาดำเนินงานได้ - Recover

NIST CSF 2.0 กำหนดให้ Identify ครอบคลุม Asset Management และ Risk Assessment ขณะที่ Detect ครอบคลุม Continuous Monitoring และ Adverse Event Analysis ซึ่งเป็นองค์ประกอบสำคัญในการสร้างความเข้าใจต่อสถานะความเสี่ยงและเหตุการณ์ที่กำลังเกิดขึ้นจริง.

NIST ยังแนะนำให้องค์กรเข้าใจ Information Flow รู้ว่าข้อมูลถูกเก็บและใช้งานที่ใด รวมถึงติดตามระบบและอุปกรณ์ ตรวจสอบ Log และวิเคราะห์เหตุการณ์ที่อาจเป็น Cyber Incident.

ในมุมของ ISO/IEC 27001 นี่สัมพันธ์กับกระบวนการ Risk Assessment, Risk Treatment, Operational Control ตลอดจน Performance Evaluation ของ ISMS ซึ่งทำให้องค์กรไม่เพียง “มีมาตรการ” แต่ต้องทราบด้วยว่ามาตรการเหล่านั้นกำลังทำงานตามวัตถุประสงค์หรือไม่. โครงสร้างของ ISO/IEC 27001:2022 ครอบคลุมตั้งแต่ Context of the Organization ใน Clause 4 ไปจนถึง Improvement ใน Clause 10.

จิตตะจึงเปรียบได้กับ Cybersecurity Awareness, Visibility & Situational Awareness

เพราะ

เราไม่สามารถปกป้องสิ่งที่เราไม่รู้ว่ามีอยู่ และไม่สามารถตอบสนองต่อสิ่งที่เราไม่รู้ว่ากำลังเกิดขึ้น

4. วิมังสา - ตรวจสอบ ตั้งคำถาม และปรับปรุง

วิมังสา คือการพิจารณา ตรวจสอบ วิเคราะห์เหตุและผล และใช้ปัญญาปรับปรุงสิ่งที่ทำ

สำหรับ Cybersecurity คำถามสำคัญจึงไม่ใช่

“เรามี Firewall หรือยัง?”

แต่ควรถามว่า

“มาตรการที่เรามีอยู่ สามารถลดความเสี่ยงที่เรากังวลได้จริงหรือไม่ และเรามีหลักฐานอะไรยืนยัน?”

นี่คือความแตกต่างระหว่าง Security by Assumption กับ Security by Evidence

NIST CSF 2.0 มีเรื่อง Improvement (ID.IM) อยู่ภายใต้ Identify Function โดยมุ่งให้องค์กรค้นหาโอกาสในการปรับปรุงนโยบาย แผน กระบวนการ ขั้นตอน และแนวปฏิบัติในการบริหารความเสี่ยงไซเบอร์ และนำบทเรียนกลับไปพัฒนาทั้งหก Functions.

ใน ISO/IEC 27001 หลักการนี้ปรากฏอย่างเด่นชัดในช่วง Performance Evaluation และ Improvement ซึ่งเป็นส่วนท้ายของโครงสร้างข้อกำหนด Clause 4–10 และทำให้ ISMS เป็นระบบบริหารจัดการที่ต้องได้รับการติดตาม ประเมิน และปรับปรุงอย่างต่อเนื่อง.

วิมังสาจึงเกิดขึ้นผ่านกิจกรรม เช่น Internal Audit, Management Review, Security Assessment, Penetration Testing, Incident Post-Mortem, Lessons Learned, Metrics และการติดตาม Corrective Action

วิมังสาจึงเปรียบได้กับ Cybersecurity Assurance & Continuous Improvement

Cybersecurity ที่ไม่เคยถูกทดสอบ อาจเป็นเพียงความเชื่อว่า “เราน่าจะปลอดภัย” ไม่ใช่หลักฐานว่าองค์กรมี Cyber Resilience จริง

จากอิทธิบาท 4 สู่ Cybersecurity Management System

หากสรุปความสัมพันธ์เชิงแนวคิด จะเห็นภาพได้ดังนี้

ฉันทะ - Purpose & Governance

→ รู้ว่าปกป้องอะไร เพื่ออะไร และใครรับผิดชอบ

→ NIST CSF: Govern / Identify

→ ISO/IEC 27001: Context, Leadership, Planning

วิริยะ - Execution & Discipline

→ ลงมือควบคุมความเสี่ยงอย่างต่อเนื่อง

→ NIST CSF: Protect / Detect / Respond / Recover

→ ISO/IEC 27001: Support & Operation

จิตตะ - Visibility & Situational Awareness

→ รู้จักสินทรัพย์ ข้อมูล ความเสี่ยง และสิ่งที่กำลังเกิดขึ้น

→ NIST CSF: Identify / Detect รวมถึง Govern-Oversight

→ ISO/IEC 27001: Risk Management, Operation & Performance Evaluation

วิมังสา - Assurance & Improvement

→ ตรวจสอบประสิทธิผล เรียนรู้ และปรับปรุง

→ NIST CSF: Improvement และผลลัพธ์ที่เกี่ยวข้องกับการกำกับติดตามและบทเรียนจาก Incident

→ ISO/IEC 27001: Performance Evaluation & Improvement

ความสัมพันธ์ดังกล่าวเป็น conceptual mapping เพื่อใช้ในการอธิบายและบริหารจัดการ ไม่ใช่ official crosswalk ที่ NIST หรือ ISO กำหนดขึ้นโดยตรง

เทคโนโลยีเปลี่ยน แต่หลักบริหารความเสี่ยงไม่จำเป็นต้องเปลี่ยนตาม

สิ่งที่น่าสนใจคือ แม้ NIST CSF 2.0 และ ISO/IEC 27001 จะเป็นกรอบมาตรฐานสมัยใหม่ แต่หลักพื้นฐานของการทำให้ภารกิจประสบความสำเร็จกลับสามารถอธิบายด้วยหลักอิทธิบาท 4 ได้อย่างเป็นระบบ

ฉันทะ - มีเป้าหมาย

วิริยะ - ลงมือทำ

จิตตะ - เฝ้าระวังและใส่ใจ

วิมังสา - ตรวจสอบและพัฒนา

ขณะที่ NIST CSF 2.0 บอกเราว่า

Govern → Identify → Protect → Detect → Respond → Recover

และ ISO/IEC 27001 ช่วยเปลี่ยนสิ่งเหล่านี้ให้กลายเป็น Information Security Management System ที่สามารถกำหนดความรับผิดชอบ บริหารความเสี่ยง ตรวจสอบประสิทธิผล และปรับปรุงอย่างต่อเนื่องได้.

ดังนั้น ความมั่นคงปลอดภัยไซเบอร์ที่แท้จริงจึงอาจไม่ใช่เพียงเรื่องของ Technology หรือแม้แต่ Compliance

แต่คือความสามารถขององค์กรในการสร้าง

Purpose → Discipline → Awareness → Wisdom

เพื่อให้เกิด

Governance → Risk Management → Protection → Resilience → Continuous Improvement

และนี่อาจเป็นจุดที่ภูมิปัญญาตะวันออกกับมาตรฐาน Cybersecurity สากลมาบรรจบกันได้อย่างลงตัว

 

เอกสารอ้างอิงหลัก

1. National Institute of Standards and Technology (NIST). The NIST Cybersecurity Framework (CSF) 2.0, NIST CSWP 29, 2024.
2. NIST. Cybersecurity Framework 2.0 Resources and Overview.
3. ISO/IEC 27001:2022. Information security, cybersecurity and privacy protection - Information security management systems - Requirements.
4. ISO. ISO/IEC 27001:2022 - Information Security Management Systems: A practical guide for SMEs, 2024.

*หมายเหตุ: ปัจจุบัน ISO/IEC 27001:2022 มี Amendment 1:2024 เรื่อง Climate action changes ซึ่งใช้ประกอบกับฉบับ 2022. *