การเตรียมรับมือการโจมตีไซเบอร์ที่ใช้ AI ไม่ใช่แค่ซื้อเครื่องมือเพิ่มให้ทีมความปลอดภัย แล้วหวังว่าปัญหาจะจบอยู่หลังประตูห้องเซิร์ฟเวอร์ ศูนย์ความมั่นคงปลอดภัยไซเบอร์แห่งชาติของสหราชอาณาจักร หรือ NCSC ระบุชัดว่า ความเสี่ยงไซเบอร์ไม่ใช่เรื่องไอทีล้วน ๆ อีกต่อไป แต่เป็นวาระระดับคณะกรรมการ เพราะเหตุไซเบอร์อาจทำให้งานหยุด ชื่อเสียงเสียหาย และนำไปสู่ผลกระทบทางการเงินหรือกฎหมายได้[1]
แรงกดดันนี้เพิ่มขึ้นในยุค AI รายงาน Global Cybersecurity Outlook 2025 ของ World Economic Forum หรือ WEF ระบุว่า 72% ขององค์กรผู้ตอบแบบสำรวจรายงานว่าความเสี่ยงไซเบอร์ขององค์กรเพิ่มขึ้น และเกือบ 47% มองว่าการพัฒนาของผู้โจมตีที่ขับเคลื่อนด้วย Generative AI เป็นความกังวลหลัก[6]
ดังนั้น คำถามของผู้บริหารไม่ควรหยุดอยู่ที่ว่า เราจะกันไม่ให้ถูกเจาะได้ 100% หรือไม่ แต่ต้องถามต่อว่า ถ้าถูกเจาะแล้ว ธุรกิจสำคัญจะเดินต่อหรือฟื้นกลับมาได้เร็วแค่ไหน NCSC เน้นว่า องค์กรต้องโฟกัสสิ่งที่ควบคุมได้ในการป้องกันไซเบอร์ พร้อมเตรียมรับมือสิ่งที่ควบคุมไม่ได้ด้วย[3]
หลักคิดของบอร์ด: ไม่ใช่กำแพงที่เจาะไม่ได้ แต่คือองค์กรที่ล้มแล้วยืนได้เร็ว
ในยุค AI ความมั่นคงปลอดภัยไซเบอร์ต้องถูกออกแบบเป็นระบบเดียวกัน ตั้งแต่การป้องกัน การตรวจพบ การจำกัดวงความเสียหาย การกู้คืน ไปจนถึงความรับผิดชอบในการอธิบายต่อผู้มีส่วนได้ส่วนเสีย NCSC อธิบายว่า cyber resilience สำหรับผู้นำคือความสามารถเชิงยุทธศาสตร์ในการเตรียมพร้อม รับมือ และฟื้นตัวจากการโจมตีไซเบอร์[1]
สิ่งที่บอร์ดควรถามเป็นประจำจึงไม่ใช่รายละเอียดเชิงเทคนิคอย่างเดียว แต่คือผลกระทบต่อธุรกิจ เช่น งานใดหยุดแล้วกระทบลูกค้า รายได้ หรือข้อกำกับดูแลรุนแรงที่สุด ระยะเวลาหยุดชะงักสูงสุดที่ยอมรับได้ของแต่ละงานคือเท่าไร และเวลาที่กู้คืนได้จริงต่างจากเป้าหมายมากแค่ไหน หากเกิด ransomware คลาวด์ล่ม ระบบยืนยันตัวตนถูกยึด หรือผู้ให้บริการหลักหยุดให้บริการ ใครเป็นคนตัดสินใจและตัดสินใจเรื่องใด[1][
3]
AI ยังเพิ่มโจทย์อีกชั้นหนึ่ง เพราะความเสี่ยงไม่ได้มาจากผู้โจมตีที่ใช้ AI เท่านั้น แต่ยังมาจากการนำ AI มาใช้ภายในองค์กรเองด้วย WEF แนะนำให้ผู้รับผิดชอบความเสี่ยงระดับสูงประเมินช่องโหว่ที่อาจเกิดจากการใช้ AI ผลกระทบต่อธุรกิจ มาตรการควบคุมที่จำเป็น และความเสี่ยงคงเหลือหลังควบคุมแล้ว[5]
7 เรื่องที่ต้องยกระดับขึ้นห้องบอร์ดใน 90 วัน
1. ทำให้ความเสี่ยงไซเบอร์เป็นวาระประจำของคณะกรรมการ
ความเสี่ยงไซเบอร์ไม่ควรถูกนำเสนอเป็นรายงานเทคนิคไตรมาสละครั้งแล้วจบ NCSC ระบุว่าเหตุไซเบอร์กระทบการปฏิบัติงาน ชื่อเสียง การเงิน และกฎหมายได้[1] ขณะเดียวกัน รายงานบน Harvard Law School Forum on Corporate Governance ระบุว่า การเปิดเผยข้อมูลด้านการกำกับดูแล AI และไซเบอร์ของบริษัทต่าง ๆ ในปี 2025 มีมากขึ้นและละเอียดขึ้นในหลายประเด็นสำคัญ[
4]
สิ่งที่บอร์ดควรเห็นไม่ใช่จำนวนไฟร์วอลล์หรือชื่อผลิตภัณฑ์ใหม่ แต่คือความเสี่ยงที่งานสำคัญจะหยุด ช่องโหว่ร้ายแรงที่ยังไม่ได้แก้ บัญชีสิทธิ์สูง เวลาที่ใช้ตรวจพบ จำกัดวง และกู้คืน รวมถึงสถานะการกำกับดูแลการใช้ AI[1][
5] WEF ยังเสนอให้ผู้นำระดับสูงตั้งคำถามว่า องค์กรกำหนดระดับความเสี่ยงที่ยอมรับได้สำหรับเทคโนโลยี AI ชัดเจนแล้วหรือยัง[
6]
2. วัดงานสำคัญและความสามารถในการกู้คืนด้วยตัวเลขจริง
แม้ผู้โจมตีจะใช้ AI ให้หลอกล่อได้แนบเนียนขึ้นหรือทำงานได้เร็วขึ้น สิ่งที่ผู้บริหารต้องปกป้องเป็นอันดับแรกคือ งานธุรกิจที่สำคัญที่สุด ซีอีโอควรให้แต่ละหน่วยงานระบุงานสำคัญ ระยะเวลาหยุดชะงักสูงสุดที่ยอมรับได้ ทางเลือกสำรอง ผู้รับผิดชอบการกู้คืน และขั้นตอนสื่อสารกับลูกค้า หน่วยงานกำกับดูแล หรือผู้มีส่วนได้ส่วนเสียอื่น ๆ[1][
3]
คำว่า มีแบ็กอัปแล้ว ยังไม่พอ บอร์ดควรถามต่อว่า แบ็กอัปถูกแยกออกจากระบบหลักหรือไม่ เคยทดสอบกู้คืนจริงหรือยัง กู้กลับมาได้ครบถ้วนหรือไม่ และใช้เวลากี่ชั่วโมง NCSC เน้นแนวคิดเรื่องการเตรียมพร้อมต่อสิ่งที่ควบคุมไม่ได้ ซึ่งเป็นหัวใจของ digital resilience[3]
3. ใช้ AI ฝั่งป้องกันได้ แต่ต้องวัดด้วยผลลัพธ์ ไม่ใช่คำโฆษณา
เมื่อ WEF รายงานว่าเกือบ 47% ขององค์กรผู้ตอบแบบสำรวจมองว่าการพัฒนาของผู้โจมตีที่ใช้ GenAI เป็นความกังวลหลัก ฝั่งป้องกันก็ไม่ควรพึ่งกระบวนการแบบใช้คนล้วนในทุกขั้นตอน[6] องค์กรอาจใช้ AI ช่วยคัดกรองสัญญาณผิดปกติ จัดลำดับความเสี่ยง ช่วยวิเคราะห์เหตุการณ์ หรือช่วยทีมรักษาความปลอดภัยทำงานเร็วขึ้น แต่การใช้ AI ต้องอยู่ภายใต้การประเมินช่องโหว่ ผลกระทบ มาตรการควบคุม และความเสี่ยงคงเหลือตามแนวทางบริหารความเสี่ยง AI ของ WEF[
5]
บอร์ดจึงไม่ควรถามเพียงว่า ซื้อเครื่องมือ AI แล้วหรือยัง แต่ควรถามว่า หลังใช้แล้ว เวลาตรวจพบลดลงหรือไม่ เวลาจำกัดวงเหตุการณ์ลดลงหรือไม่ การจัดการ false positive ดีขึ้นหรือแย่ลง ใครรับผิดชอบการตัดสินใจของระบบ มี audit log ครบหรือไม่ และข้อยกเว้นถูกอนุมัติโดยใคร[1][
5]
4. คุมการใช้ AI และข้อมูลขององค์กรเอง
ความเสี่ยงไม่ได้อยู่ที่ผู้โจมตีใช้ AI เท่านั้น การใช้ AI ภายในองค์กรก็อาจสร้างช่องทางข้อมูลรั่วไหล สิทธิ์เข้าถึงเกินจำเป็น การตรวจสอบย้อนหลังไม่ได้ หรือการตัดสินใจผิดพลาด WEF ระบุให้ประเมินช่องโหว่จากการนำ AI มาใช้ ผลกระทบเชิงธุรกิจ มาตรการควบคุมที่จำเป็น และความเสี่ยงคงเหลือ[5]
เอกสารคำแนะนำร่วมด้าน cybersecurity information sheet ที่เผยแพร่ผ่านเว็บไซต์กระทรวงกลาโหมสหรัฐฯ ระบุว่า การปกป้องข้อมูลที่ใช้ในระบบ AI และ machine learning มีความสำคัญต่อความถูกต้องและความสมบูรณ์ของผลลัพธ์จาก AI[2] สำหรับบอร์ด ประเด็นนี้ควรแปลเป็นกติกาที่จับต้องได้ เช่น เครื่องมือ AI ใดได้รับอนุญาต ข้อมูลลับประเภทใดห้ามป้อนเข้า AI ใครเข้าถึง training data, prompt, log, vector database, ข้อมูล RAG และ model weights ได้บ้าง และการเข้าถึงเหล่านี้ถูกบันทึก ตรวจสอบ และเพิกถอนได้อย่างไร[
2][
5]
5. เชื่อมอำนาจของ CISO เข้ากับอำนาจบริหารจริง
หาก CISO หรือประธานเจ้าหน้าที่ความมั่นคงปลอดภัยสารสนเทศ มีแต่ความรับผิดชอบแต่ไม่มีอำนาจหยุดข้อยกเว้นที่เสี่ยง ไม่มีงบประมาณเพียงพอ หรือเข้าถึงบอร์ดไม่ได้ องค์กรจะรับมือความเร็วของภัยคุกคามยุค AI ได้ยาก ในเมื่อ NCSC วางความเสี่ยงไซเบอร์เป็นวาระระดับคณะกรรมการ CISO จึงไม่ควรถูกจำกัดเป็นเพียงผู้ดูแลเทคนิค แต่ควรเป็นผู้รายงานความเสี่ยงทางธุรกิจต่อผู้บริหารได้โดยตรง[1]
บอร์ดควรตรวจสอบว่า CISO มีอำนาจยับยั้งการเปลี่ยนแปลงระบบที่เสี่ยงสูงหรือไม่ มีสิทธิ์ทบทวนการนำ AI มาใช้ก่อนใช้งานจริงหรือไม่ สามารถบังคับให้หน่วยธุรกิจแก้ช่องโหว่ร้ายแรงตามกำหนดได้หรือไม่ และมีบทบาทในการประเมินความเสี่ยงของบุคคลที่สามหรือไม่ แนวทางของ WEF ต่อการบริหาร AI cyber risk ก็ให้ความสำคัญกับการประเมินความเสี่ยง มาตรการควบคุม และความเสี่ยงคงเหลือในระดับผู้บริหาร[5]
6. ทบทวนซัพพลายเชนและคลาวด์ให้ถึงระดับสัญญา
การรับมือ AI cyber attack ไม่จบที่ขอบเขตเครือข่ายของบริษัทเอง NCSC กล่าวถึงความจำเป็นในการยกระดับ resilience ตลอดซัพพลายเชน[3] สำหรับองค์กรยุคคลาวด์ ความพึ่งพาที่ต้องทำบัญชีให้ชัด ได้แก่ SaaS, MSP, ผู้ให้บริการคลาวด์ ผู้รับจ้างพัฒนา ระบบประมวลผลข้อมูล และบริษัทย่อยหรือพันธมิตรสำคัญ[
3][
5]
สำหรับผู้ให้บริการที่สำคัญ สัญญาควรถูกทบทวนในประเด็นอย่างข้อกำหนดการยืนยันตัวตน การส่งมอบ log กำหนดเวลาการแจ้งเหตุละเมิดนโยบายการใช้ AI การปกป้องข้อมูล แบ็กอัป สิทธิในการตรวจสอบ และหน้าที่ช่วยเหลือระหว่างกู้คืน หากบริษัทต้องรอ log หรือรอการแจ้งเหตุจากผู้ให้บริการนานเกินไป การจำกัดวงและการฟื้นธุรกิจก็จะช้าตามไปด้วย[3][
5]
7. เปลี่ยน KPI ของบอร์ดจากจำนวนเหตุการณ์ เป็นความเร็วในการฟื้นตัว
จำนวน incident อย่างเดียวไม่บอกว่าองค์กรแข็งแรงขึ้นหรือไม่ บริษัทที่ตรวจพบเก่งอาจรายงานเหตุการณ์มากขึ้นในช่วงแรก ขณะที่บริษัทที่เห็นเหตุการณ์น้อยอาจแค่ยังมองไม่เห็น บอร์ดควรขยับ KPI ไปที่ความสามารถในการพบเร็ว จำกัดวงเร็ว และฟื้นเร็ว[1][
3]
| พื้นที่ | ตัวชี้วัดที่บอร์ดควรเห็น |
|---|---|
| ความต่อเนื่องทางธุรกิจ | ระยะเวลาหยุดชะงักสูงสุดที่ยอมรับได้ของงานสำคัญ เวลากู้คืนจริง และทางเลือกสำรอง[ |
| ตรวจพบ จำกัดวง กู้คืน | เวลาตรวจพบ เวลาจำกัดวง เวลากู้คืน และเวลาจนถึงการตัดสินใจของผู้บริหาร[ |
| ตัวตนและสิทธิ์เข้าถึง | จำนวนบัญชีสิทธิ์สูง บัญชีที่ไม่ได้ใช้งาน จำนวนข้อยกเว้น และการควบคุมบัญชีสำคัญ[ |
| ช่องโหว่และทรัพย์สินดิจิทัล | ช่องโหว่ร้ายแรงที่ยังไม่แก้ งานแก้ไขที่เกินกำหนด และความครบถ้วนของบัญชีทรัพย์สินที่เปิดสู่ภายนอก[ |
| แบ็กอัป | แบ็กอัปที่แยกจากระบบหลัก อัตราความสำเร็จของการทดสอบกู้คืน และเวลาจริงที่ใช้กู้คืน[ |
| AI governance | บัญชีรายการเครื่องมือ AI ข้อยกเว้นในการป้อนข้อมูลลับ และอัตราการทบทวนก่อนนำ AI มาใช้[ |
| ความเสี่ยงบุคคลที่สาม | ข้อกำหนดความปลอดภัยของผู้ให้บริการสำคัญ กำหนดเวลาแจ้งเหตุ การส่งมอบ log และจุดพึ่งพาในการกู้คืน[ |
สิ่งที่ซีอีโอควรทำใน 90 วันแรก
วัน 0–30: ทำให้ความเสี่ยงมองเห็นในภาษาธุรกิจ
- ตั้งวาระพิเศษของคณะกรรมการเพื่อทบทวน AI cyber risk ในฐานะความเสี่ยงองค์กร[
1][
5]
- ระบุงานสำคัญของธุรกิจ พร้อมระยะเวลาหยุดชะงักสูงสุดที่ยอมรับได้ และเวลาที่กู้คืนได้จริงในปัจจุบัน[
1][
3]
- ให้ CISO ส่งการประเมินความเสี่ยงที่ครอบคลุมทั้งการโจมตีที่ใช้ GenAI และความเสี่ยงจากการใช้ AI ภายในองค์กร[
5][
6]
- หยุดการป้อนข้อมูลลับลงเครื่องมือ AI ที่ยังไม่ได้รับอนุมัติ และกำหนดกระบวนการอนุมัติข้อยกเว้น[
2][
5]
วัน 31–60: เสริมการควบคุมและความสามารถในการกู้คืน
- เพิ่มความเข้มงวดของการยืนยันตัวตนและการควบคุมสิทธิ์ โดยเริ่มจากผู้บริหาร ผู้ดูแลระบบ และบัญชีสิทธิ์สูง[
1][
5]
- ทดสอบการกู้คืนจากแบ็กอัปที่แยกจากระบบหลัก โดยตั้งสมมติฐานว่าเกิด ransomware ทั้งนี้ WEF ระบุว่า ransomware ยังเป็นหนึ่งในความกังวลหลักในมุมมองปี 2025[
6]
- ทำบัญชีผู้ให้บริการสำคัญ และทบทวนเงื่อนไขเรื่อง log การแจ้งเหตุ การใช้ AI การปกป้องข้อมูล และความร่วมมือระหว่างกู้คืน[
3][
5]
วัน 61–90: ซ้อมจริงและใส่ลง dashboard ของบอร์ด
- จัด tabletop exercise หรือการซ้อมสถานการณ์ระดับผู้บริหาร โดยให้ CEO, CFO, ฝ่ายกฎหมาย, ฝ่ายสื่อสารองค์กร, CISO และหัวหน้าหน่วยธุรกิจเข้าร่วม[
1][
3]
- ใส่เวลาตรวจพบ เวลาจำกัดวง เวลากู้คืน ช่องโหว่ร้ายแรงที่ยังไม่แก้ และสถานะการตรวจสอบการใช้ AI ลงใน dashboard ของคณะกรรมการ[
1][
5]
- ทบทวนสายการรายงาน อำนาจหยุดงานเสี่ยง อำนาจตรวจสอบการนำ AI มาใช้ และงบประมาณของ CISO แล้วกำหนดให้บอร์ดติดตามต่อเนื่อง[
1][
5]
คำถามที่กรรมการควรถามทุกครั้ง
เพื่อให้เรื่องนี้ไม่กลายเป็นเอกสารสวย ๆ ที่ไม่มีผลในทางปฏิบัติ คณะกรรมการควรตั้งคำถามชุดเดิมซ้ำอย่างมีวินัย
- องค์กรกำหนดระดับความเสี่ยงที่ยอมรับได้สำหรับการใช้ AI ชัดเจนแล้วหรือยัง[
6]
- หากงานสำคัญหยุด ลูกค้า กฎหมาย และการสื่อสารสาธารณะจะเริ่มดำเนินการโดยใคร ภายในกี่ชั่วโมง[
1][
3]
- ข้อมูลที่ใช้ในระบบ AI/ML ถูกแก้ไขได้โดยใคร และองค์กรตรวจสอบความสมบูรณ์ของข้อมูลอย่างไร[
2]
- CISO สามารถยกระดับข้อยกเว้นที่เสี่ยงหรือความเสี่ยงที่ยังไม่ถูกแก้ไปถึงผู้บริหารและบอร์ดได้โดยตรงหรือไม่[
1][
5]
- หากผู้ให้บริการหลักถูกเจาะ บริษัทจะตรวจพบได้ภายในกี่ชั่วโมง และมีทางเลือกสำรองใดให้เปลี่ยนไปใช้[
3][
5]
ข้อสรุปสำคัญคือ การรับมือ AI cyber attack ในระดับผู้บริหารไม่ใช่การสัญญาว่าจะป้องกันได้สมบูรณ์แบบ แต่คือการทำให้องค์กรตรวจพบเร็ว จำกัดความเสียหายได้ รักษางานสำคัญให้เดินต่อหรือฟื้นกลับมาเร็ว และอธิบายต่อผู้มีส่วนได้ส่วนเสียได้อย่างมีหลักฐาน บทบาทของซีอีโอและคณะกรรมการจึงไม่ใช่การเลือกเครื่องมือแทนทีมเทคนิค แต่คือการกำหนดระดับความเสี่ยงที่ยอมรับได้ ให้อำนาจและทรัพยากรแก่ CISO และทดสอบซ้ำ ๆ ว่าองค์กรกู้คืนได้จริง ไม่ใช่แค่มีแผนบนกระดาษ[1][
3][
5]
