กฎไซเบอร์ฉบับใหม่ของสิงคโปร์บังคับบอร์ดคุมความเสี่ยง พร้อมขยายการป้องกันไปถึงระบบคลาวด์และซัพพลายเออร์

สิงคโปร์กำลังขยาย “ขอบเขตที่ต้องป้องกัน” ของโครงสร้างพื้นฐานสารสนเทศสำคัญ หรือ CII ให้กว้างกว่าระบบที่ถูกจัดเป็นโครงสร้างพื้นฐานสำคัญโดยตรง ภายใต้ Cybersecurity Code of Practice ฉบับปรับปรุง ผู้ประกอบการใน 11 ภาคส่วนสำคัญจะต้องเพิ่มความสามารถในการตรวจจับภัย ยกระดับการกำกับดูแลโดยผู้บริหารและคณะกรรมการ ดูแลระบบที่เชื่อมต่อกัน ตลอดจนทดสอบความพร้อมในการรับมือและฟื้นฟูระบบ

การเปลี่ยนแปลงนี้เกิดขึ้นท่ามกลางภัยไซเบอร์ที่ซับซ้อนและรวดเร็วขึ้น รวมถึงการโจมตีที่ใช้ AI และกิจกรรมของกลุ่ม Advanced Persistent Threat (APT) ที่ได้รับการสนับสนุนจากรัฐอย่าง UNC3886 ซึ่งโจมตีผู้ให้บริการโทรคมนาคมรายใหญ่ทั้ง 4 รายของสิงคโปร์ในปี 2025

ข้อกำหนดสำคัญสำหรับผู้ดูแล CII

1. ต้องติดตั้งระบบตรวจจับภัยที่พัฒนาโดยภาครัฐในหลายส่วนของเครือข่าย

เจ้าของ CII จะทำงานร่วมกับ Cyber Security Agency of Singapore (CSA) เพื่อติดตั้งระบบตรวจจับภัยคุกคามที่พัฒนาในประเทศในส่วนต่าง ๆ ของเครือข่ายที่เกี่ยวข้อง เป้าหมายคือเพิ่มการมองเห็นกิจกรรมผิดปกติ ไม่ใช่เฉพาะภายในระบบ CII ที่ได้รับการกำหนดอย่างเป็นทางการ แต่รวมถึงส่วนอื่นของสภาพแวดล้อมการทำงานที่เชื่อมโยงกันด้วย

เหตุผลสำคัญคือผู้โจมตีอาจใช้ระบบที่มีการป้องกันอ่อนแอกว่าเป็นทางผ่านเข้าสู่โครงสร้างพื้นฐานสำคัญ สิงคโปร์ระบุว่ากลุ่มภัยคุกคามกำลังหันไปโจมตีระบบที่ไม่ใช่ CII มากขึ้น เพราะระบบเหล่านี้อาจเป็นจุดเริ่มต้นในการเข้าถึง CII

2. ความปลอดภัยไซเบอร์กลายเป็นความรับผิดชอบของทั้งคณะกรรมการ

แนวทางใหม่จะไม่ถือว่าความปลอดภัยไซเบอร์เป็นหน้าที่ของฝ่ายไอทีหรือผู้บริหารที่ได้รับมอบหมายเพียงคนเดียวอีกต่อไป แต่คณะกรรมการบริษัททั้งคณะและผู้บริหารระดับสูงต้องร่วมกำกับดูแลความเสี่ยงไซเบอร์และการฟื้นฟูระบบ

คณะกรรมการต้องจัดทำกรอบการสร้างความยืดหยุ่นทางไซเบอร์ หรือ cyber-resilience framework เป็นลายลักษณ์อักษร โดยครอบคลุมเรื่องต่อไปนี้

• ระดับความเสี่ยงไซเบอร์ที่องค์กรยอมรับได้
• มาตรการลดและบริหารความเสี่ยง
• แนวทางถ่ายโอนความเสี่ยงที่อาจนำมาใช้
• ลำดับความสำคัญและขีดความสามารถในการกู้คืนระบบ

กรอบดังกล่าวต้องได้รับการทบทวนอย่างน้อยปีละ 1 ครั้ง

ข้อกำหนดนี้ทำให้ cyber resilience เป็นภารกิจด้านธรรมาภิบาลที่ต้องทบทวนเป็นประจำ ไม่ใช่โครงการทำตามกฎเพียงครั้งเดียว อีกทั้งยังทำให้กรรมการมีบทบาทชัดเจนขึ้นในการตัดสินใจว่าองค์กรยอมรับความเสี่ยงได้มากเพียงใด และจะดำเนินงานต่ออย่างไรเมื่อเกิดเหตุร้ายแรง

3. การกำกับดูแลจะครอบคลุมระบบที่เชื่อมต่อกับ CII

เจ้าของ CII ต้องกำกับดูแลระบบที่เชื่อมต่อ สื่อสาร หรือสนับสนุนระบบ CII ด้วย ข้อกำหนดฉบับปรับปรุงยังเรียกร้องให้เสริมความแข็งแกร่งของสถาปัตยกรรมเครือข่าย การบริหารจัดการระบบตรวจจับและติดตามเหตุการณ์ รวมถึงจัดทำแผนการฝึกซ้อมด้านความปลอดภัยไซเบอร์อย่างครอบคลุม เพื่อให้หลายหน่วยงานรับมือเหตุการณ์ร่วมกันได้

ในทางปฏิบัติ ผู้ประกอบการจะต้องทำแผนผังการพึ่งพาระบบต่าง ๆ ให้ครบถ้วนมากขึ้น ระบบที่อยู่นอกขอบเขต CII อย่างเป็นทางการก็อาจต้องได้รับการตรวจสอบอย่างใกล้ชิด หากระบบเหล่านั้นเป็นช่องทางเข้าสู่บริการสำคัญ หรือมีผลต่อการกู้คืนระบบหลังถูกโจมตี

4. ระบบที่ไม่ใช่ CII แต่สนับสนุนธุรกิจต้องได้ Cyber Trust Mark ระดับ 5

ภายในสิ้นปี 2027 เจ้าของ CII ต้องได้รับ Cyber Trust Mark (CTM) ระดับ 5 สำหรับระบบที่ไม่ใช่ CII ซึ่งอยู่ภายใต้การควบคุมขององค์กรและใช้สนับสนุนการดำเนินธุรกิจหรือการให้บริการ ข้อกำหนดนี้ทำให้การรับรองความปลอดภัยขยายไปไกลกว่าระบบที่ถูกระบุว่าเป็นโครงสร้างพื้นฐานสำคัญโดยตรง

ระดับ 5 เป็นระดับสูงสุดของกรอบ Cyber Trust ของสิงคโปร์ โครงการรับรองที่ปรับปรุงใหม่ครอบคลุมทั้งความปลอดภัยไซเบอร์ทั่วไป ความปลอดภัยบนคลาวด์ ความปลอดภัยของเทคโนโลยีปฏิบัติการ หรือ OT และความปลอดภัยของ AI

เป้าหมายคือปิดช่องว่างระหว่างระบบ CII ที่มีการป้องกันสูง กับโครงสร้างพื้นฐานขององค์กรโดยรอบ ซึ่งอาจใช้บัญชีผู้ดูแล เครื่องมือบริหารจัดการ เครือข่าย หรือกระบวนการกู้คืนระบบร่วมกัน

เหตุผลที่สิงคโปร์ต้องเร่งยกระดับกฎ

AI ทำให้เวลาที่ใช้ป้องกันระบบสั้นลง

CSA ระบุว่าการปรับปรุงหลักปฏิบัตินี้มีเป้าหมายรับมือภัยจาก APT และการโจมตีที่ใช้ AI AI อาจช่วยให้ผู้โจมตีทำงานได้รวดเร็วขึ้น ในวงกว้างขึ้น และมีความซับซ้อนมากขึ้น ทำให้องค์กรต้องตรวจจับพฤติกรรมน่าสงสัยให้เร็วกว่าเดิม และตอบสนองได้ทั่วทั้งสภาพแวดล้อม ไม่ใช่พึ่งพาการป้องกันที่ขอบเครือข่ายเพียงอย่างเดียว

คำตอบเชิงนโยบายจึงไม่ได้มีแค่การเพิ่มเครื่องมือทางเทคนิคอีกหนึ่งชิ้น แต่เป็นการผสานการตรวจจับ ธรรมาภิบาล การรับรองมาตรฐาน และการฝึกซ้อมเข้าด้วยกัน เพื่อให้องค์กรสามารถระบุภัย ตัดสินใจได้รวดเร็ว และกู้คืนบริการสำคัญได้หากการป้องกันไม่สามารถหยุดเหตุการณ์ไว้ได้

UNC3886 ชี้ให้เห็นความสำคัญเชิงยุทธศาสตร์ของระบบโทรคมนาคม

แคมเปญของ UNC3886 ในปี 2025 มุ่งเป้าไปยังผู้ให้บริการโทรคมนาคมรายใหญ่ทั้ง 4 รายของสิงคโปร์ รัฐบาลสิงคโปร์ระบุว่าเป็นปฏิบัติการที่จงใจ มุ่งเป้า และวางแผนมาอย่างดีโดยผู้โจมตีที่มีขีดความสามารถสูง

CSA ยังระบุว่า UNC3886 เป็นกลุ่ม APT ที่ได้รับการสนับสนุนจากรัฐ และใช้เทคนิคขั้นสูง เช่น การอาศัยเครื่องมือที่มีอยู่ในระบบ หรือ living-off-the-land รวมถึงการใช้ช่องโหว่แบบ zero-day โดยมุ่งโจมตีทรัพย์สินเชิงยุทธศาสตร์ที่มีมูลค่าสูง เช่น โครงสร้างพื้นฐานสำคัญ

สิงคโปร์ตอบโต้ด้วย Operation CYBER GUARDIAN ซึ่งเป็นความร่วมมือระหว่างหน่วยงานรัฐและบริษัทโทรคมนาคม ทางการระบุว่าสามารถควบคุมเหตุการณ์ได้โดยไม่ทำให้บริการโทรคมนาคมหยุดชะงัก และไม่พบหลักฐานว่าข้อมูลลูกค้าถูกเจาะ

แม้จะไม่มีรายงานการหยุดชะงักของบริการ แต่เหตุการณ์นี้ยังมีความสำคัญต่อภาคส่วนอื่น เพราะแสดงให้เห็นว่าโทรคมนาคม พลังงาน สาธารณสุข การเงิน ขนส่ง และบริการจำเป็นอื่น ๆ ล้วนเป็นเป้าหมายเชิงยุทธศาสตร์ได้ นี่จึงเป็นเหตุผลที่สิงคโปร์กำลังขยายการควบคุมไปยังระบบและซัพพลายเออร์ที่อยู่รอบ CII ด้วย

คลาวด์และผู้ให้บริการภายนอกคือแนวป้องกันชั้นถัดไป

สิงคโปร์มีแผนออก Cybersecurity Code of Practice for Cloud Services ฉบับใหม่ที่มีผลผูกพันทางกฎหมายในช่วงหลังของปี 2026 โดยคาดว่าจะกำหนดแนวทางด้านการติดตั้ง การใช้งาน และการบริหารจัดการระบบ CII ที่โฮสต์อยู่บนคลาวด์

CSA ได้ทำงานร่วมกับ AWS, Google Cloud และ Microsoft Azure เพื่อจัดทำคำแนะนำการนำไปใช้เฉพาะสำหรับผู้ให้บริการแต่ละราย ครอบคลุมการตั้งค่าที่เหมาะสมและการใช้ความสามารถด้านความปลอดภัยที่มีอยู่ในระบบคลาวด์

กำหนดการรับรองยังครอบคลุมห่วงโซ่อุปทานด้านความปลอดภัยไซเบอร์ด้วย ได้แก่

• ผู้ตรวจประเมิน CII ต้องได้รับ CTM ระดับ 5 ภายในสิ้นปี 2026
• ผู้ให้บริการทดสอบเจาะระบบและศูนย์ปฏิบัติการความปลอดภัยที่ได้รับอนุญาต ต้องได้รับ CTM ระดับ 3 ภายในสิ้นปี 2026
• เจ้าของ CII ต้องได้รับ CTM ระดับ 5 สำหรับระบบสนับสนุนที่เกี่ยวข้องภายในสิ้นปี 2027

มาตรการเหล่านี้สะท้อนหลักการที่กว้างขึ้นว่า ความปลอดภัยของผู้ให้บริการโครงสร้างพื้นฐานสำคัญไม่ได้ขึ้นอยู่กับระบบควบคุมขององค์กรเพียงแห่งเดียว แต่ยังขึ้นอยู่กับบริษัทที่ทำหน้าที่ตรวจประเมิน เฝ้าระวัง ทดสอบ และโฮสต์ระบบด้วย

ประเด็นที่ยังต้องรอรายละเอียด

ข้อกำหนด CII ฉบับปรับปรุงได้รับการเผยแพร่โดย CSA แล้ว แต่รายละเอียดภายใต้กฎคลาวด์ฉบับแยกยังอยู่ระหว่างการจัดทำ เอกสารสาธารณะระบุช่วงเวลาการเปิดตัวและประเด็นหลักที่จะกำกับดูแลแล้ว แต่ยังไม่ได้ระบุข้อกำหนดที่แน่นอนสำหรับผู้ให้บริการคลาวด์ ผู้รับเหมาช่วง และรูปแบบการแบ่งความรับผิดชอบร่วมอย่างครบถ้วน

สำหรับผู้ประกอบการ CII สิ่งที่ควรเร่งทำคือประเมินห่วงโซ่การพึ่งพาทั้งหมด ตั้งแต่ระบบ CII ที่ถูกกำหนดอย่างเป็นทางการ ระบบเชื่อมต่อ งานบนคลาวด์ สภาพแวดล้อมสำหรับกู้คืนระบบ ซัพพลายเออร์ ไปจนถึงบริการรักษาความปลอดภัยที่จ้างจากภายนอก

ทิศทางของนโยบายสิงคโปร์ชัดเจนแล้ว แม้รายละเอียดการนำไปใช้บางส่วนยังต้องรอประกาศเพิ่มเติม นั่นคือ “ขอบเขตที่ต้องป้องกัน” กำลังขยายจากระบบที่มีป้าย CII ไปสู่ระบบนิเวศการดำเนินงานทั้งหมด