Cybersecurity คืออะไร: ความหมาย ภัยที่พบบ่อย และกรอบ NIST

Cybersecurity (ความมั่นคงปลอดภัยไซเบอร์) คือการปกป้องคอมพิวเตอร์ เครือข่าย อุปกรณ์ และข้อมูลในนั้น ไม่ให้คนที่ไม่มีสิทธิ์เข้าถึง และคือการดูแลให้ระบบยังใช้งานได้เมื่อมีปัญหาเกิดขึ้น ครอบคลุมตั้งแต่โทรศัพท์ส่วนตัวไปจนถึงเครือข่ายของโรงพยาบาล บทความนี้อธิบายความหมายของคำนี้ สิ่งที่ต้องปกป้อง ภัยที่พบบ่อย และหน้าที่ 6 ด้านใน NIST (สถาบันมาตรฐานของสหรัฐฯ) Cybersecurity Framework ซึ่งเป็นกรอบแนวทางที่องค์กรใช้จัดระเบียบงานด้านนี้

คำนี้หมายถึงอะไร

คำนี้ไม่มีนิยามเดียว NIST รวบรวมไว้ 6 นิยามในพจนานุกรมศัพท์ (glossary) ของตน แต่ละนิยามมาจากเอกสารคนละฉบับ มี 2 นิยามที่จำง่าย นิยามแรกคือกระบวนการปกป้องข้อมูลโดยป้องกัน ตรวจจับ และตอบสนองต่อการโจมตี มาจาก NIST Cybersecurity Framework เวอร์ชัน 1.1 นิยามที่สองมาจาก CNSSI 4009 (เอกสารศัพท์มาตรฐานด้านระบบความมั่นคงของสหรัฐฯ) คือการปกป้องคอมพิวเตอร์ ระบบสื่อสาร และข้อมูลในระบบเหล่านั้น รวมถึงการกู้คืนระบบหลังเสียหาย เพื่อให้ยังมีคุณสมบัติเหล่านี้ คือ พร้อมใช้งาน ครบถ้วน ยืนยันได้ว่าเป็นตัวจริง เป็นความลับ และปฏิเสธภายหลังไม่ได้ (non-repudiation คือผู้ส่งไม่อาจปฏิเสธภายหลังว่าตนไม่ได้ส่ง)

พูดให้ง่ายที่สุด เป้าหมายคือให้ข้อมูลเป็นความลับ ถูกต้อง และพร้อมใช้เมื่อต้องการ นี่เป็นวิธีอธิบายของ CISA (หน่วยงานด้านความมั่นคงไซเบอร์ของสหรัฐฯ) เป้าหมายสามข้อนี้มักเรียกว่า confidentiality (ความลับ) integrity (ความถูกต้องครบถ้วน) และ availability (ความพร้อมใช้งาน) NIST นิยาม confidentiality ว่าคือการรักษากฎที่กำหนดไว้ว่าใครเข้าถึงหรือเปิดเผยข้อมูลได้บ้าง

• Confidentiality (ความลับ): เฉพาะคนที่มีสิทธิ์เท่านั้นที่อ่านข้อมูลได้ ตัวอย่าง (ของเราเอง): รายชื่อลูกค้ารั่วไปถึงคู่แข่ง แปลว่าเสียความลับ
• Integrity (ความถูกต้องครบถ้วน): ข้อมูลถูกต้อง และไม่ถูกคนที่ไม่มีสิทธิ์แก้ไข ตัวอย่าง (ของเราเอง): ผู้โจมตีแก้เลขบัญชีในใบแจ้งหนี้ แปลว่าเสียความถูกต้อง
• Availability (ความพร้อมใช้งาน): ข้อมูลและระบบใช้งานได้เมื่อต้องการ ตัวอย่าง (ของเราเอง): ransomware (มัลแวร์ คือซอฟต์แวร์ประสงค์ร้าย ชนิดที่เรียกค่าไถ่) ล็อกไฟล์ทั้งหมด แปลว่าเสียความพร้อมใช้งาน

สิ่งที่ต้องปกป้อง

CISA ชี้ว่าชีวิตสมัยใหม่พึ่งพาเทคโนโลยีมาก เช่น อีเมลและโทรศัพท์ แอปบันเทิง การนำทาง การซื้อของออนไลน์ บัตรชำระเงิน รวมถึงอุปกรณ์และเวชระเบียน (ประวัติการรักษา) ทางการแพทย์ ข้อมูลส่วนบุคคลอาจอยู่ในอุปกรณ์ของผู้ใช้เอง หรืออยู่ในระบบที่องค์กรอื่นดูแล จึงต้องช่วยกันปกป้อง ส่วนองค์กร แนวคิดเดียวกันขยายไปถึงเซิร์ฟเวอร์ บริการคลาวด์ แอปพลิเคชันธุรกิจ และคนที่ใช้งานระบบเหล่านี้

ภัยที่พบบ่อยที่สุด

CISA ระบุภัยที่พบบ่อยไว้ดังนี้

• Malware (มัลแวร์): ซอฟต์แวร์ประสงค์ร้ายบางตัวทำลายได้ทั้งระบบ และบางชนิดแพร่ไปเครื่องอื่นได้เอง โดยไม่ต้องมีใครกดอะไร
• ผู้บุกรุก: คนที่เจาะเข้ามาได้อาจแก้ไฟล์ หรือใช้เครื่องที่ถูกเจาะไปโจมตีคนอื่นต่อ
• การขโมยเงิน: ผู้โจมตีขโมยข้อมูลบัตร แล้วใช้ซื้อของโดยที่เจ้าของบัตรไม่ได้ซื้อ
• ช่องโหว่ซอฟต์แวร์ที่ถูกนำมาโจมตี: ช่องโหว่ (vulnerability) คือจุดอ่อนในซอฟต์แวร์ ซึ่งมักเกิดจากความผิดพลาดตอนเขียนโปรแกรม ผู้โจมตีใช้จุดอ่อนนี้ทำสิ่งที่ไม่ได้รับอนุญาตได้
• ฟิชชิง (phishing) และไฟล์หลอก: ฟิชชิงคือการหลอกให้ผู้ใช้ทำตาม เช่น เปิดไฟล์แนบ เข้าเว็บอันตราย หรือสั่งให้โค้ด (ชุดคำสั่งคอมพิวเตอร์) อันตรายที่ดูเหมือนมีประโยชน์ทำงาน

สำหรับนิสัยประจำวันที่ช่วยรับมือภัยเหล่านี้ ดู Cybersecurity Tips ง่าย ๆ สำหรับบุคคลทั่วไป ส่วนวิธีที่องค์กรติดตามและแก้ช่องโหว่ซอฟต์แวร์ ดู Vulnerability Management: วิธีสร้างโปรแกรมที่ใช้ได้จริง

องค์กรจัดระเบียบงานนี้อย่างไร

NIST เผยแพร่ Cybersecurity Framework (CSF) เวอร์ชัน 2.0 เมื่อวันที่ 26 กุมภาพันธ์ 2024 กรอบนี้แบ่งงานด้านความมั่นคงปลอดภัยไซเบอร์เป็น 6 หน้าที่ (function) ใช้ได้กับองค์กรทุกขนาดและทุกภาคธุรกิจ ไม่ได้จำกัดเฉพาะโครงสร้างพื้นฐานสำคัญ (ระบบที่สังคมต้องพึ่งพา) คำอธิบายข้างล่างเป็นการสรุปด้วยภาษาง่าย ๆ ของเราเอง ไม่ใช่ถ้อยคำของ NIST

• Govern (กำกับดูแล): ผู้บริหารกำหนดกลยุทธ์ และมองความเสี่ยงไซเบอร์เป็นความเสี่ยงสำคัญของธุรกิจ เหมือนความเสี่ยงด้านการเงินและชื่อเสียง
• Identify (ระบุ): รู้ว่าองค์กรมีอะไรอยู่ และอะไรอาจผิดพลาดได้ เช่น ระบบ ข้อมูล และความเสี่ยง
• Protect (ป้องกัน): วางมาตรการป้องกัน เช่น ควบคุมว่าใครเข้าถึงอะไรได้ อัปเดตซอฟต์แวร์ และฝึกอบรม
• Detect (ตรวจจับ): สังเกตให้เร็วเมื่อมีเหตุผิดปกติเกิดขึ้น
• Respond (ตอบสนอง): รับมือเมื่อเกิดเหตุการณ์ โดยจำกัดความเสียหายและสื่อสารกับผู้เกี่ยวข้อง
• Recover (กู้คืน): ทำให้การทำงานกลับมาเป็นปกติ และเรียนรู้จากสิ่งที่เกิดขึ้น

ถ้าต้องการดูกรอบแนวคิดที่ใกล้เคียงกัน ดู NIST AI RMF คู่มือฉบับใช้งานจริง ซึ่งเป็นกรอบพี่น้องที่ใช้กับ AI ส่วนวิธีที่การตรวจจับและการตอบสนองทำงานในศูนย์ปฏิบัติการด้านความปลอดภัย ดู SIEM + SOAR กับ XDR: เปรียบเทียบความสามารถ ข้อดี ข้อจำกัด และคำแนะนำ

ความมั่นคงปลอดภัยไซเบอร์ไม่ใช่งานของเทคโนโลยีอย่างเดียว

ในมุมมองของเรา ความมั่นคงปลอดภัยไซเบอร์ที่ดีต้องมี 3 อย่างทำงานร่วมกัน คือ คนที่รู้ว่าต้องทำอะไร กระบวนการที่บอกว่าใครตัดสินใจและใครลงมือ และเทคโนโลยีที่ช่วยสนับสนุนทั้งสองอย่างนั้น หน้าที่ Govern ใน CSF 2.0 สะท้อนแนวคิดนี้ คือมองว่าผู้บริหารระดับสูงควรร่วมพิจารณาความเสี่ยงไซเบอร์ ไม่ใช่เฉพาะทีมไอที (เป็นการตีความของเรา) ในประเทศไทย พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 เป็นกฎหมายหลัก และใช้กับองค์กรที่ดูแลโครงสร้างพื้นฐานสำคัญทางสารสนเทศเป็นพิเศษ เราสรุปไว้ว่ากฎหมายนี้ส่งผลต่อหน่วยงานรัฐอย่างไรใน SOC Architecture Blueprint สำหรับหน่วยงานภาครัฐไทย บทความนี้ไม่ใช่คำปรึกษาทางกฎหมาย

ข้อผิดพลาดที่พบบ่อย

• คิดว่ามีแต่บริษัทใหญ่ที่ตกเป็นเป้า: NIST ออกแบบ CSF 2.0 ให้ใช้ได้กับองค์กรทุกขนาด ตั้งแต่โรงเรียนเล็กและองค์กรไม่แสวงกำไรไปจนถึงหน่วยงานขนาดใหญ่
• ซื้อเครื่องมือแล้วคิดว่าจบ: เครื่องมือต้องมีคนและกระบวนการคอยใช้งาน (ความเห็นของเราเอง)
• ปล่อยให้เป็นงานของทีมไอทีเพียงทีมเดียว: หน้าที่ Govern มองว่าผู้บริหารระดับสูงควรร่วมพิจารณาความเสี่ยงไซเบอร์ด้วย (เป็นการตีความของเรา)
• ปกป้องระบบแต่ไม่ปกป้องข้อมูลในระบบ: เป้าหมายครอบคลุมตัวข้อมูลด้วย ไม่ใช่แค่ตัวเครื่อง
• วางแผนแค่การป้องกัน: กรอบนี้มี Detect, Respond และ Recover ด้วย เพราะบางการโจมตีผ่านเข้ามาได้
• มองเป็นโครงการครั้งเดียวจบ: ภัยคุกคามและซอฟต์แวร์เปลี่ยนไปตลอด จึงต้องทำงานนี้ซ้ำเป็นประจำ (ความเห็นของเราเอง)

ขั้นแรกที่ทำได้ทันที

• ทำบัญชีรายการสิ่งที่มีอยู่: อุปกรณ์ บัญชีผู้ใช้ แอปพลิเคชัน และข้อมูลที่เก็บไว้ โดยเริ่มจากสิ่งที่ธุรกิจขาดไม่ได้
• เปิดการยืนยันตัวตนขั้นที่สองให้อีเมลและบัญชีผู้ดูแลระบบ: คือต้องมีอีกขั้นหนึ่งนอกจากรหัสผ่านตอน login
• เปิดการอัปเดตอัตโนมัติเท่าที่ทำได้
• ตรวจว่ามีข้อมูลสำรองที่กู้คืนได้จริง: ลองกู้คืนไฟล์สักไฟล์ดู
• กำหนดว่าเมื่อเกิดเรื่องจะโทรหาใครก่อน: จดชื่อและเบอร์โทรไว้
• ระบุผู้บริหารหนึ่งคนเป็นผู้รับผิดชอบความเสี่ยงไซเบอร์: แม้เป็นองค์กรเล็กก็ควรมี

ถ้าอยากดูว่าองค์กรอยู่ตรงไหนในวันนี้ ลองทำ แบบประเมินตนเอง

ในไทยมีกฎหมายเฉพาะสำหรับโครงสร้างพื้นฐานสำคัญ ดู พ.ร.บ.ไซเบอร์และ CII: องค์กรไหนเกี่ยวข้อง

ถ้าต้องการมาตรฐานสากลสำหรับจัดระบบดูแลความปลอดภัยของข้อมูล ดู ISO/IEC 27001:2022 สรุปสำหรับผู้เริ่มต้น

เมื่อลูกค้าขอหลักฐานด้านความปลอดภัย ดูการเทียบ ISO 27001 กับ SOC 2

อยากรู้ว่า 6 ฟังก์ชันของ CSF 2.0 ใช้งานจริงอย่างไร ดู NIST CSF 2.0: ฟังก์ชันทั้ง 6 และวิธีนำไปใช้

แหล่งอ้างอิงและข้อมูลเพิ่มเติม

นิยามและคำอธิบายกรอบ CSF มาจากหน้าเว็บของ NIST และ CISA ที่ระบุไว้ข้างล่าง โดยอ่านเมื่อ 27 ตุลาคม 2026 ส่วนประโยคเรื่องเซิร์ฟเวอร์ บริการคลาวด์ และแอปพลิเคชันในหัวข้อสิ่งที่ต้องปกป้อง คำอธิบายหน้าที่ทั้ง 6 ด้วยภาษาง่าย ๆ ตัวอย่างของเป้าหมายสามข้อ และข้อที่ระบุว่าเป็นความเห็นของเรา เป็นของเราเอง ไม่ได้มาจากหน้าเว็บเหล่านั้น กฎหมายไทยกล่าวถึงเพียงภาพรวม ควรอ่านตัวกฎหมายฉบับจริงเพื่อดูถ้อยคำที่แน่นอน

• NIST Glossary: cybersecurity: นิยามทั้ง 6 ของ NIST และเอกสารต้นทางของแต่ละนิยาม
• NIST Glossary: confidentiality: นิยามของ confidentiality
• CISA: What is cybersecurity?: คำอธิบายง่าย ๆ ว่าปกป้องอะไร และภัยที่พบบ่อยมีอะไรบ้าง
• NIST: Cybersecurity Framework: หน้าหลักของกรอบ มีไฟล์ดาวน์โหลดและคู่มือเริ่มต้น
• NIST: เปิดตัว Cybersecurity Framework 2.0: ข่าวการเผยแพร่ พร้อมหน้าที่ทั้ง 6 และกลุ่มผู้ใช้กรอบนี้