การปฏิบัติการด้านความปลอดภัย (SecOps) คืออะไร?

หมายเหตุ: เนื้อหานี้จัดทำขึ้นผ่านการแปลอัตโนมัติและอาจมีความคลาดเคลื่อน สำหรับข้อมูลที่ถูกต้องและเป็นปัจจุบันที่สุด โปรดดูที่ เวอร์ชันภาษาอังกฤษต้นฉบับ.

การปฏิบัติการด้านความปลอดภัยคืออะไร?

การปฏิบัติการด้านความปลอดภัย หรือ SecOps คือการดำเนินงานอย่างต่อเนื่องเพื่อค้นหา ตรวจสอบ และตอบสนองต่อภัยคุกคามทางไซเบอร์ในสภาพแวดล้อมไอทีจริง โดยเป็นการผสมผสานระหว่างบุคลากร เครื่องมือรักษาความปลอดภัย ข้อมูลข่าวกรองด้านภัยคุกคาม และกระบวนการตอบสนองที่ชัดเจน เป้าหมายคือการตรวจจับกิจกรรมที่เป็นอันตรายตั้งแต่เนิ่นๆ และดำเนินการก่อนที่ความเสียหายจะลุกลาม

SecOps ไม่ได้ถูกกำหนดด้วยจำนวนผลิตภัณฑ์ ขนาดทีม หรือการมีศูนย์ปฏิบัติการด้านความปลอดภัย (SOC) อย่างเป็นทางการ คำถามสำคัญคือองค์กรนั้นดำเนินการด้านความปลอดภัยของตนเองอย่างจริงจังทุกวันหรือไม่

บริษัทอาจมีไฟร์วอลล์ ระบบป้องกันปลายทาง เครื่องมือรักษาความปลอดภัยบนคลาวด์ และแพลตฟอร์มการตรวจจับและตอบสนองขั้นสูง (XDR) แต่ระบบรักษาความปลอดภัย (SecOps) ก็อาจยังอ่อนแออยู่ หากไม่มีการตรวจสอบการแจ้งเตือนอย่างสม่ำเสมอ หรือดำเนินการสืบสวนเฉพาะเมื่อมีทรัพยากรพร้อมใช้งานเท่านั้น บริษัทขนาดเล็กสามารถรักษาระบบรักษาความปลอดภัยที่มีประสิทธิภาพได้ด้วยทีมภายในที่เน้นเฉพาะด้าน บริการจัดการ หรือโมเดลแบบผสมผสาน

หลักการนี้สะท้อนให้เห็นใน มาตรฐาน NIST SP 800-137 ว่าด้วยการตรวจสอบความปลอดภัยของข้อมูลอย่างต่อเนื่อง NIST อธิบายว่าการตรวจสอบอย่างต่อเนื่องควรทำให้องค์กรมีข้อมูลเชิงลึกเพียงพอที่จะเข้าใจความเสี่ยงและตอบสนองได้ทันท่วงที

การเปรียบเทียบง่ายๆ เกี่ยวกับ SecOps

การติดตั้งกล้องวงจรปิดและระบบเตือนภัยไม่ได้สร้างปฏิบัติการรักษาความปลอดภัยขึ้นมาเอง ปฏิบัติการรักษาความปลอดภัยจะเริ่มต้นขึ้นก็ต่อเมื่อมีผู้คอยเฝ้าดูระบบเหล่านั้น ตรวจสอบกิจกรรมที่น่าสงสัย และประสานงานการตอบสนอง เทคโนโลยีรักษาความปลอดภัยก็ทำงานในลักษณะเดียวกัน เครื่องมือสร้างศักยภาพ และ SecOps คือการนำศักยภาพนั้นไปใช้งาน

อะไรทำให้ปฏิบัติการด้านความปลอดภัยเป็น “ปฏิบัติการ”?

คำว่า "ปฏิบัติการ" เป็นส่วนที่สำคัญที่สุดของคำนี้ มันบ่งบอกถึงความแตกต่างระหว่างการเป็นเจ้าของเทคโนโลยีด้านความปลอดภัยกับการดำเนินการป้องกันเชิงรุก

เครื่องมือรักษาความปลอดภัยต้องนำไปสู่การดำเนินการ

หลายองค์กรใช้เครื่องมือรักษาความปลอดภัยเพื่อรวบรวมและวิเคราะห์บันทึกจากทั่วทั้งสภาพแวดล้อมและสร้างการแจ้งเตือน แต่ไม่ได้แปลงการแจ้งเตือนเหล่านั้นเป็นการตรวจสอบและดำเนินการอย่างทันท่วงทีอย่างสม่ำเสมอ ทีมปฏิบัติการด้านความปลอดภัย (SecOps) สร้างเส้นทางที่เชื่อถือได้จาก1การตรวจจับไปสู่การตัดสินใจ ทีม SecOps จะจัดลำดับความสำคัญของสัญญาณที่เกี่ยวข้อง รวบรวมบริบท และประสานงานการดำเนินการเมื่อยืนยันภัยคุกคามแล้ว

ระบบอัตโนมัติสามารถจัดการงานประจำได้ เช่น การเพิ่มข้อมูลการแจ้งเตือน จัดกลุ่มเหตุการณ์ที่เกี่ยวข้อง และกรองการแจ้งเตือนผิดพลาดที่ทราบแล้ว แต่คนยังคงต้องกำหนดลำดับความสำคัญและตัดสินใจว่าควรจัดการกับเหตุการณ์ที่ร้ายแรงหรือไม่แน่นอนอย่างไร

ความต่อเนื่องสำคัญกว่าขนาดทีม

ทีมรักษาความปลอดภัยขนาดใหญ่ไม่ได้หมายความว่าจะมีปฏิบัติการด้านความปลอดภัย (SecOps) ที่แข็งแกร่งเสมอไป สมาชิกในทีมบางคนอาจมุ่งเน้นไปที่การปฏิบัติตามกฎระเบียบ สถาปัตยกรรม การสร้างความตระหนักรู้ หรือการจัดการช่องโหว่ บทบาทเหล่านั้นเพิ่มคุณค่า แต่ไม่ได้หมายความว่าจะรับประกันการตรวจจับและการตอบสนองอย่างต่อเนื่องโดยอัตโนมัติ

การทดสอบที่มีความหมายมากกว่าคือ องค์กรสามารถระบุ ตรวจสอบ และควบคุมภัยคุกคามที่น่าเชื่อถือได้ภายในกรอบเวลาที่ยอมรับได้หรือไม่ งานนี้อาจดำเนินการโดยนักวิเคราะห์ความปลอดภัยภายใน ผู้ให้บริการภายนอก หรือทั้งสองฝ่าย

ทีม SecOps ควรสร้างวงจรปิด

การปฏิบัติการด้านความปลอดภัยที่มีประสิทธิภาพนั้นไม่ใช่แค่การปิดการแจ้งเตือนเท่านั้น แต่ยังเรียนรู้จากมันด้วย การตรวจจับที่ผิดพลาดควรนำไปสู่การปรับปรุงตรรกะการตรวจจับ การตอบสนองที่ล่าช้าควรนำไปสู่การปรับปรุงแผนปฏิบัติการ การแจ้งเตือนผิดพลาดซ้ำๆ ควรเป็นแรงกระตุ้นให้มีการปรับปรุงกฎการตรวจจับที่เกี่ยวข้อง

วงจรการป้อนกลับนี้ช่วยให้การดำเนินงานดีขึ้นเรื่อยๆ เมื่อเวลาผ่านไป หากไม่มีวงจรนี้ ทีมรักษาความปลอดภัยอาจยุ่งอยู่ตลอดเวลา ในขณะที่องค์กรยังคงเผชิญกับปัญหาเดิมๆ อยู่

SecOps เทียบกับ ความปลอดภัยทางไซเบอร์, SOC และการดำเนินงานด้านไอที

คำศัพท์เหล่านี้มีความเกี่ยวข้องกัน แต่ไม่สามารถใช้แทนกันได้

SecOps กับความปลอดภัยทางไซเบอร์

ความปลอดภัยทางไซเบอร์เป็นศาสตร์ที่มีขอบเขตกว้างกว่า ครอบคลุมถึงการกำกับดูแล ความเสี่ยง สถาปัตยกรรม การปฏิบัติตามกฎระเบียบ การป้องกัน การจัดการช่องโหว่ และการรับมือกับเหตุการณ์ต่างๆ

SecOps คือส่วนที่ทำหน้าที่ปกป้องสภาพแวดล้อมการทำงานจริงจากภัยคุกคามที่เกิดขึ้นใหม่และเปลี่ยนแปลงอยู่ตลอดเวลา โดยมุ่งเน้นไปที่กิจกรรมที่เกิดขึ้นภายในสภาพแวดล้อมนั้น รวมถึงปริมาณการรับส่งข้อมูลเครือข่ายที่ผิดปกติ บัญชีผู้ใช้ที่ถูกบุกรุก และการเข้าถึงข้อมูลสำคัญอย่างน่าสงสัย

ความมั่นคงทางไซเบอร์กำหนดทิศทางด้านความปลอดภัยในวงกว้าง และปฏิบัติการด้านความปลอดภัย (SecOps) ดำเนินงานส่วนหนึ่งของกลยุทธ์นั้นในทุกๆ วัน

SecOps เทียบกับศูนย์ปฏิบัติการด้านความปลอดภัย (SOC)

ศูนย์ปฏิบัติการด้านความปลอดภัย (SOC) เป็นวิธีหนึ่งในการจัดการปฏิบัติการด้านความปลอดภัย อาจเป็นห้องจริง ทีมงานเสมือนจริง บริการจากภายนอก หรือการผสมผสานของรูปแบบเหล่านี้

ไมโครซอฟต์อธิบายว่า SOC (ศูนย์ปฏิบัติการด้านความปลอดภัย) คือหน่วยงานที่คอยตรวจสอบสภาพแวดล้อม ตรวจจับภัยคุกคาม ตอบสนองต่อเหตุการณ์ และปรับปรุงความปลอดภัย

ความแตกต่างนั้นชัดเจน: SecOps คือความสามารถ ในขณะที่ SOC คือรูปแบบการส่งมอบ องค์กรสามารถดำเนิน SecOps ได้โดยไม่ต้องสร้าง SOC ที่ทำงานตลอด 24 ชั่วโมง 7 วันต่อสัปดาห์ สิ่งสำคัญคือการครอบคลุมที่เชื่อถือได้และแนวทางการดำเนินการที่ชัดเจน

SecOps กับ IT operations

ฝ่ายปฏิบัติการด้านไอทีมีหน้าที่ทำให้ระบบพร้อมใช้งานและเชื่อถือได้ ในขณะที่ฝ่ายปฏิบัติการด้านความปลอดภัยมีหน้าที่ปกป้องระบบเหล่านั้นจากการกระทำที่เป็นอันตรายหรือไม่ได้รับอนุญาต

ทั้งสองทีมมักทำงานร่วมกันในระหว่างเกิดเหตุการณ์ ฝ่ายรักษาความปลอดภัยอาจขอให้ฝ่ายไอทีแยกอุปกรณ์ ปิดใช้งานบัญชี หรือกู้คืนบริการ การกำหนดสิทธิ์ในการตัดสินใจที่ชัดเจนนั้นมีความสำคัญอย่างยิ่ง เนื่องจากมาตรการรักษาความปลอดภัยที่รวดเร็วอาจส่งผลกระทบต่อการดำเนินงานของธุรกิจได้เช่นกัน

การปฏิบัติการด้านความปลอดภัยทำงานอย่างไร?

SecOps ที่มีประสิทธิภาพสูงจะเชื่อมโยงกิจกรรมสี่อย่างเข้าด้วยกัน โดยแต่ละกิจกรรมจะสนับสนุนกิจกรรมถัดไป

รักษาความชัดเจนและบริบท

ทีม SecOps จำเป็นต้องมีมุมมองที่ชัดเจนเกี่ยวกับสภาพแวดล้อมแบบเรียลไทม์ สัญญาณที่มีประโยชน์อาจมาจากอุปกรณ์ปลายทาง การรับส่งข้อมูลเครือข่าย ข้อมูลระบุตัวตน อีเมล แอปพลิเคชัน และบริการคลาวด์

เป้าหมายไม่ใช่การรวบรวมเหตุการณ์ที่เป็นไปได้ทั้งหมด การรวบรวมข้อมูลที่มีคุณค่าน้อยในปริมาณมากเกินไปอาจเพิ่มความยุ่งยากในการดำเนินงานและต้นทุนในการจัดเก็บ เป้าหมายคือการเก็บรักษาหลักฐานที่มีประโยชน์เพียงพอเพื่อตรวจจับภัยคุกคามและสร้างเหตุการณ์ที่เกิดขึ้นขึ้นมาใหม่

ข้อมูลข่าวกรองด้านภัยคุกคามช่วยเพิ่มบริบทจากภายนอก สามารถแสดงให้เห็นถึงวิธีการโจมตี ช่องโหว่ หรือแคมเปญที่ผู้โจมตีกำลังดำเนินการอยู่ ซึ่งจะช่วยให้ทีมรักษาความปลอดภัยสามารถมุ่งเน้นไปที่ภัยคุกคามที่เกี่ยวข้องกับระบบของตนเองได้

ตรวจจับและสืบสวนภัยคุกคามทางไซเบอร์

เหตุการณ์ที่อาจเกิดขึ้นได้นั้นอาจเริ่มต้นด้วยมัลแวร์ การเข้าสู่ระบบที่ผิดปกติ หรือการเปลี่ยนแปลงพฤติกรรมของผู้ใช้ จากนั้นนักวิเคราะห์ด้านความปลอดภัยจะตัดสินใจว่าสัญญาณนั้นไม่เป็นอันตราย เป็นสัญญาณเตือนที่ผิดพลาด หรือเป็นภัยคุกคามที่แท้จริง

การสืบสวนที่ดีขึ้นอยู่กับบริบท นักวิเคราะห์จำเป็นต้องรู้ว่าใครเป็นผู้กระทำการ ระบบใดได้รับผลกระทบ และมีสัญญาณที่เกี่ยวข้องปรากฏขึ้นที่อื่นหรือไม่

แพลตฟอร์มสมัยใหม่สามารถเชื่อมต่อสัญญาณต่างๆ ที่ปกติแล้วจะแยกจากกันได้ การตรวจจับและตอบสนองแบบขยาย (XDR) สามารถรวมหลักฐานจากอุปกรณ์ปลายทาง เครือข่าย ข้อมูลระบุตัวตน อีเมล และบริการคลาวด์เข้าด้วยกัน ซึ่งช่วยให้นักวิเคราะห์มองเห็นเส้นทางการโจมตีที่กว้างขึ้น แทนที่จะตรวจสอบการแจ้งเตือนแต่ละรายการแยกกัน

เทคโนโลยีสามารถช่วยเร่งกระบวนการสืบสวนได้ แต่ไม่ได้ขจัดความจำเป็นในการตัดสินใจของมนุษย์ ทีม SecOps ยังคงต้องประเมินผลกระทบต่อธุรกิจและตัดสินใจว่าจะดำเนินการเมื่อใด

ควบคุม แก้ไข และฟื้นฟู

เมื่อยืนยันเหตุการณ์แล้ว ลำดับความสำคัญจะเปลี่ยนไปเป็นการจำกัดความเสียหาย การตอบสนองอาจเป็นการแยกอุปกรณ์ บล็อกการรับส่งข้อมูลที่เป็นอันตราย หรือปิดใช้งานบัญชีที่ถูกบุกรุก จากนั้นทีมจะลบสิทธิ์การเข้าถึงของผู้โจมตีและกู้คืนบริการที่ได้รับผลกระทบ

ผู้รับมือกับเหตุการณ์ฉุกเฉินมักไม่ได้ทำงานเพียงลำพัง เจ้าหน้าที่ไอที ทีมคลาวด์ เจ้าของแอปพลิเคชัน และผู้นำทางธุรกิจอาจมีบทบาทร่วมกัน SecOps จึงเป็นผู้จัดหาหลักฐานและการประสานงานที่จำเป็นเพื่อสนับสนุนการควบคุม การแก้ไข และการกู้คืนอย่างทันท่วงที

มาตรฐาน NIST SP 800-61 ฉบับแก้ไขครั้งที่ 3 ได้วางการเตรียมการ การตรวจจับ การตอบสนอง และการกู้คืนไว้ในกรอบการจัดการความเสี่ยงด้านไซเบอร์ที่กว้างขึ้น ซึ่งสะท้อนให้เห็นถึงประเด็นสำคัญ: การตอบสนองต่อเหตุการณ์ไม่ใช่ภารกิจฉุกเฉินที่แยกต่างหาก แต่เป็นส่วนหนึ่งของรูปแบบการดำเนินงานอย่างต่อเนื่อง

เรียนรู้และพัฒนาตนเอง

การตรวจสอบแต่ละครั้งควรปรับปรุงการป้องกันในอนาคต ทีมอาจปรับปรุงการตรวจจับ ปิดช่องโหว่ด้านการมองเห็น หรือเปลี่ยนแปลงขั้นตอนการตอบสนอง นอกจากนี้ยังอาจค้นหากิจกรรมที่คล้ายคลึงกันก่อนที่จะมีการแจ้งเตือนครั้งใหม่เกิดขึ้น

นี่คือจุดที่ SecOps เข้ามามีบทบาทเชิงรุก ทีมงานใช้สิ่งที่ได้เรียนรู้จากการสืบสวนและข้อมูลข่าวกรองด้านภัยคุกคามเพื่อค้นหากิจกรรมที่เกี่ยวข้อง ปิดช่องโหว่ และเตรียมพร้อมรับมือกับภัยคุกคามที่เปลี่ยนแปลงไป

แบบจำลองการปฏิบัติการด้านความปลอดภัย

องค์กรต่างๆ สามารถนำ SecOps มาใช้ได้หลายวิธี รูปแบบที่ดีที่สุดนั้นขึ้นอยู่กับความเสี่ยง ทักษะภายในองค์กร ขอบเขตการครอบคลุมที่ต้องการ และระดับการควบคุมที่องค์กรต้องการรักษาไว้

ปฏิบัติการรักษาความปลอดภัยที่ดำเนินการด้วยตนเอง

ในรูปแบบการดำเนินงานด้วยตนเอง องค์กรจะเป็นเจ้าของเทคโนโลยี นักวิเคราะห์ และการตัดสินใจในการรับมือ ทีมรักษาความปลอดภัยภายในองค์กรจะสร้างระบบตรวจจับ ตรวจสอบสภาพแวดล้อมอย่างต่อเนื่อง และประสานงานการดำเนินการ

โมเดลนี้ให้การควบคุมโดยตรงและบริบททางธุรกิจที่แข็งแกร่ง นอกจากนี้ยังต้องการการลงทุนอย่างต่อเนื่องในด้านบุคลากร การฝึกอบรม การบูรณาการ และการครอบคลุม การจัดหาเทคโนโลยีเป็นเพียงขั้นตอนแรกเท่านั้น องค์กรต้องรักษาสมรรถนะในการดำเนินงานที่จำเป็นต่อการใช้เทคโนโลยีอย่างมีประสิทธิภาพด้วย

บริการรักษาความปลอดภัยทางไซเบอร์แบบครบวงจร

ในรูปแบบการจัดการแบบครบวงจร ผู้ให้บริการภายนอกจะจัดการงานด้านการตรวจสอบ การสืบสวน และการตอบสนองส่วนใหญ่ ซึ่งมักดำเนินการผ่านบริการตรวจจับและตอบสนองแบบจัดการ (MDR)

โมเดลนี้สามารถมอบนักวิเคราะห์ความปลอดภัยที่มีประสบการณ์และครอบคลุมพื้นที่กว้างขวางยิ่งขึ้น โดยไม่ต้องสร้างฟังก์ชันทั้งหมดขึ้นเองภายในองค์กร ลูกค้ายังคงเป็นเจ้าของสิทธิ์ในการตัดสินใจทางธุรกิจที่สำคัญและการกู้คืนข้อมูล ผู้ให้บริการจะดำเนินการตามภารกิจด้านความปลอดภัยที่กำหนดไว้เท่านั้น ไม่ได้เข้ามารับผิดชอบทั้งหมด

ไฮบริด เซคออปส์

รูปแบบไฮบริดจะแบ่งงานกันทำ ทีมภายในอาจรับผิดชอบด้านกลยุทธ์และการตอบสนองต่อลูกค้า ในขณะที่ผู้ให้บริการภายนอกเพิ่มการตรวจสอบ การใช้ทักษะเฉพาะทาง หรือการให้บริการนอกเวลาทำการ

รูปแบบนี้เหมาะสำหรับองค์กรที่มีสมาชิกทีมภายในที่มีความสามารถ แต่ไม่สามารถดูแลครอบคลุมทั่วทั้งระบบได้อย่างต่อเนื่อง ประสิทธิภาพของรูปแบบนี้ขึ้นอยู่กับว่ารูปแบบผสมผสานนี้ให้ความชัดเจนในเรื่องความรับผิดชอบ การดูแลที่สม่ำเสมอ และการดำเนินการที่ทันท่วงที มากกว่าชื่อเรียกเสียอีก

เหตุใด SecOps จึงมีความสำคัญ?

SecOps ช่วยลดระยะเวลาระหว่างการโจมตีของผู้บุกรุกและการดำเนินการป้องกันที่มีประสิทธิภาพ ระยะเวลานั้นมีความสำคัญ เพราะผู้บุกรุกใช้เวลานั้นในการขยายการเข้าถึงของตน

ผู้โจมตีต้องการเวลา

หลังจากเข้าถึงระบบได้แล้ว ผู้โจมตีอาจสำรวจระบบ ขโมยข้อมูลประจำตัว หรือเข้าถึงข้อมูลสำคัญ ยิ่งการกระทำนั้นซ่อนเร้นนานเท่าไร ก็ยิ่งสร้างความเสียหายได้มากขึ้นเท่านั้น

รายงาน M-Trends 2025 ของ Mandiant พบว่าระยะเวลาแฝงเฉลี่ยทั่วโลกอยู่ที่ 11 วัน สำหรับเหตุการณ์ที่ได้รับการตรวจสอบในปี 2024 โดยค่าเฉลี่ยอยู่ที่ 10 วัน เมื่อองค์กรที่เป็นเหยื่อตรวจพบกิจกรรมที่เป็นอันตรายด้วยตนเอง เทียบกับ 26 วัน เมื่อได้รับการแจ้งเตือนจากหน่วยงานภายนอก

ผลการวิจัยเน้นย้ำถึงคุณค่าของการรักษาความสามารถในการตรวจจับที่เชื่อถือได้ ไม่ว่าจะดำเนินการภายในองค์กร ผ่านผู้ให้บริการ MDR หรือผ่านรูปแบบผสมผสาน องค์กรที่มีการดำเนินงานด้านความปลอดภัยที่จัดตั้งขึ้นแล้วจะมีความพร้อมมากกว่าในการระบุและตรวจสอบภัยคุกคามขั้นสูงก่อนที่จะพัฒนาไปสู่การละเมิดครั้งใหญ่

เครื่องมือรักษาความปลอดภัยจะมีคุณค่าก็ต่อเมื่อมันนำไปสู่การกระทำ

องค์กรต่างๆ มักวัดระดับการรักษาความปลอดภัยโดยการนับจำนวนอุปกรณ์ที่ได้รับการปกป้องหรือแหล่งข้อมูลที่เชื่อมต่อ ตัวเลขเหล่านี้แสดงถึงระดับการรักษาความปลอดภัยที่เป็นไปได้ ไม่ใช่ผลลัพธ์ด้านความปลอดภัยที่เกิดขึ้นจริง

SecOps เปลี่ยนข้อมูลที่ได้รับให้เป็นการลงมือปฏิบัติจริง โดยจะพิจารณาว่าสัญญาณใดมีความสำคัญ มีความหมายอย่างไร และควรดำเนินการอย่างไรต่อไป แพลตฟอร์มที่เพิ่มปริมาณการแจ้งเตือนโดยไม่ปรับปรุงการจัดลำดับความสำคัญหรือการตรวจสอบ อาจเพิ่มภาระงานโดยไม่ปรับปรุงผลลัพธ์ด้านความปลอดภัย

การใช้งานจริงจะช่วยพัฒนาเครื่องมือให้ดียิ่งขึ้นไปเรื่อยๆ การตรวจจับจะแม่นยำขึ้น การแจ้งเตือนผิดพลาดลดลง และระบบอัตโนมัติสามารถเข้ามาทำงานประจำได้มากขึ้น

SecOps ช่วยเสริมสร้างความยืดหยุ่น

การป้องกันไม่สามารถหยุดยั้งการโจมตีได้ทุกรูปแบบ บัญชีผู้ใช้ยังคงถูกขโมย ช่องโหว่ยังคงถูกใช้ประโยชน์ และระบบที่น่าเชื่อถือยังคงถูกนำไปใช้ในทางที่ผิด

SecOps ช่วยให้องค์กรมีวิธีการตอบสนองที่เป็นระบบเมื่อการป้องกันล้มเหลว ช่วยให้ผู้คนเข้าใจเหตุการณ์ จำกัดความเสียหาย และฟื้นฟูบริการที่สำคัญ ทำให้ SecOps เป็นทั้งความสามารถในการฟื้นตัวของธุรกิจและเป็นฟังก์ชันด้านความปลอดภัย

อะไรคืออุปสรรคที่ทำให้การปฏิบัติงานด้านความปลอดภัย (SecOps) ไม่เกิดประสิทธิภาพ?

อุปสรรคสำคัญต่อการปฏิบัติงานด้าน SecOps ที่มีประสิทธิภาพ มักไม่ใช่การขาดแคลนเทคโนโลยี แต่เป็นความยากลำบากในการใช้งานเทคโนโลยีด้านความปลอดภัยในฐานะที่เป็นความสามารถที่สอดคล้องกันและต่อเนื่อง

ทักษะ ความสามารถ และขอบเขตที่จำกัด

การปฏิบัติงานด้านความปลอดภัย (SecOps) ที่มีประสิทธิภาพ จำเป็นต้องมีนักวิเคราะห์ที่มีความสามารถและผู้เชี่ยวชาญเฉพาะด้านเพียงพอที่จะตรวจสอบภัยคุกคามที่น่าเชื่อถือภายในกรอบเวลาที่ยอมรับได้ การมอบหมายความรับผิดชอบด้านความปลอดภัยให้กับเจ้าหน้าที่ไอทีที่มีอยู่ไม่ได้หมายความว่าจะสร้างความสามารถในการปฏิบัติงานที่ยั่งยืนได้โดยอัตโนมัติ

ทีมขนาดเล็กอาจประสบปัญหาในการรักษาการเฝ้าระวังอย่างต่อเนื่อง ในขณะเดียวกันก็ต้องตอบสนองต่อเหตุการณ์ จัดการเครื่องมือรักษาความปลอดภัย และสนับสนุนความต้องการทางธุรกิจที่กว้างขึ้น แรงกดดันเหล่านี้อาจทำให้เกิดช่องว่างในการดูแล หรือทำให้บุคลากรที่มีประสบการณ์มีเวลาไม่เพียงพอสำหรับการสืบสวนที่ซับซ้อน ดังนั้น องค์กรอาจจำเป็นต้องผสมผสานทรัพยากรภายในเข้ากับระบบอัตโนมัติ การจัดการแบบเรียกใช้บริการ การบริการ MDR หรือรูปแบบการดำเนินงานแบบผสมผสาน

การมองเห็นที่กระจัดกระจายและเวิร์กโฟลว์ที่ไม่เชื่อมโยงกัน

ข้อมูลด้านความปลอดภัยมักกระจัดกระจายอยู่ตามแพลตฟอร์มต่างๆ ทั้งระบบปลายทาง ระบบระบุตัวตน เครือข่าย คลาวด์ และแอปพลิเคชัน นักวิเคราะห์อาจต้องสลับไปมาระหว่างคอนโซลหลายๆ ตัว และเชื่อมโยงเหตุการณ์ที่เกี่ยวข้องด้วยตนเองก่อนที่จะเข้าใจขอบเขตของเหตุการณ์นั้นๆ

ความท้าทายมักไม่ได้อยู่ที่การขาดข้อมูล แต่เป็นการเปลี่ยนสัญญาณที่กระจัดกระจายให้เป็นภาพรวมที่ชัดเจนของเหตุการณ์และการตอบสนองที่ประสานงานกัน เครื่องมือเพิ่มเติมอาจทำให้ปัญหารุนแรงขึ้นเมื่อมีการแจ้งเตือนและขั้นตอนการทำงานมากขึ้นโดยไม่ปรับปรุงการสืบสวนให้ดีขึ้น

ความเป็นเจ้าของและอำนาจการตัดสินใจไม่ชัดเจน

SecOps ขึ้นอยู่กับการประสานงานระหว่างฝ่ายรักษาความปลอดภัย ฝ่ายไอที เจ้าของแอปพลิเคชัน และผู้นำทางธุรกิจ ความล่าช้าเกิดขึ้นเมื่อความรับผิดชอบต่อการแจ้งเตือนไม่ชัดเจน เส้นทางการยกระดับการแจ้งเตือนไม่ชัดเจน หรือผู้ตอบสนองขาดอำนาจในการควบคุมภัยคุกคามที่ได้รับการยืนยันแล้ว

ความล่าช้าเหล่านี้ไม่ได้เกิดจากการบริหารจัดการที่อ่อนแอเสมอไป การแยกส่วนระบบการผลิต การปิดใช้งานบัญชีที่สำคัญ หรือการขัดจังหวะกระบวนการทางธุรกิจ อาจส่งผลกระทบอย่างมากต่อการดำเนินงาน ดังนั้น องค์กรจึงต้องการสิทธิ์ในการตัดสินใจที่สนับสนุนการควบคุมสถานการณ์อย่างทันท่วงที พร้อมทั้งคำนึงถึงผลกระทบต่อธุรกิจด้วย

แรงกดดันในการดำเนินงานบดบังการปรับปรุง

ทีมที่อยู่ภายใต้แรงกดดันด้านการปฏิบัติงานอย่างต่อเนื่องมักจะมุ่งเน้นไปที่การแจ้งเตือนหรือเหตุการณ์ที่เกิดขึ้นตรงหน้าเท่านั้น การปรับแต่งการตรวจจับ การค้นหาภัยคุกคาม การพัฒนากลยุทธ์ การฝึกอบรม และการแก้ไขต้นตอของปัญหาจึงถูกเลื่อนออกไปซ้ำแล้วซ้ำเล่า

สิ่งนี้อาจสร้างวงจรที่ทีมยังคงทำงานอยู่ แต่ยังคงเผชิญกับสัญญาณเตือนภัยที่ดังซ้ำซาก ช่องว่างในการมองเห็น และจุดอ่อนที่เกิดขึ้นซ้ำแล้วซ้ำเล่า การปฏิบัติการด้านความปลอดภัยที่มีประสิทธิภาพต้องอาศัยศักยภาพไม่เพียงแต่ในการรับมือกับภัยคุกคามในปัจจุบันเท่านั้น แต่ยังต้องปรับปรุงวิธีการตรวจจับและตอบสนองต่อภัยคุกคามในอนาคตด้วย

องค์กรจะสร้างระบบปฏิบัติการด้านความปลอดภัย (SecOps) ที่มีประสิทธิภาพได้อย่างไร?

การสร้าง SecOps ที่มีประสิทธิภาพควรเริ่มต้นด้วยผลลัพธ์ด้านความปลอดภัยที่องค์กรต้องการและรูปแบบการดำเนินงานที่จำเป็นเพื่อให้บรรลุผลลัพธ์เหล่านั้น เทคโนโลยีควรสนับสนุนรูปแบบดังกล่าวมากกว่าที่จะเป็นตัวกำหนดรูปแบบนั้นเอง

กำหนดผลลัพธ์ที่ต้องการและรูปแบบความคุ้มครอง

องค์กรควรเริ่มต้นด้วยการระบุระบบ ตัวตน ข้อมูล และบริการทางธุรกิจที่สำคัญที่สุดก่อน จากนั้นจึงจะสามารถกำหนดได้ว่าต้องตรวจจับภัยคุกคามใดบ้าง ควรเริ่มการสืบสวนเร็วแค่ไหน และต้องตอบสนองในระดับใด

ข้อกำหนดเหล่านี้เป็นพื้นฐานที่ชัดเจนยิ่งขึ้นสำหรับการตัดสินใจว่าควรดำเนินการ SecOps อย่างไร บางองค์กรอาจต้องการศูนย์ปฏิบัติการด้านความปลอดภัย (SOC) ที่มีเจ้าหน้าที่ประจำการตลอด 24 ชั่วโมง 7 วันต่อสัปดาห์ ในขณะที่บางองค์กรอาจผสมผสานการดูแลภายในเข้ากับระบบอัตโนมัติ เจ้าหน้าที่ที่พร้อมรับสาย ผู้ให้บริการ MDR หรือรูปแบบผสมผสาน รูปแบบที่เหมาะสมคือรูปแบบที่สามารถตรวจจับและตอบสนองต่อความเสี่ยงที่สำคัญได้อย่างสม่ำเสมอภายในกรอบเวลาที่ยอมรับได้

ผสานรวมเวิร์กโฟลว์ด้านการมองเห็นและการตอบสนอง

SIEM, XDR, การรักษาความปลอดภัยปลายทาง, การตรวจสอบเครือข่าย, ระบบอัตโนมัติ และข่าวกรองภัยคุกคาม ล้วนสามารถสนับสนุน SecOps ได้ เครื่องมือและกระบวนการเหล่านี้จะสร้างคุณค่าที่มากขึ้นเมื่อสนับสนุนขั้นตอนการทำงานด้านการสืบสวนและตอบสนองที่สอดคล้องกัน แทนที่จะทำงานผ่านระบบที่แยกขาดจากกัน

การบูรณาการจะช่วยลดการแจ้งเตือนซ้ำซ้อน การค้นหาด้วยตนเอง และการสลับไปมาระหว่างคอนโซลโดยไม่จำเป็น ระบบอัตโนมัติสามารถเสริมข้อมูลสัญญาณ เชื่อมโยงกิจกรรมที่เกี่ยวข้อง และดำเนินการตามขั้นตอนการตอบสนองที่คาดการณ์ได้ จากนั้นนักวิเคราะห์สามารถมุ่งเน้นไปที่งานที่ต้องใช้การตัดสินใจ บริบททางธุรกิจ และการประสานงาน

กำหนดกรรมสิทธิ์และสิทธิ์ในการตัดสินใจให้ชัดเจน

องค์กรควรระบุว่าใครเป็นผู้ตรวจสอบสัญญาณความปลอดภัย ใครเป็นผู้นำการสืบสวน ใครเป็นผู้ประสานงานการตอบสนอง และใครมีอำนาจอนุมัติการควบคุมสถานการณ์ การแจ้งเตือนที่สำคัญควรมีผู้รับผิดชอบที่ชัดเจน เส้นทางการส่งต่อ และกรอบเวลาการตอบสนองที่คาดหวัง

ควรมีการตกลงอำนาจการตัดสินใจก่อนที่จะเกิดเหตุการณ์ขึ้น มาตรการที่มีความเสี่ยงต่ำอาจดำเนินการโดยอัตโนมัติหรือได้รับการอนุมัติล่วงหน้า ในขณะที่มาตรการที่ก่อให้เกิดการหยุดชะงักอาจต้องได้รับความเห็นจากเจ้าของระบบหรือผู้นำทางธุรกิจ วิธีนี้ช่วยให้องค์กรสามารถดำเนินการได้อย่างรวดเร็วโดยไม่ละเลยผลกระทบต่อการดำเนินงานของการควบคุมสถานการณ์

ปกป้องศักยภาพเพื่อการปรับปรุงอย่างต่อเนื่อง

ระบบ SecOps ที่มีประสิทธิภาพต้องได้รับการพัฒนาอย่างต่อเนื่องระหว่างเหตุการณ์ต่างๆ องค์กรควรจัดสรรเวลาเพื่อปรับปรุงการตรวจจับ ลดการแจ้งเตือนที่ผิดพลาด อัปเดตคู่มือการปฏิบัติงาน เสริมสร้างการบูรณาการ พัฒนาทักษะของนักวิเคราะห์ และแก้ไขสาเหตุที่เกิดขึ้นซ้ำๆ ของเหตุการณ์ด้านความปลอดภัย

หากไม่มีการจัดสรรกำลังคนสำหรับการทำงานนี้อย่างเพียงพอ ทีมงานก็อาจต้องเสียเวลาไปกับการรับแจ้งเตือนรายวัน ในขณะที่ปัญหาเรื่องความไม่ชัดเจน การทำงานที่ไม่มีประสิทธิภาพ และจุดอ่อนที่เกิดขึ้นซ้ำๆ ก็ยังคงอยู่ต่อไป

วัดผลลัพธ์ ไม่ใช่กิจกรรม

จำนวนการแจ้งเตือน ปริมาณคดี และภาระงานของนักวิเคราะห์ แสดงให้เห็นถึงปริมาณกิจกรรมที่เกิดขึ้น แต่ไม่ได้บอกว่าองค์กรมีความปลอดภัยมากขึ้นหรือไม่

มาตรการที่มีประโยชน์มากกว่าคือการประเมินว่าตรวจพบภัยคุกคามที่น่าเชื่อถือได้เร็วแค่ไหน สืบสวนได้อย่างมีประสิทธิภาพเพียงใด การควบคุมสามารถจำกัดผลกระทบได้หรือไม่ และจุดอ่อนที่ระบุได้ระหว่างเหตุการณ์ได้รับการแก้ไขหรือไม่ ตัวชี้วัดควรแสดงให้เห็นถึงความล่าช้าระหว่างขั้นตอนต่างๆ ด้วย การตรวจจับอย่างรวดเร็วมีคุณค่าจำกัดหากการอนุมัติทำให้การควบคุมล่าช้า ในขณะที่การปิดคดีอย่างรวดเร็วไม่มีความหมายหากปัญหาพื้นฐานยังคงอยู่

จุดประสงค์ของการวัดผลคือการประเมินและปรับปรุงประสิทธิภาพของการดำเนินงาน SecOps โดยรวม ไม่ใช่เพียงแค่แสดงให้เห็นว่าทีมกำลังทำงานอยู่

สรุป: SecOps คือความสามารถในการปฏิบัติงาน

การปฏิบัติการด้านความปลอดภัยไม่ได้ถูกกำหนดด้วยจำนวนเครื่องมือ ขนาดทีม หรือศูนย์ปฏิบัติการด้านความปลอดภัย (SOC) อย่างเป็นทางการ แต่จะเกิดขึ้นเมื่อบุคลากร เทคโนโลยี และกระบวนการทำงานร่วมกันอย่างยั่งยืน เพื่อตรวจสอบภัยคุกคาม ตัดสินใจอย่างรอบรู้ ประสานงานการตอบสนอง และปรับปรุงการป้องกันอย่างต่อเนื่อง นี่คือความแตกต่างระหว่างการเป็นเจ้าของเทคโนโลยีด้านความปลอดภัยกับการใช้งานเทคโนโลยีเหล่านั้นเพื่อปกป้ององค์กร

คำถามที่พบบ่อยเกี่ยวกับการปฏิบัติการด้านความปลอดภัย (SecOps)