องค์กรต่างๆ ล้วนจำเป็นต้องพึ่งพาบุคลากรจำนวนมากในการดำเนินงานด้านต่างๆ อย่างราบรื่น ส่งผลให้มีผู้ที่มีสิทธิ์เข้าถึงข้อมูลสำคัญของบริษัทจำนวนนับร้อยนับพันคน ทั้งพนักงาน อดีตพนักงาน ผู้ขาย คู่ค้า และพนักงานสัญญาจ้าง ซึ่งถือเป็นจุดเสี่ยงต่อ "ภัยคุกคามจากภายใน" หรือ Insider Threat ซึ่งหมายถึงบุคคลที่มีสิทธิ์พิเศษในการเข้าถึงข้อมูล หรือทรัพยากรขององค์กร และอาจใช้สิทธิ์นั้นเพื่อประโยชน์ส่วนตัว
ใครคือ "Insider"
ในบริบทของ Insider Threat คำว่า Insider หรือ "คนใน" คือ บุคคลผู้มีสิทธิ์เข้าถึงระบบและข้อมูลของบริษัท (Authorized Access) ไม่ว่าจะเป็นทรัพยากร ระบบเครือข่าย ข้อมูลที่ละเอียดอ่อน หรือความลับทางการค้า โดยทั่วไป ผู้ที่มีสิทธิ์เข้าถึงจะเป็นพนักงานปัจจุบันขององค์กร แต่ก็รวมถึงคู่ค้า ผู้ขาย หรือพนักงานสัญญาจ้างที่มีสิทธิ์เข้าถึงข้อมูลของบริษัทด้วย ยกตัวอย่างของผู้มีสิทธิ์เข้าข้อมูลองค์กร เช่น
- บุคคลที่องค์กรไว้วางใจและมีสิทธิ์เข้าถึงข้อมูลสำคัญ - เช่น ข้อมูลของคณะกรรมการบริษัท
- อดีตพนักงาน - บุคคลที่เคยทำงานกับองค์กรและยังคงมีสิทธิ์เข้าถึงระบบอยู่ เนื่องจากบัญชีผู้ใช้หรือสิทธิ์การเข้าถึงยังไม่ถูกยกเลิกอย่างสมบูรณ์หลังการลาออก ซึ่งมีความที่คุ้นเคยกับเป้าหมายและแผนงานต่างๆ ของบริษัท
- ผู้ที่มีสิทธิ์เข้าถึงสถานที่ของบริษัทเป็นประจำ - เช่น พนักงานทำความสะอาด ช่างซ่อมบำรุง ผู้รับเหมา ฟรีแลนซ์
- พนักงานสัญญาจ้าง - ผู้ที่ถูกว่าจ้างทำให้ทำงานกับองค์กรในระยะเวลาสั้นๆ หรือตามโปรเจกต์ และได้รับสิทธิ์ในการเข้าถึงข้อมูลที่จำเป็น เช่น การพัฒนาผลิตภัณฑ์หรือบริการ และมีสิทธิ์เข้าถึงความลับทางการค้า
ส่วน Threats ในภาษาอังกฤษแปลว่า "ภัยคุกคาม" หมายถึงการกระทำหรือพฤติกรรมของคนในที่สามารถนำไปสู่ความเสียหายต่อข้อมูล ระบบเครือข่าย หรือทรัพย์สินขององค์กรได้ ทั้งโดยเจตนาและไม่เจตนา
Insider Threats คืออะไร
Insider Threats คือ การโจมตีทางไซเบอร์ที่เกิดขึ้นโดยบุคคลภายในที่มี "ผู้มีสิทธิ์เข้าถึง" ทรัพย์สินต่างๆ ขององค์กร โดยการรั่วไหลของข้อมูล (Data Breach) ถือเป็นผลกระทบที่น่ากังวลที่สุดจาก Insider Threats ซึ่งเห็นได้จากเหตุการณ์ที่โรงแรมแชงกรีลา (Shangrila Hotel) และเหตุการณ์คล้ายๆ กัน ที่ข้อมูลขององค์กรถูกนำไปขายหรือเปิดเผยต่อสาธารณะ ซึ่งส่งผลเสียต่อชื่อเสียงของบริษัทเป็นอย่างมาก
Insider Threats อาจถูกใช้เพื่อแสวงหาผลประโยชน์ทางการเงิน เพราะผู้ไม่หวังดีหรือแฮกเกอร์สามารถขายข้อมูลให้กับผู้ซื้อบน Dark Web เพื่อหารายได้ ซึ่งส่วนใหญ่มักเป็นข้อมูลส่วนตัวของลูกค้าของธุรกิจนั้นๆ ซึ่งอาจถูกนำไปใช้ในการโจมตีแบบฟิชชิง (Phishing) หรือมัลแวร์เรียกค่าไถ่ (Ransomware) ต่ออีกทอดหนึ่ง ตัวอย่างเช่น ในปี 2019 โปรแกรมเมอร์อิสระที่ถูกว่าจ้างโดยบริษัท Siemens ยอมรับว่าได้แทรก "Logic Bomb" ลงใน Spreadsheet ของลูกค้า เพื่อสร้างงานและรายได้เพิ่มเติมให้ตัวเองเมื่อซอฟต์แวร์เกิดข้อผิดพลาด
กล่าวได้ว่า การเปิดเผยข้อมูลลูกค้าหรือข้อมูลส่วนบุคคลอาจส่งผลกระทบต่อชื่อเสียงของบริษัท นอกจากนี้ยังอาจถูกนำไปใช้ในการจารกรรมข้อมูล การก่อการร้าย การทุจริต องค์กรอาชญากรรม สร้างความรุนแรงในที่ทำงาน และวางแผนก่อวินาศกรรม
Insider Threats ยังเป็นจุดเริ่มต้นของภัยคุกคามหรือการโจมตีรูปแบบอื่นๆ เพิ่มเติม ส่งผลทำให้บริษัทต้องลงทุนในการรักษาความปลอดภัยทางไซเบอร์มากขึ้น โดยในปี 2020 บริษัท IBM พบว่า Insider Threats ทำให้องค์กรต้องสูญเสียเงินทุนเฉลี่ยสูงถึง 11.45 ล้านดอลลาร์สหรัฐ รายงานยังชี้ให้เห็นว่าบุคลากรหรือพนักงานสัญญาจ้างที่ไม่ระมัดระวังเป็นสาเหตุหลักของเหตุการณ์ที่เกิดขึ้นมากกว่าครึ่งหนึ่ง
Insider Threats มีกี่ประเภท
คนใน (Insider) ที่ก่อให้เกิดความเสี่ยงด้านความปลอดภัยไซเบอร์หรือผู้ที่ก่อให้เกิดภัยคุกคาม ทุกคนล้วนมีความแตกต่างกันในด้านแรงจูงใจ ระดับการรับรู้ ระดับการเข้าถึง และเจตนา โดยทั่วไป Insider Threats สามารถแบ่งออกเป็น 2 ประเภทหลัก คือ ภัยคุกคามโดยเจตนา (Intentional Threats) และ ภัยคุกคามโดยไม่เจตนา (Unintentional Threats) อีกทั้งยังมีภัยคุกคามรูปแบบอื่นๆ อีกด้วย
1. ภัยคุกคามโดยเจตนา (Intentional Threats)
เกิดขึ้นเมื่อคนใน "จงใจ" สร้างความเสียหายแก่องค์กรหรือแสวงหาผลประโยชน์ทางการเงิน ผู้ที่มีเจตนาทำร้ายมักมีแรงจูงใจจากการความแค้นในอดีตหรือเพื่อสร้างความเสียหาย ตัวอย่างเช่น การไม่ได้รับการตอบสนองจากองค์กรตามที่คาดหวัง ขาดการยอมรับในผลงาน ถูกเลิกจ้างกะทันหัน หรือได้รับผลกระทบจากการลดจำนวนพนักงาน เป็นต้น
คนในที่มีเจตนาสร้างความเสียหายอาจกระทำการต่างๆ เพื่อโจมตีองค์กร เช่น เปิดเผยข้อมูลที่ละเอียดอ่อน ทำลายอุปกรณ์ คุกคามบุคคลในองค์กร ใช้ความรุนแรงในที่ทำงาน หรือขโมยข้อมูล ตัวอย่างของ Intentional Threats ได้แก่
- Turncloak
พนักงานที่ต่อต้านนายจ้าง เช่น Whistleblower ที่นำข้อมูลองค์กรไปเผยแพร่หรือขายให้กับบุคคลภายนอก ซึ่งเป็นภัยคุกคามต่อความปลอดภัยของบริษัท
- Collaborator
บุคคลผู้สมรู้ร่วมคิดกับผู้คุกคามจากภายนอกองค์กรโดยใช้สิทธิ์การเข้าถึงข้อมูล เพื่อช่วยเหลือในการขโมยข้อมูล หรือทรัพย์สินทางปัญญาของบริษัท
- Lone Wolf
บุคคลที่ลงมือทำร้ายบริษัทด้วยตนเอง โดยไม่มีอิทธิพลหรือการชักจูงจากภายนอก มักมองหาช่องโหว่ในโค้ดหรือซอฟต์แวร์ เพื่อเพิ่มระดับการเข้าถึงและค้นหาข้อมูลที่เป็นความลับ
2. ภัยคุกคามโดยไม่เจตนา (Unintentional Threats)
ในหลายๆ ครั้ง ข้อมูลอาจสูญหายหรือถูกขโมยเนื่องจากความผิดพลาดของมนุษย์ โดยเฉพาะบุคลากรภายในองค์กร ซึ่งภัยคุกคามจากภายในประเภทนี้มักเกิดขึ้นเมื่อข้อมูลขององค์กรสูญหายหรือถูกขโมยเนื่องจากความประมาท ซึ่งนำไปสู่ความผิดพลาดหรือช่องโหว่ด้านความปลอดภัยทางไซเบอร์ ตัวอย่างเช่น
- ส่งข้อมูลไปยังอีเมลผิด
- คลิกลิงก์ที่เป็นอันตราย
- ดาวน์โหลดซอฟต์แวร์ที่เป็นอันตราย
- กำจัดข้อมูลที่ละเอียดอ่อนไม่ถูกต้อง
- ทำอุปกรณ์สูญหาย
- ใช้รหัสผ่านที่อ่อนแอ
- ละเลยการอัปเดตซอฟต์แวร์
ตัวอย่างของภัยคุกคามจากภายในประเภทนี้ ได้แก่ Pawn และ Goof
- Pawn
พนักงานที่ถูกหลอกลวงและไม่ทราบว่ากำลังทำกิจกรรมที่เป็นอันตราย บุคลากรนี้ล้วนเป็นกลุ่มผู้มีความเสี่ยงที่มักตกเป็นเป้าหมายของการหลอกลวงทางสังคม (Social Engineering) หรือการฟิชชิง (Phishing) โดยแฮกเกอร์มักหลอกล่อให้เหยื่อดาวน์โหลดซอฟต์แวร์ที่เป็นอันตราย หรือลอกให้เปิดเผยข้อมูล Log In เพื่อเข้าถึงข้อมูลขององค์กร
- Goof
กลุ่มบุคคลที่ไม่ใส่ใจหรือไม่ปฏิบัติตามนโยบายความปลอดภัยทางไซเบอร์ ทำให้ข้อมูลและทรัพยากรขององค์กรมีความเสี่ยงที่ผู้โจมตีเข้าถึงได้ง่ายขึ้น
ภัยคุกคามจากภายในประเภทนี้เป็นสิ่งที่ยากที่จะป้องกันได้อย่างสมบูรณ์ อย่างไรก็ตาม องค์กรสามารถลดความเสี่ยงและบรรเทาภัยคุกคามได้โดยการฝึกอบรมและสร้างความตระหนักด้านความปลอดภัยทางไซเบอร์ รวมถึงใช้งาน EDR, MDR เพื่อตรวจสอบพฤติกรรมและกิจกรรมบนอุปกรณ์ปลายทางที่มีความเสี่ยงต่อภัยคุกคาม และโซลูชัน ZTNA (Zero Trust Network Access) เพื่อตรวจสอบตัวตนของผู้เข้าถึงข้อมูลอย่างสม่ำเสมอ
3. รูปแบบอื่นๆ ของ Insider Threats
- Collusive Threat
ภัยคุกคามจากการสมรู้ร่วมคิดระหว่างผู้มีสิทธิ์เข้าถึงหลายคนกับผู้คุกคามจากภายนอก เพื่อสร้างความเสียหายแก่บริษัท โดยมักมีแรงจูงใจส่วนตัว หรือผลประโยชน์ในลักษณะของค่าตอบแทนทางการเงิน
- Third-Party Threat
เกิดขึ้นเมื่อคู่ค้าหรือผู้รับเหมาทำให้ความปลอดภัยของบริษัทถูกบ่อนทำลาย แม้พวกเขาจะไม่ใช่สมาชิกขององค์กร แต่ก็มีการให้สิทธิ์เข้าถึงสถานที่ ระบบ เครือข่าย ข้อมูล และบุคลากรเพื่อทำงาน
วิธีสังเกต Insider Threats
องค์กรสามารถสังเกตกิจกรรมที่ผิดปกติในเครือข่ายที่อาจบ่งบอกถึงภัยคุกคามจากภายใน เช่น การ Log In เข้าระบบในช่วงเวลาที่ไม่ปกติ มีปริมาณการรับ-ส่งข้อมูลที่สูงหรือต่ำเกินไป และกิจกรรมที่ไม่เป็นที่คุ้นเคย ซึ่งองค์กรควรตรวจสอบกิจกรรมที่ผู้โจมตีใช้เข้าถึงระบบ เพื่อระบุการโจมตีและดำเนินการแก้ไขเพื่อลดความเสี่ยง
องค์กรยังสามารถวิเคราะห์กลยุทธ์ทั่วไปในการบ่งชี้ภัยคุกคามจากภายใน เช่นกัน
- การค้นหา Backdoorที่แฮกเกอร์มักใช้เพื่อเข้าถึงข้อมูลองค์กร
- การใช้ซอฟต์แวร์เข้าถึงระยะไกล (Remote Access Software) เพื่อเข้าถึงทรัพยากรขององค์กร
- การเปลี่ยนรหัสผ่านผู้ใช้งานเพื่อเข้าถึงข้อมูลต่างๆ
- ตรวจสอบการติดตั้งซอฟต์แวร์ที่ไม่ได้รับอนุญาต ซึ่งอาจเป็น Trojanที่แฝงตัวเข้ามา และมีมัลแวร์ซ่อนอยู่ภายใน
- การแจ้งเตือนเกี่ยวกับความพยายามหลายครั้งในการเข้าถึงเซิร์ฟเวอร์หรืออุปกรณ์ที่มีข้อมูลที่ละเอียดอ่อน
นอกจากนี้ ยังมีสัญญาณเตือนด้านพฤติกรรมของพนักงานที่อาจบ่งบอกถึงภัยคุกคามจากภายใน เช่น การเปลี่ยนแปลงพฤติกรรมของพนักงานหรือคู่ค้า ความเครียดสูง ความพยายามที่จะ Bypass มาตรการความปลอดภัย การอยู่ในสำนักงานนอกเวลาทำการปกติ และการแสดงออกถึงความไม่พอใจในองค์กร
1. องค์กรสามารถป้องกัน Insider Threats ได้อย่างไร
ภัยคุกคาม Insider Threats อาจส่งผลให้เกิดค่าใช้จ่ายสูงและส่งผลกระทบอย่างมากต่อองค์กร การเข้าถึงข้อมูลและระบบที่ละเอียดอ่อนโดยไม่ได้รับอนุญาตอาจนำไปสู่ความเสียหายต่อชื่อเสียง การสูญเสียธุรกิจและความร่วมมือจากพาร์ทเนอร์ และในกรณีที่รุนแรงอาจถูกปรับและถูกฟ้องร้องตามกฎหมายอีกด้วย
เนื่องจาก Insider Threats แต่ละประเภทมีลักษณะที่แตกต่างกัน จึงมีหลายวิธีที่องค์กรสามารถนำมาใช้เพื่อป้องกันภัยคุกคามเหล่านี้ ไม่ว่าจะเป็นการตรวจสอบกิจกรรมของผู้ใช้งาน การประเมินข้อมูลเชิงลึกแบบเรียลไทม์ และการดำเนินการอย่างรวดเร็วเมื่อเกิดเหตุการณ์ ทั้งนี้ องค์กรควรเลือกโซลูชันที่เหมาะสมกับประเภทของ Insider Threats ที่เผชิญอยู่ และใช้วิธีการที่ครอบคลุมดังต่อไปนี้
2. เพิ่มการมองเห็นเครือข่าย
ทีมรักษาความปลอดภัยทางไซเบอร์ควรใช้โซลูชันที่ช่วยให้สามารถตรวจสอบการกระทำของพนักงาน และเพิ่มการมองเห็นกิจกรรมใดๆ ที่เกิดขึ้น เช่น โซลูชัน EDR (Endpoint Detection and Response) หรือ MDR (Managed Detection and Response) เพื่อระบุภัยคุกคามได้อย่างรวดเร็วตั้งแต่อุปกรณ์ปลายทาง และดำเนินการเพื่อป้องกันการรั่วไหลของข้อมูล
3. เสริมสร้างความปลอดภัยทางไซเบอร์
ระบบที่ล้าสมัยมีความเสี่ยงต่อการโจมตี เนื่องจากอาจมีช่องทางให้ผู้โจมตีเข้าถึงระบบส่วนที่เหลือของบริษัท ความปลอดภัยทางไซเบอร์ที่อ่อนแออาจทำให้บริษัทมีความเสี่ยงต่อความล้มเหลวของระบบ เนื่องจากเทคโนโลยีมีการพัฒนาอย่างต่อเนื่อง มัลแวร์สมัยใหม่จึงสามารถเจาะระบบป้องกันได้ง่าย ดังนั้น องค์กรจึงควรปรับปรุงซอฟต์แวร์ที่ใช้ และลงทุนในการฝึกอบรมด้านความปลอดภัยทางไซเบอร์ที่เหมาะสม พร้อมเสริมการป้องกันต่อการรั่วไหลของข้อมูลด้วยโซลูชันอย่าง Data Loss Prevention (DLP) และระบบความปลอดภัยทางไซเบอร์ขั้นสูง เช่น Next-Generation Firewall (NGFW) เป็นต้น
4. ปกป้องสินทรัพย์ที่สำคัญ
สินทรัพย์ต่างๆ ขององค์กร เช่น สำนักงาน บุคลากร ทรัพย์สินทางปัญญา และข้อมูลลูกค้า ควรได้รับการปกป้องเป็นพิเศษ บุคคลที่มีสิทธิ์เข้าถึงข้อมูลสำคัญควรได้รับการตรวจสอบโดยบริษัท และได้รับสิทธิ์การเข้าถึงที่เหมาะสมกับขอบเขตหน้าที่การทำงาน ซึ่งองค์กรจำเป็นต้องงจัดลำดับความสำคัญและประเมินภัยคุกคามที่อาจเกิดขึ้นกับทรัพย์สินเหล่านั้น
5. สร้างความตระหนักด้านความปลอดภัยทางไซเบอร์
พฤติกรรมที่ไม่ระมัดระวังเป็นสาเหตุของ Insider Threats ที่พบบ่อยที่สุดและมีค่าใช้จ่ายสูงที่สุด ขั้นตอนแรกในการป้องกันสิ่งนี้คือการให้ความรู้แก่พนักงาน องค์กรควรจัดทำโปรแกรมฝึกอบรมและสร้างความตระหนักด้านความปลอดภัยทางไซเบอร์ให้แก่พนักงานในทุกระดับ เพื่อช่วยให้พนักงานมีความรู้ความเข้าใจในการป้องกันการรั่วไหลของข้อมูล พร้อมช่วยป้องกันพนักงานจากการคุกคามทางไซเบอร์ เช่น ฟิชชิง (Phishing) และการหลอกลวงทางสังคม (Social Engineering) ซึ่งช่วยให้พนักงานสามารถทำหน้าที่เป็นแนวป้องกันแรกต่อการโจมตีได้
6. การตรวจสอบอย่างสม่ำเสมอ
การทำความเข้าใจว่าใครมีสิทธิ์เข้าถึงเครือข่ายและกระแสข้อมูลเป็นสิ่งสำคัญในการรักษาความปลอดภัยของบริษัท องค์กรควรทำการวิเคราะห์คู่ค้า ซัพพลายเออร์ รวมถึงพนักงานสัญญาจ้าง เพื่อระบุและแก้ไขจุดอ่อนหรือช่องโหว่ต่างๆ เช่น องค์กรอาจลืมถอนสิทธิ์การเข้าถึงข้อมูลของคู่ค้าหลังจากสิ้นสุดความร่วมมือ ซึ่งอาจทำให้เกิดภัยคุกคามเนื่องจากคู่ค้านั้นยังคงมีเข้าถึงข้อมูล เป็นต้น
ป้องกันภัยคุกคาม Insider Threats ด้วย Sangfor
ภัยคุกคามจากภายในอาจตรวจจับได้ยาก และอาจไม่ถูกตรวจพบเป็นเวลานาน เช่น สัปดาห์ เดือน หรือแม้แต่ปี หากไม่มีโซลูชันที่เหมาะสม
Sangfor มีโซลูชันที่ปรับแต่งเพื่อตรวจจับ ป้องกัน และจัดการกับภัยคุกคามจากภายในทุกประเภท โซลูชันเหล่านี้มีความครอบคลุมและสามารถปรับให้เข้ากับความต้องการเฉพาะได้ โดย Sangfor ได้พัฒนาเทคโนโลยีด้านความปลอดภัยทางไซเบอร์หลากหลาย เช่น AI-powered Detection Engine, Secure Web Gatewayสำหรับแบ่งส่วนเครือข่ายแบบ Micro-Segmentation และ Next-Generation Firewall เป็นต้น สามารถเรียนรู้เพิ่มเติมเกี่ยวกับโซลูชันความปลอดภัยทางไซเบอร์ทั้งหมดของเราได้ที่นี่
มาร่วมเปลี่ยนโครงสร้างพื้นฐาน IT ของคุณง่ายขึ้นและปลอดภัยยิ่งขึ้น มั่นใจในการป้องกันจาก Insider Threats
