Blockdit Logo (Mobile)
Somboon Pongpruk
•
4 ต.ค. เวลา 17:54 • ธุรกิจ

FROM CYBER RISK TO BOARDROOM DECISION

Cybersecurity • Technology Risk • AI Risk • Governance • Board Oversight
By Somboon Pongpruk
---
Board ควรรู้ Cyber Risk มากแค่ไหน ถึงจะเรียกว่า Oversight ได้จริง?
ลองสมมติสถานการณ์หนึ่ง ในการประชุมคณะกรรมการประจำไตรมาส CISO นำเสนอ Dashboard ที่เต็มไปด้วยตัวเลข ทั้งจำนวนช่องโหว่ที่ปิดแล้ว อัตราพนักงานที่ผ่านการอบรม และผลการทดสอบเจาะระบบ เกือบทุกตัวชี้วัดเป็นสีเขียว กรรมการพยักหน้า ประธานถามว่ามีใครสงสัยหรือไม่ ห้องประชุมเงียบ แล้ววาระถัดไปก็เริ่มขึ้น
ไม่มีใครในห้องทำผิดอะไร แต่เมื่อการประชุมจบ ยังตอบไม่ได้ว่า Board ได้ทำ Oversight หรือเพียงรับทราบรายงาน
กรรมการมักถามตัวเองว่าต้องเข้าใจเรื่องเทคนิคลึกแค่ไหน คำตอบที่ตรงกับบทบาทคือไม่ต้องลึกระดับนั้น และไม่ควรพยายามเข้าไปถึงระดับนั้นด้วย การไล่ตรวจ Configuration หรือเลือกเทคโนโลยีเองคือการข้ามเส้นจาก Oversight ไปเป็น Management
สิ่งที่ Board ต้องมีคือความรู้พอที่จะ Challenge ได้ ซึ่งแบ่งเป็นสามระดับ
ระดับที่หนึ่ง: รู้ว่าธุรกิจพึ่งพาอะไร
กรรมการไม่จำเป็นต้องอธิบายได้ว่า Ransomware เข้ารหัสไฟล์อย่างไร แต่ควรรู้ว่าหากระบบรับคำสั่งซื้อ ระบบชำระเงิน หรือฐานข้อมูลลูกค้าหยุดไปสามวัน รายได้ ภาระตามสัญญา และความเชื่อมั่นของลูกค้าจะได้รับผลกระทบอย่างไร ความเข้าใจนี้ทำให้ Cyber Risk ถูกอ่านเป็นภาษาของ Business Impact ซึ่งเป็นภาษาที่กรรมการถนัดอยู่แล้ว
หากฝ่ายบริหารตอบไม่ได้ว่าระบบใดสำคัญที่สุดต่อธุรกิจ นั่นเป็นสัญญาณเรื่อง Governance ก่อนจะเป็นเรื่องความปลอดภัยของระบบ
ระดับที่สอง: รู้ว่าใครตัดสินใจรับความเสี่ยง
เมื่อฝ่ายบริหารรายงานว่าความเสี่ยงของระบบหนึ่ง "ยอมรับได้" กรรมการควรถามได้ว่ายอมรับได้ตามเกณฑ์ของใคร และ Board เคยเห็นชอบเกณฑ์นั้นหรือไม่ หากคำว่า "ยอมรับได้" มาจากดุลยพินิจของทีมเทคโนโลยีเพียงฝ่ายเดียว การรับความเสี่ยงที่อาจกระทบธุรกิจในวงกว้างก็เกิดขึ้นโดยที่เจ้าของธุรกิจไม่ได้ตัดสินใจเอง
ตรงนี้คือจุดแบ่งบทบาทที่ชัดที่สุด Management ระบุ ประเมิน และจัดการความเสี่ยงตามกรอบที่ตกลงกัน ส่วน Board กำหนดทิศทาง ให้ความเห็นชอบต่อระดับความเสี่ยงที่องค์กรรับได้ และติดตามว่าองค์กรยังอยู่ในกรอบนั้นหรือไม่ รายละเอียดของกรอบนี้จะกล่าวถึงในบทถัดไปของซีรีส์
ระดับที่สาม: รู้ว่าความมั่นใจมาจากไหน
Dashboard สีเขียวในสถานการณ์ข้างต้นอาจถูกต้องทั้งหมด แต่เป็นข้อมูลที่ผู้ถูกประเมินรายงานเกี่ยวกับตนเอง กรรมการจึงควรแยกให้ออกระหว่าง "ฝ่ายบริหารบอกว่าปลอดภัย" กับ "มีผู้ตรวจสอบอย่างเป็นอิสระแล้วว่าปลอดภัย" และถามต่อว่าใครเป็นผู้ยืนยันตัวเลขเหล่านั้น ขอบเขตการยืนยันครอบคลุมระบบที่สำคัญที่สุดจริงหรือไม่
คำถามนี้ไม่ได้สื่อว่ารายงานของฝ่ายบริหารไม่น่าเชื่อถือ เพียงแต่ Oversight ต้องอาศัยข้อมูลมากกว่าหนึ่งแหล่ง
NIST Cybersecurity Framework 2.0 ที่เผยแพร่ในปี 2024 เพิ่มฟังก์ชัน Govern เพื่อให้น้ำหนักกับกลยุทธ์ด้านความเสี่ยง บทบาท และ Accountability ในระดับผู้นำองค์กร ส่วน ISO/IEC 27001 มีข้อกำหนดด้านภาวะผู้นำให้ Top Management แสดงความมุ่งมั่นต่อระบบบริหารจัดการความมั่นคงปลอดภัยสารสนเทศ ทั้งสองเป็นกรอบแนวปฏิบัติและมาตรฐานโดยสมัครใจ ไม่ใช่ข้อบังคับทางกฎหมายในตัวเอง และคำว่า Top Management ใน ISO ไม่ได้เท่ากับคณะกรรมการบริษัทเสมอไป
ในต่างประเทศ ก.ล.ต. สหรัฐอเมริกา (SEC) ออกกฎในปี 2023 ให้บริษัทจดทะเบียนในสหรัฐฯ เปิดเผยข้อมูลเกี่ยวกับการกำกับดูแลความเสี่ยงไซเบอร์ของคณะกรรมการและบทบาทของฝ่ายบริหาร กฎนี้ใช้กับบริษัทในเขตอำนาจของ SEC เท่านั้น ส่วนหน้าที่ของกรรมการภายใต้กฎหมายไทยและข้อกำหนดเฉพาะอุตสาหกรรม บทความนี้ไม่ได้ยืนยัน และควรตรวจสอบกับที่ปรึกษากฎหมายขององค์กร
Oversight ไม่ได้เกิดจากการอบรมครั้งเดียว แต่สะสมผ่านการประชุมหลายรอบ กรรมการที่ถามคำถามเดิมอย่างสม่ำเสมอ เช่น ผลกระทบต่อธุรกิจคืออะไร ใครตัดสินใจรับความเสี่ยงนี้ และใครยืนยันข้อมูลนี้ จะทำให้ฝ่ายบริหารเตรียมข้อมูลในรูปแบบที่ใช้ตัดสินใจได้ แทนที่จะเป็นรายงานกิจกรรม
หากคณะกรรมการยังไม่มีประสบการณ์ด้านนี้ ทางเลือกที่ทำได้จริง เช่น มอบหมายให้ Risk Committee หรือ Audit Committee ติดตามอย่างต่อเนื่อง จัดการให้ความรู้ที่เน้นการตัดสินใจ หรือเชิญผู้เชี่ยวชาญอิสระมาให้มุมมองเป็นระยะ ไม่จำเป็นต้องมีกรรมการที่เป็นผู้เชี่ยวชาญเทคนิคทุกคน แต่ต้องมีกลไกที่ทำให้คำถามที่ถูกต้องถูกถามอย่างสม่ำเสมอ
- ระบบหรือบริการใดที่หากหยุดชะงักจะกระทบธุรกิจรุนแรงที่สุด และ Board เคยเห็นภาพผลกระทบนั้นในรูปของรายได้ ภาระตามสัญญา และความเชื่อมั่นของลูกค้าหรือไม่
- เมื่อฝ่ายบริหารระบุว่าความเสี่ยงอยู่ในระดับยอมรับได้ ใครเป็นผู้ตัดสิน และ Board เคยเห็นชอบเกณฑ์นั้นหรือไม่
- ข้อมูลสถานะความปลอดภัยที่ Board ได้รับ มีผู้ที่เป็นอิสระจากผู้จัดทำรายงานยืนยันหรือไม่ และครอบคลุมระบบที่สำคัญที่สุดหรือไม่
- ระดับความรู้ที่ Board ต้องมีวัดจากความสามารถในการ Challenge และตัดสินใจ ไม่ใช่ความลึกทางเทคนิค
- ความรู้ที่จำเป็นมีสามด้าน ได้แก่ ความพึ่งพาของธุรกิจ การรู้ว่าใครตัดสินใจรับความเสี่ยง และการรู้ที่มาของความมั่นใจ
- รายงานที่ฝ่ายบริหารจัดทำเองยังไม่เพียงพอเป็นหลักฐานของ Oversight หาก Board ไม่ทราบว่าใครยืนยันข้อมูล
- NIST CSF 2.0 และ ISO/IEC 27001 ช่วยกำหนดความคาดหวัง แต่ไม่ได้ทำให้ Oversight เกิดขึ้นเอง
Oversight ที่แท้จริงเริ่มเมื่อ Board สามารถบอกได้ว่าความเสี่ยงไซเบอร์ระดับใดที่องค์กรรับได้ และรู้ว่าจะได้รับข้อมูลอะไรเพื่อตรวจสอบว่ายังอยู่ในระดับนั้น การตัดสินใจรับความเสี่ยงที่มีนัยสำคัญเป็นของ Board ส่วนการทำให้องค์กรอยู่ในกรอบนั้นเป็นหน้าที่ของ Management หากกรรมการยังอธิบายไม่ได้ว่าองค์กรยอมรับความเสี่ยงไซเบอร์ระดับใด การรับรายงานเพิ่มอีกกี่ฉบับก็ยังไม่ใช่ Oversight
ก่อนการประชุมครั้งถัดไป ลองทบทวนรายงานไซเบอร์ที่ Board ได้รับล่าสุด แล้วถามว่า หากผู้นำเสนอไม่อยู่ในห้อง กรรมการจะรู้หรือไม่ว่าตัวเลขเหล่านั้นหมายถึงอะไรต่อธุรกิจ และใครเป็นผู้ยืนยัน
---
โฆษณา