**FROM CYBER RISK TO BOARDROOM DECISION**
Cybersecurity • Technology Risk • AI Risk • Governance • Board Oversight
By Somboon Pongpruk
---
# Cybersecurity, Cyber Risk และ Technology Risk ต่างกันอย่างไรในภาษาของ Board?
ลองสมมติสถานการณ์สองแบบ แบบแรก ระบบชำระเงินขององค์กรหยุดไปสามวันเพราะถูกโจมตีด้วย Ransomware แบบที่สอง ระบบเดียวกันหยุดไปสามวันเพราะการอัปเดตซอฟต์แวร์ที่ผิดพลาดและไม่มีแผนย้อนกลับ ลูกค้าไม่ได้รับบริการเท่ากัน รายได้หายไปเท่ากัน แต่ในที่ประชุมฝ่ายบริหาร สถานการณ์แรกถูกเรียกว่าเหตุการณ์ด้านความมั่นคงปลอดภัย สถานการณ์ที่สองถูกเรียกว่าปัญหาการเปลี่ยนแปลงระบบ รายงานถูกส่งไปคนละฝ่าย งบประมาณมาจากคนละบรรทัด และ Board อาจไม่เคยเห็นสองเรื่องนี้ในภาพเดียวกัน
เหตุผลส่วนหนึ่งคือองค์กรใช้คำว่า Cybersecurity, Cyber Risk และ Technology Risk สลับกันโดยไม่ได้นิยามให้ชัด
Cybersecurity หมายถึงชุดของการดำเนินงาน มาตรการควบคุม บุคลากร และเทคโนโลยีที่องค์กรใช้ป้องกัน ตรวจจับ ตอบสนอง และฟื้นตัวจากภัยคุกคามทางไซเบอร์ เป็นสิ่งที่องค์กร "ทำ" และ "มี" ซึ่งอยู่ในความรับผิดชอบของฝ่ายบริหาร โดยทั่วไปนำโดย CISO หรือผู้ที่ได้รับมอบหมาย
เมื่อ Board ถามว่า "เรามี Cybersecurity ดีแค่ไหน" จึงเป็นการถามถึงความสามารถและความพร้อม คำตอบที่ได้มักเป็นภาษาของการควบคุม เช่น จำนวนช่องโหว่ ผลการทดสอบ หรือระดับความสมบูรณ์ของกระบวนการ ข้อมูลเหล่านี้มีประโยชน์ แต่ยังไม่ได้บอกว่าธุรกิจเสี่ยงต่ออะไร
ISO 31000 นิยามความเสี่ยงว่าเป็นผลของความไม่แน่นอนต่อวัตถุประสงค์ เมื่อนำนิยามนี้มาใช้ Cyber Risk จึงหมายถึงความไม่แน่นอนที่เกี่ยวกับเหตุการณ์ทางไซเบอร์ เช่น การเข้าถึงโดยไม่ได้รับอนุญาต การรั่วไหลของข้อมูล หรือการหยุดชะงักของระบบจากการโจมตี และผลที่ตามมาต่อวัตถุประสงค์ทางธุรกิจ ได้แก่ รายได้ ความต่อเนื่องของการดำเนินงาน ความเชื่อมั่นของลูกค้า ภาระทางกฎหมาย และชื่อเสียง
จุดที่ต่างจาก Cybersecurity อยู่ที่ Cyber Risk ต้องมีสองส่วนเสมอ คือเหตุการณ์ และผลกระทบต่อธุรกิจ ช่องโหว่ที่ยังไม่ได้ปิดเป็นข้อมูลด้านการควบคุม แต่จะกลายเป็น Cyber Risk ก็ต่อเมื่อเชื่อมโยงได้ว่าหากถูกใช้ประโยชน์ จะกระทบกระบวนการทางธุรกิจใดและรุนแรงเพียงใด และเมื่อพิจารณาแล้ว Cybersecurity ก็เป็นเพียงหนึ่งในวิธีจัดการ Cyber Risk ควบคู่กับทางเลือกอื่น เช่น การหลีกเลี่ยงกิจกรรมที่เสี่ยง การโอนความเสี่ยงบางส่วนผ่านประกัน หรือการยอมรับความเสี่ยงโดยเจตนา
Technology Risk หมายถึงความเสี่ยงที่เกิดจากการพึ่งพาเทคโนโลยีในการดำเนินธุรกิจ ครอบคลุมทั้งเหตุการณ์ที่มีผู้ประสงค์ร้ายและที่ไม่มี เช่น การเปลี่ยนแปลงระบบที่ล้มเหลว ระบบเก่าที่ไม่มีผู้ดูแล การพึ่งพาผู้ให้บริการรายเดียว โครงการเทคโนโลยีที่ล่าช้าหรือเกินงบ คุณภาพข้อมูลที่ไม่น่าเชื่อถือ ความสามารถด้านบุคลากร และความเสี่ยงจากการนำเทคโนโลยีใหม่ เช่น AI มาใช้
ในแง่นี้ Cyber Risk มักถูกจัดเป็นส่วนหนึ่งของ Technology Risk และ Technology Risk เองก็เป็นส่วนหนึ่งของความเสี่ยงเชิงปฏิบัติการและความเสี่ยงระดับองค์กร (Enterprise Risk) อย่างไรก็ตาม ควรตระหนักว่าไม่มีโครงสร้างการจัดหมวดหมู่ที่เป็นสากลเพียงแบบเดียว บางองค์กรแยก Cyber Risk ออกเป็นหมวดของตัวเองเพราะความสำคัญเชิงกลยุทธ์หรือข้อกำหนดของหน่วยกำกับ ประเด็นสำคัญสำหรับ Board จึงไม่ใช่การเลือกแบบใดแบบหนึ่ง แต่คือการที่องค์กรกำหนดนิยามของตนเองไว้ชัดเจนและใช้อย่างสม่ำเสมอ
กลับไปที่สองสถานการณ์ข้างต้น หากองค์กรมองเพียง Cybersecurity เหตุการณ์แรกจะถูกจัดการ ส่วนเหตุการณ์ที่สองจะไม่อยู่ในรายงานของ CISO เลย ทั้งที่ผลกระทบต่อธุรกิจเท่ากัน หากมองเพียง Cyber Risk ก็จะเห็นเหตุการณ์ที่เกิดจากผู้โจมตี แต่ไม่เห็นความล้มเหลวจากการบริหารการเปลี่ยนแปลงภายในองค์กร และเมื่อมองผ่าน Technology Risk ทั้งสองเหตุการณ์จึงปรากฏเป็นความเสี่ยงต่อความต่อเนื่องของบริการเดียวกัน
ความต่างนี้ยังเกี่ยวกับการกำหนดผู้รับผิดชอบ Cybersecurity เป็นงานของฝ่ายบริหารด้านความมั่นคงปลอดภัย แต่เจ้าของ Cyber Risk ของกระบวนการชำระเงินควรเป็นผู้รับผิดชอบกระบวนการนั้นทางธุรกิจ ส่วน Technology Risk ที่ข้ามหลายหน่วยงานต้องมีกลไกประสานงานระดับองค์กร ประเด็นเรื่อง Risk Owner จะกล่าวรายละเอียดในบทถัดไปของซีรีส์
ในด้านการจัดสรรทรัพยากร หากแต่ละฝ่ายขอทรัพยากรด้วยภาษาของตนเอง Board จะได้รับคำขอที่เปรียบเทียบกันไม่ได้ ฝ่ายหนึ่งขอซื้อเครื่องมือ อีกฝ่ายขอปรับปรุงระบบเก่า อีกฝ่ายขอเพิ่มบุคลากร แต่ไม่มีใครบอกว่าแต่ละรายการลดความเสี่ยงต่อธุรกิจได้เท่าใด
Board ไม่จำเป็นต้องกำหนดโครงสร้างการจัดหมวดหมู่เอง แต่ควรเรียกร้องให้ฝ่ายบริหารนำเสนอความเสี่ยงด้วยภาษาเดียวกัน คือเริ่มจากกระบวนการหรือบริการทางธุรกิจที่สำคัญ ระบุเหตุการณ์ที่อาจกระทบ ไม่ว่าจะมาจากผู้โจมตีหรือจากความล้มเหลวภายใน แล้วจึงอธิบายว่ามาตรการด้าน Cybersecurity และมาตรการอื่นช่วยลดความเสี่ยงนั้นได้เพียงใด
NIST Cybersecurity Framework 2.0 สะท้อนแนวคิดใกล้เคียงกัน โดยวางการบริหารความเสี่ยงด้านไซเบอร์ให้เชื่อมกับการบริหารความเสี่ยงระดับองค์กร ซึ่งเป็นแนวปฏิบัติโดยสมัครใจ ไม่ใช่ข้อบังคับทางกฎหมาย
- เมื่อเกิดเหตุการณ์ที่ทำให้บริการสำคัญหยุดชะงัก องค์กรรายงานและจัดการอย่างไรหากสาเหตุไม่ได้มาจากผู้โจมตี และ Board จะเห็นเหตุการณ์ประเภทนี้หรือไม่
- องค์กรนิยาม Cyber Risk และ Technology Risk ไว้อย่างไร ขอบเขตแตกต่างกันตรงไหน และใครเป็นผู้ให้ความเห็นชอบนิยามนั้น
- คำขอทรัพยากรด้านเทคโนโลยีและความมั่นคงปลอดภัยที่เสนอต่อ Board ระบุได้หรือไม่ว่าลดความเสี่ยงต่อบริการสำคัญใดและในระดับใด
- Cybersecurity คือความสามารถในการป้องกันและตอบสนอง Cyber Risk คือผลของความไม่แน่นอนต่อเป้าหมายทางธุรกิจ และ Technology Risk คือความเสี่ยงที่กว้างกว่าจากการพึ่งพาเทคโนโลยี
- ธุรกิจเสียหายจากบริการที่หยุดชะงักเท่ากัน ไม่ว่าสาเหตุจะมาจากผู้โจมตีหรือความล้มเหลวภายใน Board จึงควรเห็นความเสี่ยงในภาพที่เชื่อมกับบริการสำคัญ
- ไม่มีการจัดหมวดหมู่สากลเพียงแบบเดียว สิ่งที่ Board ควรเรียกร้องคือนิยามที่ชัดเจนและใช้สม่ำเสมอทั้งองค์กร
- ภาษาที่ต่างกันของแต่ละฝ่ายทำให้ Board เปรียบเทียบคำขอและจัดลำดับความสำคัญได้ยาก
การตัดสินใจของ Board เกี่ยวกับความเสี่ยงเทคโนโลยีจะดีขึ้นเมื่อคำที่ใช้ในห้องประชุมหมายถึงสิ่งเดียวกัน การกำหนดนิยามและขอบเขตของ Cyber Risk และ Technology Risk เป็นการตัดสินใจเชิงกำกับดูแลที่ Board ควรให้ความเห็นชอบ เพราะเป็นพื้นฐานของการกำหนด Risk Appetite การมอบหมาย Accountability และการจัดสรรทรัพยากร ส่วนการดำเนินงานด้าน Cybersecurity เป็นหน้าที่ของ Management หากองค์กรยังใช้ศัพท์เหล่านี้สลับกัน Board อาจเห็นรายงานครบทุกฉบับ แต่ยังไม่เห็นภาพความเสี่ยงของธุรกิจที่ต่อกันเป็นเรื่องเดียว
ลองหยิบรายงานด้านเทคโนโลยีและความมั่นคงปลอดภัยที่ Board ได้รับล่าสุดมาวางเทียบกัน แล้วถามว่าระบบหรือบริการเดียวกันถูกอธิบายด้วยภาษาเดียวกันหรือไม่ และมีเหตุการณ์ด้านเทคโนโลยีที่ไม่ใช่การโจมตีซึ่งไม่เคยปรากฏในรายงานเหล่านั้นหรือเปล่า
โฆษณา
- ดาวน์โหลดแอปพลิเคชัน
- © 2026 Blockdit
