ความต้องการในการป้องกันข้อมูลเพิ่มขึ้นเรื่อย ๆ
Contoso Ltd., บริษัทบริการทางการเงินทั่วโลก เห็นปริมาณข้อมูลที่ละเอียดอ่อนเพิ่มขึ้นทั่วบริการระบบคลาวด์ รวมถึงไฟล์พนักงาน บันทึกทางการเงิน และเนื้อหาที่ AI สร้างขึ้นจากเครื่องมือเช่น Microsoft 365 Copilot ในขณะที่เทคโนโลยีเหล่านี้สนับสนุนการตัดสินใจที่รวดเร็วขึ้นและสภาพแวดล้อมการทํางานที่ยืดหยุ่น แต่ยังสร้างความเสี่ยงด้านความปลอดภัย ข้อมูลที่ละเอียดอ่อนเคลื่อนที่ข้ามแพลตฟอร์มคลาวด์ จุดสิ้นสุดระยะไกล แอปพลิเคชัน AI และบริการที่ไม่ใช่ของ Microsoft เมื่อปริมาณข้อมูลเพิ่มขึ้น ความท้าทายในการจัดการและปกป้องข้อมูลจึงเพิ่มขึ้น
การเข้าถึงวิธีใช้ตัวควบคุม แต่การปกป้องข้อมูลที่ละเอียดอ่อนจะขึ้นอยู่กับการทราบว่าข้อมูลถูกจัดเก็บไว้ที่ใด ใครสามารถเข้าถึงได้ และใช้งานอย่างไร
ผลกระทบของการละเมิดข้อมูลและภัยคุกคามภายใน
เมื่อองค์กรไม่สามารถรักษาความปลอดภัยของข้อมูลที่ละเอียดอ่อน ผลที่ตามมาอาจรุนแรงได้ การรั่วไหลของข้อมูลอาจเป็นผลมาจากการโจมตีภายนอก ภัยคุกคามภายใน หรือการรั่วไหลของข้อมูลโดยไม่ได้ตั้งใจ ไม่ว่าจะเกิดจากสาเหตุใด องค์กรก็ต้องเผชิญกับความสูญเสียทางการเงิน โทษตามการควบคุม ความเสียหายตามชื่อเสียง และการหยุดชะงักในการปฏิบัติงาน
หน่วยงานรักษาความปลอดภัยยังคงรายงานการเติบโตของภัยคุกคามเหล่านี้ จากรายงาน Threat Landscape ปี 2024 ของ ENISA ภัยคุกคามที่เกี่ยวข้องกับข้อมูลได้หยุดทํางานซึ่งส่งผลกระทบต่อการบริหารสาธารณะ (12%), โครงสร้างพื้นฐานดิจิตอล (10%), การเงิน (9%) และบริการทางธุรกิจ (8%) เหตุการณ์ที่ส่งผลต่อข้อมูลเพิ่มขึ้นในปี 2023 และ 2024 ซึ่งเป็นการส่งเสริมความจําเป็นสําหรับมาตรการป้องกันข้อมูลที่แข็งแกร่ง
รายงานของหน่วยงานรักษาความปลอดภัยทางไซเบอร์และโครงสร้างพื้นฐาน (CISA) ในเอกสารข้อเท็จจริง ของภัยคุกคามภายในปี 101 ว่าค่าใช้จ่ายเฉลี่ยของเหตุการณ์ความเสี่ยงภายในถึง 16.2 ล้านเหรียญต่อองค์กรในปี 2023 โดยเฉลี่ย 86 วันเพื่อระบุและประกอบด้วยเหตุการณ์เหล่านี้ ภัยคุกคามภายในอาจเป็นผลมาจากการเปิดเผยโดยไม่ตั้งใจ ข้อมูลประจําตัวที่ถูกบุกรุก หรือเจตนาที่เป็นอันตราย ทําให้จําเป็นต้องมีการป้องกันข้อมูลเชิงรุก
องค์กรต้องคํานึงถึงความเสี่ยงเช่น:
- การละเมิดข้อมูลจากการเข้าถึงโดยไม่ได้รับอนุญาต: ผู้โจมตีใช้การควบคุมการเข้าถึงที่อ่อนแอ ข้อมูลประจําตัวที่ถูกบุกรุก หรือที่เก็บข้อมูลที่ไม่ปลอดภัยเพื่อขโมยข้อมูลที่สําคัญ การบังคับใช้การรับรองความถูกต้องที่เข้มแข็ง การเข้าถึงสิทธิ์น้อยที่สุด และการเข้ารหัสช่วยลดการเปิดเผย
- การโจมตีทางวิศวกรรมสังคม: นักแสดงภัยคุกคามใช้ฟิชชิ่ง อีเมลทางธุรกิจให้บรรลุผล หรือเทคนิคการจัดการอื่น ๆ เพื่อหลอกให้พนักงานเปิดเผยข้อมูลที่สําคัญ การฝึกอบรมพนักงาน การควบคุมความปลอดภัยของอีเมล และกระบวนการตรวจสอบจะช่วยป้องกันการโจมตีเหล่านี้
- การรั่วไหลของข้อมูลและการกําหนดค่าผิด: ที่เก็บข้อมูลบนคลาวด์ที่มีความปลอดภัยอย่างไม่เหมาะสม การแชร์โดยไม่ตั้งใจ และการเข้าถึง misconfigurations จะแสดงข้อมูลโดยไม่ได้ตั้งใจ การตรวจสอบความปลอดภัย การควบคุมการเข้าถึงอัตโนมัติ และนโยบายการกํากับดูแลข้อมูลที่ชัดเจนช่วยลดโอกาสในการเปิดเผย
หากไม่มีวิธีการรักษาความปลอดภัยที่มีโครงสร้าง ความเสี่ยงเหล่านี้นําไปสู่การเปิดเผยข้อมูลอย่างกว้างขวางและความท้าทายทางธุรกิจในระยะยาว
องค์กรที่มีความเสี่ยงต้องเผชิญ
องค์กรจําเป็นต้องปกป้องข้อมูลที่ละเอียดอ่อนจากภัยคุกคามทั้งภายในและภายนอกในขณะที่ยังเป็นไปตามข้อกําหนดด้านข้อบังคับ ความเสี่ยงที่สําคัญได้แก่:
- ภัยคุกคามภายนอก: การโจมตีทางไซเบอร์ ฟิชชิ่ง และกิจกรรมที่เป็นอันตรายที่กําหนดเป้าหมายกิจกรรมที่ละเอียดอ่อนสําหรับการรับหรือการหลั่งการเงิน
- ความเสี่ยงภายใน: พนักงานหรือผู้รับเหมาที่เปิดเผยข้อมูลโดยไม่ได้ตั้งใจหรือจงใจ
- ความท้าทายด้านการปฏิบัติตามกฎระเบียบ: ซับซ้อนและพัฒนาข้อกําหนดด้านการควบคุมที่ต้องการการกํากับดูแลข้อมูลและการรายงานที่สอดคล้องกัน
- ความเสี่ยงด้านความปลอดภัยของ AI: เครื่องมือ AI ที่เข้าถึงหรือประมวลผลข้อมูลที่ละเอียดอ่อนอาจทําให้เกิดความเสี่ยงหากไม่สามารถควบคุมได้อย่างถูกต้อง
ความจําเป็นสําหรับวิธีการเชิงรุก
มาตรการรักษาความปลอดภัยที่ตอบสนองมักจะสายเกินไปเพื่อป้องกันความเสียหาย องค์กรต้องมีกลยุทธ์การป้องกันข้อมูลเชิงรุกที่รวมถึง:
- การจัดประเภทข้อมูลและการติดป้ายชื่อ: ระบุและทําเครื่องหมายข้อมูลที่สําคัญเพื่อใช้นโยบายความปลอดภัยที่สอดคล้องกัน
- การป้องกันการสูญหายของข้อมูล (DLP) และนโยบายการเก็บข้อมูล: ควบคุมการแชร์ข้อมูล ป้องกันการรั่วไหล และปฏิบัติตามข้อกําหนด
- เครื่องมือการจัดการความเสี่ยงภายใน: ตรวจหาพฤติกรรมที่มีความเสี่ยงและตรวจสอบเหตุการณ์ด้านความปลอดภัยก่อนที่ข้อมูลจะถูกทําลาย
- ตัวควบคุมความปลอดภัยแบบไดนามิก: ใช้การป้องกันตามสัญญาณความเสี่ยงแบบเรียลไทม์เพื่อปรับการบังคับใช้ความปลอดภัยเมื่อมีการเปลี่ยนแปลงความเสี่ยงของผู้ใช้
- มาตรการด้านความปลอดภัย AI: ควบคุมวิธีการใช้งานหรือการประมวลผลข้อมูลที่สําคัญในแบบจําลอง AI เพื่อป้องกันการเปิดเผย
ด้วยการใช้วิธีการป้องกันองค์กรจะปกป้องข้อมูลที่สําคัญรักษาการปฏิบัติตามกฎระเบียบและลดผลกระทบทางการเงินและการดําเนินงานของเหตุการณ์ด้านความปลอดภัย