ในขณะที่องค์กรทั่วโลกและในประเทศไทยกำลังเร่งปรับตัวสู่ยุคดิจิทัล ภัยคุกคามทางไซเบอร์ก็ได้วิวัฒนาการไปสู่จุดที่ซับซ้อนและตรวจจับได้ยากขึ้น
ข้อมูลล่าสุดได้เปิดเผยถึงภัยเงียบ ที่กำลังเติบโตในอัตราที่น่าตกใจ และกำลังคุกคามองค์กรในแบบที่ระบบป้องกันแบบเดิมอาจรับมือไม่ทัน
รายงาน CyberArk 2025 Identity Security Landscape Report ได้เปิดเผยสถิติที่เป็นสัญญาณเตือนที่ดังที่สุดในรอบปี โดยระบุว่า ในภูมิภาคเอเชียแปซิฟิกสัดส่วนของอัตลักษณ์เครื่องจักร หรือ Machine Identities ต่ออัตลักษณ์มนุษย์ ในองค์กรหนึ่งๆ ได้พุ่งสูงถึง 82:1 นี่คือการเติบโตแบบก้าวกระโดดมหาศาล เมื่อเทียบกับสถิติของปีก่อนหน้าซึ่งอยู่ที่เพียง 40:1
การเพิ่มขึ้นกว่าสองเท่าตัวภายในปีเดียว ทำให้เราเห็นว่าพื้นที่การโจมตีทางไซเบอร์ (ที่แท้จริงขององค์กร ไม่ได้จำกัดอยู่ที่คน หรือพนักงานอีกต่อไป แต่ได้ขยายตัวครอบคลุมไปถึงเครื่องจักร ซึ่งมีจำนวนมากกว่าคนถึง 82 เท่า
คิดว่า บางคนอาจจะเพิ่งเคยได้ยินคำว่า อัตลักษณ์ของเครื่องจักร แต่จริง ๆ แล้วมันไม่ใช่แนวคิดที่ซับซ้อน แต่เป็นองค์ประกอบที่ขับเคลื่อนธุรกิจดิจิทัลในปัจจุบัน ซึ่งรวมถึงตัวระบุเฉพาะสำหรับเอนทิตี้ที่ไม่ใช่มนุษย์ทั้งหมด ไม่ว่าจะเป็น
ใบรับรองดิจิทัล (SSL/TLS Certificates) ที่ใช้ยืนยันความปลอดภัยของเว็บไซต์, กุญแจ SSH (SSH Keys) ที่ใช้ในการสื่อสารระหว่างเซิร์ฟเวอร์, หรือ โทเค็น API (API Tokens) ที่แอปพลิเคชันใช้ในการพูดคุย และยืนยันตัวตนระหว่างกัน
รวมถึงอัตลักษณ์ของอุปกรณ์ IoT, คอนเทนเนอร์ และเครื่องเสมือน ทั้งหมดนี้คือฟันเฟืองที่เชื่อมโยงระบบนิเวศดิจิทัลเข้าไว้ด้วยกัน
สำหรับบริบทของประเทศไทย สถิตินี้มีความเกี่ยวข้องอย่างยิ่งยวด นโยบายระดับชาติ เช่น Cloud First ของภาครัฐ และยุทธศาสตร์อุตสาหกรรม 4.0 ล้วนเป็นตัวเร่งปฏิกิริยาชั้นดีที่ทำให้เกิดการสร้างอัตลักษณ์เครื่องจักรเหล่านี้ขึ้นมาในอัตราทวีคูณ การพัฒนาธนาคารเสมือนจริง หรือ Virtual Banking และระบบนิเวศธุรกิจที่ขับเคลื่อนด้วย API ยิ่งตอกย้ำว่า ภัยคุกคามจากอัตลักษณ์เครื่องจักรไม่ใช่ปัญหาระดับโลกอีกต่อไป แต่เป็นความเสี่ยงที่อยู่หน้าประตูขององค์กรไทยแล้ว
ช่องโหว่ใหญ่ ในไทย กับดักการรับรู้ 90% ที่มุ่งป้องกันผิดจุด
แม้ว่าภัยคุกคามจะชัดเจน แต่ความท้าทายที่แท้จริงกลับอยู่ที่การรับรู้ ที่คลาดเคลื่อน ผลสำรวจทั่วโลกชี้ว่า ผู้นำด้านความปลอดภัยไซเบอร์ 77% มองว่าอัตลักษณ์ของเครื่องจักรคือหนึ่งในความเสี่ยงที่สำคัญที่สุด แต่กระนั้น 70% ขององค์กรกลับยังไม่มีระบบควบคุมหรือมาตรการจัดการที่เหมาะสม
แน่นอนว่า สถานการณ์ในประเทศไทย ได้สะท้อนความย้อนแย้งของการรับรู้) ที่ชัดเจนยิ่งกว่า จากข้อมูลของ CyberArk พบว่า องค์กรไทยประมาณ 90% ตระหนักถึงความสำคัญของ Machine Identity แล้ว แต่ในทางปฏิบัติ องค์กรส่วนใหญ่กลับยังคงมุ่งเน้นความสำคัญไปที่การควบคุมสิทธิ์การเข้าถึงของผู้ใช้งานที่เป็นมนุษย์ เป็นหลัก
องค์กรกำลังลงทุนทรัพยากรส่วนใหญ่เพื่อป้องกันประตูหน้า ซึ่งมีคนเฝ้าอยู่เพียง 1 คน ขณะที่ ประตูหลัง” ซึ่งเป็นระบบอัตโนมัติ มีอยู่อีก 82 บาน กลับถูกเปิดทิ้งไว้โดยไม่มีใครดูแล
ช่องโหว่นี้อันตรายอย่างยิ่งเพราะการโจมตีผ่านอัตลักษณ์เครื่องจักรนั้นมองไม่เห็นด้วยระบบตรวจจับแบบเดิม ระบบรักษาความปลอดภัยที่ออกแบบมาเพื่อตรวจจับ พฤติกรรมที่ผิดปกติ ของมนุษย์ เช่น การล็อกอินจากต่างประเทศ จะไม่สามารถตรวจจับการโจมตีที่ใช้ API key ที่ถูกขโมยไปได้เลย
เพราะในมุมมองของระบบ นั่นคือการจราจรปกติ ที่มาจากแอปพลิเคชันพันธมิตรที่น่าเชื่อถือผู้โจมตีไม่ได้แฮกเข้าระบบ แต่กำลังล็อกอิน เข้ามาในฐานะเครื่องจักรที่ได้รับความไว้วางใจ
การละเมิดอัตลักษณ์เครื่องจักรไม่ได้เป็นเพียงปัญหาทางเทคนิค แต่เป็นความเสี่ยงทางธุรกิจและกฎหมายโดยตรง
CyberArk ได้ยกตัวอย่างสถานการณ์ที่เลวร้ายที่สุด เช่น ธนาคารไทยแห่งหนึ่งใช้ API เพื่อเชื่อมต่อกับบริษัทภายนอกที่เป็นพาร์ตเนอร์ เพื่อพิมพ์ใบแจ้งยอดบัญชี หากแฮกเกอร์สามารถเจาะเข้าที่พาร์ตเนอร์ซึ่งอาจมีการป้องกันที่หละหลวมกว่า และขโมย API key นั้นไปได้ พวกเขาจะสามารถใช้กุญแจผี ดอกนี้ในการเข้าถึงและขโมยข้อมูลลูกค้าระดับละเอียดอ่อนของธนาคารได้โดยตรง
ความเสียหายที่เกิดขึ้นไม่ใช่แค่ระบบล่มหรือข้อมูลรั่วไหล แต่สิ่งที่ร้ายแรงที่สุดคือการสูญเสียความเชื่อมั่นของลูกค้า ในธุรกิจที่ขับเคลื่อนด้วยความไว้วางใจอย่างธนาคาร เมื่อความเชื่อมั่นถูกทำลาย ลูกค้าอาจย้ายเงินหรือเปลี่ยนไปใช้บริการธนาคารอื่นทันที
ในมิติทางกฎหมาย การรั่วไหลของ API key หรือการที่ใบรับรองหมดอายุ จนนำไปสู่การรั่วไหลของข้อมูลส่วนบุคคล ถือเป็นการละเมิดกฎหมายสำคัญของไทยโดยตรง ไม่ว่าจะเป็น พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล ในฐานะที่องค์กรที่เป็นผู้ควบคุมข้อมูล ไม่สามารถจัดมาตรการรักษาความปลอดภัยที่เหมาะสม และ พ.ร.บ. ความมั่นคงปลอดภัยไซเบอร์ โดยเฉพาะองค์กรที่อยู่ในกลุ่มโครงสร้างพื้นฐานสำคัญ เช่น ธนาคาร, ฟินเทค, การผลิต หรือหน่วยงานภาครัฐ
สำหรับคนทั่วไป นี่หมายความว่าข้อมูลส่วนตัวของเราที่ฝากไว้กับบริษัทต่างๆ อาจรั่วไหลได้ ไม่ใช่เพราะคนทำหลุด แต่เพราะ ระบบคุยกับระบบถูกเจาะ โดยที่บริษัทเหล่านั้นอาจไม่รู้ตัวด้วยซ้ำ
ทั้งนี้คือช่องโหว่ใหญ่ ที่องค์กรต้องเร่งแก้ไข
AI ตัวเร่งปฏิกิริยาชั้นดี
1. ปัญญาประดิษฐ์ ภัยคุกคามสองบทบาท
AI ทำให้การจัดการอัตลักษณ์เครื่องจักรซับซ้อนขึ้นอย่างมาก ในด้านหนึ่ง AI agents สามารถสร้างแอปพลิเคชันและอัตลักษณ์ชั่วคราวจำนวนมหาศาลได้ในเวลาอันสั้น ทำให้อัตราส่วน 82:1 กลายเป็นเรื่องเล็กไปในทันที ในอีกด้านหนึ่ง ผู้โจมตีก็ใช้ AI เพื่อเจาะระบบได้อย่างชาญฉลาดขึ้น เช่น การสแกนหา API key ที่ถูกเผลอฝังไว้ในโค้ด เมื่อองค์กรต้องเผชิญกับการโจมตีที่ขับเคลื่อนด้วย AI การป้องกันแบบเดิมที่ใช้คนจึงไม่เพียงพออีกต่อไป องค์กรจำเป็นต้องมีแพลตฟอร์มที่ใช้ AI ในการตรวจจับภัยคุกคามเช่นกัน
2. เมื่อการหมดอายุใบรับรองนั้นรวดเร็วมากขึ้น แต่ยังต้องจัดการโดยคน
ปัจจุบัน อายุการใช้งานของใบรับรอง SSL/TLS ซึ่งจำเป็นต้องมีการหมุนเวียนหรือ Rotate กำลังลดลงอย่างต่อเนื่อง
- ปัจจุบัน 400 วัน
- ปี 2026 200 วัน
- ปี 2027 100 วัน
- ปี 2029 47 วัน
ลองจินตนาการถึงองค์กรขนาดใหญ่ที่มีใบรับรองหลายพันใบ ภายในเวลาไม่ถึง 5 ปี พวกเขาจะต้องหมุนเวียนใบรับรองทุกๆ 47 วัน ซึ่งเป็นไปไม่ได้เลยที่จะทำด้วยมือโดยไม่เกิดข้อผิดพลาด นี่จึงเป็นเหตุผลที่องค์กรชั้นนำอย่าง Instagram เลือกที่จะหมุนเวียนใบรับรองทุกวันโดยอัตโนมัติ การไม่ใช้ระบบอัตโนมัติ Automation จึงไม่ใช่ทางเลือกอีกต่อไป แต่เป็นความเสี่ยงต่อความต่อเนื่องทางธุรกิจโดยตรง
ปิด ช่องโหว่ใหญ่ 3 ขั้นตอนสู่การควบคุม
การจะก้าวข้ามช่องโหว่ใหญ่ นี้ องค์กรไม่สามารถใช้เพียงเครื่องมือสำหรับคนมาจัดการเครื่องจักรได้อีกต่อไป CyberArk แนะนำกรอบยุทธศาสตร์ 3 ขั้นตอนที่สำคัญ สำหรับการจัดการความปลอดภัยของอัตลักษณ์เครื่องจักรคือ
- Discovery โดยองค์กรไม่สามารถป้องกันในสิ่งที่มองไม่เห็น ขั้นแรกคือการระบุและทำความเข้าใจกับอัตลักษณ์เครื่องจักรทั้งหมดในองค์กร ทั้งที่อยู่บน on-premise, hybrid หรือ cloud เพื่อสร้างแผนที่ของความเสี่ยงทั้งหมด
- Control กำหนดนโยบายและสิทธิ์การเข้าถึงอย่างเหมาะสมตามหลักการ Zero Trust และ Least Privilege แม้แต่กับเครื่องจักร ต้องกำจัดรหัสลับที่ฝังอยู่ในโค้ด (hardcoded secrets) และนำมาจัดเก็บในคลังที่ปลอดภัย พร้อมทั้งหมุนเวียน (rotate) รหัสลับและใบรับรองอย่างสม่ำเสมอ
- Automation ดังเนื้อหาก่อนหน้านี้ ที่ระบุแล้วว่า กระบวนการแบบแมนนวลไม่สามารถรองรับการเติบโตระดับ 82:1 ได้ องค์กรต้องจัดการวงจรชีวิตทั้งหมดของอัตลักษณ์เครื่องจักร (ตั้งแต่การสร้าง, การหมุนเวียน, ไปจนถึงการยกเลิก) ในระดับองค์กรแบบอัตโนมัติ
ผลลัพธ์ที่พัฒนาจากความเสี่ยงสู่ความยืดหยุ่น
กุญแจสำคัญในการแก้ปัญหานี้ คือการทำลายกำแพงในใจ ที่แยกการจัดการอัตลักษณ์คนและเครื่องจักรออกจากกัน องค์กรไม่จำเป็นต้องเริ่มต้นจากศูนย์ หากมีแพลตฟอร์มการจัดการความปลอดภัยของอัตลักษณ์ ที่แข็งแกร่งสำหรับมนุษย์อยู่แล้ว ก็สามารถขยายหลักการเดียวกันนั้นไปสู่การจัดการอัตลักษณ์ของเครื่องจักรและ AI ได้
สัดส่วน 82:1 ไม่ใช่แค่สถิติ แต่คือความจริงใหม่ ของการดำเนินธุรกิจในยุคดิจิทัล องค์กรไทยที่ตระหนักถึงช่องโหว่ใหญ่ นี้ และเปลี่ยนจากการมุ่งเน้นที่คน ไปสู่การบริหารจัดการอัตลักษณ์ทั้งหมดอย่างครอบคลุม ทั้งมนุษย์, เครื่องจักร และ AI เท่านั้น ที่จะสามารถสร้างเกราะป้องกันทางไซเบอร์ที่ยืดหยุ่น, รักษาความไว้วางใจของลูกค้า และดำเนินธุรกิจได้อย่างปลอดภัยท่ามกลางความเสี่ยงที่ซับซ้อนที่มากขึ้นเรื่อย ๆ ครับ
