มุมมอง
NIST เผยแพร่ Cybersecurity Framework ฉบับ 2.0 ในเดือนกุมภาพันธ์ 2567 สิ่งที่เปลี่ยนไปอย่างเห็นได้ชัดคือการเพิ่มฟังก์ชัน Govern เข้ามา ทำให้กรอบงานนี้มีหกฟังก์ชัน ได้แก่ Govern, Identify, Protect, Detect, Respond และ Recover เอกสารชุดนี้เป็นงานของหน่วยงานรัฐบาลสหรัฐฯ จึงเผยแพร่ให้ใช้ได้โดยไม่มีค่าใช้จ่าย
ห้าฟังก์ชันเดิมตอบคำถามว่าองค์กรทำอะไรกับความเสี่ยง ส่วน Govern ตอบคำถามว่าใครเป็นผู้ตัดสินใจ ตัดสินใจบนพื้นฐานอะไร และผลของการตัดสินใจถูกติดตามอย่างไร การยกเรื่องนี้ขึ้นมาเป็นฟังก์ชันหนึ่งเท่ากับบอกว่าความมั่นคงปลอดภัยไซเบอร์เป็นความเสี่ยงระดับองค์กรที่ต้องบริหารร่วมกับความเสี่ยงด้านอื่น ไม่ใช่งานเฉพาะทางของฝ่ายไอที
หมวด GV.SC ว่าด้วยการบริหารความเสี่ยงของห่วงโซ่อุปทานด้านไซเบอร์ ถูกจัดไว้ภายใต้ฟังก์ชัน Govern ซึ่งสะท้อนว่าความเสี่ยงจากผู้ให้บริการภายนอกเป็นเรื่องที่ต้องกำหนดนโยบายและความรับผิดชอบไว้ล่วงหน้า ไม่ใช่เรื่องที่จัดการเป็นรายกรณีเมื่อเกิดปัญหาแล้ว
CSF 2.0 อธิบายระดับ Tier โดยแยกคำอธิบายของการกำกับดูแลความเสี่ยงออกจากการบริหารความเสี่ยงในฟังก์ชันอื่น ประโยชน์จริงของ Tier คือใช้เป็นเครื่องมือสนทนาระหว่างทีมไอทีกับผู้บริหาร เพื่อตกลงกันว่าองค์กรอยู่ตรงไหนและอยากไปถึงไหน ไม่ใช่ตัวเลขที่ใช้เปรียบเทียบกับองค์กรอื่น
NIST จัดทำเอกสาร Quick-Start Guide หลายฉบับสำหรับผู้ใช้แต่ละกลุ่ม ทั้งธุรกิจขนาดเล็ก ผู้บริหารความเสี่ยงองค์กร และการบริหารความเสี่ยงห่วงโซ่อุปทาน สำหรับองค์กรที่ยังไม่เคยใช้กรอบงานนี้ การเริ่มจากเอกสารเหล่านี้มักได้ผลดีกว่าการอ่านกรอบงานฉบับเต็มตั้งแต่หน้าแรก
แหล่งอ้างอิง
CISA จัดทำแบบจำลองระดับความพร้อมด้าน Zero Trust ที่แบ่งเป็นห้าเสาหลักและสี่ระดับความพร้อม ขณะที่ สกมช. เผยแพร่แนวปฏิบัติการใช้ซีโร่ทรัสต์สำหรับองค์กรไทยเมื่อต้นปี 2569 ทั้งสองฉบับใช้ร่วมกันได้ดี
อ่านบทความ
NIST ประกาศมาตรฐานการเข้ารหัสต้านควอนตัมชุดแรกสามฉบับเมื่อสิงหาคม 2567 พร้อมกำหนดแนวทางเปลี่ยนผ่านที่จะเลิกใช้อัลกอริทึมเดิมภายในปี 2578 คำถามสำหรับองค์กรจึงไม่ใช่ว่าจะเปลี่ยนหรือไม่ แต่คือรู้หรือยังว่าต้องเปลี่ยนตรงไหนบ้าง
อ่านบทความLET'S WORK TOGETHER
ปรึกษาทีมงาน Tech Ion เพื่อหาแนวทางเทคโนโลยีที่เหมาะกับธุรกิจของคุณ
