ในยุคที่ปัญญาประดิษฐ์ (AI) กำลังเปลี่ยนรูปแบบการทำงานของทุกองค์กร ความเสี่ยงด้านความมั่นคงปลอดภัยไซเบอร์ก็เพิ่มขึ้นอย่างรวดเร็วเช่นกัน
แต่สิ่งที่น่ากังวลไม่ใช่เพียงเทคโนโลยีของเหล่าบรรดาแฮกเกอร์ หากแต่เป็น "ช่องว่างด้านความเข้าใจ" ของผู้บริหารระดับสูงที่อาจยังไม่ตระหนักถึงความเสี่ยงจากพฤติกรรมของพนักงานในองค์กร
ผู้เชี่ยวชาญได้เปิดเผยผลสำรวจซึ่งรวบรวมความคิดเห็นจากหัวหน้าฝ่ายความมั่นคงปลอดภัยสารสนเทศ (Chief Information Security Officer: CISO) กว่า 200คนในยุโรป พบว่า 78% ของ CISO เชื่อว่าผู้บริหารระดับ C-Level และคณะกรรมการยังไม่เข้าใจความเสี่ยงไซเบอร์ที่เกิดจากการใช้งานของพนักงานอย่างเพียงพอ
ขณะที่พนักงานต้องเผชิญกับอีเมลฟิชชิง การหลอกลวงผ่านโซเชียลมีเดีย และการใช้งานเครื่องมือ AI ที่เพิ่มขึ้นทุกวัน ความไม่เข้าใจดังกล่าวส่งผลให้การผลักดันนโยบายด้านความปลอดภัยไซเบอร์ขาดการสนับสนุนจากผู้บริหาร ทำให้ CISO ต้องรับมือกับภัยคุกคามที่ซับซ้อนมากขึ้นโดยไม่มีแรงสนับสนุนเชิงกลยุทธ์ที่เพียงพอ
รายงานยังสะท้อนอีกว่า 79% ของ CISO ระบุว่าการสนับสนุนโครงการสร้างความตระหนักด้านความปลอดภัย (Security Awareness) จากผู้บริหารมักลดลงเมื่อเวลาผ่านไป แม้ในช่วงแรกองค์กรจะให้ความสำคัญกับการอบรมและการสร้างวัฒนธรรมด้านความปลอดภัย
แต่เมื่อเวลาผ่านไป ความสนใจของผู้บริหารกลับลดลง ส่งผลให้การดำเนินงานขาดความต่อเนื่อง และเปิดโอกาสให้ภัยคุกคามรูปแบบใหม่แทรกซึมเข้าสู่องค์กรได้ง่ายขึ้น
โดยเฉพาะการโจมตีแบบ Social Engineering ที่อาศัย AI สร้างข้อความ เสียง หรือแม้แต่วิดีโอปลอมที่มีความสมจริงสูง จนสามารถหลอกให้พนักงานเปิดเผยข้อมูลสำคัญหรือโอนเงินได้ง่ายกว่าการโจมตีแบบเดิม ทำให้ความเสี่ยงจากบุคลากร (Human Cyber Risk) กลายเป็นความเสี่ยงเชิงธุรกิจที่ผู้บริหารต้องให้ความสำคัญ ไม่ใช่เพียงประเด็นด้านการอบรมหรือฝ่ายไอทีเท่านั้น
อีกประเด็นที่รายงานชี้ให้เห็นคือ ความเชื่อมั่นของ CISO ต่อความพร้อมด้าน Cyber Resilience ขององค์กรลดลงเมื่อเทียบกับปีก่อน โดยกว่าครึ่งมีความเชื่อมั่นลดลงซึ่งสาเหตุหลักมาจากการเติบโตของการโจมตีแบบ Social Engineering ที่ใช้ AI ซึ่งมีทั้งความรวดเร็ว ความแนบเนียน และสามารถโจมตีได้ในวงกว้างพร้อมกัน
นอกจากนี้ หลายองค์กรยังประสบปัญหาการทำงานที่ไม่สอดคล้องกันระหว่างหน่วยงานต่าง ๆ ส่งผลให้เกิดนโยบายด้านความปลอดภัยที่แตกต่างกัน การกำหนดสิทธิ์เข้าถึงข้อมูลไม่เป็นมาตรฐาน และเกิดช่องโหว่ที่อาจนำไปสู่การรั่วไหลของข้อมูลได้
อีกหนึ่งความท้าทายสำคัญคือการนำ Generative AI และ AI Agent มาใช้ในที่ทำงาน โดย 40% ของ CISO กังวลว่าพนักงานอาจนำข้อมูลที่เป็นความลับขององค์กรไปป้อนให้กับแพลตฟอร์ม AI โดยไม่ตระหนักว่าข้อมูลดังกล่าวอาจถูกนำไปประมวลผล เก็บรักษา หรือใช้ในการฝึกโมเดล ซึ่งอาจก่อให้เกิดปัญหาด้านความเป็นส่วนตัว การละเมิดข้อกำหนด และการรั่วไหลของข้อมูลสำคัญในอนาคต หากองค์กรไม่มีนโยบายและแนวทางการใช้งาน AI ที่ชัดเจน
สถานการณ์ทั้งหมดสะท้อนให้เห็นว่า การลงทุนด้านเทคโนโลยีเพียงอย่างเดียวไม่เพียงพอที่จะรับมือกับภัยคุกคามไซเบอร์ในยุค AI เพราะจุดอ่อนสำคัญยังคงอยู่ที่ "คน" และ "การตัดสินใจของผู้บริหาร" หากผู้บริหารระดับสูงยังมองว่าความปลอดภัยไซเบอร์เป็นหน้าที่ของฝ่ายไอทีหรือ CISO เพียงฝ่ายเดียว องค์กรก็อาจเผชิญความเสี่ยงที่เพิ่มขึ้นโดยไม่รู้ตัว การสร้างความมั่นคงปลอดภัยจึงต้องอาศัยความร่วมมือจากทุกฝ่าย
ตั้งแต่การกำหนดนโยบาย การสนับสนุนงบประมาณ การกำหนดเจ้าของความเสี่ยงที่ชัดเจน การสร้างวัฒนธรรมด้าน Cybersecurity ไปจนถึงการกำกับดูแลการใช้งาน AI อย่างเหมาะสม
เราจะเห็นได้ว่าช่องว่างด้านความเข้าใจระหว่าง CISO กับผู้บริหารระดับสูงกำลังกลายเป็นอุปสรรคสำคัญของการบริหารความมั่นคงปลอดภัยไซเบอร์ในยุค AI
เมื่อภัยคุกคามมีความซับซ้อนและใช้เทคโนโลยีสร้างการหลอกลวงที่แนบเนียนกว่าเดิม การสนับสนุนจากผู้บริหารจึงไม่ควรเป็นเพียงการผลักดันในช่วงเริ่มต้น แต่ต้องดำเนินอย่างต่อเนื่อง ควบคู่กับการกำหนดนโยบายที่ชัดเจน
การสร้างวัฒนธรรมความปลอดภัย และการบริหารความเสี่ยงจากบุคลากรอย่างเป็นระบบ เพราะในโลกปัจจุบัน ไซเบอร์ซีเคียวริตี้ไม่ใช่แค่เรื่องของเทคโนโลยี แต่เป็นกลยุทธ์ทางธุรกิจที่ต้องได้รับความร่วมมือจากทั้งองค์กรครับ
