'การสื่อสารที่ชัดเจน' คือหัวใจ การจัดการความเสี่ยงทางไซเบอร์

แม้ว่าทีมเทคนิคจะเข้าใจรายละเอียดลึกๆ เช่น ช่องโหว่, IoC, CVSS, หรือเครื่องมือความปลอดภัยหลากหลายประเภท แต่ผู้บริหารระดับสูงกลับไม่ได้สนใจศัพท์เทคนิคเหล่านี้

สิ่งที่พวกเขาต้องการรู้คือ ความเสี่ยงที่แท้จริงต่อธุรกิจ ระดับของผลกระทบ และงบประมาณในการลงทุนเพื่อแก้ไขสิ่งที่สำคัญที่สุด

จึงเป็นสาเหตุให้การเชื่อมโลกเทคนิคเข้ากับโลกธุรกิจกลายเป็นบทบาทสำคัญที่ท้าทายของผู้นำด้านความปลอดภัยทางไซเบอร์

คณะกรรมการและผู้บริหารระดับสูงต้องตัดสินใจโดยอาศัยข้อมูลความเสี่ยงในเชิงธุรกิจ การที่ผู้นำด้านความปลอดภัยใช้ศัพท์เฉพาะมากเกินไปอาจทำให้การสื่อสารผิดพลาด ผู้ฟังสับสน หรือไม่เห็นความสำคัญของปัญหานั้นอย่างแท้จริง

ความท้าทายในขณะนี้คือ การอธิบายประเด็นทางเทคนิคให้เป็นภาษาที่ผู้บริหารเข้าใจ โดยอาจแยกเป็น 5 เรื่องหลักๆ ได้แก่ ระดับความเสี่ยงทางไซเบอร์ขององค์กร  ความเสี่ยงสูงเกินระดับที่ยอมรับได้หรือไม่ หากถูกโจมตีจะเกิดผลกระทบทางธุรกิจอย่างไร ส่วนสำคัญที่สุดที่ต้องจัดการคืออะไร

และสุดท้าย หากไม่ลงมือทำจะเกิดต้นทุนหรือความเสียหายเท่าใดและความเสี่ยงระดับใดที่องค์กรยอมรับได้ ทั้งหมดนี้คือ กุญแจสำคัญที่ผู้นำด้านความปลอดภัยต้องดำเนินการคือ ไม่ใช่บอกเพียงความรุนแรงของช่องโหว่หรือปริมาณรายการที่ตรวจพบ

แต่ต้องสามารถตอบได้อย่างชัดเจน กระชับ มีข้อมูลประกอบ และสรุปประเด็นสำคัญ การเล่าเหตุการณ์จริงที่เกี่ยวข้องก็ช่วยให้เข้าใจภาพรวมได้ดีขึ้น รวมถึงต้องนำเสนอตัวเลขที่สะท้อนความเสี่ยงจริง

เช่น มูลค่าความเสียหายที่อาจเกิดขึ้น ผลกระทบต่อรายได้ ระยะเวลาหยุดชะงัก ความเสี่ยงเชิงปฏิบัติการ ผลกระทบต่อภาพลักษณ์ โอกาสที่จะถูกโจมตีสำเร็จ และความคืบหน้าในการลดความเสี่ยง เป็นต้น

สำหรับการใช้ตัวชี้วัดความเสี่ยงที่มีความหมายและเชื่อมโยงกับมุมมองทางธุรกิจก็เป็นสิ่งสำคัญเช่นกัน ปัจจุบันคะแนน CVSS (Common Vulnerability Scoring System) ยังไม่เพียงพอ เพราะสะท้อนเพียงความรุนแรงเชิงเทคนิค ไม่ใช่ความเสี่ยงต่อธุรกิจจริง แพลตฟอร์มการจัดการความเสี่ยงแบบใหม่ เช่น Tenable One จึงใช้ตัวชี้วัดแบบบริบทซึ่งให้ภาพที่แม่นยำกว่า ได้แก่

• VPR (Vulnerability Priority Rating): วัดความสำคัญของช่องโหว่จากข้อมูลภัยคุกคามจริงและบริบทขององค์กร
• ACR (Asset Criticality Rating): ระดับความสำคัญของสินทรัพย์ตามบทบาททางธุรกิจ
• AES (Asset Exposure Score): ความเสี่ยงรวมของแต่ละสินทรัพย์
• CES (Cyber Exposure Score): คะแนนความเสี่ยงรวมของทั้งองค์กร (0–1000)

คะแนนเหล่านี้มีการอัพเดทอย่างต่อเนื่อง ทำให้สามารถติดตามเทรนด์ความเสี่ยงได้ในรูปแบบ KPI ที่ผู้บริหารคุ้นเคย เช่น แนวโน้มความเสี่ยงลดลงในช่วง 6 เดือน และแผนงานเพื่อเร่งการลดความเสี่ยงในอนาคต สิ่งนี้ช่วยให้ฝ่ายธุรกิจและฝ่ายเทคนิคสื่อสารกันบนพื้นฐานเดียวกันได้ดียิ่งขึ้น

หากพิจารณาแง่ของเทรนด์ในอุตสาหกรรม ยังคงมุ่งไปสู่การสร้างมาตรฐานการวัดความเสี่ยงทางไซเบอร์ที่เทียบเท่ากับหลักการทางบัญชี GAAP ซึ่งให้วิธีการรายงานที่เป็นมาตรฐานและเปรียบเทียบได้ หากดำเนินการสำเร็จก็จะช่วยให้การรายงานต่อผู้บริหารและคณะกรรมการง่ายขึ้น ลดช่องว่างระหว่างโลกเทคนิคและโลกธุรกิจ

ท้ายที่สุดแล้วการจัดการความเสี่ยงทางไซเบอร์ไม่ใช่เพียงเรื่องของเทคโนโลยีเท่านั้น แต่เป็นเรื่องของการสื่อสาร การจัดลำดับความสำคัญ และการสนับสนุนการตัดสินใจของผู้บริหาร

ฉะนั้นผู้นำด้านความปลอดภัยควรนำเสนอภาพรวมที่ชัดเจน เล่าให้เห็นว่าความเสี่ยงส่งผลต่อธุรกิจอย่างไร และวางแผนอย่างไรในการลดความเสี่ยงโดยใช้งบประมาณที่เหมาะสม เมื่อทุกฝ่ายเข้าใจตรงกัน องค์กรจึงจะสามารถบริหารความเสี่ยงได้อย่างมีประสิทธิภาพและยั่งยืนครับ