ในอดีต สิ่งที่หลายองค์กรกังวลมากที่สุดเมื่อเกิดเหตุการณ์ ransomware คือระบบถูกล็อกจนใช้งานไม่ได้ แต่วันนี้เรื่องราวไม่ได้มีแค่นั้นอีกต่อไป Ransomware Data Theft ทำให้การโจมตีจำนวนมากกลายเป็นวิกฤตซ้อน 2 ชั้น องค์กรไม่เพียงต้องรับมือกับการหยุดชะงักของการดำเนินงาน แต่ยังต้องเผชิญความเสี่ยงที่ข้อมูลสำคัญจะถูกเปิดเผย นำไปขาย หรือถูกใช้เพื่อข่มขู่เรียกค่าไถ่เพิ่มเติม สำหรับผู้บริหาร ผลกระทบทางการเงินในปัจจุบันจึงขยายวงไกลเกินกว่าค่าใช้จ่ายในการกู้คืนระบบมาก

Ransomware ไม่ได้เป็นแค่เรื่องของการเข้ารหัสข้อมูลอีกต่อไป

ปัจจุบันกลุ่มผู้โจมตีจำนวนมากเลือกขโมยข้อมูลก่อนจะเริ่มเข้ารหัสระบบ วิธีนี้ทำให้พวกเขามีเครื่องมือกดดันเพิ่มขึ้น แม้องค์กรจะมีข้อมูลสำรองและสามารถกู้คืนระบบได้ แต่ความเสี่ยงที่สัญญา ข้อมูลพนักงาน ข้อมูลลูกค้า หรือการสื่อสารภายในจะถูกเผยแพร่ออกสู่สาธารณะ ก็อาจทำให้เหตุการณ์ยืดเยื้อเป็นสัปดาห์หรือหลายเดือน ด้วยเหตุนี้ ransomware จึงไม่ได้เป็นเพียงปัญหาด้านระบบ แต่ยังกลายเป็นทั้ง Data Breach ประเด็นทางกฎหมาย และความท้าทายด้านชื่อเสียงในเวลาเดียวกัน

การเปลี่ยนแปลงนี้สำคัญมาก เพราะหลายองค์กรยังวางแผนรับมือเรื่องระบบล่มมากกว่าการถูกเปิดเผยข้อมูล กลยุทธ์ด้าน backup ยังจำเป็น แต่ไม่สามารถป้องกันไม่ให้ข้อมูลที่ถูกขโมยกลายเป็นข้อมูลสาธารณะได้ ในหลายกรณี ผู้บริหารมักพบช้าเกินไปว่าแผนความต่อเนื่องทางธุรกิจครอบคลุมการกู้คืนระบบ แต่แผน incident response ยังไม่ได้รองรับเรื่องการข่มขู่เรียกค่าไถ่ การรายงานตามข้อกำหนด การสื่อสารกับผู้มีส่วนได้ส่วนเสีย หรือความเสี่ยงจาก third party อย่างครบถ้วน

ผลกระทบทางธุรกิจขยายวงไกลเกินกว่าแค่ฝ่าย IT

เมื่อผู้โจมตีขโมยข้อมูล ผลกระทบมักลุกลามไปทั่วทั้งองค์กรอย่างรวดเร็ว แม้ทีมความปลอดภัยอาจควบคุมเหตุการณ์ทางเทคนิคได้ แต่ภาระระยะยาวมักตกอยู่กับฝ่ายกฎหมาย ฝ่ายกำกับดูแลและ compliance ผู้จัดการฝ่ายปฏิบัติการ และผู้บริหารระดับสูง ความเชื่อมั่นของลูกค้าอาจลดลง ภาระผูกพันตามสัญญาอาจถูกกระตุ้นให้ต้องดำเนินการ และแรงกดดันจากหน่วยงานกำกับดูแลอาจเพิ่มขึ้น โดยเฉพาะเมื่อมีข้อมูลส่วนบุคคลหรือข้อมูลอ่อนไหวเข้ามาเกี่ยวข้อง

ต้นทุนที่เกิดขึ้นยังคาดการณ์ได้ยากกว่าเดิม ระยะเวลาระบบหยุดชะงักอาจประเมินเป็นชั่วโมงหรือวันได้ แต่การขโมยข้อมูลสร้างความไม่แน่นอนขึ้นมาอีกชั้น องค์กรอาจต้องดำเนินการตรวจพิสูจน์ทางนิติวิทยาศาสตร์ดิจิทัล (forensic investigation) แจ้งเหตุ Data Breach ใช้ที่ปรึกษากฎหมายภายนอก รับการสนับสนุนด้านประชาสัมพันธ์ และติดตามผลกระทบต่อผู้ที่ได้รับผลกระทบอย่างต่อเนื่อง ในอุตสาหกรรมอย่างสาธารณสุข การเงิน และการผลิต แรงกดดันอาจสูงยิ่งขึ้น เพราะข้อมูลที่ถูกขโมยอาจเกี่ยวข้องกับความเป็นส่วนตัวของผู้ป่วย บันทึกทางการเงิน หรือข้อมูลการปฏิบัติงานที่เป็นกรรมสิทธิ์ขององค์กร

จุดที่หลายองค์กรยังคงมีความเสี่ยง

แคมเปญ ransomware แทบไม่เคยประสบความสำเร็จเพราะความผิดพลาดเพียงจุดเดียว ส่วนใหญ่ผู้โจมตีอาศัยช่องโหว่หลายด้านที่สะสมขึ้นตามเวลา ไม่ว่าจะเป็นการจัดการตัวตนที่ไม่ทั่วถึง การควบคุมการเข้าถึงระยะไกลที่อ่อนแอ การมองเห็นเครือข่ายที่จำกัด หรือการกำกับดูแลข้อมูลที่ไม่สม่ำเสมอ ทั้งหมดนี้ทำให้การขโมยข้อมูลสำคัญทำได้ง่ายขึ้นก่อนที่ใครจะสังเกตเห็น เมื่อเข้าสู่ระบบได้แล้ว ผู้โจมตีมักเคลื่อนตัวไปยังระบบและแหล่งเก็บข้อมูลที่มีความสำคัญสูงต่อธุรกิจ

อีกปัญหาที่พบได้บ่อยคือการคิดว่าการป้องกันเพียงอย่างเดียวเพียงพอแล้ว แม้การป้องกัน endpoint ที่แข็งแกร่งและ email security จะช่วยลดความเสี่ยงได้ แต่ไม่สามารถขจัดความเสี่ยงออกไปทั้งหมด องค์กรยังจำเป็นต้องรู้ว่าข้อมูลใดสำคัญที่สุด ข้อมูลนั้นอยู่ที่ไหน ใครเข้าถึงได้บ้าง และจะตรวจจับการเคลื่อนย้ายข้อมูลที่ผิดปกติได้ตั้งแต่ระยะเริ่มต้นอย่างไร หากขาดการมองเห็นในจุดนี้ ทีมรับมือเหตุการณ์อาจกู้ระบบกลับมาได้ แต่ยังไม่เข้าใจอย่างครบถ้วนว่าข้อมูลใดถูกนำออกไปแล้วบ้าง

องค์ประกอบของกลยุทธ์รับมือที่รัดกุมยิ่งขึ้น

แนวทางที่มีประสิทธิภาพมากขึ้นควรเริ่มจากการมอง ransomware ว่าเป็นทั้งภัยต่อความพร้อมใช้งานของระบบ และภัยจากการเปิดเผยข้อมูล นั่นหมายความว่าแผนรับมือควรเชื่อมการทำงานระหว่างทีมความปลอดภัย ฝ่ายกฎหมาย ฝ่ายปฏิบัติการ และผู้บริหาร ก่อนที่จะเกิดเหตุการณ์ขึ้นจริง เป้าหมายไม่ได้มีเพียงการกู้คืนระบบ แต่รวมถึงการลดโอกาสที่ข้อมูลที่ถูกขโมยจะกลายเป็นวิกฤตทางธุรกิจระยะยาว

• จัดลำดับความสำคัญของข้อมูลอ่อนไหว และทำแผนที่ให้ชัดเจนว่าจัดเก็บอยู่ที่ใด
• จำกัดสิทธิ์การเข้าถึงที่ไม่จำเป็นด้วยการควบคุม identity และ privilege ที่รัดกุมขึ้น
• เฝ้าระวังการเคลื่อนย้ายข้อมูลที่ผิดปกติ ไม่ใช่ดูเฉพาะกิจกรรมของ malware เท่านั้น
• ทดสอบแผน incident response ให้ครอบคลุมสถานการณ์การข่มขู่เรียกค่าไถ่และการเปิดเผยข้อมูล
• ทบทวนกระบวนการ backup, segmentation และ recovery ร่วมกันเป็นภาพรวม

ขั้นตอนเหล่านี้ช่วยให้องค์กรตัดสินใจได้ดีขึ้นภายใต้แรงกดดัน และยังช่วยเสริมความยืดหยุ่นโดยลดมูลค่าที่ผู้โจมตีจะดึงไปใช้ประโยชน์ได้หลังจากเข้าถึงระบบสำเร็จ ในหลายกรณี ความแตกต่างระหว่างเหตุการณ์ที่ควบคุมได้กับวิกฤตที่ยืดเยื้อ มักขึ้นอยู่กับการเตรียมพร้อม การมองเห็น และการประสานงานข้ามหน่วยงาน

การเลือกพาร์ตเนอร์ด้านความปลอดภัยที่เหมาะสม

การป้องกัน ransomware แทบไม่สามารถแก้ได้ด้วยเครื่องมือเพียงตัวเดียว องค์กรส่วนใหญ่มักต้องใช้ทั้งการปกป้อง identity, endpoint security, network controls, กลยุทธ์ backup, การเฝ้าระวัง และความพร้อมในการรับมือเหตุการณ์ ความท้าทายคือการเลือกเทคโนโลยีที่สอดคล้องกับความต้องการในการดำเนินงาน โดยไม่เพิ่มความซับซ้อนเกินจำเป็นหรือปล่อยให้เกิดช่องว่างสำคัญระหว่างทีมและระบบ

องค์กรที่กำลังประเมินโซลูชันเพื่อเสริมความพร้อมรับมือ ransomware สามารถทำงานร่วมกับ Terrabyte เพื่อระบุเทคโนโลยีด้านความปลอดภัยที่สอดคล้องกับระดับความเสี่ยง ความกังวลเรื่องการเปิดเผยข้อมูล และความต้องการด้านการตอบสนองต่อเหตุการณ์ ในฐานะผู้จัดจำหน่ายด้าน cybersecurity และพาร์ตเนอร์เทคโนโลยีที่องค์กรไว้วางใจ Terrabyte ช่วยให้องค์กรประเมินชุดโซลูชันที่เหมาะสมสำหรับการป้องกัน การตรวจจับ การควบคุมเหตุการณ์ และการกู้คืน