ความปลอดภัยทางไซเบอร์ในสหราชอาณาจักร: ภัยคุกคาม กฎหมาย และกลยุทธ์

การผจญภัยสากล » ทั่วไป » ความปลอดภัยทางไซเบอร์ในสหราชอาณาจักร: ภัยคุกคาม กฎหมาย และกลยุทธ์

ความมั่นคงปลอดภัยทางไซเบอร์ในสหราชอาณาจักรได้กลายเป็นเรื่องสำคัญอันดับต้นๆสำหรับรัฐบาล ภาคธุรกิจ และประชาชน ในช่วงไม่กี่ปีที่ผ่านมา ประเทศนี้เผชิญกับภัยคุกคามจากมัลแวร์เรียกค่าไถ่ครั้งใหญ่ ปฏิบัติการจารกรรมข้อมูลระหว่างประเทศ และการโจมตีโครงสร้างพื้นฐานที่สำคัญและสถาบันของรัฐ ซึ่งนำไปสู่การเสริมสร้างกฎหมาย มาตรฐานทางเทคนิค หน่วยงานเฉพาะทาง และโครงการสนับสนุนทางการเงิน เพื่อสร้างเกราะป้องกันดิจิทัลระดับชาติอย่างแท้จริง

ในขณะเดียวกัน ระบบนิเวศด้านความปลอดภัยทางไซเบอร์ของสหราชอาณาจักรก็เป็นตัวขับเคลื่อนทางเศรษฐกิจและนวัตกรรมที่ทรงพลัง เช่นกัน โดยสร้างงานที่มีทักษะสูงหลายพันตำแหน่ง ส่งเสริมสตาร์ทอัพที่ล้ำสมัย และพึ่งพามหาวิทยาลัยและศูนย์วิจัยที่มีชื่อเสียงระดับโลก การทำความเข้าใจโครงสร้างของการป้องกันนี้ ภัยคุกคามที่ขับเคลื่อนระบบ และภาระผูกพันของบริษัทต่างๆ เป็นสิ่งสำคัญสำหรับทุกคนที่ดำเนินงานหรือประมวลผลข้อมูลในสหราชอาณาจักร ไม่ว่าจะเป็น SME ในท้องถิ่น บริษัทข้ามชาติขนาดใหญ่ หรือหน่วยงานภาครัฐ

ภาพรวมภัยคุกคามทางไซเบอร์ในสหราชอาณาจักร

ภัยคุกคาม ทางไซเบอร์ ที่ส่งผลกระทบต่อสหราชอาณาจักรนั้นมีหลากหลาย เกิดขึ้นบ่อยครั้ง และมีความซับซ้อนมากขึ้นเรื่อยๆเราไม่ได้พูดถึงเพียงแค่การโจมตีแบบแยกเดี่ยวโดยอาชญากรไซเบอร์เท่านั้น แต่ยังรวมถึงแคมเปญที่จัดตั้งขึ้น การปฏิบัติการจารกรรมที่ได้รับการสนับสนุนจากรัฐ และกิจกรรมทางอาชญากรรมที่มีผลกระทบทางเศรษฐกิจและสังคมอย่างมาก

จากการวิเคราะห์ของศูนย์ความปลอดภัยทางไซเบอร์แห่งชาติ (NCSC) ในปีที่ผ่านมา สหราชอาณาจักรต้องเข้าแทรกแซงเหตุการณ์สำคัญ 429 ครั้งโดย 204 ครั้งถูกจัดอยู่ในประเภท "สำคัญระดับชาติ" ซึ่งมากกว่าสองเท่าของจำนวนที่บันทึกไว้ในประเภทเดียวกันในปีก่อนหน้า แสดงให้เห็นถึงการเพิ่มขึ้นอย่างชัดเจนทั้งในด้านปริมาณและความรุนแรงของกรณีที่ต้องจัดการ

ในบรรดาเหตุการณ์เหล่านี้มีการโจมตีทางไซเบอร์ประมาณ 18 ครั้งที่ถูกจัดอยู่ในประเภท “มีความสำคัญอย่างยิ่ง ” ซึ่งอยู่ในระดับรองลงมาจากภาวะฉุกเฉินทางไซเบอร์ระดับชาติ การโจมตีเหล่านี้ส่งผลกระทบอย่างร้ายแรงต่อบริการที่จำเป็น หน่วยงานราชการส่วนกลาง ภาคส่วนสำคัญของเศรษฐกิจ และในบางกรณี ส่งผลกระทบต่อประชากรจำนวนมาก

บริบทนี้ทำให้ปัจจุบันความมั่นคงทางไซเบอร์ถูกมองว่าเป็นองค์ประกอบสำคัญของการอยู่รอดทางธุรกิจและความยืดหยุ่นของชาติทั้งผู้กำหนดนโยบายและผู้บริหารต่างเห็นพ้องต้องกันว่า ความลังเลที่จะลงทุนในการป้องกันทางดิจิทัลได้กลายเป็นจุดอ่อนเชิงกลยุทธ์

รูปแบบการโจมตีที่พบบ่อยที่สุด: ตั้งแต่การฟิชชิ่งไปจนถึงแรนซัมแวร์

เทคนิคที่ใช้ต่อต้านองค์กรของอังกฤษเป็นการผสมผสานวิธีการแบบดั้งเดิมเข้ากับยุทธวิธีขั้นสูงไม่ใช่ภัยคุกคามเพียงประเภทเดียว แต่เป็นการใช้รูปแบบการโจมตีที่หลากหลาย ซึ่งมักถูกนำมาใช้ต่อเนื่องกันในปฏิบัติการเดียวกัน

การหลอกลวงแบบฟิชชิ่งยังคงเป็นภัยคุกคามที่สำคัญอีเมล ข้อความ SMS และข้อความในแอปพลิเคชันแอบอ้างเป็นธนาคาร ผู้จำหน่าย หน่วยงานรัฐบาล หรือแม้แต่เพื่อนร่วมงาน โดยมีเป้าหมายเพื่อขโมยข้อมูลประจำตัว ข้อมูลส่วนบุคคล หรือติดตั้งมัลแวร์ พอร์ทัลล็อกอินและหน้าชำระเงินปลอมของบริษัทต่างๆ พบเห็นได้ทั่วไป

มัลแวร์เรียกค่าไถ่ (Ransomware) กลายเป็นภัยคุกคามที่สร้างผลกำไรมหาศาลให้กับกลุ่มอาชญากร และ สร้างความเสียหายร้ายแรงที่สุดต่อเหยื่อ ผู้โจมตีจะเข้ารหัสข้อมูลสำคัญ ทำให้ระบบเป็นอัมพาต และเรียกค่าไถ่เพื่อแลกกับการปล่อยข้อมูล บางครั้ง พวกเขายังขโมยข้อมูลไปก่อนและขู่ว่าจะเปิดเผยข้อมูลหากไม่จ่ายเงิน ซึ่งเป็นการเพิ่มองค์ประกอบของการขู่กรรโชกชื่อเสียงเข้าไปด้วย

การรั่วไหลของข้อมูลอาจเกิดขึ้นจากการโจมตีจากภายนอก แต่ก็อาจเกิดจากข้อผิดพลาดภายในได้เช่นกัน เช่น การส่งอีเมลไปยังผู้รับผิด การกำหนดค่าความปลอดภัยที่ไม่ถูกต้อง ฐานข้อมูลที่เปิดเผย หรือพนักงานตกเป็นเหยื่อของแคมเปญหลอกลวงทางสังคม ไม่ว่าจะโดยเจตนาหรือโดยอุบัติเหตุ การรั่วไหลประเภทนี้ก่อให้เกิดค่าใช้จ่ายด้านกฎระเบียบ กฎหมาย และชื่อเสียงที่สูงมาก

อีกหนึ่งความกังวลคือการโจมตีแบบปฏิเสธการให้บริการแบบกระจาย (DDoS)ซึ่งจะส่งปริมาณการรับส่งข้อมูลมหาศาลไปยังเว็บไซต์และบริการออนไลน์ ทำให้ไม่สามารถใช้งานได้ การโจมตีเหล่านี้มักเกิดขึ้นกับเว็บไซต์ของรัฐบาล บริการทางการเงิน เว็บไซต์อีคอมเมิร์ซ และบริษัทที่มีการดำเนินงานทางดิจิทัลอย่างแข็งแกร่ง

สุดท้ายนี้ ปัจจัยด้านมนุษย์ภายในองค์กรก็เป็นสิ่งที่มองข้ามไม่ได้ภัยคุกคามภายในมีตั้งแต่พนักงานที่ไม่พอใจที่ปล่อยข้อมูลรั่วไหล ไปจนถึงผู้ใช้ที่ประมาทเลินเล่อจนทำให้เกิดช่องโหว่ การควบคุมการเข้าถึงที่หละหลวม การขาดการฝึกอบรม และการกำกับดูแลที่ไม่เพียงพอ ล้วนเพิ่มความเสี่ยงต่อเหตุการณ์ประเภทนี้

บทบาทของศูนย์ความปลอดภัยทางไซเบอร์แห่งชาติ (NCSC)

ศูนย์ความปลอดภัยทางไซเบอร์แห่งชาติ (NCSC) เป็นหน่วยงานด้านเทคนิคของสหราชอาณาจักรเกี่ยวกับความปลอดภัยทางไซเบอร์ขึ้นตรงต่อ GCHQ และทำหน้าที่เป็นจุดเชื่อมต่อระหว่างรัฐบาล ภาคเอกชน สถาบันการศึกษา และประชาชน เพื่อประสานงานการป้องกันภัยคุกคามทางไซเบอร์

พันธกิจที่ระบุไว้คือการทำให้สหราชอาณาจักรเป็นสถานที่ที่ปลอดภัยที่สุดในการอยู่อาศัยและทำงานในสภาพแวดล้อมดิจิทัลเพื่อให้บรรลุเป้าหมายนี้ NCSC จึงผสานรวมข่าวกรองภัยคุกคาม การตอบสนองต่อเหตุการณ์ คำแนะนำทางเทคนิค โครงการสร้างความตระหนักรู้ และความร่วมมือระหว่างประเทศ ไม่เพียงแต่ตอบสนองต่อการโจมตีเท่านั้น แต่ยังทำงานเชิงรุกเพื่อลดพื้นที่การโจมตีของประเทศอีกด้วย

หนึ่งในหน้าที่สำคัญคือการติดตามสถานการณ์ภัยคุกคามอย่างต่อเนื่องโดยจะวิเคราะห์กลยุทธ์ เทคนิค และขั้นตอน (TTPs) ของกลุ่มอาชญากรและผู้กระทำความผิดจากภาครัฐ และแบ่งปันข้อมูลกับภาคธุรกิจและหน่วยงานภาครัฐผ่านช่องทางต่างๆ รวมถึงรายงานข่าวกรอง การแจ้งเตือนทางเทคนิค และแพลตฟอร์มการแบ่งปันข้อมูล

เมื่อเกิดเหตุการณ์ร้ายแรง ศูนย์บัญชาการป้องกันภัยแห่งชาติ (NCSC) จะประสานงานการตอบสนองระดับชาติโดยให้การสนับสนุนหน่วยงานที่ได้รับผลกระทบ ช่วยควบคุมการโจมตี ให้คำแนะนำเกี่ยวกับมาตรการฟื้นฟู และมีส่วนร่วมในการระบุผู้กระทำผิดเท่าที่จะเป็นไปได้ ในรายงานประจำปี NCSC ได้บันทึกเหตุการณ์ที่ได้รับการจัดการหลายร้อยเหตุการณ์ในหนึ่งปี โดยให้ความสำคัญเป็นพิเศษกับบริการที่จำเป็นและการบริหารราชการแผ่นดิน

นอกจากนี้ หน่วยงานยังส่งเสริมโครงการริเริ่มต่างๆ เช่น โครงการ ป้องกันภัยไซเบอร์เชิงรุก (Active Cyber ​​Defence ) ซึ่งรวมถึงบริการต่างๆ เช่น DNS Protector หรือเครื่องมือตรวจสอบเว็บไซต์ เพื่อบล็อกโดเมนที่เป็นอันตราย หน้าเว็บหลอกลวง และเนื้อหาฟิชชิ่งที่มุ่งเป้าไปที่พลเมืองและองค์กรของอังกฤษโดยอัตโนมัติ

ความร่วมมือระหว่างประเทศและกรณีการจารกรรมทางไซเบอร์

มิติทางภูมิรัฐศาสตร์ของความมั่นคงทางไซเบอร์กำลังปรากฏชัดเจนมากขึ้นเรื่อยๆ และสหราชอาณาจักรได้ระบุชื่อประเทศบางประเทศอย่างเปิดเผยว่าเป็นผู้ดำเนินการสอดแนมและก่อวินาศกรรมทางดิจิทัลจีนและอิหร่านปรากฏอยู่ในรายงานและคำแนะนำจากศูนย์ความมั่นคงทางไซเบอร์แห่งชาติ (NCSC) และรัฐบาลอังกฤษอยู่บ่อยครั้ง

เมื่อไม่นานมานี้ ลอนดอนได้ประกาศมาตรการคว่ำบาตรต่อบริษัทเทคโนโลยีในประเทศจีนที่ถูกกล่าวหาว่าทำการโจมตีทางไซเบอร์แบบไม่เลือกเป้าหมายต่อระบบไอทีมากกว่า 80 ระบบของรัฐบาลและบริษัทขนาดใหญ่ในหลายประเทศ บริษัทต่างๆ เช่น Sichuan Anxun Information Technology (i-Soon) และ Integrity Technology Group ถูกระบุว่าเป็นผู้บริหารเครือข่ายลับและสนับสนุนปฏิบัติการที่เป็นอันตรายซึ่งเชื่อมโยงกับหน่วยข่าวกรองของจีน

ศูนย์ความมั่นคงแห่งชาติจีน (NCSC) เชื่อว่าในประเทศจีนมี “ระบบนิเวศ” ภาคเอกชนที่สนับสนุนปฏิบัติการไซเบอร์ของรัฐซึ่งประกอบด้วยบริษัทด้านความปลอดภัยทางไซเบอร์ ตัวกลางซื้อขายข้อมูลส่วนบุคคล และกลุ่มแฮกเกอร์รับจ้าง โครงสร้างกึ่งทางการเหล่านี้อำนวยความสะดวกในการปฏิบัติการต่างๆ เช่น ปฏิบัติการจารกรรมทางไซเบอร์ที่รู้จักกันในชื่อ SALT TYPHOON ซึ่งมุ่งเป้าไปที่รัฐบาล โทรคมนาคม โครงสร้างพื้นฐานทางทหาร และบริการสาธารณะในระดับโลก

ในขณะเดียวกัน ศูนย์ของอังกฤษก็ได้ออกคำเตือนเฉพาะเจาะจงเกี่ยวกับความเสี่ยงที่เพิ่มขึ้นของการโจมตีทางไซเบอร์ที่มาจากหรือได้รับการสนับสนุนจากอิหร่านโดยเฉพาะอย่างยิ่งในบริบทของความตึงเครียดในตะวันออกกลางและการปฏิบัติการทางทหารในภูมิภาค แม้ว่าสหราชอาณาจักรจะไม่ใช่เป้าหมายหลักเสมอไป แต่บริษัทที่มีสำนักงานหรือซัพพลายเออร์อยู่ในสหราชอาณาจักรก็อาจได้รับผลกระทบทางอ้อมได้

ความเสี่ยงที่กล่าวถึง ได้แก่การโจมตีแบบ DDoS การก่อวินาศกรรมเว็บไซต์ขององค์กร การขโมยข้อมูลสำคัญ และการโจมตีระบบอุตสาหกรรมนอกจากนี้ยังมีความสนใจในข้อมูลส่วนบุคคลของผู้ต่อต้านรัฐบาลอิหร่าน และความเป็นไปได้ที่จะมีการบุกรุกทางดิจิทัลร่วมกับการก่อวินาศกรรมทางกายภาพต่อศูนย์ข้อมูลและโครงสร้างพื้นฐานอื่นๆ

ผลกระทบทางเศรษฐกิจและธุรกิจจากการโจมตีทางไซเบอร์

นอกเหนือจากความเสียหายทางเทคนิคแล้ว เหตุการณ์ด้านความปลอดภัยทางไซเบอร์ยังส่งผลกระทบโดยตรงต่อเศรษฐกิจของอังกฤษรายงานของ NCSC และข่าวสารล่าสุดแสดงให้เห็นว่าการโจมตีทางไซเบอร์สามารถทำให้ห่วงโซ่อุปทานเป็นอัมพาต ขัดขวางการส่งออก หรือเป็นอันตรายต่อบริษัทอุตสาหกรรมขนาดใหญ่ได้

ตัวอย่างหนึ่งที่ยกมาคือบริษัท Jaguar Land Rover (JLR)ซึ่งบริการได้รับผลกระทบอย่างรุนแรงเป็นเวลาหลายสัปดาห์หลังจากเกิดเหตุการณ์ทางไซเบอร์ การหยุดชะงักในลักษณะนี้ส่งผลกระทบต่อห่วงโซ่คุณค่าทั้งหมด และทำให้เป้าหมายทางเศรษฐกิจมหภาคที่ทะเยอทะยาน เช่น การบรรลุอัตราการเติบโตที่ยั่งยืนสูงสุดในกลุ่ม G7 ต้องตกอยู่ในความเสี่ยง ตามที่ผู้เชี่ยวชาญด้านความมั่นคงทางเศรษฐกิจกล่าวไว้

ภาคธุรกิจค้าปลีกก็ไม่รอดพ้นจากภัยคุกคามนี้เช่นกัน แบรนด์ใหญ่ๆ อย่างMarks & Spencer, The Co-op และ Harrods ต่างก็ได้รับผลกระทบจากการโจมตี ซึ่งคาดว่าน่าจะเกี่ยวข้องกับกลุ่มแรนซัมแวร์อย่าง Scattered Spider ในกรณีของ M&S การระงับคำสั่งซื้อออนไลน์และค่าใช้จ่ายในการกู้คืนนั้นคาดการณ์ไว้ที่หลายร้อยล้านปอนด์ รวมถึงรายได้ที่สูญเสียไป ความพยายามในการแก้ไขปัญหา และการเรียกร้องค่าเสียหายที่อาจเกิดขึ้น

จากมุมมองด้านการเงิน การโจมตีทางไซเบอร์ก่อให้เกิดต้นทุนโดยตรงสำหรับการตอบสนองทางเทคนิค การแจ้งเตือนลูกค้า การให้คำปรึกษาทางกฎหมาย และบทลงโทษทางกฎหมายนอกจากนี้ยังมีต้นทุนทางอ้อม เช่น ผลผลิตที่ลดลง เบี้ยประกันภัยที่เพิ่มขึ้น ความเสียหายต่อชื่อเสียง และการสูญเสียความเชื่อมั่นจากนักลงทุนและพันธมิตร

ด้วยเหตุผลเหล่านี้ ทางการจึงยืนยันว่าการลงทุนด้านความปลอดภัยทางไซเบอร์ไม่ใช่เรื่องที่เลือกได้แต่เป็นส่วนหนึ่งของต้นทุนในการดำเนินธุรกิจในสภาพแวดล้อมดิจิทัล ข้อความจากรัฐบาลถึงซีอีโอและประธานบริษัทขนาดใหญ่ชัดเจนว่า พวกเขาต้องดำเนินการอย่างเป็นรูปธรรมและเร่งด่วนเพื่อเสริมสร้างการป้องกันของตน เพราะการไม่ดำเนินการใดๆ จะนำไปสู่ความเสี่ยงด้านการดำเนินงานและทางการเงิน

กรอบกฎหมายและข้อบังคับด้านความปลอดภัยทางไซเบอร์ในสหราชอาณาจักร

แตกต่างจากประเทศอื่นๆ สหราชอาณาจักรไม่มีกฎหมายความมั่นคงทางไซเบอร์ฉบับเดียวที่ครอบคลุมทุกด้านกรอบกฎหมายของสหราชอาณาจักรประกอบด้วยชุดกฎระเบียบเฉพาะภาคส่วนและกฎระเบียบที่ครอบคลุมหลายภาคส่วน ซึ่งรวมกันแล้วควบคุมการใช้งานระบบ การคุ้มครองข้อมูลส่วนบุคคล ความต่อเนื่องของบริการที่จำเป็น และการดำเนินคดีอาชญากรรมทางไซเบอร์

กฎหมายอาชญากรรมไซเบอร์มีพื้นฐานมาจากพระราชบัญญัติการใช้คอมพิวเตอร์ในทางที่ผิด พ.ศ. 1990 (CMA)ซึ่งต่อมาได้รับการแก้ไขเพิ่มเติมโดยพระราชบัญญัติอาชญากรรมร้ายแรง พ.ศ. 2015 กฎหมายนี้กำหนดให้การเข้าถึงคอมพิวเตอร์และข้อมูลโดยไม่ได้รับอนุญาต การเปลี่ยนแปลงโปรแกรม การพัฒนาและเผยแพร่เครื่องมือแฮ็ก และการกระทำที่มุ่งก่อให้เกิดอันตรายร้ายแรงต่อเศรษฐกิจ สิ่งแวดล้อม ความมั่นคงของชาติ หรือสวัสดิภาพของมนุษย์ เป็นความผิดทางอาญา

การดักฟังการสื่อสารอย่างผิดกฎหมายรวมถึงการสื่อสารที่ส่งผ่านทางคอมพิวเตอร์ อยู่ภายใต้การควบคุมของพระราชบัญญัติควบคุมอำนาจการสืบสวน (Regulation of Investigatory Powers Act หรือ RIPA) และกฎหมายที่เกี่ยวข้องกับอำนาจการสืบสวน กฎหมายเหล่านี้กำหนดขอบเขตทางกฎหมายเกี่ยวกับการดักฟังและการรวบรวมข้อมูล ตลอดจนบทลงโทษที่เกี่ยวข้อง

ในด้านการคุ้มครองข้อมูล สหราชอาณาจักรใช้กฎระเบียบว่าด้วยการคุ้มครองข้อมูลทั่วไป (GDPR)ซึ่งได้รับการปรับปรุงผ่านพระราชบัญญัติคุ้มครองข้อมูลปี 2018 (DPA) กรอบการทำงานนี้กำหนดให้องค์กรต่างๆ ต้องใช้มาตรการรักษาความปลอดภัยที่เหมาะสมเพื่อปกป้องข้อมูลส่วนบุคคล และกำหนดหลักการต่างๆ เช่น ความชอบด้วยกฎหมาย ความโปร่งใส การลดปริมาณข้อมูล ความถูกต้อง การจำกัดระยะเวลาการจัดเก็บ ความสมบูรณ์ ความลับ และความรับผิดชอบ

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล ( DPA) ยังรวมถึง คำสั่งเกี่ยวกับการ บังคับใช้กฎหมายซึ่งควบคุมการประมวลผลข้อมูลโดยหน่วยงานต่างๆ เช่น สำนักงานปราบปรามอาชญากรรมแห่งชาติ (NCA) สำนักงานกำกับดูแลทางการเงิน (FCA) และสำนักงานปราบปรามการฉ้อโกงร้ายแรง สำนักงานคณะกรรมการข้อมูลข่าวสาร (ICO) มีหน้าที่ตรวจสอบและลงโทษผู้ที่ไม่ปฏิบัติตามข้อผูกพันเหล่านี้

ในขณะเดียวกันกฎระเบียบว่าด้วยเครือข่ายและระบบสารสนเทศ พ.ศ. 2018 (NISR)ได้นำเอาข้อกำหนดของคำสั่ง NIS ของสหภาพยุโรปมาปรับใช้ และบังคับใช้กับผู้ประกอบการบริการที่จำเป็น (พลังงาน น้ำ การขนส่ง การดูแลสุขภาพ ฯลฯ) และผู้ให้บริการดิจิทัลบางประเภท โดยกำหนดให้มีมาตรการทางเทคนิคและองค์กรที่เหมาะสมเพื่อจัดการความเสี่ยง และกำหนดให้ต้องรายงานเหตุการณ์ที่มีผลกระทบอย่างมีนัยสำคัญต่อความต่อเนื่องของการให้บริการ

เอกสารที่เกี่ยวข้องอื่นๆ ได้แก่พระราชบัญญัติการฉ้อโกง พ.ศ. 2006ซึ่งลงโทษการฉ้อโกงที่กระทำโดยวิธีการทางดิจิทัล พระราชบัญญัติลิขสิทธิ์ การออกแบบ และสิทธิบัตร พ.ศ. 1988 ว่าด้วยทรัพย์สินทางปัญญา และระเบียบว่าด้วยความเป็นส่วนตัวและการสื่อสารทางอิเล็กทรอนิกส์ ซึ่งกำหนดภาระผูกพันเฉพาะสำหรับผู้ให้บริการการสื่อสารสาธารณะ

การคุ้มครองข้อมูล การคว่ำบาตร และความรับผิดขององค์กร

มาตรการลงโทษสำหรับการละเมิดข้อมูลส่วนบุคคลนั้นเข้มงวดเป็นพิเศษ ซึ่งเป็นแรงจูงใจสำคัญที่ทำให้ผู้คนหันมาให้ความสำคัญกับความปลอดภัยทางไซเบอร์พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลกำหนดค่าปรับทางปกครองไว้สองระดับหลัก โดยขึ้นอยู่กับความร้ายแรงของการละเมิด

ในอีกด้านหนึ่ง มีการกำหนดบทลงโทษสูงสุดถึง2% ของรายได้ประจำปีทั่วโลก หรือ 10 ล้านยูโร (แล้วแต่จำนวนใดจะมากกว่า) สำหรับการละเมิด เช่น การขาดมาตรการรักษาความปลอดภัยที่เพียงพอ การไม่เก็บรักษาบันทึกที่จำเป็น การไม่แต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลเมื่อจำเป็น หรือการไม่ให้ความร่วมมือกับ ICO

ในระดับสูงสุด โทษปรับอาจสูงถึง4% ของรายได้ทั่วโลก หรือ 20 ล้านยูโรสำหรับการละเมิดหลักการพื้นฐานในการประมวลผลข้อมูล การเพิกเฉยต่อสิทธิของเจ้าของข้อมูล หรือการขัดขวางการทำงานของหน่วยงานกำกับดูแล การกระทำผิดซ้ำและการละเมิดโดยเจตนาอาจทำให้สถานการณ์เลวร้ายลงไปอีก

นอกเหนือจากบทลงโทษทางปกครองแล้วบุคคลที่ได้รับผลกระทบจากการละเมิดความปลอดภัยยังมีสิทธิ์เรียกร้องค่าชดเชยสำหรับความเสียหายที่เกิดขึ้น ซึ่งอาจทำให้บริษัทต้องเผชิญกับการฟ้องร้องทางแพ่ง และในบางกรณี ผู้จัดการและผู้รับผิดชอบอาจต้องรับผิดส่วนบุคคลหากพิสูจน์ได้ว่ามีการประมาทเลินเล่ออย่างร้ายแรงหรือมีการยินยอมในการกระทำที่ละเมิดลิขสิทธิ์

แนวทางนี้บังคับให้องค์กรต้องนำรูปแบบการบริหารความเสี่ยงที่อิงตามความรับผิดชอบเชิงรุกมาใช้ ได้แก่การประเมินภัยคุกคาม การบันทึกการตัดสินใจ การให้เหตุผลประกอบมาตรการ และการเก็บรักษาหลักฐานการปฏิบัติตามข้อกำหนด การกล่าวอ้างง่ายๆ ว่าการโจมตีเป็นสิ่งที่หลีกเลี่ยงไม่ได้นั้นไม่เป็นที่ยอมรับอีกต่อไป หากไม่ได้ปฏิบัติตามแนวทางปฏิบัติที่ดีที่สุดที่ได้รับการยอมรับ

ยุทธศาสตร์ความมั่นคงทางไซเบอร์แห่งชาติและความร่วมมือระหว่างภาครัฐและเอกชน

เพื่อประสานความพยายามทั้งหมดนี้ สหราชอาณาจักรได้เปิดตัวยุทธศาสตร์ความมั่นคงทางไซเบอร์แห่งชาติระยะเวลาห้าปีโดยได้รับการสนับสนุนด้วยงบประมาณประมาณ 1.900 พันล้านปอนด์ ซึ่งมากกว่ายุทธศาสตร์ก่อนหน้านี้ถึงสองเท่า แผนงานนี้ตั้งอยู่บนสามเสาหลัก ได้แก่ การป้องกัน การป้องปราม และการสร้างขีดความสามารถทางไซเบอร์

ในช่วงไม่กี่ปีแรกของการดำเนินงาน NCSC รายงานว่าได้จัดการกับเหตุการณ์หลายร้อยเหตุการณ์ปิดเว็บไซต์ฟิชชิ่งไปหลายแสนแห่งและเผยแพร่คู่มือและคำแนะนำหลายสิบฉบับสำหรับธุรกิจและประชาชน เป้าหมายคือการลดทั้งโอกาสที่จะเกิดการโจมตีและผลกระทบเมื่อเกิดการโจมตีขึ้น

ความร่วมมือระหว่างภาครัฐและภาคเอกชนเป็นเสาหลักสำคัญของกลยุทธ์นี้โครงการริเริ่มต่างๆ เช่น แพลตฟอร์ม CiSP (Cyber ​​​​Security Information Sharing Partnership) ช่วยให้สามารถแบ่งปันข้อมูลเกี่ยวกับภัยคุกคามและช่องโหว่ต่างๆ ระหว่างองค์กรในภาคส่วนต่างๆ ได้แบบเรียลไทม์

นอกจากนี้ NCSC ยังส่งเสริมโครงการต่างๆ เช่นโครงการ Industry 100ซึ่งอำนวยความสะดวกในการดึงผู้เชี่ยวชาญจากภาคเอกชนเข้ามาร่วมงานกับทีมงานของศูนย์เป็นการชั่วคราวเพื่อดำเนินโครงการร่วมกัน รวมถึงทุนการศึกษาและกิจกรรมฝึกอบรมเพื่อบ่มเพาะบุคลากรด้านความปลอดภัยทางไซเบอร์รุ่นใหม่

ในส่วนของกระทรวงดิจิทัล วัฒนธรรม สื่อ และกีฬา (DCMS) ได้ริเริ่มโครงการต่างๆ เช่นโครงการความร่วมมือด้านทักษะดิจิทัลซึ่งรวบรวมบริษัท องค์กรการกุศล และหน่วยงานภาครัฐ เพื่อเสนอการฝึกอบรมทักษะดิจิทัลฟรี รวมถึงความปลอดภัยทางไซเบอร์ โดยให้ความสำคัญเป็นพิเศษกับ SMEs และกลุ่มผู้ด้อยโอกาส

โครงการสนับสนุนทางเศรษฐกิจและการเติบโตของภาคไซเบอร์

ความปลอดภัยทางไซเบอร์ไม่ใช่แค่ต้นทุน แต่ยังเป็นกลไกขับเคลื่อนการเติบโตทางเศรษฐกิจในสหราชอาณาจักร อีกด้วย ภาคส่วนนี้สร้างงานที่มีทักษะหลายพันตำแหน่งและสร้างรายได้หลายพันล้านปอนด์ต่อปี ด้วยระบบนิเวศที่ขับเคลื่อนด้วยพลังของสตาร์ทอัพ บริษัทขนาดกลางและขนาดย่อมด้านเทคโนโลยี และผู้ให้บริการรายใหญ่ที่ก่อตั้งมานาน

เพื่อส่งเสริมระบบนิเวศทางธุรกิจนี้ รัฐบาลได้ประกาศแผนปฏิบัติการส่งเสริมการเติบโตทางไซเบอร์ (Cyber ​​Growth Action Plan ) ซึ่งนำโดยผู้เชี่ยวชาญจากมหาวิทยาลัยบริสตอลและอิมพีเรียลคอลเลจ โดยมีเป้าหมายเพื่อระบุโอกาสในด้านอุปสงค์และอุปทานของสินค้าและบริการทางไซเบอร์ ตั้งแต่แพลตฟอร์มการตรวจสอบไปจนถึงโซลูชันการเข้ารหัสขั้นสูง

แผนดังกล่าวให้ความสำคัญเป็นพิเศษกับเทคโนโลยีเกิดใหม่ เช่น ปัญญาประดิษฐ์และการคำนวณควอนตัมซึ่งสามารถเปลี่ยนแปลงทั้งขีดความสามารถในการป้องกันและการโจมตี และเป็นเทคโนโลยีที่ได้รับการวิเคราะห์ในข่าวสารด้านเทคโนโลยีและวัฒนธรรมดิจิทัลเป้าหมายคือให้สหราชอาณาจักรคงไว้ซึ่งตำแหน่งผู้นำระดับนานาชาติในด้านเหล่านี้ โดยใช้ประโยชน์จากฐานทางวิชาการและธุรกิจของตน

ในขณะเดียวกัน เงินหลายล้านปอนด์ได้ถูกจัดสรรให้กับโครงการต่างๆ เช่นCyberASAPซึ่งช่วยให้นักวิจัยเปลี่ยนโครงการทางวิชาการของตนให้เป็นผลิตภัณฑ์และบริการเชิงพาณิชย์ ก่อให้เกิดบริษัทต่อยอดมากมายที่ดึงดูดการลงทุนจากภาคเอกชนหลายสิบล้านปอนด์

อีกหนึ่งโครงการสำคัญคือCyber ​​Runwayซึ่งออกแบบมาเพื่อสนับสนุนสตาร์ทอัพและ SMEs ในการขยายธุรกิจ เข้าสู่ตลาดใหม่ และเสริมสร้างความแข็งแกร่งในระดับสากล เป้าหมายคือการทำให้บริษัทเหล่านี้กลายเป็นส่วนประกอบสำคัญของห่วงโซ่คุณค่าด้านความปลอดภัยทางไซเบอร์ระดับโลก

ความปลอดภัยทางไซเบอร์ในภาคอุตสาหกรรมและภาคส่วนที่สำคัญ

หนึ่งในประเด็นที่อ่อนไหวเป็นพิเศษคือความปลอดภัยทางไซเบอร์ของภาคอุตสาหกรรมและโครงสร้างพื้นฐานที่สำคัญในสหราชอาณาจักร หน่วยงานภาครัฐต่างๆ ดูแลการบูรณาการมาตรการที่แข็งแกร่งเข้ากับระบบอัตโนมัติและการควบคุมของภาคส่วนต่างๆ เช่น พลังงาน น้ำ การขนส่ง โทรคมนาคม และพลังงานนิวเคลียร์

หน่วยงานสำคัญๆ ที่เกี่ยวข้อง ได้แก่CPNI (ศูนย์คุ้มครองโครงสร้างพื้นฐานแห่งชาติ) NCSC เอง หน่วยงานกำกับดูแลภาคส่วนต่างๆ เช่น Ofgem, Ofcom, Ofwat หรือสำนักงานกำกับดูแลกิจการนิวเคลียร์ ตลอดจนหน่วยงานท้องถิ่นและกระทรวงที่รับผิดชอบด้านการกำกับดูแล NIS

ในบริบทนี้ องค์กรอุตสาหกรรมได้นำมาตรการต่างๆ มาใช้ เช่นการให้คำปรึกษาเฉพาะทาง การตรวจสอบภายในและภายนอก การออกแบบเครือข่ายแบบแบ่งส่วนแผนความต่อเนื่องและแผนฉุกเฉิน การสำรองข้อมูลอย่างเป็นระบบ การใช้งานโซลูชัน SIEM และกลยุทธ์การเสริมความแข็งแกร่งสำหรับระบบเดิมที่ไม่ได้ออกแบบโดยคำนึงถึงความปลอดภัยทางไซเบอร์

ภาคอุตสาหกรรมนี้มีจุดแข็งที่ชัดเจน เช่นการตระหนักถึงโครงสร้างพื้นฐานที่สำคัญเพิ่มมากขึ้น และจำนวนผู้เชี่ยวชาญที่ได้รับการฝึกอบรมด้านความปลอดภัยทางไซเบอร์ในภาคอุตสาหกรรมก็เพิ่มขึ้นเช่นกัน อย่างไรก็ตาม ยังคงมีจุดอ่อนอยู่ เช่น การขาดใบรับรองเทคโนโลยี OT เฉพาะด้าน การพึ่งพาโครงสร้างพื้นฐานแบบเดิม และการขาดแคลนเครื่องมือบริหารความเสี่ยงที่ออกแบบมาสำหรับสภาพแวดล้อมทางอุตสาหกรรม

ในขณะเดียวกัน โอกาสสำคัญต่างๆ ก็กำลังเกิดขึ้น โดยเฉพาะอย่างยิ่งจากการเติบโตของอุตสาหกรรม 4.0 และอินเทอร์เน็ตของสรรพสิ่ง (IoT)ซึ่งกำลังเพิ่มความต้องการโซลูชันที่ปลอดภัย สหราชอาณาจักรตั้งเป้าที่จะสร้างตัวเองให้เป็นผู้เล่นเชิงกลยุทธ์ในภาคส่วนนี้ โดยส่งออกทั้งเทคโนโลยีและความเชี่ยวชาญ

แนวปฏิบัติที่ดีที่หน่วยงานของอังกฤษแนะนำ

รัฐบาลและ NCSC ได้เผยแพร่คู่มือและกรอบอ้างอิงมากมายเพื่อช่วยให้องค์กรต่างๆ เสริมสร้างความมั่นคงปลอดภัยของตนเองแทนที่จะใช้แนวทางแก้ปัญหาแบบเดียวที่ใช้ได้กับทุกองค์กร พวกเขาเน้นย้ำถึงแนวทางที่อิงตามความเสี่ยงและมาตรการรักษาความปลอดภัยหลักที่นำไปใช้อย่างดี

ตัวอย่างหนึ่งคือเอกสาร“10 ขั้นตอนสู่ความปลอดภัยทางไซเบอร์”ซึ่งระบุถึงการควบคุมและกระบวนการที่แนะนำสำหรับองค์กรต่างๆ ได้แก่ การกำกับดูแล การจัดการสินทรัพย์ การปกป้องอุปกรณ์ปลายทาง การควบคุมการเข้าถึง ความปลอดภัยของเครือข่าย การกำหนดค่าที่ปลอดภัย การจัดการช่องโหว่ การฝึกอบรมพนักงาน การตอบสนองต่อเหตุการณ์ และนโยบายการสำรองข้อมูล

กรอบ งาน Cyber ​​Essentialsเสนอการควบคุมขั้นต่ำ 5 ประการที่ทุกบริษัทควรมี ได้แก่ ไฟร์วอลล์ที่กำหนดค่าอย่างถูกต้อง การใช้ซอฟต์แวร์ที่ได้รับการสนับสนุนและอัปเดตอย่างสม่ำเสมอ การจัดการสิทธิ์ผู้ใช้ การป้องกันมัลแวร์ และการกำหนดค่าอุปกรณ์และบริการอย่างปลอดภัย การได้รับการรับรองยังเป็นหลักฐานแสดงถึงความรอบคอบต่อลูกค้าและหน่วยงานกำกับดูแลอีกด้วย

นอกจากนี้ NCSC ยังเผยแพร่คู่มือเฉพาะสำหรับการลดผลกระทบจากการโจมตี DDoS การระบุแคมเปญฟิชชิง การปกป้องระบบอุตสาหกรรม (ICS) และการรักษาความปลอดภัยห่วงโซ่อุปทานโดยเน้นที่การตรวจสอบ "พื้นผิวการโจมตีภายนอก" ได้แก่ บริการที่เปิดเผยสู่อินเทอร์เน็ต พอร์ตที่เปิดโดยไม่จำเป็น ข้อมูลประจำตัวที่รั่วไหล และการพึ่งพาบุคคลที่สามที่อาจกลายเป็นจุดอ่อน

องค์กรอื่นๆ เช่น FCA และ ICO ได้เผยแพร่เอกสารแนวทางเฉพาะสำหรับแต่ละภาคส่วน ในระดับสากล มาตรฐานต่างๆ เช่นISO/IEC 27001และ PCI DSS (สำหรับข้อมูลบัตร) และ BS 10012 (การจัดการข้อมูลส่วนบุคคล) ถูกนำมาใช้เป็นข้อมูลอ้างอิงสำหรับการจัดโครงสร้างระบบการจัดการความปลอดภัย

ด้วยกรอบกฎหมาย มาตรฐาน หน่วยงาน และโครงการต่างๆ เหล่านี้ สหราชอาณาจักรกำลังพยายามสร้างสมดุลระหว่างนวัตกรรมดิจิทัลและการจัดการความเสี่ยงรักษาการไหลเวียนของข้อมูลและพลวัตทางเศรษฐกิจโดยไม่ปล่อยให้ประชาชน ธุรกิจ หรือบริการที่จำเป็นต่างๆ ขาดการคุ้มครอง สำหรับองค์กรใดๆ ที่ดำเนินงานในประเทศ การทำความเข้าใจระบบนิเวศนี้และปรับตัวให้สอดคล้องกับข้อกำหนดต่างๆ จึงไม่ใช่ทางเลือกอีกต่อไป แต่เป็นเงื่อนไขที่จำเป็นสำหรับการแข่งขันในภูมิทัศน์ดิจิทัลของอังกฤษอย่างต่อเนื่องด้วยระดับความปลอดภัยที่เหมาะสม