เจาะลึกวิธีรับมือ Agentic AI – แผน 30-60-90 วันสำหรับองค์กรและหน่วยงาน CII

แผน 30-60-90 วันมีเป้าหมายหลักสามประการ

• 30 วันแรก: ปิดความเสี่ยงเร่งด่วนและตรวจสอบว่ามีการบุกรุกอยู่หรือไม่

• วันที่ 31-60: เพิ่มการมองเห็น ควบคุมสิทธิ์ และจำกัดการเคลื่อนที่ภายในระบบ

• วันที่ 61-90: ทดสอบการรับมือ ทดสอบการกู้คืน และสร้าง Cyber Resilience

ระยะที่ 1: ภายใน 30 วัน

1. จัดตั้งกลไกกำกับดูแล

ผู้บริหารสูงสุดควรแต่งตั้งคณะทำงานที่ประกอบด้วย

• ผู้บริหารด้านภารกิจ

• ผู้บริหาร IT

• ผู้รับผิดชอบ Cybersecurity

• เจ้าของระบบสำคัญ

• ฝ่ายกฎหมาย

• ฝ่ายสื่อสารองค์กร

• ผู้ตรวจสอบภายใน

• ผู้ให้บริการภายนอกที่เกี่ยวข้อง

ต้องกำหนดผู้มีอำนาจสั่งการเมื่อเกิดเหตุ ผู้ประสานงานระดับบริหาร และผู้ประสานงานระดับปฏิบัติการให้ชัดเจน

2. สำรวจระบบและทรัพย์สิน

จัดทำรายการระบบสำคัญและระบบที่เปิดสู่อินเทอร์เน็ต พร้อมระบุเจ้าของระบบ ผู้ดูแล และผู้ให้บริการ

ระบบที่ควรตรวจสอบก่อน ได้แก่

• VPN และ Remote Access

• RDP และ SSH

• Web Management Interface

• Cloud Administration Console

• ระบบที่หมดอายุการสนับสนุน

• ระบบที่ไม่สามารถระบุเจ้าของได้

บริการที่ไม่มีความจำเป็นควรถูกปิดหรือลดขอบเขตการเข้าถึงทันที

3. ลดความเสี่ยงด้านบัญชีและ Credential

ดำเนินการอย่างน้อยดังต่อไปนี้

• เปิด MFA สำหรับ Administrator, VPN, Email และ Cloud

• ยกเลิกบัญชีที่ไม่ได้ใช้งาน

• เปลี่ยนรหัสผ่านของบัญชีสำคัญ

• ตรวจสอบ Service Account

• ยกเลิก Shared Administrator Account

• ตรวจหา Password, Token และ API Key ที่ฝังอยู่ใน Script

• แยกบัญชีสำหรับ Backup และระบบบริหารจัดการ

4. จัดลำดับการ Patch ตามความเสี่ยง

ควรดำเนินการตามลำดับดังนี้

1. ระบบที่เปิดสู่อินเทอร์เน็ต
2. VPN และ Remote Access
3. Identity Provider และ Domain Controller
4. Web Server และ Middleware
5. Database
6. Backup และ Management System

5. ตรวจสอบ Log ย้อนหลัง

ตรวจสอบข้อมูลย้อนหลังอย่างน้อย 90 วัน หรือเท่าที่องค์กรมีข้อมูล เพื่อค้นหา

• การเข้าสู่ระบบผิดปกติ

• การสร้างบัญชีใหม่

• การเปลี่ยนแปลงสิทธิ์

• การสำรวจระบบ

• Lateral Movement

• การสร้าง Persistence

• การส่งข้อมูลออกไปยังภายนอก

• การเชื่อมต่อจากพื้นที่หรือแหล่งที่ไม่เคยใช้งาน

6. ตรวจสอบและทดสอบ Backup

ต้องยืนยันว่าองค์กรมี Backup ของระบบสำคัญ แยกบัญชี Backup ออกจากบัญชีผู้ดูแล Domain และไม่เปิดให้ระบบหลักลบหรือแก้ไข Backup ได้โดยง่าย

ภายใน 30 วันควรทดสอบกู้คืนข้อมูลจริงอย่างน้อยหนึ่งระบบ ไม่ควรพิจารณาเพียงว่างาน Backup แสดงสถานะสำเร็จ

ผลลัพธ์ที่ผู้บริหารควรได้รับภายใน 30 วัน

• รายการระบบสำคัญและระบบที่เปิดสู่อินเทอร์เน็ต

• รายการช่องโหว่ระดับ Critical

• รายการบัญชีสิทธิ์สูง

• ผลการตรวจสอบ Log เบื้องต้น

• สถานะ Backup และผลทดสอบการกู้คืน

• Incident Contact List

• รายงานความเสี่ยงเร่งด่วน พร้อมเจ้าของงานและกำหนดเวลาแก้ไข

ระยะที่ 2: วันที่ 31-60

เพิ่มการมองเห็น ควบคุมการเข้าถึง และจำกัดการเคลื่อนที่

1. ยกระดับ Identity Security

องค์กรควร

• ขยาย MFA ให้ครอบคลุมบัญชีสำคัญทั้งหมด

• จัดทำ Role-Based Access Control

• ใช้หลัก Least Privilege

• ทบทวนสิทธิ์ของพนักงานและผู้รับจ้าง

• จัดทำกระบวนการ Joiner-Mover-Leaver

• กำหนดอายุและรอบการหมุนเวียน Secret

2. แบ่งแยกเครือข่าย

อย่างน้อยควรแยกเป็น

• User Network

• Server Network

• Database Network

• Backup Network

• Management Network

• OT หรือระบบเฉพาะภารกิจ หากมี

การเชื่อมต่อระหว่าง Zone ต้องมีเหตุผลทางธุรกิจ มีเจ้าของรับผิดชอบ และผ่านการอนุมัติ

3. เพิ่ม Endpoint และ Log Visibility

เปิดใช้หรือขยาย EDR ไปยังเครื่องสำคัญ และรวบรวม Log จาก

• Firewall

• Server

• Identity System

• VPN

• Email

• Cloud

• ระบบบริหารจัดการ

• Backup

ต้องกำหนดระยะเวลาเก็บ Log ให้เพียงพอต่อการสอบสวน พร้อมระบุผู้ตรวจสอบ Alert และเส้นทาง Escalation

4. จัดทำ Incident Response Playbook

อย่างน้อยควรมี Playbook สำหรับ

• Account Compromise

• Malware

• Ransomware

• Data Breach

• Web Server Compromise

• Cloud Account Compromise

• ระบบบริการสำคัญหยุดชะงัก

ผลลัพธ์ที่ผู้บริหารควรได้รับภายใน 60 วัน

• แผนผัง Network และ Data Flow

• Matrix สิทธิ์ของระบบสำคัญ

• สัดส่วนบัญชีที่เปิดใช้ MFA

• Coverage ของ EDR

• รายการ Log Source และ Alert สำคัญ

• Incident Response Playbook

• รายงานความเสี่ยงคงเหลือ

ระยะที่ 3: วันที่ 61-90

ทดสอบความพร้อมและสร้างความสามารถในการฟื้นตัว

1. จัด Tabletop Exercise

ควรจำลองเหตุการณ์ เช่น

• AI-assisted Intrusion

• Ransomware

• Credential Theft

• ระบบบริการสำคัญหยุดชะงัก

• ข้อมูลสำคัญถูกเข้าถึงหรือเตรียมส่งออก

การซ้อมต้องมีผู้บริหารและเจ้าของภารกิจเข้าร่วม ไม่ควรเป็นการทดสอบเฉพาะฝ่ายเทคนิค เพราะการตัดสินใจอาจเกี่ยวข้องกับการหยุดบริการ การแจ้งหน่วยงานกำกับ การสื่อสารต่อสาธารณะ และการยอมรับความเสี่ยง

2. ทดสอบการกู้คืน

กำหนดระบบสำคัญสำหรับทดสอบ พร้อมวัด

• Recovery Time Objective

• Recovery Point Objective

ต้องทดสอบจาก Backup ที่แยกจากระบบหลัก และนำปัญหาที่พบมาปรับปรุง Runbook

3. ประเมินความเสี่ยงและความมั่นคงปลอดภัย

ดำเนินการอย่างน้อย ได้แก่

• Vulnerability Assessment

• ทดสอบระบบที่เปิดสู่อินเทอร์เน็ต

• ตรวจสอบ Cloud Configuration

• ประเมินผู้ให้บริการภายนอก

• จัดทำ Risk Register

• กำหนด Risk Owner และกำหนดเวลาแก้ไข

4. จัดทำนโยบาย AI Security Governance

นโยบายควรกำหนดว่า

• AI Tool ใดได้รับอนุญาต

• ข้อมูลประเภทใดห้ามส่งเข้าสู่ AI ภายนอก

• ใครสามารถติดตั้งหรือเชื่อมต่อ AI Agent

• AI Agent สามารถเข้าถึงระบบใด

• การดำเนินการใดต้องได้รับ Human Approval

• ต้องบันทึก Prompt, Action และ Audit Log อย่างไร

• จะหยุดการทำงานหรือเพิกถอนสิทธิ์ของ AI Agent ได้อย่างไร

ผลลัพธ์ที่ผู้บริหารควรได้รับภายใน 90 วัน

• รายงานผล Tabletop Exercise

• ผลทดสอบ Backup Recovery

• รายงาน Vulnerability Assessment

• Risk Register พร้อมแผนแก้ไข

• AI Security Policy

• Roadmap และงบประมาณระยะยาว

แนวทางสำหรับหน่วยงาน CII

หน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ หรือ Critical Information Infrastructure: CII มีหน้าที่มากกว่าการติดตั้งเครื่องมือรักษาความปลอดภัย เนื่องจากต้องรักษาความต่อเนื่องของบริการที่อาจมีผลต่อประชาชน เศรษฐกิจ และความมั่นคงของประเทศ

ข้อมูลจาก ThaiCERT สรุปหน้าที่สำคัญที่เกี่ยวข้องไว้ดังนี้

ก่อนเกิดเหตุ

หน่วยงานของรัฐ หน่วยงานควบคุมหรือกำกับดูแล และหน่วยงาน CII ต้องจัดทำประมวลแนวทางปฏิบัติและกรอบมาตรฐานด้าน Cybersecurity โดยอย่างน้อยต้องมีแผนประเมินความเสี่ยงประจำปีและแผนรับมือภัยคุกคาม

ต้องกำหนดผู้ประสานงานระดับบริหารและระดับปฏิบัติการ รวมถึงจัดให้มีกลไกเฝ้าระวังและเข้าร่วมการทดสอบสถานะความพร้อมที่สำนักงานจัดขึ้น

สำหรับหน่วยงาน CII ต้องจัดให้มีการประเมินความเสี่ยงและการตรวจสอบด้าน Cybersecurity อย่างน้อยปีละหนึ่งครั้ง และส่งผลสรุปต่อสำนักงานภายใน 30 วันหลังดำเนินการแล้วเสร็จ

เมื่อเกิดหรือคาดว่าจะเกิดภัยคุกคาม

หน่วยงานต้อง

• ตรวจสอบข้อมูล ระบบคอมพิวเตอร์ และเหตุการณ์แวดล้อม

• ประเมินว่ามีภัยคุกคามเกิดขึ้นหรือไม่

• ดำเนินการป้องกัน รับมือ และลดความเสี่ยง

• รักษาหลักฐานที่จำเป็นต่อการสอบสวน

• แจ้งสำนักงานและหน่วยงานควบคุมหรือกำกับดูแลโดยเร็ว

หากเป็นภัยคุกคามที่มีนัยสำคัญต่อระบบของหน่วยงาน CII ต้องรายงานต่อสำนักงานและหน่วยงานกำกับ พร้อมดำเนินการรับมือตามหลักเกณฑ์ที่เกี่ยวข้อง

เมื่อหน่วยงานมีข้อจำกัดด้านบุคลากรหรือเทคโนโลยี

ThaiCERT ระบุว่าหน่วยงานสามารถร้องขอความช่วยเหลือจากสำนักงานได้เมื่อพบอุปสรรคในการป้องกัน รับมือ หรือลดความเสี่ยง

ข้อจำกัดด้านงบประมาณหรือบุคลากรจึงควรนำไปสู่การประสานขอรับความช่วยเหลือ ไม่ควรกลายเป็นเหตุให้ไม่มีมาตรการ ไม่มีผู้รับผิดชอบ หรือไม่ดำเนินการรายงานเหตุ

การแปลงหน้าที่ของ CII ให้เป็นกระบวนการปฏิบัติงาน

เพื่อให้สามารถดำเนินการได้จริง หน่วยงานควรกำหนดล่วงหน้าอย่างน้อยว่า

• เหตุการณ์ลักษณะใดต้องยกระดับเป็น Incident

• ใครเป็นผู้มีอำนาจตัดสินใจ

• ใครเป็นผู้ประสาน สกมช. หน่วยงานกำกับ และ Sectoral CERT

• ใครเป็นผู้เก็บรักษาหลักฐาน

• ระบบใดสามารถแยกหรือหยุดให้บริการได้

• ช่องทางใดใช้สื่อสารเมื่อ Email หรือระบบหลักไม่สามารถใช้งานได้

• ผู้ให้บริการภายนอกต้องแจ้งเหตุและส่งมอบ Log ภายในระยะเวลาเท่าใด

ความรับผิดที่ผู้บริหารไม่ควรมองข้าม

ต้นฉบับระบุถึงบทบัญญัติที่เกี่ยวข้องกับการไม่รายงานเหตุ การไม่ปฏิบัติตามคำสั่งในสถานการณ์ภัยคุกคามร้ายแรงหรือวิกฤติ และความรับผิดของกรรมการ ผู้จัดการ หรือผู้รับผิดชอบการดำเนินงานของนิติบุคคลในบางกรณี

อย่างไรก็ตาม การถูกโจมตีเพียงอย่างเดียวไม่ได้ทำให้หน่วยงานหรือผู้บริหารมีความรับผิดทางกฎหมายโดยอัตโนมัติ การพิจารณาต้องอาศัยสถานะของหน่วยงาน หน้าที่ตามกฎหมาย คำสั่งที่เกี่ยวข้อง การดำเนินการหรือการละเว้น และข้อเท็จจริงของแต่ละเหตุการณ์

ส่วนที่เกี่ยวข้องกับบทลงโทษควรได้รับการตรวจทานจากฝ่ายกฎหมายก่อนเผยแพร่ โดยเฉพาะเมื่อมีการระบุมาตรา ตัวเลขค่าปรับ หรือความรับผิดส่วนบุคคล

แนวทางสำหรับองค์กรขนาดเล็กหรือมีงบประมาณจำกัด

องค์กรขนาดเล็กไม่จำเป็นต้องเริ่มต้นด้วยการสร้าง SOC/CSOC หรือจัดซื้อ SIEM และ XDR ขนาดใหญ่ในทันที

สิ่งที่ควรทำก่อนคือเลือกปกป้องระบบที่สำคัญที่สุดไม่เกิน 5 ระบบ เช่น

• ระบบบริการประชาชนหรือบริการลูกค้า

• ระบบการเงิน

• ระบบบุคลากร

• ระบบอีเมล

• ระบบสำรองข้อมูล

จากนั้นดำเนินมาตรการที่คุ้มค่าก่อน ได้แก่

1. เปิด MFA
2. ปิดบริการที่ไม่จำเป็น
3. Patch ระบบที่เปิดสู่อินเทอร์เน็ต
4. ยกเลิกบัญชีที่ไม่ใช้งาน
5. แยกบัญชี Backup
6. เปิด Logging
7. ทดสอบกู้คืนข้อมูล
8. จัดทำ Incident Contact List

องค์กรควรตรวจสอบด้วยว่า License และระบบที่มีอยู่แล้วเปิดใช้ความสามารถด้าน Endpoint Protection, Firewall Logging, Email Anti-phishing, Conditional Access, Cloud Security Alert และ Backup Alert ครบถ้วนหรือไม่

หากไม่มีบุคลากรเพียงพอ สามารถพิจารณาใช้ Shared SOC, Sectoral SOC, Managed Detection and Response หรือ Managed Security Service Provider โดยยังต้องมีผู้ประสานงานภายในที่สามารถตัดสินใจและสั่งการได้

Roadmap ระยะยาว: จาก Cybersecurity สู่ Cyber Resilience

เป้าหมายระยะยาวไม่ใช่เพียงป้องกันไม่ให้ระบบถูกเจาะ แต่ต้องทำให้องค์กรสามารถ

• ตรวจพบเหตุการณ์ได้เร็ว

• จำกัดวงความเสียหาย

• รักษาภารกิจสำคัญ

• กู้คืนบริการได้

• เรียนรู้และปรับปรุงจากเหตุการณ์

แนวทางระยะยาวควรครอบคลุมประเด็นต่อไปนี้

Zero Trust Architecture

พัฒนาอย่างเป็นลำดับตามความเสี่ยงในด้าน Identity, Device, Network, Application, Data และ Monitoring โดยไม่จำเป็นต้องจัดซื้อเป็นโครงการเดียวขนาดใหญ่

Security Operations ที่เหมาะกับขนาดองค์กร

องค์กรขนาดใหญ่อาจพัฒนา SOC และ Threat Hunting ภายใน ส่วนองค์กรขนาดเล็กสามารถใช้ Shared SOC หรือ Managed Detection and Response ได้

Continuous Security Validation

ดำเนินการเป็นวงจรต่อเนื่องผ่าน Vulnerability Assessment, Penetration Testing, Configuration Review, Breach and Attack Simulation, Purple Team Exercise, Tabletop Exercise และ Backup Recovery Test

Supply Chain Security

กำหนดข้อกำหนดด้าน Cybersecurity ในสัญญา เช่น

• ระยะเวลาแจ้งเหตุ

• การเปิดเผย Subcontractor

• การจำกัด Remote Access

• การใช้ MFA

• การส่งมอบ Log

• การสนับสนุนการสอบสวนและกู้คืน

AI Security Readiness

เตรียมพร้อมทั้งสองด้าน

ด้านภัยคุกคามภายนอก:

• AI-assisted Attack

• Automated Reconnaissance

• AI-generated Phishing

• Deepfake

• Automated Exploit Chaining

ด้านการใช้ AI ภายใน:

• Shadow AI

• Data Leakage

• Excessive Agent Privilege

• Unauthorized Tool Execution

• AI Supply Chain Risk

การพัฒนาบุคลากรตามบทบาท

• ผู้บริหาร: การตัดสินใจ ความเสี่ยง และความต่อเนื่องของบริการ

• เจ้าของระบบ: ความรับผิดชอบและ Risk Acceptance

• เจ้าหน้าที่ IT: Hardening, Patch และ Monitoring

• ผู้ใช้งาน: Phishing, Credential และ Data Handling

• ฝ่ายจัดซื้อ: ข้อกำหนด Cybersecurity ในสัญญา

ตัวชี้วัดที่ผู้บริหารควรได้รับรายเดือน

Dashboard สำหรับผู้บริหารควรติดตามอย่างน้อย

1. จำนวนระบบสำคัญที่มีเจ้าของระบบชัดเจน
2. ร้อยละของบัญชีสำคัญที่ใช้ MFA
3. จำนวนช่องโหว่ Critical ที่เกิน SLA
4. ร้อยละของเครื่องสำคัญที่มี EDR
5. จำนวนบัญชีสิทธิ์สูง
6. Mean Time to Detect
7. Mean Time to Respond
8. จำนวนระบบที่ทดสอบกู้คืนสำเร็จ
9. จำนวนเหตุการณ์ที่รายงานภายในเวลาที่กำหนด
10. จำนวนความเสี่ยงสูงที่ยังไม่มีเจ้าของหรือแผนแก้ไข
11. สถานะการประเมินความเสี่ยงประจำปี
12. สถานะการซ้อมแผนและการปิดข้อบกพร่อง

ข้อสั่งการสำหรับผู้บริหาร

ผู้บริหารควรกำหนดให้มีการดำเนินการดังต่อไปนี้

1. แต่งตั้งผู้รับผิดชอบระดับบริหารและระดับปฏิบัติการ
2. จัดทำรายการระบบสำคัญและระบบที่เปิดสู่อินเทอร์เน็ต
3. เปิด MFA และทบทวนบัญชีสิทธิ์สูง
4. ปิดบริการและพอร์ตที่ไม่จำเป็น
5. Patch ระบบเสี่ยงสูงตามลำดับความสำคัญ
6. ตรวจสอบ Log ย้อนหลังเพื่อค้นหาการบุกรุก
7. ตรวจสอบและทดสอบ Backup
8. จัดทำหรือทบทวนแผนรับมือภัยคุกคาม
9. กำหนดขั้นตอนแจ้งสำนักงานและหน่วยงานกำกับ
10. รายงานผลการดำเนินงานภายใน 30 วัน
11. ดำเนินการตามแผน 60 และ 90 วัน พร้อมติดตามรายเดือน
12. จัดทำ Roadmap ระยะยาวตามความเสี่ยงและทรัพยากรขององค์กร

บทสรุป

องค์กรไม่จำเป็นต้องมีเครื่องมือทุกประเภทก่อนจึงจะเริ่มรับมือ Agentic AI ได้

สิ่งที่สำคัญกว่าคือการรู้ว่าระบบใดสำคัญ ใครเป็นเจ้าของความเสี่ยง บัญชีใดมีสิทธิ์สูง การเชื่อมต่อใดไม่จำเป็น เหตุการณ์ใดต้องแจ้งเตือน และองค์กรสามารถกู้คืนบริการได้จริงหรือไม่

เมื่อภัยคุกคามสามารถทำงานได้เร็วขึ้น การตอบสนองขององค์กรต้องชัดเจน ต่อเนื่อง และมีผู้รับผิดชอบมากขึ้นเช่นกัน

เป้าหมายสุดท้ายไม่ใช่การทำให้องค์กรไม่มีวันถูกโจมตี แต่คือการทำให้องค์กรเจาะได้ยาก ตรวจพบได้เร็ว จำกัดความเสียหายได้ และฟื้นกลับมาดำเนินภารกิจได้อย่างมั่นคง

แหล่งอ้างอิง

• ThaiCERT: หน้าที่และข้อกำหนดที่เกี่ยวข้องกับหน่วยงาน CII

สนใจประเมินความพร้อมหรือโซลูชันด้าน Cybersecurity สำหรับองค์กร