ล่าสุดผมเพิ่งสอบผ่าน Cert. น้องใหม่ Security Analyst Level 1 (SAL1) จากทาง TryHackMe ซึ่งการสอบครั้งนี้ได้รับการสนับสนุน voucher สอบฟรีจากทาง TryHackMe (สำหรับผู้ถือ BTL1 และ CompTIA CySA+, ซึ่งผมถืออยู่ทั้งคู่)

วันนี้จะมารีวิวเจ้า SAL 1 นี่แหละครับ, เอาหล่ะ พร้อมแล้วเราไปลุยกันเลย …

Part 1: ข้อสอบ Multiple Choices

เป็นข้อสอบที่ตรงไปตรงมา จำนวนข้อสอบเยอะหน่อย 80 ข้อถ้าจำไม่ผิด ให้เวลา 1 ชั่วโมง แต่คำถามนั้นไม่ยาว บางคำถามอาศัยความจำมากกว่าเข้าใจ (คือจำได้ก็ตอบได้ เช่น ถามชื่อ tools) และมีคำถามไม่กี่ข้อที่อาศัยการวิเคราะห์ (ซึ่งผมคาดหวังไว้มากกว่านี้มาก เช่น อยากให้มี scenario ที่ซับซ้อนให้ แล้วถามว่าควร investigate อะไรต่อ, หรือ best action ที่ควรเลือกกระทำ, หรือ prioritize task อย่างไร)

อีกอย่างที่สำคัญมากคือ ระบบสอบที่ไม่มีการคุมสอบ (Proctoring) หรือแม้กระทั่งซอฟต์แวร์มาควบคุม ทำให้ผลการสอบ Part นี้ดูไม่ศักดิ์สิทธิ์เท่าไร ต่างจากการสอบอื่นๆ ที่ต้องสอบกับศูนย์สอบของ Pearson Vue หรือของ ISACA (จำชื่อศูนย์สอบไม่ได้ครับ ฮ่าๆ) ไม่ว่าจะใน Version On-site หรือ Online ต่างก็มีการ Proctor ที่เข้มงวดทั้งนั้น

Part 2: Alert Monitoring & Triaging

ถ้าถามผมแบบตรงๆ เลย คือ “สนุกดี” เป็นการสอบที่ทำให้รู้สึกสนุก ในการสอบนี้จะมี alert โผล่ขึ้นมาบน Monitoring Platform ที่ทาง THM สร้างจำลองขึ้นมา ให้เราเลือกหยิบ Alert แต่ละอันมาพิจารณาว่าเป็น “ภัยจริงๆ (True Positive, TP)” หรือ “ภัยปลอมๆ (เกิดจาก Detection Rules ไม่ดี คิด/ตีความผิดไปเอง)(False Positive, FP)” ซึ่งไม่จำเป็นต้อง Escalate หรือสืบสวนต่อแต่อย่างใด

ข้อดีอีกข้อที่สำคัญของการสอบ Part นี้ คือ ไม่ต้องมีการ setup โปรแกรมอะไรเยอะแยะ เหมือนบางการสอบที่ติดข้อจำกัดว่าเครื่องของเราต้องมีโปรแกรมนี้ ต้องทำนู่นทำนี่ได้ (ซึ่งต้องยอมรับความเป็นจริงว่า เครื่องคอมพิวเตอร์ของผู้เรียนบางคนไม่พร้อมสำหรับการสอบขนาดนั้น) ซึ่งในจุดนี้ THM ทำได้ดี เพราะแค่เปิด Web Browser ได้ก็ทำข้อสอบได้ทุกหัวข้อแล้ว (ไม่ต้อง VPN อะไรวุ่นวาย ก็สะดวกและง่ายไปอีกแบบครับ)

สำหรับข้อเสีย …ในการสอบจะพบว่า Alerts หลายๆ อันมีเนื้อหาที่ซ้ำๆ (จนถึงบางจุดค่อนไปทางเริ่มเซ็ง ที่ต้องเขียน Report แบบเดิมๆ หรือแม้กระทั่ง Copy-Paste เอาก็ได้, เพราะมันเล่นท่าเดิมตลอด) ซึ่งในบางเวลาก็รู้สึกว่า …

ข้อสอบ Part 2 นี้สนุกก็จริง แต่ยังไม่สุด เหมือน Unfinished Products ครับ (ผมมองว่า THM มาถูกทางแล้ว แต่รีบเอาออกมาขายไปหน่อย)

ส่วนถ้ามองอีกแง่ การที่เขาใช้ Alerts ซ้ำๆ ในปริมาณที่น่าเบื่อขนาดนี้ เขาอาจจะจงใจทำแบบนี้เพื่อให้ TP มันชัดเจนและหาง่ายขึ้นก็เป็นได้ (ผมเดา/คิดเอาเองล้วนๆ ครับ 5555)

การเตรียมตัว

THM แนะนำให้ Subscribe service เขาและ complete SOC Lv. 1 Learning Path ของเขาก่อนจะไปสอบ ซึ่งผมได้ไปทำมาบ้างแล้วแต่ด้วยข้อจำกัดทางเวลาทำให้ทำ Learning Path นี้ไม่หมด ซึ่งพอได้ไปสอบดู ก็อย่างที่บอกไปข้างต้น ข้อสอบมันตรงไปตรงมามาก (จนบางทีก็มากไป ฮ่าๆ) ทำให้เอาตรงๆ ก็ไม่ได้ต้องใช้ความรู้ของทั้ง SOC Lv. 1 Learning Path อะไรขนาดนั้น ส่วนตัวแนะนำเหมือนที่หลายๆ คนได้แนะนำกันไปแล้ว ก็คือ ไปหัดใช้ Splunk กับ Threat Intel พวก VirusTotal, Talos ให้คุ้นมือซะ เท่านั้นเองครับ

สรุป

SAL1 เป็นข้อสอบที่ดีที่ทำให้ได้สัมผัสรสชาติของ SOC Analyst ในระดับนึง, ภาพรวมสนุก แต่ถ้าจะแนะนำน้องๆ นศ. ว่าควรจะสอบตอนนี้หรือยัง โดยเฉพาะถ้าจะหยอดกระปุกไปสอบ ก็ยังแนะนำให้ไปสอบ CompTIA Sec+ (แบบซื่อสัตย์) ให้ได้ความรู้พื้นฐานระดับนึงก่อนอยู่ดี, SAL1 เปิดมาสวยแล้ว แต่ยังไม่ได้รับการขัดเกลา (Unpolished), เรามาดูต่อไปอีกสักหน่อยครับว่าอนาคตจะเป็นอย่างไร

สำหรับวันนี้จบการรีวิว แต่เพียงเท่านี้ Happy Learning ครับ :)

SAL1 (Security Analyst Level 1) — Cert. ใหม่สาย Blue Team จาก THM was originally published in ST Security Journal on Medium, where people are continuing the conversation by highlighting and responding to this story.

หากจะเปรียบเทียบให้เห็นภาพ ก็คงได้ประมาณว่า …

ในการเรียนรู้เรื่องอะไรสักหนึ่งเรื่อง เปรียบเสมือนเราได้จิ๊กซอว์มาหนึ่งชิ้น หากไม่นำจิ๊กซอว์เหล่านั้นมาต่อกันให้เป็นภาพใหญ่ ก็คงไม่อาจทำความเข้าใจได้นั่นเองครับ

ในบทความนี้เราจะหยิบยกคอนเซ็ปต์สำคัญๆในด้าน Security มาคุยกัน พร้อมร้อยเรียงมันให้เป็นเรื่องเดียวกันผ่านการเดินทางที่ผมตั้งชื่อสนุกๆว่า … “Final Secuity Fantasy”

เรือแห่งความรุ่งโรจน์

จุดเริ่มต้นของการเดินทางของเราเริ่มจาก มีเรือลำหนึ่งที่ออกเดินทางไปยังดินแดนไกลโพ้น โดยมีเป้าหมายในการแสวงหาความรุ่งโรจน์ และความมั่งคั่ง

เรือลำนี้อาจมีพันธกิจ และวิสัยทัศน์หลายอย่าง แต่ที่แน่ๆ คือ เจ้าของเรือ และลูกเรือทุกคน ต่างต้องการเดินทางไปยังปลายทางแห่งความสำเร็จ

เรือลำนี้ สื่อถึงอะไร?

… เรือลำนี้ ก็เปรียบเสมือนองค์กรของเรานั่นเองครับ ที่ซึ่งแต่ละองค์กรก็อาจมีพันธกิจ (Mission) และมีวิสัยทัศน์ (Vision) ที่แตกต่างกันออกไป

แต่ละองค์กรเองก็ต้องการประสบความสำเร็จในรูปแบบของตัวเอง ไม่ว่าจะเป็นรูปแบบของเงินทอง ชื่อเสียง ความภาคภูมิใจ การพัฒนาประเทศและสังคม หรืออะไรก็ตาม

อย่างไรก็ดี…ทุกการเดินทางและการผจญภัยย่อมมีภัยและขวากหนามแฝงอยู่… ซึ่งในความเป็นจริงคงไม่มีใครอยากถูกขัดขวาง หรือถูกทำร้ายถูกไหมครับ …

“เราต่างต้องการเดินทางไปให้ถึงจุดหมายอย่างปลอดภัย”

งั้นเรามาคุยเรื่องจุดหมายนี้กันครับ

เป้าหมายของความปลอดภัย (CIA)

ในการเดินทางไปให้ถึงจุดหมายโดย”ปลอดภัย”นั้น ก่อนอื่นเราก็ต้องนิยามเสียก่อนว่า “ปลอดภัย” ที่เราต้องการนั้นหมายถึงอะไร?

ซึ่งในมุมมองของ Cybersecurity นั้น เป้าหมาย (Goals) ในด้านความปลอดภัยนั้นมีอยู่ 3 ข้อหลักๆ ได้แก่

• Confidentiality ©: ที่กล่าวถึงการรักษาความลับของข้อมูลให้ปลอดภัยจากการเข้าถึงโดยผู้ไม่ประสงค์ดี
• Integrity (I): ว่าด้วยการป้องกันการแก้ไข ดัดแปลงข้อมูล และการทำงานของระบบที่ไม่ได้รับอนุญาต ซึ่งอาจส่งผลให้คนร้ายสามารถทำในสิ่งที่ตนเองต้องการได้ เช่น การแก้ไขข้อมูล transaction ต่างๆ ของการทำธุรกรรมออนไลน์ และ
• Availability (A): กล่าวถึงการทำให้ระบบพร้อมใช้งานอยู่เสมอ ไม่ถูกโจมตีจนไม่สามารถให้บริการได้นั่นเอง

จากคีย์เวิร์ด 3 คำข้างต้น รวมกันจะได้เป็น CIA Model ซึ่งเป็นโมเดลสำคัญที่ใช้อธิบายถึงเป้าหมาย (Goals) ในด้าน Cybersecurity นั่นเอง

ภัยนั้นอยู่รอบตัว

เอาหล่ะ เรามีเรือ (องค์กร) แล้ว และเราก็มีเป้าหมาย (CIA) ที่เราต้องการแล้ว … ถึงเวลาที่เราจะมาพูดถึงอุปสรรค์ที่คอยขวางกั้นไม่ให้เราไปสู่จุดหมายกันครับ

การเดินทางนั้นเต็มไปด้วยอันตราย ในระหว่างเดินทางเราจะพบกับปัญหา และภัยต่างๆอยู่มากมาย ทั้งที่เราคาดการณ์ได้ และไม่สามารถคาดการณ์ล่วงหน้าได้

ทั้งนี้การโจมตีบางประเภทอาจเป็นการโจมตีง่ายๆ ที่ผู้โจมตีอาจไม่จำเป็นต้องมีทักษะมากมาย แต่อาจใช้เครื่องมือ สคริปต์คำสั่งที่มีอยู่บนอินเทอร์เน็ตในการโจมตี (เรามักเรียกผู้ร้ายกลุ่มนี้ว่า “Script Kiddies”)

ในขณะเดียวกันผู้ร้ายอีกกลุ่มอาจอาศัยการโจมตีที่ซับซ้อนและยากที่จะตรวจจับ โดยผู้โจมตีอาจเป็นกลุ่มอาชญากรที่มีความสามารถและความอดทนสูง สามารถแฝงตัวเข้ามาอยู่ภายในองค์กรหรือระบบสารสนเทศขององค์กรเราเป็นระยะเวลานาน (หรืออาจใช้เวลาเป็นปี) ซึ่งในด้าน Cybersecurity เรามักนิยามกลุ่มผู้โจมตีที่มีความสามารถสูงเหล่านี้ว่า Advanced Persistent Threats หรือที่เรียกสั้นๆว่ากลุ่ม APTs นั่นเองครับ

นอกจากนี้ ไอ้ภัยที่ว่ามีเยอะแล้ว จริงๆยังมีต่อ !!! … นอกเหนือจากภัยที่เราพูดไปแล้ว ก็ไม่มีใครบอกว่า … การโจมตีนั้นจะต้องมาจากภายนอก (External Threats) แต่เพียงอย่างเดียว การโจมตีนั้นอาจจะมาจากคนภายในองค์กรของเรา (Insider Threats) ก็ได้เช่นกัน

กล่าวก็คือ “คนใน ก็ร้ายได้” นั่นเองครับ

ไม่ทันได้เตรียมใจ

ในความเป็นจริงภัยคุกคามทุกอย่าง ไม่ได้มีความอันตรายหรือระดับความรุนแรง (Severity Levels) ที่เท่ากัน ภัยบางชนิดสามารถทำให้ข้อมูลส่วนบุคคลและข้อมูลที่เป็นความลับรั่วไหลได้ ในขณะที่ภัยบางชนิดอาจทำให้ระบบหยุดการทำงานโดยสิ้นเชิง ซึ่งจะเห็นได้ว่าแต่ละภัยต่างมีระดับความอันตรายที่แตกต่างกัน

อย่างไรก็ดี ภัยที่มักก่อความเสียหายรุนแรงสูงสุดให้แก่องค์กร
คือ ภัยที่เราไม่เคยรู้มาก่อน !!!

ลองจินตนาการว่าจะเกิดอะไรขึ้นหาก … ผู้ร้ายรู้ว่าองค์กรของเราใช้ซอฟต์แวร์ A ในการทำงานภายในองค์กร และอาศัยช่องโหว่ของซอฟต์แวร์นี้ที่ไม่เคยมีใครรู้ หรือไม่เคยถูกค้นพบ (โดยคนดี) มาก่อน (หรือที่เรามักเรียกว่า “Zero Day Vulnerability”) มาใช้ในการโจมตีองค์กรของเรา

… สิ่งที่จะเกิดขึ้นแน่นอน คือ ความเสียหายมหาศาลที่อาจเกิดขึ้นต่อองค์กร สาเหตุเป็นเพราะเราไม่รู้ถึงตัวตนของภัยคุกคามนี้มาก่อนเลย ทำให้เป็นอะไรที่ยากมากหรือแทบจะเป็นไปไม่ได้เลยที่เราจะป้องกันตัวเองจากอะไรก็ตามที่เราไม่แม้แต่จะรู้ถึงตัวตนของมัน

ทุกอย่างคือธุรกิจ

จากตัวอย่างของ Zero Day Vulnerability ที่พูดถึงไปเมื่อสักครู่ทำให้เราพอจะเข้าใจได้ว่า …

ข้อมูลช่องโหว่ Zero Day เหล่านี้ เป็นข้อมูลที่ล้ำค่ามากๆสำหรับเหล่าคนร้าย

เพราะว่าข้อมูลเหล่านี้บอกถึงจุดอ่อนขององค์กร ที่องค์กรต่างๆไม่เคยรู้มาก่อน มูลค่าความเสียหายสูง และหากโดนโจมตีเข้าไปสักครั้ง ต้องเจ็บหนักแน่นอน

ของล้ำค่า แปลว่าขายได้ !

ใช่แล้วครับ ทุกอย่างคือธุรกิจ และหนึ่งในธุรกิจสีดำในตลาดมืด ก็คือการขายข้อมูล Zero Day Vulnerability นี่หล่ะครับ

จากภาพจะเห็นว่ามีการขายข้อมูล Zero Day อยู่ทั่วไปในตลาดมืด หรือแม้กระทั่งมีการทำการเจาะระบบและขาย Access เข้าระบบ (Access-as-a-Service) ให้แก่ผู้ที่ต้องการ ซึ่งช่องโหว่แต่ละประเภท ก็มีมูลค่าและราคาไม่เท่ากัน โดยอาจเริ่มตั้งแต่หลายพันไปจนถึงหลักล้าน USD เลยทีเดียว

ทั้งนี้แน่นอนว่ามีคนขาย ก็ต้องมีคนซื้อ เราลองมาดู budget ในฝั่งคนซื้อกันบ้าง ว่าคนร้ายพวกนี้มีทุนในระดับไหน ??

จากรูปนี้จะเห็นได้ว่า … คนร้ายพวกนี้มีทุนทรัพย์ที่เยอะทีเดียว … แล้วพวกเค้าไปเอาเงินมาจากไหนกันนะ ??? คำตอบก็อยู่ในสิ่งที่เราได้พูดกันไปก่อนหน้านี้แล้วนั่นเอง … “ทุกอย่างเป็นธุรกิจ” ครับ

ในความเป็นจริง …

อาชญากรหรือเจ้าพวกคนร้ายเหล่านี้ ไม่ได้ทำงานคนเดียว

…คนร้ายสามารถทำงานเป็นกลุ่ม และทำงานเสมือนเป็นบริษัท มีหลายแผนกทำงานร่วมกัน เพียงแต่ในกรณีนี้เป็นบริษัทชั่วร้ายที่เข็นผลิตภัณฑ์และบริการที่ใช้ในการทำร้ายคนบริสุทธิ์ออกมาขายนั่นเองครับ

ไปทางไหนดี??

เอาหล่ะมาถึงจุดนี้ การเดินทางของเรามีเป้าหมายชัดเจนแล้ว เรารู้จักศัตรูของเรา (ไม่มากก็น้อย) ถึงเวลาที่เราจะต้องรู้จักตัวเองมากขึ้น เพราะหากเราอยากชนะในเรื่องนี้ เราต้อง …

”รู้เขา รู้เรา รบร้อยครั้ง ชนะร้อยครั้ง”

ซึ่งอย่างที่คุยกันไปก่อนหน้านี้ ภัยคุกคามมันมีอยู่ทุกที่แหละครับ ไม่ว่าเราและองค์กรเราจะทำอะไรก็ตาม ภัยมันก็จะตามมาอยู่ไม่ห่าง … นั่นจึงก่อให้เกิดคำถามที่ว่า “แล้วเราจะทำอย่างไร จะเดินไปทางไหน ภัยถึงจะน้อยที่สุด หรืออยู่ในระดับที่เราสามารถรับได้ ??” เพื่อที่จะตอบคำถามนี้ เราจะมาคุยเรื่องความเสี่ยงกันครับ

ในการดำเนินธุรกิจเรามักจะต้องเผชิญกับความเสี่ยงอยู่เสมอ ไม่ว่าจะเป็นเรื่องความเสี่ยงในการลงทุนแล้วไม่ได้ผลตอบแทน คู่แข่งจะมาแย่งส่วนแบ่งการตลาด หรือในด้าน Cybersecurity เราอาจจะมองถึงความเสี่ยงในการถูกโจมตีจนทำให้ข้อมูลรั่วไหล หรือระบบการให้บริการหยุดชะงักและเกิด Downtime เป็นต้น

ซึ่งในเรื่องนี้มักมีคำสองคำที่ข้องเกี่ยวกัน ที่เราควรรู้ไว้ นั่นก็คือ Business Impact Analysis (BIA) และการประเมินความเสี่ยง (Risk Assessment) นั่นเองครับ

• BIA: การทำ BIA โดยสรุปคร่าวๆนั้น เป็นการวิเคราะห์องค์ประกอบทางธุรกิจขององค์กร โดยเราจะต้องทำการจัดลำดับความสำคัญว่า Business Functions ไหนสำคัญต่อองค์กรมากที่สุด ไปจนน้อยที่สุด เพราะในองค์กรแห่งหนึ่ง สามารถมีหลายฝ่าย มีหลาย Business Functions และแน่นอนว่า ไม่ใช่ทุก Functions จะมีความสำคัญเท่ากันหมด
• บาง Business Functions นั้นสำคัญมากถึงขนาดที่ว่าหากเสียไป หรือหยุดชะงัก องค์กรจะไม่สามารถดำเนินธุรกิจได้เลย ในขณะที่บาง Functions ที่มีความสำคัญน้อย หากเสียไปชั่วขณะ อาจส่งผลให้องค์กรทำงานยากลำบากขึ้น แต่ไม่ถึงกับทำอะไรไม่ได้เลย
• การที่องค์กรรู้ว่าสิ่งใดสำคัญ และสามารถจัดลำดับความสำคัญ (Prioritize) ได้ จะช่วยให้องค์กรทุ่มทรัพยากรไปใช้ในการปกป้องสิ่งที่สำคัญจริงๆมากกว่า สิ่งที่ไม่สำคัญ
• Risk Assessment: ภายหลังจากการทำ BIA เราจะทำการระบุภัยคุกคามที่อาจส่งผลต่อ Business Functions ของเรา ซึ่งในขั้นตอนนี้รวมถึงการวิเคราะห์โอกาส (Likelihood) และความเสียหาย (Damage/Impact) ที่อาจเกิดขึ้น หากความเสี่ยงนี้เกิดขึ้นจริง (เช่น โดนโจมตีเข้าจริงๆ)

ถ้าเราจะอาศัยตัวอย่างเรื่องการล่องเรือเดินทางของเราและองค์กร การทำ BIA และ Risk Assessment จะเปรียบเสมือนหางเสือของเรือเรา เพื่อบอกว่าเราควรจะไปทางไหน ดำเนินการอย่างไรถึงจะปลอดภัย จัดลำดับความสำคัญของสิ่งที่เราต้องการปกป้อง ให้อยู่ในความเสี่ยงที่องค์กรรับได้นั่นเองครับ

เราต้องการแผนสำรอง

เอาหล่ะ ถึงแม้เราจะเลือกเส้นทางในการดำเนินธุรกิจได้เป็นอย่างดีแล้ว แต่นั่นไม่ได้หมายความว่าภัยคุกคามเหล่านั้นจะไม่เกิดขึ้นกับเราเลย … ซึ่งถ้ารู้ได้อย่างนี้แล้ว เราและองค์กรของเราก็ควรถามตัวเองว่า …

“ถ้าวันนี้เราโดนโจมตี หรือภัยคุกคามที่เรากลัวเกิดขึ้นจริง เรารอดไหม?”

ถ้าองค์กรสามารถตอบได้อย่างเต็มปากว่า “รอด” นั่นแปลว่าทุกคนแฮปปี้ องค์กรสามารถดำเนินธุรกิจต่อไปได้ แม้จะถูกโจมตี (ซึ่งถูกโจมตีแน่ คำถามแค่ว่า เมื่อไหร่?) อย่างไรก็ดีถ้าหากองค์กรไม่สามารถตอบได้อย่างเต็มปากว่า “รอด” หรือไม่ … นั่นอาจจะถึงเวลาที่เราต้องมีแผนสำรองแล้วครับ หากเกิดเหตุร้าย (Incident) เราจะจัดการมันอย่างไร ซึ่งนี่จึงเป็นเรื่องที่นำไปสู่ อีกคำหนึ่งที่น่าสนใจในเรื่องนี้ นั่นก็คือ “Incident Response” หรือ “การตอบสนองต่อเหตุภัยคุกคาม” นั่นเองครับ

ในการตอบสนองต่อภัยคุกคาม (Incident Response) นั้นเราต้องมีแผน หรือที่เรียกว่า “Incident Response Plan (IRP)” แผนนี้จะช่วยบอกเราเวลาเกิดเหตุโจมตี หรือเหตุไม่คาดฝันว่า เราต้องติดต่อใคร ขอความช่วยเหลือจากใคร ยับยังความเสียหายได้อย่างไร ตัวอย่างเช่น หากพรุ่งนี้ Production System ขององค์กรถูกโจมตีด้วย Ransomeware เราจะกู้คืนระบบได้อย่างไร ไปเอา Backup มาจากไหน (และที่สำคัญเรามี Backup มั้ย?)

การเดินทางของฉันและเธอคือการเรียนรู้

การเดินทางขององค์กรไปสู่เป้าหมายแห่งความปลอดภัยนั้นบ่อยครั้งที่เราอาจพบความผิดพลาด ไม่ว่าจะเป็นในรูปแบบของการเขียนโค้ดที่ไม่ปลอดภัย การตั้งค่าระบบที่ไม่ปลอดภัย (Security Misconfoguration) หรือแม้กระทั่งการไม่ทำตาม Security Best Practice ซึ่งสิ่งเหล่านั้นล้วนเกิดขึ้นได้เสมอ

เพราะฉะนั้นหากความผิดพลาดเกิดขึ้น สิ่งที่เราควรหาคำตอบ ไม่ใช่ “ใครผิด” แต่เป็น …

“เราเรียนรู้อะไรจากเหตุการณ์นี้”

เพราะสิ่งที่เราได้เรียนรู้จากเหตุการณ์ร้ายๆ (Lesson Learned) เหล่านี้ จะเป็นภูมิคุ้มกันชั้นดี เพื่อไม่ให้องค์กรตกเป็นเหยื่อของภัยคุกคามเดิมซ้ำๆ พร้อมกับทำให้องค์กรมีทักษะในการจัดการกับปัญหาที่ดีและมีประสิทธิภาพมากขึ้นในอนาคต

ทุกอย่างเริ่มจากตัวเรา

มาถึงจุดนี้เรามีเรือ (ธุรกิจ) ที่ดี มีเป้าหมายชัดเจน (CIA) พร้อมทั้งรู้จักระแวดระวังภัยรอบตัว และรู้ทิศทางที่ตนเองควรจะเดินทางไป (BIA & Risk Assessment) สิ่งสุดท้ายที่จะทำให้การเดินทางนี้เป็นการเดินทางที่สมบูรณ์แบบ ก็คือ “ผู้คน (People)”

ไม่ว่าเราจะมีมาตรการป้องกัน หรือนโยบายที่ดีแค่ไหน … ถ้าคนในองค์กรยังคงพาคนร้ายขึ้นเรือ หรือหลงเปิดประตูให้โจรขึ้นบ้าน (ไม่ว่าจะตั้งใจ หรือโดนหลอก) องค์กรเราก็คงจบเห่อยู่ดี

ฉะนั้นแล้วการอบรมส่งเสริมความตระหนักรู้ถึงภัยคุกคาม (Security Awareness) และวิธีป้องกันตนเองจากภัยเหล่านี้จึงเป็นหนึ่งในกลไกที่สำคัญที่สุดที่จะนำองค์กรไปสู่จุดหมาย ซึ่งความรู้เหล่านี้จะเป็นเกราะป้องกันตนเองที่มีคุณค่าสำหรับทั้งกับตัวบุคคลากรขององค์กร และตัวองค์กรเอง

เพราะ …

เราจะหวังให้ลูกเรือปกป้องเรือได้อย่างไร หากเขาไม่รู้แม้แต่วิธีการที่จะปกป้องตนเอง (ทุกๆอย่างๆเริ่มจากหน่วยย่อยเล็กๆ ที่เรียกว่า “ตัวเรา” นั่นเองครับ)

บทสรุปส่งท้าย

จบไปแล้วครับกับบทความว่าด้วยคอนเซ็ปต์ในด้าน Cybersecurity ที่ผมพยายามร้อยเรียงคำศัพท์ และคีย์เวิร์ดต่างๆ ในด้าน Cybersecurity ผูกเข้าเป็นเรื่องเดียวกัน ผ่านการยกตัวอย่างเชิงเปรียบเทียบ (Analogy) ของการเดินทางที่มีชื่อว่า “Final Security Fantasy”

หวังว่าบทความนี้จะเป็นประโยชน์ช่วยเชื่อมโยงปะติดปะต่อความคิด ความเข้าใจของผู้อ่าน เข้ากับคอนเซ็ปต์ต่างๆที่อาจจะได้เรียนรู้ผ่านมาแล้วเข้าด้วยกัน อีกทั้งหวังเป็นอย่างยิ่งว่าการถ่ายทอดเรื่องราวในรูปแบบนี้จะทำให้ผู้อ่าน/ผู้เรียน สนุก เห็นภาพตาม และรู้สึกว่า Cybersecurity นั้นไม่ได้ยากอย่างที่คิด

อย่างไรก็ดีบทความนี้อาจไม่ได้ครอบคลุมรายละเอียดเชิงลึกของแต่ละหัวข้อ พร้อมทั้งยังคงละเว้นอีกหลายหัวข้อที่ไม่ได้ยกขึ้นมาพูดคุย หากผิดพลาดประการใดต้องขออภัยมา ณ ที่นี้ด้วยครับ อย่างไรก็ดีในบทความถัดๆไป จะพยายามหยิบแต่ละหัวข้อที่พูดถึงในบทความนี้ และหัวข้ออื่นๆที่น่าสนใจมาเล่าสู่กันฟังต่อไปครับ

สุดท้ายนี้ขอบคุณผู้อ่านทุกท่านที่สละเวลาอ่านมาจนจบ หวังว่าบทความนี้จะเป็นประโยชน์ต่อทุกท่านไม่มากก็น้อยครับ และหากท่านใดชื่นชอบบทความนี้ของผมสามารถช่วยกันแชร์และแบ่งปันบทความนี้ในช่องทางต่างๆ เพื่อช่วยกันสร้างสังคมแห่งการเรียนรู้ให้แก่ตนเอง สังคม เพื่อร่วมงาน และคนที่เรารักกันนะครับ

… สำหรับวันนี้ ขอลาไปก่อน สวัสดี และ Happy Learning ครับ 🙂

หากผู้อ่านสนใจติดต่อเพื่อเป็นวิทยากรรับเชิญ หรือจัด Workshop สามารถติดต่อหรือดูข้อมูลเพิ่มเติมได้ที่:

• Facebook: CyberSkills — FB Page
• Email: info.cyberskills@gmail.com
• Twitter: @teerakanok
• Linked-In: https://www.linkedin.com/in/songpon-teerakanok
• CV: songpon.teerakanok.me

Final (Security) Fantasy: บทสรุปจักรวาล Security ใน 5 นาที was originally published in ST Security Journal on Medium, where people are continuing the conversation by highlighting and responding to this story.