การเติบโตของเทคโนโลยีที่ทำให้ระบบสารสนเทศและโครงสร้างพื้นฐานต่าง ๆ เชื่อมต่อกันมากขึ้น ซึ่งสร้างโอกาสให้กับอาชญากรไซเบอร์ที่จะโจมตีได้ในรูปแบบต่าง ๆ เช่น การโจมตีแบบRansomware, การโจมตีแบบ Phishing, และการโจมตีแบบ DDoS เป็นต้น โดยการโจมตีทางไซเบอร์สามารถส่งผลกระทบต่อทั้งภาครัฐ ภาคเอกชน และประชาชนทั่วไป ที่จะสามารถก่อให้เกิดความเสียหายต่อระบบทางเศรษฐกิจ สังคม หรือความมั่นคงของประเทศได้
อย่างไรก็ตามหลาย ๆ ภาคส่วนของแต่ละประเทศได้ให้ความสำคัญในการกำกับดูแล ตลอดจนออกนโยบายแนวทางในการรับมือกับการโจมตีทางไซเบอร์ เช่นเดียวกับทางสหภาพโทรคมนาคมระหว่างประเทศ (International Telecommunication Union: ITU) องค์กรระหว่างประเทศที่มีหน้าที่ส่งเสริมการพัฒนาเทคโนโลยีโทรคมนาคมและสารสนเทศ ITU ตระหนักถึงความสำคัญของความมั่นคงปลอดภัยไซเบอร์ จึงมีบทบาทในการส่งเสริมความมั่นคงปลอดภัยไซเบอร์ให้กับประเทศต่าง ๆ ทั่วโลก ผ่านการจัดประเมิน Global Cybersecurity Index หรือ GCI ที่จะช่วยให้ประเทศต่าง ๆ สามารถพัฒนากลยุทธ์และนโยบายด้านความมั่นคงปลอดภัยไซเบอร์ได้อย่างมีประสิทธิภาพ
โดยในบทความนี้ ทางทีมที่ปรึกษาจะขอพาทุกท่านมาทำความรู้จักว่าดัชนีความมั่นคงปลอดภัยไซเบอร์ หรือ GCI นี้ว่าคืออะไร รวมทั้งร่วมศึกษาการจัดอันดับของประเทศไทย และเรื่องไหนที่ประเทศไทยควรเร่งพัฒนา
Global Cybersecurity Index หรือ GCI คืออะไร?
Global Cybersecurity Index หรือ GCI คือ ดัชนีความมั่นคงปลอดภัยไซเบอร์ เป็นการประเมินศักยภาพด้านความมั่นคงปลอดภัยทางไซเบอร์ของประเทศสมาชิกสหภาพโทรคมนาคมระหว่างประเทศ (ITU โดยจะทำการพิจารณาจากปัจจัยต่าง ๆ ได้แก่ ด้านกฎหมาย ด้านมาตราการเทคนิค ด้านหน่วยงาน/นโยบาย ด้านการพัฒนาศักยภาพ และด้านความร่วมมือ ซึ่งเริ่มต้นการประเมินครั้งแรกในปี พ.ศ. 2557 โดยจัดทำรายงานผลการประเมินในรูปแบบของผลการจัดอันดับ (Ranking) ของแต่ละประเทศ เพื่อเปรียบเทียบศักยภาพและความพร้อมในประเทศสมาชิกสหภาพโทรคมนาคมระหว่างประเทศ
การประเมิน GCI จะสร้างประโยชน์อย่างไร?
การประเมินดัชนีความมั่นคงปลอดภัยไซเบอร์ (GCI) เป็นเครื่องมือที่มีประโยชน์สำหรับทุกภาคส่วน โดยสามารถสร้างประโยชน์ได้หลายประการ ทั้งในด้านการพัฒนาประเทศ การพัฒนาภาคธุรกิจ และการพัฒนาบุคคล โดยเมื่อคะแนน GCI เพิ่มขึ้นจะสามารถวิเคราะห์ได้ว่าระดับ Cybersecurity ของประเทศมีการพัฒนาขึ้น ส่งผลให้อัตราการเกิดภัยคุกคามทางไซเบอร์ลดลง ความเชื่อมั่นในระบบ Cybersecurity ของประเทศเพิ่มขึ้น ความสามารถในการตอบสนองต่อภัยคุกคามของประเทศเพิ่มขึ้น ตลอดจนความก้าวหน้าด้านเศรษฐกิจของประเทศเพิ่มขึ้น เป็นต้น อย่างไรก็ตาม การประเมิน GCI ยังเป็นแนวทางสำคัญในการกำหนดยุทธศาสตร์ที่เกี่ยวข้องกับความมั่นคงปลอดภัยไซเบอร์ของประเทศ ซึ่งมีผลต่อทั้งด้านเศรษฐกิจ ความร่วมมือระดับชาติ และพัฒนาทักษะบุคลากรในอนาคต
รูปแบบการประเมิน GCI ประกอบไปด้วยปัจจัยใดบ้าง?
ดัชนีด้านความมั่นคงปลอดภัยไซเบอร์ จะมีรูปแบบการประเมินเป็นกรอบคำถามตามสหภาพโทรคมนาคมระหว่างประเทศ (ITU) จะประเมินโดยพิจารณาจากปัจจัยหลัก 5 ด้าน ได้แก่
ด้านกฎหมาย (Legal Measure) : เป็นมาตรการการประเมินความครอบคลุมและประสิทธิภาพของกฎหมายและกฎระเบียบด้านความมั่นคงปลอดภัยทางไซเบอร์ของประเทศ โดยพิจารณาจากหน่วยงานและกรอบกฎหมายที่มีอยู่ เช่น การมีกฎหมายด้านความมั่นคงปลอดภัยทางไซเบอร์ที่ครอบคลุม เป็นต้น
ด้านมาตรการทางเทคนิค (Technical Measure) : เป็นการประเมินความพร้อมด้านโครงสร้างพื้นฐานและเทคโนโลยีด้านความมั่นคงปลอดภัยทางไซเบอร์ของประเทศ โดยพิจารณาจากหน่วยงานและกรอบทางเทคโนโลยีที่มีอยู่ เช่น การมีเทคโนโลยีด้านความมั่นคงปลอดภัยทางไซเบอร์ที่ทันสมัย เป็นต้น
ด้านหน่วยงาน/นโยบาย (Organizational Measure) : เป็นการประเมินความพร้อมของหน่วยงานและนโยบายด้านความมั่นคงปลอดภัยทางไซเบอร์ของประเทศ โดยพิจารณาจากหน่วยงานประสานงานนโยบายและกลยุทธ์การพัฒนาความมั่นคงปลอดภัยไซเบอร์ระดับชาติที่มีอยู่ เช่น การมีหน่วยงานรับผิดชอบด้านความมั่นคงปลอดภัยทางไซเบอร์ที่มีประสิทธิภาพ มีนโยบายและแผนงานด้านความมั่นคงปลอดภัยทางไซเบอร์ที่ชัดเจน เป็นต้น
ด้านการพัฒนาศักยภาพ (Capacity Development Measure) : เป็นการประเมินความพร้อมของบุคลากรด้านความมั่นคงปลอดภัยทางไซเบอร์ของประเทศ โดยพิจารณาจากการวิจัยและพัฒนา รวมถึงโปรแกรมการศึกษาและการฝึกอบรม และผู้เชี่ยวชาญที่ผ่านการรับรองที่มีอยู่ เช่น การมีระบบการศึกษาและการฝึกอบรมด้านความมั่นคงปลอดภัยทางไซเบอร์ที่มีคุณภาพ การมีบุคลากรด้านความมั่นคงปลอดภัยทางไซเบอร์ที่มีทักษะและความรู้ที่เพียงพอ เป็นต้น
ด้านความร่วมมือ (Cooperative Measure) : เป็นการประเมินความร่วมมือระหว่างประเทศด้านความมั่นคงปลอดภัยทางไซเบอร์ของประเทศ โดยพิจารณาจากความร่วมมือต่างๆ เช่น การมีความร่วมมือระหว่างประเทศด้านความมั่นคงปลอดภัยทางไซเบอร์ที่ครอบคลุม มีกลไกในการแลกเปลี่ยนข้อมูลและความร่วมมือระหว่างประเทศด้านความมั่นคงปลอดภัยทางไซเบอร์ เป็นต้น
โดยรูปแบบกรอบคำถามที่ใช้วัดความพร้อมและประสิทธิภาพในการรับมือภัยคุกคามด้านความมั่นคงปลอดภัยไซเบอร์ของประเทศตามดัชนีด้านความมั่นคงปลอดภัยไซเบอร์ของสหภาพโทรคมนาคมระหว่างประเทศ (ITU) จะถูกเลือก โดยอ้างอิงจากปัจจัยหลักทั้ง 5 ด้านคำถามที่ใช้ในการคำนวณ GCI จะมีตัวอย่างคำถามดังนี้
ประเทศของคุณมีกฎระเบียบที่ข้องเกี่ยวกับมาตรฐานความปลอดภัยทางไซเบอร์ที่นำไปใช้กับบุคลากรหรือไม่
รัฐบาลของคุณมีการใช้กรอบการดำเนินงานด้านความมั่นคงปลอดภัยไซเบอร์ที่มีการอ้างอิงมาตรฐานความปลอดภัยทางไซเบอร์ที่ได้รับการยอมรับในระดับประเทศหรือระดับสากลหรือไม่?
ในประเทศของคุณ มีกระบวนการประสานงานระหว่างหน่วยงานภาครัฐในเรื่องความปลอดภัยทางไซเบอร์หรือไม่
ประเทศไทยอยู่อันดับที่เท่าไรของการจัดอันดับของ Global Cybersecurity Index
จากผลการประเมินตามดัชนีความมั่นคงปลอดภัยไซเบอร์ (GCI) โดยสหภาพโทรคมนาคมระหว่างประเทศได้ทำออกมานั้น ประเทศไทยได้คะแนนอยู่ที่ 86.50 คะแนนจาก 100 คะแนนเต็ม ในปี พ.ศ. 2563อย่างไรก็ตามคะแนนของประเทศไทยมีแนวโน้มพัฒนาเพิ่มขึ้นทุกปี แต่อันดับของเรายังมีการผันผวนอยู่เสมอ เนื่องจากการแข่งขันที่สูงขึ้น และประเทศอื่น ๆ ก็พัฒนาขึ้นมากเช่นกัน ดังนั้น เพื่อการก้าวทันและเป็นผู้นำต่อประเทศอื่น ประเทศไทยก็ควรจัดลำดับความต้องการ การเร่งพัฒนาของแต่ละด้านการชี้วัด ด้วย 3 ปัจจัยหลัก ประกอบด้วย
ความคุ้มค่าของคะแนนที่ได้รับเมื่อดำเนินการแก้ไข ด้วยความที่แต่ละด้านการชี้วัดมีคะแนนเท่ากัน คือด้านละ 20 คะแนน แต่จำนวนคำถามนั้นไม่เท่ากัน เพราะฉะนั้น อัตราส่วนคะแนนต่อข้อคำถามของแต่ละด้านก็จะไม่เท่ากัน ในส่วนของด้านที่ควรเร่งพัฒนาที่สุดสำหรับความคุ้มค่าของคะแนนที่ได้รับเมื่อดำเนินการแก้ไข คือ ด้านความร่วมมือ (Cooperative Measures) ซึ่งสามารถทำได้คะแนนได้มากถึง 2.00 คะแนนต่อการตอบคำถามได้อย่างสมบูรณ์ 1 ข้อ
พื้นที่ว่างสำหรับการพัฒนา ผลการประเมินคะแนนดัชนี GCI ของประเทศไทยในแต่ละด้านการชี้วัดมีคะแนนที่ต่างกัน ทำให้เหลือพื้นที่สำหรับพัฒนาไม่เท่ากัน และด้านที่ควรเร่งพัฒนาที่สุดคือ ด้านมาตรการทางเทคนิค (Technical Measures) เนื่องจากมีพื้นที่ที่สามารถคาดหวังการทำคะแนนเพิ่มได้มากถึง 4.43 คะแนน
สถานภาพเมื่อเปรียบเทียบกับประเทศที่นำมาศึกษา เป็นการให้ความสำคัญกับปัจจัยภายนอก เพื่อสำรวจความสามารถในการแข่งขันของประเทศไทยกับประเทศที่นำมาศึกษา ซึ่งถูกคัดเลือกจากประเทศที่อยู่ในภูมิภาคเดียวกัน ลักษณะทางสังคมคล้ายกัน แต่ได้คะแนนสูงกว่า อันได้แก่ สิงคโปร์ มาเลเซีย เวียดนาม และไทยนำมาเปรียบเทียบกัน เมื่อนำมาวิเคราะห์แล้วพบว่า ประเทศไทยควรเร่งพัฒนาในด้านการพัฒนาศักยภาพ (Capacity Development) มากที่สุด เนื่องจากมีความแตกต่างด้านคะแนนสูงถึง 2.91 โดยเฉลี่ย
จากนั้น จึงนำผลลัพธ์ของการวิเคราะห์มาคำนวณด้วยวิธี Weighted Average ซึ่งก็คือวิธีการคำนวณโดยนำค่าเฉลี่ยของผลลัพธ์จากปัจจัยต่างๆ มาพิจารณา โดยแต่ละปัจจัยจะมีน้ำหนักที่ต่างกันตามระดับความสำคัญ ซึ่งจากการนำด้านการชี้วัด 5 ปัจจัยหลักมาทำการคำนวณ พบว่า สามารถจัดสรรทรัพยากรเพื่อพัฒนาแต่ละด้านตามอัตราส่วนความสำคัญรายด้านได้ ประกอบด้วย ด้านทางเทคนิค (Technical) 28.87% ตามมาด้วยด้านความร่วมมือ (Cooperative) 24.53% ด้านการพัฒนาศักยภาพ (Capacity Development) 22.07% ด้านหน่วยงาน/นโยบาย (Organization) 15.60% และด้านที่สามารถให้น้ำหนักความสำคัญได้น้อยที่สุดคือ ด้านกฎหมาย (Legal) 8.93%
หลังจากจัดลำดับความต้องการการเร่งพัฒนาของแต่ละด้านการชี้วัด แล้วนำมาวิเคราะห์ด้วย Pareto Analysis หรือการวิเคราะห์โดยใช้หลักการพาเรโตเพื่อระบุสาเหตุที่ส่งผลมากที่สุดต่อปัญหาหรือผลกระทบที่ต้องการแก้ไข เราพบว่าประเทศไทยควรแบ่งแผนการยกระดับคะแนน GCI ออกเป็น 2 ระยะ คือ
แผนระยะสั้นเพื่อพัฒนาอย่างเร่งด่วน เป็นการมุ่งพัฒนาในด้านการชี้วัดที่อยู่มีผลต่อคะแนนภาพรวมมากที่สุดตาม Pareto Principle ด้วยทรัพยากรที่ถูกจัดสรรมาให้พัฒนาความมั่นคงปลอดภัยไซเบอร์ของประเทศในระยะ 1–3 ปี ได้แก่ ด้านมาตรการทางเทคนิค (Technical) 17.32% ตามมาด้วย ด้านความร่วมมือ (Cooperative) 14.72% และ ด้านการพัฒนาศักยภาพ (Capacity Development) 13.24%
แผนระยะยาวเพื่อการพัฒนาอย่างต่อเนื่อง เป็นการพัฒนาทุกด้านการชี้วัดไปพร้อม ๆ กันด้วยทรัพยากรที่ถูกจัดสรรมาให้พัฒนาความมั่นคงปลอดภัยไซเบอร์ของประเทศในระยะ 3–5 ปีประกอบไปด้วย ด้านหน่วยงาน นโยบาย (Organization) 15.60% ถัดมาคือด้านมาตรการทางเทคนิค (Technical) 11.55% ตามมาด้วยด้านความร่วมมือ (Cooperative) 9.81% และด้านกฎหมาย (Legal) 8.93% สุดท้ายคือด้านการพัฒนาศักยภาพ (Capacity Development) 8.83%
อย่างไรก็ตาม การประเมินความมั่นคงปลอดภัยไซเบอร์ ก็ต้องอาศัย ความร่วมมือจาก ภาครัฐ ภาคธุรกิจ และประชาชน โดยเริ่มพัฒนาจากปัจจัยที่มีความสำคัญในการเร่งพัฒนามากที่สุด คือ ด้านมาตราการทางเทคนิค (Technical Measures) และด้านอื่น ๆ ตามมา เพื่อพัฒนาในการรับมือกับภัยคุกคามทางไซเบอร์ และเพื่อยกระดับภาพลักษณ์ของประเทศ
ดัชนีความมั่นคงปลอดภัยไซเบอร์หรือ GCI ถือเป็นเครื่องมือสำคัญที่ช่วยให้ประเทศไทยและประเทศอื่น ๆ สามารถประเมินความสามารถในการแข่งขันของตนเอง และนำไปสู่การปรับแผนนโยบายและกลยุทธ์เพื่อเพิ่มขีดความสามารถในการแข่งขันของประเทศ รวมถึงการประเมินความมั่นคงปลอดภัยไซเบอร์นี้จะช่วยชี้แนะว่าประเทศเรานั้นควรเร่งพัฒนาที่ด้านไหนเป็นพิเศษ นำมาซึ่งการเป็นประเทศชั้นนำด้านความมั่นคงปลอดภัยไซเบอร์ สู่การขับเคลื่อนเศรษฐกิจระดับระหว่างประเทศได้ในอนาคต
ที่มา:
https://www.itu.int/en/ITU-D/Cybersecurity/Documents/GCIv4/New_Reference_Model_GCIv4_V2_.pdf
https://www.itu.int/en/ITU-D/Cybersecurity/Documents/GCIv5/GCIv5_E.pdf
chrome-extension://efaidnbmnnnibpcajpcglclefindmkaj/https://www.itu.int/en/ITU-D/Cybersecurity/Documents/GCIv5/GCIv5_E.pdf