โครงสร้างพื้นฐานสหรัฐฯ ยกระดับมาตรการความมั่นคงไซเบอร์ รับมือภัยคุกคามยุคใหม่

รัฐบาลภายใต้การนำของประธานาธิบดี โจ ไบเดน ได้ประกาศปรับปรุงแผนแม่บทระดับชาติเพื่อปกป้องโครงสร้างพื้นฐานที่สำคัญที่สุดของสหรัฐอเมริกา โดยมุ่งเน้นการป้องกันการโจมตีจากแฮกเกอร์ ผู้ก่อการร้าย และภัยพิบัติทางธรรมชาติ ซึ่งถือเป็นการยกเครื่องคำสั่งเดิมจากปี 2013 เพื่อให้เท่าทันต่อสถานการณ์โลกที่เปลี่ยนแปลงไป

การปรับปรุงครั้งนี้ครอบคลุมถึงการประสานงานระหว่างหน่วยงานรัฐบาลกลาง รัฐท้องถิ่น และบริษัทเอกชน เพื่อเสริมสร้างความปลอดภัยให้กับบริการพื้นฐานที่จำเป็น เช่น โรงพยาบาล โรงไฟฟ้า ระบบประปา และสถานศึกษา ซึ่งเป็นหัวใจสำคัญในการขับเคลื่อนชีวิตประจำวันของประชาชน

ความจำเป็นในการยกระดับการป้องกัน

ในปัจจุบัน สหรัฐฯ กำลังเผชิญกับภัยคุกคามที่ซับซ้อนขึ้น โดยเฉพาะจาก State Actors หรือกลุ่มแฮกเกอร์ที่ได้รับการสนับสนุนจากรัฐบาลต่างชาติ ซึ่งมุ่งเป้าไปที่ระบบคอมพิวเตอร์และอุปกรณ์อุตสาหกรรมเพื่อสร้างความไร้เสถียรภาพในสังคม นอกจากนี้ยังมีกลุ่มหัวรุนแรงและผู้ก่อเหตุรายบุคคลที่พยายามก่อวินาศกรรม รวมถึงปัญหาการเปลี่ยนแปลงสภาพภูมิอากาศที่ทำให้ภัยธรรมชาติรุนแรงขึ้นจนส่งผลกระทบต่อบริการพื้นฐาน

Caitlin Durkovich ที่ปรึกษาด้านความมั่นคงแห่งมาตุภูมิ ระบุว่าสหรัฐฯ กำลังอยู่ในยุคของการแข่งขันเชิงยุทธศาสตร์ ซึ่งภัยคุกคามทางไซเบอร์จากต่างชาติถือเป็นความเสี่ยงที่ใหญ่ที่สุดในระยะอันใกล้นี้

3 เป้าหมายหลักของบันทึกความมั่นคงฉบับใหม่

บันทึกข้อความฉบับนี้ถูกออกแบบมาเพื่อบรรลุวัตถุประสงค์สำคัญ 3 ประการ ดังนี้:

• การกำหนดบทบาทของ CISA: ให้หน่วยงานความมั่นคงทางไซเบอร์และโครงสร้างพื้นฐาน (Cybersecurity and Infrastructure Security Agency หรือ CISA) เป็นหน่วยงานหลักในการนำการปกป้องโครงสร้างพื้นฐานจากภัยคุกคามทุกรูปแบบ
• การเสริมสร้างพันธมิตรภาคเอกชน: พัฒนาระบบการแบ่งปันข้อมูลระหว่างรัฐและเอกชนให้รวดเร็วและครอบคลุมยิ่งขึ้น เพื่อให้ภาคธุรกิจสามารถรับมือกับภัยคุกคามได้ทันท่วงที
• การสร้างมาตรฐานขั้นต่ำ: วางรากฐานสำหรับข้อกำหนดด้านความปลอดภัยทางไซเบอร์ขั้นพื้นฐานในกลุ่มอุตสาหกรรมที่ยังขาดมาตรฐานที่ชัดเจน

การเปลี่ยนผ่านจากความสมัครใจสู่ข้อบังคับ

รัฐบาลไบเดนเปลี่ยนแนวทางจากการขอความร่วมมือแบบสมัครใจ มาเป็นการใช้ กฎระเบียบข้อบังคับ เนื่องจากพบว่าวิธีเดิมไม่สามารถลดความเสี่ยงได้อย่างมีประสิทธิภาพ โดยได้เริ่มบังคับใช้กฎไซเบอร์ใหม่ในกลุ่มการบิน, ท่อส่งน้ำมัน, รถไฟ, การขนส่งทางเรือ และอุปกรณ์การแพทย์ ขณะที่กระทรวงสาธารณสุขกำลังเร่งกำหนดมาตรฐานสำหรับโรงพยาบาล

สำหรับหน่วยงานที่ดูแลความเสี่ยงรายสาขา หรือ Sector Risk Management Agencies (SRMAs) จะต้องประเมินว่ากฎระเบียบที่มีอยู่เพียงพอหรือไม่ หากไม่เพียงพอจะต้องร่างกฎใหม่ โดยรัฐบาลจะทำงานร่วมกับเจ้าของโครงสร้างพื้นฐานเพื่อให้มั่นใจว่าข้อกำหนดเหล่านั้นมีความเหมาะสมและไม่สร้างภาระเกินความจำเป็น

สรุปการเปลี่ยนแปลงสำคัญในแผนความมั่นคงโครงสร้างพื้นฐาน

หัวข้อ	แนวทางเดิม (ปี 2013)	แนวทางใหม่ (ปัจจุบัน)
รูปแบบความร่วมมือ	เน้นความสมัครใจ (Voluntary)	เน้นข้อบังคับและมาตรฐานขั้นต่ำ (Regulatory)
หน่วยงานนำ	กระจายตามหน่วยงานต่างๆ	CISA เป็นแกนกลางในการประสานงาน
การแบ่งปันข้อมูล	ล่าช้าและจำกัดการเข้าถึง	เร่งรัดการเปิดเผยข้อมูลข่าวกรองให้เอกชน
การประเมินความเสี่ยง	ทำเป็นครั้งคราว	ส่งแผนจัดการความเสี่ยงระดับชาติทุก 2 ปี

การยกระดับบทบาทของ CISA และการจัดการข้อมูล

CISA ได้รับการยกระดับให้เป็นผู้ประสานงานหลักของรัฐบาล และเป็น SRMA สำหรับ 8 จาก 16 สาขาโครงสร้างพื้นฐาน โดย Jen Easterly ผู้อำนวยการ CISA ได้นำกลยุทธ์มาใช้ 3 ด้าน คือ การจัดตั้งสภาเจ้าหน้าที่ระดับสูงเพื่อตัดสินใจเชิงกลยุทธ์, การสร้างแบบฟอร์มมาตรฐานสำหรับการประเมินความเสี่ยง และการระบุรายชื่อ Systemically Important Entities หรือองค์กรที่มีความสำคัญเชิงระบบ (มีจำนวนน้อยกว่า 500 แห่ง) ซึ่งจะได้รับความสำคัญสูงสุดในการกำกับดูแลและสนับสนุนทรัพยากร

ในด้านข้อมูลข่าวกรอง สำนักงานผู้อำนวยการข่าวกรองแห่งชาติ (ODNI) จะต้องจัดทำรายงานสถานะการแบ่งปันข้อมูลกับภาคเอกชน และประเมินภัยคุกคามต่อโครงสร้างพื้นฐานภายใน 180 วัน เพื่อให้บริษัทเอกชนสามารถเตรียมพร้อมรับมือกับผู้ไม่หวังดีได้อย่างแม่นยำ

ข้อเท็จจริงสำคัญ

• CISA คือหน่วยงานหลักที่ดูแลความปลอดภัยไซเบอร์และโครงสร้างพื้นฐานของสหรัฐฯ
• มีการแบ่งโครงสร้างพื้นฐานสำคัญออกเป็น 16 สาขา โดยยังไม่มีการเพิ่มสาขาอวกาศและเศรษฐกิจชีวภาพในขณะนี้
• รัฐบาลจะส่ง แผนจัดการความเสี่ยงระดับชาติ ให้ไวท์เฮาส์ทุกๆ 2 ปี
• มุ่งเน้นการปกป้อง Systemically Important Entities ซึ่งเป็นกลุ่มบริษัทที่มีผลกระทบสูงต่อการดำเนินชีวิตของประชาชน

คำถามที่พบบ่อย

ทำไมรัฐบาลสหรัฐฯ ถึงต้องเปลี่ยนจากความร่วมมือแบบสมัครใจเป็นข้อบังคับ?

เนื่องจากรัฐบาลพบว่าการขอความร่วมมือแบบสมัครใจไม่สามารถลดความเสี่ยงต่อบริการที่จำเป็นได้อย่างเพียงพอ จึงจำเป็นต้องกำหนดมาตรฐานขั้นต่ำที่ทุกบริษัทในสาขาสำคัญต้องปฏิบัติตามเพื่อความปลอดภัยสูงสุด

CISA มีบทบาทอย่างไรในแผนฉบับใหม่นี้?

CISA ทำหน้าที่เป็นผู้ประสานงานกลางของรัฐบาลในด้านความมั่นคงโครงสร้างพื้นฐาน และเป็นหน่วยงานกำกับดูแลความเสี่ยง (SRMA) ให้กับ 8 ใน 16 สาขาสำคัญ รวมถึงการระบุองค์กรที่มีความสำคัญเชิงระบบเพื่อดูแลเป็นพิเศษ

ภาคเอกชนจะได้ประโยชน์อะไรจากการปรับปรุงครั้งนี้?

ภาคเอกชนจะสามารถเข้าถึงข้อมูลข่าวกรองเกี่ยวกับภัยคุกคามทางไซเบอร์จากรัฐบาลได้รวดเร็วและละเอียดขึ้น ช่วยให้สามารถป้องกันระบบของตนเองได้ก่อนที่จะเกิดการโจมตี

ทำไมถึงยังไม่มีการเพิ่ม 'อวกาศ' และ 'เศรษฐกิจชีวภาพ' เป็นสาขาโครงสร้างพื้นฐานใหม่?

รัฐบาลพิจารณาว่าเรื่องอวกาศมีความคาบเกี่ยวกับหลายสาขาที่มีอยู่แล้ว จึงยังไม่แยกออกมาเป็นเอกเทศ ส่วนเศรษฐกิจชีวภาพยังไม่มีความเสี่ยงที่เฉพาะเจาะจงเพียงพอ อย่างไรก็ตาม อาจมีการพิจารณาเพิ่มในอนาคตหากสถานการณ์เปลี่ยนแปลง