Incident Response Plan: แผนสำหรับชั่วโมงแรกหลังรู้ว่าโดนเจาะ

เหตุการณ์ไซเบอร์ไม่เหมือนไฟไหม้ตรงที่มองไม่เห็นควัน ธุรกิจจำนวนมากรู้ตัวว่าถูกเจาะจากคนอื่น เช่น ลูกค้าโทรมาถามว่าทำไมได้อีเมลแปลก หรือธนาคารแจ้งว่ามีรายการผิดปกติ และปฏิกิริยาแรกขององค์กรที่ไม่มีแผนมักซ้ำรอยเดิม คือช็อก โทรหากันวุ่นวาย ถกเถียงว่าต้องทำอะไรก่อน และเสียชั่วโมงทองไปกับการหาว่าใครมีสิทธิ์ตัดสินใจ ในขณะที่ฝั่งคนร้ายเดินหน้าทุกนาที Incident Response Plan คือการยกการตัดสินใจเหล่านั้นมาทำล่วงหน้าในวันที่ยังใจเย็น ให้วันเกิดเหตุเหลือเพียงการเปิดแผนแล้วทำตาม

สี่คำถามที่แผนต้องตอบไว้ก่อน

แผนที่ใช้ได้จริงไม่ใช่เอกสารร้อยหน้า แต่ต้องตอบสี่เรื่องให้ชัด หนึ่ง ใครสั่งการ เหตุการณ์จริงต้องมีคนเดียวที่ตัดสินใจสุดท้ายและมีเบอร์ติดต่อสำรองนอกระบบบริษัท เพราะอีเมลและแชตอาจอยู่ในมือคนร้าย สอง ตัดอะไรก่อน ขั้นตอนแยกเครื่องหรือระบบที่ติดเชื้อออกจากเครือข่าย โดยไม่รีบลบหรือปิดทุกอย่างจนทำลายหลักฐานที่ต้องใช้สืบสาเหตุ สาม แจ้งใครเมื่อไร ทั้งภายใน ลูกค้าที่ได้รับผลกระทบ และหน่วยงานตามที่กฎหมายคุ้มครองข้อมูลกำหนดเวลาไว้ และสี่ กู้คืนอย่างไร ลำดับของการกู้จากสำรองและการยืนยันว่าช่องที่ถูกเจาะถูกปิดแล้ว ก่อนเปิดระบบกลับ สิ่งที่ทำให้แผนมีชีวิตคือการซ้อม ปีละครั้งก็ยังดี เพราะแผนที่ไม่เคยซ้อม มักพังตั้งแต่ขั้นแรกในวันจริง เช่น เบอร์ที่อยู่ในแผนเป็นของพนักงานที่ลาออกไปแล้ว

• กำหนดผู้สั่งการหนึ่งคน พร้อมช่องทางติดต่อนอกระบบบริษัท
• แยกระบบที่ติดเชื้อโดยไม่ทำลายหลักฐาน อย่ารีบลบทุกอย่าง
• ซ้อมแผนอย่างน้อยปีละครั้ง และอัปเดตรายชื่อผู้ติดต่อทุกครั้งที่คนเปลี่ยน

Incident Response Plan คือประกันที่จ่ายด้วยเวลาไม่กี่ชั่วโมงต่อปี สำหรับ SME ไม่จำเป็นต้องมีทีมความปลอดภัยเต็มรูปแบบ ขอแค่หนึ่งหน้ากระดาษที่ตอบสี่คำถามข้างต้น ติดไว้ในที่ที่หาเจอโดยไม่ต้องพึ่งระบบที่อาจล่ม และมีการซ้อมพอให้ทุกคนรู้บทของตัวเอง เพราะในวันที่เลวร้ายที่สุด สิ่งที่มีค่าที่สุดไม่ใช่เครื่องมือราคาแพง แต่คือความชัดเจนว่าใครทำอะไร ตอนที่ทุกคนกำลังตกใจ