คุณพร้อมหรือยัง หากระบบถูกเรียกค่าไถ่พรุ่งนี้?

เช้าวันหนึ่งทีมบัญชีของบริษัทขนาดกลางแห่งหนึ่งเปิดคอมพิวเตอร์แล้วพบว่าเปิดไฟล์อะไรไม่ได้เลย ทุกอย่างถูกเข้ารหัส และมีข้อความสั้น ๆ เรียกเงินเพื่อแลกกุญแจปลดล็อก เจ้าของบริษัทเล่าทีหลังว่าสิ่งที่ทำให้เขานอนไม่หลับไม่ใช่ตัวเลขค่าไถ่ แต่เป็นคำถามที่เขาตอบไม่ได้ในคืนนั้น นั่นคือ ถ้าไม่จ่าย เราจะกลับมาทำงานได้ภายในกี่วัน

หลายคนยังเชื่อว่า ransomware เป็นเรื่องของบริษัทระดับโลกหรือธนาคารเท่านั้น ความเชื่อนี้น่าเห็นใจ เพราะข่าวที่ดังมักเป็นองค์กรใหญ่ แต่ในความเป็นจริง ผู้โจมตีจำนวนมากไม่ได้เลือกเหยื่อด้วยมือ พวกเขายิงเป็นวงกว้างและรอให้มีคนพลาด ธุรกิจขนาดเล็กและขนาดกลางจึงตกเป็นเป้าบ่อยกว่าที่คิด เพราะมักมีการป้องกันน้อยกว่า และมีแรงกดดันให้รีบจ่ายเพื่อกลับมาทำงาน

ความพร้อมที่แท้จริงวัดกันตอนระบบล่ม ไม่ใช่ตอนปกติ

เจ้าของกิจการจำนวนมากตอบได้ทันทีว่ามีระบบสำรองข้อมูลแล้ว แต่เมื่อถามต่อว่าเคยลองกู้คืนข้อมูลจากที่สำรองไว้จริงครั้งล่าสุดเมื่อไหร่ ความเงียบมักตามมา การมี backup กับการกู้คืนได้จริงเป็นคนละเรื่องกัน หลายองค์กรพบว่าไฟล์สำรองเสียหาย หรือถูกเข้ารหัสไปพร้อมกับระบบหลัก เพราะมันเชื่อมต่ออยู่บนเครือข่ายเดียวกันตลอดเวลา ความพร้อมจึงไม่ใช่การมีเครื่องมือ แต่คือการรู้ว่าเครื่องมือนั้นทำงานได้เมื่อถึงเวลาจริง

คำถามที่สำคัญกว่า ค่าไถ่เท่าไหร่ คือ เราจะอยู่ได้นานแค่ไหนถ้าระบบหยุด ลองคิดถึงต้นทุนที่มองไม่เห็น คำสั่งซื้อที่รับไม่ได้ ลูกค้าที่โทรเข้ามาแล้วไม่มีใครเข้าถึงข้อมูลได้ พนักงานที่นั่งรอเฉย ๆ และความเชื่อมั่นที่ค่อย ๆ หายไป ต้นทุนเหล่านี้มักสูงกว่าตัวเลขค่าไถ่หลายเท่า และไม่มีใครส่งใบเสร็จมาให้

เมื่อถูกเรียกค่าไถ่จริง ทางเลือกทุกทางล้วนเจ็บปวด จ่ายไปก็ไม่มีหลักประกันว่าจะได้กุญแจที่ใช้ได้ และยังเป็นการบอกผู้โจมตีว่าองค์กรนี้ยอมจ่าย ซึ่งอาจกลายเป็นเป้าซ้ำ ไม่จ่ายก็ต้องแบกความเสียหายจากการหยุดชะงัก ความจริงที่ไม่ค่อยมีใครพูดคือ การตัดสินใจที่ดีที่สุดเกิดขึ้นก่อนวันนั้นมาถึงนานแล้ว องค์กรที่เตรียมตัวไว้จะมีทางเลือก ส่วนองค์กรที่ไม่เตรียมจะเหลือแค่ทางเลือกเดียวคือยอมจำนน

ก่อนจะถึงจุดนั้น มีคำถามไม่กี่ข้อที่ผู้บริหารควรกล้าถามทีมของตัวเองอย่างตรงไปตรงมา

• ครั้งล่าสุดที่เราทดสอบกู้คืนข้อมูลจริงคือเมื่อไหร่ และใช้เวลานานเท่าไหร่
• ข้อมูลสำรองของเราแยกออกจากเครือข่ายหลักจริงหรือไม่ หรือมันถูกเข้ารหัสไปพร้อมกันได้
• ถ้าระบบหลักล่มวันนี้ ใครเป็นคนตัดสินใจ และเรามีแผนสื่อสารกับลูกค้าหรือยัง
• ธุรกิจของเรารับการหยุดชะงักได้กี่วัน ก่อนที่ความเสียหายจะกู้คืนไม่ได้

จากการป้องกัน สู่ความสามารถในการฟื้นตัว

คำถามที่ดีกว่า ทำอย่างไรไม่ให้ถูกโจมตี คือ ถ้าถูกโจมตีแล้ว เราจะฟื้นตัวได้เร็วแค่ไหน เพราะการป้องกันร้อยเปอร์เซ็นต์ไม่มีจริง การลงทุนกับความสามารถในการฟื้นตัว ทั้งการสำรองข้อมูลที่แยกจากกัน การทดสอบกู้คืนสม่ำเสมอ และแผนรับมือที่ทุกคนรู้บทบาทของตัวเอง มักให้ผลตอบแทนที่คุ้มค่ากว่าการไล่ซื้อเครื่องมือป้องกันชิ้นใหม่ทุกปี ความมั่นคงไม่ได้อยู่ที่กำแพงสูงเพียงอย่างเดียว แต่อยู่ที่ความสามารถในการลุกขึ้นยืนได้เร็วเมื่อล้ม