AI เปลี่ยนเกม Cybersecurity จาก Patching ไปสู่ Exposure Management

“เมื่อ AI เปลี่ยนเกมของผู้โจมตี ถึงเวลาที่องค์กรต้องเปลี่ยนจาก Vulnerability Management สู่ Exposure Management

โลกไซเบอร์กำลังเข้าสู่ยุคที่ปัญญาประดิษฐ์ (AI) ไม่ได้เป็นเพียงเครื่องมือขององค์กร แต่กลายเป็นอาวุธของผู้ไม่หวังดีเช่นเดียวกัน การโจมตีที่เคยใช้เวลาหลายวันหรือหลายสัปดาห์ สามารถเกิดขึ้นได้ภายในเวลาไม่กี่นาทีผ่าน AI Agent จำนวนมหาศาล

เจสัน เมอร์ริค รองประธานอาวุโส ฝ่ายบริหารจัดการผลิตภัณฑ์ของ Tenable มองว่า ภายใต้สถานการณ์เช่นนี้ วิธีคิดแบบเดิมที่เน้นการค้นหาและอุดช่องโหว่เพียงอย่างเดียวไม่เพียงพออีกต่อไป องค์กรจำเป็นต้องเปลี่ยนสู่แนวคิด Exposure Management ซึ่งมองความเสี่ยงแบบองค์รวม และใช้ AI เข้ามาช่วยเพิ่มความเร็วในการรับมือภัยคุกคาม

ถึงเวลาที่ต้องก้าวข้าม Vulnerability Management

เจสัน กล่าวว่า ตลอดระยะเวลากว่า 20 ปีที่ผ่านมา อุตสาหกรรม Cybersecurity ให้ความสำคัญกับ Vulnerability Management หรือการค้นหาและอุดช่องโหว่ของระบบเป็นหลัก แต่ภูมิทัศน์ด้านไอทีในปัจจุบันเปลี่ยนไปอย่างสิ้นเชิง

องค์กรไม่ได้มีเพียงเซิร์ฟเวอร์หรือเครื่องคอมพิวเตอร์อีกต่อไป แต่มี Cloud, SaaS, Identity, IoT, OT ตลอดจน AI และ AI Agent ที่กลายเป็นส่วนหนึ่งของ Attack Surface ทั้งหมด

ด้วยเหตุนี้ Tenable จึงปรับยุทธศาสตร์สู่ Exposure Management ซึ่งไม่ได้มองเฉพาะช่องโหว่ตาม CVE แต่ครอบคลุมการมองเห็นสินทรัพย์ดิจิทัลทั้งหมด การค้นหาการตั้งค่าที่ผิดพลาด (Misconfiguration) การวิเคราะห์ Identity และการวิเคราะห์เส้นทางการโจมตี (Attack Path)

“ก่อนจะป้องกันได้ คุณต้องรู้ก่อนว่าคุณมีอะไรอยู่ในองค์กร” เขาอธิบายว่า หลายองค์กรยังไม่สามารถสร้าง Inventory ของสินทรัพย์ทั้งหมดได้ ทำให้ยังมี Shadow IT หรือระบบที่ไม่มีใครรู้ว่ามีอยู่จริง ซึ่งมักกลายเป็นจุดเริ่มต้นของการโจมตี

Exposure Management จึงเป็นแนวคิดแบบ Pre-breach Security ที่มุ่งลดความเสี่ยงก่อนเหตุการณ์จะเกิดขึ้น แทนที่จะรอแก้ไขหลังถูกโจมตี

รับมือ Vulnerability Tsunami เมื่อ AI กลายเป็นอาวุธของแฮ็กเกอร์

เจสัน ระบุว่า AI กำลังเปลี่ยนรูปแบบการโจมตีอย่างรวดเร็ว ในอดีต ผู้โจมตีอาจใช้คนจำนวนหนึ่งค้นหาช่องโหว่ แต่ปัจจุบันสามารถสร้าง AI Agent หลายร้อยหรือหลายพันตัวเพื่อสแกนระบบทั่วโลกพร้อมกัน ส่งผลให้เกิดสิ่งที่เขาเรียกว่า Vulnerability Tsunami

หรือคลื่นมหาศาลของช่องโหว่ที่หลั่งไหลเข้ามาเร็วกว่าที่มนุษย์จะสามารถจัดการได้ “หากองค์กรยังใช้วิธีเดิมคือสร้าง Ticket แล้วรอเจ้าหน้าที่มาตรวจสอบทีละรายการ จะไม่มีทางตามทันความเร็วของผู้โจมตี”

ด้วยเหตุนี้ Tenable จึงพัฒนา Hexa ซึ่งเป็น AI Agent Harness ภายใต้แพลตฟอร์ม Tenable One Hexa สามารถเชื่อมต่อกับ Large Language Models หลายแพลตฟอร์ม ไม่ว่าจะเป็น AWS Bedrock, Google Gemini รวมถึง GPT รุ่นต่างๆ เพื่อช่วยวิเคราะห์ข้อมูลด้านความปลอดภัย ประเมินความเสี่ยง เสนอแนวทางแก้ไข และเร่งกระบวนการ Remediation ด้วยความเร็วระดับ Machine Speed

อย่างไรก็ตาม เจสัน เน้นย้ำว่า AI ไม่ได้เข้ามาแทนผู้เชี่ยวชาญด้านความปลอดภัย “AI ควรช่วยเพิ่มความเร็วในการทำงาน แต่การตัดสินใจขั้นสุดท้ายยังต้องเป็น Human in the Loop”

AI Exposure ไม่ใช่แค่โอกาส แต่คือพื้นที่โจมตีใหม่

ขณะที่หลายองค์กรกำลังเร่งนำ AI มาใช้ เจสัน มองว่า AI เองก็กลายเป็นพื้นผิวการโจมตี (Attack Surface) รูปแบบใหม่ ด้วยเหตุนี้ Tenable จึงเปิดตัวแนวคิด AI Exposure เพื่อดูแลความปลอดภัยของ AI ในสามมิติหลัก

มิติแรกคือ AI Aware ซึ่งช่วยค้นหา Shadow AI หรือ AI ที่ถูกติดตั้งและใช้งานภายในองค์กรโดยไม่ได้รับอนุญาต

มิติที่สองคือ Protecting AI สำหรับองค์กรที่พัฒนา Large Language Model ของตนเอง โดยเน้นป้องกันความเสี่ยงจาก Data Poisoning และการโจมตีโมเดล AI

ส่วนมิติสุดท้ายคือ Employee AI Governance ที่ช่วยควบคุม AI Agent หรือ Workflow ที่พนักงานสร้างขึ้นเอง เพื่อป้องกันไม่ให้ข้อมูลสำคัญขององค์กรรั่วไหลออกไปยังบริการ AI ภายนอก

เจสัน ยังเปิดเผยว่า Tenable กำลังพัฒนา Agent Exchange ซึ่งเป็น Marketplace สำหรับแลกเปลี่ยน AI Agent ระหว่างลูกค้าและพันธมิตร เพื่อเร่งการสร้าง Workflow ด้าน Cybersecurity ให้รวดเร็วยิ่งขึ้น

ไม่สามารถ Patch ทุกอย่างได้อีกต่อไป

อีกหนึ่งประเด็นสำคัญที่ เจสัน กล่าวถึง คือความเข้าใจผิดของหลายองค์กรที่ยังพยายามแก้ไขช่องโหว่ทุกจุด ความจริงคือ ไม่มีองค์กรใดสามารถ Patch ทุกอย่างได้ จำนวนช่องโหว่ที่เกิดขึ้นในแต่ละวันมีมากเกินกว่าทรัพยากรที่องค์กรจะรับมือได้ทั้งหมด

นอกจากนี้ หลายองค์กรยังมุ่งเน้นปกป้องเฉพาะระบบที่เรียกว่า Crown Jewels หรือระบบสำคัญที่สุดขององค์กร แต่จากประสบการณ์ของ Tenable การโจมตีจำนวนมากกลับเริ่มต้นจากระบบที่องค์กรไม่เคยรู้ว่ามีอยู่ หรือระบบที่ไม่เคยถูกสแกนเลย

ดังนั้น Exposure Management จึงเริ่มต้นจากการสร้าง Inventory ที่สมบูรณ์ ก่อนนำข้อมูลทั้งหมดมาวิเคราะห์ Attack Path เพื่อดูว่าผู้โจมตีสามารถเคลื่อนที่ภายในเครือข่ายได้อย่างไร

เพื่อช่วยให้องค์กรตัดสินใจได้แม่นยำ Tenable ได้พัฒนา Vulnerability Priority Rating (VPR) ซึ่งใช้ข้อมูลจากการโจมตีจริง รวมถึงข้อมูลจาก Dark Web และแหล่งข่าวกรองภัยคุกคาม เพื่อจัดลำดับว่าช่องโหว่ใดควรได้รับการแก้ไขก่อน เจสัน กล่าวว่า “เป้าหมายไม่ใช่การแก้ทุกจุด แต่คือการแก้ จุดที่มีโอกาสถูกโจมตีจริง”

บทบาทใหม่ของ CISO ในยุค AI

สำหรับผู้บริหารด้านความมั่นคงปลอดภัยไซเบอร์ เจสัน มองว่า บทบาทของ CISO กำลังเปลี่ยนจากผู้ดูแลเทคโนโลยี ไปสู่ผู้บริหารความเสี่ยงขององค์กร

เขาเสนอว่าผู้นำด้าน Cybersecurity ควรให้ความสำคัญกับสามเรื่อง

ประการแรก คือการสื่อสารกับคณะกรรมการบริษัทให้เข้าใจความเสี่ยงในภาษาทางธุรกิจ เช่น การใช้ Dashboard หรือระบบ Traffic Light เพื่อสะท้อนระดับความเสี่ยงที่ผู้บริหารสามารถตัดสินใจได้

ประการที่สอง คือการทำงานร่วมกับทีมปฏิบัติการไอที เพราะแม้การ Patch จะช่วยลดความเสี่ยง แต่หากกระทบต่อ Availability ของระบบ ก็อาจสร้างผลกระทบต่อธุรกิจได้เช่นกัน

ประการสุดท้าย คือการใช้ Automation และ AI เพื่อลดภาระงานที่ซ้ำซ้อนของทีม Security เปิดโอกาสให้ผู้เชี่ยวชาญมุ่งเน้นการวิเคราะห์เชิงลึกและการตัดสินใจเชิงกลยุทธ์มากขึ้น

เจสัน ยังกล่าวชื่นชมประเทศไทยว่า มีทิศทางที่ชัดเจนในการผลักดัน Cloud, AI และ Cybersecurity ไปพร้อมกันภายใต้นโยบาย Cloud First ซึ่งทำให้ประเทศไทยไม่ได้ตามหลังแนวโน้มของตลาดโลก และกำลังสร้างรากฐานที่เหมาะสมสำหรับการเปลี่ยนผ่านสู่เศรษฐกิจดิจิทัลในระยะยาว.

บทสรุป

มุมมองของ เจสัน สะท้อนว่า Cybersecurity กำลังเข้าสู่ยุคใหม่ที่ “ความเร็ว” และ “การมองเห็นภาพรวม” มีความสำคัญกว่าการไล่อุดช่องโหว่ทีละจุด แนวคิด Exposure Management จึงเป็นการเปลี่ยนกระบวนทัศน์จากการแก้ไขปัญหาเมื่อพบช่องโหว่ ไปสู่การบริหารจัดการความเสี่ยงเชิงรุกโดยอาศัยข้อมูลบริบทของสินทรัพย์ เส้นทางการโจมตี และระดับความเสี่ยงที่แท้จริง

ขณะเดียวกัน AI ได้กลายเป็นทั้งโอกาสและความท้าทาย องค์กรจำเป็นต้องใช้ AI เพื่อรับมือกับ AI ของฝ่ายผู้โจมตี พร้อมยกระดับบทบาทของ CISO จากผู้ดูแลระบบรักษาความปลอดภัย ไปสู่ผู้บริหารความเสี่ยงเชิงกลยุทธ์ที่สามารถเชื่อมโยงความมั่นคงปลอดภัยเข้ากับเป้าหมายทางธุรกิจได้อย่างเป็นรูปธรรม.

Featured Image: kues1