NIST CSF 2.0: ยกระดับการบริหารจัดการไซเบอร์ด้วยฟังก์ชัน 'Govern' และแนวทางปฏิบัติสำหรับผู้บริหาร

การเปลี่ยนแปลงครั้งใหญ่ของ NIST CSF 2.0

สถาบันมาตรฐานและเทคโนโลยีแห่งชาติ (NIST) ได้ประกาศเปิดตัว NIST Cybersecurity Framework (CSF) 2.0 อย่างเป็นทางการเมื่อเดือนกุมภาพันธ์ 2024 ซึ่งถือเป็นการอัปเดตครั้งใหญ่ที่สุดนับตั้งแต่เริ่มใช้งานมา การเปลี่ยนแปลงที่สำคัญที่สุดคือการขยายขอบเขตการใช้งานให้ครอบคลุมทุกประเภทองค์กร ไม่จำกัดเพียงแค่โครงสร้างพื้นฐานสำคัญ (Critical Infrastructure) อีกต่อไป ตามรายงานจาก What is NIST Cybersecurity Framework (CSF) 2.0? - Safe Security เวอร์ชันนี้ได้เพิ่มฟังก์ชันที่ 6 คือ 'Govern' เข้ามาเสริมจากเดิมที่มีเพียง Identify, Protect, Detect, Respond และ Recover

'Govern': หัวใจใหม่ของการบริหารความเสี่ยง

ฟังก์ชัน 'Govern' ถูกออกแบบมาเพื่อเชื่อมโยงกลยุทธ์ด้านความปลอดภัยไซเบอร์เข้ากับเป้าหมายทางธุรกิจ โดยเน้นไปที่การกำหนดนโยบาย การระบุบทบาทหน้าที่ และการกำกับดูแลความเสี่ยงจากระดับบริหารสู่ระดับปฏิบัติการ ข้อมูลจาก NIST Releases Two New CSF 2.0 Quick-Start Guides ระบุว่า NIST ได้ออกคู่มือ Quick Start เพื่อช่วยให้องค์กรสามารถบูรณาการการจัดการความเสี่ยงไซเบอร์เข้ากับการจัดการความเสี่ยงระดับองค์กร (ERM) ได้อย่างมีประสิทธิภาพมากขึ้น

การมีฟังก์ชัน Govern ช่วยให้ผู้บริหารในไทยสามารถตอบคำถามเรื่องความคุ้มค่าของการลงทุนด้านไซเบอร์ได้ชัดเจนขึ้น เนื่องจากมีการกำหนดตัวชี้วัดและการกำกับดูแลที่ชัดเจน สอดคล้องกับแนวทางการกำกับดูแลกิจการที่ดี (Good Governance)

แนวทางการนำไปใช้ในประเทศไทย

สำหรับองค์กรในไทย FORTSECURE GLOBAL แนะนำให้ใช้ NIST CSF 2.0 เป็นกรอบการทำงานหลักในการประเมินระดับความพร้อม (Maturity Level) ของตนเอง โดยเริ่มจากการสร้าง 'Current Profile' เพื่อดูสถานะปัจจุบัน และกำหนด 'Target Profile' ที่ต้องการไปให้ถึง การนำฟังก์ชัน Govern มาใช้จะช่วยให้การปฏิบัติตามกฎหมายอย่าง PDPA หรือ พ.ร.บ. การรักษาความมั่นคงปลอดภัยไซเบอร์ เป็นไปอย่างเป็นระบบและยั่งยืนมากกว่าการทำเพียงเพื่อผ่านเกณฑ์ขั้นต่ำ