ISO ความปลอดภัยทางไซเบอร์ ไม่ต้องสงสัยเลยว่าบริษัทต่าง ๆ กำลังลงทุนเงินจำนวนมากในการรักษาความปลอดภัยทางไซเบอร์ในช่วงหลัง ๆ นี้ – แน่นอนว่าพวกเขากำลังลงทุน: ด้วยการละเมิดข้อมูลจำนวนมากและความคาดหวังจากลูกค้ารายสำคัญ สิ่งนี้จึงกลายเป็นสิ่งจำเป็นในการทำธุรกิจ อย่างไรก็ตาม การลงทุนด้านความปลอดภัยทางไซเบอร์ส่วนใหญ่มักเป็นค่าใช้จ่ายด้านไอทีเพียงอย่างเดียว ซึ่งมักมีค่าใช้จ่ายสูง โดยมีผลประโยชน์ทางธุรกิจเพียงเล็กน้อยหรือไม่มีเลย ดังนั้น ความปลอดภัยในโลกไซเบอร์จึงเป็นเพียงสิ่งที่จำเป็นอย่างหนึ่งที่ไม่มีใครชอบ หรือมันสามารถสร้างประโยชน์ให้กับธุรกิจได้มากขึ้นหรือไม่?
ฉันกำลังเถียงว่าใช่ – ความปลอดภัยในโลกไซเบอร์สามารถช่วยให้บริษัทต่างๆ ประสบความสำเร็จได้มากกว่าสร้างต้นทุนเท่านั้น แต่ยังช่วยให้บริษัทต่างๆ บรรลุความได้เปรียบในการแข่งขันอย่างยั่งยืน เช่นเดียวกับที่ Apple ใช้เพื่อสร้างความแตกต่างจากคู่แข่งโดยให้ความสำคัญกับการปกป้อง ข้อมูลส่วนบุคคลของผู้ใช้อุปกรณ์มือถือและบริการคลาวด์
- การปกป้องความได้เปรียบทางการแข่งขันที่มีอยู่
- สร้างความได้เปรียบทางการแข่งขันใหม่ผ่านการรักษาความปลอดภัยของผลิตภัณฑ์
- ได้รับความไว้วางใจจากลูกค้าทั่วไป
บริษัทส่วนใหญ่เชื่อมโยงความปลอดภัยทางไซเบอร์กับการปฏิบัติตามข้อกำหนด
ในความเป็นจริง บริษัทส่วนใหญ่ที่ลงทุนในความปลอดภัยทางไซเบอร์ทำเช่นนั้นเนื่องจากการปฏิบัติตาม – พวกเขาต้องการปฏิบัติตาม ISO 27001, SOC 2, NIST Cybersecurity Framework, PCI DSS หรือมาตรฐานหรือข้อบังคับอื่นๆ
พวกเขาทำเช่นนั้นเพราะพวกเขาต้องการบรรลุสิ่งต่อไปนี้:
- หาลูกค้าใหม่ – โดยการรับรอง เช่น ISO 27001 พวกเขาจะได้รับสัญญากับลูกค้าใหม่ที่ละเอียดอ่อนมากเกี่ยวกับการรักษาข้อมูลของตนให้ปลอดภัย โดยเฉพาะอย่างยิ่งหากผู้ประมูลรายอื่นที่แข่งขันเพื่อลูกค้ารายเดียวกันไม่มีใบรับรองดังกล่าว
- รักษาลูกค้าที่มีอยู่ – หากบริษัทซอฟต์แวร์มีลูกค้าที่สำคัญมากซึ่งต้องการการปฏิบัติตาม SOC 2 เป็นเงื่อนไขในการต่ออายุสัญญา การปฏิบัติตามจะกลายเป็นเครื่องมือในการรักษาลูกค้าไว้
- ได้รับใบอนุญาตให้ดำเนินการในตลาดใดตลาดหนึ่งเช่น หากบริษัทต้องการรวบรวมข้อมูลบัตรเครดิต จะต้องเป็นไปตาม PCI DSS มิฉะนั้นจะไม่ได้รับอนุญาตให้ทำกิจกรรมเหล่านี้
กล่าวอีกนัยหนึ่ง การปฏิบัติตามข้อกำหนดด้านความปลอดภัยในโลกไซเบอร์จะนำแหล่งรายได้ใหม่ๆ มาสู่บริษัท หรือป้องกันการสูญเสียรายได้ ข้อโต้แย้งประเภทนี้เป็นสิ่งที่ CEO ทุกคนชอบที่จะได้ยิน
วิธีการแบบนี้ใช้ได้หากบริษัทมีมุมมองระยะสั้น อย่างไรก็ตาม การปฏิบัติตามกฎระเบียบจะไม่ก่อให้เกิดความได้เปรียบในการแข่งขันในระยะยาว เนื่องจากคู่แข่งจะพบว่าการปฏิบัติตามมาตรฐานและข้อบังคับเดียวกันค่อนข้างง่าย และการปฏิบัติตามกฎระเบียบจะไม่ก่อให้เกิดความได้เปรียบในตลาดอีกต่อไป
ทำไมถึงเป็นเช่นนี้?
องค์ประกอบหลักในการปฏิบัติตามข้อกำหนดด้านความปลอดภัยทางไซเบอร์
เมื่อบริษัทต่างๆ ต้องการประสบความสำเร็จในโครงการปฏิบัติตามกฎระเบียบ พวกเขาไม่ควรมุ่งเน้นไปที่เทคโนโลยีเพียงอย่างเดียว แต่จำเป็นต้องจัดการความปลอดภัยทางไซเบอร์แบบองค์รวมและสมดุล 4 ด้านหลัก:
- ด้านกลยุทธ์หมายความว่าเจ้าหน้าที่รักษาความปลอดภัยจำเป็นต้องเรียนรู้เกี่ยวกับพันธกิจ วิสัยทัศน์ และกลยุทธ์ของบริษัท และสั่งการกิจกรรมด้านความปลอดภัยเพื่อสนับสนุนเป้าหมายทางธุรกิจเหล่านี้ ด้วยแนวทางดังกล่าว บริษัทต่างๆ สามารถค้นพบโอกาสทางการตลาดที่ไม่เคยมีมาก่อน
- ด้านองค์กรหมายความว่าบริษัทจำเป็นต้องใช้นโยบายและขั้นตอนในการกำหนดธรรมาภิบาลความปลอดภัย แนะนำการประสานงานระหว่างแผนกเกี่ยวกับกิจกรรมที่เกี่ยวข้องกับการรักษาความปลอดภัย มีบุคคลหรือหน่วยงานอิสระที่จัดการความปลอดภัย ใช้เทคนิคการจัดการโครงการ และเตรียมพร้อมที่จะผ่านองค์กรอย่างต่อเนื่อง การเปลี่ยนแปลง
- ด้านบุคคลรวมถึงการแสดงความมุ่งมั่นของผู้บริหารระดับสูงในการรักษาความปลอดภัย การใช้การรับรู้และการฝึกอบรมด้านความปลอดภัย และการใช้ช่องทางการสื่อสารที่เพียงพอเพื่ออธิบายการรักษาความปลอดภัย สิ่งเหล่านี้ทั้งหมดจะนำไปสู่การสร้างวัฒนธรรมการรักษาความปลอดภัย
- การจัดการความเสี่ยง & ด้านเทคโนโลยีรวมถึงการค้นหาว่ามีความเสี่ยงใดบ้างที่เกี่ยวข้องกับข้อมูลที่ละเอียดอ่อนของบริษัท จากนั้นจึงกำหนดว่าการป้องกันด้านไอที กฎหมาย องค์กร ทรัพยากรบุคคล และทางกายภาพใดที่จำเป็นเพื่อลดความเสี่ยงเหล่านั้น
กล่าวอีกนัยหนึ่ง หากบริษัทมุ่งเน้นไปที่ เช่น เทคโนโลยี และละเลยด้านอื่นๆ โครงการปฏิบัติตามข้อกำหนดด้านความปลอดภัยทางไซเบอร์มักจะล้มเหลว เนื่องจากขาด “ส่วนผสม” บางอย่างที่สำคัญต่อความสำเร็จของโครงการดังกล่าว ในทางกลับกัน บริษัทที่มีความสมดุลทั้งสี่ประเด็นหลักจะพบว่าโครงการปฏิบัติตามข้อกำหนดนั้นง่ายต่อการจัดการมาก
และนี่จะเพียงพอสำหรับบริษัทส่วนใหญ่ หากพวกเขาเพียงต้องการบรรลุผลประโยชน์จากการปฏิบัติตามข้อกำหนดและไม่มีความทะเยอทะยานที่จะใช้ความปลอดภัยทางไซเบอร์เพื่อสิ่งอื่น
อย่างไรก็ตาม ในไม่ช้าพวกเขาจะไม่โดดเดี่ยว – คู่แข่งจะจ้างที่ปรึกษาหรือจะใช้เครื่องมือรักษาความปลอดภัยทางไซเบอร์เพื่อดำเนินโครงการความปลอดภัยทางไซเบอร์ ซึ่งหมายความว่าพวกเขาจะสามารถรับความสามารถในการปฏิบัติงานที่จำเป็นในการจัดการด้านหลักสี่ประการตามรายการข้างต้นได้ค่อนข้างง่าย และความได้เปรียบทางการแข่งขันใดๆ ที่เกิดจากการปฏิบัติตามกฎระเบียบก็จะลดลงอย่างรวดเร็วเช่นกัน
ความปลอดภัยในโลกไซเบอร์เป็นเพียงการแก้ไขชั่วคราวหรือไม่?
ความได้เปรียบในการแข่งขันระยะยาวจากความปลอดภัยทางไซเบอร์
สำหรับบริษัทที่ต้องการความปลอดภัยทางไซเบอร์มากขึ้น ผู้บริหารระดับสูงของพวกเขาจำเป็นต้องตัดสินใจเชิงกลยุทธ์เพื่อสร้างความสามารถใหม่ที่จะผลักดันบริษัทให้เหนือกว่าสี่ด้านที่อธิบายไว้ในส่วนก่อนหน้า
ทำไมผู้บริหารถึงพยายามขนาดนี้? เพราะพวกเขาสามารถเอาชนะคู่แข่งได้ไม่เพียงแต่ในระยะสั้นเท่านั้น แต่ยังบรรลุข้อได้เปรียบทางการแข่งขันในระยะยาวด้วยการบรรลุคุณค่าเชิงกลยุทธ์เฉพาะ 3 ประการ:
การปกป้องความได้เปรียบทางการแข่งขันที่มีอยู่เนื่องจากทรัพย์สินทางปัญญาเป็นพื้นฐานของความได้เปรียบในการแข่งขันสำหรับบริษัทจำนวนมาก (เช่น เทคโนโลยีขั้นสูง เวชภัณฑ์ ฯลฯ) การรั่วไหลของข้อมูลดังกล่าวอาจทำให้บริษัทเสียหายได้ ดังนั้น เมื่อการรักษาความปลอดภัยทางไซเบอร์กลายเป็นส่วนหนึ่งของการตัดสินใจเชิงกลยุทธ์ จะสามารถป้องกันการตัดสินใจทางธุรกิจที่มีค่าใช้จ่ายสูงและปกป้องทรัพย์สินทางปัญญาและความลับทางการค้าได้ เมื่อฉันสัมภาษณ์ CISO ของบริษัทไฮเทค เขาอธิบายว่าบริษัทของเขาวางแผนที่จะเปิดศูนย์วิจัยในประเทศที่รัฐบาลควบคุมการไหลของข้อมูลผ่านอินเทอร์เน็ต เมื่อเขานำเสนอความเป็นไปได้ที่ข้อมูล R&D ที่ละเอียดอ่อนของพวกเขาอาจรั่วไหลไปยังคู่แข่งในท้องถิ่นเนื่องจากความเกี่ยวพันกับรัฐบาล คณะกรรมการของบริษัทจึงล้มเลิกความคิดที่จะขยายธุรกิจไปยังประเทศนี้ และด้วยการทำเช่นนั้น ทรัพย์สินที่มีค่าที่สุดของพวกเขาได้รับการปกป้องที่ดีขึ้น
สร้างความได้เปรียบทางการแข่งขันใหม่ผ่านการรักษาความปลอดภัยของผลิตภัณฑ์ตลาดมีการแข่งขันสูงมาก และบริษัทต่าง ๆ พบว่าเป็นเรื่องยากมากที่จะเสนอฟีเจอร์ที่คู่แข่งไม่มี เมื่อการรักษาความปลอดภัยในโลกไซเบอร์กลายเป็นส่วนหนึ่งของการพัฒนาผลิตภัณฑ์ จะกระตุ้นให้บริษัทต่างๆ ลงทุนใน R&D มากขึ้น เนื่องจากบริษัทต่าง ๆ มั่นใจได้ว่านวัตกรรมของตนจะได้รับการปกป้องจากการรั่วไหลไปยังคู่แข่งได้ดีขึ้น ที่สำคัญยิ่งกว่านั้น การรักษาความปลอดภัยทางไซเบอร์ช่วยให้บริษัทต่างๆ สามารถสร้างคุณลักษณะด้านความปลอดภัยที่ดึงดูดใจลูกค้า และความแตกต่างดังกล่าวช่วยให้พวกเขาได้รับแหล่งรายได้ระยะยาว ตัวอย่างเช่น Apple ลงทุนอย่างมากในการรักษาความปลอดภัยของข้อมูล (เช่น ไบโอเมตริก) และความเป็นส่วนตัว (เช่น การจำกัดการเข้าถึงข้อมูลส่วนบุคคล) เนื่องจากคุณสมบัติเหล่านี้เป็นที่ต้องการอย่างมากจากลูกค้ากลุ่มใหญ่ – คุณสมบัติเหล่านี้ร่วมกับคุณสมบัติอื่นๆ (เช่น ความง่าย การใช้งาน การออกแบบ ฯลฯ
ได้รับความไว้วางใจจากลูกค้าทั่วไป ความเต็มใจของลูกค้าที่จะซื้อผลิตภัณฑ์และบริการเกี่ยวข้องโดยตรงกับความไว้วางใจที่พวกเขามีต่อบริษัท ในตราสินค้า เมื่อการรักษาความปลอดภัยทางไซเบอร์ถูกฝังอยู่ในกระบวนการประจำวันของบริษัท จะช่วยลดความเสี่ยงของการละเมิดข้อมูลและความไม่พร้อมใช้งานของบริการได้อย่างมาก ซึ่งทั้งสองอย่างนี้จะบั่นทอนความเชื่อมั่นของลูกค้าที่มีต่อบริษัท นอกจากนี้ เมื่อความปลอดภัยในโลกไซเบอร์กลายเป็นส่วนหนึ่งของความพยายามทางการตลาดและการสื่อสาร ลูกค้าที่อ่อนไหวเกี่ยวกับวิธีจัดการข้อมูลของพวกเขาจะได้รับความไว้วางใจในบริษัทมากขึ้น ตัวอย่างเช่น ผู้จัดการคนหนึ่งอธิบายให้ฉันฟังว่าบริษัทของพวกเขาวัดคุณลักษณะต่างๆ ของความไว้วางใจในแบรนด์ของตนอย่างไร (รวมถึงความปลอดภัย) จากนั้นจึงลงทุนมากขึ้นในการสื่อสารคุณลักษณะต่างๆ ที่เพิ่มโอกาสในการเปลี่ยนใจลูกค้าใหม่
เมื่อบริษัทต่างๆ บรรลุเป้าหมายเชิงกลยุทธ์ใดๆ ใน 3 เป้าหมายนี้ คู่แข่งจะพบว่าเป็นการยากมากขึ้นที่จะเลียนแบบพวกเขา ดังนั้น บริษัทจำเป็นต้องทำอย่างไรเพื่อให้บรรลุความได้เปรียบทางการแข่งขันที่ยั่งยืนนี้
ความสามารถแบบไดนามิกด้านความปลอดภัยทางไซเบอร์เพื่อให้บรรลุความได้เปรียบในการแข่งขัน
เพื่อให้สามารถบรรลุความได้เปรียบในการแข่งขันในระยะยาว บริษัทต่างๆ ต้องพัฒนาความสามารถเฉพาะที่คู่แข่งไม่สามารถเทียบได้ในระยะสั้น – ซึ่งเรียกว่าความสามารถแบบไดนามิกด้านความปลอดภัยในโลกไซเบอร์และจากการวิจัยของฉัน ฉันพบว่าบริษัทที่ประสบความสำเร็จมีความสามารถ 11 ประการดังต่อไปนี้ :
- การแจ้งข้อมูล – ความสามารถขององค์กรในการเผยแพร่ข้อมูลที่เกี่ยวข้องกับการรักษาความปลอดภัยไปยังผู้ที่เกี่ยวข้องทั้งหมดภายในองค์กรและห่วงโซ่อุปทาน
- การทำความเข้าใจสถาปัตยกรรมเทคโนโลยี – ความสามารถในการรับรู้ทิศทางการพัฒนาเทคโนโลยีความปลอดภัย และความสามารถของบริษัทในการเลือกเทคโนโลยีที่เหมาะสมตามนั้น
- ทำให้การรักษาความปลอดภัยใช้งานง่ายและโปร่งใส – ความสามารถในการนำเสนอและนำกฎการรักษาความปลอดภัยและเทคโนโลยีไปใช้ในลักษณะที่ทุกคน แม้กระทั่งบุคคลทั่วไป รู้ดีว่าเหตุใดจึงมีอยู่จริง และใช้งานอย่างไร
- การ สร้างแบรนด์ – ความสามารถในการฝังความไว้วางใจเป็นคุณลักษณะสำคัญของแบรนด์
- สร้างสมดุลระหว่างการรักษาความปลอดภัยและธุรกิจ – ความสามารถในการใช้การป้องกันที่เหมาะสมในจำนวนที่เหมาะสมและแข็งแกร่งพอที่จะจัดการกับความเสี่ยงด้านความปลอดภัย ในขณะที่ไม่รบกวนการทำงานปกติ
- การจัดการห่วงโซ่อุปทานที่ปลอดภัย – ความสามารถในการรักษาข้อมูลให้ปลอดภัยแม้ว่าข้อมูลนั้นจะไม่อยู่ภายใต้การควบคุมโดยตรงของบริษัท
- จัดลำดับความสำคัญ – ความสามารถในการมุ่งเน้นไปที่กิจกรรมและผลิตภัณฑ์ด้านความปลอดภัยทางไซเบอร์ที่สำคัญที่สุดเพื่อให้บรรลุลำดับความสำคัญเชิงกลยุทธ์
- การ สร้างความเชี่ยวชาญ – ความสามารถในการสร้างความรู้ความชำนาญด้านความปลอดภัยในโลกไซเบอร์ภายในบริษัท เพื่อให้ได้ลูกค้าที่มีความพึงพอใจสูงและปกป้องข้อมูลของพวกเขา
- การ ให้รางวัลแก่ผู้คน – ความสามารถในการใช้ KPI และวิธีการวัดผลอื่นๆ เพื่อกระตุ้นให้ผู้ที่เกี่ยวข้องกับความปลอดภัยมีส่วนร่วมในการรักษาความปลอดภัยทางไซเบอร์ของบริษัท
- การตีความข้อมูล – ความสามารถในการค้นหารูปแบบและแนวโน้มของข้อมูลจำนวนมากเพื่อประกอบการตัดสินใจด้านความปลอดภัย
- การฝัง – ความสามารถในการให้พนักงานใช้กฎความปลอดภัยและเทคโนโลยีเป็นส่วนหนึ่งของการดำเนินงานประจำวันตามปกติ
การบรรลุความสามารถทั้ง 11 ประการนี้ค่อนข้างท้าทาย แต่ฉันเคยเห็นบริษัทต่างๆ ที่พัฒนาอย่างน้อย 2-3 อย่างเพื่อสร้างรากฐานที่ดีเพื่อความได้เปรียบในการแข่งขันในระยะยาว
โมเดลความได้เปรียบทางการแข่งขันด้านความปลอดภัยทางไซเบอร์
สรุปได้ว่า Cybersecurity Competitive Advantage Model (CCAM) ที่แสดงด้านล่างจะอธิบายว่าลักษณะสำคัญสี่ประการของการจัดการการปฏิบัติตามข้อกำหนดด้านความปลอดภัยทางไซเบอร์นั้นเกี่ยวข้องกับผลประโยชน์ระยะสั้นอย่างไร และสิ่งที่บริษัทจำเป็นต้องทำเพื่อให้ได้รับข้อได้เปรียบทางการแข่งขันในระยะยาวผ่านทางความปลอดภัยทางไซเบอร์
สำหรับองค์กรที่ต้องการ Document and Content Management Solution ที่สมบูรณ์แบบ พร้อม Professional Services ที่มีประสบการณ์ Implement Alfresco มามากกว่า 100 โครงการณ์ สามารถติดขอคำปรึกษากับ K&O Systems
ทั้งนี้บริษัทเคแอนด์โอ จึงได้มุ่งเน้นการจัดการแก้ไขปัญหา จัดการเอกสาร ด้านเอกสารขององค์กรมาอย่างยาวนาน และ ให้ความสำคัญกับด้านงานเอกสาร ต่อลูกค้าเป็นอย่างดี จนถึงปัจจุบันก็ได้ความยอมรับจากองค์กร ขนาดใหญ่ ขนาดกลาง และขนาดเล็กมากมาย จึงใคร่ขออาสาดูและปัญหาด้านเอกสารให้กับองค์กรของท่านอย่างสุดความสามารถ เพราะเราเป็นหนึ่งในธุรกิจ ระบบจัดเก็บเอกสาร ที่ท่านไว้ใจได้
สนใจรับคำปรึกษาด้านวางระบบจัดการเอกสารอิเล็กทรอนิกส์ EDMS โดยทีมงานผู้เชี่ยวชาญจาก K&O ที่มีประสบการณ์มากว่า 15 ปี รวมถึงซอฟต์แวร์ระดับโลก ติดต่อ 0 2 – 8 6 0 – 6 6 5 9
สนใจ บทความ หรือ Technology สามารถติดต่อได้ตามเบอร์ที่ให้ไว้ด้านล่างนี้
Tel.086-594-5494
Tel.095-919-6699
e-mail cs@ko.in.th หรือ K&O FB / เว็บไซต์หลัก สแกนเพื่อแอด Line พูดคุยตอนนี้
