การนำองค์กรในด้านการรักษาความมั่นคงทางไซเบอร์สำหรับผู้บริหารระดับสูงของธนาคารไทยCybersecurity Leadership for Senior Executives of Thai Banking Firms

Abstract

ภัยคุกคามทางไซเบอร์ถือเป็นความเสี่ยงและส่งผลกระทบต่อการดำเนินธุรกิจของธนาคาร การรักษาความมั่นคงทางไซเบอร์จึงเป็นสิ่งสำคัญต่อธุรกิจของธนาคาร โดยที่ประสิทธิผลของการรักษาความมั่นคงไซเบอร์ขึ้นอยู่กับบทบาทในการนำองค์กรของผู้บริหารระดับสูงของธนาคารตลอดจนมีมาตรฐานและกฎระเบียบที่เกี่ยวข้องอยู่หลายประการ อย่างไรก็ตามยังไม่มีแนวทางและวิธีการปฏิบัติในการนำองค์กรอย่างมีประสิทธิผลที่กำหนดไว้ในมาตรฐานและกฎระเบียบเหล่านั้น งานวิจัยนี้จึงเสนอแนวทางในการนำองค์กร และวิธีการในการรักษาความมั่นคงทางไซเบอร์อย่างมีประสิทธิผล สำหรับผู้บริหารระดับสูงของธนาคาร โดยแนวทางในการนำองค์กรอย่างมีประสิทธิผลดำเนินการตาม Baldrige Cybersecurity Excellence Builder ส่วนวิธีการปฏิบัติตามแนวทางที่เสนอนั้นเรียบเรียงขึ้นจาก แนวทางการรักษาความมั่นคงทางไซเบอร์ของ NIST แนวทางการกำกับดูแลเทคโนโลยีสารสนเทศ COBIT5 มาตรฐานด้านความมั่นคงทางไซเบอร์ที่เกี่ยวข้อง 4 มาตรฐาน ได้แก่ ISO/IEC 27001:2013 CIS Control 7.1 ISA 62443-2-1-2009 และ NIST.SP.800-53 Revision 4 มาตรฐานระบบบริหารงานคุณภาพ ISO 9001:2015 และระเบียบปฏิบัติของธนาคารแห่งประเทศไทยตลอดจนกฎหมายที่เกี่ยวข้อง วิธีปฏิบัติตามแนวทางการนำองค์กรที่เรียบเรียงขึ้นจึงสอดคล้องกับมาตรฐานความมั่นคงทางไซเบอร์ ครอบคลุมแนวทางการนำองค์กรของผู้บริหารระดับสูงในเรื่อง การกำหนดภารกิจ วิสัยทัศน์ และค่านิยมที่เกี่ยวกับรักษาความมั่นคงทางไซเบอร์ที่ส่งผลครอบคลุมไปถึงผู้มีส่วนได้ส่วนเสียทั้งหมด การปฏิบัติตนให้แสดงถึงความมุ่งมั่นในการรักษาความมั่นคงทางด้านไซเบอร์อย่างจริงจัง การแสดงให้เห็นความมุ่งมั่นต่อการปฏิบัติตามกฎหมายและจริยธรรมความมั่นคงทางไซเบอร์อย่างเข้มงวด การสื่อสารและการสร้างความผูกพันกับผู้มีส่วนได้ส่วนเสีย การสร้างสภาพแวดล้อมเพื่อให้การดำเนินงานบรรลุผลตามนโยบายด้านความมั่นคงทางไซเบอร์ และการมุ้งเน้นให้การดำเนินการของธนาคารบรรลุวัตถุประสงค์ด้านความมั่นคงทางไซเบอร์ หากผู้บริหารระดับสูงของธนาคารปฏิบัติตามแนวทางและวิธีการที่นำเสนอนอกจากจะมั่นใจได้ว่าการจัดการการรักษาความมั่นคงทางไซเบอร์มีคุณภาพและเป็นไปตามมาตรฐานและแนวทางปฏิบัติด้านความมั่นคงทางไซเบอร์ที่ยอมรับกันทั่วไปแล้วยังช่วยให้มั่นใจได้ว่ามีการปฏิบัติตามระเบียบและกฎหมายที่เกี่ยวข้องอย่างครบถ้วน ส่งผลให้การรักษาความมั่นคงทางไซเบอร์เป็นไปอย่างมีประสิทธิผล

Cyber threat is one of the most important risks for banking firms. Leadership is one of the critical success factors for having effective cybersecurity. Baldrige Cybersecurity Excellence Builder framework identifies what leaders should do to ensure the effectiveness of cybersecurity in organization; however, the framework does not provide detail on approaches for the identified activities. This paper proposes approaches for bank executives to lead cybersecurity in Thai banking firms. The proposed leadership approaches were based on the leadership category from the Baldrige Cybersecurity Excellence Builder. The approaches for each item in the leadership category were synthesized from 2 popular cybersecurity frameworks, 4 cybersecurity standards, and 1 quality management system standard. The approaches were also complied with Bank of Thailand regulation and associated laws. The cybersecurity frameworks in this research included NIST Cybersecurity Framework and COBIT5. The cybersecurity standards being studied in this research are ISO/IEC 27001:2013, CIS Control 7.1, ISA 62443-2-1-2009 and NIST.SP.800-53 Revision 4. The proposed approaches also followed the quality management standard, ISO 9001:2015. The proposed leading approaches covered all leading items for leading effective cybersecurity, including mission-vision-value setting for cybersecurity, demonstration of cybersecurity commitment, commitment to legal and ethical behavior, communication and engagement with stakeholders, creation of environment for cybersecurity policies implementation, and focused on cybersecurity action to achieve the cybersecurity objectives. Following the proposed leadership approaches will not only ensure effectiveness of cybersecurity in banking operation, but also reduce risks and impacts on business loss from both internal and external cyber threats.