รายงานความเสี่ยงไซเบอร์ สกมช. คือรายงานประเมินความเสี่ยงไซเบอร์ของประเทศไทย ปี 2569 ที่สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติเผยแพร่เมื่อ 4 ต.ค. 2569 โดยจัดให้การโจมตีด้วย AI เป็นภัยอันดับ 1 บทความนี้เหมาะกับผู้บริหาร ฝ่ายไอที ฝ่ายกฎหมาย และหน่วยงานโครงสร้างพื้นฐานสำคัญ อ่านแล้วจะรู้ว่าตัวเลขในรายงานหมายถึงอะไรและควรปรับแผนอย่างไร
ลองนึกภาพห้องประชุมบอร์ดที่ฝ่ายไอทีขออนุมัติงบป้องกัน AI แต่ผู้บริหารถามว่า “ใครบอกว่าเสี่ยง” ตอนนี้มีคำตอบจากหน่วยงานกำกับของไทยเอง แต่ต้องอ่านตัวเลขให้ถูก เพราะตัวเลขเด่นของรายงานเป็นผลสำรวจความเห็น ไม่ใช่จำนวนเหตุโจมตีจริง
สรุปสั้น: สกมช. จัดให้การโจมตีด้วย AI เป็นความเสี่ยงไซเบอร์อันดับ 1 ของไทยปี 2569 โดยผู้ตอบ 68.1% เลือกเป็นภัยสำคัญ แต่ตัวเลขนี้มาจากแบบสอบถามผู้เชี่ยวชาญ จึงสะท้อนการรับรู้ความเสี่ยงมากกว่าความถี่ของการโจมตี องค์กรควรใช้รายงานนี้เพิ่มสถานการณ์ภัยจาก AI ในทะเบียนความเสี่ยง และตรวจสัญญาผู้ให้บริการ AI
รายงานความเสี่ยงไซเบอร์ สกมช. 2569 บอกอะไรเกี่ยวกับภัยจาก AI
รายงานความเสี่ยงไซเบอร์ สกมช. ปี 2569 ระบุว่าภัยที่เกี่ยวกับ AI เป็นความเสี่ยงที่โดดเด่นที่สุด โดยการโจมตีด้วย AI (AI-Enabled Attacks) ขึ้นอันดับ 1 รองลงมาคือแรนซัมแวร์ (Ransomware) และช่องโหว่ซีโร่เดย์ (Zero-Day) รายงานยังระบุว่าความเสี่ยงนี้ปรากฏชัดในทั้ง 7 ภาคส่วนที่ประเมิน
ผู้ตอบแบบประเมินมี 235 คนจาก 134 องค์กร ประเมินรวม 1,156 รายการจาก 20 สถานการณ์ความเสี่ยง พบ 576 รายการ (49.8%) อยู่ในระดับสูง จัดเป็นสูง 9 กลาง 10 และต่ำ 1 สถานการณ์ ในจำนวนนี้ผู้ตอบ 68.1% เลือกการโจมตีด้วย AI เป็นภัยสำคัญ และ 40% จัดไว้อันดับ 1
| ประเด็น | ตัวเลขตามรายงาน |
|---|---|
| วันเผยแพร่ | 4 ต.ค. 2569 |
| ผู้ตอบแบบประเมิน | 235 คน จาก 134 องค์กร |
| รายการที่ประเมิน | 1,156 รายการ จาก 20 สถานการณ์ |
| ระดับความเสี่ยงสูง | 576 รายการ (49.8%) |
| ภัยอันดับ 1 | การโจมตีด้วย AI: เลือก 68.1% จัดอันดับ 1 อีก 40% |
ข้อเสนอแนะหลักของรายงานคือ วางกรอบธรรมาภิบาล AI ที่มีมนุษย์กำกับดูแล ใช้ Zero Trust และการยืนยันตัวตนหลายปัจจัย (MFA) สำรองข้อมูลแบบแยกขาด แยกส่วนเครือข่าย ทำแผนที่ความเชื่อมโยงบริการและซัพพลายเออร์ เตรียมการเปลี่ยนผ่านสู่การเข้ารหัสทนควอนตัม และซ้อมสถานการณ์ผลกระทบลูกโซ่ข้ามภาคส่วน
รายงานความเสี่ยงไซเบอร์ สกมช. กระทบธุรกิจไทยอย่างไร
รายงานความเสี่ยงไซเบอร์ สกมช. ไม่ได้สร้างหน้าที่ใหม่ให้ธุรกิจ แต่เป็นหลักฐานจากหน่วยงานกำกับว่าภัยจาก AI ควรอยู่บนสุดของแผนความเสี่ยง ส่วนต่อไปนี้เป็นการวิเคราะห์ของผู้เขียน แยกตามกลุ่มผู้ใช้รายงาน
องค์กรโครงสร้างพื้นฐานสำคัญ (CII) ควรทำอะไรกับรายงานนี้
องค์กรที่อยู่ภายใต้ พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 โดยเฉพาะหน่วยงาน CII ใช้รายงานเป็นเอกสารอ้างอิงได้ว่าหน่วยงานกำกับมองภัยจาก AI เป็นลำดับแรก เมื่อถูกตรวจหรือถูกถามว่าทำไมจัดลำดับความเสี่ยงแบบนี้ รายงานเป็นเหตุผลที่อธิบายได้ ข่าวไม่ได้ระบุว่ารายงานสร้างข้อบังคับใหม่
ตัวเลข 68.1% ใช้อย่างไรไม่ให้เข้าใจผิด
ตัวเลข 68.1% บอก “การรับรู้ความเสี่ยง” ของผู้เชี่ยวชาญ ไม่ได้บอกว่ามีองค์กรถูกโจมตีด้วย AI กี่เปอร์เซ็นต์ ใช้ในเอกสารขออนุมัติงบได้ แต่ต้องเขียนที่มาให้ชัดว่าเป็นผลแบบสอบถาม ถ้าเขียนเหมือนเป็นสถิติเหตุจริงแล้วถูกผู้บริหารตรวจย้อน ความน่าเชื่อถือของข้อเสนอทั้งชุดจะเสียไปด้วย
ฝ่ายจัดซื้อและฝ่ายกฎหมายที่ซื้อ AI ต้องแก้สัญญาตรงไหน
ฝ่ายจัดซื้อและฝ่ายกฎหมายควรตรวจว่าสัญญาผู้ให้บริการ AI มีข้อแจ้งเหตุและความรับผิดหรือไม่ เพราะข้อเสนอของรายงานเรื่องธรรมาภิบาล AI ที่มีมนุษย์กำกับ ต้องมีหลักฐานจากผู้ขายมารองรับ อ่านตัวอย่างข้อสัญญาจากเหตุจริงได้ใน OpenAI ขอโทษออสเตรเลีย ยอมรับโมเดลเข้าเว็บรัฐ 4 แห่งโดยไม่ได้รับอนุญาตและแจ้งช้า สัญญา AI ของบริษัทไทยต้องมีข้อไหน
ถ้าข้อมูลส่วนบุคคลรั่วจากเหตุที่เกี่ยวกับ AI องค์กรยังมีหน้าที่ตาม PDPA มาตรา 37(1) ให้มีมาตรการรักษาความมั่นคงปลอดภัย และต้องแจ้ง สคส. ภายใน 72 ชั่วโมงตามมาตรา 37(4) เมื่อเข้าเงื่อนไข
ถ้าองค์กรไม่ทำอะไรเลย จะเสี่ยงอะไร
องค์กรที่ไม่ปรับอะไรเลยจะวางแผนด้วยทะเบียนความเสี่ยงที่ตามหลังหน่วยงานกำกับ เมื่อเกิดเหตุจริงต้องอธิบายว่าทำไมภัยอันดับ 1 ที่ประกาศต่อสาธารณะไม่อยู่ในแผน
ความเสี่ยงต่อมาคือพื้นฐานที่รายงานแนะนำ เช่น MFA และการสำรองข้อมูลแบบแยกขาด ยังไม่ครบ ทำให้ AI ช่วยคนร้ายเจาะได้เร็วขึ้น และสัญญาผู้ให้บริการ AI ที่ไม่มีข้อแจ้งเหตุทำให้องค์กรรู้เรื่องช้ากว่าผู้ขาย อ่านภาพต้นทุนของการโจมตีได้ใน อาชญากรใช้ AI agent โอเพนซอร์ส 3 ตัวเจาะ 27 องค์กรใน 6 วัน ธุรกิจไทยต้องยกระดับความปลอดภัยอย่างไร
องค์กรไทยควรทำอะไรตอนนี้ หลังรายงานความเสี่ยงไซเบอร์ สกมช. ออกมา
องค์กรไทยควรเริ่มจากเอกสารที่แก้ได้ทันที คือทะเบียนความเสี่ยงและสัญญา แล้วค่อยไล่มาตรการทางเทคนิค เช็กลิสต์ 5 ข้อนี้เรียงตามความเร็วที่ทำได้
- 1. เพิ่มสถานการณ์ภัยจาก AI ในทะเบียนความเสี่ยง เขียนแยกสองข้อ คือ “AI ถูกใช้โจมตีองค์กร” และ “AI agent ขององค์กรเองทำงานเกินขอบเขต” พร้อมเจ้าของความเสี่ยง
- 2. ตรวจสัญญาผู้ให้บริการ AI ดูว่ามีข้อแจ้งเหตุ ความรับผิด และสิทธิตรวจสอบหรือไม่ ถ้าไม่มีให้เติมในรอบต่อสัญญาถัดไป
- 3. ยืนยันมาตรการพื้นฐานตามข้อเสนอรายงาน เปิด MFA ทุกบัญชีสำคัญ สำรองข้อมูลแบบแยกขาด และแยกส่วนเครือข่ายระบบหลัก
- 4. ทำแผนที่ผู้ให้บริการและซัพพลายเออร์ ระบุว่าบริการไหนพึ่งใคร และถ้าเจ้าไหนล่มหรือถูกเจาะ ระบบไหนของเราหยุดตาม
- 5. ซ้อมสถานการณ์ผลกระทบลูกโซ่ จำลองเหตุที่ผู้ให้บริการ AI หรือคู่ค้าถูกโจมตี แล้วดูว่าใครแจ้งใคร ภายในกี่ชั่วโมง
ถ้าต้องการคนช่วยทำทะเบียนความเสี่ยง AI และตรวจสัญญาผู้ให้บริการ ดูได้ที่ บริการ AI Governance และ PDPA ของ Kooru และติดตามเรื่องนี้ต่อได้ที่ หมวด AI & Governance
มุมมองผู้เชี่ยวชาญ
สิ่งที่น่าสนใจในรายงานนี้ไม่ใช่เปอร์เซ็นต์ แต่คือผู้ตอบจาก 134 องค์กรชี้ไปทางเดียวกันว่ากลัว AI มากที่สุด จุดที่องค์กรมักพลาดคือเอาตัวเลขแบบสอบถามไปเขียนเหมือนสถิติเหตุจริง ความกลัวของผู้เชี่ยวชาญที่ถูกเขียนลงรายงานรัฐ คือตั๋วขออนุมัติงบที่ดีที่สุด ถ้าคุณเขียนที่มาให้ถูก ส่วนจะใช้งบไปกับอะไร ควรเริ่มจากสัญญาและพื้นฐานอย่าง MFA ก่อนซื้อเครื่องมือใหม่
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับรายงานความเสี่ยงไซเบอร์ สกมช.
รายงานความเสี่ยงไซเบอร์ สกมช. 2569 จัดภัยอะไรเป็นอันดับ 1
การโจมตีด้วย AI (AI-Enabled Attacks) เป็นอันดับ 1 โดยผู้ตอบ 68.1% เลือกเป็นภัยสำคัญ และ 40% จัดไว้อันดับ 1 รองลงมาคือแรนซัมแวร์และช่องโหว่ซีโร่เดย์
ตัวเลข 68.1% หมายความว่า 68.1% ขององค์กรถูกโจมตีด้วย AI ใช่ไหม
ไม่ใช่ ตัวเลข 68.1% เป็นสัดส่วนผู้ตอบแบบสอบถามที่เลือกการโจมตีด้วย AI เป็นภัยสำคัญ สะท้อนการรับรู้ความเสี่ยง ไม่ใช่จำนวนเหตุโจมตีจริง
รายงานนี้บังคับองค์กรให้ต้องทำตามหรือไม่
ข่าวที่อ่านไม่ได้ระบุว่ารายงานสร้างข้อบังคับใหม่ แต่องค์กรที่อยู่ภายใต้ พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 โดยเฉพาะ CII ใช้เป็นเอกสารอ้างอิงได้ ควรตรวจกับเอกสารฉบับเต็มของ สกมช. อีกครั้ง
องค์กรควรเริ่มจากข้อไหนหลังอ่านรายงานนี้
เริ่มจากเพิ่มสถานการณ์ภัยจาก AI ในทะเบียนความเสี่ยงและตรวจสัญญาผู้ให้บริการ AI เพราะแก้ได้ทันทีโดยไม่ต้องซื้อเครื่องมือ จากนั้นจึงตรวจ MFA การสำรองข้อมูล และการแยกเครือข่ายตามข้อเสนอของรายงาน
แหล่งอ้างอิง
- Thailand Plus — (อ่านต้นฉบับ) — อ่านข่าวที่ Thailand Plus
- สำนักข่าวบริคอินโฟ — (อ่านต้นฉบับ) — อ่านข่าวที่ สำนักข่าวบริคอินโฟ
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
