ไม่ใช่แฮกเกอร์ภายนอก แต่เป็นแอดมินคนสนิท: เมื่อคนในทีมคือความเสี่ยงที่สุด

ขอเล่าเคสสมมติเพื่อให้เห็นภาพชัดขึ้น: ร้านเครื่องประดับออนไลน์แห่งหนึ่ง (สมมติชื่อ ‘Aurelia Jewels’) เริ่มสังเกตว่าคู่แข่งรายใหม่ที่เพิ่งเปิดตัวมาไม่ถึงสองเดือน กลับรู้ราคาต้นทุนและช่วงเวลาที่ลูกค้า VIP ของร้านมักสั่งซื้อได้แม่นยำผิดปกติ จนเจ้าของร้านเริ่มสงสัยว่าข้อมูลหลุดออกไปได้ยังไง

หลังไล่ตรวจสอบ พบว่าแอดมินคนหนึ่งที่ทำงานมาสองปีกำลังจะลาออกไปเปิดร้านแข่งกับเจ้านายเก่า และได้ค่อย ๆ คัดลอกรายชื่อลูกค้า VIP พร้อมประวัติการสั่งซื้อออกไปทีละน้อยตลอดสามเดือนที่ผ่านมา โดยไม่มีใครในทีมสังเกตเห็นเลย เพราะเขามีสิทธิ์เข้าถึงข้อมูลนั้นอยู่แล้วตามหน้าที่ปกติ

เรื่องแบบนี้ต่างจากการถูกแฮกจากภายนอกตรงที่คนร้ายไม่ต้องเจาะระบบเลย เพราะมีสิทธิ์เข้าถึงข้อมูลอยู่แล้วตั้งแต่ต้น สิ่งที่ทำให้จับได้ยากคือพฤติกรรมการเข้าถึงข้อมูลดูเหมือนงานประจำวันทั่วไป ไม่มีสัญญาณผิดปกติชัดเจนแบบการโจมตีจากภายนอก

สัญญาณที่ควรสังเกต ไม่ใช่เพื่อจับผิด แต่เพื่อป้องกันก่อนเรื่องบานปลาย

• มีการเข้าถึงหรือ export ข้อมูลลูกค้าในปริมาณมากผิดปกติเมื่อเทียบกับรูปแบบการทำงานปกติของคนคนนั้น
• พนักงานที่กำลังจะลาออกหรือมีความขัดแย้งกับร้าน จู่ ๆ เข้าดูข้อมูลที่ไม่เกี่ยวกับงานประจำวันของตัวเองบ่อยขึ้น
• มีคู่แข่งใหม่ที่รู้ข้อมูลเฉพาะของร้านแม่นเกินกว่าจะเดาได้จากการสังเกตทั่วไป เช่น ราคาต้นทุน หรือช่วงเวลาที่ลูกค้ารายใหญ่มักสั่งซื้อ
• ลูกค้าที่เคยซื้อกับร้านเป็นประจำ จู่ ๆ ถูกคู่แข่งติดต่อเสนอราคาที่ใกล้เคียงหรือดีกว่าในจังหวะที่ตรงกับพฤติกรรมการสั่งซื้อเดิมของเขาพอดี

โครงสร้างป้องกันที่ควรมีไว้ตั้งแต่แรก

เรื่องยากคือต้องคุยเรื่องนี้โดยไม่ทำให้ทีมรู้สึกว่าถูกจับตามอง

เจ้าของร้านหลายคนลังเลที่จะพูดเรื่องนี้ตรง ๆ กับทีม เพราะกลัวว่าจะทำให้บรรยากาศทำงานอึดอัดหรือทีมรู้สึกไม่ถูกไว้ใจ แต่ความจริงแล้วการอธิบายให้ชัดตั้งแต่แรกว่าทำไมถึงมีการจำกัดสิทธิ์และบันทึกการเข้าถึงข้อมูล กลับช่วยลดความอึดอัดได้มากกว่า เพราะทีมเข้าใจว่านี่คือมาตรฐานการทำงานของทุกคน ไม่ใช่การจับตามองคนใดคนหนึ่งเป็นพิเศษ

การมีระบบแบบนี้อยู่แล้วยังช่วยปกป้องพนักงานที่ซื่อสัตย์ด้วย เพราะถ้ามีปัญหาข้อมูลหลุดเกิดขึ้นจริง คนที่ไม่ได้เกี่ยวข้องจะพิสูจน์ตัวเองได้ง่ายขึ้นจากบันทึกการเข้าถึงที่มีอยู่ ไม่ต้องถูกสงสัยไปทั้งทีมเหมือนตอนที่ไม่มีระบบอะไรเลย

ถ้าเริ่มสงสัยว่ามีเรื่องแบบนี้เกิดขึ้นแล้ว ควรทำอะไรก่อน

1. ตรวจสอบบันทึกการเข้าถึงข้อมูลย้อนหลังของคนที่ต้องสงสัยอย่างเป็นระบบ ไม่ใช่กล่าวหาจากความรู้สึกเพียงอย่างเดียว
2. จำกัดสิทธิ์การเข้าถึงข้อมูลของคนนั้นชั่วคราวระหว่างตรวจสอบ โดยเฉพาะถ้ายังทำงานอยู่และมีสิทธิ์เข้าถึงข้อมูลต่อเนื่อง
3. ถ้าพบหลักฐานชัดเจน ควรปรึกษาผู้เชี่ยวชาญด้านกฎหมายก่อนตัดสินใจขั้นต่อไป เพราะเกี่ยวข้องกับทั้งเรื่องแรงงานและทรัพย์สินทางข้อมูล
4. หลังจบเรื่องแล้ว ทบทวนว่าทำไมถึงเกิดช่องโหว่ให้เข้าถึงข้อมูลได้มากขนาดนั้นตั้งแต่แรก แล้วปิดช่องนั้นให้เร็วที่สุด

สรุป

ภัยด้านข้อมูลไม่ได้มาจากภายนอกเสมอไป บางครั้งคนที่ทำให้ข้อมูลรั่วไหลคือคนที่ร้านไว้ใจที่สุด เพราะเขามีสิทธิ์เข้าถึงข้อมูลอยู่แล้วโดยไม่ต้องเจาะระบบอะไรเลย

การป้องกันที่ดีไม่ใช่การจับตามองทุกคนด้วยความระแวง แต่คือการวางโครงสร้างสิทธิ์และบันทึกการเข้าถึงข้อมูลให้เป็นมาตรฐานเดียวกันตั้งแต่แรก ซึ่งปกป้องทั้งร้านและปกป้องพนักงานที่ซื่อสัตย์ไปพร้อมกัน

• ความเสี่ยงจากคนในทีมมักไม่มีสัญญาณชัดเจนแบบการถูกแฮกจากภายนอก
• จำกัดสิทธิ์และบันทึกการเข้าถึงข้อมูลช่วยทั้งป้องกันและปกป้องพนักงานที่บริสุทธิ์
• ถ้าสงสัยเรื่องนี้ ให้ตรวจสอบด้วยข้อมูลก่อนเสมอ อย่าตัดสินจากความรู้สึกอย่างเดียว

คำถามที่พบบ่อย