ลักษณะของการโจมตีของ Hacker
– เริ่มจากพนักงานดาวน์โหลดไฟล์อันตรายแบบไม่ระวัง ซึ่งไฟล์นั้นติดตั้งมัลแวร์ในระบบ เมื่อติดตั้งแล้ว ทำให้อุปกรณ์ถูกฝังมัลแวร์เข้าในเครือข่าย ก่อน Hacker จะได้รับสิทธิ์ผู้ดูแลระบบ (Admin Privileges) ทำให้สามารถเข้าถึงระบบอื่น ๆ ได้ ก่อนจะขโมยข้อมูลขนาดเกือบ 1 TB ออกไป พร้อมทำการปล่อย Ransomware และ Reset รหัสผ่านทั้งหมดทำให้พนักงานเข้าใช้งานระบบไม่ได้
– จุดน่าสนใจคือ แม้ระบบแจ้งเตือนความปลอดภัยจะมีการแจ้งเตือนระดับสูง “ในเวลาเพียง 10 นาที” และมี Automated Action บางส่วนเกิดขึ้นเพื่อป้องกันแล้ว แต่บริษัทฯ ต้องใช้เวลาถึง 58 ชั่วโมง ในการจัดการและกักกันอุปกรณ์นั้นออกจากระบบได้
การตัดสินโทษของ ICO UK
– เดิม ICO UK ตั้งใจจะสั่งปรับรวม 45 ล้านปอนด์ หรือประมาณ 1,900 ล้านบาท แต่บริษัทฯ มีการให้ความร่วมมือเป็นอย่างดี และมีการเยียวยาผู้เสียหายที่ได้รับผลกระทบ ทำให้ปรับลดคำสั่งปรับเหลือ 14 ล้านปอนด์ หรือประมาณ 600 ล้านบาท
สรุปบทเรียนจากกรณีดังกล่าว
– แม้ว่าจะมีระบบหรือมาตรการที่เข้มแข็ง “Human Error” ก็ยังเป็นสาเหตุที่ทำให้เกิดเหตุการณ์ข้อมูลรั่วไหลได้ ดังนั้นการสร้างความตระหนักรู้ด้านการคุ้มครองข้อมูลส่วนบุคคล จึงเป็นสิ่งสำคัญที่องค์กรและหน่วยงานต้องให้ความสำคัญเป็นลำดับต้น ๆ เพราะการคุ้มครองข้อมูลที่มีประสิทธิภาพ ไม่ใช่แค่เรื่องของ “ระบบ”
