การติดตามอย่างต่อเนื่อง: การเติมช่องว่างด้านความปลอดภัยในการจัดการความเสี่ยงของซัพพลายเออร์

โซ่จ่ายเงินเป็นกาวที่ยึดเศรษฐกิจโลกเข้าด้วยกัน แต่ก็เป็นแหล่งที่มาของความเสี่ยงทางธุรกิจที่เกี่ยวข้องกับไซเบอร์เช่นกัน การโจมตีทางไซเบอร์ต่อซัพพลายเออร์เพิ่มขึ้น 431% ระหว่างปี 2021 ถึง 2024 และ คาดว่าจะเพิ่มขึ้นต่อไป ซึ่งเป็นข่าวร้ายสำหรับธุรกิจที่ทำธุรกิจกับพวกเขา IBM ประมาณการ ว่าการละเมิดผู้ขายจากบุคคลที่สามมีความสัมพันธ์กับค่าใช้จ่ายในการละเมิดข้อมูลที่สูงที่สุด: 4.9 ล้านเหรียญสหรัฐต่อการละเมิด

ความท้าทายสำหรับผู้นำด้านความเสี่ยงและไซเบอร์ คือ กลไกการจัดการความเสี่ยงที่มีอยู่ไม่สมบูรณ์แบบ อาจช้า ใช้ทรัพยากรมาก และมีจุดบอด การจัดการความเสี่ยงของซัพพลายเออร์ที่แท้จริงมาจากการติดตามและควบคุมอย่างต่อเนื่อง

การเติบโตที่ไม่สามารถหยุดยั้งได้ของโซ่จ่ายเงิน

โซ่จ่ายเงินที่ซับซ้อนและกระจัดกระจายคือราคาที่เราจ่ายสำหรับการค้าขายทั่วโลก ในช่วงหลายสิบปีที่ผ่านมา โซ่จ่ายเงินได้เติบโตเพื่อรองรับความต้องการของผู้บริโภคสำหรับตัวเลือกที่หลากหลายและต้นทุนที่ต่ำกว่า ซึ่งได้รับแรงผลักดันจากการระเบิดของการช้อปปิ้งออนไลน์ ในเวลาเดียวกัน โซ่จ่ายเงินดิจิทัลก็ได้เติบโตอย่างมากเช่นกัน เนื่องจากการแพร่กระจายของซอฟต์แวร์เป็นบริการ (SaaS) ผู้ให้บริการจัดการ (MSPs) และความต้องการของธุรกิจสำหรับวิธีการทำงานที่มีประสิทธิภาพและสร้างสรรค์มากขึ้น

ผลลัพธ์? ความไม่โปร่งใสที่ควรจะมีความเข้าใจ และความเสี่ยงทางธุรกิจที่เพิ่มขึ้นซึ่งอาจส่งผลต่อผลกำไรและความภักดีของลูกค้าที่ได้รับมาอย่างยากลำบาก ตาม การประมาณการ หนึ่งๆ แม้แต่ธุรกิจขนาดกลาง (SMB) ม平均มีซัพพลายเออร์ถึง 800 ราย เมื่อนับซัพพลายเออร์ของซัพพลายเออร์ ตัวเลขก็จะเพิ่มขึ้นเป็นพันๆ ของธุรกิจ

ธุรกิจที่มีความเสี่ยง

这是ข่าวร้ายสำหรับ CISO และทีมของพวกเขา ซึ่งต้องหาวิธีจัดการความเสี่ยงด้านความปลอดภัยทางไซเบอร์ที่ไม่สามารถหลีกเลี่ยงได้จากการมีโซ่จ่ายเงินที่กว้างขวาง การละเมิดผู้ขายและโซ่จ่ายเงินส่งผลให้เกิดการละเมิดข้อมูล 15% ในปีที่แล้ว ตาม IBM Verizon อ้างว่าจำนวนนี้เพิ่มขึ้นสองเท่าในรอบหนึ่งปีเป็น 30% ไม่ว่าจำนวนที่แท้จริงจะเป็นเท่าใด ก็ชัดเจนว่าจากเหตุการณ์จริงที่เกิดขึ้นสามารถก่อให้เกิดความเสียหายได้

บุคคลที่สาม เช่น ผู้รับเหมาออกสอร์สและบริษัทให้บริการมืออาชีพ อาจเก็บข้อมูลเครดิตเชิงเข้าถึงและข้อมูลอื่นๆ ที่มีความละเอียดอ่อนของลูกค้า ซึ่งอาจเป็นข้อมูลส่วนบุคคลที่ได้รับการคุ้มครองตามกฎหมาย (PII) ของลูกค้าและพนักงาน หรือข้อมูลสิทธิ์ในทรัพย์สินทางปัญญา (IP) ความลับทางการค้า หรือข้อมูลทางการเงินที่ไม่ได้เผยแพร่ ซึ่งทั้งหมดนี้เป็นเป้าหมายหลักสำหรับกลุ่มก่อการทางไซเบอร์ ซึ่งอาจขโมยและ/หรือเข้ารหัสข้อมูลเพื่อบังคับให้จ่ายค่าไถ่ การละเมิดของผู้ขายส่งผลให้เกิดการโจมตีด้วยไวรัสแรนซัมแวร์มากกว่าสองในห้า (41%) ในปี 2024 ตาม การศึกษา หนึ่งๆ

เมื่อซัพพลายเออร์เพิ่มขึ้น ความเสี่ยงของการฉ้อโกงทางธุรกิจ เช่น การฉ้อโกงทางอีเมลธุรกิจ (BEC) ก็เพิ่มขึ้นด้วย ผู้โจมตีอาจส่งอีเมลฉ้อโกงไปยังสมาชิกในทีมการเงิน หรือแม้แต่ผู้บริหารระดับสูง โดยขอการชำระเงินสำหรับใบแจ้งหนี้ที่ไม่มีอยู่จริง พวกเขาทำให้การโจมตีของพวกเขาประสบความสำเร็จมากขึ้นโดยการแฮกอีเมลของลูกค้า/ซัพพลายเออร์ เพื่อสามารถติดตามการสื่อสารและเข้าใจรูปแบบของใบแจ้งหนี้ การสูญเสียจาก BEC ที่ รายงานต่อ FBI มีมูลค่าเกือบ 2.8 พันล้านดอลลาร์สหรัฐฯ ในปีที่แล้ว ทำให้เป็นการก่อการทางไซเบอร์ที่มีรายได้สูงสุดเป็นอันดับสอง

จากนั้นก็มีซัพพลายเออร์ของซัพพลายเออร์ รายงานปี 2023 หนึ่งๆ อ้างว่าครึ่งหนึ่งขององค์กรที่ศึกษาได้มีความสัมพันธ์ทางอ้อมกับซัพพลายเออร์ที่สี่ที่ถูกโจมตีในสองปีที่ผ่านมา ซัพพลายเออร์ที่เล็กกว่านั้นอาจมีทรัพยากรที่จะใช้จ่ายในการรักษาความปลอดภัยที่ดีที่สุด

AI เป็นของขวัญให้กับแฮกเกอร์

เทคโนโลยี AI ถูกนำมาใช้โดยผู้ก่อการทางไซเบอร์เพื่อเพิ่มความสำเร็จของพวกเขา ในความเป็นจริง ผู้เชี่ยวชาญของรัฐบาลอังกฤษ เตือนในปีนี้ ว่าเทคโนโลยีนี้ “จะทำให้การโจมตีทางไซเบอร์บางส่วนมีประสิทธิภาพและง่ายขึ้น”

เราจะเห็นสิ่งนี้ในทางที่ AI ช่วยให้สามารถสร้างแคมเปญฟิชชิ่งได้ในภาษาท้องถิ่นที่สมบูรณ์แบบ ในทางที่ AI ช่วยให้สามารถทดสอบจุดอ่อนของระบบและเลือกเป้าหมายได้ และในทางที่ AI อาจช่วยในการสร้างมัลแวร์และการโจมตีได้ นั่นคือเหตุผลที่ AI จะทำให้ “การโจมตีทางไซเบอร์เพิ่มขึ้นในแง่ของความถี่และความรุนแรง” ในช่วงสองปีที่จะมาถึง ตามรายงาน

ขึ้นอยู่กับประเภทและขอบเขตของเหตุการณ์ด้านความปลอดภัย ผลกระทบต่อลูกค้าของซัพพลายเออร์ที่ถูกโจมตีจะแตกต่างกันไปตั้งแต่ความเสียหายทางการเงินและชื่อเสียง ไปจนถึงความเสี่ยงด้านกฎระเบียบและความเสียหายต่อการดำเนินงาน ยิ่งเหตุการณ์ไม่ได้รับการตรวจจับนานเท่าไหร่ ผู้โจมตีก็จะยิ่งมีเวลาอยู่ในระบบมากขึ้น และสุดท้ายก็จะทำให้ต้องใช้เวลามากขึ้นในการแก้ไขและฟื้นฟูจากเหตุการณ์นั้น ไม่น่าดึงดูดที่ IBM ระบุว่าการละเมิดโซ่จ่ายเงินใช้เวลานานที่สุดในการแก้ไข

กรณีศึกษาหนึ่งคือการเปิดเผยการละเมิดการแรนซัมแวร์ที่สำคัญที่ซัพพลายเออร์ BPO ที่มีรายได้หลายล้านเหรียญสหรัฐฯ Conduent มากกว่า 11 ล้านคนในอเมริกาอาจมีหมายเลขประกันสังคม รายละเอียดการประกันสุขภาพ และข้อมูลทางการแพทย์ถูกเปิดเผย ตาม รายงาน และแม้ว่าพวกเขาจะเพิ่งได้รับการแจ้งเตือนเมื่อเดือนพฤศจิกายน 2025 แต่เชื่อกันว่าสภาพแวดล้อมของบริษัทถูกโจมตีตั้งแต่เดือนตุลาคม 2024

ทำไมการติดตามอย่างต่อเนื่องจึงสำคัญ

幸い AI ยังสามารถช่วยให้ผู้ดีๆ ชนะความท้าทายที่พบในการจัดการความเสี่ยงทางไซเบอร์ของซัพพลายเออร์ มากเกินไปที่องค์กรต้องดิ้นรนกับกระบวนการที่ช้าและใช้แรงงานคน และแบบสอบถามที่ใช้เวลานานซึ่งทำให้เกิดความล่าช้าและจุดบอด การจัดทำเอกสารของผู้ขายที่ไม่สอดคล้องกันทำให้ยากที่จะเปรียบเทียบคะแนนความเสี่ยงในระบบนิเวศ และเข้าใจสิ่งที่สำคัญที่สุดสำหรับธุรกิจ

แทนการนั้น ด้วยการเข้าใกล้ด้วยข้อมูลและ AI องค์กรสามารถทำให้กระบวนการอัตโนมัติทำงานหนักได้ทั้งในระหว่างการอนุมัติและหลังจากนั้น สิ่งนี้มีความสำคัญเพราะความเสี่ยงไม่หยุดเมื่อซัพพลายเออร์ได้รับการอนุมัติแล้ว แต่จะดำเนินต่อไปซึ่งอาจเกิดขึ้นทุกชั่วโมงหรือทุกวัน โดยมีการโจมตีใหม่ๆ การละเมิดข้อมูล จุดอ่อนของซอฟต์แวร์ หรือบัญชีที่ตั้งค่าผิดพลาด ซัพพลายเออร์อาจลงทุนในโครงสร้างพื้นฐานใหม่ ซึ่งเพิ่มพื้นที่โจมตีทางไซเบอร์ พวกเขาอาจเพิ่มซัพพลายเออร์ใหม่ๆ ซึ่งเปลี่ยนความเสี่ยง และอาจถูกโจมตีจากแคมเปญของกลุ่มก่อการใหม่ๆ

ทั้งหมดนี้ต้องการแนวทางที่มีประสิทธิภาพมากขึ้นในการจัดการความเสี่ยงของบุคคลที่สาม ซึ่งเกินกว่าการรวบรวมและประมวลผลแบบสอบถามและเอกสารของผู้ขาย ควรเน้นไปที่การระบุความเสี่ยงในเวลาจริง เพื่อให้องค์กรสามารถดำเนินการอย่างรวดเร็วก่อนที่จะเกิดความเสียหาย

การเริ่มต้นด้วย AI

การบรรลุความเข้าใจ 360 องศาและต่อเนื่องเกี่ยวกับความเสี่ยงทางไซเบอร์ของซัพพลายเออร์ จะต้องใช้ข้อมูลจำนวนมากและอัลกอริทึมที่ชาญฉลาดเพื่อระบุรูปแบบที่น่าสงสัย ข้อมูลที่มีคุณภาพสูงยิ่งขึ้นจะทำให้มีความเข้าใจที่ดีขึ้น ซึ่งอาจรวมถึงข้อมูลการโจมตีทางไซเบอร์ที่ค้นหาในฟอรัมเว็บมืดเพื่อหาสัญญาณเตือนการละเมิดล่วงหน้า หรือการตรวจสอบจุดอ่อนที่เน้นย้ำถึงการอัปเดตด้านความปลอดภัยที่หายไปในอสังหาริมทรัพย์ของซัพพลายเออร์ อาจติดตามหลักฐานการเข้าถึงอีเมลของฝ่ายการเงินของซัพพลายเออร์ ซึ่งอาจบ่งบอกถึงการโจมตี BEC ที่กำลังจะเกิดขึ้น หรือแม้แต่แบบแผนการทำธุรกรรมที่น่าสงสัยที่เกี่ยวข้องกับซัพพลายเออร์เหล่านั้น

AI สามารถใช้เพื่อระบุความเสี่ยงที่สำคัญในเวลาจริง เพื่อดำเนินการในทันที และเพื่อจัดสรรคะแนนความเสี่ยงที่อัปเดตอย่างต่อเนื่องสำหรับซัพพลายเออร์แต่ละราย โดยชั่งน้ำหนักตามนโยบาย โพสิชั่น และความสำคัญต่อธุรกิจ

AI ที่ใช้งานได้จริงยังสามารถเป็นพันธมิตรที่ทรงพลัง โดยทำงานอิสระเพื่อดูดและวิเคราะห์เอกสารซัพพลายเออร์ที่ซับซ้อน เช่น รายงาน SOC 2 และนโยบายด้านความปลอดภัยภายในองค์กร และแมปการควบคุมไปยังกรอบการทำงานที่กำหนด เช่น NIST CSF หรือ ISO 27001 ซึ่งสามารถให้ความโปร่งใสด้านการปฏิบัติตามกฎระเบียบได้ภายในไม่กี่นาที แทนที่จะเป็นชั่วโมง ทำให้เวลาเปิดให้ทีมด้านความปลอดภัยและความเสี่ยงสามารถทำงานในงานที่มีคุณค่ามากขึ้น ในองค์กรที่มีความต้องการสูง AI อาจทำงานอิสระเพื่อแก้ไขและจัดการปัญหาอย่างสม่ำเสมอ หรืออย่างน้อยก็ส่งไปยังสมาชิกในทีมที่เหมาะสมเพื่อความสนใจทันที

การรวมทุกอย่างเข้าด้วยกัน

กุญแจสำคัญคือการรับรองว่าระบบใดๆ สำหรับการจัดการความเสี่ยงทางไซเบอร์ของซัพพลายเออร์เป็นระบบที่รวมเข้าด้วยกัน เพื่อให้ข้อมูลความเสี่ยงไม่ถูกแยกออกและไม่สามารถใช้งานได้ ในอุดมคติ แพลตฟอร์มเดียวกันควรทำให้สามารถจัดการความเสี่ยงของซัพพลายเออร์ได้ในหลายๆ ด้าน เช่น การปฏิบัติตามกฎระเบียบ ความยั่งยืน การเงิน และการดำเนินงาน ซึ่งควรให้ข้อมูลที่สามารถตัดสินใจทางธุรกิจที่ดีขึ้นได้

สิ่งสำคัญที่สุดคือต้องจำไว้ว่าความเสี่ยงทางไซเบอร์เป็นความเสี่ยงทางธุรกิจโดยพื้นฐานแล้ว ไม่สามารถกำจัดได้ แต่สามารถจัดการได้อย่างมีประสิทธิภาพ