ช่องว่างในห้องประชุมคณะกรรมการ: ทำไม CISOs ต้องพยายามพูดถึง Deepfakes — และวิธีการกำหนดกรอบการอภิปราย

ความปลอดภัยทางไซเบอร์กำลังเข้าสู่ช่วงเวลาที่สำคัญ โดยได้รับแรงผลักดันจากการที่องค์กรธุรกิจ รัฐบาล และบุคคลใช้ AI อย่างกว้างขวาง ด้วย 82% ของบริษัทในสหรัฐฯ ที่ใช้หรือกำลังสำรวจการใช้ AI ในธุรกิจของตน องค์กรต่างๆ กำลังปลดล็อกประสิทธิภาพใหม่ๆ แต่ผู้โจมตีก็เช่นกัน เครื่องมือที่ให้พลังในการสร้างนวัตกรรมยังช่วยให้ผู้โจมตีสามารถสร้างเนื้อหาสังเคราะห์ได้อย่างง่ายดายและสมจริง นี่คือความเป็นจริงใหม่ที่นำเสนอความท้าทายที่สำคัญ รวมถึงความสามารถในการสร้างเนื้อหาสังเคราะห์ (รูปภาพ เสียง และวิดีโอ) และ deepfakes ที่เป็นอันตราย (เนื้อหาที่ถูกดัดแปลงเพื่อปลอมตัวเป็นบุคคลจริง) ด้วยความเร็วและความซับซ้อนที่ไม่เคยเห็นมาก่อน ในการคลิกเพียงไม่กี่ครั้ง ใครก็ตามที่มีการเข้าถึงคอมพิวเตอร์และอินเทอร์เน็ตสามารถดัดแปลงรูปภาพ เสียง และวิดีโอได้ ทำให้เกิดความไม่ไว้วางใจและความสงสัยในบรรยากาศของข้อมูล

ในยุคที่บริษัท รัฐบาล และองค์กรสื่อขึ้นอยู่กับการสื่อสารดิจิทัลเพื่อการดำรงชีวิต ไม่มีพื้นที่สำหรับข้อผิดพลาดในการประเมินความเสี่ยงของ deepfakes การฉ้อโกงด้วยอัตลักษณ์สังเคราะห์ และการโจมตีปลอมตัว ซึ่งไม่ใช่ภัยคุกคามที่เป็นเพียงสมมติเท่านั้น การสูญเสียทางการเงินจากการฉ้อโกงด้วย deepfakes ในระดับองค์กรเกิน 200 ล้านดอลลาร์ในไตรมาสแรกของปี 2025 โดยเน้นย้ำถึงขนาดและความเร่งด่วนของปัญหา ภูมิทัศน์ภัยคุกคามใหม่ต้องการแนวทางใหม่ในการรักษาความปลอดภัยทางไซเบอร์ และ CISOs ต้องดำเนินการอย่างรวดเร็วเพื่อให้แน่ใจว่าบริษัทของตนยังคงปลอดภัย อย่างไรก็ตาม การขอเงินทุนใหม่และการสื่อสารความเสี่ยงขององค์กรให้กับคณะกรรมการบริหารที่มีความรู้ความเข้าใจในระดับที่แตกต่างกันเกี่ยวกับความรุนแรงของภัยคุกคามจาก deepfakes อาจเป็นเรื่องที่ท้าทาย เมื่อการโจมตีด้วย deepfakes ยังคงพัฒนาและเปลี่ยนแปลงรูปแบบ CISOs ทุกคนต้องอยู่ในแนวหน้าในการนำการอภิปรายเรื่องนี้เข้าสู่ห้องประชุมคณะกรรมการ

ด้านล่างนี้เป็นกรอบสำหรับ CISOs และผู้บริหารในการอำนวยความสะดวกในการอภิปรายกับคณะกรรมการบริหาร ระดับองค์กร และชุมชน

ใช้กรอบการทำงานที่คุ้นเคย: Deepfakes ในฐานะการโจมตีทางสังคมที่ซับซ้อน

คณะกรรมการบริหารได้รับการฝึกอบรมให้คิดเกี่ยวกับความปลอดภัยทางไซเบอร์ในแง่มุมที่คุ้นเคย เช่น อีเมลปลอม การโจมตีด้วย ransomware และคำถามที่ว่าบริษัทของพวกเขาจะถูกโจมตีหรือไม่ มุมมองนี้กำหนดวิธีการจัดลำดับความสำคัญของภัยคุกคามและจัดสรรงบประมาณด้านความปลอดภัย แต่เมื่อพูดถึงเนื้อหาที่สร้างด้วย AI โดยเฉพาะ deepfakes ไม่มีจุดอ้างอิงที่สร้างขึ้น การกำหนด deepfakes เป็นภัยคุกคามที่โดดเดี่ยวและใหม่ๆ มักจะนำไปสู่ความสับสน ความกังขา หรือการไม่ดำเนินการ

เพื่อต่อต้านสิ่งนี้ CISOs ควรยึดการอภิปรายไว้ในสิ่งที่คณะกรรมการบริหารเข้าใจแล้ว: การโจมตีทางสังคม ในแก่นแท้ ภัยคุกคามจาก deepfakes ไม่ใช่สิ่งใหม่โดยสิ้นเชิง มันเป็นรูปแบบที่พัฒนาแล้วและอันตรายมากกว่าของการโจมตีทางสังคมที่มีอยู่ในอุตสาหกรรมมาหลายปีและยังคงเป็นเวกเตอร์การโจมตีที่สำคัญที่สุด เวกเตอร์การโจมตี ของการโจมตีทางสังคม คณะกรรมการบริหารรับรู้การโจมตีทางสังคมเป็นความเสี่ยงที่น่าเชื่อถือและพร้อมที่จะอนุมัติทรัพยากรเพื่อป้องกันการโจมตี ในหลายด้าน Deepfakes แสดงถึงรูปแบบที่น่าเชื่อถือมากขึ้น มีประสิทธิภาพมากขึ้น และมีความสามารถมากขึ้นในการโจมตีทางสังคม โดยมุ่งเป้าไปที่ทั้งองค์กรและบุคคลด้วยความแม่นยำที่น่ากลัว

การกำหนด deepfakes ในลักษณะนี้ช่วยให้ CISOs สามารถใช้ประโยชน์จากการศึกษา ทรัพยากรที่มีอยู่ และความจำขององค์กรได้ แทนที่จะขอทรัพยากรใหม่ๆ พวกเขาสามารถกำหนดการขอใหม่ให้เป็นการพัฒนาของการลงทุนด้านความปลอดภัยที่ได้รับการอนุมัติแล้ว มากกว่าที่ CISOs จะสามารถยึดการอภิปรายไว้ในเรื่องราวนี้ได้มากเท่าไหร่ พวกเขาก็มีโอกาสที่จะได้รับทรัพยากรเพื่อจัดการกับปัญหาที่ใหญ่ขึ้นและเร่งด่วนนี้มากขึ้น

ยึดความเสี่ยงไว้ในความเป็นจริง ไม่ใช่การสร้างความตื่นตระหนก

การอ้างอิงตัวอย่างในโลกแห่งความเป็นจริงเป็นวิธีที่ดีในการเพิ่มความเข้าใจของคณะกรรมการบริหารเกี่ยวกับผลกระทบที่ภัยคุกคามจาก deepfakes อาจมีต่อองค์กร อย่างไรก็ตาม มีความสำคัญที่จะต้องพิจารณาว่า CISOs นำตัวอย่างใดไปแสดงให้คณะกรรมการบริหารเห็น เนื่องจากตัวอย่างเหล่านั้นอาจมีผลตรงกันข้าม เรื่องราวที่มีชื่อเสียง เช่น การฉ้อโกงด้วย deepfakes มูลค่า 25 ล้านดอลลาร์ในฮ่องกง เป็นเรื่องที่ดีในการอ่าน แต่เรื่องราวเหล่านั้นอาจมีผลตรงกันข้ามในห้องประชุมคณะกรรมการ เรื่องราวเหล่านี้ที่มีชื่อเสียงมักจะรู้สึกห่างไกลหรือไม่จริงจัง ทำให้เกิดความรู้สึกว่า “สิ่งที่น่ากลัวขนาดนั้นไม่เคยเกิดขึ้นกับเรา” ความเอนเอียงเกิดขึ้นทันทีและลบความรู้สึกเร่งด่วนในการลงทุนเพื่อป้องกัน

แทนการนั้น CISOs ควรใช้ตัวอย่างที่เกี่ยวข้องมากขึ้นเพื่อแสดงให้เห็นว่าความเสี่ยงนี้อาจเกิดขึ้นภายในองค์กรได้อย่างไร เช่น การปลอมตัวเป็นผู้บริหารหรือการปลอมตัวในการสัมภาษณ์

ในกรณีหนึ่ง ผู้โจมตีจากเกาหลีเหนือ สร้างการประชุม Zoom ปลอมที่มีผู้บริหารที่สร้างด้วย AI เพื่อหลอกลวงพนักงานด้านคริปโทเคอร์เรนซี่ให้ดาวน์โหลดมัลแวร์เพื่อเข้าถึงข้อมูลที่ละเอียดอ่อนของบริษัทด้วยความตั้งใจที่จะขโมยคริปโทเคอร์เรนซี่ ในที่สุด ผู้โจมตีไม่สามารถเข้าถึงได้ แต่ภัยคุกคามที่การโจมตีเหล่านี้มีต่อความซื่อสัตย์ของแบรนด์ควรเป็นเสียงเตือนให้กับคณะกรรมการบริหารในองค์กร

กลยุทธ์ที่เพิ่มขึ้นคือ ผู้สมัครงานปลอม ที่ใช้เอกลักษณ์และหลักฐานปลอมที่สร้างด้วย AI เพื่อเข้าถึงองค์กร โดยบุคคลเหล่านี้มักจะดำเนินการในนามของฝ่ายตรงข้ามของสหรัฐฯ เช่น รัสเซีย เกาหลีเหนือ หรือจีน โดยพยายามเข้าถึงระบบและข้อมูลที่ละเอียดอ่อน สิ่งนี้ทำให้ทรัพยากรภายในขององค์กรมีภาระหนักและทำให้องค์กรมีความเสี่ยงต่อความเสี่ยงด้านความมั่นคงแห่งชาติและความเสี่ยงด้านการเงิน

ภัยคุกคามเหล่านี้มักจะหลบเลี่ยงการตรวจจับ สำหรับทุกตัวอย่างที่อยู่ในข่าว มีหลายสิ่งที่ไม่ได้รายงาน ทำให้ยากต่อการเข้าใจขนาดของภัยคุกคามนี้ การโจมตีที่น่ากลัวและน่าเชื่อถือมากขึ้น — และน่าเชื่อถือมากขึ้น — มากกว่าการโจมตีที่น่ากลัวมากขึ้น โดยการแบ่งปันตัวอย่างเช่นนี้ — ที่เป็นจริง มีความเกี่ยวข้อง และใกล้ตัว — CISOs สามารถยึดการอภิปรายเรื่อง deepfakes ไว้ในการดำเนินงานทางธุรกิจประจำวันและเสริมสร้างว่าภัยคุกคามที่กำลังพัฒนานี้ต้องการความสนใจอย่างจริงจังในระดับคณะกรรมการ

เชื่อมโยงการป้องกัน deepfakes กับมาตรการความทนทานที่มีอยู่

CISOs ถูกถามคำถามเดิมๆ จากคณะกรรมการบริหารของตนเสมอ: ความน่าจะเป็นที่จะถูกโจมตีคืออะไร? จุดที่อ่อนแอที่สุดคืออะไร? วิธีการลดความเสี่ยงคืออะไร? ในขณะที่การโจมตีด้วย phishing ransomware และการละเมิดข้อมูลยังคงมีอยู่ มันสำคัญที่จะแสดงให้เห็นว่าการเปลี่ยนแปลงพื้นฐานที่เกิดขึ้นภายในจุดอ่อนเหล่านั้นและวิธีที่พวกมันขยายออกไปนอกเหนือจากพื้นผิวการโจมตีแบบดั้งเดิม

ทีม HR ทีมการเงิน และทีมจัดซื้อ — บทบาทที่ไม่เคยถูกมองว่าเป็นฝ่ายป้องกันในแนวหน้า — ตอนนี้เป็นเป้าหมายที่ถูกโจมตีโดยการปลอมตัวสังเคราะห์ และความสามารถของมนุษย์ในการตรวจจับภัยคุกคามเหล่านี้นั้นต่ำมาก ในความเป็นจริง เพียง 1 ในทุกๆ 1,000 คน สามารถตรวจจับเนื้อหาที่สร้างด้วย AI ได้อย่างแม่นยำ CISOs ต้องจัดการกับความต้องการในการศึกษาการโจมตีทางสังคมที่ซับซ้อนและความทนทานทางไซเบอร์ที่ดีขึ้นทั่วทั้งองค์กร เนื่องจากทุกคนในองค์กรต้องได้รับการฝึกอบรม ทดสอบ และต้องตระหนักถึงการช่วยเหลือในการบรรเทา

การป้องกัน deepfakes ต้องกลายเป็นส่วนหนึ่งของความทนทานขององค์กรทั่วโลก และต้องมีการศึกษาต่อเนื่องแบบเดียวกับที่ทีมได้รับการฝึกอบรมผ่านการจำลองการโจมตีทางสังคม การฝึกอบรมความตระหนัก และการออกกำลังกายของทีมแดง CISOs ควรใช้เมตริกจากการฝึกอบรมและการจำลองเพื่อช่วยกำหนดปัญหาในเมตริกที่คณะกรรมการของพวกเขาสามารถเข้าใจได้ หากคณะกรรมการได้ซื้อความทนทานเป็นลำดับความสำคัญเชิงกลยุทธ์สำหรับองค์กรแล้ว deepfakes จะกลายเป็นแนวหน้าที่เป็นธรรมชาติ

ภัยคุกคามที่สร้างด้วย AI ไม่ได้มาถึง พวกมันอยู่ที่นี่แล้ว มันถึงเวลาที่เราต้องแน่ใจว่าห้องประชุมคณะกรรมการพร้อมที่จะฟังและนำ

แต่คณะกรรมการบริหารไม่ต้องการบทนำเกี่ยวกับ deepfakes หรือการปลอมเสียง พวกเขาต้องการบริบททางธุรกิจที่ชัดเจนและความเข้าใจที่ดีขึ้นเกี่ยวกับภัยคุกคามที่พวกมันส่งผลต่อองค์กรของตน CISOs ควรยึดการอภิปรายไว้ในความเสี่ยง ต้นทุน และความต่อเนื่องในการดำเนินงาน ผู้ที่จัดแนวเรื่องราวของ deepfakes ให้เข้ากับแนวคิดที่คุ้นเคย — การโจมตีทางสังคม การโจมตีทางสังคมที่ซับซ้อน ความทนทาน — ให้คณะกรรมการของพวกเขามีกรอบและบริบทที่พวกเขาสามารถดำเนินการได้ ไม่ใช่แค่ทำตาม