ในปัจจุบันการใช้งานระบบอินเทอร์เน็ตในประเทศไทยนั้น มีจำนวนผู้ใช้งานมากกว่า 10 ล้านคน (ข้อมูลจาก NECTEC และสำนักงานสถิติแห่งชาติ) ส่วนใหญ่จะมีช่วงอายุที่ยังไม่มากนัก เช่น เด็กมัธยมและวัยรุ่น ยกตัวอย่างเช่น การเล่นเกมส์ออนไลน์ผ่านอินเทอร์เน็ตทุกครัวเรือน จากความนิยมของเทคโนโลยีอินเทอร์เน็ตความเร็วสูง (ADSL) ผู้ใช้งานอินเทอร์เน็ตส่วนใหญ่ในวันนี้กำลังเพลิดเพลินไปกับเทคโนโลยี WEB2.0 ที่เรารู้จักกันในนามของ Social Network เช่น Hi5 , My Space และ Face Book
ภัยอินเทอร์เน็ตสมัยใหม่จึงมุ่งไปยังกลุ่มผู้ใช้งานตามบ้านผ่านทางการเข้าเว็บไซต์ Social Network ดังกล่าว อีกทั้ง การนิยมชำระเงินและทำธุรกรรมผ่านทางระบบออนไลน์ เช่น ระบบ Internet Banking และระบบ Pay-Online ทำให้กลุ่มผู้ไม่หวังดีหันมาปล้นเงินผ่านทางระบบออนไลน์เพิ่มมากขึ้น ด้วยวิธีการล่อลวงในแบบต่างๆ เช่น Phishing และ Pharming

ดังนั้นจึงสรุปได้ว่า ภัยอินเทอร์เน็ตประจำปี 2009 (ตอนที่1) นั้น แบ่งประเภทได้เป็น 10 ประเภท ดังต่อไปนี้
1. ภัยจากการใช้เทคโนโลยี WEB2.0 และ Social Networking (Client Side Attack)
การหลอกลวงผ่านทางการเข้าเว็บไซต์ยอดนิยม เช่น Hi5 หรือ Face Book นั้นกำลังเป็นที่นิยมไปยังหมู่แฮกเกอร์ ด้วยเทคนิคหลากหลายรูปแบบผสมผสานกัน เช่น การใช้ Phishing ร่วมกับ Social Engineering เช่น การหลอกให้ผู้ใช้หลงเข้าไป ล็อกอินในเว็บไซต์ปลอมที่ดูเหมือนเว็บไซต์ Social Network ยอดนิยม ทำให้ผู้ใช้งานอินเทอร์เน็ตถูกขโมย Username และ Password โดยไม่รู้ตัว (Identity Theft) ยิ่งไปกว่านั้นโปรแกรมประสงค์ร้าย เช่น โปรแกรมม้าโทรจันยังนิยมแพร่กระจายผ่านทางเว็บไซต์ Social Network ดังกล่าวด้วย
การป้องกันไม่ให้ตกเป็นเหยื่อการล่อลวงอย่างที่กล่าวมาแล้ว คือ ต้องคอยสังเกตเวลา login เข้าเว็บไซต์ว่าเป็น เว็บไซต์จริงหรือเว็บไซต์ปลอม ต้องมีสติระลึกให้รู้ก่อนคลิกหรือป้อนข้อมูลส่วนตัว เช่น Username หรือ Password ลงในเว็บไซต์ที่กำลังใช้งานอยู่ นอกจากนี้ยังควรหมั่น update ข้อมูลข่าวสารให้เป็นปัจจุบันโดยการเข้าไปอ่านข่าวเกี่ยวกับเรื่องความปลอดภัยในอินเทอร์เน็ตหรืออ่านจากแมกกาซีนต่างๆ เพื่อให้เข้าใจถึงเทคนิคการล่อลวงใหม่ๆ ที่อาจเกิดขึ้นได้ตลอดเวลา
2. ภัยจากการทำธุรกรรมออนไลน์และการใช้ E-Commerce
ภัยในข้อสองนี้กำลังมีอัตราการเพิ่มขึ้นตามความนิยมที่ผู้คนชอบหันมาทำธุรกรรมออนไลน์มากขึ้น เช่น การโอนเงินไม่จำเป็นต้องโอนเงินที่ตู้เอทีเอ็ม แต่สามารถโอนผ่าน Internet Banking ได้เนื่องจากสะดวกสบาย รวดเร็ว และประหยัดค่าใช้จ่ายในการเดินทาง ที่สำคัญไม่ต้องใช้บัตรเอทีเอ็มก็สามารถโอนได้ หรือการซื้อของผ่านทางอินเทอร์เน็ตใช้เพียงแค่ข้อมูลในบัตรเครดิตก็สามารถสั่งซื้อของได้โดยง่าย ดังนั้น กลุ่มอาชญากรคอมพิวเตอร์รุ่นใหม่จึงนิยมเจาะระบบการทำธุรกรรมออนไลน์เป็นหลัก เนื่องจากมีผลประโยชน์จากการได้ขโมยเงินในบัญชีของเหยื่อ เรียกว่า No Hack For Fun แต่ Hack For Money สามารถดำรงชีวิตอยู่ได้จากการประกอบมิจฉาชีพโดยการเจาะระบบ แฮกเกอร์บางคนทำเป็นอาชีพเลยก็มี นอกจากการเจาะระบบแล้วยังมีกลโกงโดยการปลอมและ copy บัตรเอทีเอ็มอย่างผิดกฎหมายอีกด้วย เหยื่อมักถูกหลอกให้ติดตั้งโปรแกรมม้าโทรจันลงบนเครื่องผ่านทาง Internet Browser ยอดนิยมเช่น IE และ Firefox โดยเทคนิค Phishing และ Pharming โปรแกรมม้าโทรจันดังกล่าวมักจะทำงานในลักษณะของโปรแกรมดักข้อมูลจากคีย์บอร์ด (Key Logger) เคยมีกรณีตัวอย่างเกิดขึ้นในประเทศไทยมาแล้ว
โดยลูกค้าธนาคารแห่งหนึ่งถูกขโมยโอนเงินไปกว่า 800,000 บาท จากวิธีดังกล่าว เทคนิคการหลอกหลวงนั้นยังพัฒนาเพื่อการขโมย Username และ Password ของเหยื่อ เช่น เทคนิค Fast Flux (DNS Hijacking) หรือเทคนิค TYPO-SQUATTING (URL Hijacking) ตลอดจนการโทรศัพท์หลอกลวงให้บอกข้อมูลส่วนตัวดังที่เป็นข่าวใหญ่ในหนังสือพิมพ์หลายฉบับ ด้วยเทคนิค Vishingและการแอบ copy บัตรเครดิตเพื่อทำบัตรปลอมที่เรียกว่า Skimming รวมทั้งการหลอกลวงโดยเทคโนโลยีเดิมที่เก่าแก่ที่สุดในโลก ได้แก่ เทคนิค Social Engineering โดยการหลอกอำเหยื่อเพียงแค่ส่งอีเมลล์มาหลอก นิยมเรียกเทคนิคนี้ว่า Internet SCAM เช่น จดหมายหลอกลวงไนจีเรียสสแคม(Internet SCAM) โดยหลอกลวงว่าเราจะได้รับเงินก้อนใหญ่แค่เพียงโอนเงินค่าธรรมเนียมเล็กน้อยไปให้เขาก่อน เรียกว่าตกทองยุคไฮเทคก็ว่าได้ ทางแก้ปัญหาทั้งหมดดังกล่าวนี้ ก็เป็นทางแก้เดิมๆ ด้วยการกำหนดสติเวลาที่เราทำธุรกรรมออนไลน์ ไม่หลงเชื่ออีเมลล์หลอกลวงที่ทำให้เราเกิดความโลภ และตกเป็นเหยื่อโดยรู้เท่าไม่ถึงการณ์ ส่วนการถูกแอบปลอมบัตรเครดิตนั้น ทางแก้คือ ควรหมั่นตรวจเช็ค Credit Card Statement และ ถ้าพบปัญหาให้แจ้งไปยังธนาคารต้นสังกัดที่เราใช้บัตรเครดิตอยู่ ก็สามารถป้องกันและแก้ไขปัญหาดังกล่าวได้
3. ภัยจากระบบ BOTNET (Robot Network)
กล่าวถึงปัญหา BOTNET เป็นปัญหาใหญ่ของ ISP ทั่วโลกในช่วง 2-3 ปีที่ผ่านมา เพราะจะทำให้ลูกค้าของ ISP เช่น ผู้ใช้งานอินเทอร์เน็ตตามบ้านถูกยึดเครื่องเปลี่ยนไปเป็นเครื่องของแฮกเกอร์โดยไม่รู้ตัว เมื่อเครื่องที่ถูกยึดมีจำนวนมากขึ้น เป็นหลักหมื่น หลักพัน ทำให้การจราจรข้อมูลของ ISP เกิดปัญหาเรื่องความล่าช้า บางรายไม่สามารถให้บริการได้ ปัญหาดังกล่าวเกิดจากผู้ใช้งานอินเทอร์เน็ตตามบ้านยังไม่มีความเข้าใจและยังไม่ระมัดระวังภัยที่เกิดขึ้นจากการใช้งานระบบอินเทอร์เน็ต เช่น ได้รับข่าวสารว่าจะมีภัยสึนามิเกิดขึ้นในภาคใต้เป็นครั้งที่ 2 ก็รีบเปิดไฟล์ดูกันด้วยความตื่นตระหนกตกใจในข่าวดังกล่าว เป็นเหตุให้ถูกหลอกให้เปิดโปรแกรมไวรัสหรือ worm ทำให้เครื่องของเหยื่อกลายเป็น BOT หรือ Zombie ไปโดยปริยาย จากนั้นเครื่องของเหยื่อจะถูกควบคุมระยะไกลโดยแฮกเกอร์ที่ส่งโปรแกรมดังกล่าวหลอกผ่านมาทางอีเมลล์ ข่าวร้ายที่เราได้รับวิธีการนี้นิยมกันมากในยุโรปเรียกว่า Strong Worm โดยหลอกว่ามีคน 230 คนตายเนื่องจากพายุที่เกิดขึ้นในยุโรป ทางแก้ปัญหานั้นแบ่งออกเป็น 2 ทาง คือ
3.1. แก้ปัญหาที่ ISP โดยใช้เทคโนโลยีในการควบคุมเครื่องลูกค้าที่เป็น BOT ไปแล้ว ไม่ให้ส่งข้อมูลมารบกวนเครื่องลูกค้าปกติที่ยังไม่ได้กลายเป็น BOT ซึ่ง ISP แต่ละรายจะใช้เทคนิคในการแก้ปัญหาที่แตกต่างกัน
3.2 การแก้ปัญหาอีกทางหนึ่งคือ การแก้ปัญหาที่เครื่องผู้ใช้งานอินเทอร์เน็ตตามบ้าน โดยแนะนำให้ตั้งเป็นโปรแกรม Anti Malwareในคอมพิวเตอร์ทุกเครื่อง ตลอดจนไม่ดาวน์โหลดหรือเปิดโปรแกรม .EXE โดยไม่จำเป็นเพื่อไม่ให้โปรแกรมมุ่งร้ายสามารถทำงานบนเครื่องของเราได้
4. ภัยจากพนักงานภายในบริษัท หรือลูกจ้างชั่วคราวเข้าเจาะระบบของบริษัทเอง(Insider Attack)
โดยปกติแล้วพนักงานบริษัททั่วไปจะมีคอมพิวเตอร์ใช้งานกันทุกคนและมักใช้งานในเรื่องที่ไม่เกี่ยวข้องกับการทำงานของบริษัทอยู่มากพอสมควรเช่น การโหลดหนัง โหลดเพลง การใช้ MSN และการใช้งานเว็บไซต์ Social Network นอกจากเรื่องเสียเวลาทำงานแล้ว ซึ่งไม่ใช่ประเด็นหลัก ปัญหาที่ควรกังวลก็คือ การที่ผู้ใช้งานคอมพิวเตอร์รู้เท่าไม่ถึงการณ์เผลอโหลดหรือเปิดไฟล์ไวรัสที่ถูกส่งมาผ่านทางอินเทอร์เน็ต จากการใช้งานโปรแกรมดังกล่าว โดยไม่ระมัดระวัง ทำให้เครือข่ายภายในบริษัทหรือองค์กรเกิดปัญหาติดไวรัสเป็นจำนวนมาก ทางแก้ปัญหาสามารถทำได้โดยการกำหนดให้มีนโยบายหรือ Policy ที่เราเรียกว่า Acceptable Use Policy (AUP) เพื่อให้ผู้ใช้ได้ปฏิบัติตามนโยบายดังกล่าว จำเป็นต้องมีการฝึกอบรมที่เราเรียกว่า iSATหรือ Information Security Awareness Training เกิดขึ้นเป็นประจำอย่างน้อยปีละ 2 ครั้ง จะช่วยแก้ปัญหาดังกล่าวได้มาก
องค์กรใหญ่หลายองค์กรนิยมเชิญผู้เชี่ยวชาญภายนอกมาฝึกอบรมในหลักสูตรดังกล่าวเป็นประจำทุกปี โดยจะให้ได้ผลที่ดีนั้น จำเป็นอย่างยิ่งที่ต้องอบรมพนักงานทุกคนทั้ง IT และ Non-IT นอกจากนี้ ปัญหา Insider Attack ยังรุนแรงกว่าการรู้เท่าไม่ถึงการณ์ของการใช้คอมพิวเตอร์ทั่วไปดังที่กล่าวมาแล้วในตอนต้นคือ การที่พนักงานบางคนมีเจตนามุ่งร้ายในการแอบขโมยข้อมูลบริษัทเพื่อผลประโยชน์ส่วนตัว หรืออาจจะเกิดจากความแค้นในบางเรื่องแล้วทำการเจาะเข้าระบบของบริษัทตัวเอง ซึ่งธรรมดาก็จะง่ายกว่าคนนอกมาเจาะอยู่แล้ว เนื่องจากเป็นการเจาะระบบจากภายใน ทำให้ข้อมูลรั่วไหลออกไปโดยง่าย ไม่ว่าจะผ่านทางการส่งอีเมลล์หรือ copy ลง USB Drive ก็ยากที่จะตรวจสอบ หากบริษัทหรือองค์กรไม่มีเทคโนโลยี DRM และ DLP ไว้ป้องกัน สิ่งที่น่ากลัวในอนาคตก็คือ อัตราการเพิ่มของ Insider Attack นั้นมีอัตราเพิ่มขึ้นทุกปี ทำให้การป้องกันข้อมูลรั่วไหลในองค์กรหรือ Data Loss Prevention กลายเป็นเรื่องสำคัญขึ้นมา ในองค์กรที่มีข้อมูลสำคัญอยู่เช่น ธนาคาร บริษัทที่ปรึกษา บริษัทวิจัย บริษัทออกแบบ และบริษัทที่มีทรัพย์สินทางปัญญาที่มีความสำคัญกับการดำเนินการธุรกิจ ทางแก้ปัญหาดังกล่าวนั้น ควรมีเทคโนโลยีขั้นสูงที่จะป้องกันไม่ให้ข้อมูลรั่วไหลจากที่กล่าวมาแล้วคือ DLP และ DRM ปัญหาคือ ราคายังค่อนข้างสูง อาจนำมาใช้ได้ในบางระบบก่อนแล้วค่อยเพิ่มเติมในภายหลัง อีกสิ่งที่ได้ผลคือ หมั่นตรวจสอบระบบโดย Internal Audit หรือ External Audit อย่างสม่ำเสมอ ก็จะช่วยให้เราทราบถึงเหตุการณ์ต่างๆ ที่เกิดขึ้น ก่อนที่ปัญหาจะลุกลามออกไปในอนาคต เพราะความเสียหายที่เกิดขึ้นจากข้อมูลรั่วไหลนั้นเป็นความเสียหายที่รุนแรง อาจทำให้ถูกฟ้องร้องซึ่งมีหลายบริษัทที่ต้องปิดกิจการไปแล้วหลายราย ดังนั้นผู้บริหารระดับสูงไม่ควรมองข้ามภัยข้อนี้เด็ดขาด
5. ภัยจากการไม่เข้าใจในแนวคิด GRC ของผู้บริหารระดับสูงขององค์กร
แนวคิด GRC ย่อมาจาก Governance , Risk and Compliance กำลังเป็นแนวคิดที่ได้รับความนิยมไปทั่วโลก เห็นได้จากหน่วยงานที่มีหน้าที่ในการควบคุมกำกับดูแล เช่น ธนาคารแห่งประเทศไทย กรต. สตง. ตลอดจน สคร. (โดยบริษัท TRIS Corporation) ได้กำหนดกฎเกณฑ์ในการตรวจสอบ ( Assess and Audit) หน่วยงายภายใต้การกำกับดูแลโดยใช้แนวความคิด GRC ด้วยกันทั้งสิ้น ดังนั้น จะเห็นได้ว่าแนวความคิด GRC นั้นมีความสำคัญอย่างยิ่งในการบริหารจัดการสมัยใหม่ที่ต้องการความโปร่งใสและมีประสิทธิภาพในการบริหารจัดการ ปัญหาก็คือ ผู้บริหารระดับสูงในองค์กรส่วนใหญ่ยังไม่ซึมซับในหลักการ ในแนวคิด GRC อย่างลึกซึ้งและถ่องแท้ โดยยังไม่เข้าใจในปรัชญาและแนวการปฏิบัติตามแนวคิดดังกล่าว ทำให้องค์กรไม่ผ่านการตรวจสอบหรือมีคะแนนจากการตรวจสอบในระดับต่ำ ส่งผลให้ KPI ของผู้บริหารตลอดจนองค์กรโดยรวมนั้นไม่ผ่านเกณฑ์ที่ Regulator ได้กำหนดไว้ ถามว่ามีความเกี่ยวข้องกับภัยอินเทอร์เน็ตตรงไหน ตอบได้ว่า การไม่เข้าใจในหลักการบริหารความเสี่ยงที่ถูกต้องตามหลักวิชาการ ความไม่โปร่งใสในการบริหารจัดการและการไม่ปฏิบัติตามกฎหมายและกฎข้อบังคับต่างๆ สามารถเกิดขึ้นโดยง่ายผ่านการใช้งานอินเทอร์เน็ตที่ไม่ถูกต้อง
หรืออาจเกิดจากการใช้งานอินเทอร์เน็ตของพนักงานภายในองค์กรแล้วไปละเมิดกฎหมายโดยไม่รู้ตัว เช่น พนักงานบริษัทมีการทำผิดในพรบ.การกระทำผิดเกี่ยวกับคอมพิวเตอร์ โดยการ forward ภาพลามกอนาจาร หรือ ผู้ดูแลระบบสารสนเทศไม่มีการจัดเก็บ Log File ไว้ในระบบ Centralized Log อย่างน้อย 90 วัน เป็นต้น การแก้ปัญหาที่ถูกต้องคือ หน่วยงานต้องสนับสนุนในการจัดตั้งคณะกรรมการในการดำเนินงานเกี่ยวกับการศึกษากฎหมายและกฎระเบียบข้อบังคับต่างๆ เช่น พรบ.การกระทำผิดเกี่ยวกับคอมพิวเตอร์ และพรบ.ธุรกรรมทางอิเล็กทรอนิกส์ ตลอดจนศึกษา Standard , Best Practice ต่างๆ เช่น ISO/IEC 27001 และ ITIL ตลอดจน CoBITเป็นต้น จากนั้นนำแนวทางจากมาตรฐานและ Standard , Best Practice มาประยุกต์ใช้ในองค์กรให้สอดคล้องกับแนวคิด GRC ก็จะทำให้องค์กรมีประสิทธิภาพในการปฏิบัติงานมากขึ้นและยัง Comply กับกฎหมายและกฎระเบียบต่างๆ อีกด้วย ดังนั้น ผู้บริหารระดับสูงรุ่นใหม่ไม่ควรมองข้าม แนวความคิด GRC และควรรีบปรับกระบวนการบริหารจัดการในบริษัท (Internal Process) ให้เป็นระบบและสอดคล้องกับ Standard , Best Practice อย่างที่กล่าวมาแล้วจะช่วยเสริมภาพลักษณ์และความน่าเชื่อถือให้องค์กรและสร้างความสามารถในการแข่งขันให้แก่องค์กรแบบบูรณาการต่อไปในอนาคต

สำหรับภัยอินเทอร์เน็ตที่เหลืออีก 5 ภัย ผมขอกล่าวไว้ในฉบับหน้า อย่าลืมติดตามนะครับ ขอบคุณครับ