สำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์ (ก.ล.ต.) แนะแนวปฏิบัติในการป้องกันและลดความเสี่ยงจากการถูกโจมตีโดยมัลแวร์เรียกค่าไถ่ (Ransomware) สำหรับผู้ประกอบธุรกิจในภาคตลาดทุน บริษัทจดทะเบียนและประชาชน เพื่อเป็นแนวทางบริหารจัดการความเสี่ยงด้านเทคโนโลยีสารสนเทศขององค์กรได้อย่างเหมาะสม ซึ่งสอดรับกับพระราชบัญญัติการรักษาความปลอดภัยมั่นคงไซเบอร์ พ.ศ. 2562 และเสริมสร้างความเชื่อมั่นให้กับผู้ใช้บริการในตลาดทุน
การประสบปัญหาจากมัลแวร์เรียกค่าไถ่ (Ransomware)* ขององค์กรจะส่งผลกระทบต่อการดำเนินงานทั้งทางตรงและทางอ้อม เช่น เกิดความเสียหายต่อระบบคอมพิวเตอร์ ส่งผลกระทบต่อการให้บริการแก่ผู้ใช้บริการ และก่อให้เกิดความเสียหายในเชิงภาพลักษณ์ด้านความมั่นคงปลอดภัยของข้อมูล ดังนั้น การเตรียมความพร้อมด้านบริหารจัดการความเสี่ยงด้านเทคโนโลยีสารสนเทศขององค์กรในยุคปัจจุบันจึงมีความสำคัญอย่างยิ่ง
ก.ล.ต. มุ่งหวังให้ผู้ประกอบธุรกิจในภาคตลาดทุนซึ่งมีบทบาทสำคัญต่อการร่วมขับเคลื่อนเศรษฐกิจของประเทศมีการบริหารจัดการความเสี่ยงด้านเทคโนโลยีสารสนเทศขององค์กรได้อย่างมีประสิทธิผล เพื่อลดผลกระทบจากภัยไซเบอร์และสร้างความเชื่อมั่นให้กับผู้ใช้บริการในตลาดทุน ก.ล.ต. จึงขอความร่วมมือให้ทุกภาคส่วนเพิ่มความระมัดระวังและปฏิบัติตามแนวทางที่ ก.ล.ต. ได้จัดทำประกาศและแนวปฏิบัติในการจัดให้มีระบบเทคโนโลยีสารสนเทศ** เมื่อปี 2559 เช่น ควรจัดเตรียมแผนรับมือภัยคุกคามไซเบอร์ (Cyber Incident Plan) และหมั่นสำรองข้อมูลและตรวจสอบความถูกต้องครบถ้วนของข้อมูลที่สำรองไว้อย่างสม่ำเสมอ พร้อมทั้งสร้างความตระหนักรู้และฝึกอบรม (Cybersecurity Awareness) ให้กับบุคลากรภายในองค์กรอย่างต่อเนื่องโดยให้รู้จักและเข้าใจวิธีป้องกันเบื้องต้นเพื่อลดความรุนแรงที่อาจจะเกิดขึ้นและพร้อมรับมือเมื่อเกิดเหตุ เพื่อเป็นแนวทางสำหรับผู้ประกอบธุรกิจ บริษัทจดทะเบียนหรือองค์กรในตลาดทุน และประชาชนทั่วไปที่สนใจ
_________________________
* Ransomware คือ มัลแวร์ที่มุ่งหวังจะทำการเข้ารหัสไฟล์ข้อมูลของเหยื่อ ซึ่งจะส่งผลให้เหยื่อหรือเจ้าของข้อมูลไม่สามารถเข้าถึงไฟล์ข้อมูลของตนเองได้ โดยหากต้องการเข้าถึงไฟล์ดังกล่าว เหยื่อจะต้องจ่ายเงินให้กับผู้ไม่ประสงค์ดี (hacker) เพื่อทำการถอดรหัสไฟล์ข้อมูลดังกล่าว โดยไม่สามารถรับรองได้ว่า hacker จะทำการถอดรหัสไฟล์ให้เหยื่อหรือไม่หลังได้รับค่าไถ่แล้ว ทั้งนี้ hacker มักจะให้ผู้เสียหายจ่ายค่าไถ่ผ่านสกุลเงินดิจิทัล เช่น Bitcoin เนื่องจากเป็นช่องทางที่ยากต่อการตรวจสอบย้อนกลับไปยังผู้ไม่ประสงค์ดี
** ประกาศและแนวปฏิบัติในการจัดให้มีระบบเทคโนโลยีสารสนเทศ
(1) ประกาศที่ สธ.37/2559 เรื่อง ข้อกำหนดในรายละเอียดเกี่ยวกับการจัดให้มีระบบเทคโนโลยีสารสนเทศ ลิงก์ http://capital.sec.or.th/webapp/nrs/data/7038s.pdf
(2) ประกาศ นป. 3/2559 เรื่อง แนวปฏิบัติในการจัดให้มีระบบเทคโนโลยีสารสนเทศ ลิงก์ http://capital.sec.or.th/webapp/nrs/data/7041s.pdf