งานศึกษาพบระเบิดเวลาความปลอดภัยทางไซเบอร์ ที่อาจเกิดขึ้นภายหลังการตัดสินใจลดจำนวนพนักงานขององค์กร "บริษัทที่ประกาศเลิกจ้างพนักงาน อาจเพิ่มความเสี่ยงในการตกเป็นเหยื่อของการโจมตีทางไซเบอร์ที่ร้ายแรง"

ที่มาภาพประกอบออกแบบโดยเทคโนโลยี AI จาก Microsoft Designer

ช่วงเดือน ก.ค. 2024 เว็บไซต์ StudyFinds รายงานว่าการเลิกจ้างพนักงานจำนวนมากและประเด็นความปลอดภัยทางไซเบอร์ ดูเหมือนจะเป็นหัวข้อข่าวสำคัญในช่วงหลายเดือนที่ผ่านมา มีงานศึกษาชิ้นใหม่ที่น่าตกใจ ชี้ให้เห็นว่าแนวโน้มทั้งสองนี้อาจเชื่อมโยงกันมากกว่าที่เราเคยคิดไว้ นักวิจัยจากมหาวิทยาลัยบิงแฮมตัน (Binghamton University) และพันธมิตร ได้ค้นพบระเบิดเวลาความปลอดภัยทางไซเบอร์ที่อาจเกิดขึ้น ภายหลังการตัดสินใจลดจำนวนพนักงานขององค์กร ผลการวิจัยของพวกเขาวาดภาพที่น่าหดหู่ที่ว่า "บริษัทที่ประกาศเลิกจ้างพนักงาน อาจเพิ่มความเสี่ยงในการตกเป็นเหยื่อของการโจมตีทางไซเบอร์ที่ร้ายแรงโดยไม่ตั้งใจ"

การศึกษานี้นำเสนอในการประชุมระบบสารสนเทศแปซิฟิกเอเชีย (the Pacific Asia Conference on Information Systems) ที่เวียดนาม ซึ่งประจวบเหมาะกับช่วงวิกฤต เฉพาะไตรมาสแรกของปี 2023 มีการเลิกจ้างพนักงานกว่า 136,000 คน ในสหรัฐอเมริกา ผลกระทบจากคลื่นการเลิกจ้างนี้ พนักงานในบริษัทยักษ์ใหญ่ด้านเทคโนโลยีอย่าง Amazon, Google และ IBM ก็ไม่ได้เป็นข้อยกเว้น พนักงานที่มีทักษะหลายพันคนตกงานกะทันหัน แต่ในขณะที่บริษัทต่าง ๆ รัดเข็มขัด พวกเขาก็อาจคลายล็อคการเข้าถึงข้อมูลดิจิทัลของตนโดยไม่ได้ตั้งใจ

เหตุใดการเลิกจ้างพนักงานจึงเชื่อมโยงกับความเสี่ยงทางไซเบอร์

ที่มาภาพ: RosZie (Pixabay License)

แล้วการเลิกจ้างพนักงาน ทำให้บริษัทเปราะบางต่อภัยคุกคามทางไซเบอร์ได้อย่างไร? นักวิจัยระบุปัจจัยสำคัญหลายประการ:

ประการแรก ด้านองค์ประกอบของมนุษย์ การเลิกจ้างได้สร้าง 'พายุอารมณ์เชิงลบ' ทั้งในหมู่พนักงานที่ถูกเลิกจ้าง และพนักงานที่ยังอยู่ ความวิตกกังวล ความเครียด และความไม่พอใจ สามารถบดบังการตัดสินใจ ทำให้ผู้คนมีแนวโน้มที่จะละเลยโปรโตคอลความปลอดภัยทางไซเบอร์ หรือหลงกลการหลอกลวงทางฟิชชิ่งได้ง่าย ในบางกรณีที่รุนแรง อดีตพนักงานที่ไม่พึงพอใจอาจถูกชักจูงให้ใช้ความรู้ภายในเกี่ยวกับระบบเทคโนโลยีของบริษัทในทางที่ไม่เหมาะสม

"บริษัทบางแห่งพยายามใจดี โดยประกาศเลิกจ้างพนักงานก่อนยุติการเข้าถึงระบบของพนักงาน แต่นั่นอาจเปิดประตูสู่ความเสี่ยงด้านความปลอดภัยทางไซเบอร์ได้ง่าย ๆ โดยเฉพาะอย่างยิ่งหากพนักงานที่ถูกเลิกจ้างรู้สึกเคียดแค้น" ธิ ตรัน (Thi Tran) นักวิจัยและผู้ช่วยศาสตราจารย์ด้านการจัดการระบบสารสนเทศที่บิงแฮมตันกล่าว "เนื่องจากพวกเขาเคยเป็นพนักงานมาก่อน พวกเขาจึงมีข้อมูลลับเกี่ยวกับความปลอดภัย ยิ่งพวกเขารู้เกี่ยวกับระบบมากเท่าไร ผลที่ตามมาก็ยิ่งแย่ลงเท่านั้น"

ประการต่อมาคือ ผลกระทบจากการสูญเสียบุคลากรที่มีความสามารถ เมื่อบริษัทลดขนาด พวกเขามักจะสูญเสียความเชี่ยวชาญด้านความปลอดภัยทางไซเบอร์อันมีค่าไป สิ่งนี้ทำให้พวกเขามีความพร้อมน้อยลงในการป้องกันการโจมตีที่ซับซ้อนมากขึ้น ลองนึกภาพป้อมปราการที่จู่ ๆ ได้สูญเสียผู้พิทักษ์ที่มีประสบการณ์มากที่สุดไป – กำแพงอาจยังคงมีอยู่ แต่การโจมตีนั้นจะทำได้ง่ายขึ้นมาก

การตัดงบประมาณที่มาพร้อมกับการเลิกจ้างพนักงาน ยังทำให้การลงทุนด้านความปลอดภัยทางไซเบอร์ลดลง บริษัทอาจชะลอการอัปเดตซอฟต์แวร์ที่สำคัญ หรือยกเลิกมาตรการรักษาความปลอดภัยใหม่ ๆ เปรียบเสมือนการตัดสินใจไม่ซ่อมหลังคาที่รั่วเพื่อประหยัดเงิน – คุณอาจจะสบายดีสักพัก แต่เมื่อพายุใหญ่พัดมามันก็จะแย่ลง

ประการสุดท้าย การนำเสนอข่าวการเลิกจ้างพนักงาน อาจทำให้บริษัทเป็นเป้าหมายสำหรับพวกแฮ็กเกอร์ อาชญากรไซเบอร์บางคนที่ขับเคลื่อนด้วย 'ความรู้สึกยุติธรรมที่บิดเบี้ยว' อาจมองว่าบริษัทที่กำลังลดขนาดสมควรได้รับการโจมตี มันคล้ายกับการเตะซ้ำเมื่อพวกเขาล้มลง – ผิดศีลธรรม แต่ก็โชคไม่ดีที่เราพบเห็นเหตุการณ์ทำนองนี้บ่อยครั้งในโลกดิจิทัล

วิธีที่องค์กรสามารถป้องกันความเสี่ยงทางไซเบอร์

งานศึกษาชิ้นนี้ ไม่ได้เพียงแค่ส่งเสียงเตือนเท่านั้น แต่ยังเสนอแนวทางป้องกันที่เป็นไปได้อีกด้วย นักวิจัยพบว่าบริษัทที่มีแนวปฏิบัติด้านความรับผิดชอบต่อสังคมขององค์กร (CSR) ที่แข็งแกร่งอาจได้รับการปกป้องที่ดีกว่าจากความเสี่ยงทางไซเบอร์ที่เกิดจากการเลิกจ้างพนักงาน CSR ครอบคลุมความพยายามของบริษัทในการดำเนินงานอย่างมีจริยธรรมและยั่งยืน ซึ่งเป็นประโยชน์ต่อสังคมนอกเหนือจากการทำกำไรเพียงอย่างเดียว เช่น บริษัทที่ให้ความสำคัญกับการปกป้องสิ่งแวดล้อม การปฏิบัติด้านแรงงานที่เป็นธรรม หรือการมีส่วนร่วมกับชุมชน

แต่การเป็น 'องค์กรที่ดี' ช่วยป้องกันการโจมตีทางไซเบอร์ได้อย่างไร? นักวิจัยเสนอความเป็นไปได้หลายประการ ประการแรก บริษัทที่มี CSR ที่แข็งแกร่งมักจะมีความสัมพันธ์ที่ดีกับพนักงาน ซึ่งอาจลดความเสี่ยงจากภัยคุกคามภายใน นอกจากนี้ พวกเขาอาจมีแนวโน้มสนับสนุนและให้ทรัพยากรแก่พนักงานที่ถูกเลิกจ้างเพื่อลดความรู้สึกไม่พอใจ อีกทั้งภาพลักษณ์ที่ดีต่อสาธารณะซึ่งได้รับการส่งเสริมผ่านความพยายามด้าน CSR ยังทำให้บริษัทเป็นเป้าหมายที่น่าสนใจน้อยลง สำหรับแฮ็กทิวิสต์หรือผู้โจมตีที่มีแรงจูงใจทางการเมือง

'มนุษย์คือจุดอ่อนที่สุดในห่วงโซ่ความปลอดภัยด้านไอที'

ที่มาภาพ: macrovector (Free license)

งานศึกษาชินนี้ เป็นการปลุกให้ผู้นำธุรกิจที่กำลังเผชิญกับสภาพเศรษฐกิจที่ยากลำบากตระหนักถึงความจริงข้อนี้ ในขณะที่การเลิกจ้างพนักงานอาจดูเหมือนเป็นวิธีแก้ปัญหาทางการเงินอย่างรวดเร็ว แต่มันอาจเปิดประตูสู่หายนะทางไซเบอร์ที่มีค่าใช้จ่ายสูงกว่า รายงาน IBM Cost of Data Breach ในปี 2023 เผยว่าการละเมิดข้อมูลโดยเฉลี่ยมีค่าใช้จ่ายสำหรับบริษัทสูงถึง 4.5 ล้านดอลลาร์ – เพิ่มขึ้น 15% จาก 3 ปีก่อนหน้านั้น

สุมันตรา สาขา (Sumantra Sarkar) ผู้ช่วยในการวิจัยนี้ได้กล่าวถึงเรื่องนี้ว่า "ในอดีต อุตสาหกรรมมุ่งเน้นที่การทำงานด้วยคนมากกว่า และคุณไม่สามารถแทนที่คนด้วยการคลิกปุ่มได้ แต่ในโลกเทคโนโลยีสารสนเทศปัจจุบัน คุณจ้างคนเป็นพันและสามารถเลิกจ้างได้ในลักษณะเดียวกัน สิ่งนี้เปิดโอกาสสำหรับการวิจัยของเรา เพราะตามสถิติ มนุษย์คือจุดอ่อนที่สุดในห่วงโซ่ความปลอดภัยด้านไอที"

ความปลอดภัยทางไซเบอร์ไม่สามารถเป็นเรื่องที่คิดภายหลังได้ แม้กระทั่งในช่วงเวลาที่บริษัทต้องรัดเข็มขัด บริษัทที่กำลังพิจารณาการเลิกจ้างพนักงาน จำเป็นต้องคำนึงถึงความเสี่ยงทางไซเบอร์ที่อาจเกิดขึ้น และดำเนินมาตรการเชิงรุกเพื่อลดความเสี่ยงเหล่านั้น อาจรวมถึงการเสริมความแข็งแกร่งให้กับโปรโตคอลความปลอดภัย ให้การสนับสนุนและการฝึกอบรมเพิ่มเติมแก่พนักงานที่เหลืออยู่ และการรักษาโครงการ CSR ที่แข็งแกร่ง แม้จะเผชิญกับแรงกดดันด้านงบประมาณ

ในขณะที่โลกของเรากลายเป็นดิจิทัลมากขึ้น เส้นแบ่งระหว่างการตัดสินใจด้านทรัพยากรมนุษย์และความปลอดภัยทางไซเบอร์ก็กำลังเลือนลาง งานศึกษานี้ชี้ให้เห็นถึงวิธีการที่ซับซ้อนและคาดไม่ถึง ที่การกระทำของเราในโลกทางกายภาพสามารถส่งผลกระทบไปยังโลกไซเบอร์ สำหรับผู้นำธุรกิจ ผู้กำหนดนโยบาย และประชาชนทั่วไป มันเป็นการเตือนใจว่าในยุคที่เราเชื่อมโยงถึงกัน ความเห็นอกเห็นใจและความปลอดภัยทางไซเบอร์อาจมีความเชื่อมโยงกันมากกว่าที่เราเคยตระหนัก

ที่มา:
Data breaches linked to mass layoffs: How corporate cuts could cause cybersecurity crisis (StudyFinds, 23 July 2024)