ทำไมเหตุการณ์ Cybersecurity หลายกรณีจึงไม่ถูกเปิดเผย (Undisclosed)

เหตุผลหลักที่เหตุการณ์ไซเบอร์ไม่ถูกเปิดเผย

1. ความเสียหายทางชื่อเสียงและธุรกิจ (Reputation & Business Impact)

• ลูกค้า/ผู้ถือหุ้นเสียความไว้วिशวาส → ลูกค้าหนี, หุ้นตก, รายได้ลด
• คู่แข่งใช้ประโยชน์ทางการตลาด
• ความสัมพันธ์ B2B ถูกยกเลิก (Vendor Risk)

2. ภาระทางกฎหมายและค่าใช้จ่าย (Legal & Financial Liability)

• Class Action Lawsuits, Regulatory Fines (GDPR: 4% Global Revenue, PDPA: 5 ล้านบาท)
• ค่าใช้จ่าย Forensic, Notification, Credit Monitoring, Legal Defense, PR Crisis Management
• Cyber Insurance Premium เพิ่มขึ้น หรือถูกปฏิเสธการต่ออายุ

3. ข้อกำหนดการเปิดเผยที่ซับซ้อนและไม่ชัดเจน

• กฎหมายต่างประเทศ: GDPR (72 ชม.), SEC (4 business days สำหรับ Material Incident), ซีนากร (CISA), รัฐละเอียดต่างกัน
• ไทย: PDPA (แจ้ง ONCB ภายใน 72 ชม. หากมีความเสี่ยงสูง), BOT/Sec/ไอที กรณีเฉพาะ
• องค์กรหลายแห่งไม่เข้าใจว่า "เมื่อไหร่ต้องแจ้ง" "แจ้งใคร" "แจ้งอะไร"

4. การสืบสวนยังไม่เสร็จ (Ongoing Investigation)

• Forensics ใช้เวลาสัปดาห์-เดือน ต้องการหา Root Cause, Scope, Attribution
• เปิดเผยก่อนเวลาอาจทำลายหลักฐาน หรือช่วยโจมตี (Tip-off)
• Law Enforcement ขอให้ปิดข่าวเพื่อการสืบสวน

5. ไม่ทราบว่าเกิดเหตุ (Lack of Detection)

• Dwell Time เฉลี่ย 200+ วัน (Mandiant) - องค์กรไม่รู้ว่าถูกแฮก
• ขาด Visibility (No Logs, No EDR, No NDR, No SIEM)
• Shadow IT, Unmanaged Assets

6. Insider Threat / Third-party Risk

• พนักงาน/ผู้รับเหมาขโมยข้อมูล → องค์กรอาจแก้ไขภายในไม่แจ้งต่อสาธารณะ
• Vendor/Supply Chain Breach (SolarWinds, MOVEit, Kaseya) - Vendor ไม่แจ้ง/แจ้งช้า

7. ไม่ถือว่า "Material" หรือไม่ตรงตามเกณฑ์แจ้ง

• SEC: เฉพาะ Material Incident (มีผลกระทบต่อการตัดสินใจนักลงทุน)
• GDPR: เฉพาะเมื่อมีความเสี่ยงต่อ Rights & Freedoms ของ Data Subject
• องค์กรประเมินเองว่า "ไม่ถึงเกณฑ์" (Subjective)

8. ความกลัวการโจมตีซ้ำ (Fear of Retaliation/Recurrence)

• โจมตี Ransomware: จ่ายค่าไถ่แล้วไม่แจ้ง (แต่อาจผิดกฎหมาย - OFAC Sanctions)
• โจมตี DDoS/Extortion: กลัวให้ข้อมูล Tactical แก่โจมตี

สถิติและแนวโน้ม

• IBM Cost of Data Breach Report: 60%+ ขององค์กรไม่เปิดเผยเต็มที่
• Verizon DBIR: เหตุการณ์ส่วนใหญ่ถูกค้นพบโดย Third Party (ไม่ใช่องค์กรเอง)
• แนวโน้ม: กฎหมายใหม่ (SEC Cyber Rules, EU NIS2, CIRCIA) บังคับให้เปิดเผยมากขึ้น

Best Practice สำหรับองค์กร

1. มี Incident Response Plan ที่ระบุชัดเจน: เมื่อไหร่แจ้ง ใครแจ้ง แจ้งอะไร ใครอนุมัติ
2. รักษา Attorney-Client Privilege ระหว่างสืบสวน (Legal Counsel นำทีม)
3. ทำ Tabletop Exercise รวม Legal, PR, Exec, Tech ทุกไตรมาส
4. ซื้อ Cyber Insurance ที่ครอบคลุมค่า Notification, Legal, Forensic
5. ปฏิบัติตาม Regulatory Timelines (72 hrs GDPR, 4 days SEC, 72 hrs PDPA)
6. ความโปร่งใส (Transparency) สร้าง Trust ยาวนานกว่าการปิดบัง