มาตรฐานและดัชนีความปลอดภัยไซเบอร์ระดับโลก: ใครทำ? ใครนำ?
ไม่มีองค์กรเดียว "ผลิตมาตรฐานมาตรฐานโลกแรก" แต่มีองค์กรหลายแห่งที่พัฒนาเผยแพร่และดูแลมาตรฐาน/ดัชนีที่ได้รับการยอมรับระดับสากล:
🏛️ องค์กรสำคัญที่พัฒนามาตรฐาน (Standard-Setting Bodies)
| องค์กร | บทบาท/มาตรฐานหลัก | ลักษณะ |
|---|---|---|
| ISO/IEC JTC 1/SC 27 | ISO/IEC 27000 series (27001, 27002, 27005, 27701) - ISMS, Privacy | มาตรฐานสากล มุ่งกระบวนการจัดการ |
| NIST (US National Institute of Standards and Technology) | NIST CSF (Cybersecurity Framework), NIST SP 800-53, 800-171, 800-207 (Zero Trust) | กรอบงานปฏิบัติการ มีอิทธิพลโลก กฎหมาย US บังคับให้ใช้ |
| ITU (International Telecommunication Union - UN Agency) | Global Cybersecurity Index (GCI) - ดัชนีวัดความพร้อมของประเทศ สมาชิก 193 ประเทศ | ดัชนีระดับประเทศ (National Level) |
| ENISA (EU Agency for Cybersecurity) | EU Cybersecurity Certification Framework, ENISA Threat Landscape | มาตรฐานยุโรป ใบรับรองผลิตภัณฑ์/บริการ/กระบวนการ |
| IEC (International Electrotechnical Commission) | IEC 62443 (Industrial Automation & Control Systems Security - OT/ICS) | มาตรฐานระบบควบคุมอุตสาหกรรม |
| PCI SSC (Payment Card Industry Security Standards Council) | PCI DSS (Data Security Standard) - บัตรชำระเงิน | มาตรฐานเฉพาะอุตสาหกรรมการชำระเงิน |
| MITRE | MITRE ATT&CK® - Knowledge Base of Adversary TTPs (Tactics, Techniques, Procedures) | ไม่ใช่ "มาตรฐาน" แต่เป็น "กรอบความรู้" มาตรฐานดียู facto สำหรับ Threat Modeling |
| CIS (Center for Internet Security) | CIS Controls (v8), CIS Benchmarks - 18 Critical Controls, Secure Config Guides | Best Practices แบบปฏิบัติการ ใช้กันกว้าง |
| ISACA | COBIT (Governance), CMMI, Certifications (CISM, CISA, CRISC) | กรอบงาน Governance & Management |
| FIRST (Forum of Incident Response and Security Teams) | CVSS (Common Vulnerability Scoring System), CSIRT Standards | มาตรฐานการตอบสนองเหตุการณ์ |
🌍 Global Cybersecurity Index (GCI) - ดัชนีระดับประเทศ
- พัฒนาโดย ITU (สหประชาชาติ) วัดความมุ่งมั่นของประเทศ 5 สtego: Legal, Technical, Organizational, Capacity Building, Cooperation
- อันดับล่าสุด (2024/2023): สหรัฐอเมริกา, สหราชอาณาจักร, ซาอุดีอาระเบีย (ร่วมอันดับ 2), เอสโตเนีย, สิงคโปร์, สเปน, มาเลเซีย, แคนาดา, เกาหลีใต้, ญี่ปุ่น
- ไทย: อันดับที่ 27 (GCI 2020) → พัฒนาต่อเนื่อง PDPA, Cybersecurity Act, NCSA
🇺🇸 หน่วยงานนำของสหรัฐอเมริกา (US Leadership)
- CISA (Cybersecurity and Infrastructure Security Agency) - DHS: หน่วยงานหลักปกป้องโครงสร้างพื้นฐานสำคัญ หัวหน้า: Jen Easterly (ตั้งแต่ ก.ค. 2021)
- NIST (Commerce Dept): พัฒนามาตรฐาน/กรอบงาน (CSF, SP 800 series)
- NSA (National Security Agency): ข่าวกรองภัยคุกคาม, ปลอดภัยระบบรัฐบาล, พัฒนาเครื่องมือ (Ghidra)
- FBI (Cyber Division): สืบสวนอาชญากรรมไซเบอร์
- ONCD (Office of the National Cyber Director) - White House: ประสานงานนโยบายระดับชาติ (Harry Coker Jr. - 2023)
📜 "มาตรฐานโลกแรก" ในประวัติศาสตร์
- Orange Book (TCSEC - Trusted Computer System Evaluation Criteria) 1983: มาตรฐานประเมินความปลอดภัยระบบคอมพิวเตอร์แรกของ DoD (US) → นำไปสู่ Common Criteria (ISO 15408)
- ISO/IEC 27001:2005: มาตรฐาน ISMS ระดับสากลแรกที่ได้รับการยอมรับกว้างขวาง (พัฒนาจาก BS 7799)
- NIST Cybersecurity Framework (CSF) v1.0 2014: กรอบงานปฏิบัติการแรกที่รวมมาตรฐาน/แนวทางปฏิบัติ/กรอบงานไว้ด้วยกัน ตามคำสั่งประธานาธิบดี Obama (EO 13636)
🎯 สรุป: ใคร "รับผิดชอบ" อะไร?
- มาตรฐานเทคนิค/กระบวนการ: ISO, NIST, IEC, ENISA
- ดัชนีระดับประเทศ: ITU (GCI)
- กรอบความรู้ภัยคุกคาม: MITRE ATT&CK
- Best Practices ปฏิบัติการ: CIS Controls
- นโยบาย/บังคับใช้ (สหรัฐ): CISA, ONCD, NIST (บังคับ Federal Agencies)
- องค์กรไทย: NCSA (National Cyber Security Agency) - องค์กรหลัก, ETDA - Critical Info Infrastructure, BOCI - Banking, SEC - Capital Market
💡 สำหรับองค์กร: ใช้มาตรฐานไหน?
ไม่ต้องเลือกตัวเดียว → Map & Align หลายกรอบงาน:
NIST CSF (Core) + ISO 27001 (Certification) + CIS Controls (Implementation) + MITRE ATT&CK (Threat Modeling) + IEC 62443 (ถ้ามี OT/ICS)
