คำพูดนี้หมายถึงอะไร?
"It's not about *if*, it's about *when*" — หมายความว่า การถูกโจมตี/ละลาย (Breach) เป็นเรื่องที่จะเกิดขึ้นแน่นอน ไม่ใช่ความเป็นไปได้ ต่างจากการคิดแบบเก่า "เราป้องกันให้ดีๆ จะไม่โดน"
ทำไมจึงต้องคิดแบบนี้?
- Attackers มีข้อได้เปรียบ: ต้องสำเร็จแค่ครั้งเดียว, เลือกเวลา/วิธีได้, มี Resource/Time มาก
- Defenders ต้องป้องกันทุกจุด: Patch ทุกช่องโหว่, Detect ทุก Technique, Respond ทุก Alert — ไม่มีวันสิ้นสุด
- Complexity เพิ่มขึ้น: Cloud, SaaS, Remote Work, IoT, Supply Chain → Attack Surface กว้างขึ้น
- Statistics ไม่เคยผิด: IBM Cost of Data Breach Report: 83% ขององค์กรเคยโดน Breach มากกว่า 1 ครั้ง
ความคิดแบบ Assume Breach นำไปสู่อะไร?
1. Architecture: Zero Trust (Never Trust, Always Verify)
- ไม่ไว้ใจ Network Location (Inside/Outside)
- Verify Identity + Device Health + Context ทุก Request
- Micro-segmentation, Least Privilege, Encryption Everywhere
2. Detection > Prevention
- ลงทุนใน Visibility (Logs, NetFlow, EDR, NDR) และ Detection Engineering (Sigma, MITRE ATT&CK)
- Assume Prevention จะล้มเหลว → ต้องจับได้เร็ว (MTTD < 1 hr)
3. Resilience & Recovery
- Immutable Backups (Offline, Air-gapped, Tested Restore)
- Ransomware Recovery Plan (Playbook, Negotiation, Legal, PR)
- Cyber Insurance (เข้าใจ Coverage/Exclusions)
4. Continuous Improvement
- Purple Teaming, Breach & Attack Simulation (BAS), Red Teaming
- Threat Hunting เป็นประจำ (ไม่รอ Alert)
- Lessons Learned → Update Controls, Signatures, Playbooks
Framework ใช้งานจริง: NIST CSF + MITRE ATT&CK
| NIST CSF Function | Assume Breach Actions |
|---|---|
| Identify | Asset Inventory, Crown Jewels, Risk Assessment, Supply Chain Risk |
| Protect | Zero Trust, MFA, Segmentation, Hardening, Training, DLP |
| Detect | SIEM+SOAR, NDR, EDR/XDR, Deception, Threat Hunting, UEBA |
| Respond | IR Plan, Playbooks, Containment Automation, Forensics Readiness, Comms |
| Recover | Backup/Restore Test, BCP/DRP, Cyber Insurance, Post-Incident Review |
ตัวอย่างจริง: SolarWinds, Colonial Pipeline, Log4j, MoveIT
- องค์กรที่ "คิดว่าปลอดภัย" ก็โดน — เพราะ Supply Chain, Zero-day, Credential Reuse
- องค์กรที่ Assume Breach: Detect เร็ว, Contain เร็ว, Recover เร็ว, ความเสียหายต่ำกว่ามาก
สรุป: มนต์ร่ายสำหรับ CISO/SECURITY LEADER
"เราจะโดนแน่นอน คำถามคือ: เราจะรู้ได้เร็วแค่ไหน? ควบคุมได้เร็วแค่ไหน? ฟื้นฟูได้เร็วแค่ไหน? และเรียนรู้เพื่อไม่ให้ซ้ำได้ไหม?"
Network Security ไม่ใช่การสร้างกำแพงที่สูงที่สุด แต่วิธีสร้าง ระบบที่ทนทาน (Resilient), มองเห็นได้ (Observable), และปรับตัวได้ (Adaptive) เมื่อ — ไม่ใช่ถ้า — ภัยคุกคามผ่านมา
