Cybersecurity Information Sharing Act (CISA) คืออะไร พ.ร.บ.แชร์ข้อมูลภัยคุกคามไซเบอร์

CISA (Cybersecurity Information Sharing Act) คืออะไร

CISA เป็นกฎหมายสหรัฐอเมริกา (Public Law 114-113) ที่บังคับใช้เมื่อวันที่ 18 ธันวาคม 2015 เป็นส่วนหนึ่งของ Omnibus Spending Bill เป้าหมาย: ส่งเสริมการแชร์ข้อมูลภัยคุกคามไซเบอร์ (Cyber Threat Indicators) ระหว่างภาครัฐและภาคเอกชน เพื่อป้องกันและตอบสนองต่อการโจมตีได้ดีขึ้น

ประเด็นสำคัญของ CISA

• Voluntary Sharing: การแชร์ข้อมูลเป็นอาสา ไบังคับ
• Liability Protection: องค์กรที่แชร์ข้อมูล "Good Faith" ได้รับการคุ้มครองจากฟ้องร้อง (Antitrust, Privacy Laws)
• Privacy Protections: ต้องลบ Personal Information (PII) ก่อนแชร์ (Double Scrubbing)
• DHS Portal: Department of Homeland Security เป็นศูนย์กลางรับ-ส่งข้อมูล (Automated Indicator Sharing - AIS)
• Real-time Sharing: รองรับการแชร์แบบ Real-time ผ่าน STIX/TAXII
• No Regulatory Enforcement: ไม่ใช่กฎหมายบังคับการปฏิบัติตามมาตรฐานความปลอดภัย

STIX และ TAXII คืออะไร

STIX Object ประกอบด้วย: Indicator, Malware, Attack Pattern, Threat Actor, Campaign, Course of Action, Vulnerability, Identity, Report, etc.

CISA (Agency) vs CISA (Act) - สับสนง่าย

• CISA Act (2015): กฎหมายแชร์ข้อมูลภัยคุกคาม
• CISA Agency: Cybersecurity and Infrastructure Security Agency (สังกัด DHS) ก่อตั้ง 2018 จาก NPPD Director: Jen Easterly (2021-Present)

ทำไม CISA จึงสำคัญ

• แฮกเกอร์แชร์ Tool/TTP/IOC กันใน Dark Web → ป้องกันต้องแชร์ข้อมูลกันเช่นกัน
• ลด Time-to-Detect และ Time-to-Respond
• สร้าง Collective Defense (เหมือนระบบภูมิคุ้มกันร่วมกัน)
• ช่วยองค์กรขนาดเล็กที่ไม่มี Threat Intel Team เอง

กฎหมายไซเบอร์เซคิวริตี้สำคัญอื่นๆ (US)

• Cybersecurity Enhancement Act 2014: R&D, Education, Awareness, NIST Framework
• Cybersecurity Act of 2012 (Failed): Critical Infrastructure Protection (ไม่ผ่านสนาท)
• Executive Order 14028 (2021): Improving Nation's Cybersecurity (Zero Trust, SBOM, Incident Reporting)
• SEC Cyber Disclosure Rules (2023): บริษัทจดทะเบียนต้องรายงาน Material Cyber Incident ภายใน 4 วัน
• State Laws: CCPA/CPRA (CA), SHIELD Act (NY), Biometric Privacy (IL)

กฎหมายไทยที่เกี่ยวข้อง

• พ.ร.บ.ความปลอดภัยไซเบอร์ (Cybersecurity Act B.E. 2562): องค์กร Critical Information Infrastructure (CII) ต้องรายงานเหตุการณ์, ปฏิบัติตามมาตรฐาน NCSA
• พ.ร.บ.ข้อมูลส่วนบุคคล (PDPA B.E. 2562): การประมวลผลข้อมูลส่วนบุคคล ต้องมี Consent, Security Measures
• พ.ร.บ.คอมพิวเตอร์ (CCA B.E. 2550): อาชญากรรมทางคอมพิวเตอร์, การเข้าถึงไม่ได้รับอนุญาต

ข้อวิพากษ์วิจารณ์ CISA

• Privacy Advocates (EFF, ACLK): กลัวกลายเป็น Surveillance Law, PII Scrubbing ไม่เพียงพอ
• การแชร์ข้อมูลน้อยกว่าที่คาดหวัง: องค์กรยังคงกลัว Liability และ Reputation
• Quality of Shared Data: IOC เก่า, False Positive, Lack of Context
• International Sharing: ข้ามจurisdiction ยาก (GDPR, Data Localization)

IASAE ย่อมาจากอะไรใน Cybersecurity (DoD 8570/8140)

Security Metrics: วัดความสำเร็จของ Enterprise Cybersecurity ด้วยตัวชี้วัดที่ถูกต้อง