ภัยคุกคามทางไซเบอร์ที่เกี่ยวข้องกับบุคคลที่สาม (Third-party) หรือห่วงโซ่อุปทาน ถือเป็นหนึ่งในสามภัยคุกคามสูงสุดที่องค์กรต้องเตรียมรับมือ โดยเฉพาะอย่างยิ่งในยุคที่มีการนำเทคโนโลยี AI มาใช้อย่างแพร่หลายซึ่งทำให้ความเสี่ยงเติบโตขึ้นอย่างต่อเนื่อง อย่างไรก็ตาม องค์กรมักจะให้ความสำคัญกับการตรวจสอบสถานะความปลอดภัยเฉพาะช่วงก่อนเริ่มทำสัญญาเท่านั้น ทำให้พลาดโอกาสสำคัญที่สุดในช่วง “การต่ออายุ” (Renewal) และ “การสิ้นสุดสัญญา” (Termination) ซึ่งแท้จริงแล้วเป็นช่วงเวลาที่องค์กรสามารถลดความเสี่ยงและเพิ่มอำนาจต่อรองได้อย่างมีประสิทธิภาพสูงสุด

เพื่อให้การจัดการความเสี่ยงจากบุคคลที่สามมีความยืดหยุ่นและรัดกุม องค์กรควรปรับปรุงกระบวนการผ่าน 4 กิจกรรมหลักดังต่อไปนี้:

1. การประเมินความเสี่ยงทางไซเบอร์ซ้ำ (Cybersecurity Risk Reassessment)
การบริหารจัดการความเสี่ยงไม่ใช่สิ่งที่จะทำเพียงครั้งเดียวจบ แต่ต้องทำเป็นกระบวนการอย่างต่อเนื่อง ในช่วงต่ออายุสัญญา องค์กรควรแยกแยะว่าผู้ให้บริการรายใดสามารถเข้าสู่ กระบวนการต่ออายุแบบเร่งด่วน (Fast-tracked) ได้ หรือรายใดที่ต้อง ประเมินซ้ำอย่างเข้มงวด

ปัจจัยที่ต้องพิจารณาเพื่อใช้ประเมินความเสี่ยงอย่างเข้มงวด ได้แก่:

• ความสำคัญต่อธุรกิจที่เพิ่มขึ้น: ขอบเขตการทำงานที่กว้างขึ้น หรือความเสี่ยงจากการพึ่งพาผู้ให้บริการรายเดียวมากเกินไป (Concentration risk)
• ความเสี่ยงด้านไซเบอร์ที่สูงขึ้น: เช่น ผู้ให้บริการเคยถูกละเมิดความปลอดภัย, มีการเข้าถึงข้อมูลมากขึ้น, มีการใช้ AI เพิ่มขึ้น, หรือมีการเปลี่ยนแปลงกฎระเบียบ
• การประเมินคุณภาพการสื่อสาร: หากผู้ให้บริการมีการสื่อสารที่เชิงรุกและช่วยแก้ปัญหา สิ่งนี้จะเป็นตัวบ่งชี้ที่ดีถึงความสามารถในการจัดการความเสี่ยงในอนาคต และสามารถพิจารณาเร่งรัดการต่ออายุสัญญาได้

2. การปรับปรุงแผนความต่อเนื่องทางธุรกิจ (Business Continuity Plan Revisions)
แม้ว่าองค์กรจะไม่สามารถป้องกันไม่ให้ระบบของผู้ให้บริการล่มได้ แต่สามารถควบคุมความเสียหายที่จะเกิดกับธุรกิจของตนเองได้ ดังนั้น องค์กรควรใช้จังหวะการต่ออายุสัญญาเพื่อผลักดันให้มีการ ปรับปรุงหรือจัดทำแผนความต่อเนื่องทางธุรกิจ (BCP) สำหรับผู้ให้บริการที่สำคัญ รวมถึงผลักดันให้มีการจัด การซ้อมแผนบนโต๊ะ (Tabletop exercises) ร่วมกัน หรืออย่างน้อยที่สุดควรมีการแลกเปลี่ยนคู่มือรับมือเหตุการณ์ (Playbooks) ระหว่างกันเพื่อสร้างความพร้อมหากเกิดวิกฤต

3. การอัปเดตสัญญา (Contract Updates)
สัญญาต้องไม่ใช่เพียง “เสือกระดาษ” นอกเหนือจากการเซ็นสัญญาครั้งแรกแล้ว ช่วงเวลาการต่ออายุสัญญาคือจังหวะที่องค์กรมีอำนาจต่อรองสูงที่สุด องค์กรควรนำรายการควบคุมแบบที่ “ไม่อาจต่อรองได้” เข้าไปในสัญญา และทำงานร่วมกับฝ่ายกฎหมายเพื่อเปลี่ยนข้อกำหนดเหล่านี้ให้เป็น Service Level Agreements (SLAs) ที่มีการระบุบทลงโทษหรือการเยียวยาหากละเมิด

ตัวอย่าง SLAs ด้านความปลอดภัยที่ควรเจรจา เช่น:

• เป้าหมายเวลาในการตอบสนองต่อเหตุการณ์การละเมิดทางไซเบอร์
• มาตรฐานการรักษาความปลอดภัยของข้อมูล และแผนสำรองข้อมูล
• ข้อห้ามในการเปิดใช้งานฟีเจอร์ AI หรือการนำข้อมูลองค์กรไปใช้สอน/ปรับแต่งโมเดล AI (Fine-tune AI) หากไม่ได้รับการอนุมัติอย่างชัดเจน
• สิทธิในการบอกเลิกสัญญาหากการละเมิดนั้นเกินขีดจำกัดความเสี่ยงที่รับได้
  (คำแนะนำ: เจ้าของธุรกิจควรแจ้งความคาดหวังใหม่เหล่านี้ให้ผู้ให้บริการทราบแจ้งล่วงหน้า 18 เดือน และพยายามให้ผู้ให้บริการตอบรับภายใน 2 เดือน เพื่อให้มีเวลาในการเจรจาหรือหาผู้ให้บริการรายใหม่)

4. การยกเลิกการเชื่อมต่อระบบอย่างปลอดภัย (Offboarding)
ช่วงเวลาที่ดีที่สุดในการวางแผนสำหรับการบอกเลิกสัญญาคือ “ก่อนที่จะเริ่มต้นความสัมพันธ์” องค์กรควรจัดเตรียมกลยุทธ์ทางออก (Exit strategy) โดยระบุไว้ในสัญญาตั้งแต่ต้น หรือเพิ่มเติมในสัญญาฉบับต่ออายุ

การเตรียมตัวควรครอบคลุมถึง:

• การดึงข้อมูลกลับคืนและรูปแบบการส่งออกข้อมูล
• การเพิกถอนสิทธิ์การเข้าถึงระบบและไซต์งานทั้งหมดของบุคคลที่สาม
• ข้อกำหนดเกี่ยวกับการจัดการข้อมูลและ AI: ต้องระบุให้ชัดเจนว่า เมื่อสิ้นสุดความสัมพันธ์แล้ว ข้อมูลนำเข้า ผลลัพธ์จากการใช้งาน และโมเดล AI จะต้องถูกจัดการหรือทำลายทิ้งตามที่ตกลงกันไว้อย่างไร
• การกำหนดผู้รับผิดชอบในการติดตามการปฏิบัติตามสัญญาเมื่อมีการบอกเลิกบริการ

การบริหารความปลอดภัยไซเบอร์ของกลุ่มบุคคลที่สาม (Third-party) จะต้องทำอย่างครอบคลุมตลอดวงจรชีวิต (Life cycle) หากผู้นำด้านความปลอดภัยสามารถจัดการกับการเปลี่ยนผ่านในช่วงต่ออายุและสิ้นสุดสัญญาได้อย่างระมัดระวังและมีประสิทธิภาพ องค์กรก็จะสามารถลดความเสี่ยงเชิงรุกและปกป้องธุรกิจจากการหยุดชะงักได้อย่างมั่นคง