สำนักงานบริการทางการเงินของญี่ปุ่นเตรียมขยายขอบเขตการกำกับดูแลความปลอดภัยทางไซเบอร์ของภาคธนาคารให้ครอบคลุมถึงพันธมิตรผู้ให้บริการข้อมูล เพื่อสกัดความเสี่ยงจากเครือข่ายภายนอกท่ามกลางความเสียหายทางการเงินที่พุ่งสูงเป็นประวัติการณ์
การยกระดับการกำกับดูแลสู่ระบบนิเวศข้อมูลภายนอก
สำนักงานบริการทางการเงินของญี่ปุ่น (Financial Services Agency หรือ FSA) กำหนดแนวทางให้สถาบันการเงินตรวจสอบความเสี่ยงอย่างรอบด้าน โดยไม่ได้จำกัดเฉพาะคู่สัญญาทางตรงเท่านั้น แต่ต้องครอบคลุมถึงเครือข่ายพันธมิตรทั้งหมดที่เชื่อมต่อกับระบบของธนาคาร ซึ่งรวมไปถึงกลุ่มธุรกิจเทคโนโลยีทางการเงิน (ฟินเทค) และบริษัทโทรคมนาคมที่มีการแลกเปลี่ยนข้อมูลโดยไม่มีสัญญาว่าจ้างภายนอกอย่างเป็นทางการ ทิศทางนี้สอดคล้องกับแนวทางการกำกับดูแลความเสี่ยงจากบุคคลที่สามในสหรัฐอเมริกา สหภาพยุโรป และสหราชอาณาจักร
Takanori Nishiyama รองประธานอาวุโสประจำภูมิภาคเอเชียแปซิฟิกและผู้จัดการประจำประเทศญี่ปุ่นของ Keeper Security ให้ข้อมูลว่า สถาบันการเงินในญี่ปุ่นยุติการพัฒนาระบบเองทั้งหมดมานานหลายปีแล้ว ทำให้ระบบนิเวศพันธมิตรที่ขับเคลื่อนการให้บริการในปัจจุบันกลายเป็นการเพิ่มจุดเชื่อมต่อภายนอกอย่างต่อเนื่อง ซึ่งทีมรักษาความปลอดภัยต้องนำมาคำนวณเป็นปัจจัยความเสี่ยง
การขยายตัวของเครือข่ายข้อมูลเกิดขึ้นควบคู่กับความเสี่ยงจากการที่อาชญากรไซเบอร์นำระบบปัญญาประดิษฐ์ขั้นสูงมาใช้ค้นหาและเจาะช่องโหว่ซอฟต์แวร์ ส่งผลให้กรอบเวลาในการตั้งรับลดลงจากระดับหลายเดือนเหลือเพียงไม่กี่นาที ทุกจุดเชื่อมต่อข้อมูลจึงกลายเป็นช่องทางที่อาจถูกบุกรุกได้ตลอดเวลา ทั้งนี้ สำนักงานตำรวจแห่งชาติของญี่ปุ่นรายงานสถิติคดีโอนเงินฉ้อโกงผ่านบริการธนาคารทางอินเทอร์เน็ตในปี 2025 สูงถึง 4,677 คดี คิดเป็นมูลค่าความเสียหายราว 10,200 ล้านเยน ซึ่งเป็นสถิติสูงสุดทั้งจำนวนคดีและความเสียหาย โดยมีฟิชชิ่งเป็นวิธีหลักในการขโมยข้อมูลระบุตัวตน
มาตรการรักษาความปลอดภัยและจัดการสิทธิ์การเข้าถึง
สถาบันการเงินในญี่ปุ่นมีความจำเป็นต้องพิจารณาอัตลักษณ์การเข้าถึงระบบทั้งหมด ทั้งที่เป็นมนุษย์และระบบอัตโนมัติ ให้เป็นส่วนหนึ่งของพื้นที่เสี่ยงต่อการถูกโจมตี ขั้นตอนแรกเริ่มจากการจัดทำบัญชีรายชื่อพันธมิตรที่เชื่อมโยงข้อมูลอย่างครบถ้วน พร้อมประเมินผลกระทบกรณีเกิดเหตุหยุดชะงัก จากนั้นต้องกำหนดข้อตกลงด้านความปลอดภัยที่มีผลบังคับใช้ตามสัญญาอย่างชัดเจน ซึ่งครอบคลุมทั้งเกณฑ์มาตรฐานการเข้ารหัสข้อมูล ตลอดจนสิทธิ์ในการเข้าตรวจสอบระบบ
นอกจากนี้ การจัดการความปลอดภัยระหว่างองค์กรควรใช้หลักการกำหนดสิทธิ์การเข้าถึงให้น้อยที่สุดเท่าที่จำเป็น และยกเลิกสิทธิ์การเข้าถึงแบบถาวร โดยเปลี่ยนมาใช้ระบบกำหนดสิทธิ์ตามช่วงเวลาการปฏิบัติงานจริงที่จะหมดอายุลงทันทีเมื่อสิ้นสุดหน้าที่ พร้อมทั้งติดตั้งระบบการยืนยันตัวตนแบบหลายปัจจัย และการจัดการการเข้าถึงระดับผู้ดูแลระบบในทุกจุดที่มีการเข้าถึงข้อมูล รวมถึงส่วนงานที่ตัวแทนปัญญาประดิษฐ์เข้ามาปฏิบัติการภายในระบบของธนาคาร
การรักษาความเชื่อมั่นของธนาคารในปัจจุบันจึงครอบคลุมไปถึงทุกการเชื่อมต่อทางเทคโนโลยี โดย Nishiyama ชี้ว่า ความเชื่อถือที่สร้างสมมานานหลายทศวรรษส่งผ่านไปยังทุกจุดเชื่อมโยง ไม่ว่าจะเป็นการเชื่อมต่อฟินเทค ส่วนต่อประสานโปรแกรมประยุกต์ หรือตัวแทนปัญญาประดิษฐ์ เนื่องจากลูกค้าและหน่วยงานกำกับดูแลจะไม่แยกแยะว่าการละเมิดข้อมูลเกิดขึ้นที่ธนาคารหรือเกิดขึ้นที่ระบบของพันธมิตร การนำเกณฑ์ความปลอดภัยที่เข้มงวดมาบังคับใช้กับทุกอัตลักษณ์เชื่อมต่อจึงเป็นแนวทางสำคัญในการรักษาเสถียรภาพของสถาบันการเงิน
#Cybersecurity #Banking #Fintech #KeeperSecurity #DataSecurity #JapanEconomy
