เมื่อสภาพแวดล้อมการเล่นเกมมีความเชื่อมโยงกันมากขึ้น โอกาสในการโจมตีทางไซเบอร์ก็เพิ่มขึ้นเช่นกัน เทคโนโลยีอินเทอร์เน็ตของสรรพสิ่ง (IoT) ช่วยให้สามารถเชื่อมต่อกล้อง ระบบควบคุมการเข้าออก เซ็นเซอร์สิ่งแวดล้อม อุปกรณ์ชำระเงิน และเทคโนโลยีการดำเนินงานอื่นๆ เข้ากับเครือข่ายขนาดใหญ่ได้ ในสภาพแวดล้อมเทคโนโลยีการเล่นเกมทั้งหมดในประเทศไทย อาจเกิดปัญหาด้านความปลอดภัยทางไซเบอร์ดังต่อไปนี้ ซึ่งเกี่ยวข้องกับปัญหาด้านสิทธิ์การเข้าถึง ความปลอดภัยของอุปกรณ์ที่เปราะบาง การเปิดเผยข้อมูล การบุกรุกเครือข่าย และความเสี่ยงด้านความปลอดภัยของบุคคลที่สาม ดังนั้น ความปลอดภัยทางไซเบอร์ของ IoT จึงต้องถือเป็นส่วนประกอบหนึ่งของกลยุทธ์ความปลอดภัยทางไซเบอร์โดยรวม และไม่ควรพิจารณาแยกต่างหาก
สิ่งสำคัญคือต้องแยกแยะความแตกต่างระหว่างความเสี่ยงทางเทคนิคและประเด็นเรื่องความถูกต้องตามกฎหมายของการพนัน บทความนี้ครอบคลุมเฉพาะด้านความปลอดภัยทางไซเบอร์ของเทคโนโลยีคาสิโนที่เชื่อมต่ออินเทอร์เน็ต และไม่ได้ตั้งสมมติฐานใดๆ เกี่ยวกับการดำเนินงานของคาสิโนเฉพาะในประเทศไทย
เหตุใดอินเทอร์เน็ตของสรรพสิ่ง (IoT) จึงอาจเพิ่มความเสี่ยงด้านความปลอดภัยทางไซเบอร์ได้?
อุปกรณ์ IoT ถูกออกแบบมาเพื่อสื่อสารผ่านเครือข่าย รวบรวมข้อมูล หรือปฏิบัติงานเฉพาะอย่างจากระยะไกล การเชื่อมต่อนี้สามารถช่วยปรับปรุงการตรวจสอบและประสิทธิภาพการดำเนินงานได้ แต่ก็อาจเพิ่มจำนวนอุปกรณ์ปลายทางที่ทีมรักษาความปลอดภัยต้องปกป้องด้วยเช่นกัน
สำนักงานความมั่นคงทางไซเบอร์และโครงสร้างพื้นฐานของสหรัฐฯ (CISA) ระบุว่า การเชื่อมต่อผ่านซอฟต์แวร์ และการเชื่อมต่อระหว่างอุปกรณ์อินเทอร์เน็ตของสรรพสิ่ง (IoT) กับโลกทางกายภาพ เป็นพื้นที่ที่มีความเสี่ยงด้านความปลอดภัยทางไซเบอร์สูง CISA แนะนำให้พิจารณาเรื่องความปลอดภัยตลอดกระบวนการจัดซื้อและการใช้งานผลิตภัณฑ์และบริการ IoT
ในสภาพแวดล้อมทางเทคโนโลยีของคาสิโน ความเสี่ยงไม่ได้จำกัดอยู่เฉพาะอุปกรณ์ที่เกี่ยวข้องกับการเล่นเกมโดยตรงเท่านั้น แม้แต่อุปกรณ์ที่เชื่อมต่อที่มีลำดับความสำคัญต่ำก็อาจกลายเป็นช่องทางในการแทรกซึมเข้าสู่เครือข่ายที่กว้างขึ้นได้ หากระบบรักษาความปลอดภัยของอุปกรณ์เหล่านั้นอ่อนแอ
1. อุปกรณ์ที่มีระบบรักษาความปลอดภัยอ่อนแอหรือตั้งค่าไม่ถูกต้อง
หนึ่งในความเสี่ยงพื้นฐานที่สุดของอินเทอร์เน็ตของสรรพสิ่ง (IoT) คือความปลอดภัยของอุปกรณ์ที่ไม่เพียงพอ อุปกรณ์อาจใช้ข้อมูลประจำตัวที่อ่อนแอ ซอฟต์แวร์ที่ล้าสมัย บริการที่ไม่จำเป็น หรือการกำหนดค่าที่ไม่ปลอดภัย
หากผู้โจมตีสามารถควบคุมอุปกรณ์ IoT ได้ ผลที่ตามมาจะขึ้นอยู่กับข้อมูลที่อุปกรณ์นั้นสามารถเข้าถึงได้ อุปกรณ์ที่ถูกบุกรุกสามารถใช้เป็นจุดเริ่มต้นสำหรับการบุกรุกเครือข่าย การสอดแนม หรือการขโมยข้อมูลได้
ดังนั้น ทีมรักษาความปลอดภัยจึงต้องจัดทำรายชื่ออุปกรณ์ที่เชื่อมต่ออย่างถูกต้องแม่นยำ และต้องเข้าใจสิ่งต่อไปนี้:
หน้าที่ของอุปกรณ์แต่ละชนิด
มันเชื่อมต่อกับเครือข่ายใด?
มีการเก็บรวบรวมข้อมูลอะไรบ้าง?
ใครสามารถเข้าถึงได้บ้าง?
ซอฟต์แวร์และเฟิร์มแวร์ได้รับการอัปเดตอย่างไร?
ผู้ผลิตจะยังคงให้การสนับสนุนด้านความปลอดภัยต่อไปหรือไม่
2. การบุกรุกเครือข่ายและการเคลื่อนที่ข้ามเครือข่าย
สิ่งที่น่ากังวลที่สุดคือสิ่งที่เกิดขึ้นหลังจากที่แฮกเกอร์เจาะระบบอุปกรณ์ IoT ได้แล้ว
หากอุปกรณ์ IoT ใช้เครือข่ายร่วมกับแอปพลิเคชันทางธุรกิจ ระบบเฝ้าระวัง หรือโครงสร้างพื้นฐานที่สำคัญอื่นๆ ผู้โจมตีอาจพยายามเคลื่อนย้ายจากจุดที่ถูกบุกรุกไปยังระบบอื่น ซึ่งโดยทั่วไปเรียกว่าการเคลื่อนย้ายแบบแนวนอน (lateral movement)
ความเสี่ยงนี้ได้รับการเน้นย้ำอย่างชัดเจนจากเหตุการณ์ในคาสิโนที่เป็นข่าวอย่างกว้างขวาง ซึ่งเกี่ยวข้องกับเทอร์โมมิเตอร์สำหรับตู้ปลาที่เชื่อมต่ออินเทอร์เน็ต ตามแนวทางการรักษาความปลอดภัยห่วงโซ่อุปทานของ CISA ผู้โจมตีได้แฮ็กเทอร์โมมิเตอร์เหล่านี้เพื่อเข้าถึงเครือข่ายของคาสิโนและรั่วไหลข้อมูลเกี่ยวกับลูกค้าที่มีเงินเดิมพันสูง
บทเรียนที่ได้จากกรณีนี้เรียบง่าย: อุปกรณ์ชิ้นหนึ่งอาจเป็นภัยคุกคามทางไซเบอร์ได้ แม้ว่าจะไม่ได้เป็นส่วนหนึ่งของระบบเกมก็ตาม
3. ความเสี่ยงจากการสอดแนมและการละเมิดข้อมูลส่วนบุคคล
กล้องวงจรปิดและอุปกรณ์ตรวจสอบอื่นๆ ที่เชื่อมต่ออินเทอร์เน็ตอาจก่อให้เกิดปัญหาด้านความปลอดภัยที่ละเอียดอ่อนเป็นพิเศษ
หากกล้องวงจรปิดถูกแฮ็ก วิดีโอแบบเรียลไทม์หรือข้อมูลอื่นๆ ภายในอาคารอาจถูกเปิดเผย คำแนะนำด้านความปลอดภัยทางไซเบอร์ล่าสุดที่เผยแพร่โดยสำนักงานความมั่นคงทางไซเบอร์แห่งชาติของประเทศไทย (คส.) ชี้ให้เห็นถึงช่องโหว่ในผลิตภัณฑ์กล้องวงจรปิดที่อนุญาตให้เข้าถึงวิดีโอแบบเรียลไทม์และข้อมูลภาพที่ละเอียดอ่อนโดยไม่ได้รับอนุญาต
ในสภาพแวดล้อมที่เกี่ยวข้องกับคาสิโน ระบบรักษาความปลอดภัยด้วยกล้องวงจรปิดมีความสำคัญเป็นพิเศษ เนื่องจากระบบเฝ้าระวังสามารถครอบคลุมพื้นที่ปฏิบัติการที่ละเอียดอ่อนได้
สิทธิ์ในการเข้าถึงต้องถูกจำกัดตามความรับผิดชอบในหน้าที่การงาน และข้อมูลประจำตัวของอุปกรณ์ เฟิร์มแวร์ และกลไกการเข้าถึงระยะไกลต้องได้รับการจัดการอย่างระมัดระวัง
4. การเปิดเผยข้อมูลส่วนบุคคล
ระบบที่เชื่อมต่อกันอาจโต้ตอบกับข้อมูลเกี่ยวกับลูกค้า พนักงาน และผู้เยี่ยมชม ขึ้นอยู่กับเทคโนโลยีและการกำหนดค่า ข้อมูลเหล่านี้อาจรวมถึงข้อมูลระบุตัวตน ข้อมูลติดต่อ ข้อมูลบัญชี ข้อมูลที่เกี่ยวข้องกับการทำธุรกรรม หรือข้อมูลส่วนบุคคลอื่น ๆ
คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลของไทยได้จัดทำแนวทางปฏิบัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลและการจัดการความปลอดภัยของระบบสารสนเทศตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล
นั่นหมายความว่าองค์กรที่ประมวลผลข้อมูลส่วนบุคคลต้องพิจารณาไม่เพียงแต่ว่าข้อมูลถูกจัดเก็บไว้ที่ใด แต่ยังต้องพิจารณาด้วยว่าอุปกรณ์ที่เชื่อมต่อ แอปพลิเคชัน และบริการของบุคคลที่สามสามารถเข้าถึงข้อมูลนั้นได้จากที่ใดบ้าง
5. ช่องโหว่ของบุคคลที่สามและห่วงโซ่อุปทาน
ระบบนิเวศ IoT มักต้องพึ่งพาผู้ผลิตภายนอก ผู้ให้บริการซอฟต์แวร์ แพลตฟอร์มคลาวด์ บริษัทบำรุงรักษา และผู้บูรณาการเทคโนโลยี
นี่เป็นการเพิ่มปัจจัยเสี่ยงอีกประการหนึ่ง ช่องโหว่ในเฟิร์มแวร์ของผู้จำหน่าย แพลตฟอร์มคลาวด์ API หรือระบบการจัดการระยะไกล อาจส่งผลกระทบต่อองค์กรที่ใช้เทคโนโลยีเหล่านั้น
ดังนั้น กระบวนการจัดซื้อจัดจ้างที่มีประสิทธิภาพจึงต้องพิจารณาประเด็นต่อไปนี้
แนวปฏิบัติด้านความปลอดภัยของผู้ขาย
นโยบายการอัปเดตเฟิร์มแวร์และซอฟต์แวร์
ขั้นตอนการเปิดเผยช่องโหว่
การควบคุมการเข้าถึงระยะไกล
วิธีการประมวลผลข้อมูล
ความรับผิดชอบด้านความปลอดภัยระหว่างผู้ขายและผู้ให้บริการ
CISA แนะนำให้พิจารณาประเด็นด้านความปลอดภัยทางไซเบอร์ โดยเฉพาะอย่างยิ่งเมื่อซื้ออุปกรณ์ IoT และประเมินความปลอดภัยตลอดวงจรชีวิตของเทคโนโลยี
ปัจจัยเสี่ยงของอินเทอร์เน็ตของสรรพสิ่ง (IoT) โดยสังเขป