ความปลอดภัยไซเบอร์คืออะไร

01เปิดแฟ้มคดีแรก Case zero

ตีหนึ่งสี่สิบ คืนก่อนวันส่งรายงาน มายด์กำลังพิมพ์ย่อหน้าสุดท้าย มือถือที่วางคว่ำไว้ข้างแก้วชาเย็นสั่นขึ้นสองครั้ง

ข้อความแรกเป็นอีเมลแจ้งเตือนว่า “มีการเข้าสู่ระบบบัญชีของคุณจากอุปกรณ์ใหม่” ข้อความที่สองมาจากกลุ่มแชตห้อง เพื่อนถามว่า “มายด์ ส่งลิงก์อะไรมาให้ทุกคนเนี่ย” ไม่ถึงห้านาที แชตส่วนตัวก็เด้งตามมาอีกหลายสิบข้อความ ทุกคนได้ข้อความจาก “มายด์” ที่ขอยืมเงินด่วน พร้อมเลขบัญชีที่มายด์ไม่เคยเห็นมาก่อนในชีวิต

มายด์ไม่ใช่คนจริง แต่คืนแบบนี้เกิดขึ้นจริงกับใครสักคนแทบทุกคืน และถ้าย้อนดูทีละขั้น จะเห็นว่ามันไม่ได้เริ่มจากแฮกเกอร์อัจฉริยะที่พิมพ์โค้ดรัว ๆ ในห้องมืด มันเริ่มจากเรื่องธรรมดามาก: เว็บบอร์ดเกมเก่าที่มายด์เคยสมัครไว้เมื่อสามปีก่อนทำข้อมูลรั่ว รหัสผ่านที่หลุดไปเป็นรหัสเดียวกับบัญชีโซเชียล และบัญชีนั้นไม่ได้เปิดการยืนยันตัวตนสองชั้นไว้

คนร้ายไม่ต้องเจาะอะไรเลย แค่ไขประตูด้วยกุญแจที่ได้มาฟรี ๆ

สวัสดีครับ ผม Sandworm คนเขียนและวาดภาพทุกภาพในหลักสูตรนี้ ตลอด 29 แฟ้มคดีกับอีกหนึ่งแฟ้มพิเศษข้างหน้า ผมจะพาไล่ดูทีละขั้นว่าการโจมตีเดินจากจุดหนึ่งไปอีกจุดอย่างไร แล้วเราตัดมันขาดได้ตรงไหน ทุกบทเปิดเป็น “แฟ้มคดี” หนึ่งแฟ้ม และนี่คือแฟ้มแรก ยังไม่มีมัลแวร์ ยังไม่มีโค้ด มีแค่ภาษาที่เราต้องพูดให้ตรงกันก่อนจะออกเดินทาง

เพราะคืนของมายด์อธิบายได้ด้วยคำไม่กี่คำ มี สินทรัพย์ คือบัญชีและความไว้ใจของเพื่อน มี ภัยคุกคาม คือคนร้ายที่ถือรายชื่อรหัสผ่านที่รั่ว มี ช่องโหว่ คือรหัสผ่านซ้ำและไม่มีด่านที่สอง และเมื่อสามอย่างนี้มาเจอกัน ก็เกิด ความเสี่ยง ที่กลายเป็นความเสียหายจริง จบบทนี้ คำเหล่านี้จะเป็นแว่นตาที่เราใช้มองทุกบทที่เหลือ

อ่านสีในภาพให้เป็น

ภาพทุกภาพในเว็บนี้วาดขึ้นด้วยโค้ด และใช้สีสี่สีที่มีความหมายเดียวกันทุกหน้า จำครั้งเดียว ใช้ได้ทั้งหลักสูตร

• แดง: ผู้โจมตี เส้นทางร้าย สิ่งที่ติดเชื้อหรือพังไปแล้ว
• เหลืองอำพัน: จุดเสี่ยง ช่องโหว่ เรื่องที่ต้องระวัง
• เขียว: การป้องกัน ทางรอด และจุดที่ “โซ่ขาด”
• ฟ้า: ข้อมูล อุปกรณ์ของเรา และการทำงานตามปกติ

ศัพท์น่ารู้: ความปลอดภัยไซเบอร์ (Cybersecurity)

การปกป้องคอมพิวเตอร์ เครือข่าย ข้อมูล และผู้คนที่ใช้มัน ไม่ให้ถูกเข้าถึง ถูกแก้ไข ถูกขโมย หรือถูกทำให้ใช้งานไม่ได้โดยคนที่ไม่ได้รับอนุญาต คำว่า “ไซเบอร์” ในที่นี้หมายถึงโลกที่เชื่อมกันด้วยคอมพิวเตอร์และอินเทอร์เน็ต ซึ่งทุกวันนี้แทบแยกไม่ออกจากชีวิตจริงแล้ว

02เราปกป้องอะไรอยู่ What we protect

ถามคนทั่วไปว่าความปลอดภัยไซเบอร์ปกป้องอะไร คำตอบแรกมักเป็น “ข้อมูล” ซึ่งถูก แต่ยังไม่ครบ ลองมองให้กว้างขึ้นอีกนิด สิ่งที่เราปกป้องจริง ๆ มีสี่กลุ่ม และทั้งสี่กลุ่มผูกกันอยู่เสมอ

แถวสุดท้ายคือเหตุผลที่โลกจริงจังกับเรื่องนี้มากขึ้นทุกปี เมื่อระบบของโรงพยาบาลถูกแรนซัมแวร์ล็อก ปัญหาไม่ได้อยู่ที่ไฟล์ แต่อยู่ที่คนไข้ที่ต้องเลื่อนการรักษา เมื่อระบบส่งน้ำมันหยุด คนที่เดือดร้อนคือคนขับรถทั้งภูมิภาค (เราจะเห็นตัวอย่างจริงในหัวข้อที่ 07) ความปลอดภัยไซเบอร์ทุกวันนี้จึงไม่ใช่เรื่องของคอมพิวเตอร์อย่างเดียว แต่เป็นเรื่องของคนที่อยู่ปลายสาย

อีกเรื่องที่ควรรู้ตั้งแต่ต้นคือ ข้อมูลของเราไม่ได้อยู่ในเครื่องเราเครื่องเดียว มันกระจายอยู่ในเซิร์ฟเวอร์ของแอปที่เราใช้ ร้านที่เราสั่งของ โรงเรียน โรงพยาบาล และหน่วยงานรัฐ การปกป้องตัวเองจึงมีสองส่วน ส่วนแรกคือสิ่งที่เราคุมได้เอง เช่น รหัสผ่าน อุปกรณ์ และนิสัยการคลิก ส่วนที่สองคือการเลือกไว้ใจคนอื่นอย่างมีสติ ให้ข้อมูลเท่าที่จำเป็น และเลือกบริการที่จริงจังเรื่องความปลอดภัย ส่วนหลังนี้เราจะเจาะลึกใน CASE-005

ศัพท์น่ารู้: สินทรัพย์ (Asset)

ทุกอย่างที่มีค่าและควรปกป้อง ไม่จำเป็นต้องเป็นเงินเสมอไป บัญชีโซเชียลที่มีเพื่อนสองพันคนก็เป็นสินทรัพย์ เพราะคนร้ายเอาความไว้ใจของเพื่อนเหล่านั้นไปหลอกต่อได้ คำถามแรกของงานความปลอดภัยทุกงานจึงเป็นคำถามง่าย ๆ ว่า “เรากำลังปกป้องอะไร”

03สามเสาหลัก CIA The CIA triad

ถ้าความปลอดภัยไซเบอร์มีสูตรเดียวที่ต้องจำ สูตรนั้นคือ CIA ไม่ใช่หน่วยข่าวกรองของอเมริกานะ แต่เป็นตัวย่อของสามคุณสมบัติที่ข้อมูลและระบบควรมี นักความปลอดภัยทั่วโลกใช้สามคำนี้เป็นแกนกลางเวลาตัดสินว่าอะไร “ปลอดภัย” หรือ “พัง”

ความลับ (Confidentiality)

ข้อมูลควรถูกเห็นเฉพาะคนที่มีสิทธิ์ ลองนึกถึงซองผลตรวจสุขภาพที่โรงพยาบาลปิดผนึกแล้วส่งถึงมือเราคนเดียว ถ้าซองนั้นถูกเปิดอ่านระหว่างทาง ต่อให้ไม่มีใครแก้ตัวเลขข้างในเลย ความลับก็เสียไปแล้ว และเรียกคืนไม่ได้ด้วย ข้อมูลที่หลุดออกไปแล้วไม่มีปุ่มย้อนกลับ

ความลับพังได้ทั้งแบบตั้งใจและไม่ตั้งใจ ตั้งแต่ข้อมูลลูกค้าของบริษัทรั่ว คนข้างหลังแอบดูเรากด PIN ไปจนถึงการส่งไฟล์รายชื่อนักเรียนพร้อมเบอร์โทรเข้าไปในกลุ่มแชตผิดกลุ่ม

ความถูกต้องครบถ้วน (Integrity)

ข้อมูลต้องไม่ถูกแก้โดยคนที่ไม่มีสิทธิ์ และต้องไม่หายไปบางส่วนโดยไม่มีใครรู้ ตัวอย่างที่คนไทยคุ้นที่สุดคือ สลิปโอนเงินปลอม ภาพสลิปดูเหมือนจริงทุกอย่าง แต่ตัวเลขหรือวันที่ถูกแก้ แม่ค้าออนไลน์หลายคนจึงต้องสแกน QR บนสลิปเพื่อเช็กกับระบบของธนาคารอีกที นั่นแหละคือการตรวจ integrity แบบที่ทำกันทุกวัน

ในโลกดิจิทัล การแก้ข้อมูลแนบเนียนกว่าการขูดลบบนกระดาษมาก คะแนนสอบที่ถูกแก้ไปหนึ่งตัวเลข เลขบัญชีปลายทางในอีเมลใบแจ้งหนี้ที่ถูกสลับ หรือมัลแวร์ที่แอบเปลี่ยนไฟล์ระบบ ล้วนเป็นการโจมตีเสานี้ทั้งสิ้น

ความพร้อมใช้งาน (Availability)

ระบบที่ปลอดภัยแต่ใช้ไม่ได้ก็ไม่มีประโยชน์ ข้อมูลและบริการต้องพร้อมเมื่อเราต้องการ ลองนึกถึงร้านข้าวมันไก่เจ้าดังที่จู่ ๆ มีคนหลายร้อยคนมาต่อคิวเต็มหน้าร้านโดยไม่ได้ตั้งใจจะซื้อเลย ลูกค้าตัวจริงเลยเข้าร้านไม่ได้ นั่นคือหลักการของการโจมตีแบบ DDoS ที่เราจะเจอใน CASE-014

แรนซัมแวร์ก็โจมตีเสานี้ ไฟล์ยังอยู่ครบ ไม่มีใครแก้ แต่เราเปิดใช้ไม่ได้ ส่วนศัตรูของเสานี้ที่ไม่ใช่คนร้ายก็มีเยอะ ทั้งฮาร์ดดิสก์เสีย ไฟดับ หรือน้ำท่วมห้องเซิร์ฟเวอร์ เพราะอย่างนี้ การสำรองข้อมูล จึงเป็นเครื่องมือหลักของเสานี้

สามเสาดึงกันเอง

ความยากของงานนี้คือสามเสาไม่ได้ช่วยกันเสมอไป ล็อกข้อมูลแน่นหนาเกินไปจนเจ้าของเองยังเข้าไม่ได้ ความลับได้ แต่ความพร้อมใช้งานพัง เปิดให้ทุกคนเข้าถึงสะดวก ความพร้อมใช้งานได้ แต่ความลับเสี่ยง งานความปลอดภัยที่ดีจึงไม่ใช่การล็อกทุกอย่าง แต่คือการหาจุดสมดุลที่เหมาะกับสิ่งที่เรากำลังปกป้อง

พอเรียนลึกขึ้น จะได้ยินอีกสองคำที่มักมาคู่กับ CIA คือ ความเป็นของแท้ (Authenticity) ว่าข้อมูลมาจากคนที่อ้างว่าเป็นผู้ส่งจริงหรือเปล่า และ การห้ามปฏิเสธความรับผิดชอบ (Non‑repudiation) คือคนที่ทำธุรกรรมไปแล้วจะมาปฏิเสธทีหลังไม่ได้ สองคำนี้เป็นงานของลายเซ็นดิจิทัล ซึ่งเราจะแกะกลไกกันใน CASE-008

ศัพท์น่ารู้: CIA Triad

สามเสาหลักของความปลอดภัยสารสนเทศ ได้แก่ Confidentiality (ความลับ) Integrity (ความถูกต้องครบถ้วน) และ Availability (ความพร้อมใช้งาน) เวลาเกิดเหตุอะไรขึ้น ลองถามตัวเองว่า “เสาไหนพัง” แล้วจะเห็นภาพทันทีว่าความเสียหายคืออะไร และควรแก้ตรงไหน

04ภัยคุกคาม ช่องโหว่ และความเสี่ยง Threat, vulnerability, risk

สามคำนี้ถูกใช้สลับกันมั่วที่สุดในข่าวไอที แต่ในงานจริงมันมีความหมายต่างกันชัดเจน และการแยกให้ออกจะเปลี่ยนวิธีคิดของเราไปเลย

ลองนึกถึงบ้านหลังหนึ่งในซอย ภัยคุกคาม (threat) คือโจรย่องเบาที่ตระเวนอยู่แถวนั้น ช่องโหว่ (vulnerability) คือหน้าต่างห้องน้ำที่ลืมล็อก หรือกุญแจสำรองที่ซ่อนไว้ใต้กระถางหน้าบ้านซึ่งใคร ๆ ก็เดาได้ สินทรัพย์ คือทองในตู้ ส่วน ความเสี่ยง (risk) คือโอกาสที่ทั้งสามอย่างจะมาบรรจบกัน แล้วเกิดความเสียหายขึ้นจริง

ภาพนี้ซ่อนบทเรียนสำคัญไว้ข้อหนึ่ง: เราแทบควบคุมภัยคุกคามไม่ได้ โจรมีอยู่จริงและไม่หายไปไหน แฮกเกอร์ก็เช่นกัน สิ่งที่เราคุมได้คืออีกสองวง เราปิดช่องโหว่ได้ด้วยการอัปเดตและตั้งค่าให้ดี และเราลดสินทรัพย์ที่วางล่อตาอยู่ได้ด้วยการไม่เก็บข้อมูลเกินจำเป็น งานป้องกันเกือบทั้งหมดในหลักสูตรนี้ก็คือสองอย่างนี้ในรูปแบบต่าง ๆ

แล้วช่องโหว่สำคัญแค่ไหนในโลกจริง รายงาน Data Breach Investigations Report (DBIR) ฉบับปี 2026 ของ Verizon ซึ่งรวบรวมเหตุข้อมูลรั่วจากทั่วโลก พบว่าการเจาะผ่านช่องโหว่ขึ้นมาเป็นทางเข้าอันดับหนึ่ง คิดเป็นราว 31% ของเหตุข้อมูลรั่วที่ยืนยันแล้ว แซงหน้าการใช้รหัสผ่านที่ถูกขโมยไปแล้ว พูดง่าย ๆ คือ หน้าต่างที่ลืมล็อกยังเป็นทางที่โจรชอบที่สุด

ศัพท์น่ารู้: Exploit และ Zero‑day

Exploit คือวิธีหรือโปรแกรมที่ใช้ประโยชน์จากช่องโหว่หนึ่ง ๆ เหมือนเครื่องมืองัดที่ทำมาเฉพาะหน้าต่างรุ่นนั้น ส่วน Zero‑day คือช่องโหว่ที่คนร้ายรู้ก่อนเจ้าของระบบ เจ้าของจึงมีเวลาแก้เป็น “ศูนย์วัน” เราจะเจาะเรื่องนี้ใน CASE-015

วัดความเสี่ยงด้วยสองคำถาม

ไม่มีใครมีเวลาและเงินพอจะกันทุกอย่างได้ร้อยเปอร์เซ็นต์ คนทำงานความปลอดภัยจึงต้องจัดลำดับ และเครื่องมือพื้นฐานที่สุดคือถามสองคำถามกับทุกความเสี่ยง: มีโอกาสเกิดแค่ไหน (likelihood) และ ถ้าเกิดแล้วเสียหายแค่ไหน (impact) เอาสองค่ามาคูณกัน แล้ววางลงในตาราง

ตารางนี้ทำให้เห็นสิ่งที่สัญชาตญาณมักมองข้าม อุกกาบาตตกใส่ศูนย์ข้อมูลฟังดูน่ากลัวที่สุด แต่โอกาสเกิดแทบเป็นศูนย์ ส่วนการใช้รหัสผ่านซ้ำฟังดูธรรมดาจนไม่มีใครตื่นเต้น แต่กลับอยู่ในโซนแดง เพราะทั้งเกิดบ่อยและเสียหายหนัก ความเสี่ยงที่ควรกลัวจึงไม่ใช่เรื่องที่ฟังดูน่าตื่นเต้นที่สุด แต่เป็นเรื่องที่อยู่มุมขวาบน

เจอความเสี่ยงแล้ว เลือกได้สี่ทาง

ไม่มีทางไหนถูกเสมอ สิ่งสำคัญคือเราได้ เลือก อย่างรู้ตัว ไม่ใช่ปล่อยไว้เพราะไม่รู้ด้วยซ้ำว่ามันมีอยู่

05ใครโจมตี และโจมตีไปทำไม Threat actors

ในหนัง แฮกเกอร์มักเป็นชายใส่เสื้อฮู้ดนั่งคนเดียวในห้องมืด ในชีวิตจริง ผู้โจมตีมีหลายแบบมาก ต่างกันทั้งฝีมือ ทุน และเหตุผลที่ลงมือ นักความปลอดภัยเรียกพวกเขารวม ๆ ว่า ผู้ก่อภัย (threat actor) และการรู้ว่ากำลังรับมือกับใคร ช่วยให้เราเลือกเกราะได้ถูกชิ้น

เหตุผลที่คนลงมือโจมตีมีไม่กี่ข้อ เงิน มาเป็นอันดับหนึ่งเสมอ ตามด้วย อุดมการณ์ ข่าวกรองและการเมือง ความแค้น และ ความสนุกหรืออยากดัง ถ้าเข้าใจแรงจูงใจ ก็จะเดาได้ว่าเขาอยากได้อะไรจากเรา แก๊งที่หวังเงินอยากได้บัญชีธนาคารหรือข้อมูลที่ขายต่อได้ แฮกทิวิสต์อยากได้เวทีให้คนเห็น ส่วนกลุ่มที่รัฐหนุนหลังอยากได้ความลับที่เก็บไว้ใช้ระยะยาว

“ไม่มีใครอยากแฮกเราหรอก” จริงหรือ

ประโยคนี้ได้ยินบ่อยที่สุด และผิดบ่อยที่สุด การโจมตีส่วนใหญ่ไม่ได้ “เลือก” เหยื่อ แต่ “กวาด” เหยื่อ คนร้ายส่ง SMS ถึงคนเป็นล้านพร้อมกันแล้วรอดูว่าใครจะกด สั่งโปรแกรมให้ไล่เคาะทุกเครื่องบนอินเทอร์เน็ตเพื่อหาตัวที่ไม่อัปเดต หรือเอารหัสผ่านที่รั่วมาลองกับทุกเว็บแบบอัตโนมัติ เราไม่จำเป็นต้องเป็นคนสำคัญ แค่ต้องเป็นหนึ่งในคนที่เปิดประตูค้างไว้

และต่อให้ไม่มีเงินในบัญชีเลย เราก็ยังมีของที่คนร้ายอยากได้ บัญชีโซเชียลเอาไปหลอกเพื่อนเราต่อ มือถือเอาไปเป็นหุ่นเชิดในบอตเน็ต บัญชีธนาคารเอาไปเป็นบัญชีม้ารับเงินที่โกงมา ส่วนตัวตนของเราเอาไปเปิดบัญชีหรือสมัครบริการในชื่อเรา

ศัพท์น่ารู้: APT (Advanced Persistent Threat)

ภัยคุกคามที่ทั้ง “ล้ำ” คือมีเครื่องมือและทักษะสูง และ “ทน” คือซุ่มอยู่ในระบบได้นานโดยไม่ถูกจับได้ ส่วนใหญ่มีรัฐหรือองค์กรขนาดใหญ่หนุนหลัง เป้าหมายมักเป็นหน่วยงานรัฐ ทหาร โครงสร้างพื้นฐาน หรือบริษัทที่ถือความลับสำคัญ

06ประตูทุกบานในชีวิตนักเรียนหนึ่งคน Your attack surface

กลับมาที่มายด์ ถ้าเรากางชีวิตหนึ่งวันของนักเรียนคนหนึ่งออกมาดู จะเห็นว่ามี “ประตู” ให้คนร้ายเลือกเยอะกว่าที่คิด ทุกแอป ทุกบัญชี ทุกอุปกรณ์ และทุกเครือข่ายที่เราต่อ เป็นทางเข้าได้ทั้งนั้น ผลรวมของประตูทั้งหมดนี้เรียกว่า พื้นผิวการโจมตี (attack surface)

กฎของพื้นผิวการโจมตีเรียบง่ายมาก: ประตูยิ่งน้อย ทางเข้ายิ่งน้อย แอปที่ไม่ได้เปิดมาครึ่งปี บัญชีเว็บที่สมัครไว้ครั้งเดียวเพื่อโหลดไฟล์ หรือบลูทูทที่เปิดทิ้งไว้ตลอด ล้วนเป็นประตูที่เราไม่ได้ใช้ แต่คนร้ายใช้ได้ ข่าวดีคือการปิดประตูเหล่านี้ไม่ต้องใช้ความรู้เทคนิคเลย ใช้แค่เวลาหนึ่งชั่วโมง

ปิดประตูที่ไม่ได้ใช้ ภายในหนึ่งชั่วโมง

1. ล็อกอีเมลหลักให้แน่นก่อน

   อีเมลคือกุญแจผี เพราะใช้รีเซ็ตรหัสผ่านของบัญชีอื่นได้แทบทุกบัญชี ตั้งรหัสผ่านยาวที่ไม่ซ้ำกับที่ไหน แล้วเปิดการยืนยันตัวตนสองชั้นทันที

2. เปิดอัปเดตอัตโนมัติ

   ทั้งระบบปฏิบัติการ เบราว์เซอร์ และแอป การอัปเดตจำนวนมากคือการปิดช่องโหว่ที่ถูกค้นพบแล้ว ยิ่งช้า หน้าต่างก็ยิ่งเปิดค้างนาน

3. ลบแอปที่ไม่ได้ใช้ แล้วเช็กสิทธิ์ของแอปที่เหลือ

   แอปไฟฉายไม่จำเป็นต้องเห็นรายชื่อผู้ติดต่อ แอปแต่งรูปไม่จำเป็นต้องรู้ตำแหน่งตลอดเวลา ปิดสิทธิ์ที่ไม่สมเหตุสมผลทิ้ง

4. ตามหาบัญชีเก่าที่ลืมไปแล้ว

   ลองค้นในกล่องอีเมลด้วยคำว่า “ยินดีต้อนรับ” หรือ “welcome” จะเจอบัญชีที่เคยสมัครไว้มากจนตกใจ ตัวไหนไม่ใช้แล้วก็ลบทิ้ง ตัวไหนยังใช้ก็เปลี่ยนรหัสให้ไม่ซ้ำ

5. ตั้งล็อกหน้าจอทุกอุปกรณ์

   ใช้ PIN หรือรหัส และตั้งให้ล็อกเองเมื่อไม่ได้ใช้ไม่กี่นาที เครื่องที่วางทิ้งไว้โดยไม่ล็อก คือประตูที่เปิดอ้าให้ใครก็ได้ที่เดินผ่าน

ศัพท์น่ารู้: พื้นผิวการโจมตี (Attack surface)

ผลรวมของทุกจุดที่ผู้โจมตีอาจใช้เข้าถึงระบบหรือตัวเราได้ ทั้งด้านเทคนิค เช่น แอป พอร์ต อุปกรณ์ และด้านคน เช่น ข้อมูลที่เราโพสต์ หรือคนที่เราคุยด้วย งานลดพื้นผิวการโจมตีคือการปิดทุกอย่างที่ไม่จำเป็นต้องเปิด

07คนคือด่านหน้า ไม่ใช่จุดอ่อน The human factor

มีประโยคที่วงการนี้พูดกันจนช้ำว่า “มนุษย์คือจุดอ่อนที่สุด” และตัวเลขก็ดูจะยืนยันแบบนั้น รายงาน DBIR ฉบับปี 2026 ของ Verizon พบว่าราว 62% ของเหตุข้อมูลรั่วมี “ปัจจัยมนุษย์” เกี่ยวข้อง ทั้งถูกหลอก กดผิด ตั้งค่าผิด หรือใช้รหัสผ่านที่ถูกขโมยไป

แต่ผมอยากให้มองตัวเลขนี้อีกมุม คนไม่ได้อ่อนแอที่สุด คนคือ ด่านที่ถูกเล็งบ่อยที่สุด เพราะการหลอกคนหนึ่งคนให้กดลิงก์ ถูกกว่าและเร็วกว่าการหาช่องโหว่ใหม่ในระบบที่ดูแลดี ๆ หลายเท่า ผู้โจมตีรู้ดีว่าเราเหนื่อย รีบ เกรงใจ และอยากช่วยคนอื่น แล้วก็ออกแบบกลลวงมาเล่นกับนิสัยเหล่านี้โดยตรง เทคนิคนี้เรียกว่า วิศวกรรมสังคม (social engineering) ซึ่งเราจะผ่าออกดูทีละชิ้นใน CASE-003

ข่าวดีคือด่านนี้ฝึกได้ คนที่รู้ทันกลลวงไม่ได้ฉลาดกว่าคนอื่น เขาแค่เคยเห็นรูปแบบมาก่อน และมีนิสัยหยุดคิดสามวินาทีก่อนกด ซึ่งทุกคนฝึกได้

08เกราะหลายชั้น Defense in depth

ถ้าไม่มีเกราะไหนสมบูรณ์แบบ เราจะปลอดภัยได้อย่างไร คำตอบที่วงการนี้ใช้มาตลอดคือ อย่าพึ่งเกราะชั้นเดียว วางหลายชั้นซ้อนกัน แต่ละชั้นมีรูรั่วของตัวเองได้ ขอแค่รูไม่เรียงตรงกันพอดี การโจมตีก็ทะลุไปไม่ถึงของมีค่า

วงการความปลอดภัยการบินและการแพทย์ชอบอธิบายแนวคิดนี้ด้วยภาพ ชีสสวิส ชีสแต่ละแผ่นมีรู แต่ถ้าวางซ้อนกันหลายแผ่น โอกาสที่รูทุกแผ่นจะเรียงเป็นแนวเดียวกันก็น้อยลงมาก

ภาพนี้ยังสอนอีกเรื่องหนึ่ง: ไม่มีชั้นไหนต้องเพอร์เฟกต์ ชั้น “คน” พลาดได้เพราะเราเป็นมนุษย์ ชั้น “อุปกรณ์” พลาดได้เพราะมัลแวร์ตัวใหม่เกิดขึ้นทุกวัน หน้าที่ของเราไม่ใช่สร้างชั้นที่ไม่มีรู แต่คือมีหลายชั้นมากพอ และอุดรูที่รู้ว่ามีอยู่ให้เร็วที่สุด

องค์กรใหญ่ใช้หลักเดียวกัน แค่ชั้นเยอะกว่า ตั้งแต่ไฟร์วอลล์ การแบ่งโซนเครือข่าย ระบบตรวจจับ ไปจนถึงทีมที่เฝ้าจอตลอด 24 ชั่วโมง และมีกรอบการทำงานมาตรฐานให้ใช้ หนึ่งในกรอบที่ใช้กันแพร่หลายที่สุดคือ NIST Cybersecurity Framework 2.0 ของสหรัฐฯ ที่แบ่งงานความปลอดภัยออกเป็นหกหน้าที่ ลองดูว่าแต่ละหน้าที่แปลเป็นชีวิตเราได้อย่างไร

เราจะกลับมาที่แนวคิดนี้อีกครั้งแบบเต็มรูปแบบใน CASE-019 คู่กับ Zero Trust ซึ่งเป็นวิธีคิดที่ว่า “อย่าไว้ใจใครโดยอัตโนมัติ แม้จะเข้ามาอยู่ในบ้านแล้วก็ตาม”

ศัพท์น่ารู้: Defense in depth

หลักการวางการป้องกันหลายชั้นที่ต่างชนิดกัน เพื่อให้ความผิดพลาดของชั้นใดชั้นหนึ่งไม่กลายเป็นหายนะ คำนี้มีรากมาจากยุทธศาสตร์ทางทหาร ที่วางแนวตั้งรับหลายแนวแทนการฝากชีวิตไว้กับกำแพงเดียว

09หมวกขาว หมวกดำ และเส้นที่ห้ามข้าม Hacker hats & the law

คำว่า “แฮกเกอร์” ดั้งเดิมไม่ได้แปลว่าคนร้าย มันหมายถึงคนที่ชอบรื้อระบบออกมาดูว่าทำงานอย่างไร แล้วหาทางทำให้มันทำในสิ่งที่ผู้สร้างไม่ได้คิดไว้ ความรู้ชุดเดียวกันใช้ได้ทั้งเจาะและป้องกัน สิ่งที่แบ่งคนดีกับคนร้ายจึงไม่ใช่ฝีมือ แต่คือ การได้รับอนุญาต

ในองค์กร เราจะได้ยินชื่อทีมอีกชุดที่มาจากการซ้อมรบ ทีมแดง (red team) รับบทผู้โจมตี พยายามเจาะเข้ามาให้ได้เหมือนคนร้ายตัวจริง ทีมน้ำเงิน (blue team) เฝ้าระวังและป้องกัน ส่วน ทีมม่วง (purple team) คือการที่สองทีมมานั่งคุยกันว่าการโจมตีครั้งนั้นตรวจจับได้ไหม และจะปรับปรุงอะไร (ส่วนในภาพของหลักสูตรนี้ ฝั่งป้องกันใช้สีเขียวนะ อย่าเพิ่งสับสน)

กฎหมายไทยว่าอย่างไร

ประเทศไทยมี พ.ร.บ.ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 ซึ่งแก้ไขเพิ่มเติมในปี 2560 คนมักเรียกสั้น ๆ ว่า พ.ร.บ.คอมพิวเตอร์ฯ มาตรา 5 กำหนดว่า การเข้าถึงระบบคอมพิวเตอร์ที่มีมาตรการป้องกันการเข้าถึงไว้เป็นการเฉพาะโดยมิชอบ มีโทษจำคุกไม่เกินหกเดือน หรือปรับไม่เกินหนึ่งหมื่นบาท หรือทั้งจำทั้งปรับ ถ้าเข้าไปถึงตัวข้อมูล (มาตรา 7) หรือทำให้ข้อมูลเสียหายหรือระบบใช้งานไม่ได้ (มาตรา 9 และ 10) โทษก็หนักขึ้นไปอีกหลายเท่า

แปลเป็นภาษาชีวิตประจำวันคือ การลองเดารหัสเข้าบัญชีเพื่อน “เล่น ๆ” การล็อกอินเข้าระบบของโรงเรียนด้วยบัญชีที่บังเอิญรู้รหัส หรือการเอาเครื่องมือสแกนไปยิงใส่เว็บที่ไม่ใช่ของเรา “แค่อยากรู้ว่าโหว่ไหม” ไม่ใช่เรื่องเล่น ๆ ในสายตากฎหมาย ต่อให้ไม่ได้เอาอะไรออกมาเลยก็ตาม

ระบบที่ทดสอบได้ · test-portal.example.ac.th (เครื่องทดสอบเท่านั้น)
ช่วงเวลา · 1–7 พ.ย. 2026  09:00–17:00
ห้ามทำ · DDoS / หลอกพนักงาน / แตะข้อมูลนักเรียนจริง
ถ้าเจอช่องโหว่ · หยุดทันที แล้วรายงานผู้ดูแลภายใน 24 ชม.
ผู้อนุมัติ · หัวหน้าฝ่ายไอที (ลงนามแล้ว)

นักทดสอบเจาะระบบมืออาชีพจะไม่แตะเครื่องไหนเลยถ้ายังไม่มีเอกสารแบบนี้ มันคือสิ่งที่เปลี่ยน “การบุกรุก” ให้กลายเป็น “งาน”

อยากฝึกเจาะ ไปฝึกที่ไหนได้บ้าง

ข่าวดีคือมีสนามซ้อมที่ถูกกฎหมายเยอะมาก ทั้งการแข่งขัน CTF (Capture the Flag) ที่ผู้จัดสร้างโจทย์ขึ้นมาให้เจาะโดยเฉพาะ ห้องแล็บออนไลน์ที่ตั้งใจสร้างระบบให้มีช่องโหว่ไว้ฝึก หรือเครื่องเสมือน (virtual machine) ที่เราตั้งเองในเครื่องของตัวเอง และเมื่อฝีมือถึง บริษัทหลายแห่งเปิดโครงการ bug bounty ที่ให้รางวัลคนที่เจอช่องโหว่แล้วรายงานตามกติกาที่ประกาศไว้

ถ้าวันหนึ่งบังเอิญเจอช่องโหว่ในระบบของคนอื่นโดยไม่ได้ตั้งใจ ให้หยุดตรงนั้น อย่าเจาะต่อเพื่อ “พิสูจน์” แล้วรายงานเจ้าของระบบผ่านช่องทางทางการ หรือแจ้ง ThaiCERT ศูนย์ประสานงานด้านความมั่นคงปลอดภัยคอมพิวเตอร์ของประเทศ ซึ่งอยู่ภายใต้สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) แนวทางนี้เรียกว่า การเปิดเผยช่องโหว่อย่างรับผิดชอบ (responsible disclosure) ส่วนเรื่องกฎหมาย จริยธรรม และเส้นทางอาชีพ มีบทเต็มรออยู่ใน CASE-024

ศัพท์น่ารู้: Penetration testing (เพนเทสต์)

การทดสอบเจาะระบบโดยได้รับอนุญาต เพื่อหาช่องโหว่ก่อนคนร้ายจะเจอ ผลลัพธ์คือรายงานที่บอกว่าเจออะไร เสี่ยงแค่ไหน และควรแก้อย่างไร เป็นอาชีพที่ตลาดต้องการ และเริ่มต้นจากความรู้พื้นฐานแบบที่เรากำลังเรียนอยู่นี่เอง

10แผนที่การเดินทาง The course map

หลักสูตรนี้แบ่งเป็นสี่ระดับ เรียงจากเรื่องที่ทุกคนควรรู้ ไปจนถึงงานของคนที่ยืนเฝ้าระบบตัวจริง แต่ละระดับต่อยอดจากระดับก่อนหน้า ถ้าอ่านตามลำดับ คำศัพท์และแนวคิดจะค่อย ๆ ซ้อนขึ้นเองโดยไม่ต้องท่อง

• ระดับ 1 · ปูพื้นฐาน: ภัยที่เจอในชีวิตประจำวัน มัลแวร์ ฟิชชิง รหัสผ่าน ความเป็นส่วนตัว และมือถือ ทุกบทจบด้วยสิ่งที่ลงมือทำได้ทันที
• ระดับ 2 · เปิดฝาดูกลไก: อินเทอร์เน็ต การเข้ารหัส HTTPS การพิสูจน์ตัวตน และเครือข่าย พอเข้าใจว่ามันทำงานอย่างไร ก็จะเห็นเองว่ามันพังตรงไหน
• ระดับ 3 · มองผ่านตาผู้โจมตี: ช่องโหว่เว็บตาม OWASP Top 10 แผนที่ MITRE ATT&CK DDoS Zero‑day และแฟ้ม APT ตัวจริง รู้เขาเพื่อตั้งรับให้ถูกจุด
• ระดับ 4 · ยืนแนวหน้าฝั่งป้องกัน: SOC การรับมือเหตุการณ์ Zero Trust การออกแบบระบบให้ปลอดภัย คลาวด์ ภัยจาก AI และเส้นทางอาชีพ

อ่านเว็บนี้ให้คุ้ม

• ใต้ภาพทุกภาพมีปุ่ม อ่านภาพนี้เป็นข้อความ ถ้าภาพบนมือถือเล็กไป หรือใช้โปรแกรมอ่านหน้าจอ ก็อ่านจากตรงนั้นได้ครบทุกขั้น
• กด บันทึกเป็นภาพ ที่มุมขวาบนของภาพ เพื่อเก็บไว้ทบทวน หรือใช้ประกอบรายงาน
• เจอศัพท์ที่ลืมไปแล้ว เปิด คลังศัพท์ไซเบอร์ ได้ทุกเมื่อ
• ท้ายทุกบทมีคำถามทบทวน ลองนึกคำตอบในใจก่อนกดดูเฉลย การดึงความรู้ออกมาเองช่วยให้จำได้นานกว่าอ่านผ่าน ๆ

11สรุปให้จำ Recap

แฟ้มแรกปิดลงแล้ว ก่อนไปบทถัดไป ลองเช็กว่าแว่นตาคู่ใหม่ใส่ได้พอดีหรือยัง

• ความปลอดภัยไซเบอร์ปกป้องสี่อย่าง ข้อมูล อุปกรณ์ ผู้คน และบริการที่สังคมพึ่งพา
• CIA คือสามเสาหลัก ความลับ ความถูกต้องครบถ้วน ความพร้อมใช้งาน เกิดเหตุเมื่อไหร่ให้ถามว่า “เสาไหนพัง”
• ความเสี่ยง = โอกาสเกิด × ผลกระทบ เกิดเมื่อภัยคุกคาม ช่องโหว่ และสินทรัพย์มาเจอกัน เราคุมภัยไม่ได้ แต่ปิดช่องโหว่ได้
• ไม่มีใครเล็กเกินจะโดน การโจมตีส่วนใหญ่กวาดหาประตูที่เปิดค้าง ไม่ได้เลือกคน
• วางเกราะหลายชั้น และปิดประตูที่ไม่ได้ใช้ เริ่มจากอีเมลหลัก + MFA + อัปเดตอัตโนมัติ
• ไม่ได้รับอนุญาต = ผิดกฎหมาย ต่อให้แค่ “ลองดู” อยากฝึกให้ฝึกในสนามที่ถูกกฎหมายเท่านั้น

ลองทบทวนดู