ทำเนียบขาวเสนอชื่อ Michael LoSapio เป็นผู้อำนวยการ CISA รอสภาสูงสหรัฐฯ รับรอง

CISA ทำอะไร

หน้า About CISA ระบุว่าหน่วยงานเป็น National Coordinator for Critical Infrastructure Security and Resilience หรือผู้ประสานงานระดับชาติด้านความมั่นคงและความยืดหยุ่นของโครงสร้างพื้นฐานสำคัญของสหรัฐฯ พันธกิจที่เขียนไว้คือ "We lead the national effort to understand, manage, and reduce risk to our cyber and physical infrastructure." งานแบ่งเป็น 3 ด้านหลัก คือ ความมั่นคงไซเบอร์ ความมั่นคงของโครงสร้างพื้นฐาน และการสื่อสารในภาวะฉุกเฉิน

เมื่อ 26 ตุลาคม 2026 CISA เปิดยุทธศาสตร์ CISA 2030: Defend, Harden, Prevail มี 3 เสาหลัก คือ Defend นำการป้องกันไซเบอร์ระดับชาติ Harden จัดลำดับความมั่นคงของโครงสร้างพื้นฐาน และ Prevail ระดมความยืดหยุ่นของประเทศ Andersen กล่าวในประกาศว่ายุทธศาสตร์นี้เป็นแผนงานที่มุ่งเสริมการป้องกันและกำจัดที่มั่นของฝ่ายตรงข้าม

ใครทำหน้าที่ผู้อำนวยการ CISA ระหว่างรอการรับรอง

หน้าผู้บริหารของ CISA ระบุ Nick Andersen เป็น Acting Director หรือรักษาการผู้อำนวยการ CISA ประวัติทางการของเขา บอกว่าดำรงตำแหน่งทั้งรักษาการผู้อำนวยการและรองผู้อำนวยการ (Deputy Director) และเคยเป็น Executive Assistant Director for Cybersecurity มาก่อน Defense One รายงานว่า Andersen รักษาการมาตั้งแต่เดือนกุมภาพันธ์ และจำนวนพนักงานของ CISA ลดลงราวหนึ่งในสามนับจากทรัมป์กลับเข้าทำเนียบขาว ก่อนที่หน่วยงานจะเริ่มรับคนเพิ่มกลับมาหลายร้อยตำแหน่ง

ทำไมเรื่องนี้สำคัญกับองค์กรไทย

เครื่องมือของ CISA ที่องค์กรนอกสหรัฐฯ ใช้ได้โดยตรงคือแค็ตตาล็อก Known Exploited Vulnerabilities (KEV) ซึ่งรวมช่องโหว่ที่ถูกโจมตีจริงแล้ว ไฟล์ JSON รุ่น 2026.11.09 ที่ออกเมื่อ 9 พฤศจิกายน 2026 มี 1,773 รายการ หน้าแค็ตตาล็อกเขียนไว้ว่า "Organizations should use the KEV catalog as an input to their vulnerability management prioritization framework."

ข้อกำหนดที่ผูกกับ KEV มาจากคำสั่ง Binding Operational Directive (BOD) ซึ่งบังคับเฉพาะหน่วยงานพลเรือนของรัฐบาลกลางสหรัฐฯ ไม่มีผลทางกฎหมายกับองค์กรไทย CISA ตั้ง KEV ขึ้นในปี 2021 ตาม BOD 22-01 และเมื่อ 10 มิถุนายน 2026 ออก BOD 26-04 Prioritizing Security Updates Based on Risk ซึ่งยกเลิก BOD 22-01 และ BOD 19-02 แล้วให้จัดลำดับการแก้ช่องโหว่ตามความเสี่ยง รายละเอียดอยู่ในข่าววันกำหนดแก้ CISA KEV รอบ 10 ถึง 20 พฤศจิกายน

ผู้อำนวยการ CISA เป็นผู้นำหน่วยงานที่ดูแล KEV คำสั่ง BOD คำเตือนร่วมกับหน่วยงานพันธมิตร และเครื่องมือฟรีอย่าง ScubaGear สำหรับตรวจค่า Microsoft 365 ฝ่ายความปลอดภัยไทยจึงควรติดตามผลการรับรอง แม้ยังไม่มีประกาศว่า KEV หรือ BOD 26-04 จะเปลี่ยน

สิ่งที่องค์กรไทยควรทำ

• ผูกระบบแพตช์กับฟีด KEV โดยตรง ดึงไฟล์ JSON หรือ CSV ของแค็ตตาล็อกเข้าระบบจัดการช่องโหว่ แล้วเทียบกับทะเบียนอุปกรณ์ทุกสัปดาห์ โดยไม่ต้องรอข่าวการเปลี่ยนผู้บริหาร
• แก้ระบบที่เปิดสู่อินเทอร์เน็ตก่อน ตามแนวคิดของ BOD 26-04 ที่จัดลำดับตามความเสี่ยงแทนการไล่แก้ทุกช่องโหว่เท่ากัน
• ติดตามประกาศจากต้นทาง คือหน้า Alerts และ Directives ของ CISA ควบคู่กับประกาศของ สกมช. แทนการอ่านจากข่าวที่เล่าต่อกันมา
• จับตาผลการพิจารณาของสภาสูงสหรัฐฯ หากผู้อำนวยการ CISA คนใหม่ได้รับการรับรอง ให้ทบทวนว่ามีคำสั่งหรือแนวปฏิบัติใดเปลี่ยนจนกระทบเกณฑ์ภายในขององค์กร

บริการของ THAI DATA CLOUD ที่เกี่ยวข้อง

ไม่ว่าใครจะได้เป็นผู้นำ CISA งานประจำของฝ่ายไอทีไทยยังเหมือนเดิม คือดูแลระบบให้ทันแพตช์และเฝ้าระวังความผิดปกติอย่างต่อเนื่อง องค์กรที่ทีมไอทีมีคนน้อยฝากงานติดตั้ง บริหาร และ Monitoring ระบบคลาวด์ตลอด 24 ชั่วโมงไว้กับ Managed Cloud Services ของ THAI DATA CLOUD ได้ เพื่อให้ทีมภายในโฟกัสงานหลัก (THAI DATA CLOUD เป็นผู้ดำเนินงานเว็บไซต์นี้)

ดูข่าวกฎหมายและนโยบายดิจิทัลเพิ่มเติมได้ที่หมวดนโยบาย