Incident Manager Mindset

 

ตอน 02:13 น. Alert ransomware เด้งขึ้น IT Manager หยิบ laptop เริ่ม block IP ทันที 30 นาทีต่อมา CEO โทรเข้ามา ไม่มีใครรับสาย เพราะทุกคนกำลังแก้ไขเหตุการณ์อยู่

 

ภาพนี้คือสิ่งที่ทีม ECOP เห็นในเหตุการณ์ระดับ Major Incident ของลูกค้าหลายแห่งในไทยตลอด 18 เดือนที่ผ่านมา ปัญหาส่วนใหญ่ไม่ได้เกิดจากการขาด Engineer ที่มีฝีมือ ทุกองค์กรมี Engineer ที่เก่ง แต่สิ่งที่ขาดคือ "ผู้บัญชาการเหตุการณ์" หรือ Incident Manager ที่หยุด 90 วินาที เก็บภาพรวม และมอบหมายว่าใครจะคุยกับ CEO ใครจะเริ่มเขียน SITREP และใครจะเปิด War Room

 

บทความนี้สรุปแนวคิดสำคัญจากหนังสือ Incident Manager Mindset · In-House Edition ที่ทีม ECOP จัดทำขึ้นเพื่อเป็นคู่มือให้กับ IT Manager, Security Manager และผู้นำทีม Operations ในการเปลี่ยนวิธีคิดจาก "ผู้แก้ไขปัญหา" ไปสู่ "ผู้บัญชาการเหตุการณ์"

การจัดการเหตุการณ์ที่มีโครงสร้างชัดเจนแบ่งออกเป็น 5 ระยะ ได้แก่ Detect, Triage, Contain, Eradicate และ Recover การทำความเข้าใจระยะเหล่านี้ช่วยให้ผู้บัญชาการเหตุการณ์รู้ว่าทีมกำลังอยู่ในระยะใดของเหตุการณ์ และต้องตัดสินใจในมิติใดเป็นอันดับแรก

ระยะ Detect คือช่วงที่ระบบหรือบุคลากรพบสัญญาณผิดปกติ ระยะ Triage คือการประเมินขนาดและความรุนแรงเพื่อตัดสินใจว่าเป็น Incident จริงหรือไม่ และจะยกระดับ (Escalate) อย่างไร ระยะ Contain คือการหยุดการลุกลามของผลกระทบ ระยะ Eradicate คือการขจัดสาเหตุของเหตุการณ์ออกจากระบบ และระยะ Recover คือการกู้คืนบริการให้กลับสู่ภาวะปกติ

 

ความผิดพลาดที่พบบ่อยในเหตุการณ์ที่ทีม ECOP เข้าไปสนับสนุนคือการที่ทีมข้ามระยะ Triage ไปสู่ Contain ทันที ทำให้ตัดสินใจ block หรือ shutdown บนข้อมูลที่ไม่ครบถ้วน และเกิดผลกระทบต่อระบบ Production ที่ไม่จำเป็น

นาทีแรกหลัง Alert คือจุดที่ผู้บัญชาการเหตุการณ์ต้องหยุดและตอบ 4 คำถามให้ได้ก่อนลงมือ เรียกว่า WWIC Framework ประกอบด้วย What · Where · Impact · Confidence

 

What เกิดอะไรขึ้น เป็นภัยคุกคามประเภทใด เช่น Malware, Unauthorized Access, Data Exfiltration หรือเป็นเพียง False Positive

Where เกิดที่ไหน ระบบใด สาขาใด หรือเครือข่ายส่วนใด

Impact ผลกระทบในขณะนี้คืออะไร ระบบที่กระทบเป็น Critical Asset หรือไม่ มีผู้ใช้งานได้รับผลกระทบจำนวนเท่าใด

Confidence ทีมมั่นใจในข้อมูลข้างต้นเพียงใด ตั้งแต่ Low, Medium ถึง High

 

การตอบ WWIC ภายใน 90 วินาทีแรกช่วยให้ผู้บัญชาการเหตุการณ์ตัดสินใจได้ว่าจะ Escalate ไปสู่ระดับใด และจะใช้ทรัพยากรในการตอบสนองมากน้อยเพียงใด หากข้อมูลยังไม่ครบ Confidence อยู่ระดับ Low การตัดสินใจ Containment ที่กระทบ Production ควรชะลอออกไปก่อน

หนึ่งในการตัดสินใจที่ยากที่สุดของ Incident Manager คือเลือกระหว่าง "Aggressive Containment" ที่หยุดการลุกลามได้ทันทีแต่กระทบ Production มาก กับ "Passive Monitoring" ที่ไม่กระทบบริการแต่อาจเปิดโอกาสให้ผู้โจมตีเคลื่อนย้ายต่อ

 

Containment Decision Matrix ช่วยให้ผู้บัญชาการเหตุการณ์ตัดสินใจบนพื้นฐานของ 2 มิติ ได้แก่ Severity ของเหตุการณ์ และ Business Impact ของการ Containment เอง โดยทั่วไปเหตุการณ์ที่ Severity สูง เช่น Active Ransomware ที่กำลังเข้ารหัสไฟล์ ควรเลือก Aggressive Containment แม้จะกระทบ Production ในขณะที่เหตุการณ์ที่ Severity ต่ำ เช่น สัญญาณ Reconnaissance ที่ยังไม่มีการ Exploit ควรเลือก Passive Monitoring เพื่อเก็บข้อมูลก่อนตัดสินใจ

War Room ไม่ใช่ทุกเหตุการณ์ที่ต้องเปิด การเปิด War Room โดยไม่จำเป็นทำให้ทีม Operations หยุดงานปกติ และอาจสร้างความตื่นตระหนกในองค์กร ในทางตรงข้าม การไม่เปิด War Room เมื่อจำเป็น ทำให้การประสานงานไม่เป็นระบบและการตัดสินใจล่าช้า

 

หลักเกณฑ์การเปิด War Room ที่ทีม ECOP ใช้คือเหตุการณ์ที่มีคุณสมบัติอย่างน้อย 2 ใน 3 ดังนี้ Severity ระดับ High หรือ Critical, กระทบ Customer-facing Service หรือ Critical Asset, และ คาดว่าจะใช้เวลาตอบสนองมากกว่า 2 ชั่วโมง

 

โครงสร้างของ War Room ประกอบด้วยบทบาทหลัก 4 บทบาท ได้แก่ Incident Commander ผู้บัญชาการเหตุการณ์ที่ตัดสินใจสุดท้าย, Operations Lead ผู้นำทีมเทคนิคที่ลงมือแก้ไข, Communications Lead ผู้รับผิดชอบการสื่อสารทั้งภายในและภายนอก และ Scribe ผู้บันทึกเหตุการณ์และการตัดสินใจตามลำดับเวลา

SITREP หรือ Situation Report คือเอกสารที่อัปเดตสถานะของเหตุการณ์ทุก 30 ถึง 60 นาที โครงสร้างมาตรฐานประกอบด้วย Status, Timeline, Actions Taken, Next Steps, และ Risks SITREP ที่ดีต้องสามารถอ่านจบได้ภายใน 90 วินาที และต้องชัดเจนพอให้ผู้บริหารตัดสินใจได้

 

ในขณะเดียวกันการสื่อสารระหว่างเหตุการณ์ต้องแยกเป็น 3 ช่องทางที่ต่างกันชัดเจน เรียกว่า 3-Lane Communication

 

Lane 1 · Technical Lane สำหรับทีม Operations และ Engineer ใช้สื่อสารด้านเทคนิคแบบไม่กรอง รายละเอียดทุกอย่างที่ทีมต้องการเพื่อแก้ปัญหา

Lane 2 · Executive Lane สำหรับ CEO และผู้บริหารระดับสูง ใช้สื่อสารด้วย SITREP สรุประดับ Executive Brief เน้น Business Impact และ Recovery Timeline

Lane 3 · External Lane สำหรับลูกค้า สื่อ และหน่วยกำกับดูแล ต้องผ่านทีมกฎหมายและทีม PR ก่อนเสมอ และต้องตรงกับสิ่งที่สื่อสารใน Executive Lane เพื่อป้องกันข้อมูลขัดกัน

 

การแยก 3 ช่องทางช่วยป้องกันสถานการณ์ที่ผู้บริหารได้รับข้อมูลทางเทคนิคที่ไม่จำเป็น และในทางกลับกัน ทีม Operations ก็ไม่ถูกขัดจังหวะด้วยคำถามจากผู้บริหารที่ควรไปยัง Executive Lane

หลังจบเหตุการณ์ภายใน 5 วันทำการ ทีมควรจัด Blameless Post-mortem ที่มุ่งเน้นการเรียนรู้ ไม่ใช่การหาคนผิด โครงสร้างที่ทีม ECOP แนะนำประกอบด้วย Timeline ของเหตุการณ์, Root Cause Analysis, What Went Well, What Went Poorly, และ Action Items

 

จุดสำคัญของ Post-mortem ที่ดีคือ Action Items ต้องมีเจ้าของ มีกำหนดเวลา และต้องติดตามได้ มิฉะนั้น Post-mortem จะกลายเป็นเอกสารที่ไม่ก่อให้เกิดการเปลี่ยนแปลงและเหตุการณ์เดิมก็จะกลับมาอีก

ทีม ECOP ตระหนักดีว่าไม่ใช่ทุกองค์กรที่มีทรัพยากรพอจะใช้โครงสร้างเต็มรูปแบบของ Incident Management หนังสือ Incident Manager Mindset จึงเสนอ 4 รูปแบบให้เลือกใช้ตามขนาดและบริบทขององค์กร

 

Standard Model สำหรับองค์กรขนาดใหญ่ที่มีทีม Security เต็มรูปแบบ ใช้ทุก Framework

Pragmatic Model สำหรับองค์กรขนาดกลาง ปรับลด War Room เป็น Slack Huddle และใช้ SITREP สั้นลง

Lean Model สำหรับ SME ใช้เพียง WWIC Triage และ SITREP พื้นฐาน

Solo Model สำหรับ IT Manager คนเดียวที่ไม่มีทีม ใช้ WWIC Card ส่วนตัวและ Cheat Sheet พกติดตัว

 

หลักคิดสำคัญคือ The Unbreakable Principle ที่ว่าไม่ว่าจะใช้รูปแบบใดก็ตาม การหยุด 90 วินาที ตอบ WWIC และมีคนหนึ่งคนที่เป็นผู้ตัดสินใจสุดท้าย คือสิ่งที่ทุกองค์กรต้องมี ไม่สามารถลดทอนได้

Incident Manager Mindset ไม่ได้สอนให้ผู้อ่านเป็น Engineer ที่เก่งขึ้น แต่สอนให้เปลี่ยนวิธีคิดจาก "คนที่ลงมือแก้" ไปเป็น "คนที่บัญชาการให้ทีมแก้ได้อย่างเป็นระบบ" ในเวลาที่กดดันที่สุด

 

หลักการสำคัญ 7 ข้อที่หนังสือสรุปไว้ ได้แก่ การเข้าใจ Incident Lifecycle, การใช้ WWIC ใน 90 วินาทีแรก, การตัดสินใจ Containment บน Decision Matrix, การเปิด War Room อย่างมีหลักเกณฑ์, การใช้ SITREP กับ 3-Lane Communication, การจัด Blameless Post-mortem และการ Tailor โครงสร้างให้พอดีกับองค์กร