Megatrend · Cybersecurity & Digital Trust
สมมติว่าคุณจะโดนแฮ็กแน่ๆ — คำถามจริงคือ ลุกกลับมาได้เร็วแค่ไหน
ความปลอดภัยไอทีส่วนใหญ่พูดถึง “การกันไม่ให้โดน” แต่สถิติบอกชัดว่ายังไงก็มีวันโดน — แล้วถ้าวันนั้นมาถึง โจรเข้ารหัสไฟล์ทั้งบริษัทเรียกค่าไถ่ คุณจะกู้ระบบกลับมาได้ใน ชั่วโมง ไม่ใช่สัปดาห์ ได้ยังไง? นี่คือเรื่องของ cyber resilience — การยอมรับว่าจะโดน แล้วเตรียม สำเนาข้อมูลที่โจรเข้ารหัสไม่ได้ ลบไม่ได้ (immutable / air-gapped) ไว้กู้กลับ บวกกับวิธีกู้แบบ “ห้องสะอาด” ที่ไม่ลากไวรัสกลับเข้ามา หัวใจไม่ใช่แค่ป้องกัน แต่คือ การฟื้นตัว — เพราะค่าเสียหายจริงไม่ได้อยู่ที่ค่าไถ่ แต่อยู่ที่วันที่ธุรกิจหยุดเดิน
01มันคืออะไร
ลองนึกภาพเช้าวันจันทร์ พนักงานเปิดคอมแล้วเจอหน้าจอดำๆ ขึ้นข้อความว่า “ไฟล์ของคุณถูกเข้ารหัสทั้งหมด จ่าย Bitcoin ภายใน 72 ชั่วโมงไม่งั้นลบทิ้ง” — ระบบขายของล่ม สต๊อกเช็กไม่ได้ เงินเดือนจ่ายไม่ได้ โรงพยาบาลเปิดเวชระเบียนไม่ได้ นี่คือ ransomware (มัลแวร์เรียกค่าไถ่) และมันไม่ใช่เรื่องของ “ถ้า” อีกต่อไป แต่เป็นเรื่องของ “เมื่อไหร่”
วงการความปลอดภัยส่วนใหญ่ทุ่มเงินกับการ กันไม่ให้โจรเข้ามา — firewall, ตรวจอีเมล, สแกนอุปกรณ์ แต่ความจริงที่เจ็บปวดคือ ไม่ว่ากำแพงสูงแค่ไหน สุดท้ายก็มีวันที่มีคนคลิกลิงก์ผิด หรือมีช่องโหว่ที่ยังไม่ถูกปิด node นี้เกิดจากการยอมรับความจริงข้อนั้น แล้วตั้งคำถามใหม่: “ถ้ายังไงก็โดน เราจะลุกกลับมาได้เร็วแค่ไหน?” นี่คือแนวคิด cyber resilience — ความสามารถในการ ฟื้นตัว ไม่ใช่แค่การป้องกัน
หัวใจของมันมีสามชิ้น: (1) สำเนาข้อมูลที่โจรทำลายไม่ได้ — แก้ไม่ได้ ลบไม่ได้ (immutable) หรือตัดขาดจากเครือข่าย (air-gapped); (2) การตรวจว่าสำเนานั้นสะอาดจริง ไม่มีไวรัสฝังอยู่; และ (3) การกู้กลับแบบมีระเบียบ ที่ทำให้ธุรกิจกลับมาเดินได้ในเวลาที่วัดได้ ในแผนผังเมกะเทรนด์ มันเป็นสาขาย่อยภายใต้ Data Security & Cyber Resilience ในเทรนด์ใหญ่ Cybersecurity & Digital Trust โดยมีพี่น้องข้างกันคือ Data Security Posture & DLP ที่เน้น กันข้อมูลรั่วไหลออกไป ส่วน node นี้เน้น กู้ข้อมูลกลับมาหลังถูกโจมตี
Immutable backup = สำเนาที่เมื่อเขียนลงไปแล้ว แก้หรือลบไม่ได้ จนกว่าจะครบกำหนด แม้แต่แอดมินที่มีสิทธิ์สูงสุดก็ทำไม่ได้ — กันโจรที่ขโมยรหัสแอดมินมาลบสำเนา · Air-gapped = สำเนาที่ถูก “ตัดสะพาน” ออกจากเครือข่ายหลัก ทำให้มัลแวร์เอื้อมไปไม่ถึง · RTO (Recovery Time Objective) = เป้าหมายว่ากู้ระบบกลับให้เสร็จภายในกี่ชั่วโมง · RPO (Recovery Point Objective) = ยอมเสียข้อมูลย้อนหลังได้กี่นาที/ชั่วโมง (ขึ้นกับว่าสำรองถี่แค่ไหน)
02ทำไมถึงสำคัญ — ค่าเสียหายอยู่ที่ “วันที่หยุดเดิน”
คนทั่วไปคิดว่าค่าเสียหายของ ransomware คือ “ค่าไถ่” แต่นั่นคือส่วนที่เล็กที่สุด ค่าไถ่กลางปี 2025 อยู่ที่ราว $1 ล้าน (ลดลงครึ่งหนึ่งจาก $2 ล้านในปี 2024 เพราะองค์กรเริ่มกู้เองได้แทนการจ่าย) แต่ ต้นทุนรวมของเหตุการณ์เรียกค่าไถ่เฉลี่ยสูงถึง $5.08 ล้าน ตามรายงาน IBM ปี 2025 — ส่วนที่เหลือคือ วันที่ธุรกิจหยุดเดิน ค่ากู้ระบบ ค่าทนายและค่าปรับ และลูกค้าที่หายไป IBM ระบุว่าต้นทุนจาก downtime สูงกว่าค่าไถ่กว่า เท่าตัว
ทำไมเรื่องนี้ถึงสำคัญในระดับเศรษฐกิจ? เพราะ ransomware กลายเป็น อุตสาหกรรม ไปแล้ว — มี ransomware-as-a-service (RaaS) ให้เช่าเครื่องมือโจมตีแล้วแบ่งเปอร์เซ็นต์ค่าไถ่ ทำให้คนที่ไม่เก่งเทคนิคก็ลงมือได้ ปี 2024 เกิดตระกูล RaaS ใหม่ถึง 55 ตระกูล (โต 67%) และ double extortion (เข้ารหัส บวกกับ ขู่ปล่อยข้อมูลออกสู่สาธารณะ) ปรากฏใน 87.6% ของเคลม เมื่อการโจมตีถูกลงมาเป็น “ธุรกิจ” การฟื้นตัวให้ได้จึงเป็นต้นทุนที่ทุกองค์กรหนีไม่พ้น — และนั่นคือดีมานด์ที่ดันตลาดนี้ให้โต
ผลคือเงินไหลเข้าตลาด data resiliency (การกู้คืนข้อมูลเชิงความปลอดภัย) อย่างต่อเนื่อง — จากราว $22,800 ล้านในปี 2025 คาดว่าจะโตไปแตะ ~$96,600 ล้านในปี 2035 หรือเฉลี่ย ~16.9% ต่อปี เพราะ backup ไม่ใช่ “ค่าใช้จ่ายไอทีที่จำเป็น” อีกต่อไป แต่กลายเป็น การลงทุนด้านความปลอดภัย ที่บอร์ดและฝ่ายประกันเรียกร้อง
03มันทำงานยังไง (จาก backup สู่การกู้กลับ)
คนมักคิดว่า “ก็แค่มี backup ก็พอแล้วนี่” — แต่โจรยุคนี้ฉลาดกว่านั้น 93% ของการโจมตีพุ่งเป้าไป “ลบ backup ก่อน” แล้วค่อยเข้ารหัสระบบหลัก เพราะถ้าไม่มีสำเนาให้กู้ เหยื่อก็ต้องจ่ายค่าไถ่ และในเคสที่โจมตี backup สำเร็จ 75% ทำให้เหยื่อกู้กลับไม่ได้เลย ฉะนั้น cyber resilience จึงไม่ใช่แค่ “มี backup” แต่คือ กระบวนการ 4 ขั้นที่ออกแบบมาเพื่อต้านโจรโดยเฉพาะ
ขั้นที่ ละเอียดอ่อนที่สุดคือขั้นที่ 3 — “ห้องสะอาด” (clean room) เพราะปัญหาคลาสสิกของการกู้ ransomware คือ ถ้ากู้ข้อมูลกลับเข้าระบบเดิมที่ยังติดเชื้ออยู่ ไวรัสก็เข้ารหัสซ้ำทันที clean recovery จึงสร้างสภาพแวดล้อมใหม่ที่สะอาด แยกขาดจากของเดิม แล้วค่อยๆ ยกข้อมูลที่ผ่านการสแกนแล้วกลับมา — เหมือนการผ่าตัดที่ต้องทำในห้องปลอดเชื้อ ไม่ใช่ในห้องที่เพิ่งมีการระบาด
04มันอยู่ตรงไหนในวงการความปลอดภัย
node นี้คือ “แนวรับสุดท้าย” ของความปลอดภัย — ด่านที่ทำงานเมื่อทุกด่านก่อนหน้าพังไปแล้ว มันจึงไม่ได้อยู่โดดๆ แต่ประสานกับสาขาอื่นในระบบนิเวศอย่างแยกไม่ออก
- คู่กับ EDR/XDR (อุปกรณ์ปลายทาง): EDR ทำหน้าที่ ตรวจจับและหยุด การโจมตีตั้งแต่เนิ่นๆ ส่วน node นี้คือแผนสำรองเมื่อ EDR หยุดไม่ทัน — สัญญาณเตือนจาก EDR ว่า “มีอะไรผิดปกติ” มักเป็นตัวจุดชนวนให้ทีมกู้คืนเริ่มทำงาน สองด้านนี้ทำงานเป็นทีมเดียวกัน
- เป็นพี่น้องกับ Data Security Posture & DLP: DLP เน้น กันข้อมูลรั่วไหลออกไป (กันขโมย) ส่วน node นี้เน้น กู้ข้อมูลกลับมาหลังถูกเข้ารหัส (กันหยุดเดิน) — สองหน้าของเหรียญ “ความปลอดภัยของข้อมูล” เดียวกัน และมักถูกขายรวมในแพลตฟอร์มเดียว
- เปิดทางให้ Cloud & Digital Infrastructure: ยิ่งองค์กรย้ายงานสำคัญขึ้นคลาวด์ ก้อนข้อมูลที่ต้องปกป้องและกู้กลับก็ยิ่งใหญ่และซับซ้อน — ผู้เล่นยุคใหม่จึงสร้างบริการกู้คืนแบบ SaaS ที่อยู่บนคลาวด์ตั้งแต่ต้น
- ถูกเร่งและถูกท้าทายโดย AI: ฝ่ายกู้คืนใช้ AI ตรวจจับความผิดปกติในสำเนาและเร่งจัดลำดับการกู้ ขณะที่ฝ่ายโจมตีก็ใช้ AI หาช่องโหว่และเข้ารหัสได้เร็วขึ้น — เกมวิ่งไล่ที่ดันดีมานด์ทั้งสองฝั่ง
05ตอนนี้ไปถึงไหนแล้ว (2025–2026)
สนามนี้กำลังเกิดการเปลี่ยนผ่านครั้งใหญ่ — จาก “backup ธรรมดา” (สำรองไว้เผื่อฮาร์ดดิสก์พัง) ไปสู่ “cyber resilience” (สำรองไว้เพื่อสู้กับโจร) และคนที่ขี่คลื่นนี้ได้ชัดที่สุดคือ Rubrik ที่ปั้นตัวเองเป็น pure-play ด้านนี้โดยเฉพาะ เข้าตลาดหุ้นเมื่อปี 2024 และดัน Subscription ARR ทะลุ $1,000 ล้าน โต ~38% โดยรายได้กว่า 90% มาจากการสมัครสมาชิก — เป็นสัญญาณว่าตลาดยอมจ่ายเพื่อ “ความสบายใจว่ากู้กลับได้”
แต่ Rubrik ไม่ได้วิ่งคนเดียว เกมนี้มีสามขั้ว: เจ้าเก่าที่แปลงร่าง นำโดย Cohesity ที่ควบรวม Veritas ปลายปี 2024 กลายเป็นเบอร์หนึ่งด้านส่วนแบ่งตลาด (รายได้รวม ~$2,000 ล้าน) แซง Veeam (เบอร์สองด้านส่วนแบ่ง, เอกชน) · คู่แข่งในตลาดหุ้น อย่าง Commvault ที่เร่งโต SaaS (Metallic) จน SaaS ARR โตเกิน 60% · และ ยักษ์ฮาร์ดแวร์ อย่าง Dell (PowerProtect), IBM และ Pure Storage (ฟีเจอร์ SafeMode ที่ทำสำเนา immutable ระดับฮาร์ดแวร์) ที่ใช้ฐานลูกค้าองค์กรขนาดใหญ่เป็นอาวุธ
06อนาคตข้างหน้า
ทิศทางแรกคือ AI เข้ามาเร่งการกู้คืน ความท้าทายที่ใหญ่ที่สุดของการกู้ ransomware คือ “จะกู้กลับไปจุดไหน?” — เพราะถ้ากู้กลับไปไกลเกินก็เสียข้อมูล แต่ถ้ากู้กลับใกล้เกินก็อาจลากไวรัสที่ฝังตัวเงียบมาด้วย AI ถูกนำมาช่วยหาจุด “สะอาดล่าสุด” อัตโนมัติ จัดลำดับว่าระบบไหนต้องกู้ก่อน และเร่ง RTO จากหลายวันให้เหลือหลักชั่วโมง — นี่คือสนามแข่งที่แท้จริงของรอบหน้า
ทิศทางที่สองคือ ประกันไซเบอร์กลายเป็นแรงผลักดัน เมื่อบริษัทประกันเริ่มขาดทุนจากเคลม ransomware พวกเขาก็เริ่ม บังคับ ให้ลูกค้ามี immutable backup และซ้อมกู้คืน มิฉะนั้นจะไม่รับประกันหรือคิดเบี้ยแพงขึ้น — ปัจจุบัน 21% ของกรมธรรม์ ตัด ransomware ออก ไปแล้ว และราว 3 ใน 4 ขึ้นเบี้ยในรอบต่ออายุล่าสุด กลายเป็นว่า “บริษัทประกัน” คือพนักงานขายที่เก่งที่สุดของ cyber resilience
ทิศทางที่สามคือ การรวมร่างกับฝั่งความปลอดภัย เส้นแบ่งระหว่าง “บริษัท backup” กับ “บริษัท security” กำลังเลือนหายไป — Rubrik ขยับไปทำ data security posture, ผู้เล่น security ขยับมาทำ recovery ลูกค้าอยากได้แพลตฟอร์มเดียวที่ทั้งตรวจจับ ป้องกัน และกู้คืน ฉะนั้นคลื่นควบรวมกิจการในสนามนี้จะยังไม่จบง่ายๆ
07ความท้าทายและความเสี่ยง
ความเสี่ยงข้อแรกคือ backup เองกลายเป็นเป้า สิ่งที่ควรเป็นแนวรับสุดท้ายกลับเป็นสิ่งที่โจรเล็งก่อน — 89% ขององค์กรที่ถูกโจมตีมี backup ถูกเล่นงาน และโดยเฉลี่ย 34% ของคลังสำเนาถูกแก้หรือลบ ฉะนั้นองค์กรที่คิดว่า “มี backup แล้วปลอดภัย” แต่ backup นั้นไม่ immutable จริง ก็อาจพบว่าตัวเองไม่มีอะไรให้กู้เลยในวันจริง
ความเสี่ยงข้อสองคือ ช่องว่างระหว่างคำโฆษณากับเวลากู้จริง ผู้ขายชอบพูดถึง RTO ระดับ “ไม่กี่นาที” แต่ในชีวิตจริง 76% ขององค์กรใช้เวลากู้คืนเต็มที่ เกิน 100 วัน เพราะการกู้ระบบทั้งบริษัทที่พันกันยุ่งเหยิงนั้นซับซ้อนกว่าเดโมมาก องค์กรที่ไม่เคย ซ้อมกู้จริง (ตัว “0” ในกฎ 3-2-1-1-0) มักค้นพบความจริงนี้ในวินาทีที่แย่ที่สุด
ความเสี่ยงข้อสามคือ การแข่งขันดุและการพึ่งความไว้วางใจ ตลาดนี้แออัดด้วยทั้งเจ้าเก่าที่แปลงร่าง (Cohesity/Veritas, Dell, IBM), pure-play ที่โตเร็ว (Rubrik) และเอกชนรายใหญ่ (Veeam) การควบรวมเกิดถี่ ผู้เล่นที่ตามไม่ทันเสี่ยงถูกบีบ และเพราะสินค้านี้คือ “แนวรับสุดท้าย” ความเชื่อมั่นจึงเป็นทุกอย่าง — ช่องโหว่หรือเหตุการณ์กู้คืนล้มเหลวครั้งเดียวก็ทำลายชื่อเสียงได้หนักกว่าสินค้าทั่วไปมาก
สรุปสั้นๆ: node นี้คือการยอมรับความจริงที่วงการความปลอดภัยพูดไม่ค่อยดัง — ว่ากำแพงทุกชนิดมีวันพัง ชัยชนะที่แท้จริงจึงไม่ใช่แค่การกันโจรไม่ให้เข้า แต่คือการลุกขึ้นยืนได้เร็วในวันที่โจรเข้ามาแล้ว และในเศรษฐกิจที่ทุกอย่างขับเคลื่อนด้วยข้อมูล “ความเร็วในการฟื้นตัว” กำลังกลายเป็นสินทรัพย์ที่มีค่าไม่แพ้ตัวข้อมูลเอง