ส่วนนี้จะกล่าวถึงมาตรการที่ต้องพิจารณาในการปกป้องความมั่นคงปลอดภัยทางไซเบอร์ (Cyber security) อย่างเป็น
รูปธรรมมากขึ้น ไม่ใช่แค่ให้มีประสิทธิภาพและราคาไม่แพงเท่านั้น แต่เน้นความเข้าใจเบื้องต้นในฐานะที่ไม่ได้เป็น
ผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์
การประเมินความเสี่ยง (Risk assessments)
ขั้นตอนแรกในการป้องกันที่สำคัญ คือ การหาว่าภัยคุกคามและช่องโหว่ใดที่อาจเป็นอันตรายต่อธุรกิจเป้าหมายมากที่สุด
และทำให้แน่ใจว่าความเสี่ยงเหล่านั้นได้รับการแก้ไข กล่าวอีกนัยหนึ่ง ก่อนที่จะเริ่มคิดเกี่ยวกับมาตรการและงบประมาณ
ที่จะใช้กับมาตรการเหล่านี้ ทีมต้องดำเนินการประเมินความเสี่ยงก่อน เพื่อจะให้เข้าใจอย่างถ่องแท้ถึงความเสี่ยงที่องค์กร
กำลังเผชิญอยู่ และจัดลำดับความสำคัญในการจัดการกับความเสี่ยงได้อย่างเหมาะสม
การฝึกอบรมพนักงานและการรับรู้ (Staff training and awareness)
ตอกย้ำบทเรียนที่สำคัญที่สุดเรื่องหนึ่งในการรักษาความปลอดภัยในโลกไซเบอร์ ว่ามนุษย์เป็นจุดอ่อนที่สุดของการป้องกัน
ความมั่นคงปลอดภัยทางไซเบอร์ โดยเฉพาะอย่างยิ่งเมื่อพวกเขางานยุ่ง ทำงานหลายอย่างพร้อมกัน และไม่มีความเข้าใจ
ในการป้องกันเพียงพอ การฝึกอบรมพนักงานจะช่วยให้พนักงานมีความตื่นตัวและสามารถแบ่งปันประสบการณ์กับพวกเขา
ได้ เหนือสิ่งอื่นใด ข้อมูลที่พนักงานควรรับรู้คือ
- วิธีรับรู้กลโกงฟิชชิ่ง (phishing)
- ต้องทำอย่างไรถ้ามีสัญญาณเกิดเหตุหรือการละเมิดเกิดขึ้น (breach)
- สิ่งที่ควรทำและไม่ควรทำของการตั้งรหัสผ่าน (password setting)
- ข้อควรระวังเกี่ยวกับสิ่งที่พวกเขาโพสต์บนโซเชียลมีเดีย (social media concern)
- สิ่งที่ต้องใส่ใจเมื่อต้องทำงานทางไกล (working remotely / anywhere access)
เป้าหมายคือการช่วยหลีกเลี่ยงการละเมิดที่พบได้บ่อย และสามารถป้องกันความผิดพลาดที่เกิดจากมนุษย์ซึ่งสามารถทำได้
หลากหลายวิธี สามารถใช้ตัวอย่างเหตุการณ์มาทำการฝึกอบรมโดยพิจารณาถึงสถานการณ์ที่อาจเป็นไปได้มากที่สุดที่
พนักงานอาจจะพบ โดยอาจทำไว้ผ่านระบบ e-learning เพื่อการเข้าอบรมของส่วนงานที่จำเป็น
ไม่ว่าจะเลือกทางไหนในการป้องกัน โปรดจำไว้ว่าผู้คนคือแนวป้องกันแรกของคุณ พวกเขาควรเป็นด่านสำคัญด่านแรกเมื่อ
ต้องการเสริมความปลอดภัยโดยรวม
นโยบายและขั้นตอนปฏิบัติ (Policies and procedures)
นโยบายและขั้นตอนในรูปแบบคู่มือหรือเอกสารจะเป็นแนวทางแนะนำพนักงานในสถานการณ์เฉพาะได้เป็นอย่างดี เช่น
การรายงานการละเมิดที่อาจเกิดขึ้น คู่มือหรือเอกสารเหล่านี้ยังสามารถแสดงให้เห็นอย่างชัดเจนถึงจุดยืนขององค์กรในการ
ดูแลมั่นคงความปลอดภัยทางไซเบอร์หรือข้อมูล ซึ่งสามารถช่วยสร้างวัฒนธรรมการรักษาความปลอดภัยให้เกิดขึ้นทั่ว
ทั้งองค์กรของคุณ
นโยบายที่ดีและการบังคับใช้อย่างเหมาะสมสามารถพิสูจน์ได้ว่าวิธีที่มีประสิทธิภาพในการดูแลความมั่นคงปลอดภัยทาง
ไซเบอร์ (Cyber security) คือ การเปลี่ยนแปลงพฤติกรรมของพนักงานมากกว่ามาตรการทางเทคโนโลยีที่ซับซ้อน
และมีราคาแพง
มีกฎทอง 2-3 ข้อที่ควรปฏิบัติที่จะช่วยให้สามารถสร้างนโยบายและขั้นตอนที่มีประสิทธิภาพในการสร้างความมั่นคงปลอดภัย
ทางไซเบอร์ได้
- มีการใช้งานจริง แน่นอนว่านโยบายหรือขั้นตอนจำเป็นต้องมีเป้าหมายที่เป็นไปได้ในการเปลี่ยนแปลงพฤติกรรม
ของผู้ใช้งานที่สามารถปฏิบัติได้จริงด้วยเช่นกัน หากดูเหมือนเป็นสถานการณ์ในอุดมคติมากเกินไป นโยบาล
หรือขั้นตอนปฏิบัติก็ไม่น่าจะเห็นผลจริงได้ - พูดคุยกับผู้ที่จะต้องปฏิบัติตามขั้นตอนเหล่านั้น เปิดโอกาสให้แสดงความคิดเห็น แบ่งปันประสบการณ์การใช้งาน
และรวมข้อมูลเข้าไว้ด้วยกัน - ตรวจสอบขั้นตอนที่ไม่มีประสิทธิภาพที่อาจเกิดขึ้นและตัดทิ้ง เช่น นโยบายที่แตกต่างกัน 2 ข้อมีผลครอบคลุมประเด็น
เดียวกัน - รักษามาตรการและขั้นตอนการปฏิบัติให้ชัดเจนและตรงไปตรงมาที่สุด หากซับซ้อนเกินไปหรือเข้าใจยาก พนักงาน
อาจไม่ปฏิบัติตาม - มีแนวโน้มที่ขั้นตอนต่าง ๆ จะเปลี่ยนแปลงไปตามกาลเวลา ดังนั้นนโยบายและขั้นตอนปฏิบัติควรได้รับการตรวจสอบ
และปรับปรุงให้ทันสมัยอยู่เสมอ
มาตรการทางเทคโนโลยีขั้นพื้นฐาน (Basic technological measures)
แม้ว่ามาตรการความมั่นคงปลอดภัยทางไซเบอร์ (Cyber security) โดยเฉพาะการควบคุมทางเทคโนโลยีจะแตกต่างกันไปใน
แต่ละองค์กร แต่มี 5 สิ่งที่ควรพิจารณาในเบื้องต้น คือ
- Firewall
ใช้และกำหนดค่า firewall ซึ่งทำงานเป็น buffer zone ในการรักษาความปลอดภัยในการเชื่อมต่ออินเทอร์เน็ตของคุณ
โดยเฉพาะอย่างยิ่งเมื่อใช้เครือข่าย wifi สาธารณะหรือเครือข่าย wifi ที่ไม่น่าเชื่อถืออื่น ๆ
- การกำหนดค่าที่ปลอดภัย (Secure configuration)
การกำหนดค่าเริ่มต้นในอุปกรณ์และซอฟต์แวร์มักถูกกำหนดอยู่ในรูปแบบที่เปิดกว้างที่สุดเพื่อความสะดวกสูงสุด อีกทั้งยังให้
จุดเข้าใช้งานเพิ่มเติมสำหรับผู้ใช้ที่ไม่ได้รับอนุญาต ส่วนที่เกี่ยวข้องควรปรับปรุงความปลอดภัยของอุปกรณ์ เช่น ปิดใช้งาน
หรือลบฟังก์ชันที่ไม่จำเป็น และเปลี่ยนรหัสผ่านเริ่มต้นเพื่อลดความเสี่ยงของการละเมิดความปลอดภัยทางไซเบอร์
- การควบคุมการเข้าถึง (Access control)
ก่อนหน้านี้เราพบว่าภัยคุกคามภายในอาจเป็นภัยคุกคามร้ายแรง ไม่ว่าจะโดยไม่ได้ตั้งใจหรือไม่ก็ตาม แต่การให้ผู้คนจำนวน
มากเข้าถึงข้อมูลและบริการส่วนใหญ่ก็หมายความว่ามีบัญชีผู้ใช้งานมากขึ้นซึ่งหากถูกบุกรุกอาจนำไปสู่การละเมิด
ความปลอดภัยที่ร้ายแรงมากขึ้นเช่นกัน การทำให้มั่นใจว่าการเข้าถึงได้รับ “การจำกัด” โดยการตั้งค่า “การเข้าถึงถูกปฏิเสธ
หรือ access denied” เป็นตัวเลือกเริ่มต้น จะช่วยลดโอกาสหรือความรุนแรงของการละเมิดได้
- การป้องกันไวรัสและมัลแวร์อื่น ๆ (Protect from viruses and other malwares)
มัลแวร์ (malware) อย่างไวรัสสามารถแพร่ระบาดในระบบของคุณได้ ตัวอย่างเช่น เมื่อพนักงานตกเป็นเหยื่อของการหลอกลวง
หรือโจมตีข้อมูลส่วนบุคคล (Phishing) แล้วพนักงานมักใช้งานไดรฟเก็บข้อมูลที่เสียบถอดได้ เช่น USB ในการทำงาน
สำหรับกรณีตัวอย่างนี้ควรแนะนำให้พนักงานป้องกันตัวเองจากมัลแวร์ (malware) โดยใช้ซอฟต์แวร์ป้องกันมัลแวร์
(anti-malware) หรือการใช้เทคนิค “whitelisting” หรือ ‘sandboxing“
“Whitelisting” คือ การสร้างรายการแอปพลิเคชันที่ได้รับอนุญาตให้ใช้บนอุปกรณ์และการบล็อกแอปพลิเคชันใด ๆ ที่ไม่ปรากฏ
ในรายการของ whitelisting ไม่ให้ทำงาน
“Sandboxing“คือ การเรียกใช้แอปพลิเคชันในระบบที่ทำงานแยกจากกันมากที่สุดเท่าที่จะเป็นไปได้ โดยทำให้การทำงาน
เข้าถึงส่วนที่เหลือของเครือข่ายและอุปกรณ์ได้อย่างจำกัด
- ปรับปรุงอุปกรณ์และอัพเดทซอฟต์แวร์ให้ทันสมัยอยู่เสมอ (Keep devices and software up to date)
ผู้ผลิตและผู้พัฒนาระบบมักทำการอัพเดทซอฟต์แวร์เป็นประจำ โดยการอัพเดทซอฟต์แวร์เท่านั้น แต่รวมไปถึงการแก้ไขปรับ
ปรุงช่องโหว่ที่ค้นพบอีกด้วย การติดตั้งโปรแกรมทันทีที่เวอร์ชั่นอัพเดทพร้อมใช้งานจะช่วยลดระยะเวลาที่จะมีผู้หาประโยชน์
จากช่องโหว่เหล่านี้ได้ หากผู้ผลิตหรือผู้พัฒนาหยุดอัพเดทฮาร์ดแวร์หรือซอฟต์แวร์ที่ใช้อยู่ก็ถึงเวลาที่จะมองหาทางเลือก
ของอุปกรณ์หรือซอฟต์แวร์ที่ทันสมัยกว่า
0 ความคิดเห็น