EP1 : การเตรียมตัวสำหรับตัวแทนฝ่ายบริหารระบบการจัดการความมั่นคงปลอดภัยของสารสนเทศ ISMR (Information Security Management Representative)

                                  ภาพจาก https://unsplash.com/photos/m0oSTE_MjsI

ผู้เขียน ปริญญ์ เสรีพงศ์ CISA CEH ISMS(IRCA)

Email : mr.pryn@gmail.com

 ISMR จะต้องเข้าใจภาพรวมของระบบ ISO 27001  ทั้งหมด เริ่มตั้งแต่

• บริบทองค์กร คือ องค์กรก่อตั้งขึ้นมาเพื่อวัตถุประสงค์อะไร  

         บริบทองค์กร เป็นสิ่งสำคัญอย่างมากในการกำหนดวัตถุประสงค์ เป้าหมายและแนวทางการวางระบบการจัดการความมั่นคงปลอดภัยของสารสนเทศ

• มี Stakeholder อะไรบ้างที่เกี่ยวข้อง  และแต่ละparties มีบทบาทอย่างไร 

        Stakeholder คือผู้ที่ได้รับผลทั้งทางตรงและทางอ้อมของการจัดการความมั่นคงปลอดภัยของสารสนเทศ 

• Stakeholder มีความคาดหวังอะไรต่อองค์กร 

        แน่นอนว่า Stakeholder ย่อมมีผลประโยชน์ทางใดทางหนึ่งจากองค์กร ดังนั้นจึงต้องทราบความคาดหวังของ Stakeholder เพื่อนำมาประกอบการกำหนดแนวทาง และมาตรการที่เหมาะสม

• เข้าใจว่าองค์กรมีระบบสารสนเทศอะไรบ้างที่ตอบสนอง stakeholder  เช่นระบบ Email สำหรับเจ้าหน้าที่และติดต่อลูกค้า, web site สำหรับลูกค้า ผู้สนใจ  เป็นต้น

         การระบุระบบสารสนเทศเป็นจุดเริ่มต้นของการประเมินความเสี่ยง โดยต้องระบุ Hardware ,Software Service ที่เกี่ยวข้องให้ครบสมบูรณ์ เพื่อใช้เป็นข้อมูลในการระบุภัยคุกคาม และช่องโหว่ 

EP1 : การเตรียมตัวสำหรับตัวแทนฝ่ายบริหารระบบการจัดการความมั่นคงปลอดภัยของสารสนเทศ ISMR (Information Security Management Representative)

Posted by pryn 1 comment

                                  ภาพจาก https://unsplash.com/photos/m0oSTE_MjsI

ผู้เขียน ปริญญ์ เสรีพงศ์ CISA CEH ISMS(IRCA)

Email : mr.pryn@gmail.com

 ISMR จะต้องเข้าใจภาพรวมของระบบ ISO 27001  ทั้งหมด เริ่มตั้งแต่

• บริบทองค์กร คือ องค์กรก่อตั้งขึ้นมาเพื่อวัตถุประสงค์อะไร  

         บริบทองค์กร เป็นสิ่งสำคัญอย่างมากในการกำหนดวัตถุประสงค์ เป้าหมายและแนวทางการวางระบบการจัดการความมั่นคงปลอดภัยของสารสนเทศ

• มี Stakeholder อะไรบ้างที่เกี่ยวข้อง  และแต่ละparties มีบทบาทอย่างไร 

        Stakeholder คือผู้ที่ได้รับผลทั้งทางตรงและทางอ้อมของการจัดการความมั่นคงปลอดภัยของสารสนเทศ 

• Stakeholder มีความคาดหวังอะไรต่อองค์กร 

        แน่นอนว่า Stakeholder ย่อมมีผลประโยชน์ทางใดทางหนึ่งจากองค์กร ดังนั้นจึงต้องทราบความคาดหวังของ Stakeholder เพื่อนำมาประกอบการกำหนดแนวทาง และมาตรการที่เหมาะสม

• เข้าใจว่าองค์กรมีระบบสารสนเทศอะไรบ้างที่ตอบสนอง stakeholder  เช่นระบบ Email สำหรับเจ้าหน้าที่และติดต่อลูกค้า, web site สำหรับลูกค้า ผู้สนใจ  เป็นต้น

         การระบุระบบสารสนเทศเป็นจุดเริ่มต้นของการประเมินความเสี่ยง โดยต้องระบุ Hardware ,Software Service ที่เกี่ยวข้องให้ครบสมบูรณ์ เพื่อใช้เป็นข้อมูลในการระบุภัยคุกคาม และช่องโหว่ 

รายการเอกสารขั้นต่ำที่ต้องจัดทำเป็นลายลักษณ์อักษร (Mandatory Documented Information) ตามมาตรฐานISO27001:2013

         ในการทำระบบการจัดการความมั่นคงปลอดภัยของสารสนเทศ ISO27001-2013 นั้น จำเป็นต้องจัดทำข้อมูลสารสนเทศให้เป็นลายลักษณ์อักษร (Documented Information) เพื่อให้มีแนวทางการดำเนินระบบที่ชัดเจน จับต้องได้ และสื่อสารไปยังผู้เกี่ยวข้อง และที่สำคัญการทำเป็นลายลักษณ์อักษรทำให้ทวนสอบได้อย่างมีประสิทธิภาพ

ผู้เขียน  ปริญญ์  เสรีพงศ์ CISA CEH ISMS(IRCA) 

Email : mr.pryn@gmail.com

  
เอกสารในที่นี้ไม่จำกัดเฉพาะเอกสารที่เป็นกระดาษ แต่รวมถึงข้อมูลในคอมพิวเตอร์ด้วย

รายการเอกสารด้านล่างนี้เป็นเพียงขั้นต่ำที่มาตรฐาน ISO 27001:2013  กำหนดไว้

•  ขอบเขตของการจัดทำระบบการจัดการความมั่นคงปลอดภัยของสารสนเทศ (ISMS scope) (ข้อกำหนด 4.3)

•   นโยบายความมั่นคงปลอดภัยของสารสนเทศ (Information security policy) (ข้อกำหนด 5.2)

• การประเมินความเสี่ยงด้านความมั่นคงปลอดภัยของสารสนเทศ (Information security risk assessment process) (ข้อกำหนด 6.1.2)

• การจัดการกับความเสี่ยงด้านความมั่นคงปลอดภัยของสารสนเทศ (Information security risk treatment process) (ข้อกำหนด 6.1.3)

• วัตถุประสงค์ด้านความมั่นคงปลอดภัยของสารสนเทศ (Information security objectives) (ข้อกำหนด 6.2)

• เอกสารเกี่ยวกับการฝึกอบรมหรือการเรียนรู้สำหรับผู้เกี่ยวข้องกับความมั่นคงปลอดภัยของสารสนเทศ ให้มีความรู้ความสามารถเพียงพอ (Evidence of the competence of the people working in information security) เช่นแผนการฝึกอบรม บันทึกการฝึกอบรม เป็นต้น (ข้อกำหนด 7.2)

•  เอกสารที่แสดงถึงประสิทธิผลของระบบการจัดการความมั่นคงปลอดภัยของสารสนเทศ (documented information determined by the organization as being necessary for the effectiveness of ISMS) เช่น รายงานผลการตรวจสอบช่องโหว่ของระบบสารสนเทศ เป็นต้น (ข้อกำหนด 7.5.1b)

• แผนการควบคุมการปฏิบัติงานและมาตรการต่างๆ (Operational planning and control documents) รวมถึง Operation Manualต่างๆที่ใช้ในการปฏิบัติงานให้เป็นไปตามแผนงานด้านความมั่นคงปลอดภัยของสารสนเทศ (ข้อกำหนด 8.1)

• ผลการประเมินความเสี่ยงด้านความมั่นคงปลอดภัยของสารสนเทศ (The results of the Information Security risk assessments) (ข้อกำหนด 8.2)

• ผลของการจัดการความเสี่ยงด้านความมั่นคงปลอดภัยของสารสนเทศ (The results of the information security risk treatment) เช่น ระดับความเสี่ยงเรื่องการโจมตีช่องโหว่ของระบบปฏิบัติการลดลงโดยการปิดช่องโหว่เหล่านั้น เป็นต้น (ข้อกำหนด 8.3)

•   เอกสารที่แสดงถึงผลของการเฝ้าระวังและวัดผลด้านความมั่นคงปลอดภัยของสารสนเทศ (Evidence of the monitoring and measurement of information security)  เช่น รายงานผลการเฝ้าระวังด้านเครือข่าย เป็นต้น (ข้อกำหนด 9.1)

•  เอกสารเกี่ยวกับการตรวจประเมินภายในระบบการจัดการความมั่นคงปลอดภัยของสารสนเทศ (The ISMS internal audit program and the results of audits conducted ) เช่น แผนการตรวจประเมินภายใน  รายการคำถาม(Checklist) รายงานการตรวจประเมินภายใน(Audit Report) เป็นต้น (ข้อกำหนด 9.2)

•  เอกสารที่แสดงถึงการจัดประชุมทบทวนฝ่ายบริหาร (Evidence of top management reviews of the ISMS) เช่น หัวข้อการประชุมทบทวนฝ่ายบริหาร  รายงานการประชุมทบทวนฝ่ายบริหาร เป็นต้น (ข้อกำหนด 9.3) 

• เอกสารเกี่ยวกับสิ่งที่ไม่เป็นไปตามข้อกำหนดและแนวทางการแก้ไข (Evidence of non-conformities identified and corrective actions arising) (ข้อกำหนด 10.1)

ผู้เขียน : Pryn Sereepong, CISA, CEH, ISMS(IRCA)
pryn@ftpi.or.th

รายการเอกสารขั้นต่ำที่ต้องจัดทำเป็นลายลักษณ์อักษร (Mandatory Documented Information) ตามมาตรฐานISO27001:2013

Posted by pryn No comments

         ในการทำระบบการจัดการความมั่นคงปลอดภัยของสารสนเทศ ISO27001-2013 นั้น จำเป็นต้องจัดทำข้อมูลสารสนเทศให้เป็นลายลักษณ์อักษร (Documented Information) เพื่อให้มีแนวทางการดำเนินระบบที่ชัดเจน จับต้องได้ และสื่อสารไปยังผู้เกี่ยวข้อง และที่สำคัญการทำเป็นลายลักษณ์อักษรทำให้ทวนสอบได้อย่างมีประสิทธิภาพ

ผู้เขียน  ปริญญ์  เสรีพงศ์ CISA CEH ISMS(IRCA) 

Email : mr.pryn@gmail.com

  
เอกสารในที่นี้ไม่จำกัดเฉพาะเอกสารที่เป็นกระดาษ แต่รวมถึงข้อมูลในคอมพิวเตอร์ด้วย

รายการเอกสารด้านล่างนี้เป็นเพียงขั้นต่ำที่มาตรฐาน ISO 27001:2013  กำหนดไว้

•  ขอบเขตของการจัดทำระบบการจัดการความมั่นคงปลอดภัยของสารสนเทศ (ISMS scope) (ข้อกำหนด 4.3)

•   นโยบายความมั่นคงปลอดภัยของสารสนเทศ (Information security policy) (ข้อกำหนด 5.2)

• การประเมินความเสี่ยงด้านความมั่นคงปลอดภัยของสารสนเทศ (Information security risk assessment process) (ข้อกำหนด 6.1.2)

• การจัดการกับความเสี่ยงด้านความมั่นคงปลอดภัยของสารสนเทศ (Information security risk treatment process) (ข้อกำหนด 6.1.3)

• วัตถุประสงค์ด้านความมั่นคงปลอดภัยของสารสนเทศ (Information security objectives) (ข้อกำหนด 6.2)

• เอกสารเกี่ยวกับการฝึกอบรมหรือการเรียนรู้สำหรับผู้เกี่ยวข้องกับความมั่นคงปลอดภัยของสารสนเทศ ให้มีความรู้ความสามารถเพียงพอ (Evidence of the competence of the people working in information security) เช่นแผนการฝึกอบรม บันทึกการฝึกอบรม เป็นต้น (ข้อกำหนด 7.2)

•  เอกสารที่แสดงถึงประสิทธิผลของระบบการจัดการความมั่นคงปลอดภัยของสารสนเทศ (documented information determined by the organization as being necessary for the effectiveness of ISMS) เช่น รายงานผลการตรวจสอบช่องโหว่ของระบบสารสนเทศ เป็นต้น (ข้อกำหนด 7.5.1b)

• แผนการควบคุมการปฏิบัติงานและมาตรการต่างๆ (Operational planning and control documents) รวมถึง Operation Manualต่างๆที่ใช้ในการปฏิบัติงานให้เป็นไปตามแผนงานด้านความมั่นคงปลอดภัยของสารสนเทศ (ข้อกำหนด 8.1)

• ผลการประเมินความเสี่ยงด้านความมั่นคงปลอดภัยของสารสนเทศ (The results of the Information Security risk assessments) (ข้อกำหนด 8.2)

• ผลของการจัดการความเสี่ยงด้านความมั่นคงปลอดภัยของสารสนเทศ (The results of the information security risk treatment) เช่น ระดับความเสี่ยงเรื่องการโจมตีช่องโหว่ของระบบปฏิบัติการลดลงโดยการปิดช่องโหว่เหล่านั้น เป็นต้น (ข้อกำหนด 8.3)

•   เอกสารที่แสดงถึงผลของการเฝ้าระวังและวัดผลด้านความมั่นคงปลอดภัยของสารสนเทศ (Evidence of the monitoring and measurement of information security)  เช่น รายงานผลการเฝ้าระวังด้านเครือข่าย เป็นต้น (ข้อกำหนด 9.1)

•  เอกสารเกี่ยวกับการตรวจประเมินภายในระบบการจัดการความมั่นคงปลอดภัยของสารสนเทศ (The ISMS internal audit program and the results of audits conducted ) เช่น แผนการตรวจประเมินภายใน  รายการคำถาม(Checklist) รายงานการตรวจประเมินภายใน(Audit Report) เป็นต้น (ข้อกำหนด 9.2)

•  เอกสารที่แสดงถึงการจัดประชุมทบทวนฝ่ายบริหาร (Evidence of top management reviews of the ISMS) เช่น หัวข้อการประชุมทบทวนฝ่ายบริหาร  รายงานการประชุมทบทวนฝ่ายบริหาร เป็นต้น (ข้อกำหนด 9.3) 

• เอกสารเกี่ยวกับสิ่งที่ไม่เป็นไปตามข้อกำหนดและแนวทางการแก้ไข (Evidence of non-conformities identified and corrective actions arising) (ข้อกำหนด 10.1)

ผู้เขียน : Pryn Sereepong, CISA, CEH, ISMS(IRCA)
pryn@ftpi.or.th

แจกฟรี !!! โปรแกรมถ่ายโอนข้อมูลจาก Window XP ไป Window7, Window8

อีกไม่กี่วัน Window XP ก็จะกลายเป็นตำนานหลังทำหน้าที่ระบบปฏิบัติการยอดนิยมรับใช้ชาวโลกมายาวนานถึง 12 ปี  โดยMicrosoft จะหยุดการสนับสนุน Window XP อย่างเป็นทางการในวันที่ 8 เม.ย. 2557 นี้

หลังวันที่ 8 เม.ย. 57 ถ้ายังใช้ Window XP จะเป็นอย่างไร

1.  เครื่องคอมพิวเตอร์ของท่านยังใช้งานได้ แต่จะไม่ได้รับ Automatic Update อีกต่อไป
2. ยกเลิก Microsoft Security Essentials ( Software Antivirus) เวอร์ชั่น Window XP 
3.  หากเครื่องท่านมี Microsoft Security Essentials อยู่แล้วก็ยังคงใช้งานได้ และยังมี Update Virus Signature อีกระยะเวลาหนึ่ง (ไมโครซอฟไม่ได้บอกว่าจะ update ให้ถึงเมื่อไหร่)
4. คอมพิวเตอร์ของท่านอาจมีช่องโหว่ที่ไม่มีเจ้าภาพรับผิดชอบในการแก้ไข อ่านเพิ่มที่นี่
5.  Hardware และ Software ที่ออกใหม่อาจไม่รองรับ XP แต่จะรองรับ Window 7 , Window8 ขึ้นไป 

แนวทางการเปลี่ยนไปใช้ Window7 หรือ Window8

1. ถ้า Hardware ของท่านรองรับ Window8 แนะนำให้จัดWindow8เลยครับ เพราะมีจุดเด่นหลายๆอย่างเช่น Live Tiles ที่เป็นแถบเมนูรูปแบบใหม่ หรือการปรับปรุงด้านความปลอดภัยที่Built-in มากำเนิด!!
2. อยากรู้ว่าHardware พร้อมรับ Window8หรือไม่ให้ดาวน์โหลด โปรแกรม Windows 8 Upgrade Assistant ของไมโครซอฟไปทดสอบดูครับ  ถ้าไม่ผ่านก็ลงได้แค่ Window7 ละครับ

แจกฟรี !!! โปรแกรมถ่ายโอน ข้อมูลจาก Window XP ไป Window7, Window8

ไมโครซอฟใจดี แจกSoftware ช่วยโอนไฟล์ข้อมูลให้เราใช้ฟรีๆครับ  ดาวน์โหลดที่นี่ครับ  
หมายเหตุ!!!  โปรแกรมนี้ถ่ายโอนเฉพาะข้อมูลนะครับ ไม่ได้โอนApplication มาด้วย 

สเปคเครื่องคอมพิวเตอร์สำหรับ Window7 และ Window8.1 ตามลำดับ

ถ้าคุณต้องการเรียกใช้ Windows 7 บนพีซีของคุณ คุณต้องมีสิ่งต่อไปนี้

• ตัวประมวลผล 1 กิกะเฮิร์ตซ์ (GHz) ขึ้นไป แบบ 32 บิต (x86) หรือ 64 บิต (x64)
• RAM (32 บิต) 1 กิกะไบต์ (GB) หรือ RAM (64 บิต) 2 GB
• เนื้อที่ว่างบนฮาร์ดดิสก์ 16 GB (32 บิต) หรือ 20 GB (64 บิต)
• อุปกรณ์แสดงผล DirectX 9 พร้อมโปรแกรมควบคุม WDDM 1.0 หรือสูงกว่า

หากคุณต้องการใช้งาน Windows 8.1 ในพีซีของคุณ นี่คือสิ่งที่คุณต้องการ:

• ตัวประมวลผล: 1 กิกะเฮิร์ตซ์ (GHz) หรือเร็วกว่าที่สนับสนุน PAE, NX และ SSE2
• RAM: 1 กิกะไบต์ (GB) (32 บิต) หรือ 2 GB (64 บิต)
• เนื้อที่ว่างบนฮาร์ดดิสก์: 16 GB (32 บิต) หรือ 20 GB (64 บิต)
• การ์ดจอ: Microsoft DirectX 9 พร้อมโปรแกรมควบคุม WDDM

ผู้เขียน : Pryn Sereepong, CISA, CEH, ISMS(IRCA)
pryn@ftpi.or.th

แจกฟรี !!! โปรแกรมถ่ายโอนข้อมูลจาก Window XP ไป Window7, Window8

Posted by pryn 1 comment

อีกไม่กี่วัน Window XP ก็จะกลายเป็นตำนานหลังทำหน้าที่ระบบปฏิบัติการยอดนิยมรับใช้ชาวโลกมายาวนานถึง 12 ปี  โดยMicrosoft จะหยุดการสนับสนุน Window XP อย่างเป็นทางการในวันที่ 8 เม.ย. 2557 นี้

หลังวันที่ 8 เม.ย. 57 ถ้ายังใช้ Window XP จะเป็นอย่างไร

1.  เครื่องคอมพิวเตอร์ของท่านยังใช้งานได้ แต่จะไม่ได้รับ Automatic Update อีกต่อไป
2. ยกเลิก Microsoft Security Essentials ( Software Antivirus) เวอร์ชั่น Window XP 
3.  หากเครื่องท่านมี Microsoft Security Essentials อยู่แล้วก็ยังคงใช้งานได้ และยังมี Update Virus Signature อีกระยะเวลาหนึ่ง (ไมโครซอฟไม่ได้บอกว่าจะ update ให้ถึงเมื่อไหร่)
4. คอมพิวเตอร์ของท่านอาจมีช่องโหว่ที่ไม่มีเจ้าภาพรับผิดชอบในการแก้ไข อ่านเพิ่มที่นี่
5.  Hardware และ Software ที่ออกใหม่อาจไม่รองรับ XP แต่จะรองรับ Window 7 , Window8 ขึ้นไป 

แนวทางการเปลี่ยนไปใช้ Window7 หรือ Window8

1. ถ้า Hardware ของท่านรองรับ Window8 แนะนำให้จัดWindow8เลยครับ เพราะมีจุดเด่นหลายๆอย่างเช่น Live Tiles ที่เป็นแถบเมนูรูปแบบใหม่ หรือการปรับปรุงด้านความปลอดภัยที่Built-in มากำเนิด!!
2. อยากรู้ว่าHardware พร้อมรับ Window8หรือไม่ให้ดาวน์โหลด โปรแกรม Windows 8 Upgrade Assistant ของไมโครซอฟไปทดสอบดูครับ  ถ้าไม่ผ่านก็ลงได้แค่ Window7 ละครับ

แจกฟรี !!! โปรแกรมถ่ายโอน ข้อมูลจาก Window XP ไป Window7, Window8

ไมโครซอฟใจดี แจกSoftware ช่วยโอนไฟล์ข้อมูลให้เราใช้ฟรีๆครับ  ดาวน์โหลดที่นี่ครับ  
หมายเหตุ!!!  โปรแกรมนี้ถ่ายโอนเฉพาะข้อมูลนะครับ ไม่ได้โอนApplication มาด้วย 

สเปคเครื่องคอมพิวเตอร์สำหรับ Window7 และ Window8.1 ตามลำดับ

ถ้าคุณต้องการเรียกใช้ Windows 7 บนพีซีของคุณ คุณต้องมีสิ่งต่อไปนี้

• ตัวประมวลผล 1 กิกะเฮิร์ตซ์ (GHz) ขึ้นไป แบบ 32 บิต (x86) หรือ 64 บิต (x64)
• RAM (32 บิต) 1 กิกะไบต์ (GB) หรือ RAM (64 บิต) 2 GB
• เนื้อที่ว่างบนฮาร์ดดิสก์ 16 GB (32 บิต) หรือ 20 GB (64 บิต)
• อุปกรณ์แสดงผล DirectX 9 พร้อมโปรแกรมควบคุม WDDM 1.0 หรือสูงกว่า

หากคุณต้องการใช้งาน Windows 8.1 ในพีซีของคุณ นี่คือสิ่งที่คุณต้องการ:

• ตัวประมวลผล: 1 กิกะเฮิร์ตซ์ (GHz) หรือเร็วกว่าที่สนับสนุน PAE, NX และ SSE2
• RAM: 1 กิกะไบต์ (GB) (32 บิต) หรือ 2 GB (64 บิต)
• เนื้อที่ว่างบนฮาร์ดดิสก์: 16 GB (32 บิต) หรือ 20 GB (64 บิต)
• การ์ดจอ: Microsoft DirectX 9 พร้อมโปรแกรมควบคุม WDDM

ผู้เขียน : Pryn Sereepong, CISA, CEH, ISMS(IRCA)
pryn@ftpi.or.th

8 เมษา ถึงคราวบอกลา Window XP

นับถอยหลังสู่วันที่ 8 เม.ย.2557 เพื่อโบกมือลา Window XP ระบบปฏิบัติการของไมโครซอฟท์ยอดนิยมที่ใช้งานมายาวนานถึง 12 ปี จากข้อมูลของpcworld.comทำให้รู้ว่ายังมีผู้ใช้งาน Windos XP อยู่ถึง 29.2% รั้งอันดับ2 รองจากแชมป์Window7ซึ่งกินส่วนแบ่ง 47.4%  ส่วนWindow8และ8.1 อยู่ที่ 10%

จริงๆแล้วเรื่องนี้ไม่ใช่ข่าวใหม่ เพราะไมโครซอฟได้ประกาศล่วงหน้ามานานแล้วว่าจะหยุดการ Support Window XP อย่างเป็นทางการตั้งแต่วันที่ 8 เม.ย.2557  เป็นต้นไป แต่ดูเหมือนกระแสการ upgrade ยังเงียบๆทั้งที่เหลือเวลาอีกเพียงไม่กี่วันเท่านั้น

จากรายงานเรื่อง  "The death of Windows XP will impact 95 percent of the world’s ATMs" น่าตกใจมากที่  95% ATM ของ USA ยังคงใช้ Window XP และมีเพียง 15% ที่พร้อมจะเปลี่ยนเป็น Window7 แปลว่ามี ATM จำนวนไม่น้อยที่ยังทำงานด้วย Windox XP ที่หมดอายุ !!

 

จะเกิดอะไรขึ้นหลังจากวันที่ 8 เม.ย.2557

• คุณยังคงใช้งาน Window XP ต่อไปได้ตราบใดที่ Hard Ware ยังทำงาน :) แต่จะใช้งานอย่างปลอดภัยหรือไม่??? อันนี้แล้วแต่ดวง !!! 
• Microsoft ไม่มีการปรับปรุงใดๆให้กับ Window XP อีกต่อไป โดยเฉพาะการปิดช่องโหว่ด้านความปลอดภัย Security Patched และ non-security hotfixes รวมถึงการ update online technical content

 

Window XP ปลอดภัยแค่ไหน

1. ช่องโหว่ที่ถูกพบหลังจาก 8 เม.ย. 2557 จะเป็น Zero day forever นั่นคือไม่มีเจ้าภาพรับผิดชอบแก้ไขเพื่อปิดช่องโหว่เพราะMicrosoftตัดหางปล่อยวัดซะแล้ว !!

2. ทุกวันนี้เมื่อไมโครซอฟประกาศ Security patches ก็จะมีผู้ที่สนใจ(ทั้งนักวิจัยและแฮกเกอร์) มาศึกษาเพื่อหาช่องโหว่และทำการสร้างCodeเพื่อเจาะช่องโหว่นั้นๆ  และก็มักจะเอาCodeไปลองทดสอบกับ OS ต่างๆว่าสามารถเจาะได้หรือไม่ ... แน่นอน Window XP เป็นหนึ่งในนั้น...

ดังนั้นใครที่ใช้ Window XP อยู่ก็ต้องรับความเสี่ยงนี้อย่างเลี่ยงไม่ได้ นั่นคือมีโอกาสโดนโจมตีช่องโหว่ของระบบปฏิบัติการด้วยสารพัดภัยคุกคามทั้งไวรัส มัลแวร์ ฯลฯ

 ทางออก

1. Upgrage ระบบปฏิบัติการไป Window7 หรือ Window8

2. หากอยากใช้ Window XP ต่อไปแบบค่อนข้างปลอดภัย แนะนำให้ใช้แบบ Stand alone คือไม่เชื่อมต่อกับเครือข่ายใดๆ  ใช้เป็นPCสำหรับดูหนังฟังเพลงจากแผ่นก็พอไหว  แต่ถ้าเผลอไปต่อเน็ทก็ตัวใครตัวมันละครับ !!!!

8 เมษา ถึงคราวบอกลา Window XP

Posted by pryn 1 comment

นับถอยหลังสู่วันที่ 8 เม.ย.2557 เพื่อโบกมือลา Window XP ระบบปฏิบัติการของไมโครซอฟท์ยอดนิยมที่ใช้งานมายาวนานถึง 12 ปี จากข้อมูลของpcworld.comทำให้รู้ว่ายังมีผู้ใช้งาน Windos XP อยู่ถึง 29.2% รั้งอันดับ2 รองจากแชมป์Window7ซึ่งกินส่วนแบ่ง 47.4%  ส่วนWindow8และ8.1 อยู่ที่ 10%

จริงๆแล้วเรื่องนี้ไม่ใช่ข่าวใหม่ เพราะไมโครซอฟได้ประกาศล่วงหน้ามานานแล้วว่าจะหยุดการ Support Window XP อย่างเป็นทางการตั้งแต่วันที่ 8 เม.ย.2557  เป็นต้นไป แต่ดูเหมือนกระแสการ upgrade ยังเงียบๆทั้งที่เหลือเวลาอีกเพียงไม่กี่วันเท่านั้น

จากรายงานเรื่อง  "The death of Windows XP will impact 95 percent of the world’s ATMs" น่าตกใจมากที่  95% ATM ของ USA ยังคงใช้ Window XP และมีเพียง 15% ที่พร้อมจะเปลี่ยนเป็น Window7 แปลว่ามี ATM จำนวนไม่น้อยที่ยังทำงานด้วย Windox XP ที่หมดอายุ !!

 

จะเกิดอะไรขึ้นหลังจากวันที่ 8 เม.ย.2557

• คุณยังคงใช้งาน Window XP ต่อไปได้ตราบใดที่ Hard Ware ยังทำงาน :) แต่จะใช้งานอย่างปลอดภัยหรือไม่??? อันนี้แล้วแต่ดวง !!! 
• Microsoft ไม่มีการปรับปรุงใดๆให้กับ Window XP อีกต่อไป โดยเฉพาะการปิดช่องโหว่ด้านความปลอดภัย Security Patched และ non-security hotfixes รวมถึงการ update online technical content

 

Window XP ปลอดภัยแค่ไหน

1. ช่องโหว่ที่ถูกพบหลังจาก 8 เม.ย. 2557 จะเป็น Zero day forever นั่นคือไม่มีเจ้าภาพรับผิดชอบแก้ไขเพื่อปิดช่องโหว่เพราะMicrosoftตัดหางปล่อยวัดซะแล้ว !!

2. ทุกวันนี้เมื่อไมโครซอฟประกาศ Security patches ก็จะมีผู้ที่สนใจ(ทั้งนักวิจัยและแฮกเกอร์) มาศึกษาเพื่อหาช่องโหว่และทำการสร้างCodeเพื่อเจาะช่องโหว่นั้นๆ  และก็มักจะเอาCodeไปลองทดสอบกับ OS ต่างๆว่าสามารถเจาะได้หรือไม่ ... แน่นอน Window XP เป็นหนึ่งในนั้น...

ดังนั้นใครที่ใช้ Window XP อยู่ก็ต้องรับความเสี่ยงนี้อย่างเลี่ยงไม่ได้ นั่นคือมีโอกาสโดนโจมตีช่องโหว่ของระบบปฏิบัติการด้วยสารพัดภัยคุกคามทั้งไวรัส มัลแวร์ ฯลฯ

 ทางออก

1. Upgrage ระบบปฏิบัติการไป Window7 หรือ Window8

2. หากอยากใช้ Window XP ต่อไปแบบค่อนข้างปลอดภัย แนะนำให้ใช้แบบ Stand alone คือไม่เชื่อมต่อกับเครือข่ายใดๆ  ใช้เป็นPCสำหรับดูหนังฟังเพลงจากแผ่นก็พอไหว  แต่ถ้าเผลอไปต่อเน็ทก็ตัวใครตัวมันละครับ !!!!

เล่าสู่กันฟัง Key Success Factors เบื้องหลังการทำระบบ ISO 27001ให้สำเร็จจากประสบการณ์จริง

5 Key Success factors ของการทำระบบการจัดการความมั่นคงปลอดภัยของสารสนเทศ ISO27001 ได้แก่

1.ได้รับการสนับสนุนจากผู้บริหารระดับสูง (Top Management) อย่างเป็นรูปธรรม 

การทำระบบ Information Security Management System(ISMS) - ISO 27001 นั้นทำให้ผู้เกี่ยวข้องโดยเฉพาะผู้ใช้งานทั่วไป(User)รู้สึกยุ่งยากกว่าเดิม  และจะเริ่มบ่น เริ่มดื้อ

บางครั้งคนที่บ่นและดื้อก็เป็นระดับบริหารซะเอง แบบนี้ทำให้คณะทำงานงานสร้างระบบฯทำงานลำบาก ร้อนถึงผู้บริหารระดับสูง(Top Management) ต้องแสดงจุดยืนชัดๆว่าสนับสนุนให้ทำระบบฯให้สำเร็จ  เพราะหากเบอร์1 ไม่ทุบโต๊ะเสียงบ่นก็จะเริ่มดังขึ้น การดื้อไม่ให้ความร่วมมือก็จะมากขึ้นและลงท้ายด้วยการเลิกทำระบบในที่สุด

2. กำหนดขอบเขตของระบบ(Scope)ให้ชัดเจน

ขอบเขตการทำระบบ(Scope) เป็นตัวกำหนดว่าผู้เกี่ยวข้องมีใครบ้าง ระบบงานใดบ้าง สถานที่และระบบสนับสนุนที่เกี่ยวข้อง    ในการกำหนดขอบเขต(Scope) มาตรฐานISO27001:2013 กำหนดให้พิจารณาบริบท(Context)ขององค์กรซึ่งต้องพิจารณาถึง Interested parties ที่เกี่ยวข้องด้วย 

ประเด็นสำคัญคือ ขอบเขตที่จัดทำระบบฯต้องสมเหตุผล ตอบโจทย์ของInterested parties  และไม่ควรกว้างเกินไปจนไม่สามารถกำกับดูแลได้อย่างมีประสิทธิภาพ เช่น บางบริษัทฯมีสาขากระจายอยู่ทั่วประเทศ และสาขาต่างจังหวัดหลายแห่งก็ขาดบุคลากรที่มีความรู้ความสามารถเพียงพอ แบบนี้ถ้าทำระบบทั้งหมดครอบคลุมทุกสาขาก็มีแนวโน้มว่าจะสำเร็จได้ยาก เป็นต้น

3. ตัวแทนผู้บริหาร หรือ Information Security Management Representative (ISMR) กำกับดูแลควบคุมและติดตามงาน

Project Leader ของการทำ ISO27001 ก็คือ ตัวแทนฝ่ายบริหาร หรือISMR นี่แหละครับ  ถ้าจะบอกว่าความสำเร็จของการทำระบบฯมาจากการเอาจริงเอาจังทั้งบุ๋นและบู๊ของ ISMR ก็ไม่ใช่เรื่องเกินจริงแต่อย่างใด  เพราะว่า ISMR นั้นกำกับทุกขั้นตอนตั้งแต่เริ่มทำระบบ(Establish) นำไปใช้(Implement) ตรวจประเมิน(Audit) เฝ้าระวังและตรวจสอบ(Monitor and Measurement)  รวมถึงการแก้ไขปรับปรุงอย่างต่อเนื่อง (Continual Improvement)

ISMRนั้นควรมีความรู้ในบริบทขององค์กรเป็นอย่างดีและควรมีความรู้เกี่่ยวกับข้อกำหนดของ ISO27001 ในระดับปานกลางขึ้นไป คือเข้าใจภาพรวมและการนำไปใช้จริงในองค์กร  ที่สำคัญ ISMR ควรมี Power ในระดับที่สามารถตามงานจากหน่วยงานต่างๆ สามารถเชิญประชุม และตัดสินใจได้ (ยกเว้นบางเรื่องที่ต้องขอไฟเขียวจาก Top Management เช่นเรื่องงบประมาณ ฯลฯ) 

4. กระจายงานให้คณะทำงานอย่างเหมาะสม

ปัญหาที่เจอบ่อยมากๆในการทำระบบฯคือ งานกระจุกตัวอยู่ที่คนใดคนหนึ่งมากเกินไป  อาจเป็นเพราะแบ่งงานไม่ดีหรือมีปัญหาในการกระจายงาน(เกี่ยงไม่ยอมรับงาน)  เจอแบบนี้ ISMR ต้องActionครับ  และบางกรณีอาจต้องขอให้ Top Management สั่งลงมาเป็นทางการก็เคยเจอ  หากปล่อยไว้แบบนี้งานไม่เดินและคนที่รับโหลดงานเยอะก็จะล้าและถอดใจ สุดท้ายระบบนี้fail ครับ

5. สร้างแรงจูงใจให้คณะทำงาน  

จากประสบการณ์ในฐานะที่ปรึกษา(Consultant)ผมพบว่าส่วนใหญ่คณะทำงานระบบฯ มีงานประจำในตำแหน่งต่างๆ ไม่ใช่ทำระบบฯแบบ Full Time พูดแบบไม่เกรงใจ การทำระบบฯคืองานที่เพิ่มขึ้นมานั่นเอง !!  ดังนั้นการสร้างแรงจูงใจให้คณะทำงานฯจึงสำคัญไม่แพ้เรื่องอื่นๆ

หลายบริษัทฯมีแต้มพิเศษให้คณะทำงานในฐานะที่Contribute ให้กับองค์กร  บางแห่งมีมีงบฯสำหรับเลี้ยงขนม อาหารให้คณะทำงานฯในกรณีอยู่ดึกหรือทำงานวันหยุด บางที่แจกเสื้อJacket ฯลฯ  เรื่องนี้อาจดูไม่สำคัญในสายตาผู้บริหาร แต่เชื่อมั้ยครับว่าเรื่องเล็กๆน้อยนี่แหละมีส่วนช่วยให้หลายๆที่ทำระบบสำเร็จและรักษาระบบไว้ได้หลังจากได้ใบรับรองแล้ว

เล่าสู่กันฟัง Key Success Factors เบื้องหลังการทำระบบ ISO 27001ให้สำเร็จจากประสบการณ์จริง

Posted by pryn 3 comments

5 Key Success factors ของการทำระบบการจัดการความมั่นคงปลอดภัยของสารสนเทศ ISO27001 ได้แก่

1.ได้รับการสนับสนุนจากผู้บริหารระดับสูง (Top Management) อย่างเป็นรูปธรรม 

การทำระบบ Information Security Management System(ISMS) - ISO 27001 นั้นทำให้ผู้เกี่ยวข้องโดยเฉพาะผู้ใช้งานทั่วไป(User)รู้สึกยุ่งยากกว่าเดิม  และจะเริ่มบ่น เริ่มดื้อ

บางครั้งคนที่บ่นและดื้อก็เป็นระดับบริหารซะเอง แบบนี้ทำให้คณะทำงานงานสร้างระบบฯทำงานลำบาก ร้อนถึงผู้บริหารระดับสูง(Top Management) ต้องแสดงจุดยืนชัดๆว่าสนับสนุนให้ทำระบบฯให้สำเร็จ  เพราะหากเบอร์1 ไม่ทุบโต๊ะเสียงบ่นก็จะเริ่มดังขึ้น การดื้อไม่ให้ความร่วมมือก็จะมากขึ้นและลงท้ายด้วยการเลิกทำระบบในที่สุด

2. กำหนดขอบเขตของระบบ(Scope)ให้ชัดเจน

ขอบเขตการทำระบบ(Scope) เป็นตัวกำหนดว่าผู้เกี่ยวข้องมีใครบ้าง ระบบงานใดบ้าง สถานที่และระบบสนับสนุนที่เกี่ยวข้อง    ในการกำหนดขอบเขต(Scope) มาตรฐานISO27001:2013 กำหนดให้พิจารณาบริบท(Context)ขององค์กรซึ่งต้องพิจารณาถึง Interested parties ที่เกี่ยวข้องด้วย 

ประเด็นสำคัญคือ ขอบเขตที่จัดทำระบบฯต้องสมเหตุผล ตอบโจทย์ของInterested parties  และไม่ควรกว้างเกินไปจนไม่สามารถกำกับดูแลได้อย่างมีประสิทธิภาพ เช่น บางบริษัทฯมีสาขากระจายอยู่ทั่วประเทศ และสาขาต่างจังหวัดหลายแห่งก็ขาดบุคลากรที่มีความรู้ความสามารถเพียงพอ แบบนี้ถ้าทำระบบทั้งหมดครอบคลุมทุกสาขาก็มีแนวโน้มว่าจะสำเร็จได้ยาก เป็นต้น

3. ตัวแทนผู้บริหาร หรือ Information Security Management Representative (ISMR) กำกับดูแลควบคุมและติดตามงาน

Project Leader ของการทำ ISO27001 ก็คือ ตัวแทนฝ่ายบริหาร หรือISMR นี่แหละครับ  ถ้าจะบอกว่าความสำเร็จของการทำระบบฯมาจากการเอาจริงเอาจังทั้งบุ๋นและบู๊ของ ISMR ก็ไม่ใช่เรื่องเกินจริงแต่อย่างใด  เพราะว่า ISMR นั้นกำกับทุกขั้นตอนตั้งแต่เริ่มทำระบบ(Establish) นำไปใช้(Implement) ตรวจประเมิน(Audit) เฝ้าระวังและตรวจสอบ(Monitor and Measurement)  รวมถึงการแก้ไขปรับปรุงอย่างต่อเนื่อง (Continual Improvement)

ISMRนั้นควรมีความรู้ในบริบทขององค์กรเป็นอย่างดีและควรมีความรู้เกี่่ยวกับข้อกำหนดของ ISO27001 ในระดับปานกลางขึ้นไป คือเข้าใจภาพรวมและการนำไปใช้จริงในองค์กร  ที่สำคัญ ISMR ควรมี Power ในระดับที่สามารถตามงานจากหน่วยงานต่างๆ สามารถเชิญประชุม และตัดสินใจได้ (ยกเว้นบางเรื่องที่ต้องขอไฟเขียวจาก Top Management เช่นเรื่องงบประมาณ ฯลฯ) 

4. กระจายงานให้คณะทำงานอย่างเหมาะสม

ปัญหาที่เจอบ่อยมากๆในการทำระบบฯคือ งานกระจุกตัวอยู่ที่คนใดคนหนึ่งมากเกินไป  อาจเป็นเพราะแบ่งงานไม่ดีหรือมีปัญหาในการกระจายงาน(เกี่ยงไม่ยอมรับงาน)  เจอแบบนี้ ISMR ต้องActionครับ  และบางกรณีอาจต้องขอให้ Top Management สั่งลงมาเป็นทางการก็เคยเจอ  หากปล่อยไว้แบบนี้งานไม่เดินและคนที่รับโหลดงานเยอะก็จะล้าและถอดใจ สุดท้ายระบบนี้fail ครับ

5. สร้างแรงจูงใจให้คณะทำงาน  

จากประสบการณ์ในฐานะที่ปรึกษา(Consultant)ผมพบว่าส่วนใหญ่คณะทำงานระบบฯ มีงานประจำในตำแหน่งต่างๆ ไม่ใช่ทำระบบฯแบบ Full Time พูดแบบไม่เกรงใจ การทำระบบฯคืองานที่เพิ่มขึ้นมานั่นเอง !!  ดังนั้นการสร้างแรงจูงใจให้คณะทำงานฯจึงสำคัญไม่แพ้เรื่องอื่นๆ

หลายบริษัทฯมีแต้มพิเศษให้คณะทำงานในฐานะที่Contribute ให้กับองค์กร  บางแห่งมีมีงบฯสำหรับเลี้ยงขนม อาหารให้คณะทำงานฯในกรณีอยู่ดึกหรือทำงานวันหยุด บางที่แจกเสื้อJacket ฯลฯ  เรื่องนี้อาจดูไม่สำคัญในสายตาผู้บริหาร แต่เชื่อมั้ยครับว่าเรื่องเล็กๆน้อยนี่แหละมีส่วนช่วยให้หลายๆที่ทำระบบสำเร็จและรักษาระบบไว้ได้หลังจากได้ใบรับรองแล้ว

มาตรการ(Control)จัดการความมั่นคงปลอดภัยของสารสนเทศ ISO 27001 :2013

          การบริหารจัดการสารสนเทศในองค์กรให้มั่นคงปลอดภัยตามมาตรฐานISO 27001 :2013นั้น จำเป็นต้องมีมาตรการที่เหมาะสมกับความเสี่ยงของสารสนเทศ (Information Security Risk)

  
          ในการจัดทำและดำเนินระบบ (ISMS Establishment and Implementation)  ISO27001:2013 มีมาตรการให้ท่านเลือกมาใช้มากมายครอบคลุมตั้งแต่เรื่องคน (Human) เรื่องHardware ,Software และอื่นๆ

ท่านสามารถนำมาตรการเหล่านี้มาใช้งาน (Implementation) และวางระบบเฝ้าระวังตรวจสอบ (ISMS Monitoring and Measurement) เพื่อวัดผลว่ามาตรการนั้นๆมีประสิทธิภาพเพียงพอที่จัดการความเสี่ยงได้อย่างเหมาะสมหรือไม่

บทความนี้ขอนำเสนอมาตรการจัดการความมั่นคงปลอดภัยของสารสนเทศ ตาม Annex A ของ ISO 27001:2013

มาตรการมีทั้งหมด 14  ข้อได้แก่

• A5. นโยบายความมั่นคงปลอดภัยสารสนเทศ (Information Security Policy)    
• A6.  โครงสร้างความมั่นคงปลอดภัยสารสนเทศ  (organization  of  Information Security)
• A7. ความมั่นคงปลอดภัยสําหรับบุคลากร (Human Resource Security)
• A8. การบริหารจัดการทรัพย์สิน (Asset Management)
• A9. การควบคุมการเข้าถึง (Access Control)
• A10. การเข้ารหัสข้อมูล (Cryptography)
• A11.  ความมั่นคงปลอดภัยทางกายภาพและสภาพแวดล้อม  (Physical  and environmental Security)
• A12. ความมั่นคงปลอดภัยสําหรับการดําเนินการ (Operations Security)
• A13. ความมั่นคงปลอดภัยสําหรับการสื่อสารข้อมูล (Communications security)
• A14. การจัดหา การพัฒนา และการบํารุงรักษาระบบ (System acquisition, development and maintenance)
• A15. ความสัมพันธ์กับผู้ขาย ผู้ให้บริการภายนอก (Supplier relationships)
• A16.  การบริหารจัดการเหตุการณ์ความมั่นคงปลอดภัยสารสนเทศ  (Information Security Incident Management)
• A17. ประเด็นด้านความมั่นคงปลอดภัยสารสนเทศของการบริหารจัดการเพื่อสร้างความต่อเนื่องทางธุรกิจ (Information security aspects of business continuity management)
• A18. ความสอดคล้อง (Compliance)   

มาตรการ(Control)จัดการความมั่นคงปลอดภัยของสารสนเทศ ISO 27001 :2013

Posted by pryn No comments

          การบริหารจัดการสารสนเทศในองค์กรให้มั่นคงปลอดภัยตามมาตรฐานISO 27001 :2013นั้น จำเป็นต้องมีมาตรการที่เหมาะสมกับความเสี่ยงของสารสนเทศ (Information Security Risk)

  
          ในการจัดทำและดำเนินระบบ (ISMS Establishment and Implementation)  ISO27001:2013 มีมาตรการให้ท่านเลือกมาใช้มากมายครอบคลุมตั้งแต่เรื่องคน (Human) เรื่องHardware ,Software และอื่นๆ

ท่านสามารถนำมาตรการเหล่านี้มาใช้งาน (Implementation) และวางระบบเฝ้าระวังตรวจสอบ (ISMS Monitoring and Measurement) เพื่อวัดผลว่ามาตรการนั้นๆมีประสิทธิภาพเพียงพอที่จัดการความเสี่ยงได้อย่างเหมาะสมหรือไม่

บทความนี้ขอนำเสนอมาตรการจัดการความมั่นคงปลอดภัยของสารสนเทศ ตาม Annex A ของ ISO 27001:2013

มาตรการมีทั้งหมด 14  ข้อได้แก่

• A5. นโยบายความมั่นคงปลอดภัยสารสนเทศ (Information Security Policy)    
• A6.  โครงสร้างความมั่นคงปลอดภัยสารสนเทศ  (organization  of  Information Security)
• A7. ความมั่นคงปลอดภัยสําหรับบุคลากร (Human Resource Security)
• A8. การบริหารจัดการทรัพย์สิน (Asset Management)
• A9. การควบคุมการเข้าถึง (Access Control)
• A10. การเข้ารหัสข้อมูล (Cryptography)
• A11.  ความมั่นคงปลอดภัยทางกายภาพและสภาพแวดล้อม  (Physical  and environmental Security)
• A12. ความมั่นคงปลอดภัยสําหรับการดําเนินการ (Operations Security)
• A13. ความมั่นคงปลอดภัยสําหรับการสื่อสารข้อมูล (Communications security)
• A14. การจัดหา การพัฒนา และการบํารุงรักษาระบบ (System acquisition, development and maintenance)
• A15. ความสัมพันธ์กับผู้ขาย ผู้ให้บริการภายนอก (Supplier relationships)
• A16.  การบริหารจัดการเหตุการณ์ความมั่นคงปลอดภัยสารสนเทศ  (Information Security Incident Management)
• A17. ประเด็นด้านความมั่นคงปลอดภัยสารสนเทศของการบริหารจัดการเพื่อสร้างความต่อเนื่องทางธุรกิจ (Information security aspects of business continuity management)
• A18. ความสอดคล้อง (Compliance)   

Overview ข้อกำหนด ISO 27001:2013 ตอนที่2 (จบ)

บทความนี้อธิบายภาพรวมของข้อกำหนดมาตรฐานISO 27001:2013 Information Security Management System (ISMS) ต่อจากตอนที่แล้ว "Overview ข้อกำหนด ISO2001:2013 ตอนที่1" ครับ

ผู้เขียน  ปริญญ์  เสรีพงศ์ CISA CEH ISMS(IRCA) 

Email : mr.pryn@gmail.com

ข้อ 4 การสนับสนุน (Support)

4.1 ทรัพยากร (Resources)

การทำระบบให้สำเร็จจำเป็นต้องมีทรัพยากรเพียงพอและเหมาะสม ประกอบด้วย บุคลากร เวลา งบประมาณ และการสนับสนุนจากผู้บริหารอย่างเป็นรูปธรรม

4.2 สมรรถนะ (Competence) 

บุคลากรที่มีส่วนร่วมในการจัดทำระบบจะต้องมีความรู้ความสามารถ ซึ่งต้องมีการให้ความรู้ที่ตรงกับภาระหน้าที่เพื่อให้บุคลากรสามารถปฏิบัติได้อย่างถูกต้อง

4.3 การสร้างความตระหนัก (Awareness) 

ความตระหนักเป็นเรื่องสำคัญในด้านความมั่นคงปลอดภัยของสารสนเทศ เพราะหากบุคลกรมีความตระหนักที่เพียงพอ ย่อมจะลดความเสี่ยงได้โดยปริยาย เช่น เรื่องการใช้รหัสผ่านที่แข็งแรงเดายาก ถ้าบุคลากรมีความตระหนักก็จะเข้าใจและปฏิบัติตามส่งผลการความเสี่ยงลดลง

4.4 การสื่อสาร (Communication)

การสื่อสารประกอบด้วยสื่อสารภายใน(Internal Communication) และการสื่อสารภายนอก (External Communication)  เพื่อให้ความรู้ ข่าวสารที่เป็นประโยชน์ เป็นวิธีในการสร้างความตระหนักที่ได้ผลดี

4.5 เอกสารสารสนเทศ (Documented information)

เอกสารมีความจำเป็นในการทำงานร่วมกันเพื่อให้เกิดความชัดเจนแก่ผู้ปฏิบัติและผู้ตรวจสอบ (Auditor)   เอกสารในระบบISO27001:2013 นั้นจะต้องผ่านการจัดทำโดยผู้ที่มีความรู้  มีผู้ทบทวน และอนุมัติก่อนจะนำไปใช้งาน

ข้อ 5  การดําเนินการ (Operation)

5.1  การวางแผนที่เกี่ยวข้องกับการดําเนินการและการควบคุม (Operational  planning  and control) 

ข้อนี้กล่าวถึงการปฏิบัติตามแผนที่วางไว้ โดยลงมือปฏิบัติตามแผนจัดการความเสี่ยง

5.2  การประเมินความเสี่ยงด้านความมั่นคงปลอดภัยสารสนเทศ (Information  security  risk assessment) 

ประเมินความเสี่ยงต้องทำเป็นระยะ ไม่ใช่ทำครั้งเดียวจบ  เพราะเมื่อเวลาผ่านไปก็จะมีความเสี่ยงใหม่เกิดขึ้นมา ไม่ว่าจะเป็นความเสี่ยงจากเทคโนโลยีใหม่ๆ หรือสภาพแวดล้อม สังคมและการเมือง

5.3 การจัดการกับความเสี่ยงด้านความมั่นคงปลอดภัยสารสนเทศ (Information security risk treatment)

Information Security Risk Treatment เป็นเครื่องมือการจัดการความเสี่ยงที่จัดทำขึ้นภายหลังการประเมินความเสี่ยงของทรัพย์สินสารสนเทศ โดยกำหนดรายละเอียด ขั้นตอนวิธีการต่างๆ เพื่อนำไปปฏิบัติให้ได้ผลลัพธ์ตามที่กำหนดไว้

ข้อ 6 การประเมินประสิทธิภาพและประสิทธิผล (Performance evaluation)

6.1  การเฝ้าระวัง การวัดผล การวิเคราะห์ และการประเมิน (Monitoring,  measurement, analysis and evaluation) 

เรื่องสำคัญที่พลาดไม่ได้คือ การเฝ้าระวัง (Monitor)  การวัด(measure) การวิเคราะห์( analyze) และการประเมิน(evaluate)  performance ของระบบ  ทำให้รู้ได้ว่าผลลัพธ์เป็นไปตามที่วางแผนหรือไม่อย่างไร

6.2 การตรวจประเมินภายใน (Internal audit)

การตรวจประเมินภายใน (Internal Audit) เป็นเครื่องมือสำคัญที่ทำให้รู้ว่าระบบที่เราจัดทำขึ้นมานั้น มีความสมบูรณ์จัดทำครบถ้วนตามข้อกำหนด มีการนำไปปฏิบัติหรือไม่ และได้ผลลัพธ์เป็นอย่างไร ตรวจสอบความเข้าใจ  การปฏิบัติและเอกสารบันทึกที่เกี่ยวข้อง

6.3 การทบทวนของผู้บริหาร (Management review)

Management Review เป็นการประชุมเพื่อรายงานผลของการจัดทำระบบ ISO27001:2013 Information Security Management (ISMS) ต่อผู้บริหารระดับสูง (Top Management)  โดยรายงานถึงการเปลี่ยนแปลงภายในและภายนอกที่มีผลกระทบต่อระบบฯ ผลการประเมินความเสี่ยงและการจัดการความเสี่ยง  ผลการเฝ้าระวังด้านInformation Security  ผลการตรวจประเมินภายใน(Internal Audit) ข้อบกพร่องจากการตรวจประเมินภายใน เป็นต้น

ข้อ 7 การปรับปรุง (Improvement)

7.1 ความไม่สอดคล้องและการดําเนินการแก้ไข (Nonconformity and corrective action)

การระบุความไม่สอดคล้อง(Nonconformity) และแก้ไขความไม่สอดคล้อง (corrective action) อย่างเป็นระบบ มีผู้รับผิดชอบและมีบันทึกที่เป็นลายลักษณ์อักษรเกี่ยวกับความไม่สอดคล้องและแนวทางการแก้ไข

7.2 การปรับปรุงอย่างต่อเนื่อง (Continual improvement) 

ข้อกำหนดระบุให้องค์กรปรับปรุงระบบให้มีความเหมาะสม เพียงพอ และมีการปรับปรุงอย่างต่อเนื่อง

Overview ข้อกำหนด ISO 27001:2013 ตอนที่2 (จบ)

Posted by pryn No comments

บทความนี้อธิบายภาพรวมของข้อกำหนดมาตรฐานISO 27001:2013 Information Security Management System (ISMS) ต่อจากตอนที่แล้ว "Overview ข้อกำหนด ISO2001:2013 ตอนที่1" ครับ

ผู้เขียน  ปริญญ์  เสรีพงศ์ CISA CEH ISMS(IRCA) 

Email : mr.pryn@gmail.com

ข้อ 4 การสนับสนุน (Support)

4.1 ทรัพยากร (Resources)

การทำระบบให้สำเร็จจำเป็นต้องมีทรัพยากรเพียงพอและเหมาะสม ประกอบด้วย บุคลากร เวลา งบประมาณ และการสนับสนุนจากผู้บริหารอย่างเป็นรูปธรรม

4.2 สมรรถนะ (Competence) 

บุคลากรที่มีส่วนร่วมในการจัดทำระบบจะต้องมีความรู้ความสามารถ ซึ่งต้องมีการให้ความรู้ที่ตรงกับภาระหน้าที่เพื่อให้บุคลากรสามารถปฏิบัติได้อย่างถูกต้อง

4.3 การสร้างความตระหนัก (Awareness) 

ความตระหนักเป็นเรื่องสำคัญในด้านความมั่นคงปลอดภัยของสารสนเทศ เพราะหากบุคลกรมีความตระหนักที่เพียงพอ ย่อมจะลดความเสี่ยงได้โดยปริยาย เช่น เรื่องการใช้รหัสผ่านที่แข็งแรงเดายาก ถ้าบุคลากรมีความตระหนักก็จะเข้าใจและปฏิบัติตามส่งผลการความเสี่ยงลดลง

4.4 การสื่อสาร (Communication)

การสื่อสารประกอบด้วยสื่อสารภายใน(Internal Communication) และการสื่อสารภายนอก (External Communication)  เพื่อให้ความรู้ ข่าวสารที่เป็นประโยชน์ เป็นวิธีในการสร้างความตระหนักที่ได้ผลดี

4.5 เอกสารสารสนเทศ (Documented information)

เอกสารมีความจำเป็นในการทำงานร่วมกันเพื่อให้เกิดความชัดเจนแก่ผู้ปฏิบัติและผู้ตรวจสอบ (Auditor)   เอกสารในระบบISO27001:2013 นั้นจะต้องผ่านการจัดทำโดยผู้ที่มีความรู้  มีผู้ทบทวน และอนุมัติก่อนจะนำไปใช้งาน

ข้อ 5  การดําเนินการ (Operation)

5.1  การวางแผนที่เกี่ยวข้องกับการดําเนินการและการควบคุม (Operational  planning  and control) 

ข้อนี้กล่าวถึงการปฏิบัติตามแผนที่วางไว้ โดยลงมือปฏิบัติตามแผนจัดการความเสี่ยง

5.2  การประเมินความเสี่ยงด้านความมั่นคงปลอดภัยสารสนเทศ (Information  security  risk assessment) 

ประเมินความเสี่ยงต้องทำเป็นระยะ ไม่ใช่ทำครั้งเดียวจบ  เพราะเมื่อเวลาผ่านไปก็จะมีความเสี่ยงใหม่เกิดขึ้นมา ไม่ว่าจะเป็นความเสี่ยงจากเทคโนโลยีใหม่ๆ หรือสภาพแวดล้อม สังคมและการเมือง

5.3 การจัดการกับความเสี่ยงด้านความมั่นคงปลอดภัยสารสนเทศ (Information security risk treatment)

Information Security Risk Treatment เป็นเครื่องมือการจัดการความเสี่ยงที่จัดทำขึ้นภายหลังการประเมินความเสี่ยงของทรัพย์สินสารสนเทศ โดยกำหนดรายละเอียด ขั้นตอนวิธีการต่างๆ เพื่อนำไปปฏิบัติให้ได้ผลลัพธ์ตามที่กำหนดไว้

ข้อ 6 การประเมินประสิทธิภาพและประสิทธิผล (Performance evaluation)

6.1  การเฝ้าระวัง การวัดผล การวิเคราะห์ และการประเมิน (Monitoring,  measurement, analysis and evaluation) 

เรื่องสำคัญที่พลาดไม่ได้คือ การเฝ้าระวัง (Monitor)  การวัด(measure) การวิเคราะห์( analyze) และการประเมิน(evaluate)  performance ของระบบ  ทำให้รู้ได้ว่าผลลัพธ์เป็นไปตามที่วางแผนหรือไม่อย่างไร

6.2 การตรวจประเมินภายใน (Internal audit)

การตรวจประเมินภายใน (Internal Audit) เป็นเครื่องมือสำคัญที่ทำให้รู้ว่าระบบที่เราจัดทำขึ้นมานั้น มีความสมบูรณ์จัดทำครบถ้วนตามข้อกำหนด มีการนำไปปฏิบัติหรือไม่ และได้ผลลัพธ์เป็นอย่างไร ตรวจสอบความเข้าใจ  การปฏิบัติและเอกสารบันทึกที่เกี่ยวข้อง

6.3 การทบทวนของผู้บริหาร (Management review)

Management Review เป็นการประชุมเพื่อรายงานผลของการจัดทำระบบ ISO27001:2013 Information Security Management (ISMS) ต่อผู้บริหารระดับสูง (Top Management)  โดยรายงานถึงการเปลี่ยนแปลงภายในและภายนอกที่มีผลกระทบต่อระบบฯ ผลการประเมินความเสี่ยงและการจัดการความเสี่ยง  ผลการเฝ้าระวังด้านInformation Security  ผลการตรวจประเมินภายใน(Internal Audit) ข้อบกพร่องจากการตรวจประเมินภายใน เป็นต้น

ข้อ 7 การปรับปรุง (Improvement)

7.1 ความไม่สอดคล้องและการดําเนินการแก้ไข (Nonconformity and corrective action)

การระบุความไม่สอดคล้อง(Nonconformity) และแก้ไขความไม่สอดคล้อง (corrective action) อย่างเป็นระบบ มีผู้รับผิดชอบและมีบันทึกที่เป็นลายลักษณ์อักษรเกี่ยวกับความไม่สอดคล้องและแนวทางการแก้ไข

7.2 การปรับปรุงอย่างต่อเนื่อง (Continual improvement) 

ข้อกำหนดระบุให้องค์กรปรับปรุงระบบให้มีความเหมาะสม เพียงพอ และมีการปรับปรุงอย่างต่อเนื่อง

Overview ข้อกำหนด ISO 27001:2013 ตอนที่ 1

ผู้เขียน  ปริญญ์  เสรีพงศ์ CISA CEH ISMS(IRCA) 

Email : mr.pryn@gmail.com

บทความนี้อธิบายภภาพรวมของข้อกำหนดมาตรฐานISO27001:2013 Information Security Management System (ISMS)  เพื่อให้ผู้อ่านได้เข้าใจภาพกว้างของมาตรฐานเป็นพื้นฐานสำหรับศึกษารายละเอียดเพิ่มเติมในเอกสารมาตรฐานฉบับเต็มได้ง่ายขึ้น

1. บริบทขององค์กร (Context of the organization)
2. ภาวะผู้นํา (Leadership)
3. การวางแผน (Planning)
4. การสนับสนุน (Support)
5. การดําเนินการ (Operation)
6. การประเมินประสิทธิภาพและประสิทธิผล (Performance evaluation)
7. การปรับปรุง (Improvement)

1.บริบทขององค์กร (Context of the organization)

1.1 ทำความเข้าใจองค์กรและบริบทขององค์กร (Understanding the organization and its context)

พื้นฐานสำคัญในการวางระบบการจัดการความมั่นคงปลอดภัยของสารสนเทศ ISO27001:2013  คือความเข้าใจบริบทขององค์กร โดยต้องระบุประเด็นภายใน(Internal issues) และประเด็นภายนอก(External issues) นำทั้ง2ประเด็นนี้มาพิจารณาในการวางระบบให้ครอบคลุมอย่างเหมาะสมไม่ตกหล่นประเด็นสำคัญ

1.2 กําหนดความจําเป็นและความคาดหวังของผู้ที่เกี่ยวข้อง (Understanding the needs and expectations of interested parties)

ในการทำ ISO27001 จะต้องรู้ว่าใครคือผู้เกี่ยวข้อง (Interested parties) และพวกเขามีความต้องการและคาดหวังอะไร(needs and expectations)จากองค์กรของเรา  ระบบงานใดมีความสำคัญเพราะเป็นงานที่เกี่ยวข้องกับการส่งมอบสินค้าหรือบริการให้กับผู้เกี่ยวข้อง  บริบทขององค์กรเป็นข้อมูลสำคัญในการกำหนดขอบเขตของการจัดทำระบบ(Scope)

1.3 การกําหนดขอบเขตของระบบบริหารจัดการความมั่นคงปลอดภัยสารสนเทศ (Determining the scope of the information security management system)

ขอบเขต(Scope)ของการทำ ISO27001:2013 ต้องพิจารณาถึงข้อกำหนดและความต้องการของผู้เกี่ยวข้อง(Interested parties)  ตรงนี้เป็นเงื่อนไขสำคัญที่องค์กรต้องทำความเข้าใจและกำหนดขอบเขตให้เหมาะสมและเพียงพอคือไม่กำหนดขอบเขตเล็กเกินไปจนตกหล่นผู้เกี่ยวข้อง หรือขอบเขตกว้างเกินกว่าความสามารถในการบริหารจัดการส่งผลให้ระบบขาดประสิทธิภาพ

1.4 ระบบบริหารจัดการความมั่นคงปลอดภัยสารสนเทศ (Information security management system)

จัดทำระบบการจัดการความมั่นคงปลอดภัยสารสนเทศ(ISMS)  โดยกำหนดนโยบาย จัดทำเอกสารที่เกี่ยวข้อง นำไปปฏิบัติและรักษาไว้ รวมถึงปรับปรุงอย่างต่อเนื่อง โดยISMSต้องสอดคล้องตามข้อกําหนดของ ISO27001:2013 Information Security Management System

ข้อ 2 ภาวะผู้นํา (Leadership)

2.1 ภาวะผู้นําและการให้ความสําคัญ (Leadership and commitment) 

ผู้บริหารระดับสูงต้องแสดงให้เห็นถึงภาวะผู้นําและให้ความสําคัญต่อระบบการจัดการความมั่นคงปลอดภัยสารสนเทศ(ISMS)

2.2 นโยบาย (Policy)

ผู้บริหารระดับสูงกําหนดนโยบายความมั่นคงปลอดภัยสารสนเทศให้สอดคล้องกับจุดประสงค์ขององค์กรและสอดคล้องกับข้อกำหนด

2.3 บทบาท หน้าที่ความรับผิดชอบ และอํานาจหน้าที่ (Organizational roles, responsibilities and authorities)

กำหนดหน้าที่และความรับผิดชอบทางด้านความมั่นคงปลอดภัยของสารสนเทศ

ข้อ 3 การวางแผน (Planning)

3.1 การดําเนินการเพื่อจัดการกับความเสี่ยงและโอกาส (Actions to address risks and opportunities)

การวางแผนงานสำหรับระบบการจัดการความมั่นคงปลอดภัยของสารสนเทศ จะต้องพิจารณาถึงบริบทขององค์กร  พิจารณาความเสี่ยงที่เกี่ยวข้องจากนั้นวางแนวทางจัดการอย่างเหมาะสม

3.2  วัตถุประสงค์ด้านความมั่นคงปลอดภัยสารสนเทศและแผนการบรรลุวัตถุประสงค์ (Information security objectives and plans to achieve them) 

กำหนดวัตถุประสงค์ด้านความมั่นคงปลอดภัยสารสนเทศ(Information Security Objectives)และแผนการบรรลุวัตถุประสงค์  โดยวัตถุประสงค์นี้จะต้องวัดผลได้ และสอดคล้องกับนโยบายความมั่นคงปลอดภัยของสารสนเทศ(Information Security Policy)


ข้อกำหนดที่เหลือ อ่านได้จากบทความ "Overview ข้อกำหนด ISO27001:2013 ตอนที่2 (จบ)"

Overview ข้อกำหนด ISO 27001:2013 ตอนที่ 1

Posted by pryn No comments

ผู้เขียน  ปริญญ์  เสรีพงศ์ CISA CEH ISMS(IRCA) 

Email : mr.pryn@gmail.com

บทความนี้อธิบายภภาพรวมของข้อกำหนดมาตรฐานISO27001:2013 Information Security Management System (ISMS)  เพื่อให้ผู้อ่านได้เข้าใจภาพกว้างของมาตรฐานเป็นพื้นฐานสำหรับศึกษารายละเอียดเพิ่มเติมในเอกสารมาตรฐานฉบับเต็มได้ง่ายขึ้น

1. บริบทขององค์กร (Context of the organization)
2. ภาวะผู้นํา (Leadership)
3. การวางแผน (Planning)
4. การสนับสนุน (Support)
5. การดําเนินการ (Operation)
6. การประเมินประสิทธิภาพและประสิทธิผล (Performance evaluation)
7. การปรับปรุง (Improvement)

1.บริบทขององค์กร (Context of the organization)

1.1 ทำความเข้าใจองค์กรและบริบทขององค์กร (Understanding the organization and its context)

พื้นฐานสำคัญในการวางระบบการจัดการความมั่นคงปลอดภัยของสารสนเทศ ISO27001:2013  คือความเข้าใจบริบทขององค์กร โดยต้องระบุประเด็นภายใน(Internal issues) และประเด็นภายนอก(External issues) นำทั้ง2ประเด็นนี้มาพิจารณาในการวางระบบให้ครอบคลุมอย่างเหมาะสมไม่ตกหล่นประเด็นสำคัญ

1.2 กําหนดความจําเป็นและความคาดหวังของผู้ที่เกี่ยวข้อง (Understanding the needs and expectations of interested parties)

ในการทำ ISO27001 จะต้องรู้ว่าใครคือผู้เกี่ยวข้อง (Interested parties) และพวกเขามีความต้องการและคาดหวังอะไร(needs and expectations)จากองค์กรของเรา  ระบบงานใดมีความสำคัญเพราะเป็นงานที่เกี่ยวข้องกับการส่งมอบสินค้าหรือบริการให้กับผู้เกี่ยวข้อง  บริบทขององค์กรเป็นข้อมูลสำคัญในการกำหนดขอบเขตของการจัดทำระบบ(Scope)

1.3 การกําหนดขอบเขตของระบบบริหารจัดการความมั่นคงปลอดภัยสารสนเทศ (Determining the scope of the information security management system)

ขอบเขต(Scope)ของการทำ ISO27001:2013 ต้องพิจารณาถึงข้อกำหนดและความต้องการของผู้เกี่ยวข้อง(Interested parties)  ตรงนี้เป็นเงื่อนไขสำคัญที่องค์กรต้องทำความเข้าใจและกำหนดขอบเขตให้เหมาะสมและเพียงพอคือไม่กำหนดขอบเขตเล็กเกินไปจนตกหล่นผู้เกี่ยวข้อง หรือขอบเขตกว้างเกินกว่าความสามารถในการบริหารจัดการส่งผลให้ระบบขาดประสิทธิภาพ

1.4 ระบบบริหารจัดการความมั่นคงปลอดภัยสารสนเทศ (Information security management system)

จัดทำระบบการจัดการความมั่นคงปลอดภัยสารสนเทศ(ISMS)  โดยกำหนดนโยบาย จัดทำเอกสารที่เกี่ยวข้อง นำไปปฏิบัติและรักษาไว้ รวมถึงปรับปรุงอย่างต่อเนื่อง โดยISMSต้องสอดคล้องตามข้อกําหนดของ ISO27001:2013 Information Security Management System

ข้อ 2 ภาวะผู้นํา (Leadership)

2.1 ภาวะผู้นําและการให้ความสําคัญ (Leadership and commitment) 

ผู้บริหารระดับสูงต้องแสดงให้เห็นถึงภาวะผู้นําและให้ความสําคัญต่อระบบการจัดการความมั่นคงปลอดภัยสารสนเทศ(ISMS)

2.2 นโยบาย (Policy)

ผู้บริหารระดับสูงกําหนดนโยบายความมั่นคงปลอดภัยสารสนเทศให้สอดคล้องกับจุดประสงค์ขององค์กรและสอดคล้องกับข้อกำหนด

2.3 บทบาท หน้าที่ความรับผิดชอบ และอํานาจหน้าที่ (Organizational roles, responsibilities and authorities)

กำหนดหน้าที่และความรับผิดชอบทางด้านความมั่นคงปลอดภัยของสารสนเทศ

ข้อ 3 การวางแผน (Planning)

3.1 การดําเนินการเพื่อจัดการกับความเสี่ยงและโอกาส (Actions to address risks and opportunities)

การวางแผนงานสำหรับระบบการจัดการความมั่นคงปลอดภัยของสารสนเทศ จะต้องพิจารณาถึงบริบทขององค์กร  พิจารณาความเสี่ยงที่เกี่ยวข้องจากนั้นวางแนวทางจัดการอย่างเหมาะสม

3.2  วัตถุประสงค์ด้านความมั่นคงปลอดภัยสารสนเทศและแผนการบรรลุวัตถุประสงค์ (Information security objectives and plans to achieve them) 

กำหนดวัตถุประสงค์ด้านความมั่นคงปลอดภัยสารสนเทศ(Information Security Objectives)และแผนการบรรลุวัตถุประสงค์  โดยวัตถุประสงค์นี้จะต้องวัดผลได้ และสอดคล้องกับนโยบายความมั่นคงปลอดภัยของสารสนเทศ(Information Security Policy)


ข้อกำหนดที่เหลือ อ่านได้จากบทความ "Overview ข้อกำหนด ISO27001:2013 ตอนที่2 (จบ)"

โลกนี้อยู่ยาก !!! เมื่อจอมแฉบันลือโลก Edward Snowden ถูกเสนอชื่อชิงรางวัลโนเบลสาขาสันติภาพ ปี 2014

ในมุมของInformation Security Management - ISO27001 มองว่า Edward Snowden เป็นภัยคุกคาม(Insider Threat)ขององค์กร(NSA) ซึ่งเป็นผู้ว่าจ้าง  ผลกระทบที่เกิดจากข้อมูลรั่วไหล (Information leak) กระทบต่อความน่าเชื่อถือขององค์กรอย่างรุนแรง

เสนอชื่อ Edward Snowden เข้าชิงรางวัลโนเบลสาขาสันติภาพ ปี 2014

สมาชิกสภาของประเทศนอร์เวย์คือนายBård Vegard Solhjell และนายSnorre Valen ได้เสนอชื่อ Edward Snowden เข้าชิงรางวัลโนเบลสาขาสันติภาพ ปี 2014 พร้อมทั้งบรรยายคุณงามความดี(หรือเปล่า??) ว่าการที่นาย Snowden ออกมาแฉถึงการดักฟังที่สุดแสนจะอื้อฉาวนั้นสร้างคุณประโยชน์ต่อโลกนี้สมควรได้รับรางวัลอันทรงเกียรตินี้

Edward Snowden คือใคร

ผมนั้นไม่รู้จักเฮียSnowdenเป็นการส่วนตัวก็เลยต้องใช้บริการgoogle และก็ไม่ผิดหวัง พี่google ให้คำตอบมาจนอ่านไม่หวาดไม่ไหวขอสรุปสั้นๆประมาณนี้ครับ

ชื่อ : Edward Joseph Snowden
เกิดเมื่อ :  21 June 1983
อาชีพ : อดีตลูกจ้างของ Central Intelligence Agency (หน่ายงาน CIA ) และอดีต Outsource ให้กับ  National Security Agency (NSA)
ผลงาน : เปิดโปงGlobal surveillance disclosures (2013–present) ซึ่งประกอบด้วยโครงการย่อยๆ ตัวอย่างเช่น

•     PRISM (surveillance program) : โครงการ Survillance ระดับGlobal แบบไร้พรมแดน
•     XKeyscore : โครงการดักจับข้อมูลทาง Internet มาวิเคราะห์หาความเชื่อมโยงในการสืบสวน   ต่างๆของงานด้านสายลับ
•     Tempora : โครงการดักจับข้อมูลใน fibre-optic cables
•     Project 6 : โครงการ Survillanceภายใต้ความร่วมมือกับเยอรมันเพื่อป้องกันการก่อการร้าย

   แต่ละโครงการล้วนแต่หมิ่นเหม่ต่อการละเมิดสิทธิผู้อื่น เพราะเล่นดักจับข้อมูลเอาไปวิเคราะห์โดยที่เจ้าของไม่ได้อนุญาต ทั้งข้อมูลธุรกิจ ข้อมูลส่วนตัวจิปาถะ โดนดักฟังทั้งสิ้น

   นี่แค่บางส่วนเองครับที่ผมนำมาเขียน และก็ไม่รู้ว่าที่เฮีย Snowden ยังไม่ได้แฉออกมามีอะไรให้เซอร์ไพรส์อีกบ้าง !!

ก็ต้องช่วยลุ้นเฮียเค้าล่ะครับเผลอๆ ถ้าแกได้รางวัลขึ้นมาจริงๆ อยากรู้ว่าโอบามาจะว่ายังไง ??


Source : http://news.cnet.com/8301-13578_3-57618008-38/snowden-nominated-for-nobel-peace-prize/ 


ผู้เขียน : Pryn Sereepong, CISA, CEH, ISMS(IRCA)
pryn@ftpi.or.th 

โลกนี้อยู่ยาก !!! เมื่อจอมแฉบันลือโลก Edward Snowden ถูกเสนอชื่อชิงรางวัลโนเบลสาขาสันติภาพ ปี 2014

Posted by pryn No comments

ในมุมของInformation Security Management - ISO27001 มองว่า Edward Snowden เป็นภัยคุกคาม(Insider Threat)ขององค์กร(NSA) ซึ่งเป็นผู้ว่าจ้าง  ผลกระทบที่เกิดจากข้อมูลรั่วไหล (Information leak) กระทบต่อความน่าเชื่อถือขององค์กรอย่างรุนแรง

เสนอชื่อ Edward Snowden เข้าชิงรางวัลโนเบลสาขาสันติภาพ ปี 2014

สมาชิกสภาของประเทศนอร์เวย์คือนายBård Vegard Solhjell และนายSnorre Valen ได้เสนอชื่อ Edward Snowden เข้าชิงรางวัลโนเบลสาขาสันติภาพ ปี 2014 พร้อมทั้งบรรยายคุณงามความดี(หรือเปล่า??) ว่าการที่นาย Snowden ออกมาแฉถึงการดักฟังที่สุดแสนจะอื้อฉาวนั้นสร้างคุณประโยชน์ต่อโลกนี้สมควรได้รับรางวัลอันทรงเกียรตินี้

Edward Snowden คือใคร

ผมนั้นไม่รู้จักเฮียSnowdenเป็นการส่วนตัวก็เลยต้องใช้บริการgoogle และก็ไม่ผิดหวัง พี่google ให้คำตอบมาจนอ่านไม่หวาดไม่ไหวขอสรุปสั้นๆประมาณนี้ครับ

ชื่อ : Edward Joseph Snowden
เกิดเมื่อ :  21 June 1983
อาชีพ : อดีตลูกจ้างของ Central Intelligence Agency (หน่ายงาน CIA ) และอดีต Outsource ให้กับ  National Security Agency (NSA)
ผลงาน : เปิดโปงGlobal surveillance disclosures (2013–present) ซึ่งประกอบด้วยโครงการย่อยๆ ตัวอย่างเช่น

•     PRISM (surveillance program) : โครงการ Survillance ระดับGlobal แบบไร้พรมแดน
•     XKeyscore : โครงการดักจับข้อมูลทาง Internet มาวิเคราะห์หาความเชื่อมโยงในการสืบสวน   ต่างๆของงานด้านสายลับ
•     Tempora : โครงการดักจับข้อมูลใน fibre-optic cables
•     Project 6 : โครงการ Survillanceภายใต้ความร่วมมือกับเยอรมันเพื่อป้องกันการก่อการร้าย

   แต่ละโครงการล้วนแต่หมิ่นเหม่ต่อการละเมิดสิทธิผู้อื่น เพราะเล่นดักจับข้อมูลเอาไปวิเคราะห์โดยที่เจ้าของไม่ได้อนุญาต ทั้งข้อมูลธุรกิจ ข้อมูลส่วนตัวจิปาถะ โดนดักฟังทั้งสิ้น

   นี่แค่บางส่วนเองครับที่ผมนำมาเขียน และก็ไม่รู้ว่าที่เฮีย Snowden ยังไม่ได้แฉออกมามีอะไรให้เซอร์ไพรส์อีกบ้าง !!

ก็ต้องช่วยลุ้นเฮียเค้าล่ะครับเผลอๆ ถ้าแกได้รางวัลขึ้นมาจริงๆ อยากรู้ว่าโอบามาจะว่ายังไง ??


Source : http://news.cnet.com/8301-13578_3-57618008-38/snowden-nominated-for-nobel-peace-prize/ 


ผู้เขียน : Pryn Sereepong, CISA, CEH, ISMS(IRCA)
pryn@ftpi.or.th 

Passwordของท่านเดาง่ายแค่ไหน ???

จากโพสก่อนนี้เรื่อง รหัสผ่านยอดแย่ประจำปี 2013 (The 2013 list of worst passwords)   ผมเดาว่าหลายท่านคงเคยใช้Passwordเหล่านั้นเหมือนกัน ??   ถ้ายังใช้อยู่ควรจะรีบเปลี่ยนอย่างไวเลยครับ  เปลี่ยนให้มี 8 ตัวอักษรประกอบด้วยอักษรตัวเล็ก ตัวใหญ่ สัญลักษณ์ปนๆกันไป รหัสผ่านแบบนี้เดายากปลอดภัยสูงครับ  ซึ่งในการทำ ISO27001 Information Security Management ก็เน้นเรื่องนี้เช่นเดียวกัน

  วัดความแข็งแรงของรหัสผ่าน(Password)

เมื่อตั้งPassword ใหม่แล้วลองตรวจสอบดูว่าแข็งแกร่งแค่ไหน บทความนี้ผมจะแนะนำ Tool ตรวจสอบความแข็งแกร่งของ Password ครับ

Password Meter เป็นเวบไซท์ที่มี Application ตรวจสอบความแข็งแกร่งของ Password ให้บริการฟรีๆ
เจ้าโปรแกรมนี้เจ๋งใช้ได้เลยทีเดียว มี Feature ตรวจเช็คได้หลายอย่าง เช่น

• จำนวนตัวอักษร ของPassword
• อักษรตัวเล็กตัวใหญ่ (Uppercase,Lowercase letters)
• มีตัวเลข, สัญญลักษณ์ปนอยู่ด้วยหรือไม่
• ฯลฯ

นอกจากนั้นยังคำนวน score  ให้อีกด้วย  แจ๋วจริง !!

มาดูวิธีการใช้งานกันเลยครับ

การใช้งาน Password Meter

1.เข้าเวบ http://www.passwordmeter.com

2.Save หน้าเวบนี้ไว้ในเครื่องของเราเพื่อความปลอดภัย  เพราะถ้าใช้งานบนเวบ ไม่แน่ใจว่าเวบเก็บข้อมูล password เราไว้หรือเปล่า ลองคิดดูเล่นๆนะครับ สมมติว่าเวบแอบเก็บข้อมูลไว้ ก็จะได้คลัง passwordขนาดใหญ่มาฟรีๆเลยทีเดียว และแน่นอนมี password ที่ใช้งานจริงๆปนอยู่ด้วย !!!

3.เปิดไฟล์ Password Strength Checker.htm ในเครื่องเรา

4. ป้อน Password ที่ต้องการตรวจสอบ

ตัวอย่างการใช้งาน

ผู้เขียน : Pryn Sereepong, CISA, CEH, ISMS(IRCA)
pryn@ftpi.or.th

Passwordของท่านเดาง่ายแค่ไหน ???

Posted by pryn No comments

จากโพสก่อนนี้เรื่อง รหัสผ่านยอดแย่ประจำปี 2013 (The 2013 list of worst passwords)   ผมเดาว่าหลายท่านคงเคยใช้Passwordเหล่านั้นเหมือนกัน ??   ถ้ายังใช้อยู่ควรจะรีบเปลี่ยนอย่างไวเลยครับ  เปลี่ยนให้มี 8 ตัวอักษรประกอบด้วยอักษรตัวเล็ก ตัวใหญ่ สัญลักษณ์ปนๆกันไป รหัสผ่านแบบนี้เดายากปลอดภัยสูงครับ  ซึ่งในการทำ ISO27001 Information Security Management ก็เน้นเรื่องนี้เช่นเดียวกัน

  วัดความแข็งแรงของรหัสผ่าน(Password)

เมื่อตั้งPassword ใหม่แล้วลองตรวจสอบดูว่าแข็งแกร่งแค่ไหน บทความนี้ผมจะแนะนำ Tool ตรวจสอบความแข็งแกร่งของ Password ครับ

Password Meter เป็นเวบไซท์ที่มี Application ตรวจสอบความแข็งแกร่งของ Password ให้บริการฟรีๆ
เจ้าโปรแกรมนี้เจ๋งใช้ได้เลยทีเดียว มี Feature ตรวจเช็คได้หลายอย่าง เช่น

• จำนวนตัวอักษร ของPassword
• อักษรตัวเล็กตัวใหญ่ (Uppercase,Lowercase letters)
• มีตัวเลข, สัญญลักษณ์ปนอยู่ด้วยหรือไม่
• ฯลฯ

นอกจากนั้นยังคำนวน score  ให้อีกด้วย  แจ๋วจริง !!

มาดูวิธีการใช้งานกันเลยครับ

การใช้งาน Password Meter

1.เข้าเวบ http://www.passwordmeter.com

2.Save หน้าเวบนี้ไว้ในเครื่องของเราเพื่อความปลอดภัย  เพราะถ้าใช้งานบนเวบ ไม่แน่ใจว่าเวบเก็บข้อมูล password เราไว้หรือเปล่า ลองคิดดูเล่นๆนะครับ สมมติว่าเวบแอบเก็บข้อมูลไว้ ก็จะได้คลัง passwordขนาดใหญ่มาฟรีๆเลยทีเดียว และแน่นอนมี password ที่ใช้งานจริงๆปนอยู่ด้วย !!!

3.เปิดไฟล์ Password Strength Checker.htm ในเครื่องเรา

4. ป้อน Password ที่ต้องการตรวจสอบ

ตัวอย่างการใช้งาน

ผู้เขียน : Pryn Sereepong, CISA, CEH, ISMS(IRCA)
pryn@ftpi.or.th

รหัสผ่านยอดแย่ประจำปี 2013 (The 2013 list of worst passwords)

การจัดการรหัสผ่าน(Password)เป็นเรื่องที่ ISO27001:2013 ให้ความสำคัญ เพราะรหัสผ่าน(Password)เป็นข้อมูลที่ต้องรักษาไว้เป็นความลับ(Confidential) การตั้งรหัสผ่านอย่างเหมาะสมไม่ให้รั่วไหล หรือเดาได้ง่ายเป็นมาตรการหนึ่งที่ต้องปฏิบัติในการทำระบบISO27001 Information Security Management System (ISMS)

 รหัสผ่านยอดแย่ประจำปี 2013

SplashData ได้รวบรวมข้อมูลและจัดอันดับpassword ยอดแย่ติดต่อกันมาหลายปี   โดยเก็บข้อมูลจากpasswordที่โดนเหล่าHacker ขโมยไปแล้วเอามาแฉทางเวบไซท์

ในข่าวไม่ได้แจ้งว่า SplashData จัดอันดับยังไง มีเกณฑ์อะไร ถึงสรุปว่า 123456 เป็นPassword ยอดแย่อันดับ1 !!

ผมคิดว่า SplashData คงรวบรวมทั้งหมดมาวิเคราะห์และจัดกลุ่ม  จึงได้พบว่าในกลุ่มเดาง่ายนั้นคงจะมีคำว่า "123456"  และ "password" โผล่มาเยอะเลยทีเดียว

สำหรับสุดยอด Password ยอดแย่ประจำปี 2013 ได้แก่

ผู้เขียน : Pryn Sereepong, CISA, CEH, ISMS(IRCA)
pryn@ftpi.or.th

รหัสผ่านยอดแย่ประจำปี 2013 (The 2013 list of worst passwords)

Posted by pryn No comments

การจัดการรหัสผ่าน(Password)เป็นเรื่องที่ ISO27001:2013 ให้ความสำคัญ เพราะรหัสผ่าน(Password)เป็นข้อมูลที่ต้องรักษาไว้เป็นความลับ(Confidential) การตั้งรหัสผ่านอย่างเหมาะสมไม่ให้รั่วไหล หรือเดาได้ง่ายเป็นมาตรการหนึ่งที่ต้องปฏิบัติในการทำระบบISO27001 Information Security Management System (ISMS)

 รหัสผ่านยอดแย่ประจำปี 2013

SplashData ได้รวบรวมข้อมูลและจัดอันดับpassword ยอดแย่ติดต่อกันมาหลายปี   โดยเก็บข้อมูลจากpasswordที่โดนเหล่าHacker ขโมยไปแล้วเอามาแฉทางเวบไซท์

ในข่าวไม่ได้แจ้งว่า SplashData จัดอันดับยังไง มีเกณฑ์อะไร ถึงสรุปว่า 123456 เป็นPassword ยอดแย่อันดับ1 !!

ผมคิดว่า SplashData คงรวบรวมทั้งหมดมาวิเคราะห์และจัดกลุ่ม  จึงได้พบว่าในกลุ่มเดาง่ายนั้นคงจะมีคำว่า "123456"  และ "password" โผล่มาเยอะเลยทีเดียว

สำหรับสุดยอด Password ยอดแย่ประจำปี 2013 ได้แก่

ผู้เขียน : Pryn Sereepong, CISA, CEH, ISMS(IRCA)
pryn@ftpi.or.th

รีวิว ISO 27001 :2013 - ตอนที่2 ความสำคัญของการประเมินความเสี่ยงสารสนเทศ

ทำความเข้าใจมาตรฐานISO27001:2013 และความสำคัญของการประเมินความเสี่ยงของสารสนเทศ (Information Security Risk Assessment)

หลังจากเล่าถึงภาพรวมของ ISO 27001 :2013 ไปในตอนที่แล้ว (รีวิว ISO27001:2013 ระบบการจัดการความมั่นคงปลอดภัยของสารสนเทศ - ตอนที่1 ) บทความนี้จะเน้นไปที่ความเข้าใจเรื่องของความเสี่ยง(Risk)ซึ่งมีสาระสำคัญที่น่าสนใจและเป็นประโยชน์ในการนำประยุกต์ใช้งาน

การนำมาตรฐานISO27001มาใช้งาน 

      มี4 องค์ประกอบใหญ่คือ

• จัดทำระบบ(Establish)การจัดการความมั่นคงปลอดภัยของสารสนเทศ(Information Security Management System -ISMS) คือ การเตรียมการ วางแผนเพื่อปกป้องสารสนเทศ
• นำไปปฏิบัติ(Implement) คือ  นำแผนจากขั้นตอนการจัดทำระบบ(Establish)ไปปฏิบัติจริงหน้างาน ทำตามเอกสารคู่มือและลงบันทึกในแบบฟอร์ม 
• รักษาไว้(Maintain) คือปฏิบัติควบคู่ไปกับการทำงานปกติ (ไม่ใช่ทำเฉพาะก่อนจะโดนตรวจAudit)
• ปรับปรุงอย่างต่อเนื่อง(Continual Improvement) คือ ทบทวนผลการทำระบบและหาจุดปรับปรุงอย่างต่อเนื่อง ไม่ใช่ทำครั้งเดียวจบ

  การทำระบบ ISO27001ให้มีประสิทธิภาพ ท่านต้องทำตาม 4 ข้อข้างต้นให้ครบถ้วน ตั้งแต่ จัดทำระบบ(Establish),  นำไปปฏิบัติ(Implement) , รักษาไว้(Maintain) และ Continual Improvement  และต้องมีหลักฐาน(ทั้งเอกสารและผลการปฏิบัติ) ที่น่าเชื่อถือ สะท้อนความเป็นจริงและตรวจสอบย้อนหลังได้

โมเดล CIA ในISO27001

iso27001 เน้นการปกป้องข้อมูลสารสนเทศ (Information) ให้มีคุณสมบัติ 3 ประการคือ

• Confidential: การปกป้องสารสนเทศให้เข้าถึงได้เฉพาะผู้ที่มีสิทธิ  ถ้าหากข้อมูลรั่วไหลแสดงว่าขาดคุณสมบัติในข้อนี้
• Integrity: ปกป้องความถูกต้องสมบูรณ์ของสารสนเทศไม่ให้ถูกแก้ไขเปลี่ยนแปลงผิดไปจากความเป็นจริง เช่น การแฮกระบบเพื่อแก้ไขข้อมูล เป็นต้น
• Availability : สร้างความเชื่อมั่นว่าระบบสารสนเทศพร้อมใช้งาน

ถึงตรงนี้หลายท่านคงสงสัยว่าแล้วจะต้องป้องกันConfidentiality , Integrityเข้มงวดแค่ไหน  ข้อมูลก็มีมากมายหลายประเภท ต้องป้องกันอย่างเข้มข้นเท่ากันหมดทุกข้อมูลยังเปล่า ???
การปกป้องข้อมูล(Information) จะเข้มงวดมากหรือน้อย ขึ้นอยู่กับ"ความเสี่ยง" หลักการคือ  ข้อมูลใดที่เสี่ยงสูงย่อมต้องมีมาตรการปกป้องเข้มงวดกว่าข้อมูลที่มีความเสี่ยงต่ำ ตัวอย่างเช่น  ข้อมูล username & password สำหรับเข้าสู่ระบบสารสนเทศขององค์กร ต้องมีมาตรการปกป้องที่เข้มงวดไม่น้อยกว่าข้อมูลทั่วไปที่ประกาศในเวบไซท์องค์กร เป็นต้น

ประเมินความเสี่ยงนั้นสำคัญไฉน

"การประเมินความเสี่ยงของสารสนเทศ(Information Security Risk Assessment)" เป็นหัวใจสำคัญของการทำระบบการจัดการความมั่นคงปลอดภัยของสารสนเทศISO27001  นั่นคือ หากท่านประเมินความเสี่ยงไม่ถูกต้อง หรือไม่ครอบคลุม ก็จะทำให้การจัดการความเสี่ยงที่ตามมานั้นแก้ปัญหาไม่ตรงจุด และไม่ครอบคลุมตามไปด้วย  ว่าไปแล้วการประเมินความเสี่ยงก็เหมือนการตรวจร่างกายนั่นแหละ ถ้าตรวจไม่ครบหรือตรวจไม่ละเอียดก็ไม่พบอาการป่วยและไม่ได้รักษา ปล่อยทิ้งไว้จนสุกงอมอาการป่วยก็แสดงออกมาในที่สุด!!

แนวทางจัดการความเสี่ยง

เมื่อประเมินความเสี่ยงของสารสนเทศ จนทราบแล้วว่ามีเรื่องอะไรบ้างที่มีความเสี่ยง ไม่ว่าจะเสี่ยงมาก เสี่ยงปานกลางหรือเสี่ยงน้อย  ทุกความเสี่ยงต้องมีคำตอบรองรับว่าความเสี่ยงแต่ละระดับจะจัดการอย่างไร  โดยทั่วไปความเสี่ยงสูงจะมีการทำแผนงานจัดการความเสี่ยง(Risk Treatment) โดยมีมาตรการต่างๆ มาดูแลจัดการ  จากนั้นเขียนเป็นคู่มือการปฏิบัติก็เป็นวิธีการที่นิยมใช้กันครับ

ตรงนี้สำคัญนะครับ เพราะว่าผลประเมินความเสี่ยงจะเป็นตัวกำหนดว่าจะต้องทำแผนงานจัดการความเสี่ยง(Risk Treatment) เพื่อจัดการความเสี่ยงอะไรบ้าง  ประเด็นเรื่องกฏหมายเป็นหัวข้อหนึ่งที่สำคัญในการประเมินความเสี่ยง หากพบว่าประเมินความเสี่ยงแล้วพบว่าเป็นรื่องผิดกฏหมาย แบบนี้จัดเป็นความเสี่ยงสูงต้องรีบแก้ไขโดยด่วน


ผู้เขียน : Pryn Sereepong, CISA, CEH, ISMS(IRCA)
pryn@ftpi.or.th

รีวิว ISO 27001 :2013 - ตอนที่2 ความสำคัญของการประเมินความเสี่ยงสารสนเทศ

Posted by pryn 1 comment

ทำความเข้าใจมาตรฐานISO27001:2013 และความสำคัญของการประเมินความเสี่ยงของสารสนเทศ (Information Security Risk Assessment)

หลังจากเล่าถึงภาพรวมของ ISO 27001 :2013 ไปในตอนที่แล้ว (รีวิว ISO27001:2013 ระบบการจัดการความมั่นคงปลอดภัยของสารสนเทศ - ตอนที่1 ) บทความนี้จะเน้นไปที่ความเข้าใจเรื่องของความเสี่ยง(Risk)ซึ่งมีสาระสำคัญที่น่าสนใจและเป็นประโยชน์ในการนำประยุกต์ใช้งาน

การนำมาตรฐานISO27001มาใช้งาน 

      มี4 องค์ประกอบใหญ่คือ

• จัดทำระบบ(Establish)การจัดการความมั่นคงปลอดภัยของสารสนเทศ(Information Security Management System -ISMS) คือ การเตรียมการ วางแผนเพื่อปกป้องสารสนเทศ
• นำไปปฏิบัติ(Implement) คือ  นำแผนจากขั้นตอนการจัดทำระบบ(Establish)ไปปฏิบัติจริงหน้างาน ทำตามเอกสารคู่มือและลงบันทึกในแบบฟอร์ม 
• รักษาไว้(Maintain) คือปฏิบัติควบคู่ไปกับการทำงานปกติ (ไม่ใช่ทำเฉพาะก่อนจะโดนตรวจAudit)
• ปรับปรุงอย่างต่อเนื่อง(Continual Improvement) คือ ทบทวนผลการทำระบบและหาจุดปรับปรุงอย่างต่อเนื่อง ไม่ใช่ทำครั้งเดียวจบ

  การทำระบบ ISO27001ให้มีประสิทธิภาพ ท่านต้องทำตาม 4 ข้อข้างต้นให้ครบถ้วน ตั้งแต่ จัดทำระบบ(Establish),  นำไปปฏิบัติ(Implement) , รักษาไว้(Maintain) และ Continual Improvement  และต้องมีหลักฐาน(ทั้งเอกสารและผลการปฏิบัติ) ที่น่าเชื่อถือ สะท้อนความเป็นจริงและตรวจสอบย้อนหลังได้

โมเดล CIA ในISO27001

iso27001 เน้นการปกป้องข้อมูลสารสนเทศ (Information) ให้มีคุณสมบัติ 3 ประการคือ

• Confidential: การปกป้องสารสนเทศให้เข้าถึงได้เฉพาะผู้ที่มีสิทธิ  ถ้าหากข้อมูลรั่วไหลแสดงว่าขาดคุณสมบัติในข้อนี้
• Integrity: ปกป้องความถูกต้องสมบูรณ์ของสารสนเทศไม่ให้ถูกแก้ไขเปลี่ยนแปลงผิดไปจากความเป็นจริง เช่น การแฮกระบบเพื่อแก้ไขข้อมูล เป็นต้น
• Availability : สร้างความเชื่อมั่นว่าระบบสารสนเทศพร้อมใช้งาน

ถึงตรงนี้หลายท่านคงสงสัยว่าแล้วจะต้องป้องกันConfidentiality , Integrityเข้มงวดแค่ไหน  ข้อมูลก็มีมากมายหลายประเภท ต้องป้องกันอย่างเข้มข้นเท่ากันหมดทุกข้อมูลยังเปล่า ???
การปกป้องข้อมูล(Information) จะเข้มงวดมากหรือน้อย ขึ้นอยู่กับ"ความเสี่ยง" หลักการคือ  ข้อมูลใดที่เสี่ยงสูงย่อมต้องมีมาตรการปกป้องเข้มงวดกว่าข้อมูลที่มีความเสี่ยงต่ำ ตัวอย่างเช่น  ข้อมูล username & password สำหรับเข้าสู่ระบบสารสนเทศขององค์กร ต้องมีมาตรการปกป้องที่เข้มงวดไม่น้อยกว่าข้อมูลทั่วไปที่ประกาศในเวบไซท์องค์กร เป็นต้น

ประเมินความเสี่ยงนั้นสำคัญไฉน

"การประเมินความเสี่ยงของสารสนเทศ(Information Security Risk Assessment)" เป็นหัวใจสำคัญของการทำระบบการจัดการความมั่นคงปลอดภัยของสารสนเทศISO27001  นั่นคือ หากท่านประเมินความเสี่ยงไม่ถูกต้อง หรือไม่ครอบคลุม ก็จะทำให้การจัดการความเสี่ยงที่ตามมานั้นแก้ปัญหาไม่ตรงจุด และไม่ครอบคลุมตามไปด้วย  ว่าไปแล้วการประเมินความเสี่ยงก็เหมือนการตรวจร่างกายนั่นแหละ ถ้าตรวจไม่ครบหรือตรวจไม่ละเอียดก็ไม่พบอาการป่วยและไม่ได้รักษา ปล่อยทิ้งไว้จนสุกงอมอาการป่วยก็แสดงออกมาในที่สุด!!

แนวทางจัดการความเสี่ยง

เมื่อประเมินความเสี่ยงของสารสนเทศ จนทราบแล้วว่ามีเรื่องอะไรบ้างที่มีความเสี่ยง ไม่ว่าจะเสี่ยงมาก เสี่ยงปานกลางหรือเสี่ยงน้อย  ทุกความเสี่ยงต้องมีคำตอบรองรับว่าความเสี่ยงแต่ละระดับจะจัดการอย่างไร  โดยทั่วไปความเสี่ยงสูงจะมีการทำแผนงานจัดการความเสี่ยง(Risk Treatment) โดยมีมาตรการต่างๆ มาดูแลจัดการ  จากนั้นเขียนเป็นคู่มือการปฏิบัติก็เป็นวิธีการที่นิยมใช้กันครับ

ตรงนี้สำคัญนะครับ เพราะว่าผลประเมินความเสี่ยงจะเป็นตัวกำหนดว่าจะต้องทำแผนงานจัดการความเสี่ยง(Risk Treatment) เพื่อจัดการความเสี่ยงอะไรบ้าง  ประเด็นเรื่องกฏหมายเป็นหัวข้อหนึ่งที่สำคัญในการประเมินความเสี่ยง หากพบว่าประเมินความเสี่ยงแล้วพบว่าเป็นรื่องผิดกฏหมาย แบบนี้จัดเป็นความเสี่ยงสูงต้องรีบแก้ไขโดยด่วน


ผู้เขียน : Pryn Sereepong, CISA, CEH, ISMS(IRCA)
pryn@ftpi.or.th

คลิก !! แนวทางการทำ ISO27001:2013 Project Master Plan

เรียนรู้มาตรฐาน ISO 27001 :2013 การจัดการความมั่นคงปลอดภัยของสารสนเทศแบบเข้าใจง่ายๆ 

 

 ผู้เขียน : Pryn Sereepong, CISA, CEH, ISMS(IRCA)

pryn@ftpi.or.th

 เกริ่นนำ

         Information Security Managment System (ISMS) Standard หรือที่รู้จักกันในนาม ISO27001 เป็นมาตรฐานที่เกี่ยวกับการบริหารจัดการข้อมูลสารสนเทศให้มั่นคงปลอดภัยครับ   พอพูดถึงข้อมูลสารสนเทศท่านอาจคิดว่าคงเป็นเรื่องไอทีล้วนๆ  ถูกต้องแล้วครับ แต่ถูกเพียงครึ่งเดียว!!

จริงๆแล้วมีเรื่องอื่นที่ต้องบริหารจัดการเช่นเดียวกัน ทั้งเรื่องคน เรื่องกฏระเบียบขององค์กร เรื่องจัดซื้อจัดจ้าง เรื่องการฝึกอบรมพนักงาน เป็นต้น เหล่าีนี้ล้วนเกี่ยวข้องกับการบริหารจัดการข้อมูลสารสนเทศให้มั่นคงปลอดภัย   ต่อให้มีระบบไอทีล้ำเลิศแค่ไหนแต่ถ้าไม่มีกฎระเบียบควบคุมที่ชัดเจน ไม่มีการอบรมให้ความรู้ผู้ใช้ และไม่มีการควบคุม Outsourceที่ดีพอ บอกได้เลยว่าองค์กรนี้เหนื่อยครับ !!

ยิ่งองค์กรมีระบบไอทีดีแต่ขาดมาตรการควบคุม พนักงานก็ใช้ทรัพยากรไปกับเรื่องที่ไม่สมควรและหลายคนทำผิดกฏหมาย เช่น พนักงานใช้คอมพิวเตอร์ขององค์กรโหลดหนังและแชร์ไฟล์ที่ละเมิดลิขสิทธิ์ แบบนี้เสี่ยงต่อการโดนจับและเสียหายต่อองค์กรแน่นอน


การจัดทำระบบบริหารจัดการ(Management System)จะต้องพิจารณาหลายด้านที่มีความเกี่ยวข้อง

• การบริหารคน(ภายในองค์กรและภายนอก เช่น Outsource) 
• กระบวนการและเทคโนโลยี (เข้าใจกระบวนการทำงาน และเทคโนโลยีที่เหมาะสมในการนำมาใช้งาน)   
• บริหารงบประมาณ (การลงทุนที่คุ้มค่า)

ซึ่งท่านต้องเข้าใจทั้ง 3 ด้านข้างต้น เพื่อที่จะหาจุดสมดุลย์และเกิดประโยชน์สูงสุด อย่างไรก็ตามเมื่อลงมือทำจริงมันมีอะไรเต็มไปหมดที่ต้องทำความเข้าใจ  จะได้วางแนวทางปฏิบัติให้เหมาะสม ไม่เข้มงวดเกินไปจนทำอะไรไม่ได้(ปลอดภัยสูงสุด) หรือหลวมเกินไปจนแทบไม่ได้ควบคุมอะไรเลย
 

ISO27001 มาตรฐานสากลที่ทั่วโลกยอมรับ

         องค์กร ISO - International Organization for Standardization เป็นหน่วยงานที่ให้กำเนิดมาตรฐาน ISO27001 โดยเวอร์ชั่นล่าสุดคือ  ISO27001:2013  ประกาศเมื่อ 1 ต.ค. 2013   ส่วนเวอร์แรกประกาศใช้ครั้งแรกเมื่อปี 2550 (ISO27001:2005)  หลังจากประกาศใช้ก็ได้รับความสนใจจากองค์กรทั้งภาครัฐและเอกชนทั่วโลก นำมาใช้งานและขอการรับรอง (Certification) ประเทศไทยเองก็ไม่แพ้ชาติใดในโลก มีหน่วยงานรัฐและเอกชนเริ่มทำISO27001 และขอการรับรองได้สำเร็จ เช่น บริษัท ไทยออยล์ จำกัด (มหาชน)  บริษัท ทรู อินเทอร์เน็ต ดาต้าเซ็นเตอร์ จำกัด(True IDC) และรัฐวิสาหกิจอีกหลายแห่ง  ท่านดูชื่อแล้วคงนึกว่า มีแต่เทพๆทั้งนั้น องค์กรเล็กๆอย่างเราจะทำได้หรือ ??   คำตอบคือ ทำได้ครับ  มาตรฐานนี้ออกแบบมาให้ใช้ได้ประเภทธุรกิจ หน่วยราชการ สถานศึกษา  และใช้ได้กับองค์กรทั้งขนาดเล็กและขนาดใหญ่อย่างบริษัทข้ามชาติ ทำได้เหมือนกันครับ  

ทำไปทำไม

         ลองนึกภาพดูสมมติท่านไปใช้บริการหน่วยงานราชการแห่งหนึ่ง ปรากฏว่าระบบไอทีล่มให้บริการไม่ได้ เจอแบบนี้ประชาชนผู้ใช้บริการเดือดร้อนแน่นอน ผู้บริหารหน่วยราชการนั้นคงเหงื่อตกและเร่งแก้ปัญหาเฉพาะหน้าเป็นการด่วน     แน่นอนว่าระบบสารสนเทศทุกวันนี้เปรียบเสมือนเส้นเลือดของธุรกิจ คงไม่ดีแน่ถ้าไอทีล่มบ่อย หรือข้อมูลหาย  จะดีกว่ามั้ยถ้ามีระบบอะไรซักอย่างที่ทำให้แน่ใจได้ว่า ระบบข้อมูลสารสนเทศสามารถใ้ห้บริการตามปกติ  ข้อมูลได้รับการปกป้อง และหากเกิดขัดข้องก็สามารถรับมือและกู้ระบบคืนได้  ระบบที่ว่านี้ก็คือ ISO27001 พระเอกของเราล่ะครับ

ดังนั้นการที่จะมั่นใจได้ว่าระบบฯของเรามีความมั่นคงปลอดภัย ก็คือเราจะต้องรู้ว่ามีภัยคุกคามอะไรบ้างที่อาจมาโจมตี ทำให้สารสนเทศของเราเกิดความเสียหาย   จากนั้นจึงประเมินความเสี่ยงและกำหนดมาตรการจัดการกับภัยคุกคาม ให้แน่ใจว่าสามารถรับมือภัยคุกคามเหล่านั้นได้อย่างเหมาะสม

ISO27001 ทำยากมั้ย กลัวจะทำไม่สำเร็จ

นี่เป็นคำถามยอดฮิตเลยครับ   คำถามที่ว่าทำยากมั้ย ตอบได้เลยว่าไม่ยาก ถ้ามีความรู้และความเข้าใจ 2 เรื่องใหญ่ๆ คือ

1. เข้าใจองค์กรตัวเอง 
2. เข้าใจมาตรฐานว่าต้องทำอะไรบ้าง

1.เข้าใจองค์กรตนเอง :

         ต้องสำรวจข้อมูล ซอฟแวร์ ฮาร์ดแวร์ บุคลากร ในขอบเขตที่จัดทำระบบ  ข้อมูลนี้ยิ่งมีรายละเอียดยิ่งดี  หากหน่วยงานท่านเป็นราชการ บัญชีครุภัณฑ์เป็นจุดเริ่มต้นที่ดีในการรวบรวมข้อมูล Hardware ,Software ครับ

         เข้าใจภาระกิจขององค์กร  รู้ว่าระบบงานใดสำคัญที่สุดและระบบงานต่างๆ มีข้อจำกัดและจุดอ่อนอะไรบ้าง  รู้ไปทำไมหรือครับ ?  ก็รู้เพื่อที่จะไปหามาตรการมาจัดการกำจัดจุดอ่อนนะสิครับ  เช่น ระบบฐานข้อมูลทำงานอยู่บนเครื่องServerที่เก่าแก่มาก เก่าขนาดที่ไม่มี Spare part  หากServerนี้พังไปก็โบกมือลาได้เลยเพราะซ่อมไม่ได้ !!   ในกรณีนี้จุดอ่อนก็คือ Server ที่เก่าบุโรทั่ง มีความเสี่ยงที่จะลาโลกไปเมื่อไหร่ก็ได้ ดังนั้นท่านก็ต้องหามาตรการมาจัดการความเสี่ยงนี้ โดยจัดหาเครื่องใหม่  ซึ่งปัจจุบันนิยมใช้เทคโนโลยีVirtualization เข้ามาบริหารจัดการ ทั้งนี้ก็แล้วแต่แนวทางและขีดความสามารถของแต่ละองค์กรครับ

2.เข้าใจมาตรฐาน :

         จะนำมาตรฐาน ISO27001 มาใช้งาน ก็ต้องทำความเข้าใจในตัวมาตรฐานเสียก่อน ว่าต้องทำอะไรบ้าง ทั้งเรื่องเอกสาร(Documents) และการนำไปใช้งานจริง (Implementation)  ข้อกำหนดของ ISO27001:2013 ฉบับของ ISO-International Organization for Standardization  นั้นเป็นภาษาอังกฤษ  หากท่านต้องการศึกษามาตรฐานฉบับเต็ม มี 2 วิธีครับ

• ติดต่อซื้อมาตรฐาน ISO27001 จากเวบไซท์ของ ISO  ตาม link นี้ครับ    http://bit.ly/19V19RS

• ไปขออ่านได้ที่ห้องสมุดสำนักงานมาตรฐานผลิตภัณฑ์อุตสาหกรรม สมอ. ตั้งอยู่ที่กระทรวงอุตสาหกรรม ตรงข้ามรพ.รามาฯนั่นแหละครับ   ค้นหาข้อมูลมาตรฐานได้จากห้องสมุด สมอ. ตามนี้ครับ   http://bit.ly/1iWnLnD

งบประมาณเท่าไหร่พอ

         งบประมาณจำเป็นต้องมีครับ แต่ใช้งบประมาณมากหรือน้อยขึ้นอยู่กับสิ่งที่องค์กรท่านยังขาด เช่น ประเมินความเสี่ยงมาแล้วพบว่าท่านยังไม่มีระบบจัดเก็บข้อมูลจราจรทางคอมพิวเตอร์(log) แบบนี้งานเข้าครับ เพราะผิดกฏหมาย!!   ท่านจำเป็นต้องจัดหามาโดยด่วน  หรือพบว่าเครื่อง Server ของท่านเก่าบุโรทั่ง มีโอกาสลาโลกไปแบบไม่ฟื้นเมื่อไหร่ก็ได้  แบบนี้ท่านจำเป็นต้องมีงบประมาณเพื่อจัดหาใหม่มาทดแทนครับ   และที่พบค่อนข้างมากในหลายองค์คือไม่มีมาตรการหรือเครื่องมือเฝ้าระวังตรวจจับทางด้านความมั่นคงปลอดภัยของสารสนเทศ อันนี้ก็จำเป็นต้องลงทุนจัดหามาใช้งาน  และสุดท้ายหากจะขอใบรับรองISO27001ก็ต้องมีค่าตรวจประเมินรับรองระบบ(Certification) ซึ่งตรวจประเมินโดยหน่วยงานที่เรียกว่า Certified body ครับ

 เริ่มต้นยังไงดี

Step1 : ก่อนอื่นท่านต้องกำหนดขอบเขต(Scope)ที่จะทำISO27001  หรือพูดอีกอย่างหนึ่งก็คือ ท่านต้องการให้ระบบงานหรือกิจกรรมอะไรบ้างที่ถูกควบคุมดูแลภายใต้ISO27001 เพื่อให้มั่นใจว่าสารสนเทศของระบบงาน หรือกิจกรรมนั้นๆ มีความมั่นคงปลอดภัย

 ว่าไปแล้ว ขอบเขตนี่สำคัญมากครับ เพราะถ้าขอบเขตเล็กเกินไปไม่สะท้อนperformanceเพียงพอ ก็อาจจะมีปัญหาในตอนยื่นขอตรวจรับรองระบบ แต่ถ้าใหญ่เกินไปก็จะทำให้สำเร็จได้ยาก

Step2 : ศึกษามาตรฐาน ISO27001 ให้เข้าใจหลักการพื้นฐานและแนวทางการนำไปใช้งาน

•     ท่านสามารถไปขออ่าน(หรือสำเนาไว้ศึกษา แต่เวลาขอการรับรองแนะนำให้ซื้อฉบับที่มีลิขสิทธิ์ครับ)ได้ที่ห้องสมุดสำนักงานมาตรฐานผลิตภัณฑ์อุตสาหกรรม (สมอ) กระทรวงอุตสาหกรรม รายละเอียดข้อมูลตามนี้ครับ http://bit.ly/1iWnLnD

•     หรือสั่งซื้อฉบับมีลิขสิทธิ์จากเวบของ ISO ตามlink นี้ http://bit.ly/19V19RS

Step3 : ทำการประเมินองค์กรเบื้องต้นให้รู้ว่าองค์กรยังขาดอะไรบ้างเืมื่อเทียบกับสิ่งที่ต้องมีตามมาตรฐานISO27001  ขั้นตอนนี้ท่านจะต้องมีความรู้ในข้อกำหนดของ ISO27001 พอสมควรนะครับ ถึงจะประเมินได้ว่าข้อไหนมีแล้วข้อไหนยังขาด

         สำหรับการเริ่มต้นมี 3 step ข้างต้น  หลังจากการประเมินองค์กรเบื้องต้นใน Step3  ท่านก็จะรู้ว่ายังขาดอะไรบ้าง มีประเด็นอะไรที่ยังไม่สอดคล้องตามกฎหมายหรือไม่ ถ้ามีก็ให้สรุปประเด็นเสนอผู้บริหารเพื่อเร่งดำเนินการครับ


สำหรับบทความถัดไป  เป็นตอนที่2 ซึ่งจะลงรายละเอียดในตัวมาตรฐาน ISO27001:2013  โปรดติดตามได้จาก blog นี้ครับผม



 คลิก !! ตอนที่2 :  รีวิว ISO27001:2013 - ตอนที่2 ความสำคัญของการประเมินความเสี่ยงสารสนเทศ

คลิก !!   แนวทางการทำ ISO27001:2013 Project Master Plan

 

เนื้อหาที่เกี่ยวข้อง
1. องค์ประกอบของความมั่นคงปลอดภัยของสารสนเทศ
2. บันได 4 ขั้นสู่มาตรฐาน ISO 27001 Information Security Management
3. ภัยคุกคาม และช่องโหว่ (Threat and Vulnerability)

รีวิว ISO 27001 : 2013 - ตอนที่1 พื้นฐานความมั่นคงปลอดภัยของสารสนเทศ

Posted by pryn No comments

เรียนรู้มาตรฐาน ISO 27001 :2013 การจัดการความมั่นคงปลอดภัยของสารสนเทศแบบเข้าใจง่ายๆ 

 

 ผู้เขียน : Pryn Sereepong, CISA, CEH, ISMS(IRCA)

pryn@ftpi.or.th

 เกริ่นนำ

         Information Security Managment System (ISMS) Standard หรือที่รู้จักกันในนาม ISO27001 เป็นมาตรฐานที่เกี่ยวกับการบริหารจัดการข้อมูลสารสนเทศให้มั่นคงปลอดภัยครับ   พอพูดถึงข้อมูลสารสนเทศท่านอาจคิดว่าคงเป็นเรื่องไอทีล้วนๆ  ถูกต้องแล้วครับ แต่ถูกเพียงครึ่งเดียว!!

จริงๆแล้วมีเรื่องอื่นที่ต้องบริหารจัดการเช่นเดียวกัน ทั้งเรื่องคน เรื่องกฏระเบียบขององค์กร เรื่องจัดซื้อจัดจ้าง เรื่องการฝึกอบรมพนักงาน เป็นต้น เหล่าีนี้ล้วนเกี่ยวข้องกับการบริหารจัดการข้อมูลสารสนเทศให้มั่นคงปลอดภัย   ต่อให้มีระบบไอทีล้ำเลิศแค่ไหนแต่ถ้าไม่มีกฎระเบียบควบคุมที่ชัดเจน ไม่มีการอบรมให้ความรู้ผู้ใช้ และไม่มีการควบคุม Outsourceที่ดีพอ บอกได้เลยว่าองค์กรนี้เหนื่อยครับ !!

ยิ่งองค์กรมีระบบไอทีดีแต่ขาดมาตรการควบคุม พนักงานก็ใช้ทรัพยากรไปกับเรื่องที่ไม่สมควรและหลายคนทำผิดกฏหมาย เช่น พนักงานใช้คอมพิวเตอร์ขององค์กรโหลดหนังและแชร์ไฟล์ที่ละเมิดลิขสิทธิ์ แบบนี้เสี่ยงต่อการโดนจับและเสียหายต่อองค์กรแน่นอน


การจัดทำระบบบริหารจัดการ(Management System)จะต้องพิจารณาหลายด้านที่มีความเกี่ยวข้อง

• การบริหารคน(ภายในองค์กรและภายนอก เช่น Outsource) 
• กระบวนการและเทคโนโลยี (เข้าใจกระบวนการทำงาน และเทคโนโลยีที่เหมาะสมในการนำมาใช้งาน)   
• บริหารงบประมาณ (การลงทุนที่คุ้มค่า)

ซึ่งท่านต้องเข้าใจทั้ง 3 ด้านข้างต้น เพื่อที่จะหาจุดสมดุลย์และเกิดประโยชน์สูงสุด อย่างไรก็ตามเมื่อลงมือทำจริงมันมีอะไรเต็มไปหมดที่ต้องทำความเข้าใจ  จะได้วางแนวทางปฏิบัติให้เหมาะสม ไม่เข้มงวดเกินไปจนทำอะไรไม่ได้(ปลอดภัยสูงสุด) หรือหลวมเกินไปจนแทบไม่ได้ควบคุมอะไรเลย
 

ISO27001 มาตรฐานสากลที่ทั่วโลกยอมรับ

         องค์กร ISO - International Organization for Standardization เป็นหน่วยงานที่ให้กำเนิดมาตรฐาน ISO27001 โดยเวอร์ชั่นล่าสุดคือ  ISO27001:2013  ประกาศเมื่อ 1 ต.ค. 2013   ส่วนเวอร์แรกประกาศใช้ครั้งแรกเมื่อปี 2550 (ISO27001:2005)  หลังจากประกาศใช้ก็ได้รับความสนใจจากองค์กรทั้งภาครัฐและเอกชนทั่วโลก นำมาใช้งานและขอการรับรอง (Certification) ประเทศไทยเองก็ไม่แพ้ชาติใดในโลก มีหน่วยงานรัฐและเอกชนเริ่มทำISO27001 และขอการรับรองได้สำเร็จ เช่น บริษัท ไทยออยล์ จำกัด (มหาชน)  บริษัท ทรู อินเทอร์เน็ต ดาต้าเซ็นเตอร์ จำกัด(True IDC) และรัฐวิสาหกิจอีกหลายแห่ง  ท่านดูชื่อแล้วคงนึกว่า มีแต่เทพๆทั้งนั้น องค์กรเล็กๆอย่างเราจะทำได้หรือ ??   คำตอบคือ ทำได้ครับ  มาตรฐานนี้ออกแบบมาให้ใช้ได้ประเภทธุรกิจ หน่วยราชการ สถานศึกษา  และใช้ได้กับองค์กรทั้งขนาดเล็กและขนาดใหญ่อย่างบริษัทข้ามชาติ ทำได้เหมือนกันครับ  

ทำไปทำไม

         ลองนึกภาพดูสมมติท่านไปใช้บริการหน่วยงานราชการแห่งหนึ่ง ปรากฏว่าระบบไอทีล่มให้บริการไม่ได้ เจอแบบนี้ประชาชนผู้ใช้บริการเดือดร้อนแน่นอน ผู้บริหารหน่วยราชการนั้นคงเหงื่อตกและเร่งแก้ปัญหาเฉพาะหน้าเป็นการด่วน     แน่นอนว่าระบบสารสนเทศทุกวันนี้เปรียบเสมือนเส้นเลือดของธุรกิจ คงไม่ดีแน่ถ้าไอทีล่มบ่อย หรือข้อมูลหาย  จะดีกว่ามั้ยถ้ามีระบบอะไรซักอย่างที่ทำให้แน่ใจได้ว่า ระบบข้อมูลสารสนเทศสามารถใ้ห้บริการตามปกติ  ข้อมูลได้รับการปกป้อง และหากเกิดขัดข้องก็สามารถรับมือและกู้ระบบคืนได้  ระบบที่ว่านี้ก็คือ ISO27001 พระเอกของเราล่ะครับ

ดังนั้นการที่จะมั่นใจได้ว่าระบบฯของเรามีความมั่นคงปลอดภัย ก็คือเราจะต้องรู้ว่ามีภัยคุกคามอะไรบ้างที่อาจมาโจมตี ทำให้สารสนเทศของเราเกิดความเสียหาย   จากนั้นจึงประเมินความเสี่ยงและกำหนดมาตรการจัดการกับภัยคุกคาม ให้แน่ใจว่าสามารถรับมือภัยคุกคามเหล่านั้นได้อย่างเหมาะสม

ISO27001 ทำยากมั้ย กลัวจะทำไม่สำเร็จ

นี่เป็นคำถามยอดฮิตเลยครับ   คำถามที่ว่าทำยากมั้ย ตอบได้เลยว่าไม่ยาก ถ้ามีความรู้และความเข้าใจ 2 เรื่องใหญ่ๆ คือ

1. เข้าใจองค์กรตัวเอง 
2. เข้าใจมาตรฐานว่าต้องทำอะไรบ้าง

1.เข้าใจองค์กรตนเอง :

         ต้องสำรวจข้อมูล ซอฟแวร์ ฮาร์ดแวร์ บุคลากร ในขอบเขตที่จัดทำระบบ  ข้อมูลนี้ยิ่งมีรายละเอียดยิ่งดี  หากหน่วยงานท่านเป็นราชการ บัญชีครุภัณฑ์เป็นจุดเริ่มต้นที่ดีในการรวบรวมข้อมูล Hardware ,Software ครับ

         เข้าใจภาระกิจขององค์กร  รู้ว่าระบบงานใดสำคัญที่สุดและระบบงานต่างๆ มีข้อจำกัดและจุดอ่อนอะไรบ้าง  รู้ไปทำไมหรือครับ ?  ก็รู้เพื่อที่จะไปหามาตรการมาจัดการกำจัดจุดอ่อนนะสิครับ  เช่น ระบบฐานข้อมูลทำงานอยู่บนเครื่องServerที่เก่าแก่มาก เก่าขนาดที่ไม่มี Spare part  หากServerนี้พังไปก็โบกมือลาได้เลยเพราะซ่อมไม่ได้ !!   ในกรณีนี้จุดอ่อนก็คือ Server ที่เก่าบุโรทั่ง มีความเสี่ยงที่จะลาโลกไปเมื่อไหร่ก็ได้ ดังนั้นท่านก็ต้องหามาตรการมาจัดการความเสี่ยงนี้ โดยจัดหาเครื่องใหม่  ซึ่งปัจจุบันนิยมใช้เทคโนโลยีVirtualization เข้ามาบริหารจัดการ ทั้งนี้ก็แล้วแต่แนวทางและขีดความสามารถของแต่ละองค์กรครับ

2.เข้าใจมาตรฐาน :

         จะนำมาตรฐาน ISO27001 มาใช้งาน ก็ต้องทำความเข้าใจในตัวมาตรฐานเสียก่อน ว่าต้องทำอะไรบ้าง ทั้งเรื่องเอกสาร(Documents) และการนำไปใช้งานจริง (Implementation)  ข้อกำหนดของ ISO27001:2013 ฉบับของ ISO-International Organization for Standardization  นั้นเป็นภาษาอังกฤษ  หากท่านต้องการศึกษามาตรฐานฉบับเต็ม มี 2 วิธีครับ

• ติดต่อซื้อมาตรฐาน ISO27001 จากเวบไซท์ของ ISO  ตาม link นี้ครับ    http://bit.ly/19V19RS

• ไปขออ่านได้ที่ห้องสมุดสำนักงานมาตรฐานผลิตภัณฑ์อุตสาหกรรม สมอ. ตั้งอยู่ที่กระทรวงอุตสาหกรรม ตรงข้ามรพ.รามาฯนั่นแหละครับ   ค้นหาข้อมูลมาตรฐานได้จากห้องสมุด สมอ. ตามนี้ครับ   http://bit.ly/1iWnLnD

งบประมาณเท่าไหร่พอ

         งบประมาณจำเป็นต้องมีครับ แต่ใช้งบประมาณมากหรือน้อยขึ้นอยู่กับสิ่งที่องค์กรท่านยังขาด เช่น ประเมินความเสี่ยงมาแล้วพบว่าท่านยังไม่มีระบบจัดเก็บข้อมูลจราจรทางคอมพิวเตอร์(log) แบบนี้งานเข้าครับ เพราะผิดกฏหมาย!!   ท่านจำเป็นต้องจัดหามาโดยด่วน  หรือพบว่าเครื่อง Server ของท่านเก่าบุโรทั่ง มีโอกาสลาโลกไปแบบไม่ฟื้นเมื่อไหร่ก็ได้  แบบนี้ท่านจำเป็นต้องมีงบประมาณเพื่อจัดหาใหม่มาทดแทนครับ   และที่พบค่อนข้างมากในหลายองค์คือไม่มีมาตรการหรือเครื่องมือเฝ้าระวังตรวจจับทางด้านความมั่นคงปลอดภัยของสารสนเทศ อันนี้ก็จำเป็นต้องลงทุนจัดหามาใช้งาน  และสุดท้ายหากจะขอใบรับรองISO27001ก็ต้องมีค่าตรวจประเมินรับรองระบบ(Certification) ซึ่งตรวจประเมินโดยหน่วยงานที่เรียกว่า Certified body ครับ

 เริ่มต้นยังไงดี

Step1 : ก่อนอื่นท่านต้องกำหนดขอบเขต(Scope)ที่จะทำISO27001  หรือพูดอีกอย่างหนึ่งก็คือ ท่านต้องการให้ระบบงานหรือกิจกรรมอะไรบ้างที่ถูกควบคุมดูแลภายใต้ISO27001 เพื่อให้มั่นใจว่าสารสนเทศของระบบงาน หรือกิจกรรมนั้นๆ มีความมั่นคงปลอดภัย

 ว่าไปแล้ว ขอบเขตนี่สำคัญมากครับ เพราะถ้าขอบเขตเล็กเกินไปไม่สะท้อนperformanceเพียงพอ ก็อาจจะมีปัญหาในตอนยื่นขอตรวจรับรองระบบ แต่ถ้าใหญ่เกินไปก็จะทำให้สำเร็จได้ยาก

Step2 : ศึกษามาตรฐาน ISO27001 ให้เข้าใจหลักการพื้นฐานและแนวทางการนำไปใช้งาน

•     ท่านสามารถไปขออ่าน(หรือสำเนาไว้ศึกษา แต่เวลาขอการรับรองแนะนำให้ซื้อฉบับที่มีลิขสิทธิ์ครับ)ได้ที่ห้องสมุดสำนักงานมาตรฐานผลิตภัณฑ์อุตสาหกรรม (สมอ) กระทรวงอุตสาหกรรม รายละเอียดข้อมูลตามนี้ครับ http://bit.ly/1iWnLnD

•     หรือสั่งซื้อฉบับมีลิขสิทธิ์จากเวบของ ISO ตามlink นี้ http://bit.ly/19V19RS

Step3 : ทำการประเมินองค์กรเบื้องต้นให้รู้ว่าองค์กรยังขาดอะไรบ้างเืมื่อเทียบกับสิ่งที่ต้องมีตามมาตรฐานISO27001  ขั้นตอนนี้ท่านจะต้องมีความรู้ในข้อกำหนดของ ISO27001 พอสมควรนะครับ ถึงจะประเมินได้ว่าข้อไหนมีแล้วข้อไหนยังขาด

         สำหรับการเริ่มต้นมี 3 step ข้างต้น  หลังจากการประเมินองค์กรเบื้องต้นใน Step3  ท่านก็จะรู้ว่ายังขาดอะไรบ้าง มีประเด็นอะไรที่ยังไม่สอดคล้องตามกฎหมายหรือไม่ ถ้ามีก็ให้สรุปประเด็นเสนอผู้บริหารเพื่อเร่งดำเนินการครับ


สำหรับบทความถัดไป  เป็นตอนที่2 ซึ่งจะลงรายละเอียดในตัวมาตรฐาน ISO27001:2013  โปรดติดตามได้จาก blog นี้ครับผม



 คลิก !! ตอนที่2 :  รีวิว ISO27001:2013 - ตอนที่2 ความสำคัญของการประเมินความเสี่ยงสารสนเทศ

คลิก !!   แนวทางการทำ ISO27001:2013 Project Master Plan

 

เนื้อหาที่เกี่ยวข้อง
1. องค์ประกอบของความมั่นคงปลอดภัยของสารสนเทศ
2. บันได 4 ขั้นสู่มาตรฐาน ISO 27001 Information Security Management
3. ภัยคุกคาม และช่องโหว่ (Threat and Vulnerability)

ภัยร้ายใกล้ตัว มือดีแอบขโมยข้อมูล ATM

ไม่กี่วันมานี้มีข่าวใหญ่ที่ทำให้ผู้ใช้ ATM หลายคนขวัญผวา เกรงจะตกเป็นเหยื่อของแก๊งค์ดูดเงิน ATM

เรื่องมีอยู่ว่าตู้ATM ที่บริเวณอาคารออลซีซั่น และอาคารโรเล็กซ์ ย่านถนนวิทยุ โดนมือดีเอาอุปกรณ์ดักข้อมูลบัตรATM มาติดตั้งไว้ เจ้าเครื่องนี้มีชื่อเรียกว่า ATM Skimmer ทำหน้าที่ดักข้อมูลจากบัตร จากนั้น Hacker ก็จะนำข้อมูลดังกล่าวส่งไปให้พรรคพวกที่รัสเซียเพื่อกดเงินออกจากบัญชีเหยื่อ

หลายคนสงสัยว่าทำไม Bank ถึงไม่ป้องกันให้ดีปล่อยให้ใครก็ไม่รู้เอาเครื่องมือมาติดตั้งแล้วแอบขโมยข้อมูลของลูกค้าไปเนียนๆ จริงๆแล้ว Bank ก็มีมาตรการป้องกันโดยให้เจ้าหน้าที่ขนเงิน ตรวจสอบตู้ATM ทุกครั้งเวลามาเิติมเงินวันละครั้งหรือบางตู้อาจเว้นหลายวัน

ดูเหมือนจะดี แต่ช้าก่อน.... Hackerที่จัดหนักคราวนี้อาศัยช่องโหว่ หลังจากเจ้าหน้าที่มาเิติมเงินและตรวจสอบตู้ATM แล้ว Hackerตัวแสบก็แอบเอาSkimmerมาติดตั้งแล้วเฝ้ารอเหยื่อมากดเงิน จากนั้นก็ถอดอุปกรณ์ออกไปก่อนเจ้าหน้าที่จะมาเติมเงินและตรวจสอบตามปรกติ
มองในมุมของมาตรฐาน ISO27001 Information Security Management System เหตุการณ์นี้บอกอะไรเรา ??

เรื่องนี้บอกให้เรารู้ว่า Hackerซึ่งเป็นภัยคุกคาม(Threat) ได้สบโอกาสอาศัยช่องโหว่(Vulnerability) คือ ระยะเวลา (24 ชม.หรือมากกว่า)  เอาเครื่อง Skimmer มาติดตั้งที่ตู้ ATM ซึ่งค่อนข้างแนบเนียนจนเหยื่อไม่ทันสังเกต เมื่อได้เหยื่อแล้วก็ถอนตัวอย่างรวดเร็วลบร่องรอย และรีบส่งข้อมูลผ่านInternet ไปต่างประเทศเพื่อกดเงินอย่างรวดเร็ว

จะเห็นได้ว่าช่องโหว่นั้นเกิดขึ้นอยู่เสมอ (ในกรณีนี้เจ้าหน้าที่ไม่สามารถเฝ้าตู้ATM ทุกเครื่องได้ตลอดเวลา) และหากภัยคุกคามค้นพบและใช้ประโยชน์ช่องโหว่ดังกล่าว ก็จะเกิดผลกระทบตามมา ซึ่งอาจรุนแรงมากหรือน้อยก็มีโอกาสเกิดขึ้นได้

ดังนั้นเหตุการณ์นี้จึงเป็นโจทย์่ให้ Bankไปหามาตรการมาจัดการกับช่องโหว่ของตู้ATM ซึ่งการโจมตีนี้ ทำให้Bank เสียหายทั้งเงินและความน่าเชื่อถือในสายตาของลูกค้า


ผู้เขียน : Pryn Sereepong, CISA, CEH, ISMS(IRCA)
pryn@ftpi.or.th

ภัยร้ายใกล้ตัว มือดีแอบขโมยข้อมูล ATM

Posted by pryn No comments

ไม่กี่วันมานี้มีข่าวใหญ่ที่ทำให้ผู้ใช้ ATM หลายคนขวัญผวา เกรงจะตกเป็นเหยื่อของแก๊งค์ดูดเงิน ATM

เรื่องมีอยู่ว่าตู้ATM ที่บริเวณอาคารออลซีซั่น และอาคารโรเล็กซ์ ย่านถนนวิทยุ โดนมือดีเอาอุปกรณ์ดักข้อมูลบัตรATM มาติดตั้งไว้ เจ้าเครื่องนี้มีชื่อเรียกว่า ATM Skimmer ทำหน้าที่ดักข้อมูลจากบัตร จากนั้น Hacker ก็จะนำข้อมูลดังกล่าวส่งไปให้พรรคพวกที่รัสเซียเพื่อกดเงินออกจากบัญชีเหยื่อ

หลายคนสงสัยว่าทำไม Bank ถึงไม่ป้องกันให้ดีปล่อยให้ใครก็ไม่รู้เอาเครื่องมือมาติดตั้งแล้วแอบขโมยข้อมูลของลูกค้าไปเนียนๆ จริงๆแล้ว Bank ก็มีมาตรการป้องกันโดยให้เจ้าหน้าที่ขนเงิน ตรวจสอบตู้ATM ทุกครั้งเวลามาเิติมเงินวันละครั้งหรือบางตู้อาจเว้นหลายวัน

ดูเหมือนจะดี แต่ช้าก่อน.... Hackerที่จัดหนักคราวนี้อาศัยช่องโหว่ หลังจากเจ้าหน้าที่มาเิติมเงินและตรวจสอบตู้ATM แล้ว Hackerตัวแสบก็แอบเอาSkimmerมาติดตั้งแล้วเฝ้ารอเหยื่อมากดเงิน จากนั้นก็ถอดอุปกรณ์ออกไปก่อนเจ้าหน้าที่จะมาเติมเงินและตรวจสอบตามปรกติ
มองในมุมของมาตรฐาน ISO27001 Information Security Management System เหตุการณ์นี้บอกอะไรเรา ??

เรื่องนี้บอกให้เรารู้ว่า Hackerซึ่งเป็นภัยคุกคาม(Threat) ได้สบโอกาสอาศัยช่องโหว่(Vulnerability) คือ ระยะเวลา (24 ชม.หรือมากกว่า)  เอาเครื่อง Skimmer มาติดตั้งที่ตู้ ATM ซึ่งค่อนข้างแนบเนียนจนเหยื่อไม่ทันสังเกต เมื่อได้เหยื่อแล้วก็ถอนตัวอย่างรวดเร็วลบร่องรอย และรีบส่งข้อมูลผ่านInternet ไปต่างประเทศเพื่อกดเงินอย่างรวดเร็ว

จะเห็นได้ว่าช่องโหว่นั้นเกิดขึ้นอยู่เสมอ (ในกรณีนี้เจ้าหน้าที่ไม่สามารถเฝ้าตู้ATM ทุกเครื่องได้ตลอดเวลา) และหากภัยคุกคามค้นพบและใช้ประโยชน์ช่องโหว่ดังกล่าว ก็จะเกิดผลกระทบตามมา ซึ่งอาจรุนแรงมากหรือน้อยก็มีโอกาสเกิดขึ้นได้

ดังนั้นเหตุการณ์นี้จึงเป็นโจทย์่ให้ Bankไปหามาตรการมาจัดการกับช่องโหว่ของตู้ATM ซึ่งการโจมตีนี้ ทำให้Bank เสียหายทั้งเงินและความน่าเชื่อถือในสายตาของลูกค้า


ผู้เขียน : Pryn Sereepong, CISA, CEH, ISMS(IRCA)
pryn@ftpi.or.th

บันได 4 ขั้นสู่มาตรฐาน ISO 27001 Information Security Managment

ผู้เขียน  ปริญญ์  เสรีพงศ์ CISA CEH ISMS(IRCA) 

Email : mr.pryn@gmail.com

         การจัดทำระบบการจัดการความมั่นคงปลอดภัยของสารสนเทศ (ISMS) แบ่งเป็น 4 ขั้นตอน ดังนี้          

1. บันไดขั้นที่ 1 การวางแผนจัดทำระบบ ISMS (Establish ISMS)
2. บันไดขั้นที่ 2 การนำไปปฏิบัติ (Implement and operate ISMS)
3. บันไดขั้นที่ 3 การเฝ้าระวังและทบทวน (Monitor an review ISMS)
4. บันได้ขั้นที่ 4 การรักษามาตรฐานและพัฒนาปรับปรุง (Maintain and improve ISMS)

บันไดขั้นที่1การวางแผนจัดทำระบบการจัดการความมั่นคงปลอดภัยของสารสนเทศ (Plan : Establish the ISMS )

เริ่มต้นด้วยการกำหนดขอบเขตของการจัดทำระบบการจัดการความมั่นคงปลอดภัยของ

สารสนเทศให้ชัดเจน  โดยแสดงถึงลักษณะของธุรกิจ องค์กร ทำเลที่ตั้ง ทรัพย์สิน และเทคโนโลยี  หากไม่ครอบคลุมส่วนงานใด ต้องระบุรายละเอียดและเหตุผลดังกล่าว จากนั้นผู้บริหารระดับสูงกำหนดนโยบายการบริหารจัดการความมั่นคงปลอดภัยของสารสนเทศ (Information Security Management System Policy : ISMS Policy) พร้อมทั้งอนุมัติและประกาศใช้นโยบายดังกล่าว เป็นกลไกให้มั่นใจว่าโครงการนี้ได้รับการสนับสนุนอย่างเป็นรูปธรรม  และเป็นสัญญาณว่า ISMSได้เริ่มอย่างเป็นทางการแล้ว 

            การกำหนดคณะทำงานให้เหมาะสมและเพียงพอเป็นเรื่องสำคัญที่ต้องพิจารณา  ตัวแทนหน่วยงานที่อยู่ในขอบเขตการจัดทำระบบควรเข้าร่วมเป็นคณะทำงานเพื่อให้มีส่วนร่วมในการจัดทำระบบที่สอดคล้องกับลักษณะการทำงาน   เมื่อได้คณะทำงานเรียบร้อยแล้วก็เริ่มสำรวจภัยคุกคามและช่องโหว่ที่ก่อให้เกิดความเสี่ยงต่อสารสนเทศในขอบเขตการจัดทำระบบขององค์กร  ตัวแทนหน่วยงานที่เป็นคณะทำงานก็รับผิดชอบสำรวจภัยคุกคามและช่องโหว่ในหน่วยงานของตนเอง   ผลการประเมินความเสี่ยงจะบอกถึงระดับความเสี่ยงจากภัยคุกคามและช่องโหว่ในระบบสารสนเทศ   คณะทำงานและผู้เกี่ยวข้องต้องกำหนดมาตรการจัดการกับความเสี่ยงนั้นให้ชัดเจนและมีประสิทธิภาพเพียงพอ 

บันไดขั้นที่ 2 การนำไปปฏิบัติ ( Do : Implement and Operate the ISMS )

ขั้นตอนการปฏิบัติ (Do)  เป็นการนำผลลัพธ์ของขั้นตอนวางแผน(Plan) มาปฏิบัติให้เกิดผลตามวัตถุประสงค์  เช่น มาตรการป้องกันการบุกรุกระบบ มาตรการสำรองข้อมูล เป็นต้น  ซึ่งก่อนจะปฏิบัติได้อย่างถูกต้องนั้น จำเป็นต้องมีการฝึกอบรม ถ่ายทอดความรู้แนวทางปฏิบัติที่ถูกต้องให้รับทราบทั่วกัน

บันไดขั้นที่ 3  การเฝ้าระวังและทบทวน (Check : Monitoring and Review the ISMS)

หลังจากปฏิบัติตามมาตรการที่กำหนดแล้ว เราจะรู้ได้อย่างไรว่ามาตรการที่ปฏิบัตินั้นได้ผลตามเป้าหมายทีต้องการ  คำตอบคือต้องมีการวัดผลของมาตรการที่ใช้ควบคุมดูแล  แนวทางการวัดผลและความถี่ในการเฝ้าระวังต้องสอดคล้องกับความเสี่ยง  ดังนั้นกระบวนการ ระบบงาน หรือทรัพย์สินสารสนเทศที่มีความเสี่ยงสูงควรได้รับการเฝ้าระวังและวัดผลการปฏิบัติงานที่เข้มงวดกว่า เพื่อให้มั่นใจว่าหากเกิดเหตุการณ์ที่เกี่ยวข้องกับความมั่นคงปลอดภัย ระบบการตรวจวัดและเฝ้าระวังสามารถรายงานผลได้ทันเวลา

บันไดขั้นที่ 4 การรักษามาตรฐานและปรับปรุงให้ดีขึ้น (Act : Maintain and Improve the ISMS) 

หลังจากที่ตรวจพบปัญหาหรือสิ่งผิดปกติในขั้นตอนการตรวจสอบ(Check : Monitoring and Review the ISMS) ผู้ที่เกี่ยวข้องทุกระดับจำเป็นต้องร่วมกันแก้ไขปัญหาที่เกิดขึ้นและป้องกันปัญหาที่อาจเกิดซ้ำในอนาคต รวมถึงหาแนวทางปรับปรุงระบบการบริหารจัดการความมั่นคงปลอดภัยของสารสนเทศให้มีประสิทธิภาพยิ่งขึ้น  กลไกสำคัญที่ช่วยให้ผลักดันให้การแก้ไขปัญหาและปรับปรุงดำเนินการได้อย่างเป็นรูปธรรม คือการมีส่วนร่วมของผู้บริหารระดับสูง บ่อยครั้งที่พบว่าปัญหาเกิดจากการขาดความชัดเจนในนโยบายการบริหารจัดการ  ซึ่งผู้บริหารจะต้องให้ความกระจ่างและตัดสินใจแก้ไขปัญหาเชิงนโยบายให้เป็นรูปธรรม เพื่อให้คณะทำงานยึดถือเป็นแนวปฏิบัติต่อไป

ผู้เขียน : Pryn Sereepong, CISA, CEH, ISMS(IRCA)
pryn@ftpi.or.th

บันได 4 ขั้นสู่มาตรฐาน ISO 27001 Information Security Managment

Posted by pryn No comments

ผู้เขียน  ปริญญ์  เสรีพงศ์ CISA CEH ISMS(IRCA) 

Email : mr.pryn@gmail.com

         การจัดทำระบบการจัดการความมั่นคงปลอดภัยของสารสนเทศ (ISMS) แบ่งเป็น 4 ขั้นตอน ดังนี้          

1. บันไดขั้นที่ 1 การวางแผนจัดทำระบบ ISMS (Establish ISMS)
2. บันไดขั้นที่ 2 การนำไปปฏิบัติ (Implement and operate ISMS)
3. บันไดขั้นที่ 3 การเฝ้าระวังและทบทวน (Monitor an review ISMS)
4. บันได้ขั้นที่ 4 การรักษามาตรฐานและพัฒนาปรับปรุง (Maintain and improve ISMS)

บันไดขั้นที่1การวางแผนจัดทำระบบการจัดการความมั่นคงปลอดภัยของสารสนเทศ (Plan : Establish the ISMS )

เริ่มต้นด้วยการกำหนดขอบเขตของการจัดทำระบบการจัดการความมั่นคงปลอดภัยของ

สารสนเทศให้ชัดเจน  โดยแสดงถึงลักษณะของธุรกิจ องค์กร ทำเลที่ตั้ง ทรัพย์สิน และเทคโนโลยี  หากไม่ครอบคลุมส่วนงานใด ต้องระบุรายละเอียดและเหตุผลดังกล่าว จากนั้นผู้บริหารระดับสูงกำหนดนโยบายการบริหารจัดการความมั่นคงปลอดภัยของสารสนเทศ (Information Security Management System Policy : ISMS Policy) พร้อมทั้งอนุมัติและประกาศใช้นโยบายดังกล่าว เป็นกลไกให้มั่นใจว่าโครงการนี้ได้รับการสนับสนุนอย่างเป็นรูปธรรม  และเป็นสัญญาณว่า ISMSได้เริ่มอย่างเป็นทางการแล้ว 

            การกำหนดคณะทำงานให้เหมาะสมและเพียงพอเป็นเรื่องสำคัญที่ต้องพิจารณา  ตัวแทนหน่วยงานที่อยู่ในขอบเขตการจัดทำระบบควรเข้าร่วมเป็นคณะทำงานเพื่อให้มีส่วนร่วมในการจัดทำระบบที่สอดคล้องกับลักษณะการทำงาน   เมื่อได้คณะทำงานเรียบร้อยแล้วก็เริ่มสำรวจภัยคุกคามและช่องโหว่ที่ก่อให้เกิดความเสี่ยงต่อสารสนเทศในขอบเขตการจัดทำระบบขององค์กร  ตัวแทนหน่วยงานที่เป็นคณะทำงานก็รับผิดชอบสำรวจภัยคุกคามและช่องโหว่ในหน่วยงานของตนเอง   ผลการประเมินความเสี่ยงจะบอกถึงระดับความเสี่ยงจากภัยคุกคามและช่องโหว่ในระบบสารสนเทศ   คณะทำงานและผู้เกี่ยวข้องต้องกำหนดมาตรการจัดการกับความเสี่ยงนั้นให้ชัดเจนและมีประสิทธิภาพเพียงพอ 

บันไดขั้นที่ 2 การนำไปปฏิบัติ ( Do : Implement and Operate the ISMS )

ขั้นตอนการปฏิบัติ (Do)  เป็นการนำผลลัพธ์ของขั้นตอนวางแผน(Plan) มาปฏิบัติให้เกิดผลตามวัตถุประสงค์  เช่น มาตรการป้องกันการบุกรุกระบบ มาตรการสำรองข้อมูล เป็นต้น  ซึ่งก่อนจะปฏิบัติได้อย่างถูกต้องนั้น จำเป็นต้องมีการฝึกอบรม ถ่ายทอดความรู้แนวทางปฏิบัติที่ถูกต้องให้รับทราบทั่วกัน

บันไดขั้นที่ 3  การเฝ้าระวังและทบทวน (Check : Monitoring and Review the ISMS)

หลังจากปฏิบัติตามมาตรการที่กำหนดแล้ว เราจะรู้ได้อย่างไรว่ามาตรการที่ปฏิบัตินั้นได้ผลตามเป้าหมายทีต้องการ  คำตอบคือต้องมีการวัดผลของมาตรการที่ใช้ควบคุมดูแล  แนวทางการวัดผลและความถี่ในการเฝ้าระวังต้องสอดคล้องกับความเสี่ยง  ดังนั้นกระบวนการ ระบบงาน หรือทรัพย์สินสารสนเทศที่มีความเสี่ยงสูงควรได้รับการเฝ้าระวังและวัดผลการปฏิบัติงานที่เข้มงวดกว่า เพื่อให้มั่นใจว่าหากเกิดเหตุการณ์ที่เกี่ยวข้องกับความมั่นคงปลอดภัย ระบบการตรวจวัดและเฝ้าระวังสามารถรายงานผลได้ทันเวลา

บันไดขั้นที่ 4 การรักษามาตรฐานและปรับปรุงให้ดีขึ้น (Act : Maintain and Improve the ISMS) 

หลังจากที่ตรวจพบปัญหาหรือสิ่งผิดปกติในขั้นตอนการตรวจสอบ(Check : Monitoring and Review the ISMS) ผู้ที่เกี่ยวข้องทุกระดับจำเป็นต้องร่วมกันแก้ไขปัญหาที่เกิดขึ้นและป้องกันปัญหาที่อาจเกิดซ้ำในอนาคต รวมถึงหาแนวทางปรับปรุงระบบการบริหารจัดการความมั่นคงปลอดภัยของสารสนเทศให้มีประสิทธิภาพยิ่งขึ้น  กลไกสำคัญที่ช่วยให้ผลักดันให้การแก้ไขปัญหาและปรับปรุงดำเนินการได้อย่างเป็นรูปธรรม คือการมีส่วนร่วมของผู้บริหารระดับสูง บ่อยครั้งที่พบว่าปัญหาเกิดจากการขาดความชัดเจนในนโยบายการบริหารจัดการ  ซึ่งผู้บริหารจะต้องให้ความกระจ่างและตัดสินใจแก้ไขปัญหาเชิงนโยบายให้เป็นรูปธรรม เพื่อให้คณะทำงานยึดถือเป็นแนวปฏิบัติต่อไป

ผู้เขียน : Pryn Sereepong, CISA, CEH, ISMS(IRCA)
pryn@ftpi.or.th

ภัยคุกคาม และช่องโหว่ (Threat and Vulnerability)

               ภัยคุกคาม(Threat) อาจเป็นมนุษย์  ภัยธรรมชาติ หรือปัจจัยอื่นๆ ที่มีแนวโน้มที่จะก่อให้เกิดความเสียหายได้ ทั้งที่เจตนาสร้างความเสียหายหรือไม่ก็ตาม  การทำความเข้าใจและตระหนักถึงภัยคุกคามจะช่วยให้เข้าใจองค์ประกอบที่เกี่ยวข้องกันทั้งระบบได้เป็นอย่างดี  หากจำแนกแหล่งกำเนิดของภัยคุกคาม อาจแบ่งได้ดังนี้

-      มนุษย์ เช่น แฮกเกอร์  สายลับ ผู้ก่อการร้าย ผู้ไม่ประสงค์ดีที่โจมตีระบบสารสนเทศ ไวรัส โปรแกรมไม่ประสงค์ดีต่างๆ  เป็นต้น

-      ภัยธรรมชาติ เช่นน้ำท่วม ฟ้าผ่า พายุ แผ่นดินไหว เป็นต้น

-      ข้อผิดพลาดทางเทคนิค เช่น อุปกรณ์ชำรุด เสื่อมสภาพ หรือทำงานผิดพลาด เป็นต้น

ช่องโหว่(Vulnerability)  เป็นองค์ประกอบที่สำคัญของการศึกษาเรื่องความมั่นคงปลอดภัยของสารสนเทศ  ภัยคุกคามที่กล่าวมาข้างต้นจะใช้ประโยชน์จากช่องโหว่นี้เพื่อสร้างความเสียหาย ดังนั้นหากช่องโหว่มีจำนวนมาก โอกาสที่ภัยคุกคามจะสร้างความเสียหายจากช่องโหว่ดังกล่าวก็มากตามไปด้วย  กล่าวได้ว่าหากไม่มีช่องโหว่หรือจุดอ่อน ภัยคุกคามก็ไม่สามารถทำอันตรายแก่ระบบสารสนเทศได้  

ผู้เขียน : Pryn Sereepong, CISA, CEH, ISMS(IRCA)
pryn@ftpi.or.th 

ภัยคุกคาม และช่องโหว่ (Threat and Vulnerability)

Posted by pryn No comments

               ภัยคุกคาม(Threat) อาจเป็นมนุษย์  ภัยธรรมชาติ หรือปัจจัยอื่นๆ ที่มีแนวโน้มที่จะก่อให้เกิดความเสียหายได้ ทั้งที่เจตนาสร้างความเสียหายหรือไม่ก็ตาม  การทำความเข้าใจและตระหนักถึงภัยคุกคามจะช่วยให้เข้าใจองค์ประกอบที่เกี่ยวข้องกันทั้งระบบได้เป็นอย่างดี  หากจำแนกแหล่งกำเนิดของภัยคุกคาม อาจแบ่งได้ดังนี้

-      มนุษย์ เช่น แฮกเกอร์  สายลับ ผู้ก่อการร้าย ผู้ไม่ประสงค์ดีที่โจมตีระบบสารสนเทศ ไวรัส โปรแกรมไม่ประสงค์ดีต่างๆ  เป็นต้น

-      ภัยธรรมชาติ เช่นน้ำท่วม ฟ้าผ่า พายุ แผ่นดินไหว เป็นต้น

-      ข้อผิดพลาดทางเทคนิค เช่น อุปกรณ์ชำรุด เสื่อมสภาพ หรือทำงานผิดพลาด เป็นต้น

ช่องโหว่(Vulnerability)  เป็นองค์ประกอบที่สำคัญของการศึกษาเรื่องความมั่นคงปลอดภัยของสารสนเทศ  ภัยคุกคามที่กล่าวมาข้างต้นจะใช้ประโยชน์จากช่องโหว่นี้เพื่อสร้างความเสียหาย ดังนั้นหากช่องโหว่มีจำนวนมาก โอกาสที่ภัยคุกคามจะสร้างความเสียหายจากช่องโหว่ดังกล่าวก็มากตามไปด้วย  กล่าวได้ว่าหากไม่มีช่องโหว่หรือจุดอ่อน ภัยคุกคามก็ไม่สามารถทำอันตรายแก่ระบบสารสนเทศได้  

ผู้เขียน : Pryn Sereepong, CISA, CEH, ISMS(IRCA)
pryn@ftpi.or.th 

องค์ประกอบของความมั่นคงปลอดภัยของสารสนเทศ

               ความมั่นคงปลอดภัยของสารสนเทศนั้นมีองค์ประกอบด้วยกัน 3 ประการ คือ ความลับ (Confidentiality) ความถูกต้องสมบูรณ์( Integrity) และความพร้อมใช้งาน (Availability) 

ทรัพย์สิน(Asset) ที่มีความมั่นคงปลอดภัยนั้นต้องประกอบด้วยองค์ประกอบทั้งสามอย่างครบถ้วน ไม่ว่าทรัพย์สินนั้นจะเป็นสิ่งที่จับต้องได้ เช่น เครื่องคอมพิวเตอร์  อุปกรณ์เครือข่าย    หรือทรัพย์สินที่จับต้องไม่ได้ เช่น ข้อมูล  เป็นต้น 

-      ความลับ (Confidentiality)

การรักษาความลับให้กับข้อมูลเป็นองค์ประกอบสำคัญของการรักษาความมั่นคงปลอดภัยของสารสนเทศ  หลักการสำคัญของการรักษาความลับคือ ผู้ที่มีสิทธิหรือได้รับอนุญาตเท่านั้นที่สามารถเข้าถึงข้อมูลได้   ภาคธุรกิจให้ความสำคัญกับการรักษาความลับทางธุรกิจ  ประชาชนทั่วไปก็ต้องการปกป้องข้อมูลส่วนตัวตามสิทธิขั้นพื้นฐานเช่นเดียวกัน

             ข่าวการละเมิดมาตรการป้องกันของระบบคอมพิวเตอร์เข้าไปเจาะระบบทั้งในประเทศและต่างประเทศ แสดงให้เห็นว่ามาตรการที่มีอยู่ยังมีจุดอ่อนที่ ผู้ไม่ประสงค์ดีที่มีความรู้บุกรุกผ่านช่องโหว่ดังกล่าว  แรงจูงใจของการกระทำการดังกล่าวมีหลายเหตุปัจจัย  เช่น  ทำเพื่อเงิน เพื่อสร้างชื่อเสียง การยอมรับในกลุ่ม  และทำไปด้วยความคึกคะนอง   ปฏิเสธไม่ได้ว่าแฮกเกอร์ที่สามารถเจาะทะลุระบบรักษาความปลอดภัยของหน่วยงานสำคัญระดับประเทศ จะกลายเป็นฮีโร่ในสายตาของแฮกเกอร์มือใหม่ทั่วโลก

                 ระบบรักษาความมั่นคงปลอดภัยของสารสนเทศที่มีประสิทธิภาพ ต้องมีมาตรการตรวจสอบสิทธิก่อนเข้าถึง   เพื่อยืนยันให้แน่ใจก่อนว่าผู้ที่ร้องขอนั้นมีสิทธิหรือได้รับอนุญาตให้เข้าถึงสารสนเทศ หรือระบบงานนั้นได้  กลไกพื้นฐานที่คุ้นเคยกันเป็นอย่างดี คือการใช้รหัสผ่าน(Password) ในการพิสูจน์ตัวตนและสิทธิที่ได้รับอนุญาต    

นอกจากมาตรการตรวจสอบสิทธิแล้วการกำหนดชั้นความลับเป็นระดับต่างๆ ตามความสำคัญช่วยให้บริหารจัดการมีประสิทธิภาพมากขึ้น  ในบางหน่วยงานกำหนดชั้นความลับของสารสนเทศออกเป็น 4 ระดับ ประกอบด้วย ระดับชั้นความลับสุดยอด (Top Secret)  ระดับชั้นความลับ (Secret) ระดับชั้นข้อมูลสำหรับใช้ภายในองค์กร(Internal Use) และระดับชั้นสารธารณะ(Public)  ชั้นความลับนี้จะต้องมีเกณฑ์พิจารณาที่ชัดเจนว่าสารสนเทศลักษณะใดอยู่ในชั้นความลับที่กำหนด   พร้อมทั้งกำหนดแนวทางการ การระบุชั้นความลับ การจัดเก็บ และการสื่อสารข้อมูลสารสนเทศในแต่ละชั้นความลับอย่างชัดเจน  มาตรการทางเทคนิคที่ใช้ในการปกป้องความลับ เช่น การเข้ารหัส (Encryption) อาจถูกนำมาใช้เสริมความแข็งแกร่งให้กับมาตรการปกป้องสารสนเทศที่ต้องการมาตรการดูแลอย่างเข้มงวด

-      ความถูกต้องสมบูรณ์ (Integrity)

การปกป้องสารสนเทศให้มีความถูกต้องสมบูรณ์ (Integrity) เป็นสิ่งสำคัญส่งผลถึงความน่าเชื่อถือของสารสนเทศนั้นๆ   ทำอย่างไรให้ข้อมูลมีความถูกต้องและน่าเชื่อถือเป็นสิ่งที่ผู้ดูแลระบบต้องหาคำตอบและดำเนินการให้เกิดขึ้น  คำตอบในเชิงหลักการคือระบบต้องมีกลไกการตรวจสอบสิทธิหรือการได้รับอนุญาตให้ดำเนินการเปลี่ยนแปลงแก้ไขหรือกระทำการใดๆ ต่อข้อมูลนั้น

            ยิ่งเทคโนโลยีสารสนเทศพัฒนาก้าวหน้าไปมากเท่าไร มนุษย์ก็ยิ่งจำเป็นต้องพึงพาเทคโนโลยีมากขึ้นตามไปด้วย  บัตรประชาชนอัจฉริยะเป็นตัวอย่างใกล้ตัวเราที่ชี้ให้เห็นว่า ประชาชนทุกคนไม่ว่าจะยากดีมีจนอย่างไร ก็ต้องเกี่ยวข้องกับเทคโนโลยีสารสนเทศอย่างเลี่ยงไม่ได้  อย่างน้อยข้อมูลส่วนตัวของเราก็ถูกจัดเก็บในฐานข้อมูลของรัฐบาล  ลองนึกดูว่าจะเกิดอะไรขึ้นหากชื่อของนาย ก. ถูกลบออกจากบัญชีทะเบียนราษฎร์ นั่นหมายถึง นาย ก. ไม่มีตัวตนและไม่สามารถใช้สิทธิของประชาชนในการรับบริการรัฐได้    จะเห็นได้ว่าข้อมูลนี้มีความสำคัญมากเพราะเป็นหลักฐานในการพิสูจน์ตัวตนของเรา หากมองในแง่ความมั่นคงปลอดภัยของสารสนเทศแล้ว ข้อมูลนี้จำเป็นต้องได้รับการปกป้องดูแลความถูกต้องสมบูรณ์และความน่าเชื่อถือ หากข้อมูลถูกเปลี่ยนแปลงโดยผู้ไม่ประสงค์ดีย่อมส่งผลเสียต่อเจ้าของข้อมูลอย่างหลีกเลี่ยงไม่ได้

-      ความพร้อมใช้งาน (Availability)

การทำให้ระบบตอบสนองความต้องการของผู้ใช้งานที่มีสิทธิเข้าถึงระบบได้เมื่อต้องการ  อุปสรรคที่บั่นทอนความพร้อมใช้งานของระบบคอมพิวเตอร์จำแนกได้ 2 แบบ คือ

-     การที่ระบบคอมพิวเตอร์ปฏิเสธการให้บริการ (Denial of Service)

-     ระบบคอมพิวเตอร์ทำงานด้อยประสิทธิภาพในการทำงาน (Loss of data processing capability)

ระบบคอมพิวเตอร์ปฏิเสธการให้บริการ อาจเกิดจากการกระทำของผู้ใช้ระบบ ผู้บุกรุกที่มีเจตนาร้าย หรือเกิดจากภัยธรรมชาติ เช่น น้ำท่วม ไฟไหม้ แผ่นดินไหวทำให้ระบบคอมพิวเตอร์เสียหายก็เป็นได้  องค์กรที่ตระหนักถึงภัยคุกคามดังกล่าวอาจเตรียมแผนกู้คืนจากความเสียหาย (Disaster Recovery Plan)ไว้รองรับ  หน่วยงานรัฐที่ให้บริการสารธารณะต่างใช้ระบบคอมพิวเตอร์ควบคุมการทำงาน เช่นไฟฟ้า ประปา โทรศัพท์ เป็นต้น หากคอมพิวเตอร์ที่ควบคุมระบบเหล่านี้เกิดความเสียหายไม่สามารถให้บริการได้ ทำให้บริการต่างๆ หยุดชะงักย่อมส่งผลเสียต่อประชาชนในวงกว้าง  นอกจากนี้หากไฟฟ้าดับเป็นเวลานาน ระบบต่างๆ จะเกิดความเสียหายอย่างใหญ่หลวง  ตัวอย่างจริงที่เคยเกิดขึ้นในต่างประเทศ เมื่อหลายปีก่อนระบบคอมพิวเตอร์ของศูนย์กระจายสินค้าเกิดความเสียหาย ไม่สามารถจ่ายกระแสไฟฟ้าไปยังคอนเทนเนอร์ที่ติดตั้งระบบทำความเย็นเป็นเวลาหลายวัน ส่งผลให้สินค้าในตู้คอนเทนเนอร์ดังกล่าวเสียหายทั้งหมด นอกจากนี้ยังทำให้ลูกค้าขอยกเลิกสัญญาเนื่องจากไม่ไว้วางใจในการบริการ  เกิดความสูญเสียมูลค่ามหาศาล


ผู้เขียน : Pryn Sereepong, CISA, CEH, ISMS(IRCA)
pryn@ftpi.or.th 

องค์ประกอบของความมั่นคงปลอดภัยของสารสนเทศ

Posted by pryn No comments

               ความมั่นคงปลอดภัยของสารสนเทศนั้นมีองค์ประกอบด้วยกัน 3 ประการ คือ ความลับ (Confidentiality) ความถูกต้องสมบูรณ์( Integrity) และความพร้อมใช้งาน (Availability) 

ทรัพย์สิน(Asset) ที่มีความมั่นคงปลอดภัยนั้นต้องประกอบด้วยองค์ประกอบทั้งสามอย่างครบถ้วน ไม่ว่าทรัพย์สินนั้นจะเป็นสิ่งที่จับต้องได้ เช่น เครื่องคอมพิวเตอร์  อุปกรณ์เครือข่าย    หรือทรัพย์สินที่จับต้องไม่ได้ เช่น ข้อมูล  เป็นต้น 

-      ความลับ (Confidentiality)

การรักษาความลับให้กับข้อมูลเป็นองค์ประกอบสำคัญของการรักษาความมั่นคงปลอดภัยของสารสนเทศ  หลักการสำคัญของการรักษาความลับคือ ผู้ที่มีสิทธิหรือได้รับอนุญาตเท่านั้นที่สามารถเข้าถึงข้อมูลได้   ภาคธุรกิจให้ความสำคัญกับการรักษาความลับทางธุรกิจ  ประชาชนทั่วไปก็ต้องการปกป้องข้อมูลส่วนตัวตามสิทธิขั้นพื้นฐานเช่นเดียวกัน

             ข่าวการละเมิดมาตรการป้องกันของระบบคอมพิวเตอร์เข้าไปเจาะระบบทั้งในประเทศและต่างประเทศ แสดงให้เห็นว่ามาตรการที่มีอยู่ยังมีจุดอ่อนที่ ผู้ไม่ประสงค์ดีที่มีความรู้บุกรุกผ่านช่องโหว่ดังกล่าว  แรงจูงใจของการกระทำการดังกล่าวมีหลายเหตุปัจจัย  เช่น  ทำเพื่อเงิน เพื่อสร้างชื่อเสียง การยอมรับในกลุ่ม  และทำไปด้วยความคึกคะนอง   ปฏิเสธไม่ได้ว่าแฮกเกอร์ที่สามารถเจาะทะลุระบบรักษาความปลอดภัยของหน่วยงานสำคัญระดับประเทศ จะกลายเป็นฮีโร่ในสายตาของแฮกเกอร์มือใหม่ทั่วโลก

                 ระบบรักษาความมั่นคงปลอดภัยของสารสนเทศที่มีประสิทธิภาพ ต้องมีมาตรการตรวจสอบสิทธิก่อนเข้าถึง   เพื่อยืนยันให้แน่ใจก่อนว่าผู้ที่ร้องขอนั้นมีสิทธิหรือได้รับอนุญาตให้เข้าถึงสารสนเทศ หรือระบบงานนั้นได้  กลไกพื้นฐานที่คุ้นเคยกันเป็นอย่างดี คือการใช้รหัสผ่าน(Password) ในการพิสูจน์ตัวตนและสิทธิที่ได้รับอนุญาต    

นอกจากมาตรการตรวจสอบสิทธิแล้วการกำหนดชั้นความลับเป็นระดับต่างๆ ตามความสำคัญช่วยให้บริหารจัดการมีประสิทธิภาพมากขึ้น  ในบางหน่วยงานกำหนดชั้นความลับของสารสนเทศออกเป็น 4 ระดับ ประกอบด้วย ระดับชั้นความลับสุดยอด (Top Secret)  ระดับชั้นความลับ (Secret) ระดับชั้นข้อมูลสำหรับใช้ภายในองค์กร(Internal Use) และระดับชั้นสารธารณะ(Public)  ชั้นความลับนี้จะต้องมีเกณฑ์พิจารณาที่ชัดเจนว่าสารสนเทศลักษณะใดอยู่ในชั้นความลับที่กำหนด   พร้อมทั้งกำหนดแนวทางการ การระบุชั้นความลับ การจัดเก็บ และการสื่อสารข้อมูลสารสนเทศในแต่ละชั้นความลับอย่างชัดเจน  มาตรการทางเทคนิคที่ใช้ในการปกป้องความลับ เช่น การเข้ารหัส (Encryption) อาจถูกนำมาใช้เสริมความแข็งแกร่งให้กับมาตรการปกป้องสารสนเทศที่ต้องการมาตรการดูแลอย่างเข้มงวด

-      ความถูกต้องสมบูรณ์ (Integrity)

การปกป้องสารสนเทศให้มีความถูกต้องสมบูรณ์ (Integrity) เป็นสิ่งสำคัญส่งผลถึงความน่าเชื่อถือของสารสนเทศนั้นๆ   ทำอย่างไรให้ข้อมูลมีความถูกต้องและน่าเชื่อถือเป็นสิ่งที่ผู้ดูแลระบบต้องหาคำตอบและดำเนินการให้เกิดขึ้น  คำตอบในเชิงหลักการคือระบบต้องมีกลไกการตรวจสอบสิทธิหรือการได้รับอนุญาตให้ดำเนินการเปลี่ยนแปลงแก้ไขหรือกระทำการใดๆ ต่อข้อมูลนั้น

            ยิ่งเทคโนโลยีสารสนเทศพัฒนาก้าวหน้าไปมากเท่าไร มนุษย์ก็ยิ่งจำเป็นต้องพึงพาเทคโนโลยีมากขึ้นตามไปด้วย  บัตรประชาชนอัจฉริยะเป็นตัวอย่างใกล้ตัวเราที่ชี้ให้เห็นว่า ประชาชนทุกคนไม่ว่าจะยากดีมีจนอย่างไร ก็ต้องเกี่ยวข้องกับเทคโนโลยีสารสนเทศอย่างเลี่ยงไม่ได้  อย่างน้อยข้อมูลส่วนตัวของเราก็ถูกจัดเก็บในฐานข้อมูลของรัฐบาล  ลองนึกดูว่าจะเกิดอะไรขึ้นหากชื่อของนาย ก. ถูกลบออกจากบัญชีทะเบียนราษฎร์ นั่นหมายถึง นาย ก. ไม่มีตัวตนและไม่สามารถใช้สิทธิของประชาชนในการรับบริการรัฐได้    จะเห็นได้ว่าข้อมูลนี้มีความสำคัญมากเพราะเป็นหลักฐานในการพิสูจน์ตัวตนของเรา หากมองในแง่ความมั่นคงปลอดภัยของสารสนเทศแล้ว ข้อมูลนี้จำเป็นต้องได้รับการปกป้องดูแลความถูกต้องสมบูรณ์และความน่าเชื่อถือ หากข้อมูลถูกเปลี่ยนแปลงโดยผู้ไม่ประสงค์ดีย่อมส่งผลเสียต่อเจ้าของข้อมูลอย่างหลีกเลี่ยงไม่ได้

-      ความพร้อมใช้งาน (Availability)

การทำให้ระบบตอบสนองความต้องการของผู้ใช้งานที่มีสิทธิเข้าถึงระบบได้เมื่อต้องการ  อุปสรรคที่บั่นทอนความพร้อมใช้งานของระบบคอมพิวเตอร์จำแนกได้ 2 แบบ คือ

-     การที่ระบบคอมพิวเตอร์ปฏิเสธการให้บริการ (Denial of Service)

-     ระบบคอมพิวเตอร์ทำงานด้อยประสิทธิภาพในการทำงาน (Loss of data processing capability)

ระบบคอมพิวเตอร์ปฏิเสธการให้บริการ อาจเกิดจากการกระทำของผู้ใช้ระบบ ผู้บุกรุกที่มีเจตนาร้าย หรือเกิดจากภัยธรรมชาติ เช่น น้ำท่วม ไฟไหม้ แผ่นดินไหวทำให้ระบบคอมพิวเตอร์เสียหายก็เป็นได้  องค์กรที่ตระหนักถึงภัยคุกคามดังกล่าวอาจเตรียมแผนกู้คืนจากความเสียหาย (Disaster Recovery Plan)ไว้รองรับ  หน่วยงานรัฐที่ให้บริการสารธารณะต่างใช้ระบบคอมพิวเตอร์ควบคุมการทำงาน เช่นไฟฟ้า ประปา โทรศัพท์ เป็นต้น หากคอมพิวเตอร์ที่ควบคุมระบบเหล่านี้เกิดความเสียหายไม่สามารถให้บริการได้ ทำให้บริการต่างๆ หยุดชะงักย่อมส่งผลเสียต่อประชาชนในวงกว้าง  นอกจากนี้หากไฟฟ้าดับเป็นเวลานาน ระบบต่างๆ จะเกิดความเสียหายอย่างใหญ่หลวง  ตัวอย่างจริงที่เคยเกิดขึ้นในต่างประเทศ เมื่อหลายปีก่อนระบบคอมพิวเตอร์ของศูนย์กระจายสินค้าเกิดความเสียหาย ไม่สามารถจ่ายกระแสไฟฟ้าไปยังคอนเทนเนอร์ที่ติดตั้งระบบทำความเย็นเป็นเวลาหลายวัน ส่งผลให้สินค้าในตู้คอนเทนเนอร์ดังกล่าวเสียหายทั้งหมด นอกจากนี้ยังทำให้ลูกค้าขอยกเลิกสัญญาเนื่องจากไม่ไว้วางใจในการบริการ  เกิดความสูญเสียมูลค่ามหาศาล


ผู้เขียน : Pryn Sereepong, CISA, CEH, ISMS(IRCA)
pryn@ftpi.or.th