บทเรียนด้าน Cyber Security จากปี 2015

บทเรียนด้าน Cyber Security จากปี 2015

การปรับปรุงความมั่นคงปลอดภัยขององค์กรให้ดียิ่งขึ้นนั้น เป็นสิ่งที่จำเป็นต้องดำเนินการอย่างต่อเนื่อง โดยหนึ่งในวิธีการปรับปรุงที่สำคัญก็คือการเรียนรู้จากข้อผิดพลาดต่างๆ ที่เคยเกิดขึ้น

สำหรับปี 2015 ที่เพิ่งจะผ่านไปหมาดๆ นี้ ก็ได้มีการรวบรวมเอา Case Study ที่น่าสนใจเกี่ยวกับเหตุล่วงละเมิดทาง Cyber Security มาเผยแพร่ โดยเว็บไซต์ของนิตยสาร Information Security Buzz ซึ่งแต่ละกรณีก็มีบทเรียนที่องค์กรต่างๆ ควรจะศึกษาไว้ เพื่อนำข้อมูลมาใช้พิจารณาในการปรับปรุงความมั่นคงปลอดภัย โดยทีมงานของ DestinationOne ก็ได้หยิบเอามาสรุปให้กับทุกท่านได้อ่านกันในบทความนี้ครับ

บทเรียนจากธุรกิจด้านสุขภาพ

ในปี 2015 ที่ผ่านมา ดูเหมือนว่าธุรกิจในกลุ่ม Healthcare จะตกเป็นเป้าหมายหลักในการโจมตี ยกตัวอย่างเช่น Premera BlueCross BlueShield ซึ่งถูกแฮ็กเกอร์ขโมยเอาข้อมูลของสมาชิกกว่า 11.2 ล้านบัญชีไปได้ ทั้งข้อมูลสำคัญส่วนตัว หมายเลขประกันสังคม บัญชีธนาคาร ฯลฯ รวมถึงข้อมูลด้านสุขภาพ ซึ่งทำให้สมาชิกทั้งหมดต้องตกอยู่ในความเสี่ยง และต่อมาไม่นาน Anthem ก็ตกเป็นเหยื่อรายถัดมาที่ได้รับการเปิดเผยว่าฐานข้อมูลสมาชิกถูกล่วงละเมิด

ในทางตรงกันข้าม เมื่อแฮ็กเกอร์ได้ทำการเจาะเข้าระบบของ CareFirst นั้น ปรากฏว่าข้อมูลของสมาชิกส่วนใหญ่ยังคงปลอดภัย เพราะได้รับการปกป้องด้วยการเข้ารหัส Password Encryption

สิ่งที่ได้เรียนรู้ : “การเข้ารหัสข้อมูล” เป็นมาตรการพื้นฐานในการปกป้องความมั่นคงปลอดภัย แม้จะดูเหมือนเป็นวิธีการที่ไม่ซับซ้อนอะไร แต่ก็ทรงประสิทธิภาพมากทีเดียวครับ

บทเรียนจากหน่วยงานภาครัฐ

กรณีศึกษานี้เกิดขึ้นจากการที่บริษัทเอ้าท์ซอร์สแห่งหนึ่งทำการถ่ายโอนข้อมูลโดยใช้ระบบเครือข่ายที่ไม่มั่นคงปลอดภัย เป็นเหตุให้ข้อมูลของบุคลากรในสังกัดกองทัพบกสหรัฐฯ ส่วนหนึ่งรั่วไหลออกไป ถึงแม้ว่าเหตุการณ์ในครั้งนี้จะไม่ได้เกิดจากการถูกโจมตี แต่ก็มีผลทำให้ข้อมูลและระบบของหน่วยงานเกิดจุดอ่อนขึ้น

ต่อมาในเดือนมิถุนายน 2015 ได้มีรายงานว่าระบบของสำนักงานบริหารทรัพยากรบุคคลถูกโจมตีโดยแฮ็กเกอร์ โดยมีฐานข้อมูลส่วนตัวและข้อมูลลายนิ้วมือของบุคลากรภาครัฐทั้งในอดีตและปัจจุบันกว่า 5 ล้านคนถูกล่วงละเมิด ทันทีที่ทราบเรื่องทางต้นสังกัดจึงได้บังคับใช้นโยบายการพิสูจน์ตัวตนก่อนเข้าระบบแบบ Two-Factor Authentication แบบเร่งด่วน เพื่อยกระดับความมั่นคงปลอดภัย

สิ่งที่ได้เรียนรู้ : “การพิสูจน์ตัวตนแบบ Two-Factor Authentication” นั้น ถึงแม้ว่าอาจจะทำให้ผู้ใช้งานรู้สึกยุ่งยากเพิ่มขึ้นมาอีกสักนิด แต่ก็เพิ่มความอุ่นใจได้มากโขอยู่ครับ และอันที่จริงแล้วควรจะกำหนดเป็นนโยบายตั้งแต่เริ่มต้น เพราะถ้ารอวัวหายแล้วค่อยมาล้อมคอกนั้นอาจจะสายเกินไป

บทเรียนจากธุรกิจการเงิน

ในเดือนตุลาคม 2015 Scottrade ถูกเปิดโปงว่า บัญชีข้อมูลส่วนตัวของลูกค้ากว่า 4.6 ล้านราย ถูกแฮ็กเกอร์เข้าถึงและขโมยข้อมูลบางส่วนไปได้สำเร็จ ซึ่งแม้ว่าข้อมูลเหล่านั้นจะเป็นเพียงชื่อกับที่อยู่ของลูกค้าเท่านั้น แต่เรื่องราวกลับรุนแรงใหญ่โต เพราะปรากฏหลักฐานว่าการรั่วไหลของข้อมูลเกิดขึ้นมาโดยตลอดตั้งแต่ปี 2013 แต่ไม่มีผู้บริหารหรือเจ้าหน้าที่ของ Scottrade ทราบปัญหาดังกล่าวมาก่อนเลย!!

สิ่งที่ได้เรียนรู้ : “การตรวจสอบเฝ้าระวัง” เป็นเรื่องสำคัญมาก โดยควรจะมีการกำหนดกระบวนการทำงาน, การตั้งค่าระบบ หรือการใช้เครื่องมือต่างๆ เพื่อค้นหาและตรวจจับสิ่งผิดปกติ รวมถึงต้องสามารถสืบค้นย้อนหลังกลับไปได้ เพื่อป้องกันการถูกล่วงละเมิดหรือการฉ้อโกงที่อาจจะเกิดขึ้นได้ตลอดเวลา

บทเรียนต่างๆ ที่ได้กล่าวมาข้างต้น น่าจะช่วยให้ทุกท่านได้ทราบถึงมาตรการจำเป็นที่ควรจะนำมาใช้งานในองค์กรโดยไม่จำเป็นต้องรอให้เกิดเหตุเสียหายขึ้นกับตัว ซึ่งก็เพราะมีองค์กรอื่นยอมเสียสละตนเองในการพิสูจน์ไปแล้วนั่นเองครับ

Content Cr: InformationSecurityBuzz.com / DestinationOne Counselor

Photo Cr: Ebyline.com