BYOD กับความมั่นคงปลอดภัยของระบบเครือข่าย

BYOD กับความมั่นคงปลอดภัยของระบบเครือข่าย

ยุคนี้องค์กรหลายแห่งจำเป็นต้องยินยอมให้พนักงานทำงานผ่านอุปกรณ์ของตนเอง (Bring Your Own Devices: BYOD) เนื่องด้วยความสะดวกคล่องตัว ทำงานได้ทุกสถานที่ เกิดผลงานอย่างรวดเร็ว ซึ่งนั่นหมายถึงการยอมรับความเสี่ยงที่เพิ่มขึ้นจากการใช้งานอุปกรณ์เหล่านี้ ไม่ว่าจะเป็นเรื่องข้อมูลที่อาจจะรั่วไหล, OS หรือแอพพลิเคชั่นที่ได้อัพเดท หรืออุปกรณ์ที่ไม่ได้รับการปกป้องอย่างเหมาะสม เป็นต้น

ประเด็นหนึ่งที่องค์กรจะต้องได้รับผลกระทบแน่ๆ จากนโยบายการทำงานแบบ BYOD ก็คือเรื่องของความมั่นคงปลอดภัยของระบบเครือข่าย ซึ่งล่าสุด ผมได้อ่านบทความที่น่าสนใจเกี่ยวกับเรื่องนี้ และเห็นว่าน่าจะนำมาสรุปให้เป็นประโยชน์แก่ผู้อ่านทุกท่าน ดังต่อไปนี้

1. ใช้กลยุทธ์แบ่งโครงสร้างของระบบเครือข่าย : ผู้เชี่ยวชาญได้แนะนำให้แบ่งเครือข่ายขององค์กรออกเป็น 3 ส่วน ได้แก่ (1) เครือข่ายสาธารณะ, (2) เครือข่ายสำหรับการใช้งานภายใน และ (3) เครือข่ายที่จำกัดการเข้าถึง แล้วทำการตั้งค่า Configuration รวมถึงบังคับใช้นโยบายควบคุมการเข้าถึงเครือข่ายแต่ละประเภทให้เหมาะสม เช่น อุปกรณ์ที่ไม่เคยลงทะเบียนหรือไม่ผ่านมาตรฐานความมั่นคงปลอดภัยจะสามารถเข้าถึงได้เฉพาะเครือข่ายสาธารณะ เป็นต้น สำหรับเครือข่ายที่จำกัดการเข้าถึง ควรจะได้รับการปกป้องอย่างรัดกุม เช่น มีการจำกัด IP, มีการตรวจพิสูจน์ตัวตนแบบหลายชั้น และการจำกัดการใช้งานระบบ VPN เป็นต้น
2. จำกัดการเข้าถึงระบบให้เป็นแบบ Single Point : พนักงานทุกคนควรจะรู้สิทธิ์ในการเข้าถึงระบบและข้อมูลของตน โดยเฉพาะการเข้าถึงผ่านอุปกรณ์ส่วนตัว ให้จำกัดตามความจำเป็นเท่านั้น องค์กรควรจะควบคุมการเข้าถึงระบบเครือข่ายให้เป็นแบบ Single Point เพื่อให้สามารถตรวจสอบได้ทั้งหมดอย่างละเอียด และตั้งเงื่อนไขในการเข้าใช้ เช่น กำหนดสถานที่หรือเวลาที่สามารถเชื่อมต่อระบบได้อย่างรัดกุม
3. เพิ่มการตรวจพิสูจน์ตัวตนเมื่อต้องการเข้าถึงทรัพยากรขององค์กร : องค์กรอาจจะต้องลงทุนเพิ่มเติมด้วยการจัดหาซอฟต์แวร์ที่ช่วยเพิ่มระดับความมั่นคงปลอดภัยในการตรวจพิสูจน์ตัวตน เช่น ซอฟต์แวร์ประเภท Identity and Access Management (IAM) หรือ Single Sign-On (SOS) เป็นต้น
4. บริหารจัดการอุปกรณ์อย่างมั่นคงปลอดภัย : นอกจากการควบคุมและปกป้องที่ระบบเครือข่ายแล้ว ความมั่นคงปลอดภัยจะเกิดขึ้นได้ก็เมื่อมีการบริหารจัดการอุปกรณ์ที่ดีอีกด้วย อุปกรณ์ต่างๆ ควรจะได้รับการปกป้องด้วยรหัสผ่านที่เข้มแข็ง มีการติดตั้งแอพลิเคชั่นป้องกันมัลแวร์ องค์กรจะต้องจัดให้มีการลงทะเบียนและตรวจสอบอุปกรณ์อย่างเหมาะสม ที่สำคัญคือจะต้องมีการอบรมให้ความรู้เกี่ยวกับการบริหารจัดการอุปกรณ์อย่างมั่นคงปลอดภัย และการปฏิบัติตามนโยบาย BYOD อย่างเคร่งครัด

Content Cr: HelpNetSecurity.com / DestinationOne Counselor

Photo Cr: BizzDesign.com

การบริหารจัดการ Access Control ที่ดีควรเป็นเช่นไร

การบริหารจัดการ Access Control ที่ดีควรเป็นเช่นไร?

Access Control หรือการควบคุมการเข้าถึง จัดเป็นกระบวนการสำคัญที่ทุกองค์กรต้องมีและต้องบริหารจัดการเป็นอย่างดี รวมถึงจำเป็นต้องบังคับใช้ให้บุคลากรทุกคนปฏิบัติตามอย่างเคร่งครัดตลอดเวลา เพื่อความมั่นคงปลอดภัยและควบคุมระดับความเสี่ยงต่างๆ ที่อาจจะเกิดขึ้นขององค์กรให้อยู่ในระดับที่สามารถยอมรับได้ (Acceptable Level) ซึ่งจะทำให้การดำเนินธุรกิจขององค์กรมีความราบรื่นต่อเนื่องและสามารถส่งมอบสินค้า/บริการได้ตามความคาดหวัง

 10 สิ่งที่ต้องบริหารจัดการเพื่อควบคุมการเข้าถึงให้ดียิ่งขึ้น

1. นโยบาย ระเบียบ คำสั่ง: องค์กรจะต้องประกาศแนวทางและจุดยืนเกี่ยวกับการควบคุมการเข้าถึงอย่างชัดเจน เพื่อกำหนดทิศทางการควบคุมการเข้าถึงให้ทุกฝ่ายรับทราบ
2. ขั้นตอน วิธีการ: ขั้นตอนและวิธีการปฏิบัติที่ชัดเจนและเป็นลายลักษณ์อักษร จะช่วยแนะนำให้พนักงานสามารถปฏิบัติตามได้ง่าย และป้องกันการเข้าใจผิด
3. ระบบ/เทคโนโลยี: ต้องมีการจัดหาระบบและเทคโนโลยีที่เหมาะสมมารองรับกระบวนการที่ได้กำหนดไว้
4. การจัดการความเสี่ยง: ความเสี่ยงที่เกี่ยวข้องกับองค์กรจะต้องได้รับการประเมินและจัดการให้สอดคล้องตามเป้าหมายด้านความมั่นคงปลอดภัยและความต้องการทางธุรกิจ
5. การอบรมให้ความรู้: ต้องมีการอบรมและให้ความรู้กับผู้เกี่ยวข้องตามหน้าที่ความรับผิดชอบและความจำเป็น
6. การสร้างความตระหนักรู้: ต้องสร้างและย้ำเตือนความตระหนักด้านความมั่นคงปลอดภัยและการควบคุมการเข้าถึงอย่างสม่ำเสมอ
7. การให้สิทธิ์และการถอดถอนสิทธิ์: ต้องมีการกำหนดสิทธิ์การเข้าถึงอย่างเหมาะสมตามบทบาทหน้าที่ และต้องมีการถอดถอนสิทธิ์เมื่อหมดความจำเป็น
8. การเก็บบันทึกและการตรวจสอบ: ต้องมีการบันทึกกิจกรรมต่างๆ ที่เกี่ยวข้องกับการควบคุมการเข้าถึง และต้องมีการตรวจสอบความถูกต้องหรือความผิดปกติอย่างสม่ำเสมอ
9. การตรวจสอบภายใน/ภายนอก: มีการตรวจสอบกระบวนการบริหารจัดการการควบคุมการเข้าถึง ทั้งจากหน่วยตรวจสอบภายใน และจากผู้ตรวจสอบอิสระจากภายนอก
10. การทดสอบระบบ: ต้องมีการทดสอบระบบเป็นระยะๆ เพื่อให้สอดคล้องตามความเสี่ยงและความต้องการทางธุรกิจ

การควบคุมการเข้าถึงอย่างมีประสิทธิภาพจะช่วยให้องค์กรได้รับประโยชน์ในหลายๆ ด้าน ทั้งทางตรงและทางอ้อม อาทิ ประโยชน์ด้านความมั่นคงปลอดภัย ด้านความเสี่ยง ด้านภาพลักษณ์ ด้านความต่อเนื่องในการดำเนินธุรกิจ ด้านกฎหมาย รวมถึงตอบสนองความต้องการทางธุรกิจและความคาดหวังของผู้ที่มีเกี่ยวข้องทุกส่วนอีกด้วย

Content Cr: DestinationOne Counselor

Photo Cr: Evolllution.com

คอนโดมิเนียมกับความมั่นคงปลอดภัยตามมาตรฐาน ISO 27001

คอนโดมิเนียมกับความมั่นคงปลอดภัยตามมาตรฐาน ISO 27001

คอนโดมิเนียม เป็นที่พักอาศัยประเภทยอดนิยม โดยเฉพาะยิ่งสำหรับผู้ที่ใช้ชีวิตอยู่ในเมืองใหญ่ ซึ่งที่ผ่านมานั้น เราน่าจะได้ยินข่าวเกี่ยวกับภัยคุกคามของผู้ที่พักอาศัยอยู่ตามคอนโดฯ เป็นระยะๆ ดังนั้น การพิจารณาเลือกซื้อคอนโดฯ สักยูนิตโดยใช้เกณฑ์ด้านความมั่นคงปลอดภัยและประเมินความเสี่ยงแวดล้อมร่วมด้วยนั้น จึงเป็นเรื่องสำคัญมาก

วันนี้ผมมีคำแนะนำดีๆ โดยประยุกต์เอาแนวทางจากมาตรฐาน ISO 27001:2013 มาใช้ เพื่อการพิจารณาตัดสินใจเกี่ยวกับความมั่นคงปลอดภัยของคอนโดฯ ที่คุณอาจจะกำลังหมายตาอยู่ดังนี้ครับ..

10 สิ่งที่ต้องให้ความสำคัญเพื่อความมั่นคงปลอดภัยสำหรับคอนโดมิเนียม

1. ตำแหน่งที่ตั้ง พิจารณาว่าทำเล และดูว่าห้องที่สนใจนั้นตั้งอยู่ชั้นใด ด้านใดของตัวอาคาร อยู่ใกล้หรือติดกับสถานที่ที่มีความเสี่ยงใดๆ หรือไม่ เป็นต้น
2. โครงสร้างอาคาร โครงสร้างจะต้องมั่นคงแข็งแรง สามารถรองรับแรงสั่นสะเทือนของแผ่นดินไหวได้ตามมาตรฐาน/กฎหมายกำหนด ต้องมีทางเข้าออกที่มั่นคงปลอดภัย มีการป้องกันหลายชั้น รวมถึงยากต่อการบุกรุก
3. กำแพง/รั้ว ขอบเขตของคอนโดฯ จะต้องมีรั้วรอบขอบชิด โดยจะต้องมีความสูงและความแข็งแรงสอดคล้องกับความเสี่ยงและสภาพแวดล้อมของสถานที่
4. แผนอพยพ/แผนฉุกเฉิน คอนโดฯ ที่ดีจะต้องมีการกำหนดแผนอพยพหรือแผนเพื่อรับมือในกรณีเกิดเหตุฉุกเฉิน มีระบบไฟฟ้าสำรอง แผนผังเส้นทางหนีไฟ และมีการจัดซ้อมอพยพประจำปี
5. ระบบตรวจจับ/เฝ้าระวัง ระบบเหล่านี้จะต้องช่วยป้องกันและเตือนภัยได้อย่างมีประสิทธิภาพ อาทิเช่น ระบบตรวจจับควัน ระบบตรวจจับความร้อน เป็นต้น
6. ระบบดับเพลิง คอนโดฯ นั้นจะต้องมีการติดตั้งระบบดับเพลิงที่ได้มาตรฐาน พร้อมมีการทดสอบและฝึกอบรมการใช้งานอย่างเหมาะสม เช่น ระบบสปริงเกอร์ ถังดับเพลิง เป็นต้น
7. ระบบกล้อง CCTV คุณควรจะต้องสังเกตตำแหน่งที่ติดตั้งกล้องว่าครอบคลุมบริเวณสำคัญ และมีจำนวนพอเพียงหรือไม่ คุณภาพของกล้องที่ใช้ ความละเอียดของภาพที่ได้ และการเก็บบันทึกภาพ เป็นต้น
8. การควบคุมการเข้าถึง/ระบบคีย์การ์ด การเข้าออกตัวอาคารจะต้องได้รับการบริหารจัดการอย่างเหมาะสม โดยจะต้องมีการตรวจพิสูจน์ตัวตนก่อนเข้าสถานที่เสมอ ผู้ติดต่อก็จะต้องมีการบันทึกและแลกบัตร รวมถึงจะต้องสามารถตรวจย้อนหลังได้ด้วย
9. พนักงานรักษาความปลอดภัย พนักงานจะต้องได้รับการตรวจประวัติและความประพฤติย้อนหลังก่อนเริ่มงาน และจะต้องได้รับการอบรมเพื่อให้มีความตระหนักด้านความมั่นคงปลอดภัยอยู่เสมอ และสามารถตอบสนองได้อย่างเหมาะสมเมื่อพบเหตุการณ์ผิดปกติ
10. สัญญาการให้บริการ คุณควรจะขอดูรายละเอียดของสัญญาการให้บริการอย่างรอบคอบ โดยดูว่าการให้บริการและซ่อมบำรุงต่างๆ นั้น ครอบคลุมเรื่องใดบ้าง และมีรอบระยะเวลาอย่างไร มีอุปกรณ์หรือระบบสำรองใดๆ บ้าง และสามารถตรวจประเมินการให้บริการของคอนโดฯ ได้หรือไม่ ด้วยวิธีใด

Content Cr: DestinationOne Counselor

Photo Cr: en.Wikipedia.org