การบริหารจัดการระบบ CCTV อย่างมั่นคงปลอดภัยตามมาตรฐาน ISO 27001:2013

การบริหารจัดการระบบ CCTV อย่างมั่นคงปลอดภัยตามมาตรฐาน ISO 27001:2013

ในปัจจุบันมีการใช้งานระบบ CCTV เพื่อเพิ่มความมั่นคงปลอดภัยตามสถานที่ต่างๆ ทั้งสถานที่ราชการ สำนักงานเอกชน ร้านค้า รวมถึงที่พักอาศัย ซึงระบบ CCTV เองนั้นก็มีความหลากหลายแตกต่างกันไป ดังนั้น ผู้บริหารขององค์กรหรือเจ้าของสถานที่จึงจำเป็นที่จะต้องพิจารณาเลือกติดตั้ง CCTV ชนิดที่มีความเหมาะสมกับสภาพแวดล้อมและเงื่อนไขของตนเอง

ในบทความนี้ ทีมงาน DestinationOne ขอนำเสนอข้อมูลที่น่าสนใจ เพื่อประกอบการบริหารจัดการระบบ CCTV ของท่านให้มีความมั่นคงปลอดภัย และสอดคล้องตามมาตรฐาน ISO 27001:2013 ดังต่อไปนี้

12 สิ่งที่ต้องให้ความสำคัญเมื่อมีการติดตั้งระบบ CCTV

1. ตำแหน่งที่ติดตั้งกล้อง เป็นสิ่งแรกสุดที่ท่านต้องพิจารณาให้ความสำคัญ เพราะตำแหน่งการติดตั้งที่ถูกต้องจะช่วยให้ท่านสามารถบันทึกภาพได้อย่างมีประสิทธิภาพ

2. ประเภทของกล้อง ควรเลือกให้เหมาะสมตามระดับความเสี่ยงของพื้นที่ เช่น กล้องปกติ, กล้องที่มีเซ็นเซอร์จับการเคลื่อนไหว, กล้องแบบที่ถูกดัดแปลงรูปลักษณ์ไม่ให้ทราบว่าเป็นกล้อง เป็นต้น

3. ความละเอียดและความคมชัด จะต้องเลือกให้สัมพันธ์กับระดับความเสี่ยงของพื้นที่

4. มุมมองของกล้อง จะต้องกำหนดว่าในพื้นที่บริเวณนั้น จำเป็นจะต้องจับภาพเป็นมุมกว้างเท่าไร ถ้าหากมุมมองของกล้องยังไม่ครอบคลุมพื้นที่ อาจจะต้องพิจารณาเพิ่มจำนวนกล้องที่ติดตั้ง

5. ระยะเวลาการจัดเก็บข้อมูลภาพ ควรจะจัดเก็บข้อมูลเอาไว้อย่างน้อยไม่ต่ำกว่า 90 วัน หรือสอดคล้องตามงบประมาณขององค์กร

6. การตั้งค่าเวลา ควรจะตั้งค่าเวลาของกล้องให้สอดคล้องตามเวลาสากล รวมถึงตรวจสอบค่าเวลาของทุกระบบขององค์กรให้ถูกต้องตรงกันอีกด้วย

7. การควบคุมการเข้าถึง ต้องมีการควบคุม และตรวจสอบผู้ที่ต้องการเข้าถึงหรือใช้งานระบบอย่างเข้มงวด เพื่อปกป้องความถูกต้องของข้อมูลภาพที่ระบบ CCTV บันทึกไว้

8. การตรวจสอบและเฝ้าระวัง ข้อมูลภาพที่บันทึกไว้นั้นจะไม่มีประโยชน์ใดๆ เลย หากไม่มีการตรวจสอบและเฝ้าระวังสิ่งผิดปกติอย่างเหมาะสม ดังนั้น จึงควรจะมีการกำหนดขั้นตอนการปฏิบัติงานอย่างชัดเจน

9. การสำรองข้อมูล จะต้องมีการพิจารณาวิธีการสำรองข้อมูล ระยะเวลาการเก็บบันทึกข้อมูลสำรอง อย่างเหมาะสมตามระดับความเสี่ยง และจะต้องมีการตรวจสอบความถูกต้องและความพร้อมใช้งานของข้อมูลสำรองตามรอบระยะเวลาเพื่อความมั่นใจอีกด้วย

10. ซอฟต์แวร์หรือระบบบริหารจัดการ จะต้องได้รับการพิจารณาว่าสามารถใช้งานได้ง่ายหรือไม่ สามารถตั้งค่าให้เหมาะสมกับการใช้งานได้หรือเปล่า และมีจุดอ่อนหรือช่องโหว่ใดๆ หรือไม่

11. บุคลากร จะต้องมีทักษะความรู้และมีความตื่นตัวเกี่ยวกับความมั่นคงปลอดภัยอยู่ตลอดเวลา และต้องหมั่นสังเกตหรือตั้งข้อสงสัยอยู่เสมอ

12. สัญญาการให้บริการ องค์กรจะต้องกำหนดข้อตกลงในการให้บริการของผู้ให้บริการภายนอกอย่างชัดเจน เช่น กำหนดรอบระยะเวลาบำรุงรักษา การจัดหาอุปกรณ์สำรอง เป็นต้น

Content Cr : DestinationOne Counselor

Photo Cr : The Gaurdian, UK

การเพิ่มประสิทธิภาพการบริหารจัดการด้านความมั่นคงปลอดภัย

การเพิ่มประสิทธิภาพการบริหารจัดการด้านความมั่นคงปลอดภัย

ช่วงที่ผ่านมามีข่าวการแฮ็กเว็บไซต์ แฮ็กระบบ หรือข้อมูลรั่วไหลให้เห็นอยู่บ่อยๆ โดยเฉพาะหน่วยงานภาครัฐและธุรกิจต่างๆ ซึ่งส่งผลเสียหายเป็นมูลค่ามหาศาล และโดยเฉพาะอย่างยิ่งบั่นทอนความน่าเชื่อถือขององค์กรเป็นอย่างยิ่ง

เมื่อย้อนกลับมามอง หลายองค์กรอาจจะพบว่าสาเหตุของความสูญเสียนั้น เกิดขึ้นจากการบริหารจัดการที่ยังไม่มีประสิทธิภาพเพียงพอ เช่น ไม่มีความเข้มแข็งในการบังคับใช้นโยบายด้านความมั่นคงปลอดภัย หรือ ไม่มีการจำกัดสิทธิ์การเข้าถึงระบบอย่างเหมาะสม หรือ พนักงานขาดความรู้ความเข้าใจอย่างเพียงพอ เป็นต้น

ผลของการบริหารจัดการที่อ่อนแอนั้น จึงเปิดโอกาสให้ผู้มุ่งร้ายสามารถแฝงตัวเข้ามาขโมยข้อมูล รหัสผ่าน ความลับทางการค้า ทำให้องค์กรต้องตกอยู่ในสถานการณ์ที่ยากลำบาก ดังนั้น ทีมงาน Destination One จึงอยากจะนำเสนอแนวทางในการเพิ่มประสิทธิภาพในการบริหารจัดการความมั่นคงปลอดภัยภายในองค์กรของท่าน ดังนี้

1. บังคับใช้นโยบายด้านความมั่นคงปลอดภัยอย่างเข้มงวดจริงจัง กำหนดสิทธิ์การเข้าถึงระบบและข้อมูลอย่างเหมาะสมตามหน้าที่ความรับผิดชอบของพนักงานแต่ละตำแหน่ง ซึ่งรวมถึงขั้นตอนการปฏิบัติอย่างละเอียดอีกด้วย

2. นำเครื่องการตรวจพิสูจน์ตัวตนแบบ Biometrics-Based มาใช้เพิ่มเติม เช่น การตรวจลายนิ้วมือ, ตรวจม่านตา เป็นต้น เพราะอวัยวะที่เป็นส่วนหนึ่งของร่างกายแต่ละคนนั้นเป็นอัตลักษณ์เฉพาะตน ซึ่งยากต่อการปลอมแปลง

3. ลดการพึ่งพาทรัพยากรประเภท “คน” ในกระบวนการรักษาความมั่นคงปลอดภัยให้น้อยลง เพราะสาเหตุที่ระบบและข้อมูลถูกล่วงละเมิดนั้น เกิดจาก “Human Error” มากที่สุด

4. เข้มงวดในการกำหนดสิทธิ์การเข้าถึง การใช้งาน และการปฏิบัติตนของบุคคลภายนอกที่เราจำเป็นต้องทำงานด้วยให้มาก แม้ว่ามันอาจจะทำให้การทำงานมีขั้นตอนยุ่งยากมากขึ้น แต่มันก็คุ้มเพราะช่วยให้เรามั่นใจได้ว่าระบบและข้อมูลของเราจะมั่นคงปลอดภัย

5. หมั่นตรวจสอบบันทึกและทบทวนวิธีการเข้าถึงระบบและข้อมูลแบบทางไกล เพราะช่องทางการเข้าถึงแบบนี้มีความเสี่ยงอยู่ในระดับสูง

6. มีการทบทวน ตรวจสอบ และตรวจประเมินประสิทธิภาพของระบบบริหารจัดการความมั่นคงปลอดภัยอย่างต่อเนื่อง

การเพิ่มประสิทธิภาพการบริหารจัดการด้านความมั่นคงปลอดภัยทั้ง 6 ข้อดังกล่าวข้างต้น จะช่วยลดความสูญเสีย และปกป้องชื่อเสียงขององค์กรได้อย่างมั่นใจ อย่าลืมว่าเมื่อเกิดการเสียหายขึ้นแล้ว ความสูญเสียในรูปแบบตัวเงินนั้นอาจจะหาคืนกลับมาได้ แต่หากองค์กรสูญสิ้นความน่าเชื่อถือไป ก็ยากนักที่จะเรียกกลับคืนมา

Content Cr : DestinationOne Counselor

Reference : Net-Security.org

Photo Cr : Dreamstime

รายการกฎหมายเกี่ยวข้องกับ IT ที่ผู้บริหารควรทราบ

รายการกฎหมายเกี่ยวข้องกับ IT ที่ผู้บริหารควรทราบ

ในฐานะของ "ผู้บริหารระดับสูง หรือ ผู้บริหารสายงาน IT" ย่อมจำเป็นที่จะต้องรับทราบทำความเข้าใจถึงกฎหมาย ระเบียบ ข้อบังคับต่างๆ ที่เกี่ยวข้องกับ IT เพราะเป็นหน้าที่ขององค์กรทุกแห่งที่จะต้องปฏิบัติตามกฎหมายโดยไม่มีข้อยกเว้น และไม่สามารถอ้างได้ว่าไม่เคยรับทราบข้อมูลเหล่านี้มาก่อน

ในบทความครั้งนี้ ทีมงานของ Destination One จึงได้รวบรวมรายชื่อกฎหมายที่เกี่ยวข้องกับ IT ที่มีอยู่ในปัจจุบันทั้งหมด รวมถึงร่างกฎหมายที่กำลังจะได้รับการประกาศใช้ในอนาคตอันใกล้ เพื่อให้ท่านได้ค้นคว้าและศึกษาต่อไป ดังนี้

รายการกฎหมายที่เกี่ยวข้องกับ IT

พระราชบัญญัติ

• พระราชบัญญัติว่าด้วยธุรกรรมทางอิเล็กทรอนิกส์ พ.ศ. 2544 
• พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550

พระราชกฤษฎีกา

• พระราชกฤษฎีกาว่าด้วยวิธีการแบบปลอดภัยในการทำธุรกรรมทางอิเล็กทรอนิกส์ พ.ศ. 2553 
• พระราชกฤษฎีกาว่าด้วยการควบคุมดูแลธุรกิจบริการการชำระเงินทางอิเล็กทรอนิกส์ พ.ศ. 2551 
• พระราชกฤษฎีกากำหนดหลักเกณฑ์และวิธีการในการทำธุรกรรมทางอิเล็กทรอนิกส์ภาครัฐ พ.ศ. 2549 

ประกาศคณะกรรมการธุรกรรมทางอิเล็กทรอนิกส์

• ประกาศคณะกรรมการธุรกรรมทางอิเล็กทรอนิกส์ เรื่อง ประเภทของธุรกรรมทางอิเล็กทรอนิกส์ และหลักเกณฑ์การประเมินระดับผลกระทบของธุรกรรมทางอิเล็กทรอนิกส์ตามวิธีการแบบปลอดภัย พ.ศ. 2555 
• ประกาศคณะกรรมการธุรกรรมทางอิเล็กทรอนิกส์ เรื่อง แนวนโยบายและแนวปฏิบัติในการคุ้มครองข้อมูลส่วนบุคคลของหน่วยงานของรัฐ พ.ศ. 2553 
• ประกาศคณะกรรมการธุรกรรมทางอิเล็กทรอนิกส์ เรื่อง มาตรฐานการรักษาความมั่นคงปลอดภัยของระบบสารสนเทศตามวิธีการแบบปลอดภัย พ.ศ.  2555 
• ประกาศคณะกรรมการธุรกรรมทางอิเล็กทรอนิกส์ เรื่อง แนวนโยบายและแนวปฏิบัติในการรักษาความมั่นคงปลอดภัยด้านสารสนเทศของหน่วยงานของรัฐ (ฉบับที่ 2) พ.ศ. 2556 
• ประกาศคณะกรรมการธุรกรรมทางอิเล็กทรอนิกส์ เรื่อง แนวนโยบายและแนวปฏิบัติในการรักษาความมั่นคงปลอดภัยด้านสารสนเทศของหน่วยงานของรัฐ พ.ศ. 2553 
• ประกาศคณะกรรมการธุรกรรมทางอิเล็กทรอนิกส์ เรื่อง หลักเกณฑ์ วิธีการ และเงื่อนไขในการประกอบธุรกิจบริการการชำระเงินทางอิเล็กทรอนิกส์ พ.ศ. 2552

ประกาศกระทรวงเทคโนโลยีสารสนเทศและการสื่อสาร

• ประกาศกระทรวงเทคโนโลยีสารสนเทศและการสื่อสาร เรื่องหลักเกณฑ์การเก็บรักษาข้อมูลจราจรทางคอมพิวเตอร์ของผู้ให้บริการ พ.ศ. 2550

ประกาศธนาคารแห่งประเทศไทย  

• ประกาศธนาคารแห่งประเทศไทย ที่ สรข. 3/2552 เรื่อง นโยบายและมาตรการการรักษาความมั่นคงปลอดภัยทางระบบสารสนเทศในการประกอบธุรกิจของผู้ให้บริการการชำระเงินทางอิเล็กทรอนิกส์

รายการ (ร่าง) กฎหมายที่เกี่ยวข้องกับ IT

พระราชบัญญัติ

• (ร่าง) พระราชบัญญัติว่าด้วยธุรกรรมทางอิเล็กทรอนิกส์
• (ร่าง) พระราชบัญญัติว่าด้วยการรักษาความมั่นคงปลอดภัยไซเบอร์
• (ร่าง) พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์  
• (ร่าง) พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล   

Content Cr : DestinationOne Counselor
Photo Cr : HighwayPhoto