แนะเสริมเกราะป้องกัน ภัยไซเบอร์ให้กับองค์กร
จากกรณีเมื่อวันที่ 22 พฤษภาคมที่ผ่านมา นักวิจัย Bitdefende ได้ออกมาเตือนถึงการมุ่งเป้าโจมตีองค์กรระดับสูง อย่างทหารและรัฐบาลของกลุ่มประเทศในทะเลจีนใต้ โดยกลุ่มแฮ็กเกอร์จีน “Unfading Sea Haze” ทั้งนี้รายงานระบุว่า นักวิจัยตั้งข้อสันนิษฐานถึงกลุ่มผู้สนับสนุน เนื่องจากมีการใช้เครื่องมือที่แฮ็กเกอร์จีนนิยมใช้นอกจากนี้ยังมีเทคนิคการเจาะระบบคล้ายกับกลุ่ม APT41 ที่ได้รับทุนสนับสนุนจากรัฐบาล ซึ่งมีการโจมตีองค์กรตั้งแต่ 70 ถึง 116 องค์กรใน 23 ประเทศ
นอกจากนี้ยังพบว่า แฮ็กเกอร์กลุ่มนี้เคลื่อนไหวมาตั้งแต่ปี 2018 โดยมีการกลับมาโจมตีองค์กรเดิมซ้ำ เนื่องจากค้นพบช่องโหว่และมองว่าองค์กรเหล่านี้ไม่มีเครื่องมือป้องกันที่ดีพอ ขณะที่เครื่องมือที่แฮ็กเกอร์กลุ่มนี้ใช้ก็มีความซับซ้อน และปรับเปลี่ยนอยู่ตลอด จึงช่วยสร้างโอกาสในการโจมตีได้ง่ายขึ้น
เพราะองค์กรเต็มไปด้วยช่องโหว่ ไร้เครื่องมือป้องกันที่ดี…
สาเหตุของการถูกเจาะระบบมักเกิดจากความประมาท….ถึงเวลาแล้วหรือไม่ที่จะติดเกราะป้องกัน จากสถิติจำนวนการก่ออาชญากรรมทางไซเบอร์ในปี 2024 ที่เพิ่มสูงขึ้นแสดงให้เห็นว่า ไม่ว่าจะองค์กรเล็กหรือใหญ่ อยู่ในภาคธุรกิจใด ก็อาจตกเป็นเหยื่อของเหล่าแฮ็กเกอร์ได้ โพสต์นี้ Security Pitch จึงขอแนะนำ 7 แนวทางเสริมเกราะป้องกันให้กับองค์กร หรือ ธุรกิจ
1. ติดตั้ง Network Security
หากเปรียบ Firewall เป็นดั่งป้อม รปภ. ที่คอยควบคุมการเข้าออกของข้อมูลการจราจรทางคอมพิวเตอร์ (หรือ Log File) Log File เองก็คงเป็นดั่งกล้องวงจรปิดที่คอยสอดส่อง ตรวจสอบพฤติกรรมการเข้าใช้งานระบบของพนักงาน ซึ่งนี่เป็นเพียงส่วนหนึ่งของระบบรักษาความปลอดภัยเครือข่ายคอมพิวเตอร์ หรือ Network Security ด่านแรกที่คอยป้องกันการโจมตีทางไซเบอร์
2. จัดระเบียบเครือข่ายให้ชัดเจน
เพราะระบบเครือข่ายภายในเปรียบเสมือนคลังข้อมูลสำคัญที่ต้องมีกำแพงปราการที่แข็งแกร่ง การจัดระเบียบให้ชัดเจน เฉพาะพนักงานบางตำแหน่งเท่านั้นที่สามารถใช้งานหรือเข้าถึงระบบสำคัญได้ จึงเป็นเสมือนการกำหนดหน้าที่ทหารองค์รักษ์ ขณะที่ผู้เยี่ยมชมก็สามารถเข้าถึงระบบได้เพียงแต่ภายนอกเท่านั้น
3. กำหนดนโยบายความปลอดภัยทางไซเบอร์
เพื่อให้ระบบความปลอดภัยขององค์กรแข็งแกร่งและมีประสิทธิภาพ คนในองค์กรรับรู้และพร้อมใจปฏิบัติตาม สิ่งสำคัญข้อหนึ่งก็คือการกำหนดนโยบายด้านความปลอดภัยทางไซเบอร์ และการคุ้มครองข้อมูลส่วนบุคคลให้ชัดเจน ครอบคลุมทั้งการใช้อุปกรณ์สื่อสารทางออนไลน์ การเก็บรักษาข้อมูลขององค์กร และการลบทำลาย เป็นต้น
4. ฝึกอบรม ให้ความรู้ด้าน Cybersecurity แก่บุคลากร
นอกจากทีมรักษาความปลอดภัย พนักงานทั่วไปในองค์กรเองก็ควรต้องมีความรู้ความเข้าใจเกี่ยวกับภัยทางไซเบอร์ รวมถึงวิธีหลีกเลี่ยงลดความเสี่ยงที่จะเป็นเสมือนเกราะคุ้มกันภัยในระยะยาวให้แก่องค์กร
5. จัดระบบการสำรองข้อมูลขององค์กร
อีกเทคนิคที่หลายองค์กรนิยมใช้ คือ กฎ 3-2-1 Backup Rule อันประกอบด้วยใจความหลัก 3 ข้อ ได้แก่
- สำรองข้อมูลอย่างน้อย 3 ชุด คือ ข้อมูลหลักต้นฉบับบนคอมพิวเตอร์ 1 ชุด และข้อมูลสำรองบนระบบสำรองอีก 2 ชุด
- ใช้ 2 เทคโนโลยีในการสำรองข้อมูลเป็นอย่างน้อย เช่น HDD + Cloud หรือ HDD + Tape
- สำรองข้อมูล 1 ชุด ไปสำรองเอาไว้แบบออฟไลน์ เช่น DR Site หรือ บน Cloud ที่ไม่ใช่ Data Center
6. ใช้วิธีการยืนยันตัวตนแบบหลายปัจจัย
MFA (Multi-Factor Authentication) นับเป็นวิธีเพิ่มความปลอดภัยในการเข้าใช้งานระบบ ที่กำหนดให้ผู้ใช้ต้องป้อนข้อมูลที่นอกเหนือจากรหัสผ่าน เช่น รหัสที่ส่งไปยังอีเมล, SMS หรือ App Authentication ที่ใช้คู่กับการป้อนรหัสผ่าน เพื่อช่วยป้องกันการเข้าถึงบัญชีโดยไม่ได้รับอนุญาตอีกชั้น เพื่อว่าในกรณีที่รหัสผ่านเกิดหลุดออกไป ก็ยังยากที่จะสวมรอยเข้าใช้งานระบบ
7. ติดตั้งซอฟต์แวร์ที่ปลอดภัย ได้มาตรฐาน และอัปเดตอยู่เสมอ
เพราะหนึ่งในภัยคุกคามอาจมาในรูปแบบของซอฟต์แวร์ตัวร้าย ที่แฝงมาขัดขวางการทำงานบางอย่างของระบบภายในคอมพิวเตอร์หรือเครือข่าย เพื่อลดช่องโหว่ด้านความปลอดภัย ควรตรวจสอบให้แน่ใจว่าพนักงานในองค์กรใช้ซอฟต์แวร์ที่มีลิขสิทธิ์ถูกต้อง มีการอัปเดตเวอร์ชันอยู่เสมอ หรือทางที่ดีควรเลือกซอฟต์แวร์ที่ได้รับการรับรองมาตรฐาน เช่น มาตรฐาน ISO 29110 (Software Engineering-Lifecycle Profiles for Very Small Enterprises (VSE) ที่ให้การรับรองคุณภาพของสถานประกอบการอุตสาหกรรมซอฟต์แวร์สำหรับบริษัทพัฒนาซอฟต์แวร์ขนาดเล็กนั่นเอง
และหากองค์กรของคุณต้องการเครื่องมือสำหรับบริหารจัดการความปลอดภัย เพื่อป้องกันและลดความเสี่ยงจากภัยทางไซเบอร์ Security Pitch ขอนำเสนอ OneFence แพลตฟอร์มบริหารจัดการความปลอดภัยที่ครอบคลุมสำหรับองค์กร ไม่ว่าเรื่อง Privacy หรือ Cybersecurity เราก็ช่วยคุณได้ ด้วย 10 โมดูลสำคัญจาก OneFence ประกอบด้วย
- Cookie Consent Management : สร้าง ปรับแต่ง และจัดการคุกกี้บนเว็บไซต์ได้อย่างง่ายดาย (สอดคล้องตามกฎหมาย PDPA มาตรา 19-20 คือ การแจ้งวัตถุประสงค์ เก็บรวบรวม ใช้ หรือเผยแพร่ข้อมูลส่วนบุคคล)
- Policy & Notice Management : สร้างและบริหารประกาศนโยบายการคุ้มครองข้อมูลส่วนบุคคล (สอดคล้องตามกฎหมาย PDPA มาตรา 23 คือ จัดทำประกาศความเป็นส่วนตัว หรือ Privacy Notice)
- Consent Management : สร้างเว็บฟอร์ม เพื่อจัดการ และรวบรวมความยินยอมจากทุกช่องทาง (สอดคล้องตามกฎหมาย PDPA มาตรา 19-20 คือ การแจ้งวัตถุประสงค์ เก็บรวบรวม ใช้ หรือเผยแพร่ข้อมูลส่วนบุคคล)
- DSAR Automation : บริหารจัดการ สร้างช่องทางรับคำขอใช้สิทธิตามกฎหมาย (สอดคล้องตามกฎหมาย PDPA มาตรา 30 คือ มีช่องทางในการรับคำร้องขอใช้สิทธิตามที่เจ้าของข้อมูลส่วนบุคคลร้องขอ)
- Data Mapping : สร้างภาพความเชื่อมโยงของกระแสข้อมูล หรือ Data Flow ที่ไหลภายในองค์กร (สอดคล้องตามกฎหมาย PDPA มาตรา 39 คือ จัดทำบันทึกกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (ROPA))
- Data Breach Management : แจ้งเหตุ กรณีการรั่วไหล หรือละเมิดข้อมูลส่วนบุคคล พร้อมระบบเฝ้าติดตาม (สอดคล้องตามกฎหมาย PDPA มาตรา 37(4) คือ มีมาตรการแจ้งเตือนเหตุละเมิดข้อมูลส่วนบุคคล)
- Log Management : รวบรวม จัดเก็บไฟล์ Log และข้อมูลด้านความปลอดภัย พร้อมหาความสัมพันธ์เกี่ยวกับเหตุภัยคุกคาม (สอดคล้องตาม พ.ร.บ.คอมพิวเตอร์ฯ 2560)
- Security Information & Event Management (SIEM) : วิเคราะห์หาความสัมพันธ์ แจ้งเตือนเพื่อป้องกัน และตรวจจับภัยคุกคามทางไซเบอร์
- Cyber Threat Intelligence : รวบรวม อัปเดตข้อมูลการข่าวเกี่ยวกับภัยคุกคามทางไซเบอร์ เพื่อเพิ่มศักยภาพในการป้องกันภัย
- Assessment Automation : ประเมินความพร้อมสถานภาพการดำเนินงาน หรือความเสี่ยงด้านความมั่นคงปลอดภัยตามกฎหมาย (สอดคล้องตามกฎหมาย PDPA มาตรา 37(1) คือ จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม)
ปรึกษาหาโซลูชัน หรือสอบถามรายละเอียดเพิ่มเติมได้ที่ 080-456-9333, และ 061-462-6414 หรือช่องทางเพจ OneFence
ที่มา : Bitdefender
บทความที่น่าสนใจ
