4 ความคิดผิดๆ ด้านความมั่นคงปลอดภัยที่ต้องหลีกเลี่ยง

หลายองค์กรในปัจจุบันต่างเริ่มวางมาตรการควบคุมสำหรับป้องกันเหตุ Data Breach จัดทำนโยบายและนำกลยุทธ์ต่างๆ เข้ามาใช้เพื่อให้รู้สึกว่าตัวเองได้รับการคุ้มครองจากภัยคุกคามไซเบอร์ อย่างไรก็ตาม การป้องกันที่มีอยู่อาจไม่ได้แข็งแกร่งอย่างที่ตนเองคิด ภัยคุกคามมีการอัปเดตอยู่ตลอดเวลาและเราต้องคอยเฝ้าระวังและรู้ให้เท่าทันการโจมตีไซเบอร์ล่าสุด พยายามอย่าติดกับดักความคิดตัวเองดัง 4 ข้อต่อไปนี้

Credit: bikeriderlondon/ShutterStock

1. ไม่ใช่ความเสี่ยงใหญ่โตอะไร

ธุรกิจขนาดเล็กมักจะมีแนวคิดว่าองค์กรขนาดใหญ่จะตกเป็นเป้าหมายของการโจมตีก่อนเป็นแน่ อย่างไรก็ตาม ความจริงคือแฮ็กเกอร์นิยมพุ่งเป้าไปยังเป้าหมายที่โจมตีได้ง่ายกว่า ถ้าธุรกิจของคุณมีมาตรการควบคุมที่ไม่แข็งแกร่งพอ ย่อมตกเป็นหนึ่งในเหยื่ออันโอชะของแฮ็กเกอร์ นอกจากนี้ ความคิดที่ว่าธุรกิจของตนไม่ได้มีข้อมูลอะไรที่สำคัญก็ถือเป็นความเสี่ยงสำคัญ เนื่องจากจุดประสงค์ของแฮ็กเกอร์ไม่ได้มีเพียงการขโมยข้อมูลเพียงอย่างเดียว แต่อาจใช้ระบบของคุณเป็นฐานในการโจมตีแบบ DDoS หรือทำ Cryoptocurrency Mining เพื่อสร้างรายได้ให้แฮ็กเกอร์โดยตรงได้

2. เราผ่านมาตรฐานด้านความมั่นคงปลอดภัยแล้ว

มันเป็นเรื่องดีที่จะทำให้ระบบและกระบวนการต่างๆ ขององค์กรผ่านมาตรฐานและข้อกำหนดต่างๆ เช่น GDPR, PCI-DSS หรือ ISO 27001 อย่างไรก็ตาม การยกระดับการรักษาความมั่นคงปลอดภัยขององค์กรได้ดียิ่งขึ้นตามมาตรฐานเหล่านี้ไม่ได้การันตีว่าจะรอดพ้นจากการโจมตีไซเบอร์และเหตุ Data Breach องค์กรจำเป็นต้องมีการประเมินความเสี่ยงและปรับปรุงมาตรการควบคุมอย่างต่อเนื่องเพื่อให้พร้อมรับมือกับภัยคุกคามแบบใหม่ และจำไว้เสมอว่า มาตรฐานและข้อกำหนดเหล่านั้นไม่ได้เป็นเพียงแค่ Checklist ที่ติ๊กว่าทำแล้วก็จบไป

3. พนักงานของเราผ่านการอบรมเรียบร้อย

การอบรมเพื่อสร้างความตระหนักด้านความมั่นคงปลอดภัยเป็นสิ่งที่พึงกระทำ แต่เช่นเดียวกับมาตรฐานด้านความมั่นคงปลอดภัย การอบรมไม่ใช่สิ่งที่ทำขึ้นครั้งเดียวแล้วจบไป แล้วพนักงานจะกลายเป็นนักรบไซเบอร์ที่พร้อมรับมือกับการโจมตีทุกรูปแบบ การอบรมควรจัดขึ้นเป็นประจำและมีการอัปเดตเนื้อหาใหม่ๆ ในตรงกับสิ่งที่เกิดขึ้นจริงไนปัจจุบัน รวมไปถึงควรมีการจำลองสถานการณ์โจมตีจริง เพื่อฝึกซ้อมทักษะภาคปฏิบัตินอกเหนือจากการให้ความรู้เชิงทฤษฎีเพียงอย่างเดียว เพื่อให้มั่นใจว่าพนักงานสามารถรับมือได้อย่างถูกต้องและรวดเร็วเมื่อเกิดเหตุจริง

4. เรามีประกันภัยด้านไซเบอร์อยู่แล้ว

ประกันภัยด้านไซเบอร์นับว่าเป็นนิยามใหม่ทางด้านความมั่นคงปลอดภัย หลายองค์กรซื้อประกันภัยด้านไซเบอร์เพื่อให้ตัวเองอุ่นใจว่าถ้ามีปัญหาจะได้ค่าชดเชยแน่นอน แล้วละเลยการวางมาตรการควบคุมเพื่อลดความเสี่ยง อย่างไรก็ตาม ประกันภัยไซเบอร์ก็ไม่ได้ครอบคลุมการเกิดเหตุทุกกรณีหรือมีวาระซ่อนเร้นที่ทำให้คุณไม่ได้รับค่าชดเชยอย่างที่ควรจะเป็น ที่สำคัญคือ ประกันภัยด้านไซเบอร์ก็มีลักษณะเช่นเดียวกับประกันสุขภาพ เราไม่สามารถละเลยการทำให้สุขภาพของตนแข็งแรงและลดสาเหตุการเกิดโรคต่างๆ เนื่องจากมีประกันสุขภาพแล้วได้ เพราะเมื่อมีเหตุผิดปกติเกิดขึ้น ผลเสียก็เกิดขึ้นกับตัวเรา ถึงแม้ว่าจะมีเงินมาชดเชยให้ก็ตาม

ที่มา: https://www.csoonline.com/article/3316438/security/4-dangerous-security-assumptions-to-avoid.html


About techtalkthai

ทีมงาน TechTalkThai เป็นกลุ่มบุคคลที่ทำงานในสาย Enterprise IT ที่มีความเชี่ยวชาญทางด้าน Network, Security, Server, Storage, Operating System และ Virtualization มารวมตัวกันเพื่ออัพเดตข่าวสารทางด้าน Enterprise IT ให้แก่ชาว IT ในไทยโดยเฉพาะ

Check Also

Tor Browser พร้อมให้บริการบน Android แล้ว

Tor Project ไปประกาศปล่อย Tor Browser เวอร์ชันสเถียรให้ผู้สนใจดาวน์โหลดกันได้บน Google Play แล้ว

นักวิจัยสาธิต PoC 3 ช่องโหว่ Zero-day ใหม่ของ Windows ไว้บน GitHub

คงต้องกล่าวว่านักวิจัยคนเดิม (SandboxEscaper) เพิ่มเติมคืออีก 3 ช่องโหว่ Zero-day และ 1 ช่องโหว่ที่ Microsoft เพิ่งแพตช์ไปไม่นานนี้ โดยเป็นคนเดียวกับคนที่ค้นพบช่องโหว่ Zero-day บน Task …