Audit and Compliance

จบไปแล้วครับสำหรับงาน “Man in the Information Systems Security Day” หรือ MiSS Day งานสัมมนาด้าน Cyber Security ครั้งแรกของ IT Connect ในฐานะทีมงานประชาสัมพันธ์ (และโฆษก ?) TechTalkThai ขอเป็นตัวแทนทีมงาน IT Connect กล่าวขอบพระคุณทุกท่านที่เข้าร่วมงานสัมมนาเพื่อแลกเปลี่ยนความรู้ในครั้งนี้ รวมไปถึงท่านที่สนใจลงทะเบียนแต่ไม่สามารถเข้าร่วมงานได้ ท่านสามารถดาวน์โหลด Slides ของวิทยากรได้ด้านล่าง

สภามาตรฐานด้านความมั่นคงปลอดภัยของการใช้บัตรชำระเงิน (Payment Card Industry Security Standard Council) ออกมาตรฐาน PCI-DSS ซึ่งเป็นมาตรฐานด้านความมั่นคงปลอดภัยของข้อมูลสำหรับองค์กรที่ต้องจัดการกับข้อมูลบัตรเครดิตของลูกค้า เวอร์ชันใหม่ล่าสุด คือ 3.2 ซึ่งข้อกำหนดที่เปลี่ยนไปจากเดิม มีดังนี้

** ดาวน์โหลด HPE Aruba Data Sheet: ClearPass Policy Manager ฉบับภาษาไทยได้ตามลิงค์ด้านล่างบทความ ปัจจุบันนี้ ในยุค #GenMobile ที่มีการนำอุปกรณ์ส่วนตัว (BYOD) เข้ามาใช้ในการทำงานร่วมกับอุปกรณ์ของบริษัทเป็นจำนวนมาก การพิสูจน์ตัวตน กำหนดนโยบายสำหรับควบคุมการใช้งาน ตั้งค่าอุปกรณ์ต่างๆ และประเมินสถานะของอุปกรณ์หลากหลายชนิดเหล่านั้นกลายเป็นสิ่งท้าทายสำหรับฝ่าย IT ที่มีทรัพยากรจำกัด

จากกรณีที่แฮ็คเกอร์เจาะเข้าระบบเซิร์ฟเวอร์ของธนาคารกลางบังคลาเทศ แล้วส่งคำร้องไปยัง Federal Reserve Bank ในนิวยอร์คเพื่อขโมยเงินกว่า $1,000 ล้าน เคราะห์ดีที่แฮ็คเกอร์ดันพลาด สะกดคำผิด เลยทำให้โอนเงินสำเร็จเพียงไม่กี่รายการ สูญเงินไปเพียง $81 ล้าน จากการตรวจสอบพบว่าสาเหตุมาจากการที่ธนาคารไม่มีการติดตั้งโซลูชันรักษาความมั่นคงปลอดภัยใดๆ ไม่เว้นแม้แต่ Firewall

Check Point ผู้ให้บริการโซลูชันไฟร์วอลล์ยักษ์ใหญ่ของโลก ออกมาเปิดเผยภัยคุกคามยอดนิยม 4 รูปแบบ ที่เกิดจากการใช้บริการบนระบบ Cloud โดยพนักงานภายในองค์กร พร้อมแนะนำให้ใช้โซลูชัน Cloud Access Security Broker (CASB) ร่วมกับ Next-Generation Firewall (NGFW) ในการตรวจจับและป้องกันอันตรายจากการใช้บริการ Cloud เหล่านั้น

** ดาวน์โหลด HPE Aruba Data Sheet: ClearPass ONGUARD ฉบับภาษาไทยได้ตามลิงค์ด้านล่างบทความ ยังคงอยู่ในโลกของการบริหารจัดหารและควบคุมการเข้าถึงระบบเครือข่าย (Network Access Control) อีกหนึ่งความท้าทายที่ทุกองค์กรต้องประสบ คือ เราจะทราบได้อย่างไรว่า อุปกรณ์ที่กำลังเชื่อมต่อระบบเครือข่ายของเราอยู่นั้น มีติดตั้งโปรแกรม Antivirus, Firewall และตั้งค่าต่างๆ ตรงตามข้อกำหนดขององค์กร ไม่ใช่เป็นอุปกรณ์ที่ไม่ได้มาตรฐานที่จะก่อให้เกิดความเสี่ยงและช่องโหว่ต่อระบบในอนาคต

สืบเนื่องจากหนึ่งในทีมงาน TechTalkThai ได้มีโอกาสไปร่วมงานสัมมนา Black Hat Asia 2016 ซึ่งเป็นงานสัมมนาระดับนานาชาติที่จัดขึ้นที่สิงคโปร์เมื่อปลายเดือนมีนาคมที่ผ่านมา ทีมงานจึงถือโอกาสนี้เขียนรีวิวการไปร่วมงานและตอบข้อสงสัยของใครหลายคนที่ว่า งานสัมมนารูปแบบนี้ เช่น Black Hat หรือ RSA Conference มีลักษณะเป็นอย่างไร เนื้อหาในงานสัมมนามีอะไรบ้าง และที่สำคัญคือ คุ้มค่าที่จะเสียเงินไปเข้าร่วมไหม

กลายมาเป็นประเด็นดังในสหรัฐฯ ณ ขณะนี้ หลังจากที่เกิดกรณี Apple vs. FBI ที่ทาง FBI พยายามบังคับให้ Apple ช่วยปลดล็อก iPhone ของผู้ก่อการร้าย วุฒิสมาชิก Richard Burr จากนอร์ทแคโรไลน่า และ Dianne Feinstein จากแคลิฟอร์เนีย เตรียมเสนอร่างกฏหมายคอมพิวเตอร์ฉบับใหม่ที่ระบุให้บริษัททางด้าน IT ต้องให้ความช่วยเหลือหน่วยงานรัฐบาลสหรัฐฯ ในการปลดล็อกสมาร์ทโฟนและอุปกรณ์ที่เข้ารหัสข้อมูลอื่นๆ

ทุกวันนี้ที่ Data Breach หรือการเจาะระบบเพื่อขโมยข้อมูลกลายเป็นสิ่งที่เกิดขึ้นบ่อยไม่เว้นในแต่ละวัน ความมั่นคงปลอดภัยของข้อมูลจึงเป็นประเด็นสำคัญที่บริษัทส่วนใหญ่ให้ความสนใจ หลายบริษัทมีการดำเนินนโยบายตามมาตรฐาน ISO 27001 เพื่อให้ลูกค้าหรือผู้ใช้บริการมั่นใจได้ว่า บริษัทให้ความสำคัญกับการปกป้องข้อมูลของผู้ใช้บริการและของบริษัทเอง

Imperva ผู้ให้บริการโซลชันระบบรักษาความปลอดภัยของเว็บแอพพลิเคชัน ระบบไฟล์และฐานข้อมูล ชั้นนำของโลก ได้ให้คำแนะนำถึงกลยุทธ์ด้าน Multi-layered Database Security สำหรับรับมือกับภัยคุกคามบนระบบฐานข้อมูลทั้ง 10 รูปแบบ อย่างไรก็ตาม ผู้ดูแลระบบ IT ควรพึงระลึกไว้เสมอว่า ไม่มีเทคโนโลยีหรือกระบวนการใดที่สามารถป้องกันระบบฐานข้อมูลได้อย่างสมบูรณ์ จำเป็นต้องใช้หลากหลายโซลูชันและหลากหลายแนวทางปฏิบัติเพื่อปกป้องฐานข้อมูลให้มั่นคงปลอดภัย

Imperva Application Defense Center (ADC) ทีมงานวิจัยเกี่ยวกับภัยคุกคามบนโลกไซเบอร์ของ Imperva Inc. ผู้ให้บริการโซลชันระบบรักษาความปลอดภัยของเว็บแอพพลิเคชัน ระบบไฟล์และฐานข้อมูล ชั้นนำของโลก ได้เปิดเผยภัยคุกคามและการบุกรุกโจมตีระบบฐานข้อมูลยอดนิยมในปี 2015 ที่ผ่านมา ดังนี้

บางคนอาจมีนิสัยเสีย เช่น ชอบผลัดวันประกันพรุ่ง ชอบนั่งกัดเล็บ หรืออยู่ไม่สุข เหล่านี้ อาจไม่ได้ส่งผลกระทบอะไรต่อองค์กรมากนัก แต่นิสัยเสียทางด้าน IT Security อาจก่อให้เกิดหายนะแก่องค์กรได้เลยทีเดียว ไม่ว่าจะเป็นการปล่อยให้องค์กรมีช่องโหว่จนถูกแฮ็ค การถูกโจมตีรูปแบบเดิมๆ ซ้ำๆ จนข้อมูลถูกขโมยออกไปเป็นจำนวนมาก บทความนี้จึงรวบรวม 5 นิสัยเสียของด้าน Security ที่จำเป็นต้องแก้ไขอย่างเร่งด่วน เพื่อให้ระบบขององค์กรมีความมั่นคงปลอดภัย

** ดาวน์โหลด HPE Aruba Data Sheet: GUEST ONBOARD ฉบับภาษาไทยได้ตามลิงค์ด้านล่างบทความ ต่อเนื่องจากบทความของ HPE Aruba ก่อนหน้านี้ “จัดการ Guest Access อย่างมีประสิทธิภาพ ด้วย HPE Aruba ClearPass Guest” ซึ่งเป็นการแก้ปัญหาและลดภาระของ IT Admin ในการจัดการกับผู้ใช้บริการชั่วคราว บทความนี้ก็คล้ายๆ กัน แต่เป็นการจัดการกับอุปกรณ์พกพาของพนักงานในองค์กร ตั้งแต่ระดับเด็กฝึกงานไปจนถึงระดับ C-Level

การเก็บข้อมูลเหตุการณ์บนระบบเครือข่าย ไม่ได้ถูกจำกัดแค่เรื่องการปฏิบัติตาม พรบ. คอมพิวเตอร์อีกต่อไป ข้อมูลเหล่านี้สามารถนำมาใช้ในกระบวนการ IT Operational Analytics เพื่อวิเคราะห์ต่อยอดทางด้านธุรกิจได้ ไม่ว่าจะเป็นเรื่องการเพิ่ม Visibility, การวิเคราะห์ข้อมูลแบบ End-to-end, การลด MTTR และเพิ่ม SLA รวมไปถึงการชี้วัด KPI เพื่อให้ทีมงานที่เกี่ยวข้องสามารถบริหารจัดการระบบ IT ได้อย่างรวมศูนย์

Tobias Zillner, Senior IS Auditor จาก Cognosec บริษัทที่ปรึกษาด้าน IT Security ชื่อดังจากประเทศออสเตรีย ได้ออกมาเปิดเผยถึง 10 ประเด็นด้านความมั่นคงปลอดภัยของระบบเครือข่ายสำหรับใช้เชื่อมต่อกับอุปกรณ์ Internet of Things ในงาน Black Hat Asia 2016 ที่เพิ่งจัดไปที่ประเทศสิงคโปร์

หลายปีที่ผ่านมา เมื่อคุณรูดบัตรเครดิต ข้อมูลบัตรเครดิตจะถูกเก็บไว้บนเครื่องอ่านบัตร ทำให้ยากต่อการจัดการเรื่องเข้ารหัสข้อมูล แต่หลังจากที่ได้ร่วมมือกับองค์กรเอกชนมานานเกือบทศวรรษ NIST (สถาบันมาตรฐานและเทคโนโลยีแห่งชาติของสหรัฐฯ) ก็ได้ออกมาตรฐานความมั่นคงปลอดภัยใหม่สำหรับป้องกันข้อมูลบัตรเครดิตและข้อมูลเกี่ยวกับสุขภาพของประชาชน

บทความนี้เป็นสรุปบทสัมภาษณ์พิเศษจากผู้เชี่ยวชาญด้าน Security และด้านบริหาร 3 ท่านภายในงานสัมมนา Black Hat Asia 2016 ที่เพิ่งจบลงไปเมื่อวานนี้ ได้แก่ Freddy Tan, Business Development Director จาก Singtel / (ISC)2 Russell Bunker, Director – Asia Pacific จาก Barclay Simpson Meng-chow Kang, PhD, CISSP, CISA, Director of Information Security จาก Cisco / Board Director จาก (ISC)2 ในหัวข้อเรื่อง “Advancing Your Career as a Security Pro” ซึ่งเนื้อหาจะประกอบไปด้วยแนวโน้มทิศทางการทำงานด้าน Cyber Security ความสำคัญของ Certificate และการปรับแต่ง Resume …

Westcon Solutions บริษัทที่ปรึกษาด้านเน็ตเวิร์คและความมั่นคงปลอดภัย จัดงานสัมมนา Westcon Connect 2016 ภายใต้หัวข้อ “คุณตามทันหรือไม่กับการเปลี่ยนแปลงยุคดิจิทัล” เมื่อกลางเดือนมีนาคมที่ผ่านมา ซึ่งภายในงานมีการอัพเดทผลิตภัณฑ์และโซลูชันด้านระบบเครือข่ายและความมั่นคงปลอดภัยมากมาย รวมถึงมีการเสวนากลุ่มย่อยเรื่อง “ความมั่นคงปลอดภัยในยุค Internet of Things” สำหรับผู้ที่ไม่ได้ไปร่วมงาน หรือต้องการอัพเดทเทคโนโลยีใหม่ๆ สามารถอ่านบทความสรุปด้านล่างได้เลย

การที่แต่ละองค์กรจะนำผลิตภัณฑ์หรือบริการภายนอกมาใช้ภายในองค์กรนั้น การตรวจสอบเรื่องความปลอดภัยถือเป็นสิ่งสำคัญ และ Google เองที่ต้องทำงานร่วมกับเจ้าของผลิตภัณฑ์หรือบริการต่างๆ หลายร้อยรายต่อปีนั้น ก็ได้มีระบบ Vendor Security Assessment Questionnaire (VSAQ) หรือระบบแบบประเมินผู้ผลิตในแง่ของความปลอดภัย และเปิด Open Source ให้เราใช้กันได้ฟรีๆ บน GitHub แล้ว

ต่อเนื่องจากบทความก่อนหน้านี้ Cyber Resilience แนวคิดสำหรับรับมือกับ Unknown Threats ระบบความมั่นคงปลอดภัยและมาตรฐานต่างๆ มีการปรับปรุง พัฒนา ให้พร้อมรับมือกับภัยคุกคามรูปแบบต่างๆ อยู่เสมอมา หลายบริษัทลงทุนติดตั้งอุปกรณ์ที่ดีที่สุด และเลือกใช้กระบวนการ/มาตรฐานที่ดีที่สุดในการวางแผนรับมือ และป้องกันระบบของตนจากการโจมตีของแฮ็คเกอร์ แต่ทำไมระบบขององค์กรเหล่านั้นยังคงมีช่องโหว่และถูกเจาะเข้ามาอยู่ดี