การรักษาความปลอดภัยระบบสารสนเทศและจรรยาบรรณเบื้องต้น

ความเสี่ยงของระบบสารสนเทศ (Information system risk)  -  เหตุการณ์หรือการกระทำใดๆ ที่ก่อให้เกิดการสูญเสียหรือทำลายฮาร์ดแวร์ (Hardware) ซอฟต์แวร์ (Software) ข้อมูล สารสนเทศ หรือความสามารถในการประมวลผลข้อมูลของระบบ

ประเภทของบุคคลที่เกี่ยวข้องกับความเสี่ยงของระบบสารสนเทศ

-         แฮกเกอร์ (Hacker)

-         แครกเกอร์ (Cracker)

-         ผู้ก่อให้เกิดภัยมือใหม่ (Script Kiddies)

-         ผู้สอดแนม (Spies)

-         เจ้าหน้าที่ขององค์กร (Employees)

-         ผู้ก่อการร้ายทางคอมพิวเตอร์ (Cyberterrorist)

ประเภทของความเสี่ยงและการรักษาความปลอดภัย

1. การโจมตีระบบเครือข่าย (Network attack)

-         การโจมตีขั้นพื้นฐาน (Basic Attacks)  เช่น กลลวงทางสังคม (Social engineering) และการรื้ออค้นเอกสารทางคอมพิวเตอร์จากที่ทิ้งขยะ (Dumpster Diving )

-         การโจมตีด้านคุณลักษณะ (Identity Attacks) เช่น DNS Spoofing และ e-mail spoofing 

-         การปฏิเสธการให้บริการ (Denial of Service หรือ DoS) เช่น Distributed denial-of-service (DDoS) , DoSHTTP (HTTP Flood Denial of Service)

-         การโจมตีด้วยมัลแวร์ (Malware)

-         โปรแกรมมุ่งร้ายที่โจมตีการปฏิบัติงานของคอมพิวเตอร์ ประกอบด้วย ไวรัส เวิร์ม โทรจันฮอร์ส และลอจิกบอมบ์

-         โปรแกรมมุ่งร้ายที่โจมตีความเป็นส่วนตัวของสารสนเทศ (Information privacy) ที่มีชื่อเรียกทั่วไปว่า สปายแวร์ (Spyware) ประกอบด้วย แอดแวร์ (Adware) พิชชิง (Phishing) คีลอกเกอะ (Keyloggers) (สำหรับแท็คการใช้คีย์บอร์ด) การเปลี่ยนการปรับแต่งระบบ (Configuration Changers) และ แบ็คดอร์ (Backdoors)

2. การเข้าถึงระบบโดยไม่ได้รับอนุญาต (Unauthorized access) - การใช้คอมพิวเตอร์หรือระบบเครือข่ายคอมพิวเตอร์โดยไม่มีสิทธิ ซึ่งส่วนมากจะเป็นการใช้คอมพิวเตอร์หรือข้อมูลในเครื่องคอมพิวเตอร์เพื่อทำกิจกรรมบางอย่างที่ผิดกฏระเบียบของกิจการหรือการกระทำที่ผิดกฏหมาย

3. การขโมย (Theft)

-         การขโมยฮาร์ดแวร์และการทำลายฮาร์ดแวร์มักอยู่รูปของการตัดสายเชื่อมต่อระบบเครือข่ายคอมพิวเตอร์

-         ขโมยซอฟต์แวร์อาจอยู่ในรูปของการขโมยสื่อจัดเก็บซอฟต์แวร์ การลบโปรแกรมโดยตั้งใจ และการทำสำเนาโปรแกรมอย่างผิดกฏหมาย

-         การขโมยสารสนเทศ มักอยู่ในรูปของการขโมยข้อมูลที่เป็นความลับส่วนบุคคล

-        

4. ความล้มเหลวของระบบสารสนเทศ (System failure)

-         เสียง (Noise)

-         แรงดันไฟฟ้าต่ำ (Undervoltages)

-         แรงดันไฟฟ้าสูง (overvoltages)

การรักษาความปลอดภัยของระบบสารสนเทศ

1. การโจมตีระบบเครือข่าย (Network attack)

-         ติดตั้งโปรแกรมป้องกันไวรัสและปรับปรุง Virus signature หรือ Virus definition

-         ติดตั้งไฟร์วอลล์ (Firewall)

-         ติดตั้งซอฟต์แวร์ตรวจจับการบุกรุก (Intrusion detection software)

-         ติดตั้ง Honeypot

2. การเข้าถึงระบบโดยไม่ได้รับอนุญาต (Unauthorized access

-         การระบุตัวตน (Identification)

-         การพิสูจน์ตัวจริง (Authentication) เช่น รหัสผ่าน (Password)

-         ข้อมูลที่ทราบเฉพาะบุคคลที่เป็นเจ้าของ (What you know)

-         ใช้บัตรผ่านที่มีลักษณะเป็นบัตรประจำตัว (What you have) เช่น บัตร ATM เป็นต้น

-         ลักษณะทางกายภาพของบุคคล (What you are) เช่น ม่านตา เป็นต้น

3. การขโมย (Theft)

-         ควบคุมการเข้าถึงทางกายภาพ (Physical access control) เช่น การปิดห้องและหน้าต่าง เป็นต้น

-         กิจการบางแห่งนำระบบ Real time location system (RTLS) มาใช้เพื่อระบุสถานที่ที่มีความเสี่ยงสูงโดยนำ RFID tags ติดที่อุปกรณ์คอมพิวเตอร์เพื่อใช้ในการติดตามอุปกรณ์นั้นๆ

-         ปัจจุบันมีการออกแบบเครื่องคอมพิวเตอร์ให้สามารถควบคุมการเปิดเครื่องและการเข้าใช้งานเครื่องด้วยการใช้ลักษณะทางกายภาพของบุคคล เช่น ลายนิ้วมือ เป็นต้น

-         การรักษาความปลอดภัยของซอฟต์แวร์ทำโดยเก็บรักษาแผ่นซอฟต์แวร์ในสถานที่มีการรักษาความปลอดภัย

-         ในกรณีที่มีโปรแกรมเมอร์ลาออกหรือถูกให้ออก ต้องควบคุมและติดตามโปรแกรมเมอร์ทันที (Escort)

4. การเข้ารหัส - กระบวนการในการแปลงหรือเข้ารหัสข้อมูลที่อยู่ในรูปที่คนทั่วไปสามารถอ่านได้ (Plaintext) ให้อยู่ในรูปที่เฉพาะผู้ที่เกี่ยวข้องเท่านั้นสามารถอ่านข้อมูลได้ (Ciphertext)

-         องค์ประกอบของการเข้ารหัส

-         Plaintext

-         Algorithm

-         Secure key

-         ประเภทของการเข้ารหัส

-         การเข้ารหัสแบบสมมาตร

-         การเข้ารหัสแบบไม่สมมาตร

5. การรักษาความปลอดภัยอื่นๆ 

-         Secure sockets layer (SSL) โดยเว็บเพจที่ใช้ SSL จะขึ้นต้นด้วย https แทนที่จะเป็น http

-         Secure HTTP (S-HTTP) เช่น ระบบธนาคารออนไลน์จะใช้ S-HTTP

-         Virtual private network (VPN)

6. การควบคุมความล้มเหลวของระบบสารสนเทศ

-         การป้องกันแรงดันไฟฟ้าใช้ Surge protector หรือ Surge suppressor

-         ไฟฟ้าดับใช้ Uninterruptible power supply (UPS)

-         กรณีระบบสารสนเทศถูกทำลายจนไม่สามารถให้บริการได้ การควบคุมทำโดยการจัดทำแผนการทำให้กลับคืนสู่สภาพเดิมจากภัยพิบัติ (Disaster Recovery – DR) หรือ Business continuity planning (BCP)

7. การสำรองข้อมูล (Data Backup)  สิ่งที่ต้องตัดสินใจเกี่ยวกับการสำรองข้อมูลประกอบด้วย

-         เลือกสื่อบันทึก (Media) ที่จะทำการสำรองข้อมูล เช่น CD DVD หรือ Portable Harddisk เป็นต้น

-         ระยะเวลาที่ต้องสำรองข้อมูล

-         ความถี่ในการสำรองข้อมูล ขึ้นอยู่กับระยะเวลาสูงสุดที่ระบบจะไม่สามารถให้บริการได้โดยไม่ส่งผลต่อการดำเนินงานปกติขององค์กร

-         สถานที่จัดเก็บสื่อบันทึกที่สำรองข้อมูล ซึ่งสามารถจัดเก็บ On Site หรือ Offsite ซึ่งแต่ละประเภทมีข้อดีและข้อเสียแตกต่างกันออกไป

8. การรักษาความปลอดภัยของแลนไร้สาย (Wireless LAN)

-         ควบคุมการเชื่อมโยงเข้าสู่แลนไร้สายด้วย Service Set Identifier (SSID)

-         กลั่นกรองผู้ใช้งานด้วยการกรองหมายเลขการ์ดเน็ตเวิร์ก (MAC Addressing Filtering)

-         การเข้ารหัสและถอดรหัสด้วยวิธีการ Wired Equivalency Privacy (WEP)

-         จำกัดขอบเขตพื้นที่ให้บริการด้วยการควบคุมกำลังส่งของแอ็กเซสพอยน์

-         การพิสูจน์สิทธิเข้าใช้งานแลนไร้สายด้วย Radius Server (ไม่กล่าวในรายละเอียด)

-         การสร้าง Virtual Private Network (VPN) บนแลนไร้สาย (ไม่กล่าวในรายละเอียด)

ดูของเพื่อน

จรรยาบรรณ

-         จรรยาบรรณทางคอมพิวเตอร์ คือหลักปฏิบัติที่แสดงให้เห็นถึงความรู้สึกผิดชอบเกี่ยวกับการใช้ระบบสารสนเทศ ซึ่งประกอบด้วย

-         การใช้คอมพิวเตอร์และเครือข่ายโดยไม่ได้รับอนุญาต

-         การขโมยซอฟต์แวร์ (การละเมิดลิขสิทธิ์)

-         ความถูกต้องของสารสนเทศ เช่น การตกแต่งรูปภาพ เป็นต้น

-         สิทธิ์ต่อทรัพย์สินทางปัญญา (Intellectual property rights)

-         หลักปฏิบัติ (Code of conduct)

-         ความเป็นส่วนตัวของสารสนเทศ (Information privacy)

หลักปฏิบัติมีดังนี้

-         ต้องไม่ใช้คอมพิวเตอร์ในการทำอันตรายบุคคลอื่น

-         ต้องไม่รบกวนการทำงานทางคอมพิวเตอร์ของคนอื่น

-         ต้องไม่เข้าไปยุ่งเกี่ยวกับแฟ้มข้อมูลของคนอื่น

-         ต้องไม่ใช้คอมพิวเตอร์ในการขโมย

-         ต้องไม่ใช้คอมพิวเตอร์เพื่อให้หลักฐานที่เป็นเท็จ

-         ต้องไม่สำเนาหรือใช้ซอฟต์แวร์ที่ละเมิดลิขสิทธิ์

-         ต้องไม่ใช้ทรัพยากรทางคอมพิวเตอร์ของผู้อื่นโดยไม่ได้รับอนุญาต

-         ต้องไม่ใช้ทรัพสินทางปัญญาของผู้อื่นเหมือนเป็นของตน

-         ต้องคำนึงถึงผลกระทบทางสังคมของโปรแกรมที่ออกแบบ

-         ต้องใช้คอมพิวเตอร์ในทางที่แสดงให้เห็นถึงความเคารพในมนุษย์แต่ละคน