การรักษาความมั่นคงปลอดภัยของระบบสารสนเทศ
ระบบสารสนเทศประกอบด้วย 5 องค์ประกอบ คือ
- Hardware – อุปกรณ์
- Software – โปรแกรมประยุกต์, ระบบ, OS, DB, Application
- Data – ข้อมูลดิบ, Information, Knowledge
- People (User) – คน (Personnel)
- Business Process (Process, Procedure)
องค์ประกอบของความมั่นคงปลอดภัยของสารสนเทศ ประกอบด้วย
1. ความลับ (Confidentiality) – เป็นการทำให้มั่นใจว่ามีเฉพาะผู้มีสิทธิ์หรือได้รับอนุญาตเท่านั้นที่สามารถเข้าถึงได้
2. ความถูกต้องสมบูรณ์(Integrity) – ข้อมูลที่ปกป้องนั้น ต้องมีความถูกต้องสมบูรณ์ ต้องมีกลไกในการตรวจสอบสิทธิ์ การอนุญาตให้เปลี่ยนแปลงหรือแก้ไขข้อมูล
3. ความพร้อมใช้งาน (Availability) – ต้องสามารถตอบสนองความต้องการของผู้ใช้งานที่มีสิทธิ์เข้าถึงระบบได้เมื่อต้องการ
สิ่งที่ต้องคำนึงถึงในการการรักษาความมั่นคงปลอดภัยของระบบสารสนเทศ คือ
1. ระบบรักษาความมั่นคงปลอดภัยของระบบสารสนเทศต้องป้องกัน (สม่ำเสมอ) ทุกองค์ประกอบ (ทั้ง 5 องค์ประกอบ) ความเข้มแข็งรวมของระบบนั้นมาจากความอ่อนแอของระบบรักษาความมั่นคงปลอดภัย
2. ระบบรักษาความมั่นคงปลอดภัยของระบบสารสนเทศป้องกันตามมูลค่า คุ้มครองข้อมูลตามมูลค่า (มูลค่า – การลงทุนป้องกัน, มูลค่าความเสียหายถ้าไม่ป้องกัน) จัดเกรดข้อมูลว่าอันไหนสำคัญ เพื่อจะได้วางระบบรักษาความปลอดภัยได้ถูก
3. การรักษาความมั่นคงปลอดภัยของระบบรักษาความมั่นคงปลอดภัยของระบบสารสนเทศ ไม่มีระบบที่สมบูรณ์แบบ ไม่มีระบบที่ใช้ได้ตลอดไป
4. การรักษาความมั่นคงปลอดภัยของระบบรักษาความมั่นคงปลอดภัยของระบบสารสนเทศ เป็นกระบวนการที่ต้องทำต่อเนื่องตลอดไป
ในรูปของการปรับปรุงให้ดียิ่งขึ้น ให้ทันต่อภัยคุกคาม โดยใช้ PDCA, PDCA, … ทำหลายๆ รอบ A ตัวสุดท้ายจะเป็นเหตุให้ต้องทำ P รอบถัดไป วงรอบที่เหมาะสมในการทำ PDCA คือ 1 ปี
โดยที่ PDCA คือ กระบวนการของการทำ P (Plan คือ วางแผน), D (Do คือ ดำเนินการตามแผน), C (Check หรือ ตรวจสอบสอบทานการดำเนินงานตามแผน), A (Act หรือ เมื่อพบข้อผิดพลาดมีการสั่งการหรือหาแนวทางในการดำเนินการแก้ไข)
5. ผู้ที่จะเข้ามาโจมตีระบบสารสนเทศ จะเลือกเข้ามาในทิศทางที่คุณคาดไม่ถึงเสมอ
หลักการของการทำให้ปลอดภัย แบ่งเป็น 3 วิธี คือ
- Prevention – ถ้ากันได้กัน ß เป็นวิธีที่ดีที่สุด (เรื่องไม่เคยเกิดขึ้น, ไม่มีวันเกิดขึ้น)
- Detection – กันไม่ได้แต่รู้ทันทีที่เกิด ß ทำให้มีปฏิกิริยาได้เร็ว บางครั้งแพง
- Recovery – ปล่อยให้เกิดแล้วค่อยไปตามแก้ไข ต้องมีความสามารถเหมือน Detection แต่ช้ากว่า
ที่มา : ผศ. พีรวัฒน์ วัฒนพงศ์ (วิชา Information System Security)