การรักษาความปลอดภัยระบบสารสนเทศและจรรยาบรรณเบื้องต้น
- เพื่อป้องกันการโดนขโมยข้อมูล ซึ่งทำให้องค์สูญเสียความน่าเชื่อถือและผลประโยชน์ทางธุรกิจ
- ความเสี่ยงของระบบสารสนเทศ คือ เหตุการษ์ที่ทำให้เกิดการสูญเสียหรือทำลาย Hardware Software ข้อมูลสารสนเทศ หรือความสามารถในการประมวลผลของระบบ
- ปัญหาของอาชญากรรมข้อมูลซึ่งนำความเสียหายมาสู่องค์กรเกิดจากคนรุ่นใหม่ (GenY) เนื่องจากมีความรู้ด้านเทคโนโลยีเยอะ มีความคิดรวดเร็ว ทำให้เผยแพร่ข้อมูลทั้งด้านดีและไม่ดีได้อย่างรวดเร็ว
ประเภทของบุคคลที่เกี่ยวข้องกับความเสี่ยงสารสนเทศ
- Hacker เป็นพวกเจาะระบบสารสนเทศเพื่อขโมยข้อมูล
- Cracker เจาะระบบข้อมูลเพื่อเปลี่ยนแปลงข้อมูล เป็นพวกอยากแสดงความสามารถว่าสามารถเจาะข้อมูลได้
- Script Kiddies
- Spies สอดแนมข้อมูลของคนอื่นโดยแอบดูตามที่สาธารณะ เพื่อขโมยพาสเวิด เป็นต้น
- Employees
- Cyberterrorist เป็นพวกปล่อยข่าวลือต่างๆผ่านทางอินเตอเนต เพื่อหลอกลวงคน
ประเภทความเสี่ยงของระบบสารสนเทศ
- การโจมตีระบบเครือข่าย
1. การโจมตีขั้นพื้นฐาน เช่น กลลวงทางสังคม(แก๊ง Call Center ส่วนใหญ่เป็นแก๊งจากประเทศจีน เพราะตามจับยาก ) การรื้อค้นเอกสารคอมพิวเตอร์จากที่ทิ้งถังขยะ
2. การโจมตีด้านคุณลักษณะ เช่น DNS Spoofing และ e-mail spoofing
3. การปฏิเสธการให้บริการ
- การเข้า Web page ที่ถูก sproof เช่น google เวลาพิมชื่อเวบผิด จะถูกลิ้งเข้าไปในเวบอื่นที่พยายามหลอกล่อให้เราใส่ user name หรือ password ให้ซึ่งจะทำให้ถูกขโมยข้อมูลไป
1. E-mail Spoofing การเข้าเมลที่เป็น junk อาจทำให้มี spam ส่งเข้ามาในเมลได้เพราะมีบันทึกว่าเคยเปิดเมลนั้นแล้ว
2. IP Spoofing การกดไฟล์แปลกๆจะทำให้ไวรัสเข้าเครื่องได้
- Distributed denial-of-service
เป็นไวรัสชนิดหนึ่ง มีอยู่ในเวบไซด์ที่ไม่น่าเชื่อถือ หรืออาจติดมาตาม thumb drive ไวรัสชนิดนี้จะฝังอยู่ในคอมแต่ไม่ได้ทำลาย harddisk แต่อาจมีการถ่ายโอนข้อมูลหรือส่ง request ไปที่เวบไซด์อื่น คือเป็นไวรัสที่ซ่อนตัวและแอบใช้งานคอมของเรา
- Malware เป็นขโมยข้อมูลทั้งจาก Hardware และ Software มีวิธีป้องกันคืออย่าใช้ password และ username ในที่สาธารณะ
- การเข้าถึงระบบโดยไม่ได้รับอนุญาต
- การขโมย
การรักษาความปลอดภัยของระบบสารสนเทศ
- ติดตั้งโปรแกรมไวรัสและอัพเดตตลอดเวลา
- ติดตั้ง Firewall
- ติดตั้งซอฟแวร์ตรวจจับการบุกรุก
- ติดตั้ง honeypot
- การควบคุมการเข้าถึงระบบโดยไม่ได้รับอนุญาต โดยการระบุตัวตน การพิสูจน์ตัวจริง เช่น มีรหัสผ่าน บอกข้อมูลที่ทราบเฉพาะบุคคลที่เป็นเจ้าของ ใช้บัตรผ่านที่มีลักษณะเป็นบัตรประจำตัว
- การควบคุมการขโมย โดยการควบคุมการเข้าถึงทางกายภาพ การรักษาความปลอดภัยของซอฟแวร์โดยเก็บรักษาแผ่นในสถานที่ที่มีการรักษาความแลอดภัย ในกรณีที่มีโปรแกรมเมอร์ลาออกต้องมีการควบคุมและติดตามโปรแกรมเมอร์นั้นทันที
- การเข้ารหัส คือ การแปลงข้อมูลที่คนทั่วไปสามารถอ่านได้ให้อยู่ในรูปที่เฉพาะคนที่เกี่ยวข้องเท่านั้นจึงสามารถอ่านได้ ประเภทการเข้ารหัส คือ การเข้ารหัสแบบสมมาตร และการเข้ารหัสแบบไม่สมมาตร
- การรักษาความปลอดภัยอื่นๆ
1. Secure sockets layer เวบเพจที่ใช้ SSL จะขึ้นต้นด้วย https แทน http เป็นการสร้าง network ชั่วคราวก่อนที่จะจ่ายเงิน ซึ่งจะเป็น network เฉพาะขององค์กร (อยู่ในระบบ intranet ขององค์กร ไม่ได้อยู่ใน internet)ที่เราทำธุรกรรมการเงินด้วย
2. Secure HTTP เป็น network เสมือน ที่ให้คนในองค์กรเข้าถึงข้อมูลในขณะที่ทำงานที่บ้านหรือที่อื่น โดยต้องเข้า network เฉพาะนี้แล้วค่อยใส่ username และ password
- การควบคุมความล้มเหลวของระบบสารสนเทศ
1. การป้องกันแรงดันไฟฟ้าโดยใช้ Surge suppressor หรือกรรีไฟฟ้าดับใช้ Uninterruptible power supply (UPS)
2. กรณีระบบสารสนเทศถูกทำลายจนไม่สามารถให้บริการได้ การควบคุมทำโดยการจัดทำแผนการทำให้กลับคืนสู่สภาพเดิมจากภัยพิบัติ (Disaster Recovery – DR) หรือ Business continuity planning (BCP)
- การสำรองข้อมูล
- การรักษาความปลอดภัยของ LAN ไร้สาย
จรรยาบรรณ
- คือหลักปฏิบัติที่แสดงให้เห็นถึงความรู้สึกผิดชอบเกี่ยวกับการใช้ระบบสารสนเทส ประกอบด้วย การใช้คอมพิวเตอร์และเครือข่ายโดยไม่ได้รับอนุญาติ การละเมิดลิขสิทธิ์ ความถูกต้องของสารสนเทศ สิทฺต่อทรัพย์สินทางปัญญา หลักปฏิบัติ ความเป็นสาวนตัวของสารสนเทศ
นางสาววศินี ตั้งทองหยก
เลขทะเบียน 5202113022
ไม่มีความคิดเห็น:
แสดงความคิดเห็น