ประวัติอาจารย์ผู้สอน

ประวัติอาจารย์ผู้สอน

พ.อ.เศรษฐพงค์ มะลิสุวรรณ (Mobile: 081-870-9621 email: settapong_m@hotmail.com)

ประวัติการศึกษา

- ปริญญาตรีด้านวิศวกรรมไฟฟ้าสื่อสารโทรคมนาคม จากโรงเรียนนายร้อยพระจุลจอมเกล้า (เกียรตินิยมเหรียญทอง)

- ปริญญาโทและเอก ด้านวิศวกรรมไฟฟ้าสื่อสารโทรคมนาคมจาก Georgia Institute of Technology และ State University System of Florida (Florida Atlantic University)

ประเทศสหรัฐอเมริกาโดยทุนกองทัพไทย จบการศึกษาหลักสูตรเสนาธิการทหารบก ในระหว่างรับราชการในกองบัญชาการกองทัพไทยได้รับคัดเลือกจากกระทรวงกลาโหมสหรัฐอเมริกา เพื่อเข้ารับการฝึกอบรมในหลักสูตรต่อต้านก่อการร้ายสากล (Counter Terrorism Fellowship Program) ที่ National Defense University, Washington D.C. และหลักสูตรการบริหารทรัพยากรเพื่อความมั่นคง (Defense Resource Management) ที่ Naval Postgraduate School, Monterey, CA ประเทศสหรัฐอเมริกา

ประสบการณ์การวิจัยหลายด้านเช่น

Electromagnetic Interference and Compatibility (EMI/EMC), Mobile Cellular Communication, Satellite Communication, Broadband Communication และ ICT Management and Policy โดยมีผลงานตีพิมพ์ระดับนานาชาติทั้งในวารสารการประชุมระดับนานาชาติและวารสารวิจัยระดับนานาชาติที่เป็นที่ยอมรับมากกว่า 80 ฉบับ

มีประสบการณ์การทำงานที่หลากหลายเช่น

- อาจารย์โรงเรียนนายร้อยพระจุลจอมเกล้า

- เลขานุการประธานกรรมการ บริษัท กสท โทรคมนาคม จำกัด (มหาชน) โดยมี พลเอกมนตรี สังขทรัพย์ เป็นประธานบอร์ด,

- คณะกรรมการกำกับดูแล การดำเนินงานและโครงการของ บริษัท กสท โทรคมนาคม จำกัด (มหาชน)

- นายทหารฝ่ายเสนาธิการประจำเสนาธิการทหารบก,

- คณะกรรมการร่างหลักเกณฑ์ใบอนุญาตประกอบกิจการโทรคมนาคมผ่านดาวเทียมสื่อสารและโครงข่ายสถานีวิทยุคมนาคมภาคพื้นดิน กทช.,

- คณะกรรมการเทคโนโลยีสารสนเทศและการสื่อสาร สำนักงานตรวจเงินแผ่นดิน,

- คณะทำงานวางระบบเทคโนโลยสารสนเทศ C4ISR กองทัพบก,

- ผู้พิพากษาสมทบศาลทรัพย์สินทางปัญญาและการค้าระหว่างประเทศกลาง,

- คณะอนุกรรมการ การประชาสัมพันธ์ สื่อทางอินเทอร์เน็ต ศาลยุติธรรม,

- ที่ปรึกษาคณะอนุกรรมาธิการพิจารณาศึกษาหามาตรการในการป้องกันการแพร่ระบาดของเกมส์คอมพิวเตอร์ สภาผู้แทนราษฎร,

- คณะอนุกรรมาธิการทรัพยากรน้ำในคณะกรรมาธิการทรัพยากรธรรมชาติและสิ่งแวดล้อม สนช.,

- ผู้เชี่ยวชาญเพื่อพิจารณาข้อเสนอโครงการวิจัย พัฒนาและวิศวกรรม ศูนย์เทคโนโลยีอิเล็กทรอนิกส์และคอมพิวเตอร์แห่งชาติ (NECTEC),

- ผู้เชี่ยวชาญเพื่อพิจารณาข้อเสนอโครงการวิจัยและพัฒนา กระทรวงกลาโหม,

- ที่ปรึกษาโครงการดาวเทียมเพื่อความมั่นคง ศูนย์พัฒนากิจการอวกาศเพื่อความมั่นคง กระทรวงกลาโหม, - นักวิจัย (Visiting Researcher), Asian Center for Research on Remote Sensing (ACRoRS); Asian Institute of Technology และกรรมการพิจารณาผลงานวิจัยในวารสารวิจัยระดับนานาชาติหลายแห่ง

- ปัจจุบันปฏิบัติหน้าที่ในตำแหน่ง นายทหารฝ่ายเสนาธิการประจำรองผู้บัญชาการทหารสูงสุด กองบัญชาการกองทัพไทย (พลเอกมนตรี สังขทรัพย์),

- อาจารย์พิเศษโรงเรียนนายร้อยพระจุลจอมเกล้า,

- กองบรรณาธิการ NGN Forum กทช.,

- คณะอนุกรรมการบริหารโปรแกรมเทคโนโลยีเพื่อความมั่นคง ศูนย์เทคโนโลยีอิเล็กทรอนิกส์และคอมพิวเตอร์แห่งชาติ (NECTEC), และ Associate Professor of New Hampshire University, USA.

IT Security Outsourcing การเอาต์ซอร์สระบบความปลอดภัย

IT Security Outsourcing การเอาต์ซอร์สระบบความปลอดภัย

จากกระแส "IT Outsourcing" ทั่วโลกในช่วงสองสามปีที่ผ่านมาจนถึงวันนี้ "IT Outsourcing" มีการพัฒนาไปถึง "IT Security Outsourcing" หลายคนถามว่าในปัจจุบัน ทำไมองค์กรทั้งภาครัฐและเอกชนหันมาให้ความสนใจกับเรื่องการ Outsource ระบบความปลอดภัยขัอมูลคอมพิวเตอร์ให้กับหน่วยงานมืออาชีพภายนอก คำตอบก็คือ องค์กรสมัยใหม่นิยมที่จะไม่จัดซื้ออุปกรณ์ทั้งฮาร์ดแวร์ และซอฟแวร์มาใช้ในแบบเดิมๆ ซึ่งต้องใช้งบประมาณจำนวนมากในแต่ละปี รวมถึงค่าบำรุงรักษาอุปกรณ์เหล่านั้น ซึ่งในปัจจุบัน องค์กรมักจะ Outsource ระบบสารสนเทศให้กับหน่วบงานภายนอกเข้ามาบริหารจัดการระบบ ตลอดจนรวมถึงอุปกรณ์ฮาร์ดแวร์และโปรแกรมซอฟแวร์ต่างๆที่จำเป็นต้องนำมาใช้ในระบบงานซึ่งกลายเป็นต้นทุนของทาง Outsourcer ต้องคิดคำนวนเป็นค่าบริการรายเดือนหรือรายปีมาแบบเบ็ดเสร็จ โดยกำหนดข้อตกลง SLA (Service Level Agreement) ให้ชัดเจนระบุในสัญญาการให้บริการ Outsource ของ MSSP กับองค์กร
นอกจากเรื่องงบประมาณมหาศาลในการจัดซื้ออุปกรณ์ด้านการรักษาความปลอดภัยข้อมูล เช่น Firewall และ IPS (Intrusion Prevention System) การขาดแคลนบุคลากรผู้เชี่ยวชาญด้านระบบความปลอดภัยกับข้อมูล (Information Security Professional/Specialist) เช่น CISSP หรือ CISM ก็เป็นปัญหาใหม่ขององคกรในขณะนี้เช่นเดียวกัน เพราะ การพัฒนาผู้เชี่ยวชาญด้านระบบความปลอดภัยกับข้อมูลนั้นใช้เวลานาน และ เป็นเรื่องยากที่จะให้ผู้เชี่ยวชาญอยู่กับองค์กรในระยะยาว ซึ่งทำให้หลายๆองค์กรเลือกที่จะใช้บริการผู้เชี่ยวชาญจากหน่วยงานภายนอกมากกว่า ซึ่งองค์กรสามารถกำหนด SLA เพื่อควบคุมการทำงานของ Outsource ได้
ธุรกิจ MSSP (Managed Security Service Provider) จึงกลายเป็นทางเลือกให้กับองค์กร ในยามที่ผู้เชี่ยวชาญด้านความปลอดภัยข้อมูลขาดแคลน และ ยากที่จะให้ผู้เชี่ยวชาญอยู่กับองค์กรดังที่กล่าวมาแล้ว บริษัทที่ให้บริการ IT Security Outsourcing หรือ MSSP นั้นต้องมีการลงทุนพัฒนาบุคคลากรผู้เชี่ยวชาญด้านความปลอดภัย ไม่ว่าจะเป็นผู้เชี่ยวชาญที่ได้รับประกาศนียบัตร CISSP, CISA, CISMและ SANS GIAC ล้วนเป็นต้นทุนที่สูงมากโดย MSSP ต้องเป็นผู้ลงทุนอย่างหลีกเลี่ยงไม่ได้ หลายองค์กรพบว่าสามารถประหยัดค่าใช้จ่ายด้าน IT Security โดยรวมได้มากขึ้น หลังจากตัดสินใจ Outsource การเฝ้าระวังและบริหารจัดการระบบความปลอดภัยข้อมูลคอมพิวเตอร์ให้แก่ MSSP แต่เกณฑ์ในการตัดสินใจเลือกใช้บริการของ MSSP รายใดรายหนึ่งนั้นเป็นเรื่องสำคัญ เพราะ MSSP นั้นต้องไว้ใจได้ และ มีความเชี่ยวชาญอย่างแท้จริง ตลอดจนองค์กรจะเลือกใช้บริการเฉพาะ "Monitored" หรือ "Managed" นั้นก็มีความแตกต่างกัน ถ้าองค์กรต้องการ Outsourceเฉพาะการเฝ้าระวังแต่ไม่อนุญาตให้ MSSPเข้ามาจัดการเปลี่ยนแปลง Configuration ของอุปกรณ์ด้านการรักษาความปลอดภัยต่างๆ เช่น Firewall หรือ IPS/ IDS เราเรียกว่าเป็นการให้บริการแบบ "Monitored" แต่หากองค์กรต้องการให้ MSSP เข้ามาควบคุมดูแลอุปกรณ์ด้านการรักษาความปลอดภัยอย่างเต็มรูปแบบ เช่น อนุญาตให้ MSSP สามารถเข้าไปปรับเปลี่ยนแก้ไข Configuration หรือ Policy ใน Firewall ได้(โดยได้รับอนุญาตจากองค์กรก่อน) เราเรียกว่าเป็นการให้บริการแบบ "Managed" ซึ่งส่วนใหญ่แล้ว MSSPมักจะให้บริการในแบบแรกมากกว่า โดย MSSP จะมีหน่วยงานวิเคราะห์ Log File จากระบบ Centralized Log Management ที่ MSSPเป็นผู้ติดตั้งและดูแล และ MSSP จะต้องทำการวิเคราะห์ Log โดยวิธี Correlation Analysis และ ต้องแสดงรายงานระบุต้นเหตุของปัญหาความปลอดภัยในระบบเครือข่ายที่เราเรียกว่า "Root-cause Analysis" เพื่อให้องค์กรสามารถป้องกันการโจมตีจาก Internet Threat ต่างๆได้ทันท่วงที

ประเภทลักษณะของการให้บริการ IT Security Outsourcing ของ MSSP ในประเทศต่างๆและทั่วโลกได้10 ลักษณะ ดังนี้

1.Monitored and Managed Firewall Services
เป็นการให้บริการดูแลและเฝ้าระวังบริเวณ Network Perimeter ขององค์กร โดยปกติแล้วคือ บริเวณที่เชื่อมต่อกับระบบอินเตอร์เน็ต และ บริเวณของ Public Server Farm หรือ DMZ (Demilitarized Zone) ซึ่งโดยปกติแล้วเป็นที่ตั้งของ Web Server และ SMTP Mail Relay ขององค์กร การให้บริการของ MSSP ควรที่จะครอบคลุมถึงการวิเคราะห์ Log จาก Firewall ประจำวัน (Daily Report) และคอยสังเกตพฤติกรรมแปลกๆ (Suspicious Activity) หรือพฤติกรรมบุกรุก (Intrusion Activity) แล้วรีบแจ้งเตือนองค์กรโดยด่วน เพื่อที่จะเตรียมตั้งรับเหตุการณ์การโจมตีในทางอินเตอร์เน็ท หรือ ตรวจสอบข้อมูลที่อาจจะรั่วไหลออกจากองค์กรผ่านทาง Firewall ก็เป็นไปได้เช่นกัน นอกจากนี้ถ้ามีการปรับเปลี่ยน Policy ที่Firewall ทาง MSSP ควรต้องมีการแจ้งและบันทึกให้องค์กรได้รับทราบเช่นกัน

2. Automated/Manual Incident Response, Event Escalation and Digital Forensic Services
เป็นการให้บริการต่อเนื่องจากข้อที่หนึ่ง กล่าวคือ เมื่อผู้เชี่ยวชาญของ MSSP ตรวจพบความผิดปกติในระบบโดยวิเคราะห์จาก Log ของ Firewallแล้ว MSSPควรมีขั้นตอนในการแจ้งปัญหา (Event Escalation) ให้องค์กรทราบอย่างทันท่วงที ภายในเวลาที่สามารถจะป้องกันความเสียหายให้แก่ระบบสารสนเทศขององค์กรได้ทัน และ ควรมีระยะเวลาในการตอบสนอง หรือ การแจ้งปัญหาระบุไว้ใน SLA (Service Level Agreement) ให้ชัดเจน เช่นกำหนดไว้ ภายใน 1 ชั่วโมง หรือ 3 ชั่วโมงเป็นต้น

เมื่อตรวจพบหลักฐานการบุกรุกหรือการโจมตีระบบจากการวิเคราะห์ข้อมูลที่ได้มาจากระบบ Centralized Log Management แล้ว การพิสูจน์หลักฐานทางคอมพิวเตอร์ หรือ Digital Forensics ก็ควรเป็นบริการที่ MSSP ควรมีให้แก่องค์กร เพื่อเชื่อมโยงหลักฐานไปสู่การติดตามจับกุมผู้กระทำผิดทางคอมพิวเตอร์ ซึ่งในประเทศไทยกำลังจะมีกฎหมายออกมาในอนาคตอันใกล้นี้

3. Monitored and Managed IDS/IPS (Real-Time Intrusion Monitoring) Services

เป็นการให้บริการเฝ้าระวังการบุกรุกโดยใช้อุปกรณ์ IDS/ IPS ซึ่งเป็นส่วนสำคัญที่สุดของการให้บริการจาก MSSP โดย MSSP มีหน้าที่ในการวิเคราะห์ข้อมูลรายงานจากอุปกรณ์ IDS/ IPS ซึ่งปกติแล้วมักจะไม่มีคนอ่าน หรือ ยากที่จะหาคนที่เชี่ยวชาญมาวิเคราะห์รายงานดังกล่าว จึงทำให้รายงานจากอุปกรณ์ IDS/ IPS ไม่ค่อยจะมีประโยชน์ต่อองค์กรนักหากองค์กรเป็นผู้ดูแลเอง แต่ถ้าใช้บริการผู้เชี่ยวชาญด้าน Intrusion Analysis ของ MSSP ทางผู้เชี่ยวชาญจะมีหน้าที่ให้การวิเคราะห์เจาะลึก และ รายงานข้อมูลที่มีประโยชน์ให้กับองค์กรได้ทราบภายในเวลาที่กำหนดใน SLA ผู้ให้บริการ MSSP บางรายจะนำ อุปกรณ์ IDS/ IPS มาติดตั้งให้กับองค์กร โดยที่องค์กรไม่ต้องซึ้อ IDS /IPS แต่ขณะเดียวกัน MSSP หลายรายก็มักใช้ IDS/ IPS ที่องค์กรมีอยู่แล้ว โดยดึงเฉพาะรายงานมาวิเคราะห์ในลักษณะ Daily Intrusion Analysis Report สรุปก็คือ รายงานจาก IDS/ IPSในรูปแบบ Raw Report จะถูก MSSP นำมาวิเคราะห์ในเชิงลึก (In-Depth Event Analysis) ดังนั้นความแตกต่างของการวิเคราะห์โดยผู้เชี่ยวชาญจึงเป็นปัจจัยสำคัญในการเลือกใช้บริการของ MSSPหมายเหตุ: (การ Block ผู้บุกรุกโดยใช้ IPS โดยอัตโนมัตินั้น ปกติแล้ว MSSP จะไม่ทำทันที แต่จะแจ้งให้องค์กรเป็นผู้ตัดสินใจเองว่าจะ Block หรือไม่ ภายในเวลาที่กำหนดใน SLA)

4. Managed and Monitored VPN Services

เป็นการให้บริการของ MSSP เฝ้าระวังการใช้ VPN โดยสังเกตจาก Log File ของอุปกรณ์ VPN จากการใช้งาน VPN ในแต่ละวัน เทียบกับการใช้งาน VPN ในช่วงเวลาปกติว่ามีสิ่งผิดปกติเกิดขึ้นหรือไม่ ตลอดจนคอยสังเกตว่ามีไวรัส เวิร์ม หรือ โทรจัน รวมทั้งโปรแกรมจำพวก P2P ใช้งานผ่าน VPN หรือไม่ โดยปกติแล้วข้อมูลผ่าน VPN จะถูกเข้ารหัสทำให้ IDS/ IPS ไม่สามารถตรวจสอบได้ MSSP จึงต้องมีวิธีการในการเฝ้าระวังตรวจสอบการใช้งาน VPN ขององค์กรโดยเฉพาะ ซึ่งก็ขึ้นกับ รุ่นและประเภทของอุปกรณ์ VPN ที่องค์กรเลือกใช้งานอยู่ สำหรับการบริหารจัดการ Policy ใน VPN นั้น ทางองค์กรเป็นผู้กำหนด Policy แต่ MSSP เป็นผู้ปฎิบัติ โดย MSSP ต้องทำ "Change Management" ให้แก่องค์กรด้วย

5. Monitored and Managed ANTI-Virus (ANTI-MalWare) Services

เป็นการให้บริการเตือนข่าวสารเกี่ยวกับไวรัสใหม่ๆ เพื่อให้องค์กรเตรียมรับมือกับการแพร่กระจายของไวรัสซึ่งในปัจจุบันการแพร่ของไวรัสจะมีลักษณะ Zero-day Outbreak ที่ยังไม่มีการออก Patch หรือ Virus Signature ออกมาแก้ไข ดังนั้นการเฝ้าระวังการแพร่กระจายของไวรัสอย่างทันท่วงที จึงเป็นเรื่องสำคัญที่มองข้ามไม่ได้ และ จำเป็นที่จะต้องมีผู้เชี่ยวชาญคอยเฝ้าระวังตลอด 24 ชั่วโมง ส่วนการบริหารจัดการกำจัดไวรัสนั้นขึ้นกับข้อตกลงระหว่างองค์กรกับ MSSP ว่าใครจะเป็นผู้รับผิดชอบ แต่โดยปกติแล้วทาง MSSP จะให้บริการเฝ้าระวัง Zero-day Outbreak และ คอยเตือนองค์กรให้ตั้งรับอย่างทันท่วงทีเท่านั้น แต่จะไม่รวมถึงการกำจัดไวรัส ซึ่งจริงๆ แล้วทาง MSSP ก็สามารถทำได้ แต่มีราคาที่ค่อนข้างแพง ไม่คุ้มกับการลงทุนขององค์กรขนาดเล็ก ถ้าเป็นองค์กรขนาดใหญ่ การ Outsource บริหารจัดการปราบไวรัสคอมพิวเตอร์ก็เป็นอีกทางเลือกหนึ่งขององค์กร โดย CIO จะต้องตัดสินใจว่าองค์กรเหมาะสมกับการ Outsource ดังกล่าวหรือไม่

6. Monitored and Managed Content Filtering Services

โดยปกติแล้ว Content ที่ต้องเฝ้าระวังมีอยู่3 ประเภทใหญ่ๆ ได้แก่ HTTP content, FTP content และ SMTP (Mail) Content แต่ในปัจจุบัน IM (Instant Messaging) Content และ P2P Content ก็มีความจำเป็นต้องเฝ้าระวัง และ ตรวจสอบเช่นกัน เนื่องจากเป็นตัวการในการนำไวรัสเข้าสู่องค์กร ตลอดจนการนำข้อมูลออกจากองค์กรอย่างไม่ถูกต้องด้วย ดังนั้น MSSP จึงมีบทบาทในการเฝ้าระวังและตรวจสอบ Content ดังกล่าว ปัญหาก็คือ การตรวจสอบ Content เหล่านี้ต้องใช้อุปกรณ์ฮาร์ดแวร์ และซอฟแวร์ที่มีประสิทธิภาพสูง ดังนั้นการลงทุนกับอุปกรณ์ดังกล่าวจึงต้องมีการตกลงกันระหว่างองค์กรกับ MSSP ว่าใครจะเป็นผู้รับผิดชอบ ถ้าทาง MSSP รวมมูลค่าอุปกรณ์เข้าไปกับการบริการ ค่าบริการก็จะสูงขึ้นเป็นเงาตามตัวเช่นกัน

7. Monitored and Managed Vulnerability Assessment and Penetration Testing Services
เป็นส่วนหนึ่งของการบริหารจัดการความเสี่ยงระบบสารสนเทศขององค์กรซึ่งถือว่าเป็นเรื่องสำคัญที่ทุกองค์กรควรทำ ปัจจุบันการทำ Vulnerability Assessment and Penetration Testing กลายเป็นกฎข้อบังคับในหลายๆองค์กร เช่น Internet Banking ของธนาคารพานิชย์เป็นต้น การประเมินความเสี่ยง (Risk Assessment) ด้วยการทำ Vulnerability Assessment และการตรวจสอบความเสี่ยงเชิงลึกในลักษณะ Ethical Hacking ที่นิยมเรียกว่า Penetration Testing กำลังได้รับความนิยมเพิ่มขึ้น โดยเฉพาะองค์กรที่ใช้ Web Server และมี Web Application ทำงานอยู่ ไม่ว่าจะเป็น IIS Web Server หรือ Apache Web Server ที่ใช้ภาษา ASP, JAVA หรือ PHP ในการพัฒนาก็พบว่ามีช่องโหว่เกิดขึ้นให้แฮกเกอร์สามารถเข้ามาโจมตีได้อยู่เป็นประจำ ถ้าทาง Web Application Developer ไม่มีความรู้ด้านระบบความปลอดภัยของ Web Application ดีพอ ดังนั้นงานประเมินความเสี่ยงโดยวิธีดังกล่าวจึงเป็นอีกบริการหนึ่งที่ MSSP ควรมีให้บริการ และ ควรมีการบริการในลักษณะการรายงานเป็นรายเดือน หรือ รายปี ขึ้นกับ SLA ที่จะตกลงกัน การลองเจาะระบบด้วยวิธี Penetration Testing นั้นจะทำให้องค์กรได้ทราบถึงระดับของความปลอดภัยที่องค์กรสามารถต้านรับการโจมตีของแฮกเกอร์และไวรัสต่างๆ ซึ่งถ้าทาง MSSP ตรวจสอบก่อนล่วงหน้า องค์กรก็สามารถแก้ปัญหาโดยการ Hardening ระบบได้ทันก่อนที่ระบบจะถูกโจมตี

ลักษณะของการตรวจสอบแบบ Penetration Testing จำเป็นต้องใช้ผู้เชี่ยวชาญที่เป็น Penetration Tester โดยเฉพาะและ ไม่สามารถใช้แค่เพียง Vulnerability Scanner ตรวจสอบ ดังนั้นการใช้บริการ Penetration Testing จาก MSSP จึงถือเป็นสิ่งจำเป็น แต่ต้องเลือก MSSP ที่มีความสามารถเฉพาะด้าน Penetration Testing มาดูแลระบบให้เรา และ ให้คำแนะนำในการป้องกันระบบที่ถูกต้องแก่องค์กรด้วย เช่น จัดฝึกอบรมเรื่อง Web Application Security ให้แก่ผู้พัฒนาระบบ Web Application เป็นต้น

8. Security Awareness Training Services
เป็นการให้บริการของ MSSP ที่ควรครอบคลุมถึงการฝึกอบรมประจำปีเกี่ยวกับเรื่อง Security Awareness ซึ่งโดยปกติควรจัดอบรมประมาณ 2-4ครั้งต่อปี เพื่อเตือนให้ผู้ใช้คอมพิวเตอร์ทุกระดับตั้งแต่ผู้ใช้คอมพิวเตอร์ทั่วไปจนถึงผู้บริหารระดับสูง ให้ตระหนักถึงภัยจากอินเตอร์เน็ต และ เรียนรู้การใช้งานระบบคอมพิวเตอร์อย่างปลอดภัย ซึ่งจะเป็นส่วนสำคัญในการบริหารจัดการด้านระบบความปลอดภัยอย่างมีประสิทธิภาพ และได้ผลตามที่องค์กรต้องการ

9. On-site Security Consulting Services
เป็นการบริการให้คำปรึกษาปัญหาด้านความปลอดภัยข้อมูลที่สำนักงานขององค์กร MSSP ควรจะเข้าประชุมร่วมกับเจ้าหน้าที่ฝ่ายสารสนเทศ และ ฝ่ายควบคุมความปลอดภัยข้อมูลขององค์กรอย่างสม่ำเสมอ โดยปกติแล้ว ควรจะมีการประชุมทุกสัปดาห์ (เดือนละ 4ครั้ง) เพื่อเข้าไปช่วยเหลือ และ ติดตามงานด้านความปลอดภัยข้อมูลต่างๆที่ทาง MSSP ได้แจ้งเตือนองค์กรโดยเป็นการร่วมประสานงานกับทีมงานระบบสารสนเทศขององค์กร และควรมีการประชุมใหญ่กับผู้บริหารระดับสูงอย่างน้อยเดือนละหนึ่งครั้ง เพื่อรายงานสถานการณ์ด้านความปลอดภัยกับข้อมูลให้กับผู้บริหารระดับสูงให้ทราบถึงความปลอดภัยของระบบสารสนเทศขององค์กรโดยรวม
10. Policy Compliance Monitoring Services
หลังจากองค์กรได้ประกาศใช้ Security Policy แล้ว ควรมีการตรวจสอบว่าผู้ใช้คอมพิวเตอร์ได้ปฎิบัติตาม Security Policy ที่กำหนดไว้หรือไม่ ซึ่งจำเป็นต้องมีการตรวจสอบ (Audit) ทั้ง Internal IT Audit และ External Audit ซึ่งตรวจสอบโดยผู้เชี่ยวชาญของ MSSP ที่สามารถทำหน้าที่เป็น External Auditor เพื่อให้ความเห็นในมุมมองของคนภายนอกองค์กร และ นำเสนอแนวทางในการปรับปรุงเรื่อง Policy Compliance ให้แก่องค์กรต่อไป

การเอาต์ซอร์สระบบซิเคียวริตี้มีข้อควรคำนึงอย่างไรบ้าง

เราต้องรู้ว่าทำไมถึงต้องเอาต์ซอร์สระบบซิเคียวริตี้เสียก่อน กล่าวคือ หากองค์กรต้องการลดค่าใช้จ่ายในการลงทุนกับฮาร์ดแวร์และซอฟท์แวร์ด้านความปลอดภัย ตลอดจนแก้ปัญหาขาดแคลนบุคคลากรผู้เชี่ยวชาญด้านความปลอดภัยเช่น CISSP หรือ CISA การเอาต์ซอร์สน่าจะเป็นทางออกที่เหมาะสมให้กับองค์กรสมัยใหม่ในยุคนี้ สำหรับข้อคำนึงนั้นมีรายละเอียด 6 ข้อ ดังนี้
1.1 ศักยภาพในการให้บริการของ MSSP (Managed Security Service Provider)

หมายถึง คุณภาพและประสบการณ์ของทีมงานเฝ้าระวังรักษาความปลอดภัยระบบสารสนเทศ โดยดูจากจำนวนบุคลากรที่ได้รับประกาศนียบัตรด้านไอทีต่าง ๆ ยกตัวอย่าง เช่น CISSP จาก ISC2, CISA จาก ISACA, หรือ GIAC จาก SANS เป็นต้น หรือ ถ้าเป็นการเฝ้าระวังระบบ Windows และ Network ก็ควรจะมีใบรับรองอย่างน้อย CCNA หรือ MCSE เพื่อความมั่นใจในการใช้บริการจาก MSSP เป็นต้น

1.2 คุณภาพของรายงานรายวันและรายเดือนของ MSSP
เราควรขอดูตัวอย่างรายงานการแจ้งเตือนผู้บุกรุกของ MSSP ว่าสอดคล้องกับความต้องการขององค์กรหรือไม่ และสามรถตอบสนองความต้องการในมุมมองของ Incident Response และ Incident Handling ได้ทันท่วงทีหรือไม่
รายงานควรมีลักษณะเป็นแบบ "Proactive" หรือ "Preventive" เพื่อให้องค์กรรู้ล่วงหน้าถึงภัยที่อาจจะเกิดขึ้นในอนาคตอันใกล้ เช่น ทราบว่ามีผู้ไม่หวังดีพยายาม "Brute Fore" รหัสผ่านของระบบ หรือ พยายามเจาะ Web Application โดยวิธี "SQL Injection" เป็นต้น

1.3 ตัวอย่างลูกค้าอ้างอิงที่เชื่อถือได้
เราควรโทรศัพท์สอบถามลูกค้าของ MSSP ที่ให้บริการอยู่ว่ามีความพึงพอใจ MSSP รายนั้นในระดับใด และ MSSP มีลูกค้าที่ให้บริการจริงอยู่กี่ที่ เพื่อความมั่นใจในการตัดสินใจเลือกใช้บริการจาก MSSP การสอบถามโดยตรงกับลูกค้าจึงเป็นข้อควรคำนึงที่ไม่ควรมองข้าม

1.4 เทคโนโลยีระดับสูงของ MSSP
MSSP ควรมีเทคโนโลยีด้านการวิเคราะห์ภัยคุกคามทางระบบสารสนเทศที่ค่อนข้างทันสมัย และ รู้เท่าทันเหล่าแฮกเกอร์ตลอดจนควรสามารถปรับแต่งได้ตามลักษณะฮาร์ดแวร์และซอฟท์แวร์ของลูกค้า

1.5 ราคาการให้บริการและเงื่อนไข
เป็นเรื่องสำคัญอีกเรื่องหนึ่ง ซึ่งถ้าราคาไม่เหมาะสมกับบริการที่ได้รับจาก MSSP แล้วคงเป็นเรื่องยากที่จะให้ผู้บริหารระดับสูงตัดสินใจใช้บริการเอาต์ซอร์สความปลอดภัยข้อมูล

1.6 ความน่าเชื่อถือ และชื่อเสียงของ MSSP
น่าจะเป็นเรื่องที่สำคัญที่สุด เพราะระบบซีเคียวริตี้ของเราต้องอยู่ในสายตาของ MSSP ตลอดเวลา เราต้องฝากความหวังไว้กับ MSSP ในระดับหนึ่ง ความเชื่อถือและชื่อเสียงของ MSSP จึงเป็นเรื่องที่สำคัญมาก

ข้อดีของการเอาต์ซอร์ส มีทั้งหมด 10 ข้อ ดังนี้

2.1 ลดต้นทุนด้านฮาร์ดแวร์, ซอฟท์แวร์ และบุคลากร ทางด้านความปลอดภัยข้อมูลให้กับองค์กร

2.2 แก้ปัญหาจากการขาดแคลนบุคลากรผู้เชี่ยวชาญเฉพาะทางด้านความปลอดภัยข้อมูล

2.3 MSSP จะมีความเชี่ยวชาญมากกว่าองค์กร

2.4 MSSP มีสถานที่และอุปกรณ์พร้อมกว่าศูนย์ปฏิบัติการเฝ้าระวังของ MSSP เราเรียกว่า SOC หรือ "Security Operation Center"

2.5 MSSP มีความเป็นอิสระในการให้ความเห็นแบบมืออาชีพ

2.6 MSSP สามารถติดต่อประสานงานกับตำรวจหรือ DSI ในกรณีที่เกิดเหตุที่ไม่พึงประสงค์ในระบบ

2.7 การแจ้งเตือนของ MSSP ทำให้องค์กรลดผลกระทบจากภัยที่อาจเกิดขึ้นได้อย่างทันท่วงที

2.8 MSSP มีข้อมูลที่รู้ลึก รู้ก่อน เช่น ข้อมูล Zero-Day Exploit เป็นต้น

2.9 MSSP มีบริการที่เตรียมพร้อมอยู่เสมอตาม SLA (Service Level Agreement) ที่ให้ไว้กับองค์กร และมีความรับผิดชอบในระดับหนึ่ง ซึ่งเราเรียกว่าเป็นการ "Transfer IT Risk" ให้กับ MSSP ด้วย

2.10 ผู้ว่าจ้าง MSSP ไม่ต้องคอยตามเทคโนโลยีใหม่ ๆ และช่องโหว่ ใหม่ ๆ ของระบบ โดย MSSP จะมีหน้าที่ในการ "Update" ข้อมูลต่าง ๆ ให้เราโดยอัตโนมัติทำให้เราไม่หลุด "Trend" ด้านความปลอดภัยข้อมูล

ข้อด้อยของการเอาต์ซอร์ส

ข้อด้อยของการเอาต์ซอร์สก็เป็นเรื่องที่ผู้บริหารต้องคำนึงถึงเช่นกัน ซึ่งมีรายละเอียดดังนี้

3.1 เราสามารถไว้วางใจ MSSP ได้แค่ไหน ทางออกก็คือการทำสัญญากับ MSSP โดยระบุ SLA ให้ชัดเจน3.2 การยึดกับ MSSP มากเกินไป จนองค์กรไม่มีบุคลากรที่สามารถแก้ไขปัญหาด้วยตนเองได้ การเอาต์ซอร์สนั้นเป็นเพียงการเอาต์ซอร์สการเฝ้าระวัง (Monitoring) ไม่ควรเป็นการเอาต์ซอร์สในลักษณะให้เข้ามาแก้ไขบริหารจัดการระบบ (Managing) ซึ่งในส่วนของการจัดการแก้ไขทางองค์กรควรมีบุคลากรทำเองจะดีกว่า

3.3 ความรู้สึกเป็นเจ้าของระบบที่แตกต่างกันระหว่าง MSSP กับผู้ว่าจ้างซึ่งควรกำหนด SLA ให้ชัดเจนก็จะช่วยแก้ปัญหาได้

3.4 ปัญหาการใข้ทรัพยากรร่วมกันระหว่างผู้ว่าจ้างกับ MSSP ควรมีการตกลงกันก่อนว่าใครใช้ทรัพยากรส่วนไหน และใครเป็นผู้รับผิดชอบค่าใช้จ่ายเช่น ค่าเช่า วงจรสัญญาณ จากผู้ใช้บริการมายัง MSSP เป็นต้น

3.5 ปัญหาเรื่องการติดตั้ง IDS / IPS และ Log Agent การติดตั้ง Agent และอุปกรณ์ดังกล่าวจำเป็นต้องมีผู้เชี่ยวชาญจาก MSSP มาติดตั้งและให้คำแนะนำ ตลอดจนผู้ว่าจ้างควรมีช่างเทคนิคหรือวิศวกรระบบคอมพิวเตอร์ที่เชี่ยวชาญรับผิดชอบอยู่มาช่วยทำงานในการติดตั้งร่วมกัน

3.6 ปัญหา SLA ไม่ชัดเจนทำให้เกิดความเข้าใจผิดระหว่างกัน

3.7 ปัญหาต้นทุนแฝงที่อาจเกิดขึ้นภายหลัง ซึ่งควรจะกำหนดไว้ล่วงหน้าใน SLA

3.8 ความเข้าใจ Scope of Work ที่แตกต่างกันระหว่างผู้ว่าจ้าง กับ MSSP ซึ่งควรจะตกลงสรุปกันให้ชัดเจนก่อนการให้บริการ

มาตรฐานของการเอาต์ซอร์ส

มาตรฐาน IT Service Management ก็คงหนีไม่พ้นมาตรฐาน ITIL (IT Infrastructure Library) ซึ่ง MSSP หลายที่ได้นำไปใช้ในการบริหารจัดการภายในและ การบริการลูกค้าอย่างเป็นระบบ สำหรับมาตรฐาน Information Security Management ได้แก่ มาตรฐาน ISO/IEC 27001 ก็เป็นอีกมาตรฐานหนึ่งที่ควรนำมาประยุกต์ใช้ เช่น การเก็บ Log แบบ Centralized Log System เป็นต้น

ประโยชน์ที่องค์กรได้รับจากการเอาต์ซอร์ส
ประโยชน์ให้เห็นได้ชัดที่สุดคือ ลด TCO (Total Cost of Ownership) และ เพิ่ม ROI (Return on Investment) ให้กับองค์กร
เพราะองค์กร ไม่ต้องลงทุนเองกับเทคโนโลยี SIM (Security Information Management) และ เทคโนโลยี SEM (Security Event Management) เพราะทาง MSSP จะต้องลงทุนในส่วนนี้ให้กับทางผู้จ้างอยู่แล้ว ซึ่งซอฟท์แวร์ทั้ง SIM และ SEM นั้นมีราคาค่อนข้างแพง มูลค่าหลายล้านบาท จึงไม่มีเหตุผลที่องค์กรต้องขี่ช้างจับตั๊กแตนกับซอฟท์แวร์ดังกล่าว ประโยชน์ที่ชัดเจนอีกเรื่องคือ องค์กรไม่ต้องปวดหัวกับการจัดหา บุคลากรผู้เชี่ยวชาญด้านการวิเคราะห์ Log ด้านความปลอดภัยเพราะ MSSP ต้องจัดหาบุคลากรเหล่านี้มาบริการองค์กรอยู่แล้ว และ ประโยชน์ข้อสุดท้าย คือ องค์กรสามารถควบคุม SLA ของ MSSP ได้ดีกว่าองค์กรควบคุมพนักงานของตนเองและ ไม่เป็นการเพิ่ม Head-Count ให้กับองค์กรอีกด้วย

ในเมื่อปัจจุบันองค์กรนิยมให้ความไว้วางใจกับ IT Outsourcer ในการบริหารจัดการระบบเครือข่ายและระบบสารสนเทศขององค์กรแล้ว การมอบหมายให้ IT Security Outsourcer หรือ MSSP เข้ามาดูแลระบบความปลอดภัยข้อมูลคอมพิวเตอร์ของ Server เช่น Windows และ UNIX/Linux รวมถึงอุปกรณ์เครือข่าย เช่น Router/Switching และ อุปกรณ์รักษาความปลอดภัยข้อมูลคอมพิวเตอร์ เช่น Firewall, VPN, IDS/ IPS, Anti-Virus System, Content filtering System ตลอดจนการประเมินความเสี่ยงด้วยการทำ Vulnerability Assessment และ Penetration Testing ก็คงจะไม่ใช่เรื่องแปลกสำหรับองค์กรอีกต่อไป แต่การเลือกใช้ MSSP รายใดรายหนึ่งนั้น กลับกลายเป็นปัจจัยสำคัญที่องค์กรต้องระมัดระวังในการเลือกใช้บริการ เพราะ MSSP ต้องไว้วางใจได้ในระดับหนึ่ง เพราะ MSSP นั้นมีหน้าที่ในการดูแลระบบความปลอดภัยขององค์กรโดยรวมซึ่งถือเป็นหัวใจสำคัญในการดำเนินงานขององค์กรวันนี้

แหล่งอ้างอิง
http://www.oknation.net/blog/print.php?id=318157
http://www.acisonline.net/article_prinya_eweek_010949.htm
http://gits.nectec.or.th
http://bc.siam.edu
http://www.cert.org)
http://www.securityfocus.com

Information Security Management Framework

Information Security Management Framework
การบริหารจัดการระบบรักษาความปลอดภัยข้อมูลอย่างเป็นระบบและมีประสิทธิภาพ

ปัจจุบันผู้บริหารระบบเทคโนโลยีสารสนเทศระดับสูงหรือ CIO (Chief Information Officer) นั้น มีความจำเป็นที่จะต้องศึกษามาตรฐานสากลด้านการรักษาความมั่นคงปลอดภัยใน ระบบเทคโนโลยีสารสนเทศเพื่อนำมาประยุกต์ใช้ในองค์กรเหตุผลมีหลายประการ เช่น องค์กรต้อง "Compliance" หรือ “ ผ่านการตรวจสอบ ” จากผู้ตรวจสอบ ระบบสารสนเทศ เพื่อให้เป็นไปตามกฎหมายของประเทศที่องค์กรนั้น ตั้งสำนักงานอยู่ เช่น ใน สหรัฐอเมริกา องค์กรที่จดทะเบียนในตลาดหลักทรัพย์ต้องปฏิบัติตามกฎหมาย Gramm-Leach- Bliley (GLB) กฎหมาย Health Insurance Portability and Accountability Act (HIPAA) และ ล่าสุด กฎหมาย Sarbanes-Oxley (SOX) ซึ่งทำให้อาชีพทางด้านผู้ตรวจสอบระบบสารสนเทศกำลังเป็นที่ ต้องการ โดยเฉพาะองค์กรที่ต้องเตรียมรับการตรวจสอบจากองค์กรภายนอก ขณะเดียวกัน ผู้บริหารสารสนเทศขององค์กรเอง ก็ต้องมีการเตรียมตัวเพื่อที่จะรับการตรวจสอบจากผู้ตรวจ สอบสารสนเทศภายในที่อาจมาจากต่างประเทศในกรณีที่องค์กรเป็นบริษัทข้ามชาติ หรือมาจาก ผู้ตรวจสอบสารสนเทศภายนอกที่มีความชำนาญและมีความเป็นกลางในการตรวจสอบ มาตรฐานสากลที่นิยมใช้กันทั่วโลก ได้แก่

1. มาตรฐาน ISO/IEC17799: 2005 (Second Edition) หรือ BS7799-1
มาตรฐาน ISO/IEC17799: 2005 (Second Edition) ถูกประกาศอย่างเป็นทางการเมื่อเดือนมิถุนายน ปี 2005 ได้มีการปรับปรุงแก้ไขมาจากต้นฉบับ ISO/IEC 17799:2000 (First Edition) จากปี 2000 ในประเทศไทยคณะอนุกรรมการความมั่นคงภายใต้คณะกรรมการธุรกรรมทางอิเล็กทรอนิกส์ ซึ่งจัดตั้งขึ้นตามพระราชบัญญัติการประกอบธุรกรรมทางอิเล็กทรอนิกส์ พ.ศ. 2546 ได้นำมาตรฐาน ISO/IEC17799 :2000 (First Edition) หรือ BS7799-1 มาเป็นแนวทางในการกำหนดมาตรฐานการรักษาความปลอดภัยในการประกอบธุรกรรมทางอิเล็กทรอนิกส์ของประเทศไทยจำนวน 144 ข้อเพื่อให้เป็นแนวทางเสริมสร้างการรักษาความปลอดภัยให้กับองค์กรหรือหน่วยงานที่เกี่ยวข้องกับการประกอบธุรกรรมทางอิเล็กทรอนิกส์ โดยกำหนดมาตรฐานออกเป็น 3 ระดับ คือ ระดับ 1 ควรปฏิบัติ 31 ข้อ , ระดับ 2 ควรปฏิบัติ 104 ข้อ และ ระดับ 3 ซึ่งเป็นระดับความปลอดภัยสูงสุด ควรปฏิบัติทั้งหมด 144 ข้อ การนำมาตรฐาน ISO/IEC17799 : 2005 มาปฏิบัติในองค์กร สามารถนำองค์กรไปสู่การ “Certified” โดย Certification Body ตามมาตรฐาน BS7799-2:2002 ขณะนี้องค์กรทั่วโลกกำลังให้ความสนใจเรื่องความปลอดภัยระบบเทคโนโลยีสารสนเทศ ตัวอย่างในประเทศญี่ปุ่นนั้น มีองค์กรได้รับการรับรองมาตรฐาน BS7799-2 ไปแล้วกว่า 900 องค์กร แสดงให้เห็นถึงมาตรฐานด้านความปลอดภัยระบบเทคโนโลยีสารสนเทศที่พัฒนากว่าประเทศเพื่อนบ้าน ปัจจุบัน การรับรองมาตรฐาน BS7799-2: 2002 กำลังพัฒนาเปลี่ยนแปลงเป็น ISO/IEC 27001:2005 ที่คาดว่าจะประกาศอย่างเป็นทางการประมาณเดือนพฤศจิกายนนี้ ซึ่งจะสอดคล้องกับมาตรฐาน ISO/IEC17799:2005(BS7799-1) ที่ถูกประกาศบอกมาแล้วก่อนหน้านี้

2. มาตรฐาน CobiT (Control Objective for Information and Related Technology)
มาตรฐาน CobiT ถูกพัฒนาขึ้นโดย ISACA และ IT Governance Institute เพื่อองค์กรที่ต้องการมุ่งสู่การเป็น “ ไอทีภิบาล ” หรือ “IT Governance” มาตรฐาน CobiT เป็นแนวคิดและแนวทางปฏิบัติของผู้บริหารระบบสารสนเทศ และขณะเดียวกันก็เป็นแนวทางปฏิบัติสำหรับผู้ตรวจสอบระบบสารสนเทศด้วย โครงสร้างของมาตรฐาน CobiT นั้นแบ่งออกเป็น 4 กระบวนการหลัก ประกอบด้วย High Level Control Objective ทั้งหมด 34 หัวข้อ และ Detail Control Objective แบ่งแยกย่อยอีกทั้งหมด 318 หัวข้อย่อย CobiT เป็นมาตรฐานเปิดที่สามารถ Download ได้ที่ Web Site ของ ISACA ในประเทศไทย สมาคมผู้ตรวจสอบและควบคุมระบบสารสนเทศ ภาคพื้นกรุงเทพฯ มีโครงการในการแปลมาตรฐาน CobiT ออกมาเป็นภาษาไทย และ ทางสมาคม ISACA สหรัฐอเมริกากำลังจะออก CobiT Version 4 ซึ่งมีการปรับปรุงจาก COBIT Version 3.2 ปัจจุบัน แนวคิดของมาตรฐาน CobiT กำลังเป็นที่นิยมในกลุ่มธุรกิจด้านการเงินและการธนาคาร ยกตัวอย่างเช่น ธนาคารแห่งประเทศไทย และสำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์ หรือ กลต. ที่นำมาตรฐาน CobiT มาเป็นแนวทางในการออกข้อกำหนดและกฎข้อบังคับต่างที่ธนาคารพาณิชย์และบริษัทหลักทรัพย์ต่าง ๆ ควรนำมาปฏิบัติ โดยขณะนี้ได้ออกประกาศเรื่องการควบคุมการปฏิบัติงานและแนวทางปฏิบัติในการรักษาความปลอดภัยด้านเทคโนโลยีสารสนเทศและการให้บริการการเงินทางอิเล็กทรอนิกส์เพื่อเป็นแนวทางให้กับธนาคารพาณิชย์และบริษัทหลักทรัพย์ต่าง ๆ ในประเทศไทยแล้ว

3. มาตรฐาน ITIL (IT Infrastructure Library)/BS15000
มาตรฐาน ITIL มีต้นตอมาจากประเทศอังกฤษ ซึ่งทางรัฐบาลประเทศอังกฤษ โดย OGC (Office of Government Commerce) พัฒนาร่วมกับ BSI (British Standard Institute) มีวัตถุประสงค์ในการสร้าง Best Practice สำหรับกระบวนการบริหารงานบริการด้านสารสนเทศ ( IT Service Management) มาตรฐาน ITIL กล่าวถึง “Best Practice” ในการบริหารจัดการงานให้บริการด้านระบบสารสนเทศที่ควรจะเป็นและมีประสิทธิภาพและ ประสิทธิผลชัดเจน เช่น มาตรฐานด้าน Service Support และ Service Delivery ตลอดจน การกำหนด SLA (Service Level Agreement) เป็นต้น ปัจจุบันแนวโน้มด้านการ “Outsource” การบริหารจัดการเทคโนโลยีสารสนเทศมีการเพิ่มขึ้นอย่างรวดเร็ว ดังนั้นมาตรฐานในการควบคุมคุณภาพของการให้บริการจึงถือเป็นเรื่องสำคัญที่องค์กรควรจะศึกษาและกำหนดเป็นมาตรฐานขั้นต่ำให้กับ Outsourcer Company ที่รับงานบริการด้านสารสนเทศไปจัดการแทนองค์กรเพื่อให้เกิดประสิทธิผลและประสิทธิภาพสูงสุดในการให้บริการ สร้างความพึงพอใจให้กับผู้ใช้คอมพิวเตอร์ทั่วไป และส่งผลต่อภาพลักษณ์ของผู้บริหารเทคโนโลยีสารสนเทศระบบสูงในทางอ้อมอีกด้วย

4. มาตรฐาน SANS TOP20 มาตรฐาน SANS TOP20 เป็นมาตรฐานในการตรวจสอบระบบสารสนเทศ

สำหรับระบบความปลอดภัยบนระบบปฏิบัติการ Microsoft Windows และ UNIX/Linux ที่ได้รับการยอมรับกันโดยทั่วไป มาตรฐาน SANS Top 20 มีมาตั้งแต่ปี 2000 ขณะนี้ SANS Top 20 ล่าสุด ได้มีการปรับปรุงมา 4 ครั้ง และปรับปรุงในปี 2004 เรียกว่า SANS Top 20 2004 โดยแบ่งออกเป็นการเตือนช่องโหว่ของระบบปฏิบัติการ Windows 10 ช่องโหว่ และการเตือนช่องโหว่ระบบปฏิบัติการ UNIX/ Linux อีก 10 ช่องโหว่ รายละเอียดดูที่ http://www.sans.org/top20 ปัจจุบัน SANS ได้ออก SANS Top 20 2005 Quarter 1 and Quarter 2 update มาเพิ่มเติมด้วย

5. มาตรฐาน ISMF 7 (Information Security Management Framework)ISMF 7

เป็นมาตรฐานตรวจสอบและประเมินความปลอดภัยระบบสารสนเทศที่พัฒนาโดยนักวิชาการคนไทย จุดประสงค์เพื่อให้เป็นแนวทางในการบริหารจัดการระบบรักษาความปลอดภัยข้อมูลอย่างเป็นระบบและมีประสิทธิภาพให้ทันกับสถานการณ์ปัจจุบันของการโจมตีระบบโดยแฮกเกอร์และมัลแวร์ต่างๆ นอกจาก CIO ยุคใหม่ต้องศึกษามาตรฐานสากลด้านการรักษาความมั่นคงปลอดภัยแล้ว พวกเขายังมีหน้าที่ในการ กำหนดยุทธศาสตร์ ทิศทางด้านเทคโนโลยีสารสนเทศขององค์กร ตลอดจนมาตรการในการรักษาความปลอดภัยเทคโนโลยีสารสนเทศขององค์กร เนื่องจากเป็นมีบุคลากรที่รับผิดชอบในเรื่องนี้โดยตรง ในกรณีที่ยังไม่มีตำแหน่ง CSO (Chief Security Office) หรือ CISO (Chief Information Security Officer) มารับผิดชอบด้านความปลอดภัยสารสนเทศโดยตรง CIO ก็ต้องรับผิดชอบเรื่องความปลอดภัยไปด้วยในตัว ซึ่งนับว่าเป็นภาวะความรับผิดชอบที่ค่อนข้างสูง เพราะเรื่องความปลอดภัยเทคโนโลยีระบบสารสนเทศนั้น มีการเปลี่ยนแปลงอยู่เสมอ CIO ต้องคอยติดตามความเคลื่อนไหวและปรับปรุงความรู้ความสามารถให้สอดคล้องกับสถานการณ์ปัจจุบัน และยังต้องตัดสินใจเรื่องการเลือกใช้เทคโนโลยีด้านความปลอดภัยที่เหมาะสมแก่องค์กรทั้งในเรื่องของ TCO (Total Cost of Ownership) และ ROI (Return On Investment) จากข้อมูลของ Gartner เรื่อง Hype Cycle for Information Security 2004 ปัญหาด้านความปลอดภัยระบบเทคโนโลยีสารสนเทศยังเป็นประเด็นสำคัญที่ CIO ต้องให้ความสนใจและจัดการอย่างเป็นระบบ ไม่ว่าจะเป็น Spyware, Phishing, SPAM และ Peer-to-Peer Exploit ขณะเดียวกันเทคโนโลยีและบริการที่ CIO ใช้ในการแก้ปัญหาดังกล่าว บางเทคโนโลยี เช่น IDS นั้น ล้าสมัยไปแล้ว ทุกวันนี้ เทคโนโลยีใหม่เข้ามาแทนที่ เช่น IPS, Vulnerability Management และ Patch Management เป็นต้น ส่วนการให้บริการเฝ้าระวังระบบรักษาความปลอดภัยจากบริษัทที่รับดูแลด้านความปลอดภัยโดยตรง ที่เรียกตัวเองว่า MSSP (Managed Security Service Provider) ก็กำลังได้รับความนิยมจาก CIO เพิ่มขึ้นเช่นกัน ดังนั้น CIO ควรมีกลยุทธ์ในการบริหารจัดการเทคโนโลยี

สารสนเทศที่ดีและเตรียมพร้อมกับสถานการณ์ปัจจุบัน และอนาคต โดยสรุปได้ 6 ข้อดังนี้

1. มีกลยุทธ์ในการรับผิดชอบดูแลเรื่องการประหยัดงบประมาณ การใช้จ่ายทางด้านเทคโนโลยีสารสนเทศการจัดซื้อจัดจ้างระบบเทคโนโลยีสารสนเทศ จำเป็นต้องใช้งบประมาณค่อนข้างสูง การตัดสินใจเลือกใช้เทคโนโลยีใหม่จึงเป็นความท้าทายของ CIO เพราะหากตัดสินใจผิดก็อาจส่งผลเสียในระยะยาวให้แก่องค์กรได้ ขณะที่งบประมาณด้านการรักษาความปลอดภัย มีแนวโน้มที่จะลดลงตามสภาวะเศรษฐกิจโลกที่ถดถอย แต่การโจมตีจากแฮกเกอร์ และไวรัสกลับมีแนวโน้มเพิ่มขึ้น ดังนั้น CIO จึงจำเป็นต้อง “Balance” ปรับสมดุล ระหว่างความปลอดภัยขั้นต่ำที่องค์กรควรมี และงบประมาณที่จะถูกใช้จ่ายออกไปเพื่อให้ได้มาซึ่งอุปกรณ์ฮาร์ดแวร์และซอฟต์แวร์ ตลอดจนการบริการจาก IT Auditor, IT Consultant, System Integrator และ IT Outsourcer รวมถึงงบประมาณการฝึกอบรม Information Security Awareness Training และ Information Security Technical Training จาก IT Training Center ต่าง ๆ อีกด้วย

2. กำหนดแผนยุทธ์ศาสตร์ด้านความปลอดภัยระบบสารสนเทศให้ชัดเจนและนำไปปฏิบัติจริงได้ แผนยุทธ์ศาสตร์ในระยะยาวควรกำหนดออกมาให้ชัดเจน เพื่อเป็นแนวทางในการดำเนินการด้านสารสนเทศและการรักษาความปลอดภัยข้อมูลสารสนเทศ จากนั้น แผนระยะกลางและแผนระยะสั้น ก็ควรถูกกำหนดออกมาเช่นกัน ยกตัวอย่าง เช่น องค์กรควรมีการจัดทำการประเมินความเสี่ยงระบบสารสนเทศเป็นประจำทุกปี และควรมีการจัดทำแผนฝึกอบรม Information Security Awareness Training ในทุกๆ 3 – 6 เดือน เป็นต้น

3. เพิ่มความรู้และมีความรอบรู้เพื่อใช้ประกอบการตัดสินใจเลือกใช้เทคโนโลยีที่เหมาะสมและไม่ล้าสมัย ยกตัวอย่างการเลือกใช้แพลตฟอร์มว่าจะใช้ Windows Server 2003 Platform หรือ UNIX/LINUX Platform การเลือกใช้เทคโนโลยี J2EE (Jave 2 Enterpirse Edition) หรือเลือกใช้เทคโนโลยี Dot NET ของ Microsoft เป็นต้น การหมั่นเข้าร่วมฟังงานสัมมนาเทคโนโลยีใหม่ ๆ ก็เป็นเรื่องจำเป็นของ CIO เช่นเดียวกัน ซึ่งก็คงต้องปลีกเวลาการทำงานบ้างเพื่อเพิ่มพูนความรู้ใหม่ ๆ ที่เป็นประโยชน์ในการตัดสินใจในอนาคต การเดินทางไปชมงาน ICT Expo ในต่างประเทศ ก็ควรอยู่ในโปรแกรมของ CIO ด้วย

4. นำองค์กรเข้าสู่มาตรฐานกำหนดความปลอดภัยสารสนเทศที่สากล ให้การยอมรับและเตรียมพร้อมสำหรับการตรวจสอบจากผู้ตรวจสอบระบบสารสนเทศ

การนำมาตรฐานสากลด้านความปลอดภัยระบบสารสนเทศ เช่น ISO/IEC17799 หรือ CobiT มาประยุกต์ใช้บางส่วน ถือเป็นเรื่องจำเป็น CIO ต้องให้ความสำคัญเช่นกัน โดยองค์กรอาจจะไม่จำเป็นต้องได้รับใบรับรองมาตรฐาน BS7799-2 ในกรณีที่องค์กรมองว่าประโยชน์ที่ได้รับจากการได้รับใบรับรองมาตรฐานด้านความปลอดภัยนั้นยังไม่ชัดเจน แต่องค์กรก็ควรนำมาตรฐานสากลที่เป็น “Best Practice” ต่าง ๆ มาประยุกต์ใช้ เพื่อความปลอดภัยขององค์กรเอง และ เพื่อให้สอดคล้องกับยุคของไอทีภิบาล การตรวจสอบระบบสารสนเทศโดยผู้ตรวจสอบภายนอกหรือผู้ตรวจสอบภายในเป็นเรื่องจำเป็นที่ต้องทำเป็นประจำทุกปีเพื่อให้แน่ใจถึงระดับของความเสี่ยงที่ผู้บริหารยอมรับได้ และไม่ส่งผลกระทบต่อองค์กร

5. รักษาความสัมพันธ์ที่ดีกับผู้ร่วมงานและพัฒนาการสื่อสารกับผู้ร่วมงานให้มีความชัดเจนและความเข้าใจในทิศทางเดียวกัน

ปัญหาของ CIO ในหลายองค์กร คือ ไม่สามารถอธิบายการทำงานด้านสารสนเทศต่าง ๆ ให้ผู้บริหารระดับสูง เช่น CEO หรือ CFO เข้าใจ และให้การสนับสนุนได้อย่างมากพอ ทำให้หลายโครงการด้านสารสนเทศ ไม่ประสบความสำเร็จ ดังนั้น CIO ควรต้องมีทักษะในการพูดคุย การติดต่อ ตลอดจนการนำเสนอในรูปแบบมืออาชีพ ที่มีความชัดเจน และ ง่ายต่อการเข้าใจของผู้บริหารระดับสูงที่ไม่ใช่ “ คนไอที ” ตลอดจน CIO ควรรักษาความสัมพันธ์กับ System Integrator, Consultant, Supplier และ Outsourcer เพื่อให้บริษัทเหล่านี้มาช่วยแบ่งเบาภาระของ CIO และ เป็นการ Transfer Risk ไปในตัว ความสัมพันธ์ที่ดีกับหน่วยงานต่าง ๆ ดังกล่าวจะส่งผลช่วย CIO ในทางอ้อมต่อประสิทธิภาพในการปฏิบัติงานและภาพลักษณ์ของตัว CIO เอง

6. เตรียมรับสถานการณ์ฉุกเฉินด้านความปลอดภัยสารสนเทศที่อาจเกิดขึ้นได้
แผน BCP (Business Continuity Planning) และ DRP (Disaster Recovery Planning) ควรถูกจัดทำขึ้นเพื่อให้องค์กรพร้อมกับการเตรียมรับเหตุการณ์ฉุกเฉิน หรือ Incident Response Management ที่อาจเกิดขึ้นและส่งผลกระทบต่อการทำงานโดยรวมขององค์กรได้ โดย CIO ต้องช่วยสนับสนุนและเป็นแกนหลักในการจัดทำแผนดังกล่าวด้วย กล่าวโดยสรุป ตำแหน่ง CIO นั้นเป็นตำแหน่งที่มีความสำคัญต่อองค์กรอย่างสูงในยุคที่เทคโนโลยีระบบสารสนเทศ และการสื่อสาร เข้ามามีบทบาทสำคัญต่อการดำเนินงานขององค์กรในปัจจุบัน การกำหนดกลยุทธ์ในการบริหารจัดการเทคโนโลยีสารสนเทศและการรักษาความปลอดภัยสารสนเทศเป็นเรื่องสำคัญที่ CIO ทุกท่านต้องจัดทำขึ้น และ CIO จะต้องมีความรับผิดชอบในเรื่องดังกล่าวโดยปริยาย ทั้งนี้ เนื่องจากในอนาคตกฏหมายต่าง ๆ ที่กำลังจะถูกประกาศใช้ เช่น กฏหมายการกระทำผิดเกี่ยวกับคอมพิวเตอร์ หรือประกาศกฏข้อบังคับต่างๆ ขององค์กรที่มีหน้าที่ในการควบคุม เช่น สตง. ธนาคารแห่งประเทศไทย หรือ กลต. มีแนวโน้มที่จะเข้มงวดเรื่องการรักษาความปลอดภัยข้อมูลระบบสารสนเทศมากขึ้น CIO ก็ควรจะปรับตัวให้เข้ากับยุคสมัยทศวรรษแห่งดิจิตอลเพื่อนำองค์กรเข้าสู่ “ ไอทีภิบาล ” เพื่อจุดมุ่งหมายปลายทาง คือ Corporate Governance หรือ “ บรรษัทภิบาล ”

โมเดลในการบริหารจัดการระบบรักษาความปลอดภัยข้อมูลอย่างเป็นระบบและมีประสิทธิภาพ

โมเดล ISMF นั้นประกอบไปด้วย 4 งานหลัก (Plan, Do, Check, Act ในภาพ) และแต่ละงานหลักมี 4 งานย่อย (รูปทรงกราฟวงกลมที่อยู่ถัดจากชื่องานหลัก) รวมทั้งหมด 16 งานย่อย โดยแต่ละงานหลักนั้นจะมีลูกศรสีแดงชี้ออกมาซึ่งหมายถึงผลลัพท์สุดท้ายของแต่ละงานหลัก และองค์ประกอบสุดท้ายคือวงแหวนรอบนอกซึ่งแสดงถึงงานซึ่งจะต้องทำอย่างต่อเนื่อง สม่ำเสมอตลอดโครงการไม่จำกัดว่าจะต้องทำในช่วงงานหลักใด สำหรับความหมายและหน้าที่ขององค์ประกอบต่างๆในโมเดล ISMF นั้นมีรายละเอียดดังนี้

1.การวางแผนด้านการรักษาความปลอดภัยของข้อมูล (Plan) มีคำกล่าวที่ว่า "หากต้องการดำเนินการใดๆอย่างราบรื่น แล้วการวางแผนอย่างรัดกุมนั้นเป็นสิ่งสำคัญที่ขาดไม่ได้" ซึ่งในมุมมองด้านการรักษาความปลอดภัยของข้อมูลก็เช่นกัน การวางแผนที่ดีนั้นจะทำให้ท่านทราบกิจกรรมที่จะต้องทำตลอดทั้งโครงการ โดยมีการคำนึงถึง Risk Management เป็นหลัก ซึ่งจะทำให้ความเข้มของการรักษาความปลอดภัยของข้อมูลนั้นไม่ตึงหรือหย่อนจนเกินไป อยู่ในระดับที่พอเหมาะกับ Risk Tolerance นั้นเอง ในขั้นตอนวางแผนนี้ประกอบด้วยงานย่อยทั้งหมด 4 งาน ดังนี้
1.1Information Security Executive Briefing เป็นการเล่าถึง ขั้นตอน ขอบเขต ความต้องการ และข้อจำกัด ของโครงการให้กับผู้บริหารระดับสูงขององค์กร ทั้งนี้เพื่อเป็นการปรับความเข้าใจ ความคาดหวัง เตรียมความพร้อมเพื่อเริ่มโครงการ และเป็นการเก็บข้อมูลด้านธุรกิจขององค์กร เพื่อให้คำแนะนำเกี่ยวกับการตั้งโจทย์หรือเป้าหมายด้านการรักษาความปลอดภัยของข้อมูลขององค์กร ซึ่งอาจจะยึดมาตรฐานต่างๆ เช่น ISO/IEC 17799 (ISO/IEC27001) หรือมาตรฐานที่องค์กรประยุกต์ขึ้นเองก็ได้
1.2Gap Analysis เป็นการตรวจสอบองค์กรโดยการเปรียบเทียบกับมาตรฐานสากล เช่น ISO/IEC 17799 (ISO/IEC27001) ซึ่งจะช่วยให้การวางแผนเพื่อพัฒนาและปรับปรุงความปลอดภัยข้อมูลขององค์กรมีทิศทางที่ชัดเจนยิ่งขึ้น
1.3Information Security People, Process, and Technology Vulnerability Assessment เป็นการตรวจสอบหาช่องโหว่ด้านความปลอดภัยขององค์กรโดยมุ่งเน้นในด้าน บุคลากร กระบวนการ และเทคโนโลยี ซึ่งจะช่วยให้ผู้วางแผนได้ทราบข้อมูลจุดอ่อนขององค์กรในเชิงลึก ทำให้สามารถวางแผนได้ตรงความเป็นจริงมากขึ้น
1.4Penetration Testing คือการตรวจสอบด้านการรักษาความปลอดภัยของข้อมูลระดับลึกที่สุด โดยมีการแสดงผลและขั้นตอนในการนำเอาช่องโหว่ที่พบในขั้นตอน Vulnerability Assessment มาใช้ในการเจาะระบบจริง (Ethical Hacking) ซึ่งจะช่วยลด fault positive และ เพิ่ม Awareness ให้กับผู้บริหารและผู้ร่วมโครงการได้เป็นอย่างดี

ภายหลังจากดำเนินงานทั้ง 4 งานย่อยข้างต้นแล้ว ผู้ตรวจสอบและผู้ร่วมโครงการจึงสามารถร่วมกันพัฒนาแผนงานด้านการรักษาความปลอดภัยของข้อมูลให้แก่องค์กรได้ ซึ่งแผนดังกล่าวนั้นเรียกว่า "Information Security Master Plan"

2.การนำแผนที่วางไว้มาปฏิบัติ (DO) ถึงแม้ว่าจะมีการวางแผนอย่างดีเพียงได้แต่หากปราศจากการดำเนินการอย่างเหมาะสมแล้ว โครงการคงไม่สามารถประสบความสำเร็จได้ ดังนั้นในขั้นตอนนี้จึงมีการนำผลลัพท์จากขั้นตอนที่ผ่านมาเพื่อใช้เป็นแนวทางปฏิบัติ โดยแบ่งเป็นการทำงานในเชิงเทคนิค และเชิงนโยบายรวมทั้งสิ้น 4 งานย่อยดังนี้
2.1Hardening เป็นการลดช่องโหว่ของระบบซึ่งเน้นในระดับ Host (Windows/UNIX) และ Network Device (Router, Switching) เป็นหลัก โดยแก้ไขเพื่อลดช่องโหว่ของเครื่องแม่ข่ายในระบบสำคัญๆ
2.2Defense in Depth เป็นการสร้างความปลอดภัยให้แก่ระบบในทุกระดับของระบบ ไม่ว่าจะเป็น DMZ, Network Gateway รวมไปถึง Host และ Application โดยเน้นการเขียนข้อกำหนดและ แนวทางเป็นหลัก
2.3Information Security Policy Development หมายถึงการพัฒนานโยบายด้านการรักษาความปลอดภัยของข้อมูล ซึ่งจะเป็นเส้นทางในการถ่ายทอด requirement ด้านการรักษาความปลอดภัยของข้อมูลขององค์กรมากสู่แนวทางและวิธีการปฏิบัติให้แก่พนักงานทุกคนในองค์กร
2.4Incident Response and BCP/DRP Plan การสร้างแผนจัดการกับเหตุการณ์ที่ไม่คาดฝัน และแผนสำรองฉุกเฉิน เพื่อรับมือกับภัยต่างๆที่อาจจะเกิดขึ้น เพื่อจำกัดความเสียหายให้เหลือน้อยที่สุด
ขั้นตอนที่ 2 นี้จะช่วยให้แผนที่วางไว้สามารถเกิดขึ้นจริงได้ในทางปฏิบัติ ซึ่งผลลัพท์ของขั้นตอนนี้นั้นจะเป็นเอกสารต่างๆที่เกี่ยวข้องกับการดำเนินงานได้แก่ นโยบายรักษาความปลอดภัย แผนสำรองฉุกเฉิน และเอกสารมาตรฐานด้านความปลอดภัยสำหรับการพัฒนาระบบและเครื่องแม่ข่าย

3.การตรวจสอบและเฝ้าระวัง (Check) หลังจากการการวางแผนและการปฏิบัติที่ดี การตรวจสอบและเฝ้าระวังนั้นก็เป็นสิ่งสำคัญที่จะต้องทำในลำดับต่อมา ทั้งนี้เพื่อเป็นการตรวจสอบถึงความสำเร็จของงาน ความยอมรับของพนักงานในองค์กร ช่องโหว่และภัยใหม่ๆที่พบในระบบ เพื่อนำมาใช้ปรับปรุงและแก้ไขนโยบายและนำมาใช้ในการทำงานขั้นตอนต่อไป
3.1Centralized Log Management คือการจัดการ จัดเก็บและรวบรวม Log จากอุปกรณ์ต่างๆไว้ที่ส่วนกลาง เพื่อความสะดวกในการวิเคราะห์ และการเก็บ Log ของระบบตามที่กฏหมายกำหนด
3.2Vulnerability Management เป็นการสร้างระบบบริหารจัดการช่องโหว่ของระบบ ซึ่งจะดำเนินการสแกนระบบและทำรายงานแบบ real-time โดยมีการปรับแต่งให้สร้าง traffic รบกวนระบบน้อยที่สุด นอกจากนั้นยังมีระบบ assign ช่องโหว่ที่พบให้กับบุคลากรต่างๆในองค์กร ซึ่งจะสามารถช่วยให้เกิดการติดตามงานและยังช่วยวัดประสิทธิผลการทำงานของพนักงานแต่ละบุคคลได้ในระดับหนึ่งอีกด้วย
3.3Compliance Management เป็นการจัดการเพื่อให้ผลักให้สิ่งที่เขียนอยู่ในนโยบายรักษาความปลอดภัยสามารถเป็นจริงได้ในทางปฏิบัติ โดยการใช้เครื่องมือในการควบคุมการทำงานและการใช้งานระบบสารสนเทศ นอกจากนั้นยังมีประโยชน์ในการเฝ้าติดตามพฤติกรรมการใช้งานระบบของผู้ใช้งานได้อีกด้วย
3.4Real-time Threat Monitoring and Intrusion Analysis นำผลที่ได้จาก "Centralized Log Management " มาเป็นวัตุดิบในการวิเคราะห์การใช้งานและภัยที่เกิดขึ้นกับระบบ มีวัตถุประสงค์ในการลด fault positive ที่แฝงอยู่ใน report และ Log จากอุปกรณ์ด้าน Information Security อุปกรณ์ host และ network ต่างๆ ผลลัพท์ของขั้นตอนนี้เรียกว่า "Information Security Recommendation" เป็นผลสรุปและวิเคราะห์จากงานย่อยต่างๆ และผลลัพท์นี้เองซึ่งจะนำมาใช้ในเป็นแนวทางในการปรับปรุงโครงการในขั้นตอนต่อไป

4.การนำข้อข้อเสนอแนะมาใช้ในการปรับปรุงระบบ (Act) เป็นการนำ "Information Security Recommendation" จากขั้นตอนที่แล้ว มาใช้เพื่อเป็นแนวทางในการปรับแต่งนโยบาย วิธีการปฏิบัติ รวมไปถึงมาตรการต่างๆที่จะออกมาเพื่อให้พนักงานมีความเข้าใจและปฏิบัติตามนโยบาย รวมไปถึงการสร้างเกณท์วัดความสำเร็จของของโครงการ
4.1Incident Response and BCP/DRP Update เป็นการนำผลการวิเคราะห์และข้อแนะนำซึ่งเป็น outcome มาจากเฟสที่แล้ว มาใช้ในการปรับปรุงแก้ใช้สร้างแผนจัดการกับเหตุการณ์ที่ไม่คาดฝัน และแผนสำรองฉุกเฉินให้เหมาะสมกับองค์กรมากยิ่งขึ้น
4.2Information Security Policy Update เป็นการปรับปรุง นโยบายรักษาความปลอดภัยขององค์กรให้ทันสมัยและตอบรับกับปัจจับภายในและภายนอกที่เปลี่ยนแปลงไป
4.3Patch Management เป็นบริหารจัดการแพทช์อย่างเป็นขั้นตอน โดยมีการทดสอบความถูกต้องของไฟล์ patch มีการโหลด patch และดำเนินการติดตั้งโดยใช้ bandwidth น้อยที่สุด รวมไปถึงการ rollback อย่างมีประสิทธิผล
4.4Information Security Metrics หมายถึงการวิเคราะห์หาเกณท์วัดผลสำเร็จของการทำงานด้านการรักษาความปลอดภัยของข้อมูล ผลลัพท์ที่สำคัญที่สุดของขั้นตอนนี้นั้นเรียกว่า "KPI and Information Security Scorecard" ซึ่งเป็นการนำเกณฑ์ตรวจวัดมาใช้ในการการวัดผลออกมาเป็น KPI ขององค์กร เพื่อใช้เป็นแนวทางในการตั้งเป้าหมายในการจัดทำโครงการรักษาความปลอดภัยของข้อข้อมูลในโครงการรอบต่อไป

สิ่งที่ต้องทำอย่างสม่ำเสมอตลอดโครงการ งานในส่วนนี้จะอยู่ในวงแหวนรอบนอกของโมเดล ISMF ซึ่งเป็นงานจำเป็นที่จะต้องทำอย่างต่อเนื่องตลอดทั้งโครงการ ประกอบด้วยงานทั้งหมด 3 หัวข้อย่อยได้แก่

1.Information Security Awareness Training and Education เป็นการจัดฝึกอบรบเพื่อเพิ่มความรู้และความตระหนักถึงความสำคัญของการรักษาความปลอดภัยให้แก่บุคลากรทุกระดับในองค์กร ซึ่งจะช่วยให้การบริหารจัดการด้าน "Information Security" ในองค์กรนั้นเป็นไปได้อย่างสะดวกมากขึ้น
2.Incident Response and Forensics เป็นการเตรียมความพร้อมรับสิ่งที่ไม่คาดฝันอยู่เสมอ และ วิเคราะห์ต้นเหตุของปัญหา (Root-cause Analysis) จากวิธี Digital Forensics
3.Managed Security Services หมายถึง การ Outsource เฝ้าระวังโดยการวิเคราะห์ Log ด้วยบุคลากรผู้เชี่ยวชาญจากภายนอก การเฝ้าระวังโดยการวิเคราะห์ Log ด้วยบุคลากรภายในองค์กรของเราเองนั้น นอกจากจะใช้เวลาค่อนข้างมากแล้วยังต้องการผู้เชี่ยวชาญที่แยกแยะระหว่าง Fault Alarm กับ Real Attack Alarm ซึ่งผู้เชี่ยวชาญต้องมีความชำนาญเป็นพิเศษด้านการวิเคราะห์การบุกรุกระบบ (Intrusion Analyst) ตลอดจนในปัจจุบันค่าตัวของบุคลากรที่มีความเชี่ยวชาญดังกล่าวก็ค่อนข้างสูงอยู่พอสมควร

จากปัญหาดังกล่าวจึงเกิดแนวคิดในการ "Outsource" ด้านการจัดการระบบรักษาความปลอดภัยซึ่งเรียกว่า "Managed Security Services" หรือ "MSS" การจัดจ้าง Outsource ด้าน Security โดยเฉพาะ เป็นแนวคิดที่ต้องการให้ Outsource มาช่วยในการจัดการบริหารความเสี่ยง และ ช่วยลดความเสี่ยงให้กับระบบโดยรวม (Risk Management & Risk Mitigation)

แหล่งอ้างอิง
http://www.acisonline.net
http://www.acfs.go.th/csc/policy_1.html
http://www.eweekthailand.com
http://www.securityfocus.com
http://www.cert.org)
http://thaicert.nectec.or.th/advisory/alert/nachi.php

ทิศทางการเปลี่ยนแปลงของกระบวนการควบคุมความปลอดภัยข้อมูลด้านเทคโนโลยีสารสนเทศทั่วโลก และ สถานการณ์ล่าสุดของประเทศไทย

ทางการเปลี่ยนแปลงของกระบวนการควบคุมความปลอดภัยข้อมูลด้านเทคโนโลยีสารสนเทศทั่วโลก และ สถานการณ์ล่าสุดของประเทศไทย

แนวโน้มการเปลี่ยนแปลงของกระบวนการควบคุมความปลอดภัยข้อมูลด้านเทคโนโลยีสารสนเทศ ในวันนี้กำลังเป็นเรื่องสำคัญที่หลายองค์กรทั้งภาครัฐและเอกชนทั่วโลกมีความจำเป็นต้องปรับตัวให้เข้ากับยุคสงครามไซเบอร์ (Cyber Warfare) เพื่อป้องกันองค์กรจากภัยอินเทอร์เน็ต (Internet Threat) ที่นับวันจะยิ่งทวีความรุนแรงมากขึ้นในลักษณะที่เราเรียกว่า "Blend Threat" ซึ่งหมายถึงโปรแกรมจำพวก "MalWare" หรือ "Malicious Software" ที่เป็นทั้ง ไวรัส (Virus) สปายแวร์ (Spy ware) โทรจัน (Trojan Horse) เวิร์ม (Worm) และ หน่วยทำลายระบบ (Denial of Service Agent) ผสมผสานกันภายในโปรแกรมเพียงโปรแกรมเดียว ซึ่งอาจมาในรูปไฟล์นามสกุล .PIF, .HTA, .SCR, .ZIP หรือ แม้กระทั่งไฟล์นามสกุล .JPG ก็ยังอันตราย คอมพิวเตอร์เพียงตัวเดียวเช่นเครื่องโน๊ตบุ๊ค ที่ติดไวรัส หรือ ถูกติดตั้งโปรแกรม MalWare แบบอัตโนมัติ โดยที่ผู้ใช้ไม่รู้ตัว อาจทำอันตรายแก่ระบบคอมพิวเตอร์และระบบเครือข่ายขององค์กรใหญ่ๆได้อย่างง่ายดายภายในไม่กี่นาที ดังนั้นการป้องกันความปลอดภัยระบบสารสนเทศขององค์กรอย่างเป็นระบบและได้มาตรฐาน ซึ่งนับวันทุกองค์กรจะขาดระบบสารสนเทศเสียไม่ได้ จึงเป็นเรื่องที่มีความสำคัญอย่างยิ่งยวดในปัจจุบัน และอนาคต

ทิศทางการเปลี่ยนแปลงของกระบวนการจัดการความปลอดภัยข้อมูลทั่วโลกนั้น แบ่งออกได้เป็น 3 ระยะ ได้แก่
ระยะที่ 1 IT Control Best Practices, Standards and Frameworks
ระยะที่ 2 IT Control Regulations
ระยะที่ 3 IT Control Laws and Legislations

ในระยะที่หนึ่ง IT Control Best Practices, Standards and Frameworks องค์กรจะคำนึงถึงมาตรฐานด้านความปลอดภัยคอมพิวเตอร์ที่สามารถนำมาอ้างอิงในการป้องกันรักษาความปลอดภัยให้กับระบบสารสนเทศขององค์กร ลักษณะของมาตรฐาน IT Control Standard ดังกล่าวเรียกได้ว่าเป็น "Best Practices" คือ สูตรสำเร็จที่ได้รับการยอมรับกันโดยทั่วไป เช่น มาตรฐาน ISO/IEC 17799 ของ BSI หรือ มาตรฐาน ITIL {(IT Infrastructure Library) ของ OGC (Office of Government Commerce) ประเทศอังกฤษ
สำหรับ IT Control Framework ที่สามารถนำมาอ้างอิงและประยุกต์การใช้งานร่วมกับมาตรฐานดังกล่าวได้แก่ CobiT (Control Objectives for Information and related Technology) Framework และ COSO Framework ซึ่งเป็นมาตรฐานที่ธนาคารพาณิชย์ และ บริษัทหลักทรัพย์ นิยมนำมาใช้อ้างอิง โดยเฉพาะผู้ตรวจสอบระบบสารสนเทศ (IT Auditor) ที่ได้รับการรับรองมาตรฐาน เช่น CISA (Certified Information Systems Auditor) มักจะนำ CobiT Framework มาเป็น Framework ในการตรวจสอบระบบสารสนเทศ สำหรับ COSO Framework นั้นประกอบด้วยรายละเอียด 5 หัวข้อหลัก ได้แก่ Control Environment, Risk Assessment, Control Activities, Information and Communication และ Monitoring
ถามว่าองค์กรโดยทั่วไปควรอ้างอิงมาตรฐานใดดี เช่น จะนำ ISO/IEC17799 หรือ ITIL มาเป็น IT Control Standard ที่ต้องการให้องค์กร "Compliance" หรือ "ผ่าน" มาตรฐานดังกล่าว บางองค์กรถามว่าจะนำ CobiT Framework หรือ COSO ERM (Enterprise Risk Management) Framework มาใช้อ้างอิงดี คำตอบก็คือ ต้องผสมผสานข้อดีจาก Best Practices, Standards และ Frameworks ต่างๆ เข้าด้วยกัน หรือ เลือกนำมาใช้เพียงบางส่วน ยกตัวอย่างเช่นเรื่อง "Risk Assessment" นั้นเป็นเรื่องสำคัญที่มีอยู่ในทุก Standards และ Frameworks เป็นเรื่องที่หลีกเลี่ยงไม่ได้และจำเป็นต้องนำมาปฏิบัติ ส่วนขั้นตอนในการปฏิบัติ องค์กรสามารถประยุกต์ให้เข้ากับธุรกิจขององค์กรได้ เพราะระบบสารสนเทศของแต่ละองค์กรย่อมมีความแตกต่างกัน ซึ่งกับรูปแบบในการดำเนินธุรกิจขององค์กรนั้นๆ กล่าวโดยสรุป ในระยะที่หนึ่งนั้นองค์กรจะนำเป็น IT Control Standard and Framework มาปฏิบัติหรือไม่ ขึ้นอยู่กับวิสัยทัศน์ของผู้บริหารองค์กร

ในระยะที่สอง IT Control Regulations องค์กรจะถูกบังคับโดยหน่วยงานกลางที่มีหน้าที่ในการควบคุมองค์กรที่อยู่ในความรับผิดชอบ เช่น ธนาคารแห่งประเทศไทยควบคุมธนาคารพาณิชย์ หรือ สำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์ (กลต.) ควบคุม บริษัทหลักทรัพย์ เป็นต้น ยกตัวอย่างเช่น ประกาศสำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์ เรื่อง การควบคุมการปฏิบัติงานและการรักษาความปลอดภัยด้านเทคโนโลยีสารสนเทศของบริษัทหลักทรัพย์ที่บริษัทหลักทรัพย์ทุกที่ต้องปฏิบัติตามเพื่อให้เกิดความปลอดภัยของระบบสารสนเทศ ตามที่ กลต. ได้ประกาศเป็นต้น

ในระยะที่สาม IT Control Laws and Legislations ซึ่งเป็นระยะสุดท้ายนั้นเกิดขึ้นแล้วในประเทศสหรัฐอเมริกา และ ในประเทศไทย กล่าวคือ ในประเทศสหรัฐอเมริกาได้ทำการออกกฏหมายที่เกี่ยวข้องกับระบบสารสนเทศ ได้แก่ GLBA (Gramm-Leach-Bliley Act) , HIPAA (Health Insurance Portability and Accountability Act) และ ล่าสุด SOA (Sarbanes-Oxley Act) ซึ่งเป็นกฏหมายที่มีความเกี่ยวข้องกับ COSO Framework ซึ่งถูกนำมาใช้ในการควบคุมภายใน (Internal Control) สำหรับแนวโน้มของขั้นตอนที่สามในประเทศไทย อ้างอิงจากจาก กฎหมายเกี่ยวกับธุรกรรมทางอิเล็กทรอนิกส์ (Electronic Transactions Law) ล่าสุดคณะกรรมการธุรกรรมทางอิเล็กทรอนิกส์ ได้ออกมาตรฐานการรักษาความมั่นคงปลอดภัยในการประกอบธุรกรรมทางอิเล็กทรอนิกส์มาเป็นแนวทางในการปฏิบัติให้แก่องค์กรโดยทั่วไป ข้อมูลเพิ่มเติมดูได้ที่ www.etcommission.go.th

ข้อสังเกตจากระยะที่สองได้แก่ ธนาคารพาณิชย์ ตลอดจน บริษัทหลักทรัพย์ มีความจำเป็นต้องทำให้องค์กร "Compliance" หรือ "ผ่าน" มาตรฐานและกฏเกณฑ์ต่างๆ ที่ถูกประกาศโดยธนาคารแห่งประเทศไทย และ กลต. ซึ่งถือเป็น จุดเริ่มต้นที่ดีแก่ประเทศไทยในด้านการควบคุมความปลอดภัยข้อมูลด้านเทคโนโลยีสารสนเทศ สำหรับองค์กรอื่นที่ไม่ได้อยู่ในการควบคุมของ ธนาคารแห่งประเทศไทย และ กลต. นั้นอาจไม่มีความจะเป็นต้องปฏิบัติตามโดยตรงแต่สามารถนำประกาศดังกล่าวไปประยุกต์ใช้ในองค์กรของตนโดยอ้อมเพื่อให้เกิดประโยชน์ได้เช่นกัน

การจัดการระบบรักษาความปลอดภัยข้อมูลอย่างเป็นระบบและมีประสิทธิภาพ (Information Security Management Framework - ISMF)

ทุกวันนี้ความเสี่ยง (Risk) ของระบบข้อมูลคอมพิวเตอร์มีเพิ่มมากขึ้นทุกวัน เนื่องจากระบบที่เราใช้อยู่ไม่ว่าจะเป็นค่าย Microsoft หรือค่าย Unix ตลอดจนระบบ Open Source ที่ใช้ Linux เป็นหลัก ล้วนมีช่องโหว่ (Vulnerability) ด้วยกันทั้งสิ้น ช่องโหว่เหล่านี้เกิดขึ้นทุกวัน โดยเฉลี่ยแต่ละเดือนมีมากกว่า 10 ช่องโหว่ขึ้นไป
ข้อมูลช่องโหว่ที่ถูกค้นพบของระบบปฏิบัติการต่างๆ จะถูกรวบรวมและให้ชื่อว่า CVE ย่อมาจาก (Common Vulnerabilities and Exposures) ถ้าเราเข้าไปดูจะพบว่าช่องโหว่ เกิดขึ้นอย่างต่อเนื่องโดยเฉพาะช่องโหว่ Buffer Overflow ซึ่งเป็นที่มาของ Virus ต่างๆ ตั้งแต่ CodeRed, Nimda, จนถึง Blaster และ Nachi Worm ซึ่งกำลังทำให้หลายองค์กรในประเทศไทยมีปัญหาอยู่ในเวลานี้ เนื่องจากเจ้า Nachi Worm อาศัยช่องโหว่ของระบบปฏิบัติการตระกูล Windows ตั้งแต่ NT,2000,XP จนถึง 2003 ทำการเข้ายึดครองเครื่องตระกูล Windows ที่มีช่องโหว่แต่ไม่ได้รับการแก้ไขที่ถูกต้อง ในทางเทคนิคเราเรียกว่า ยังไม่ได้ Patch ซึ่งเครื่อง Windows ในองค์กรนั้นมีใช้อยู่มากมาย บางองค์กรมีมากกว่าหนึ่งพันเครื่อง การเข้าไป Patch ระบบ Windows ทุกตัว ในทางปฏิบัติจึงทำได้ยากมาก

จากข้อมูลข้างต้น เราพบว่าการที่จะให้บุคลากรในองค์กรจัดการกับปัญหาเรื่องระบบความปลอดภัยข้อมูลนั้นไม่ใช่เรื่องง่าย ต้องอาศัยความรู้ทางด้านเทคนิคขั้นสูงจากผู้เชี่ยวชาญด้าน Information Security โดยตรง การติดตั้ง Firewall และ IDS (Intrusion Detection System) นั้นเป็นแต่เพียงการผ่อนหนักให้เป็นเบา แต่ไม่สามารถป้องกันความเสี่ยงให้กับระบบของเราได้ทั้งหมด ยังไงก็ต้องอาศัย "คน" ที่มีความเชี่ยวชาญมาดูแลระบบของเราอยู่ดี ดังนั้น กระแสการจัดจ้างบริษัทมาดูแลระบบที่เรานิยมเรียกว่า IT Outsourcing จึงค่อนข้างมาแรงในช่วง 2-3 ปีให้หลัง และมีแนวโน้มที่จะเพิ่มขึ้นอย่างต่อเนื่อง โดยเฉพาะการ Outsourcing Managed Security Services (MSS) ดูเหมือนจะเป็นทางออกที่ดีสำหรับผู้บริหารที่ต้องการโอนความเสี่ยง (Transfer Risk) ทางด้านการจัดการ Information Security ไปให้กับผู้ให้บริการรับดูแลที่เรียกว่า Managed Security Service Provider (MSSP) อย่างไรก็ตาม การเลือก MSSP นั้นก็เป็นเรื่องสำคัญที่ต้องนำมาคิดเช่นเดียวกัน และก่อนที่เราจะเลือก MSSP มาให้บริการนั้น เราควรทำการตรวจสอบระบบของเราเองเสียก่อนว่าพร้อมที่จะให้ MSSP มาดูแลหรือไม่
การวิเคราะห์ (Analyze) และ ตรวจสอบ (Audit) ระบบ ถือเป็นการประเมินความเสี่ยง (Risk Assessment) ให้กับระบบของเรา เพื่อดูว่าระบบของเรานั้นมีความแข็งแกร่งต่อการโจมตีของ Hacker เพียงใด และระบบได้รับการติดตั้งอย่างถูกต้องหรือไม่ ซึ่งการทำ Risk Assessment นั้นถือเป็นขั้นตอนที่ 1 ที่เราควรทำเป็นการเริ่มต้นของ Information Security Management Framework (ISMF) ซึ่งมีทั้งหมด 7 ขั้นตอน โดยมีรายละเอียดดังนี้

ขั้นตอนที่ 1 Risk Management / Vulnerability Assessment / Penetration Testing
การวิเคราะห์และประเมินความเสี่ยงของระบบ IT ที่เราใช้งานอยู่ (Risk Assessment and Risk Analysis) ถือเป็นขั้นตอนแรกที่ต้องปฏิบัติ เริ่มจากการทำ Inventory ของระบบ, การทำ Revised Network Diagram ทั้ง Logical และ Physical Diagram ตลอดจนดูขั้นตอนในการปฏิบัติงานของพนักงาน และช่องทางเข้าออกระบบทั้งด้านกายภาพและทางเครือข่าย LAN และ WAN ที่เชื่อมต่อกับระบบ Internet ในบริเวณที่เรียกว่า Perimeter Network ขั้นตอนนี้จะมีการทดสอบเจาะระบบดูช่องโหว่ว่าระบบเรามีช่องโหว่ให้ผู้บุกรุกเข้ามาโจมตี หรือไม่ เราเรียกขั้นตอนนี้ว่า "Vulnerability Assessment" จากนั้น เราควรลองเจาะระบบเพื่อนำเอาข้อมูลหรือ username/password ของระบบออกมาเพื่อดูความแข็งแกร่งในการป้องกันตนเองของระบบด้วย ขั้นตอนนี้เราเรียกว่า "Penetration Testing" จากนั้นเราจะได้รายงานสรุป (Risk Assessment Summary Report) ที่ทำให้เรารู้ถึงจุดอ่อนของระบบเรา ตลอดจนวิธีการที่จะทำให้ระบบของเราปลอดภัยต่อไป

ขั้นตอนที่ 2 Critical Hardening/Patching/Fixing
หลังจากที่เราได้ประเมินความเสี่ยงในขั้นตอนที่หนึ่งไปแล้วนั้น เราพบว่ามีช่องโหว่ที่จัดอยู่ในระบบ Critical คือ สามารถก่อความเสียหายให้กับองค์กร เราจึงต้องควรทำการปิดช่องโหว่เหล่านั้น โดยการ Hardening ระบบของเรา หมายถึงการปิด Port ต่างๆ ที่ไม่จำเป็นต้องใช้, การติดตั้ง Firewall เพิ่มเติม หรือ การแก้ไข Rules ที่ Firewall ให้ถูกต้องตลอดจนการติดตั้ง Patch หรือ Hotfix เพื่อแก้ปัญหาช่องโหว่ต่างๆ ที่เราสามารถ download patch ได้จาก Web site ของผู้ผลิต การติดตั้ง Patch นั้นควรมีกรรมวิธีในการจัดการ เราไม่อาจติดตั้ง Patch ทั้งหมดได้ เนื่องจาก Patch มีจำนวนมาก ตลอกจน Workstation และ Server ที่เราใช้งานอยู่ก็มีจำนวนมาก อาจเกิดผลกระทบจากการติดตั้ง Patch เราควรปฏิบัติตามคำแนะนำของผู้เชี่ยวชาญ หรือใช้ Tools ในการช่วยติดตั้ง Patch จะทำให้เราของเราง่ายขึ้นมาก

ขั้นตอนที่ 3 Practical Security Policy
ขณะที่เราจัดการกับระบบในขั้นตอนที่ 2 ซึ่งต้องใช้เวลาพอสมควร เราสามารถทำงานขนานกับขั้นตอนที่ 2 ได้ โดยการจัดทำ Practical Information Security Policy ให้กับองค์กรของเรา โดยนำหลักการนโยบายด้าน INFOSEC มาจากหลายๆ หน่วยงาน เช่น ISO17799, CBK (Common Body of Knowledge) ของ ISC2 ตลอดจน CobiT ของ ISACA และ SANS/FBI Top 20 ของสถาบัน SANS ร่วมกับ FBI มาใช้ในการทำ "Practical Security Policy" หมายถึง การนำมาประยุกต์ใช้ให้ตรงกับความต้องการขององค์กร ซึ่ง Policy ต้องมีการปรับแต่ง แก้ไขให้เหมาะสมกับองค์กรด้วย

ขั้นตอนที่ 4 Defense In-Depth / Best Practices Implementation
คำว่า "Defense In-Depth" หมายถึง การจัดการกับระบบความปลอดภัยข้อมูลขององค์กรอย่างละเอียดรอบคอบ โดยพิจารณาตั้งแต่ Border Router ที่ต่อเชื่อม Internet จาก ISP ผ่านมาที่ Firewall หลักขององค์กร ตลอดจนการติดตั้ง IDS หรือ IPS (Intrusion Prevention System) และ การจัดการภายใน LAN ของระบบ การแก้ไขปัญหาภายใน LAN ที่อุปกรณ์เครือข่าย เช่น Core Switching/Core Router ตลอดจน Server ต่างๆ ที่อยู่ใน LAN ซึ่งถือว่าเป็นภายในแต่ยังไม่ปลอดภัยจาก Virus ต่างๆ ในเวลานี้ที่จะโจมตีเครือข่าย LAN ภายในมากขึ้น เราจึงต้องมีการนำ "Best Practices" ซึ่งเป็นสูตรสำเร็จในการจัดการกับอุปกรณ์เครือข่าย ตลอดจน Workstation และ Server ที่เราใช้งานอยู่ทั้งใน DMZ และบริเวณ LAN ภายใน ขั้นตอนนี้จะใช้เวลานานกว่าเมื่อเทียบกับขั้นตอนที่ 1 และ 2

ขั้นตอนที่ 5 Security Awareness/Technical/Know-how Transfer Training
ขั้นตอนนี้เป็นขั้นตอนที่หลายๆ คนมองข้าม และ ไม่ค่อยให้ความสนใจ แต่ในทางปฏิบัตินั้น ถือเป็นเรื่องสำคัญที่ต้องทำ และกระทำอย่างต่อเนื่องทุกปีในองค์กร ได้แก่การจัดฝึกอบรมให้บุคลากรในองค์กรมีความเข้าใจที่ถูกต้องกับปัญหาเรื่องความปลอดภัยข้อมูลคอมพิวเตอร์ การฝึกอบรมควรเริ่มจาก กลุ่มผู้บริหารระดับสูง และ กลุ่มผู้บริหารระดับกลางก่อน แล้วตามด้วย กลุ่มผู้ดูแลระบบ และ กลุ่มผู้รับผิดชอบเรื่อง Information Security โดยตรง, กลุ่ม Internal Audit ตลอดจน กลุ่มผู้ใช้คอมพิวเตอร์ทั่วไป เพื่อจะได้ไม่หลงเป็นเหยื่อพวก Virus, AdWare/Spyware และ Trojan ต่างๆ ที่มักจะมากับ e-Mail Attachment และ จากการเข้าชม Web Site ที่ไม่เหมาะสม

ขั้นตอนที่ 6 Internal/External Audit
หลังจากที่เราได้ปฏิบัติตามขั้นตอนที่ 1 จนถึง ขั้นตอนที่ 5 แล้ว เราควรทำการ Audit ระบบอีกครั้งหนึ่งว่า ผลจากการ Assessment ในขั้นตอนที่ 1 เปรียบเทียบกับผลการ Re-Assessment ระบบในขั้นตอนที่ 6 นั้นมีความแตกต่างกันอย่างไร ซึ่งผลที่ได้ ช่องโหว่ควรจะลดลงอยู่ในระดับที่เราพอใจและเชื่อใจระบบได้ เราสามารถตรวจสอบโดยทีม Internal Audit ขององค์กรเราเอง หรือ ใช้บริการ External Audit Service ที่มีความเชี่ยวชาญด้าน Information Security มาตรวจสอบให้เราก็ได้เช่นกัน

ขั้นตอนที่ 7 Managed Security Services (MSS) / Real time Monitoring using IDS/IPS
จากที่กล่าวมาแล้วในตอนต้น หลังจาก ขั้นตอนที่ 1 และ 6 เรียบร้อยแล้ว เนื่องจากระบบนั้นสามารถเกิดช่องโหว่ใหม่ๆ ได้ตลอดเวลา เราจึงควร Outsourcing การดูแลปัญหาด้านระบบความปลอดภัยข้อมูลคอมพิวเตอร์ให้กับ Managed Security Services Provider (MSSP) ดังนั้น ขั้นตอนที่จำเป็นคือ วิธีการที่จะคัดเลือก MSSP ที่เหมาะสมมาดูแลระบบให้เรา และพิจารณา Services Level Agreement (SLA) ว่าจะให้ดูแลในระดับใดเช่น 5x8 หรือ 24x7 เป็นต้น การดูแลระบบนั้นควรมีการดูแลในลักษณะ Real time Monitoring 24x7 อย่างต่อเนื่อง และ ต้องใช้บุคลากรที่มีความชำนาญผลัดเปลี่ยนกันดูแลตลอด 24 ชั่วโมง เพื่อจะได้สามารถเตือนองค์กรเราได้อย่างทันท่วงทีในกรณีที่เกิดปัญหาและช่องโหว่ใหม่ๆ และ เพื่อไม่ไห้มีผลกระทบในระยะสั้นกับองค์กรของเรา ตลอดจนให้ MSSP รับผิดชอบปัญหาเรื่อง Hacker และ Virus ไปด้วย จะทำให้องค์กรมีความคล่องตัวในการบริหารงานด้าน IT Security มากขึ้น

กลยุทธ์ CIO กับการบริหารระบบความปลอดภัยเทคโนโลยีสารสนเทศในองค์กรสมัยใหม่

ตำแหน่งผู้บริหารเทคโนโลยีสารสนเทศระดับสูง หรือ CIO (Chief Information Officer) นั้นเป็นตำแหน่งสำคัญที่ทุกองค์กรทั้ง ภาครัฐ และ เอกชนต้องมีบุคลากรที่รับผิดชอบในเรื่องนี้โดยตรง โดยเฉพาะในองค์กรขนาดใหญ่ CIO ควรมีหน้าที่ในการกำหนดยุทธศาสตร์ (Strategy) ทิศทางด้านเทคโนโลยีสารสนเทศขององค์กร ตลอดจนมาตรการในการรักษาความปลอดภัยเทคโนโลยีสารสนเทศขององค์กร ในกรณีที่ยังไม่มีตำแหน่ง CSO (Chief Security Office) หรือ CISO (Chief Information Security Officer) มารับผิดชอบด้านความปลอดภัยสารสนเทศ โดยตรง CIO ก็ต้องรับผิดชอบเรื่องความปลอดภัยไปด้วยในตัว ซึ่งนับว่าเป็นภาวะความรับผิดชอบที่ค่อนข้างสูง เพราะ เรื่องความปลอดภัยเทคโนโลยีระบบสารสนเทศนั้นมีการเปลี่ยนแปลงอยู่เสมอ CIO ต้องคอยติดตามความเคลื่อนไหวและปรับปรุงความรู้ความสามารถให้สอดคล้องกับสถานการณ์ปัจจุบัน และยังต้องตัดสินใจเรื่องการเลือกใชเทคโนโลยีด้านความปลอดภัยที่เหมาะสมแก่องค์กรทั้งในเรื่องของ TCO (Total Cost of Ownership) และ ROI (Return On Investment) จากข้อมูลของ Gartner เรื่อง Hype Cycle for Information Security 2004 ปัญหาด้านความปลอดภัยระบบเทคโนโลยีสารสนเทศยังเป็นประเด็นสำคัญที่ CIO ต้องให้ความสนใจและจัดการอย่างเป็นระบบดังนั้น CIO ควรมีกลยุทธ์ในการบริหารจัดการเทคโนโลยีสารสนเทศที่ดีและเตรียมพร้อมกับสถานการณ์ปัจจุบัน และอนาคตโดยสรุปได้ 6 ข้อดังนี้

1. CIO ต้องมีกลยุทธ์ในการรับผิดชอบดูแลเรื่องการประหยัดงบประมาณ การใช้จ่ายทางด้านเทคโนโลยีสารสนเทศ
การจัดซื้อจัดจ้างระบบเทคโนโลยีสารสนเทศนั้นจำเป็นต้องใช้งบประมาณค่อนข้างสูง การตัดสินใจเลือกใช้เทคโนโลยีใหม่ ๆ จึงเป็นความท้าทายของ CIO เพราะหากตัดสินใจผิดก็อาจส่งผลเสียในระยะยาวให้แก่องค์กรได้ ขณะที่งบประมาณด้านการรักษาความปลอดภัยนั้นมีแนวโน้มที่จะลดลงตามสภาวะเศรษฐกิจโลกที่ถดถอย แต่การโจมตีจากแฮกเกอร์ และ ไวรัสกลับมีแนวโน้มที่เพิ่มขึ้นอย่างมาก ดังนั้น CIO จึงจำเป็นต้อง "Balance" ปรับสมดุล ระหว่างความปลอดภัยขั้นต่ำที่องค์กรควรมี และ งบประมาณที่จะถูกใช้จ่ายออกไปเพื่อให้ได้มาซึ่งอุปกรณ์ฮาร์ดแวร์และซอฟท์แวร์ ตลอดจนการบริการจาก IT Auditor, IT Consultant, System Integrator และ IT Outsourcer รวมถึง งบประมาณการฝึกอบรม Information Security Awareness Training และ Information Security Technical Training จาก IT Training Center ต่าง ๆ อีกด้วย

2. CIO ควรกำหนดแผนยุทธ์ศาสตร์ ด้านความปลอดภัยระบบสารสนเทศ (Information Security Strategic Planning) ให้ชัดเจนและนำไปปฏิบัติจริงได้
แผนยุทธ์ศาสตร์ในระยะยาวควรกำหนดออกมาให้ชัดเจน เพื่อเป็นแนวทางในการดำเนินการด้านสารสนเทศและการรักษาความปลอดภัยข้อมูลสารสนเทศ จากนั้น แผนระยะกลางและแผนระยะสั้น ก็ควรถูกกำหนดออกมาเช่นกัน ยกตัวอย่าง เช่น องค์กรควรมีการจัดทำการประเมินความเสี่ยงระบบสารสนเทศ (IT Risk Assessment) เป็นประจำทุกปี และควรมีการจัดทำแผนฝึกอบรม Information Security Awareness Training ในทุกๆ 3 - 6 เดือน เป็นต้น

3. CIO ควรเพิ่มความรู้และมีความรอบรู้เพียงพอเพื่อใช้ประกอบการตัดสินใจเลือกใช้เทคโนโลยีที่เหมาะสมและไม่ล้าสมัยให้แก่องค์กร
ยกตัวอย่างการเลือกใช้ Platform ว่าจะใช้ Windows Server 2003 Platform หรือ UNIX/LINUX Platform การเลือกใช้เทคโนโลยี J2EE (Jave 2 Enterpirse Edition) หรือ เลือกใช้เทคโนโลยี Dot NET ของ Microsoft เป็นต้น การหมั่นเข้าร่วมฟังงานสัมมนาเทคโนโลยีใหม่ ๆ ก็เป็นเรื่องจำเป็นของ CIO เช่นเดียวกัน ซึ่งก็คงต้องปลีกเวลาการทำงานบ้างเพื่อเพิ่มพูนความรู้ใหม่ ๆ ที่เป็นประโยชน์ในการตัดสินใจในอนาคต การเดินทางไปชมงาน ICT Expo ในต่างประเทศ ก็ควรอยู่ในโปรแกรมของ CIO ด้วย

4. CIO ควรนำองค์กรเข้าสู่มาตรฐานกำหนดความปลอดภัยสารสนเทศที่สากลให้การยอมรับและเตรียมพร้อมสำหรับในการตรวจสอบจากผู้ตรวจสอบระบบสารสนเทศ
การนำมาตรฐานสากลด้านความปลอดภัยระบบสารสนเทศเช่น ISO/IEC17799 หรือ CobiT มาประยุกต์ใช้บางส่วน ถือเป็นเรื่องจำเป็น CIO ต้องให้ความสำคัญเช่นกัน โดยองค์กรอาจจะไม่จำเป็นต้องได้รับใบรับรองมาตรฐาน BS7799-2 ในกรณีที่องค์กรมองว่าประโยชน์ที่ได้รับจากการได้รับใบรับรองมาตรฐานด้านความปลอดภัยนั้นยังไม่ชัดเจน แต่องค์กรก็ควรนำมาตรฐานสากลที่เป็น "Best Practice" ต่าง ๆ มาประยุกต์ใช้ เพื่อความปลอดภัยขององค์กรเอง และ เพื่อให้สอดคล้องกับยุคของ IT Governance การตรวจสอบระบบสารสนเทศโดยผู้ตรวจสอบภายนอกหรือผู้ตรวจสอบภายในเป็นเรื่องจำเป็นที่ต้องทำเป็นประจำทุกปีเพื่อให้แน่ใจถึงระดับของความเสี่ยงที่ผู้บริหารยอมรับได้ และ ไม่ส่งผลกระทบต่อองค์กร

5. CIO ควรรักษาความสัมพันธ์ที่ดีกับผู้ร่วมงานและพัฒนาการสื่อสารกับผู้ร่วมงานให้มีความชัดเจนและความเข้าใจในทิศทางเดียวกัน
ปัญหาของ CIO ในหลาย ๆ องค์ก คือ CIO ไม่สามารถอธิบายการทำงานด้านสารสนเทศต่าง ๆ ให้แก่ ผู้บริหารระดับสูง เช่น CEO หรือ CFO เพื่อให้เกิดความเข้าใจ และ ให้การสนับสนุนได้อย่างมากพอ ทำให้หลายๆ โครงการด้านสารสนเทศ ไม่ประสบความสำเร็จ ดังนั้น CIO ควรต้องมี Communication Skill หรือ ทักษะในการพูดคุย การติดต่อ ตลอดจน การนำเสนอในรูปแบบมืออาชีพ ที่มีความชัดเจน และ ง่ายต่อการเข้าใจของผู้บริหารระดับสูงที่ไม่ใช่ "คนไอที" ตลอดจน CIO ควรรักษาความสัมพันธ์กับ System Integrator, Consultant, Supplier และ Outsourcer เพื่อให้บริษัทเหล่านี้มาช่วยแบ่งเบาภาระของ CIO และ เป็นการ Transfer Risk ไปในตัว ความสัมพันธ์ที่ดีกับหน่วยงานต่าง ๆ ดังกล่าวจะส่งผลช่วย CIO ในทางอ้อมต่อประสิทธิภาพในการปฏิบัติงานและภาพลักษณ์ของตัว CIO เอง

6. CIO ควรเตรียมรับสถานการณ์ฉุกเฉินด้านความปลอดภัยสารสนเทศที่อาจเกิดขึ้นได้
แผน BCP (Business Continuity Planning) และ DRP (Disaster Recovery Planning) ควรถูกจัดทำขึ้นเพื่อให้องค์กรพร้อมกับการเตรียมรับเหตุการณ์ฉุกเฉิน หรือ Incident Response Management ที่อาจเกิดขึ้นและส่งผลกระทบต่อการทำงานโดยรวมขององค์กรได้ โดย CIO ต้องช่วยสนับสนุนและเป็นแกนหลักในการจัดทำแผนดังกล่าวด้วย
กล่าวโดยสรุป ตำแหน่ง CIO นั้นเป็นตำแหน่งที่มีความสำคัญต่อองค์กรอย่างสูงในยุคที่เทคโนโลยีระบบสารสนเทศ และ การสื่อสาร เข้ามามีบทบาทสำคัญต่อการดำเนินงานขององค์กรในปัจจุบัน การกำหนดกลยุทธ์ในการบริหารจัดการเทคโนโลยีสารสนเทศและการรักษาความปลอดภัยสารสนเทศเป็นเรื่องสำคัญที่ CIO ทุกท่านต้องจัดทำขึ้น และ CIO จะต้องมีความรับผิดชอบในเรื่องดังกล่าวโดยปริยาย เพราะ ในอนาคตกฏหมายต่าง ๆ ที่กำลังจะถูกประกาศใช้ เช่น กฏหมายการกระทำผิดเกี่ยวกับคอมพิวเตอร์ หรือ ประกาศกฏข้อบังคับต่าง ๆ ขององค์กรที่มีหน้าที่ในการควบคุม เช่น สตง. ธนาคารแห่งประเทศไทย หรือ กลต. มีแนวโน้มที่จะเข้มงวด เรื่องการรักษาความปลอดภัยข้อมูลระบบสารสนเทศมากขึ้น CIO ก็ควรจะปรับตัวให้เข้ากับยุคสมัยทศวรรษแห่งดิจิตอลเพื่อนำองค์กรเข้าสู่ IT Governance หรือ "ไอทีภิบาล" เพื่อจุดมุงหมายปลายทาง คือ Corporate Governance หรือ "บรรษัทภิบาล" ในที่สุด

แหล่งอ้างอิง
http://gits.nectec.or.th/
http://www.acisonline.net/article_prinya_eleader_0948.htm
http://bc.siam.edu/sriprai/chap3.13.htm
www.navy.mi.th/dockyard/news/51/inside_control/1.3.doc
www.businessthai.co.th/content.php?data=410290_Technology-Digital

ความเป็นมา ของ อินเทอร์เน็ต โพรโตคอลรุ่นที่ 6 (IPv6)

ความเป็นมา ของ อินเทอร์เน็ต

โพรโตคอลรุ่นที่ 6 (IPv6)

IETF ใช้เวลากว่าสามปีในการพัฒนาจนได้โพรโตคอล IPng (IP Next Generation) โดยมีความเป็นมาโดยสังเขปดังนี้ ช่วงปลายปี 1992 มีการยื่นข้อเสนอในการพัฒนาโพรโตคอลดังกล่าวทั้งหมด 4 ฉบับ อันได้แก่ CNAT, IP Encaps, Nimrod และSimple CLNP ต่อมาในเดือนธันวาคมปี 1992 มีการส่งข้อเสนอเพิ่มอีก 3 ฉบับคือ

The P Internet Protocol (PIP),

The SimpleInternet Protocol (SIP) และ

TP/IX

หลังจากนั้นฤดูใบไม้ผลิในปี 1992 ข้อเสนอที่ชื่อว่า Simple CLNP ได้เปลี่ยนชื่อมาเป็น TCP and UDP with Bigger Addresses (TUBA) และ IP Encaps เปลี่ยนเป็น IP Address Encapsulation (IPAE) ในปี 1993 IPAE ได้รวมเข้ากับ SIP โดยยังคงใช้ชื่อว่า SIP ซึ่งต่อมากลุ่มนี้ได้รวมกับกลุ่ม PIP กลายเป็นคณะทำงานที่เรียกตัวเองว่า Simple Internet Protocol Plus (SIPP) โดยในเวลาเดียวกันนั้นกลุ่มคณะทำงาน TP/IX ได้เปลี่ยนชื่อใหม่เป็น Common Architecture for the Internet (CATNIP) กล่าวได้ว่า ณ เวลานั้น มีข้อเสนอ 3 ชุดที่ถูกนำมาทำการคัดเลือกตามเกณฑ์ที่กำหนดไว้ในเอกสาร RFC1726 อันได้แก่ CATNIP,TUBA และ SIPP โดยสาระสำคัญในแต่ละข้อเสนอมีดังต่อไปนี้

1. CATNIP (Common Architecture for Next Generation Internet Protocol) ได้ทำการสร้างความเป็นสามัญระหว่าง Internet (IPv4, TCP, UDP), OSI (CLNP, TP4, CLTP) และโพรโตคอล Novell (IPX, SPX)

2. TUBA (TCP and UDP with Bigger Addresses) ได้แทนที่เน็ตเวิร์คเลเยอร์ด้วย ISO's CNLP ซึ่งประกอบไปด้วยชุดหมายเลขแอดเดรสที่มีขนาดใหญ่กว่าในขณะที่ TCP/UDP สามารถใช้งานได้โดยไม่ต้องทำการปรับปรุง ทั้งยังทำงานร่วมกับ IDRP, IS-IS และ ES-IS ได้

3. SIPP (Simple Internet Protocol Plus) ได้นำคุณลักษณะบางอย่างใน IPv4 ที่คิดว่าไม่เหมาะสมออก และทำการปรับปรุงส่วนหัวของโพรโตคอลเสียใหม่ให้มีประสิทธิภาพมากยิ่งขึ้น และทำการเพิ่มขนาดของแอดเดรสจากเดิม 32 บิตเป็น 64 บิต (ซึ่งต่อมาได้พัฒนาเป็นรุ่น 128 บิต)
ในเดือนกรกฎาคม 1994 กุล่มผู้บริหารโครงการ IPng Area (คณะทำงานที่ถูกแต่งตั้งโดย Internet Engineering Task Force, IETF ในปี 1993 เพื่อทำหน้าที่ในการประเมินเลือกสรรข้อเสนอ IPng) ได้สรุปผลการประเมินทั้งสามข้อเสนอรวมถึงคำแนะนำ และแนวทางในการพัฒนา IPv6 อย่างเป็นทางการไว้ในเอกสาร RFC 1752 โดยมีประเด็นสำคัญดังนี้

-นโยบายการแบ่งสรรหมายเลขไอพีแอดเดรส (รุ่นที่ 4) ที่ใช้ในขณะนั้นสามารถใช้งานต่อไปได้แล้ว
-ไม่มีความจำเป็นที่จะต้องเรียกคืนชุดหมายเลขไอพีรุ่นที่ 4 ที่มีการใช้ประโยชน์ต่ำกว่าเกณฑ์กลับคืนมา
-ไม่มีความจำเป็นจะต้องทำการเปลี่ยนแปลงชุดหมายเลขไอพี (Renumber) ที่ถูกใช้งานอยู่ในอินเทอร์เน็ตเสียใหม่
-ให้ใช้หลักการแบ่งสรรหมายเลขไอพีคลาส A ที่เหลืออยู่แบบ CIDR
-ข้อกำหนด "Simple Internet Protocol Plus (SIPP) Spec. (128 bit ver)" จะถูกเลือกให้เป็นต้นแบบพื้นฐานสำหรับการพัฒนา IPng
-คณะทำงาน IPng ถูกก่อตั้งขึ้นโดย Steve Deering และ Ross Callon
-คณะทำงาน Address autoconfiguration ถูกก่อตั้งและนำทีมโดย Dave Katz ร่วมกับ Sue Thomson
-คณะทำงาน IPng Transition ถูกก่อตั้งและนำทีมโดย Bob Gilligan
-จะต้องมีการพัฒนาการใช้งานแอดเดรสของ non-IPv6 ในสภาพแวดล้อมของ IPv6 และในทางกลับกันการใช้งานไอพีแอดเดรสIPv6 ภายใต้สภาพแวดล้อมของ non-IPv6
-โครงการ IPng Area จะสิ้นสุดลงเมื่อมีการเสนอมาตรฐานสำหรับโพโตคอลดังกล่าวออกมาในปลายปี 1994
-ให้มีการพัฒนา Informational RFCs ที่บรรยายถึงคุณลักษณะเฉพาะของ IPng APIs
-ต้องสนับสนุน Authentication header และ algorithm อย่างเฉพาะเจาะจง
-ต้องสนับสนุน Privacy header และ algorithm อย่างเฉพาะเจาะจง
-ต้องมีการพัฒนาโครงร่างของระบบ Firewall สำหรับ IPng
และในช่วงกลางปี 1994 เช่นกัน IPng ได้รับการกำหนดหมายเลขรุ่นโดยหน่วยงาน Internet Assigned Numbers Authority (IANA) ให้เป็นรุ่นที่ 6 อันเป็นที่มาของ IPv6 ต่อมาเอกสาร RFC1752 ชุดนี้ได้ถูกยอมรับและดำเนินการต่อโดยคณะทำงานภายใต้ IETF ที่ชื่อว่า Internet Engineering Steering Group (IESG) ในที่สุด