อยากรู้ไหมว่าสุขภาพ IT ขององค์กรคุณดีขนาดไหน มีสิ่งใดต้องรีบแก้ไขหรือไม่?

อาการเจ็บป่วยทางร่างกายเมื่อป่วยก็ต้องรักษา แล้วสุขภาพ IT อย่างระบบคอมพิวเตอร์ที่ดูไม่มีชีวิตล่ะ จะเช็คได้อย่างไร หมอประเภทใดจึงจะรักษาได้ วันนี้เรามีมาบอกกันครับ

สุขภาพไอที คือ สภาวะของระบบคอมพิวเตอร์และระบบเครือข่าย โดยถ้าสุขภาพดีก็จะสามารถประมวลผล ปฏิบัติงานได้ตามปกติ ไม่มีความเสี่ยงที่จะโดนภัยคุกคาม แต่ถ้าสุขภาพไม่ดีก็จะมีช่องโหว่โจมตีจุดอ่อนของระบบสารสนเทศและระบบเครือข่ายได้ ดังนั้นหากไม่มีการตรวจประเมินสุขภาพ IT อย่างต่อเนื่องก็อาจจะเกิดเหตุการณ์ที่ไม่คาดคิด เช่น ผู้ไม่ประสงค์ดีเจาะช่องโหว่จนทำให้ระบบคอมพิวเตอร์หรือระบบเครือข่ายทำงานผิดพลาด หยุดการทำงาน แก้ไขเปลี่ยนแปลงข้อมูล หรือขโมยข้อมูลที่สำคัญออกไปได้ ส่งผลให้ธุรกิจเสียหายทั้งการเงินหรือชื่อเสียงได้

[su_box title=”การตรวจสุขภาพ IT คืออะไร” box_color=”#ffa70d” radius=”7″]

สำหรับการตรวจสุขภาพ IT ก็คือการประเมินความเสี่ยงระบบ IT (IT Risk assessment) ที่ควรทำทุกปี เพื่อให้รู้ว่าตอนนี้มีอาการอะไรที่สุ่มเสี่ยงหรือไม่ แบ่งเป็น  2 ลักษณะ คือ

การค้นหาช่องโหว่ หรือ VA (Vulnerability Assessment) คือ การตรวจระบบปฏิบัติการ (OS) ซอฟต์แวร์ หรืออุปกรณ์ Network/Security ว่ามีช่องโหว่ใดบ้างและมีระดับความรุนแรงเท่าใด เพื่อให้ผู้ดูแลระบบประเมินความเสี่ยงว่ามีโอกาสถูกเจาะระบบจากผู้ไม่ประสงค์ดีมากน้อยเพียงใด และทำการแก้ไขเพื่อปิดช่องโหว่นั้น

การเจาะช่องโหว่ หรือ Pen-Test (Penetration Testing) คือ การทดสอบเจาะระบบ เหมือนกับการดำเนินการโดย Hacker เพื่อประเมินความปลอดภัย ความยากง่ายของการเจาะ ระยะเวลา และผลกระทบจากการโดนโจมตี[/su_box]

เริ่มตรวจอย่างไรดี

หลายคนคงอยากรู้ว่าแล้วเราควรตรวจอะไรบ้าง ถึงจะเรียกว่าปลอดภัย ดังนั้น ควรเริ่มจากระบบที่สำคัญมากที่สุดต่อธุรกิจก่อน หรือระบบที่สามารถเข้าถึงได้ง่ายจาก Internet เพราะถือเป็นความเสี่ยงที่น่าจะโดน Hacker ทั่วโลกสแกนจากภายนอกได้ง่ายหรือมีแรงจูงใจหวังผลทางธุรกิจมากที่สุด ซึ่งควรประเมินความเสี่ยงอย่างน้อยทุกปี แต่หากทำทุกเดือนก็จะยิ่งเป็นการตรวจพบช่องโหว่ได้เร็วขึ้น เนื่องจากปัจจุบันนี้มีช่องโหว่ออกมามากมาย เช่น ช่องโหว่ของ Microsoft ที่มีการประกาศทุกเดือน หรือช่องโหว่ของซอฟต์แวร์ที่ใช้กันบ่อยอย่าง Java, Adobe Flash ที่ใช้ในการรันคำสั่งหรือการดูวิดีโอบนเว็บไซต์ ที่มีการประกาศช่องโหว่แล้วแจ้งให้ผู้ดูแลระบบปิดช่องโหว่หรือ Patch กันแทบทุกวัน

ใครบ้างที่ควรตรวจ

• สถาบันการเงิน จะมีธนาคารแห่งประเทศไทย (ธปท.) หรือ  สำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์ (กลต.) ที่จะมีข้อกำหนดให้ปฏิบัติตามในการทำ VA หรือ Pentest อย่างน้อยปีละ 1 ครั้งกับระบบที่สำคัญ
• หน่วยงานภาครัฐ จะมีข้อกำหนดจากพระราชกฤษฎีกาว่าด้วยวิธีการแบบปลอดภัยในการทำธุรกรรมทางอิเล็กทรอนิกส์
• หน่วยงานอื่นๆ ทั้งภาครัฐหรือเอกชน ที่กำลังขอใบรับรองด้านความมั่นคงปลอดภัยระบบสารสนเทศของ ISO27001:ISMS ก็จะมีข้อกำหนดให้ต้องทำอย่างน้อยปีละ 1 ครั้ง

ทำได้ด้วยตนเองหรือจ้างดีกว่ากัน

การตัดสินใจทำเองหรือจ้างนั้นคงต้องขึ้นอยู่กับความพร้อมของทีมงานและงบประมาณรวมถึงระยะเวลา ซึ่งหากบริษัทไม่มีทีมงานผู้เชี่ยวชาญหรือซอฟต์แวร์ในการค้นหาหรือเจาะช่องโหว่ซึ่งมีราคาสูง การเลือกจ้างบริษัทภายนอกที่มีความพร้อมในการทำ VA และ Pentest จะดีกว่า

สุขภาพของ IT เป็นเรื่องที่สำคัญต่อการดำเนินธุรกิจอย่างต่อเนื่องให้มีความปลอดภัย ดังนั้น วันนี้ควรตรวจสุขภาพ IT ของคุณแล้วแก้ไขปิดจุดเสี่ยงก่อนจะสายแล้วรึยัง?

[su_note radius=”7″]หากท่านอ่านแล้วรู้สึกว่าเป็นเรื่องที่สำคัญแต่ไม่รู้ว่าจะเริ่มต้นอย่างไรดี ให้ CAT cyfence ช่วยเป็นที่ปรึกษาและวางแผนตรวจสุขภาพ IT ระบบของท่านดีกว่าครับ ด้วยความพร้อมของทีมผู้เชี่ยวชาญที่มากประสบการณ์สามารถช่วยท่านได้อย่างครบวงจร ตั้งแต่การค้นหาและทดสอบการเจาะช่องโหว่ของระบบ โดยจำลองเหตุการณ์การบุกรุกระบบเช่นเดียวกับผู้ไม่ประสงค์ดี สนใจติดต่อสอบถามข้อมูลบริการของ CAT cyfence ได้ที่ CATcyfence.com และติดตามข่าวสารรายละเอียดเพิ่มเติมได้ที่ CATcyfence.com/it-security[/su_note]

[su_service title=” สอบถามข้อมูลบริการ”][/su_service]