Please enable JavaScript.

Coggle requires JavaScript to display documents.

น.ส รุจิรดา ไกรวงศ์ 5702510072 (บทที่1 ความมั่นคงปลอดภัยของระบบสารสนเทศ…

- - - - ระบบสารสนเทศหมายถึง
        การรวมตัวของกระบวนการหลายกระบวนการ ที่มีความสัมพันธ์กันและทำงานร่วมกัน โดยมีกระบวนการ คือ
        การจัดเก็บรวบรวมข้อมูล >การประมวลผลสารสนเทศ
        
        ประมวลผลในระบบมือ (Manual System)
        
        หรือระบบคอมพิวเตอร์ประมวลผล (Computerized System)
        และการกระจายสารสนเทศสู่ผู้ใช้ระบบ
        
        เพื่อให้บรรลุวัตถุประสงค์ คือ ผู้ใช้ระบบสามารถนำสารสนเทศที่ได้จากระบบไปใช้ในการปฏิบัติงานและการตัดสินใจได้
        จะประกอบด้วย ข้อมูล ชุดของฮาร์ดแวร์ ซอฟต์แวร์ บุคลากร ฐานข้อมูล และเครือข่ายการสื่อสาร นำมาทำงานร่วมกัน
      - ความมั่นคงปลอดภัยของระบบสารสนเทศ (Information System Security)คือ การป้องกันข้อมูล สารสนเทศ รวมถึงองค์ประกอบอื่นๆ ที่เกี่ยวข้อง เช่น ระบบและฮาร์ดแวร์ที่ใช้ในการจัดเก็บและถ่ายโอนข้อมูล สารสนเทศนั้น ให้รอดพ้นจากอันตรายอยู่ในสถานะที่มีความปลอดภัย ไร้ความกังวลและความกลัว
        
        การรักษาความปลอดภัยด้านกายภาพ (Physical Security)ในอดีตข้อมูลที่สำคัญจะอยู่ในรูปแบบวัตถุ โดยจะถูกบันทึกไว้บนแผ่นหิน แผ่นหนัง หรือกระดาษ แต่บุคคลสำคัญส่วนใหญ่ไม่นิยมบันทึกข้อมูลที่สำคัญมากๆ ลงบนสื่อถาวร และไม่สนทนาเกี่ยวกับข้อมูลกับคนที่ไม่ไว้ใจ
        ถ้าต้องส่งข้อมูลไปที่อื่นต้องมีผู้คุ้มกันติดตามไปด้วย เพราะภัยอันตรายจะอยู่ในรูปแบบทางกายภาพ เช่น การขโมย
        
        ประวัติของการรักษาความปลอดภัยการรักษาความปลอดภัยการแผ่รังสี (Emissions Security)ในช่วงทศวรรษ 1950 มีการค้นพบว่าข้อมูลที่รับ/ส่ง สามารถอ่านได้โดยการอ่านสัญญาณไฟฟ้าที่ส่งผ่านสายโทรศัพท์ อุปกรณ์อิเล็กทรอนิกส์ทุกประเภทจะมีการแผ่รังสีออกมาเครื่องเข้ารหัสจะรับเข้าข้อความแล้วเข้ารหัสและส่งไปบนสายโทรศัพท์ ซึ่งมีการค้นพบว่าสัญญาณไฟฟ้าที่
        แทนข้อมูลที่ยังไม่ได้เข้ารหัสก็ถูกส่งไปบนสายโทรศัพท์ด้วย ข้อมูลเดิมที่ยังไม่ได้ถูกเข้ารหัสนั้นสามารถกู้คืนได้ถ้าใช้เครื่องมือที่ดี
        
        สหรัฐอเมริกา ต้องกำหนดมาตรฐานที่ชื่อ เทมเพสต์Tempest) ควบคุมการแผ่รังสีของอุปกรณ์คอมพิวเตอร์ เพื่อลดการแผ่รังสีที่อาจใช้สำหรับการกู้คืนข้อมูลได้
        
        บทบาทของบุคลากรสารสนเทศในด้านความมั่นคงปลอดภัย
        ทีมงานดำเนินโครงการความมั่นคงปลอดภัยของสารสนเทศ (Information Security Project) จำแนกให้รับผิดชอบงานหลายบทบาทดังนี้
        
        ผู้สนับสนุน (Champion) คือ ผู้บริหารระดับสูง ทำหน้าที่ริเริ่มโครงการและให้การสนับสนุนทั้งด้านการเงินและการบริหารจัดการ
        
        หัวหน้าทีม (Team Leader) คือ ผู้บริหารโครงการ ทำหน้าที่คอยควบคุมการดำเนินทั้งด้านการเงินและการบริหารจัดการ
        
        นักพัฒนานโยบายความมั่นคงปลอดภัย (Security Policy Developer) เป็นผู้ที่มีความเข้าใจในวัฒนธรรมองค์กรเป็นอย่างดี นอกจากนี้ ยังเป็นผู้ที่ทราบถึงนโยบายขององค์กร เข้าใจความต้องการและการนำนโยบายไปใช้ให้ประสบผลสำเร็จด้วย
        
        ผู้ชำนาญการประเมินความเสี่ยง (Risk Assessment Specialist) ทำหน้าที่ในการประเมินความเสี่ยงทางด้านการเงินขององค์กร
        
        ผู้เชี่ยวชาญด้านความมั่นคงปลอดภัยของสารสนเทศ (Security Professional) เป็นผู้ที่มีความรู้
        
        ผู้ดูแลระบบ (System Administrator) ทำหน้าที่ดูแลระบบคอมพิวเตอร์ และอุปกรณ์อื่นๆ ที่เกี่ยวข้อง
        
        ผู้ใช้ระบบ (End User) คือ ผู้ใช้ระบบความมั่นคงปลอดภัยของสารสนเทศที่กำลังพัฒนา โดยทั่วไปนิยมให้ผู้ใช้เข้ามามีส่วนร่วมในการพัฒนาระบบด้วย เพื่อให้ระบบสามารถตอบสนองแก่ผู้ใช้งานได้อย่างถูกต้อง
- - - - คือ วัตถุ สิ่งของ ตัวบุคคล หรือสิ่งอื่นใดที่เป็นตัวแทนของการกระทำอันตรายต่อทรัพย์สิน หรือ สิ่งที่อาจจะก่อให้เกิดความเสียหายต่อคุณสมบัติของข้อมูลด้านใดด้านหนึ่งหรือมากกว่าหนึ่งด้าน (ความลับ (Confidentiality), ความสมบูรณ์ (Integrity), ความพร้อมใช้ (Availability))
      - ภัยคุกคามมีหลายประเภท หลายกลุ่ม เช่น
        
        ภัยคุกคามที่ถูกทำให้เกิดขึ้นโดยเจตนา
        
        ภัยคุกคามที่ถูกทำให้เกิดขึ้นโดยไม่เจตนา
        
        ภัยคุกคามที่เกิดจากภัยธรรมชาติ
        
        ภัยคุกคามที่เกิดจากผู้ใช้ในองค์กรเอง
      - หน้าที่ของทีมงานความมั่นคงปลอดภัยของสารสนเทศที่สำคัญอย่างหนึ่ง คือ “การระบุและจำแนกความเสี่ยง (Risk Identification)” เป็นขั้นตอนที่ทีมงานจะต้องสามารถระบุและจำแนกประเภทของภัยคุกคามที่จัดว่าเป็นความเสี่ยงชนิดหนึ่งได้
        ดังนั้น ทีมงานจึงจำเป็นจะต้องทราบว่าในปัจจุบันมีภัยคุกคามชนิดใดบ้าง ที่อาจเกิดขึ้น ในที่นี้ขอจำแนกไว้ 12 ประเภทดังนี้…
        
        ประเภทของภัยคุกคาม
        
        ความผิดพลาดที่เกิดจากบุคคล
        
        ภัยร้ายต่อทรัพย์สินทางปัญญา
        
        การจารกรรมหรือการรุกล้ำ
        
        การกรรโชกสารสนเทศ
        
        การทำลายหรือทำให้เสียหาย
        
        การลักขโมย
        
        ซอฟต์แวร์โจมตี
        
        ภัยธรรมชาติ
        
        คุณภาพของบริการที่เบี่ยงเบนไป
        
        ความผิดพลาดทางเทคนิคด้านฮาร์ดแวร์
        
        ความผิดพลาดทางเทคนิคด้านซอฟต์แวร์
      - ตัวอย่างภัยคุกคาม
        อุบัติเหตุ ความเข้าใจผิดของพนักงาน
        การละเมิดลิขสิทธิ์
        การเข้าถึงหรือการรวบรวมข้อมูลโดยไม่ได้รับอนุญาต
        การ Blackmail การเผยแพร่สารสนเทศที่เป็นความลับ
        การทำลายระบบหรือสารสนเทศ
        การลักขโมยหรือโจรกรรมอุปกรณ์คอมพิวเตอร์หรือสารสนเทศ
        ไวรัส, เวิร์ม, มาโคร, Dos
        น้ำท่วม ไฟไหม้ แผ่นดินไหว ไฟดับ
        ISP, WAN Service, Provider
        อุปกรณ์ทำงานผิดพลาด
        Bugs, ปัญหาของโค้ด, ลูปไม่รู้จบ
      - ความผิดพลาดที่เกิดจากบุคคล
        
        เป็นความผิดพลาดที่เกิดจากพนักงานหรือบุคคลที่ได้รับอนุญาตให้เข้าถึงสารสนเทศขององค์กรได้ อาจเกิดจากความบังเอิญหรือไม่ได้ตั้งใจให้เกิดขึ้น ซึ่งอาจมีสาเหตุมาจากการไม่มีประสบการณ์ในการใช้งานมาก่อน การฝึกอบรม ไม่เพียงพอ หรือการคาดบุคคลที่เป็นภัยคุกคามขององค์กรที่สำคัญที่สุด คือ “พนักงานขององค์กร” เนื่องจากเป็นผู้ที่ใช้ข้อมูล/สารสนเทศอยู่เป็นประจำทุกวัน มีความเสี่ยงที่จะผิดพลาดสูงมาก อาจทำให้ข้อมูลสารสนเทศที่เป็นความลับถูกเปิดเผย ถูกปลอมแปลง และ ไม่สามารถใช้งานได้
      - ภัยคุกคามประเภทนี้สามารถป้องกันได้โดยการให้ความรู้ความมั่นคงปลอดภัยของสารสนเทศ การฝึกอบรมอย่างสม่ำเสมอ และการสร้างความตระหนักถึงความมั่นคงปลอดภัย
        
        ภัยร้ายต่อทรัพย์สินทางปัญญา
        
        ทรัพย์สินทางปัญญา คือ ทรัพย์สินที่จับต้องไม่ได้ ที่ถูกสร้างขึ้นมาโดยบุคคลหรือองค์กรใดๆ หากผู้ใดต้องการนำทรัพย์สินทางปัญญาที่ผู้อื่นสร้างไว้ไปใช้ อาจจะต้องเสียค่าใช้จ่ายได้รับอนุญาตหรือไม่ก็ตาม จะต้องระบุแหล่งที่มาของทรัพย์สินดังกล่าวไว้ชัดเจน
        
        4 ประเภท ได้แก่
        
        ลิขสิทธิ์ (Copyrights)
        
        ความลับทางการค้า (Trade Secrets)
        
        เครื่องหมายทางการค้า (Trade Marks)
        
        สิทธิบัตร (Patent
        
        3. การจารกรรมหรือการรุกล้ำ
        การจารกรรรม
        เป็นการกระทำซึ่งใช้อุปกรณ์อิเล็กทรอนิกส์หรือตัวบุคคลในการจารกรรมสารสนเทศที่เป็นความลับ
        ผู้จารกรรมจะใช้วิธีการต่างๆ เพื่อเข้าถึงสารสนเทศที่จัดเก็บไว้ และรวบรวมสารสนเทศดังกล่าวโดยไม่ได้รับอนุญาต ซึ่งก็คือ การรวบรวมข้อมูล/สารสนเทศ โดยผิดกฏหมายนั่นเอง
      - แฮคเกอร์ แบ่งตามระดับความสามารถเป็น 2 ประเภทได้แก่
        
        Expert Hacker บางครั้งเรียกว่า “Elite Hacker” เป็นแฮคเกอร์ที่มีทักษะสูงทำการพัฒนาโปรแกรมขนาดเล็กหรือซอฟต์แวร์สคริปต์ที่ใช้ในการเข้าถึงสารสนเทศในระบบของผู้อื่นขึ้นมาให้แฮคเกอร์ประเภท “Unskilled Hacker” ใช้
        
        Unskilled Hacker คือ แฮคเกอร์ที่ไม่มีทักษะหรือมีทักษะน้อย ไม่สามารถสร้างโปรแกรมเจาะระบบได้เอง จึงทำได้เพียงเป็นผู้นำโปรแกรมที่ Expert Hacker พัฒนาไว้มาใช้เข้าถึงสารสนเทศของผู้อื่น
        
        แครกเกอร์ (Cracker)
        
        คือ ผู้ที่ทำลายหรือทำซ้ำซอฟต์แวร์รักษาความมั่นคงปลอดภัยของระบบอื่น สร้างความเสียหายให้กับระบบ
        
        แครกเกอร์ แตกต่างกับ แฮคเกอร์ คือ ….
        
        แฮคเกอร์ มีเป้าหมายเพื่อทดสอบความสามารถหรือต้องการความท้าทายโดยการเจาะระบบให้สำเร็จ (ไม่รวมกรณีสร้างความเสียหายแก่สารสนเทศของระบบด้วย)
        
        แครกเกอร์ มีจุดประสงค์หลัก คือ ต้องการทำลายระบบรักษาความมั่นคงปลอดภัยของระบบ
- - - - นโยบายความมั่นคงปลอดภัยของสารสนเทศนการกำหนดนโยบายต้องสอดคล้องและสนับสนุน
        ภารกิจ (Mission)
        วิสัยทัศน์ (Vision)
        แผนกลยุทธ์ (Strategic Plan) ขององค์กร
        นโยบายความมั่นคงปลอดภัยของสารสนเทศ (Information Security Policy) คือ กฎข้อบังคับที่ใช้ในการป้องกันสารสนเทศขององค์กร
        
        การรักษาความเสี่ยง (Risk Treatment) (ต่อ)
        มาตรการที่สามารถเลือกใช้เพื่อการแก้ไขควบคุมความเสี่ยงอาจแบ่งออกเป็น 3 ประเภท ดังนี้...
        มาตรการควบคุมทางด้านกายภาพ คือ การจัดให้มีสภาพแวดล้อมทางกายภาพที่เหมาะสม
        การจัดให้มีระบบควบคุมการเข้าออกสถานที่สำคัญ (Access Control)
        การจัดแบ่งพื้นที่สำคัญ เช่น การแยกดาต้าเซ็นเตอร์ออกจากพื้นที่ปฏิบัติงานปกติ
        การจัดระเบียบสายเคเบิลต่างๆ ให้เรียบร้อย
        มาตรการควบคุมทางด้านเทคนิค คือ การใช้ซอฟต์แวร์ หรืออุปกรณ์ฮาร์ดแวร์มาช่วยควบคุมและจัดการด้าน Security เช่น
        การเข้ารหัสข้อมูล (Encryption)
        การใช้ซอฟต์แวร์ป้องกันและกำจัดไวรัส
        การใช้ไฟล์วอลล์ควบคุมทราฟฟิกเข้าออกเครือข่าย
        การใช้ระบบตรวจจับและป้องกันการบุกรุก (IDS), (IPS)
        มาตรการควบคุมด้านธุรการ คือ การจัดให้มีนโยบาย, ระเบียบ, วิธีการปฏิบัติงาน, การฝึกอบรมที่เหมาะสมสำหรับบุคลากรทั้งหมดที่เกี่ยวข้องกับการดำเนินงานขององค์กร
        
        องค์ประกอบของความเสี่ยง
        ในด้านการรักษาความปลอดภัยข้อมูลนั้นความเสี่ยงประกอบด้วยสองส่วน คือ
        ช่องโหว่ (Vulnerability)
        ภัยคุกคาม (Threat)
        ช่องโหว่ (Vulnerability)
        ช่องทางที่อาจใช้สำหรับการโจมตีได้จุดอ่อนหรือช่องโหว่ อาจมีในระบบคอมพิวเตอร์และเครือข่าย ซึ่งเป็นช่องทางให้ผู้ไม่ประสงค์ดีสามารถเจาะเข้าระบบหรือเครือข่ายได้ จุดอ่อนนั้นมีหลายระดับขึ้นอยู่กับความยากง่าย และระดับความชำนาญทางด้านเทคนิคที่จะสามารถใช้ประโยชน์จากมันได้ นอกจากนี้ผลกระทบที่เกิดจากการใช้ประโยชน์จากจุดอ่อนดังกล่าวก็จะนับรวมเข้าไปด้วย ยกตัวอย่างเช่น จุดอ่อนประเภทที่ง่ายต่อการเจาะเข้าซึ่งอาจเป็นเพราะสคริปต์ (Script) ที่ใช้สำหรับเจาะเข้าระบบนั้นหาได้ง่าย และเมื่อทำสำเร็จผู้บุกรุกสามารถควบคุมระบบได้ทั้งหมด
        
        ภัยคุกคาม
        
        ภัยคุกคาม (Threat) คือสิ่งที่อาจจะเกิดขึ้นและมีอันตรายต่อทรัพย์สินขององค์กร ภัยคุกคามนั้นประกอบด้วย 3 ส่วนคือ
        
        • เป้าหมาย (Target) : ด้านของการรักษาความปลอดภัยที่อาจถูกโจมตี
        
        • ผู้โจมตี (Agent) : คนหรือองค์กรที่เป็นแหล่งที่มาของภัยคุกคาม
        
        • เหตุการณ์ (Event) : สิ่งที่เกิดขึ้นและก่อให้เกิดความเสียหาย
        
        อาชญากรรมทางคอมพิวเตอร์ (Computer Crime) คืออะไร
        
        อาชญากรรมทางคอมพิวเตอร์ (Computer Crime) มี 2 ประเภทคือ
        
        3 more items...
        
        เพื่อให้เข้าใจภัยคุกคามต่อองค์กรอย่างแน่ชัดนั้นควรศึกษาองค์ประกอบทั้งสามส่วนของภัยคุกคามให้แน่ชัดก่อน
        
        ผู้โจมตี (Agent)
        
        4 more items...