ของเครอื่ งทเี่ ข้าใชบ้ รกิ าร และสรา้ งรายงานสถิติการใช้แบบรายวนั รายเดือน รายปี ตามรายงานของแผนกงาน
โดยมีวธิ ีการดังน้ี หาข้อกำหนดความต้องการของระบบ วเิ คราะหแ์ ละออกแบบระบบ จัดหาวัสดุทตี่ อ้ งการ ตามทไ่ี ดเ้ ตรยี มไว้ พัฒนาชดุ คำส่ังด้านตรวจสอบผู้ใช้ และจัดเก็บสถิตแิ บบ Client/Server พฒั นาชดุ คำส่งั ด้าน รายงานและสถติ ิแบบ Web Application ทดสอบการทำงาน และปรับแก้ นำไปใชจ้ รงิ ประเมินระดบั ความพงึ พอใจของผใู้ ชเ้ พ่ือนำเสนอต่อผบู้ ริหารในรายงานประจำปี ซ่งึ จากการทดลองใช้ระบบ พบว่าสามารถลดขน้ั ตอน การเขา้ ใชบ้ ริการของผมู้ าใช้บรกิ าร และลดขนั้ ตอนการปฏบิ ัตขิ องเจา้ หนา้ ท่ี และสามารถออกรายงานเพื่อ นำเสนอแกผ่ ู้บริหารไดอ้ ย่างมีประสทิ ธิภาพ
รปู ท่ี 8.1 ระบบบันทกึ และเก็บสถติ กิ ารใช้คอมพวิ เตอร์ (Management Service System) (ท่มี า : //qrgo.page.link/XnV8n)
2. การตรวจสอบไวรสั คอมพวิ เตอร์ ไวรัสคอมพวิ เตอร์ คอื โปรแกรมคอมพวิ เตอร์ทถี่ ูกออกแบบมาใหมี้ คุณสมบัตนิ ำตัวเองไปตดิ ปะปนกับโปรแกรมอ่นื ที่อยใู่ นเครื่องคอมพวิ เตอรข์ องเรา เพ่ือก่อกวนทำลายระบบ คอมพวิ เตอร์ไม่วา่ จะเปน็ ข้อมูล ชดุ คำสัง่ หรืออุปกรณต์ า่ ง ๆ เชน่ แผ่นดสิ ก์ ฮาร์ดดิสก์ หน่วยความจำ คอมพิวเตอร์และเปน็ โปรแกรมที่สามารถกระจายจากคอมพวิ เตอรเ์ คร่ืองหนง่ึ ไปยงั คอมพิวเตอร์อกี เครือ่ งหน่งึ ได้โดยผา่ นระบบสือ่ สารคอมพิวเตอร์ เช่น โดยผ่านทางแผ่นบนั ทกึ ข้อมูล (Diskette) แฟลชไดรฟ์ หรอื ระบบ เครือข่ายข้อมลู ซึ่งคอมพิวเตอร์ทโ่ี ดนไวรัสเล่นงานจะเกดิ ความเสียหายตอ่ ข้อมลู ทอ่ี ยู่บนดิสกห์ รอื ฮาร์ดดิสก์ หรือเกิดการทำงานทไ่ี มพ่ ึงประสงค์ เชน่ การลบไฟลท์ เ่ี กบ็ อยู่ในฮาร์ดดสิ กห์ รือฟอร์แมตฮาร์ดดิสก์ เป็นต้น
ประเภทของไวรสั (1) บตู ไวรัส (Boot Virus) คือ ไวรัสคอมพิวเตอร์ท่ีแพรเ่ ข้าสู่เปา้ หมายในระหว่างเริ่มทำการบูตเครื่อง
ส่วนมากมันจะติดตอ่ เขา้ สอู่ ปุ กรณบ์ นั ทึกข้อมูลระหว่างกำลังสง่ั ปิดเครอ่ื ง เม่ือนำอุปกรณท์ ี่ติดไวรัสนี้ไปใช้กบั เคร่อื งคอมพิวเตอร์เครื่องอ่ืน ๆ ไวรัสกจ็ ะเข้าสูเ่ ครอ่ื งคอมพิวเตอร์ตอนเริ่มทำงานทันที บูตไวรสั จะตดิ ติอเข้าไป อยสู่ ว่ นหัวสุดของฮาร์ดดสิ ก์ ทม่ี าสเตอร์บูตเรคอรด์ (Master Boot Record) และก็จะโหลดตวั เองเขา้ ไปสู่ หน่วยความจำก่อนที่ระบบปฏิบัตกิ ารจะเริ่มทำงาน ทำใหเ้ หมือนไม่มีอะไรเกิดข้นึ
(2) ไฟลไ์ วรสั (File Virus) ซึ่งใช้เรยี กไวรัสท่ีตดิ ไฟลโ์ ปรแกรม เชน่ โปรแกรมท่ีดาวนโ์ หลดจาก อนิ เทอรเ์ น็ต นามสกลุ .exe โปรแกรมประเภทแชร์แวร์ เป็นตน้
(3) มาโครไวรสั (Macro virus) คอื ไวรัสท่ีติดไฟล์เอกสารชนดิ ตา่ ง ๆ ซึง่ มีความสามารถในการใส่คำส่งั มาโครสำหรับทำงานอัตโนมตั ิในไฟลเ์ อกสารด้วย ตวั อยา่ งเอกสารทส่ี ามารถติดไวรัสได้ เช่น ไฟลไ์ มโครซอฟต์ เวิรด์ ไมโครซอฟตเ์ อก็ เซล เป็นต้น
(4) หนอน (Worm) เป็นรูปแบบหนึง่ ของไวรัส มีความสามารถในการทำลายระบบในเคร่ือง คอมพิวเตอร์สงู ทส่ี ดุ ในบรรดาไวรัสทงั้ หมด สามารถกระจายตัวไดร้ วดเร็ว ผา่ นทางระบบอินเทอรเ์ น็ต ซง่ึ สาเหตุ ท่เี รียกวา่ หนอนน้ัน เปน็ ลักษณะของการกระจายและทำลายทีค่ ล้ายกับหนอนกินผลไม้ ที่สามารถกระจายตัวได้ มากมาย รวดเร็ว และเมือ่ ยิ่งเพม่ิ จำนวนมากขน้ึ ระดบั การทำลายล้างย่งิ สงู ขึ้น
(5) โทรจัน (Trojan) คือ โปรแกรมจำพวกหนึ่งท่ีถกู ออกแบบขึน้ มาเพื่อแอบแฝง กระทำการบางอยา่ ง ในเครอื่ งของเรา จากผทู้ ่ีไม่หวังดี ชือ่ เรยี กของโปรแกรมจำพวกน้ี มาจากตำนานของมา้ ไม้แหง่ เมืองทรอยน่ันเอง ซ่ึงการติดน้นั ไม่เหมือนกับไวรสั และหนอนทจี่ ะกระจายตัวได้ด้วยตัวมันเอง แต่โทรจัน (คอมพวิ เตอร์)จะถูก แนบมากบั อกี าร์ด อีเมล หรือโปรแกรมท่มี ีใหด้ าวน์โหลดตามอินเทอรเ์ น็ตในเว็บไซตใ์ ต้ดิน และสดุ ท้ายที่มนั ต่าง กับไวรสั และเวริ ์ม คือ มันสามารถเขา้ มาในเครื่อง โดยทเ่ี ราเป็นผู้รบั มันมาโดยไม่รูต้ ัวนัน่ เอง
การตรวจหาไวรสั การสแกนโปรแกรมตรวจหาไวรัสท่ใี ชว้ ธิ กี ารสแกน (Scanning) เรียกว่า สแกนเนอร์ (Scanner) โดย
จะมีการดงึ เอาโปรแกรมบางส่วนของตัวไวรัสมาเกบ็ ไวเ้ ป็นฐานขอ้ มลู สว่ นทดี่ งึ มาน้นั เราเรียกวา่ ไวรสั ซิกเน เจอร์ (Virus Signature) และเมือ่ สแกนเนอรถ์ กู เรียกข้นึ มาทำงาน ก็จะเข้าตรวจหาไวรสั ในหนว่ ยความจำ บู ตเซกเตอร์ และไฟล์ โดยใช้ไวรัสซิกเนเจอรท์ ่ีมอี ยู่ ข้อดีของวิธกี ารนี้คอื สามารถตรวจสอบซอฟตแ์ วรท์ มี่ าใหม่ ได้ ทนั ทวี ่าติดไวรสั หรอื ไม่ เพื่อป้องกันไมใ่ ห้ไวรสั ถกู เรยี กขน้ึ มาทำงานต้งั แต่เริ่มแรก แตว่ ิธีนมี้ ีจุดอ่อนหลายข้อ คือ
(1) ฐานข้อมูลท่เี กบ็ ไวรสั ซกิ เนเจอร ์ จะต้องทันสมัยอยู่เสมอ และครอบคลมุ ไวรัสใหม้ ากท่ีสุดเทา่ ที่จะ ทำได้ เพราะสแกนเนอร์ไมส่ ามารถตรวจจับไวรสั ทยี่ งั ไม่มซี ิกเนเจอรข์ องไวรัสนนั้ เก็บอยู่ในฐานข้อมูลได้
(2) ยากทจี่ ะตรวจจับไวรสั ประเภทโพลีมอรฟ์ ิก เนอ่ื งจากไวรสั ประเภทน้เี ปลยี่ นแปลงตวั เองได้ จงึ ทำ ให้ไวรัสซกิ เนเจอร์ท่ใี ช้สามารถนำมาตรวจสอบได้ก่อนท่ีไวรัสจะเปลีย่ นตัวเองเท่านน้ั
(3) ถา้ มไี วรัสประเภทสทีลต์ไวรสั ตดิ อยู่ในเครื่อง ตวั สแกนเนอร์อาจไม่สามารถตรวจหาไวรัสนไ้ี ด้ ทัง้ นี้ ขึน้ อยกู่ ับความฉลาดและเทคนคิ ทใ่ี ช้ของตัวไวรัสและของตัวสแกนเนอรเ์ องวา่ ใครเก่งกว่าเนอื่ งจากไวรัสมตี ัว ใหม่ ๆ ออกมาอยู่เสมอ ๆ ผใู้ ช้จงึ จำเปน็ ต้องหาสแกนเนอร์ตวั ท่ีใหม่ที่สุดมาใช้ มีไวรัสบางตัวจะเข้าไปติดใน โปรแกรมทนั ทีท่โี ปรแกรมน้นั ถกู อ่าน และถ้าสมมติวา่ สแกนเนอร์ท่ีใช้ไม่สามารถตรวจจับไดแ้ ละถ้าเครื่องมี ไวรสั น้ตี ิดอยู่ เมื่อมกี ารเรยี กสแกนเนอร์ข้นึ มาทำงาน สแกนเนอรจ์ ะเขา้ ไปอา่ นโปรแกรมทลี ะโปรแกรมเพื่อ ตรวจสอบ ผลก็คอื จะทำให้ไวรัสตวั น้ีเข้าไปติดอยู่ในโปรแกรมทุกตวั ที่ถูกสแกนเนอรน์ ั้นอ่านได้สแกนเนอร์
รายงานผิดพลาดได้ คือ ไวรสั ซิกเนเจอรท์ ี่ใชบ้ ังเอญิ ไปตรงกับที่มีอยู่ในโปรแกรมธรรมดาท่ีไม่ได้ติดไวรสั ซ่ึง มกั จะเกิดขึ้นในกรณีที่ไวรัสซิกเนเจอรท์ ่ีใช้มขี นาดส้นั ไป ก็จะทำให้โปรแกรมดงั กล่าวใช้งานไม่ไดอ้ ีกตอ่ ไป
การตรวจการเปลย่ี นแปลง การหาคา่ พิเศษอย่างหนึง่ ท่เี รียกว่า เช็กซมั (Checksum) ซึ่งเกิดจากการนำเอาชุดคำสงั่ และขอ้ มลู ที่อยู่
ในโปรแกรมมาคำนวณ หรืออาจใชข้ ้อมูลอื่น ๆ ของไฟล์ ได้แก่ แอตทรบิ ิวต์ วนั และเวลา เข้ามารวมในการ คำนวณดว้ ย เนือ่ งจากทุกสง่ิ ทกุ อย่างไมว่ า่ จะเปน็ คำส่งั หรอื ขอ้ มูลท่ีอยู่ในโปรแกรม จะถูกแทนด้วยรหัส เลขฐานสอง เราจึงสามารถนำเอาตวั เลขเหล่าน้มี าผา่ นขัน้ ตอนการคำนวณทางคณิตศาสตร์ได้ ซึ่งวิธีการคำนวณ เพ่อื หาค่าเชก็ ซัมน้ีมีหลายแบบ และมีระดับการตรวจสอบแตกต่างกันออกไป เม่ือตัวโปรแกรมภายในเกิดการ เปลยี่ นแปลงไมว่ ่าไวรัสนน้ั จะใช้วิธีการแทรกหรอื เขยี นทับก็ตาม เลขท่ีได้จากการคำนวณคร้ังใหมจ่ ะเปลยี่ นไป จากท่คี ำนวณได้กอ่ นหน้าน้ี ข้อดขี องการตรวจการเปลย่ี นแปลงกค็ ือ สามารถตรวจจบั ไวรัสใหม่ ๆ ได้ และยงั มี ความสามารถในการตรวจจบั ไวรสั ประเภทโพลมี อรฟ์ ิกไวรัสได้อีกด้วย แตก่ ็ยังยากสำหรบั สทีลต์ไวรัส ทงั้ น้ี ข้ึนอยู่กับความฉลาดของโปรแกรมตรวจหาไวรัสเองดว้ ยว่าจะสามารถถกู หลอกโดยไวรสั ประเภทนไ้ี ด้หรือไม่ และวธิ ีการตรวจการเปลยี่ นแปลงนีจ้ ะตรวจจบั ไวรัสไดก้ ็ต่อเมือ่ ไวรัสไดเ้ ข้าไปตดิ อยูใ่ นเครื่องแล้วเท่านั้น และ ค่อนข้างเส่ียงในกรณที ่เี ริ่มมีการคำนวณหาค่าเช็กซัมเป็นคร้ังแรก เครื่องท่ีใชต้ ้องแนใ่ จวา่ ไม่มีโปรแกรมใด ๆ ติด ไวรสั มิฉะน้ันค่าทหี่ าได้จากการคำนวณจะรวมตัวไวรัสเข้าไปดว้ ย ซง่ึ จะลำบากภายหลงั ในการที่จะตรวจหา ไวรสั ตวั นตี้ อ่ ไป
การเฝา้ ดู เพ่ือทีจ่ ะใหโ้ ปรแกรมตรวจจบั ไวรสั สามารถเฝ้าดกู ารทำงานของเครอื่ งได้ตลอดเวลาน้ันจงึ มโี ปรแกรม
ตรวจจับไวรัสท่ถี กู สร้างขึ้นมาเปน็ โปรแกรมแบบเรซิเดนท์หรอื ดีไวซ์ไดรเวอร์ โดยเทคนิคของการเฝา้ ดนู น้ั อาจ ใชว้ ธิ ีการสแกนหรือตรวจการเปลีย่ นแปลงหรอื สองแบบรวมกนั กไ็ ด้ การทำงานโดยทั่วไปกค็ อื เมื่อซอฟตแ์ วร์ ตรวจจับไวรสั ทใ่ี ชวิ้ธนี ้ีถูกเรยี กขึ้นมาทำงาน ก็จะเขา้ ไปตรวจในหนว่ ยความจำของเคร่ืองก่อน วา่ มไี วรสั ติดอยู่ หรือไมโ่ ดยใช้ไวรสั ซกิ เนเจอร์ทม่ี ีอยู่ในฐานขอ้ มลู จากนน้ั จึงคอ่ ยนำตวั เองเข้าไปฝงั อยใู่ นหนว่ ยความจำ และ ตอ่ ไปถา้ มีการเรียกโปรแกรมใดขึน้ มาใชง้ าน โปรแกรมเฝ้าดนู ้กี จ็ ะเขา้ ไปตรวจโปรแกรมน้นั ก่อน โดยใชเ้ ทคนิค การสแกน หรือตรวจการเปล่ียนแปลงเพื่อหาไวรสั ถ้าไม่มีปญั หา กจ็ ะอนุญาตให้โปรแกรมน้นั ขน้ึ มาทำงานได้ นอกจากนโี้ ปรแกรมตรวจจบั ไวรสั บางตัวยงั สามารถตรวจสอบขณะท่ีมกี ารคัดลอกไฟล์ได้อีกด้วย ข้อดีของวิธนี ี้ คือ เมอื่ มีการเรียกโปรแกรมใดขนึ้ มา โปรแกรมน้นั จะถูกตรวจสอบกอ่ นทุกครั้งโดยอตั โนมัติ ซ่ึงถ้าเป็นการใช้ สแกนเนอร์จะสามารถทราบได้วา่ โปรแกรมใดติดไวรัสอยกู่ ็ต่อเม่ือทำการเรยี กสแกนเนอร์น้ันขน้ึ มาทำงานก่อน เทา่ นน้ั ข้อเสยี ของโปรแกรมตรวจจบั ไวรัสแบบเฝ้าดูก็คือ จะมีเวลาที่เสียไปสำหรับการตรวจหาไวรสั ก่อนทุก ครงั้ และเน่อื งจากเป็นโปรแกรมแบบเรซิเดนทห์ รือดีไวซ์ไดรเวอร์ จงึ จำเปน็ จะต้องใช้หนว่ ยความจำส่วนหน่ึง
ของเครือ่ งตลอดเวลาเพ่ือทำงาน ทำใหห้ นว่ ยความจำในเคร่อื งเหลือน้อยลง และเช่นเดียวกบั สแกนเนอร์ กค็ ือ จำเป็นจะต้องมีการปรับปรุงฐานข้อมลู ของไวรสั ซิกเนเจอรใ์ หท้ นั สมัยอยู่เสมอ
การปอ้ งกนั ไวรสั ตดิ ต้ังโปรแกรมปอ้ งกนั ไวรสั และอปั เดตขอ้ มลู ไวรสั อยเู่ สมอ
(1) ติดตงั้ โปรแกรมป้องกันไวรสั ทเ่ี หมาะสม (2) สรา้ งแผ่น Emergency Disk เพื่อใช้ในการกู้ระบบ (3) อปั เดตข้อมลู ไวรัสของโปรแกรมทุกวนั หรือทุกครัง้ ที่โปรแกรมแจ้งเตือนให้อปั เดต (4) เปิดใช้งาน Auto–Protect ถ้าโปรแกรมสนบั สนุน (5) ตรวจสอบหาไวรัสทุกครั้งก่อนเปดิ ไฟลจ์ ากแผน่ หรอื ส่ือบนั ทกึ ข้อมูลตา่ ง ๆ (6) ใช้โปรแกรมเพ่ือทำการตรวจหาไวรัสบนเครอ่ื งคอมพิวเตอรอ์ ยา่ งน้อย 1 ครง้ั ตอ่ สปั ดาห์ ตดิ ตั้งโปรแกรมอดุ ชอ่ งโหว่ (Patch) โดยการอปั เดตซอฟต์แวรแ์ ละโปรแกรมประยุกตต์ ่าง ๆ ให้ใหมอ่ ยเู่ สมอ เชน่ ระบบปฏบิ ตั กิ าร (OS) โปรแกรม Internet Explorer (IE) โปรแกรม Microsoft Office เป็นต้น ปรบั แตง่ ใหซ้ อฟตแ์ วร์ทใ่ี ชง้ านปลอดภยั สงู ทส่ี ดุ
(1) ปรบั แต่งไมใ่ หโ้ ปรแกรมท่ีใช้อ่าน E–mail รันไฟลแ์ นบ (Attachment) โดยอัตโนมตั ิ (2) ถา้ ใช้ Microsoft Office ไม่ควรอนุญาตใหร้ นั มาโคร (Macro) (3) ตั้งค่าระบบปฏบิ ัติการใหแ้ สดงไฟล์ที่มีอยทู่ ั้งหมด และแสดงนามสกลุ ของไฟล์ด้วยโดยปรบั ค่า การทำงานที่ Folder Options ใน Tools ของ Windows Explorer ระวงั ภยั จากการเปดิ ไฟลจ์ ากสอ่ื บนั ทึกขอ้ มลู (Media) ตา่ ง ๆ (1) เช่น แฟลชโดรฟ์ แผน่ ซดี ี แผ่นดวี ดี ี เอ็กซ์เทอนอลฮาร์ดไดรฟ์ เปน็ ตน้ (2) สแกนหาไวรัสจากสื่อบันทึกข้อมลู ก่อนใชง้ านทุกครัง้ (3) ไม่ควรเปิดไฟล์ที่มีนามสกุลแปลก ๆ ท่ีนา่ สงสัย เชน่ .pif เปน็ ตน้ รวมทั้งไฟล์ท่ีมนี ามสกุลซอ้ นกัน เช่น .jpg, .exe, .gif, .scr, txt.exe เป็นตน้ ให้ลบไฟลน์ ้ันท้ิงทนั ที (4) ไม่ใช้สอ่ื บนั ทึกข้อมลู ที่ไม่ทราบแหลง่ ที่มา ใชค้ วามระมดั ระวงั ในการเปิดอา่ น E–mail (1) อย่าเปดิ ไฟล์ท่ีแนบมากบั E–mail จนกว่าจะรทู้ ่ีมา (2) อยา่ เปดิ อ่าน E–mail ที่มี Subject ทเ่ี ปน็ ขอ้ ความจูงใจ (3) ลบ E–mail ทไ่ี ม่ทราบแหล่งที่มาท้งิ ทันที เพื่อตัดปัญหาท้งั ปวง (4) ตระหนักถึงความเสยี่ งของไฟลท์ ่ีดาวน์โหลด หรือได้รบั จากทางอนิ เทอรเ์ น็ต
(5) ไมค่ วรเปดิ ไฟลท์ ี่แนบมากับโปรแกรมทีใ่ ช้สนทนา เช่น Line, Facebook Messenger เปน็ ต้น หรอื การแลกเปลย่ี นไฟล์ โดยเฉพาะไฟล์ที่สามารถรันได้ เช่น ไฟลท์ ม่ี นี ามสกุล .exe, .pif, .com, .bat, .vbs เป็นตน้ โดยไม่ไดต้ รวจสอบแหล่งท่ีมาก่อน
(6) ไมค่ วรเขา้ เว็บไซต์ทม่ี ากับ E–mail หรือโปรแกรมสนทนาตา่ ง ๆ รวมทั้งโฆษณาชวนเช่อื หรือหน้า เวบ็ ที่ปรากฏขึน้ มาโดยไม่ตั้งใจ
(7) ไมด่ าวน์โหลดไฟล์ต่าง ๆ จากเวบ็ ไซต์ทีไ่ ม่มนั่ ใจหรือไม่นา่ เชือ่ ถือ (8) ติดตามขา่ วสารข้อมูลการแจง้ เตอื นไวรสั จากแหลง่ ข้อมูลด้านความปลอดภัยอยู่เสมอหลกี เล่ียงการ แชรไ์ ฟลโ์ ดยไม่จำเปน็ ถ้าต้องการแชรไ์ ฟล์ ควรแชรแ์ บบอ่านอยา่ งเดยี ว และต้ังรหสั ผา่ นดว้ ย กำหนดนโยบายดา้ นการบรหิ ารจดั การไวรสั คอมพวิ เตอร์ขององค์กร
(1) สำรองข้อมลู สำคัญไวเ้ สมอ (2) ถ้าสงสัยว่าเครือ่ งติดไวรสั และไมส่ ามารถดำเนินการเองได้ใหส้ อบถามเจ้าหนา้ ทด่ี ูแลระบบหรอื ผู้ท่ี เก่ียวขอ้ งดำเนนิ การโดยดว่ น 3. การสำรองขอ้ มลู (Backup) คอื การคดั ลอกแฟม้ ข้อมูลเพ่ือทำสำเนา เพ่ือหลีกเล่ียงความเสียหายที่จะ เกิดขน้ึ หากข้อมลู เกิดการเสียหายหรอื สูญหาย โดยสามารถนำข้อมลู ท่ีสำรองไวม้ าใช้งานได้ทนั ทีการสำรอง ข้อมูลมี 2 แบบ คือ แบบออนไลนแ์ ละออฟไลน์ ประโยชน์ของการสำรองขอ้ มลู (1) เพื่อป้องกนั ทัง้ การลบหรอื ทำขอ้ มลู สูญหาย ทัง้ ที่ต้งั ใจและไม่ต้ังใจ (2) เพอื่ กขู้ ้อมูลเกา่ เพราะแก้ไขข้อมลู ปจั จุบันแลว้ มีปัญหา หรือไฟลท์ ม่ี ีใช้งานไมไ่ ด้ต้องการกลบั ไปใช้ ต้นฉบับก่อนหน้านี้ (3) เพ่ือป้องกนั อปุ กรณ์เก็บข้อมลู ชำรุด หรอื สูญหาย หากอุปกรณ์สำหรับเก็บข้อมลู หายไปก็สามารถใช้ ขอ้ มลู ที่สำรองไว้จากอปุ กรณ์เก็บข้อมลู ตวั อืน่ แทนได้ ความสำคัญในการสำรองข้อมลู ความสำคัญหลกั ๆ คือ ขอ้ มลู ไมส่ ญู หายแนน่ อน หรอื สามารถสญู หายได้ แตย่ ากมากยง่ิ ข้ึนโดยการสำรอง ขอ้ มูลสามารถทำไดห้ ลายวิธี เช่น (1) ใชโ้ ปรแกรม System Restore หนง่ึ ในโปรแกรมแบ็กอัปและเรยี กข้อมลู กลบั คนื หากวินโดวส์ มปี ัญหากส็ ามารถใช้การ Restore ได้ทันที (2) ใชโ้ ปรแกรม Backup เช่น ในระบบปฏบิ ัติการวินโดวส์ 10 เมื่อต้องการใชโ้ ปรแกรมใหไ้ ปที่ Start \> Settings > Update & Security > Backup > Add a drive
(3) แบ็กอปั ข้อมูลด้วยอุปกรณฮ์ าร์ดแวร์ เช่น ฮาร์ดดิสก์แบบติดต้งั ภายนอกผ่านพอรต์ USBเทป แบก็ อัป ท่ีมกั จะใชก้ บั การสำรองข้อมลู ขนาดใหญ่ ซิปไดรฟ์ (Zip Drive) เคร่ืองบนั ทึก DVD/CD นอกจากน้ันยัง มกี ารใช้แฟลชเมโมร่คี วามจุสูง รวมทัง้ ไมโครไดรฟ์ทใี่ ช้กบั อุปกรณโ์ มบายมาแบก็ อปั ข้อมูลดว้ ยเชน่ กนั
(4) ใช้ Backup Program เชน่ Veritas NetBackup, Veritas Backup Exec, Norton Ghost, Microsoft DPM เป็นตน้
(5) การสำรองขอ้ มูลแบบ Cloud เชน่ Apple iCloud, Google Drive, Dropbok, Box.net, SugarSync, Amazon Cloud Drive เป็นตน้
4. การบำรงุ รักษาเชงิ ปอ้ งกนั หมายถงึ แผนงานการบริการการบำรุงรักษา ซ่ึงมงุ่ เป้าไปถงึ การป้องกนั ไมใ่ ห้ เครื่องชำรดุ การบำรุงรักษานั้นรวมตงั้ แต่การทำความสะอาดเครื่องเป็นระยะ ๆ การตรวจสอบหรือคอยดแู ล เปลีย่ นอปุ กรณ์หรือวงจรทจ่ี ะครบอายุการใชง้ านทุกระยะด้วย
รปู ที่ 8.2 การบำรุงรกั ษาเชิงป้องกัน
5. การซอ่ มบำรงุ
รปู ท่ี 8.3 การซ่อมบำรงุ (ท่มี า : //qrgo.page.link/Q6FF4)
6. การตดิ ตามงานรับประกนั
รปู ท่ี 8.4 การติดตามงานรับประกัน 8.2 ประโยชนแ์ ละขอ้ จำกดั ของการบำรงุ รักษาระบบเครอื ขา่ ยคอมพวิ เตอร์
8.2.1 ประโยชนข์ องการบำรงุ รักษาระบบเครอื ขา่ ยคอมพวิ เตอร์ 1. ป้องกันบุคคลที่ไม่ประสงค์ดเี ข้ามาทำลายข้อมลู ภายในระบบคอมพิวเตอรด์ ว้ ยรูปแบบต่าง ๆ กันไป
ไม่วา่ จะเปน็ การส่งไวรสั เขา้ สรู่ ะบบคอมพวิ เตอร์ซ่ึงมีผลทำให้ขอ้ มูลต่าง ๆ ท่มี ีอยนู่ น้ั เกดิ ความเสยี หายหรอื การ โจรกรรมขอ้ มลู ที่เปน็ ความลับการละเมิดข้อมูลสว่ นบคุ คลของผู้อ่นื
2. เพม่ิ ความสามารถในการรักษาความปลอดภัยให้กบั ระบบคอมพวิ เตอร์ของตนใหม้ ากข้นึ 8.2.2 ขอ้ จำกัดของการบำรุงรกั ษาระบบเครอื ข่ายคอมพิวเตอร์
1. ระบบรักษาความปลอดภัยจะมปี ระสิทธภิ าพกต็ ่อเม่ืออัปเดตโปรแกรมของระบบอยเู่ สมอเพราะ แฮกเกอรจ์ ะมีการพัฒนาและสรา้ งไวรสั ตัวใหม่อยู่เปน็ ประจำ
2. จากการทม่ี ีไวรสั ในเครอื ข่ายอนิ เทอรเ์ นต็ มาก เปน็ เหตใุ ห้ตอ้ งลดการดาวนโ์ หลดข้อมูล รปู ภาพจาก อินเทอรเ์ นต็ และตอ้ งไปหาข้อมลู จากแหลง่ การศึกษาอื่นแทนเช่น หอ้ งสมุด หนังสือพมิ พ์ วารสารโปสเตอรเ์ ปน็ ตน้ 8.3 ความปลอดภยั บนระบบเครอื ขา่ ยคอมพวิ เตอร์
8.3.1 ความปลอดภยั และการรกั ษาความปลอดภยั ของระบบคอมพวิ เตอรแ์ ละเครอื ขา่ ย ปัจจบุ ัน ระบบคอมพวิ เตอร์และเครอื ข่ายเข้ามามบี ทบาทกับชีวิตประจำวนั ของเรามากขึ้นไม่
ว่าจะเป็นการใช้งานเครือขา่ ย LAN ภายองค์กร เช่น การใช้งานระบบฐานข้อมูลผา่ นทางเคร่ืองแม่ข่ายโดยตรง หรอื ผ่านทางเว็บไซต์ การเขา้ ถึงระบบสารสนเทศองคก์ รผา่ นทางอินทราเน็ต และการเข้าถึงทรัพยากรจาก ภายนอกผา่ นทางอนิ เทอร์เนต็ นอกจากนนั้ ระบบเครือข่ายคอมพวิ เตอรย์ ังมคี วามจำเปน็ ตอ่ การดำเนินธุรกิจ ไมว่ า่ จะเปน็ การใช้เพือ่ สนับสนุนการดำเนนิ ธุรกจิ หรอื การดำเนินธรุ กจิ บนเครือขา่ ยอินเทอร์เนต็ ก็ตาม เม่ือ
ขอ้ มูลทส่ี ำคญั มีการสง่ ผ่านไปมาบนระบบเครอื ข่ายแลว้ ส่งิ สำคญั ท่ตี ้องคำนึงถงึ คอื ความปลอดภยั ไมว่ ่าจะเปน็ ความปลอดภัยของระบบคอมพวิ เตอรแ์ ละเครือข่าย องค์ประกอบของความปลอดภัยของข้อมูล มาตรฐาน ความปลอดภัย ตัวอย่างการโจมตีระบบ และแนวทางการออกแบบ/ติดตง้ั ระบบความปลอดภยั
8.3.2 การรกั ษาความปลอดภยั ของระบบคอมพวิ เตอรแ์ ละเครอื ขา่ ย ระบบสารสนเทศสามารถแบ่งเปน็ หมวดหมู่ใหญ่ ๆ ได้ 4 หมวดหมู่ ไดแ้ ก่ การรักษาความปลอดภยั
ดา้ นกายภาพ การรักษาความปลอดภัยของคอมพิวเตอร์แมข่ า่ ยและลกู ขา่ ย การรกั ษาความปลอดภัยของ อุปกรณ์เครือขา่ ยและระบบเครอื ข่าย และการรกั ษาความปลอดภัยของข้อมูล 1. การรกั ษาความปลอดภยั ดา้ นกายภาพ
การรกั ษาความปลอดภยั ดา้ นกายภาพ หมายถงึ การป้องกนั การเข้าถงึ ระบบคอมพิวเตอร์และเครือข่าย ในทางกายภาพ เชน่ การเข้าถึงเครื่องแมข่ ่ายโดยตรง (นั่งอยู่หนา้ เครือ่ ง จบั ต้องตวั เคร่ือง และกดคีย์บอร์ด) การ เขา้ ไปกดปุ่มรเี ซ็ตรหัสผ่านของอุปกรณเ์ ครือขา่ ยโดยตรง เป็นต้น
(1) การเข้าถงึ เครื่องคอมพิวเตอร์และอุปกรณโ์ ดยตรง หากผบู้ ุกรกุ สามารถเขา้ ไปจบั ต้องเครื่อง คอมพิวเตอร์ได้ เชน่ อย่หู น้าจอและกดคีย์บอร์ดได้ เขาสามารถที่จะกดปุ่มรเี ซต็ เพอ่ื บูตเครื่องข้ึนมาใหม่แลว้ แกไ้ ขรหสั ผ่านของ Linux/Windows และระบบปฏบิ ัตกิ ารอื่น ๆ บนเครือ่ งได้ ดงั น้นั เคร่อื งคอมพวิ เตอรท์ มี่ ี ความสำคัญ เชน่ เคร่อื งคอมพวิ เตอรแ์ มข่ า่ ยและอุปกรณ์ Core Switch, Router และ Firewall ควรทจี่ ะได้รับ การปกป้องไวใ้ นห้องเซิร์ฟเวอร์ท่ีมกี ญุ แจล็อก มรี ะบบควบคุมการเข้าออกของเจา้ หนา้ ท่ีระบบเครือขา่ ย และมี การตดิ ต้ังกล้องวงจรปดิ หนา้ ทางเขา้ หอ้ งเซริ ฟ์ เวอร์ เป็นตน้
รปู ท่ี 8.5 การทีผ่ บู้ ุกรุกสามารถเขา้ ไปจบั ต้องเครื่องคอมพิวเตอร์ไดเ้ ปน็ อันตรายต่อระบบคอมพิวเตอร์และ เครอื ข่าย
(ทมี่ า : //qrgo.page.link/SCjBQ)
(2) การเขา้ ถึงระบบโดยตรงเพื่อการขโมย/แก้ไข/ทำลายข้อมูล และวางประตูกล (Back Door) หากผู้ บุกรกุ เข้าถึงเคร่อื งคอมพิวเตอรแ์ ม่ข่ายโดยตรงและรีเซ็ตรหัสผ่าน จะสามารถแอบคัดลอก (Copy) เพ่ือขโมย ข้อมลู ออกมาและสามารถแก้ไขข้อมูล (เชน่ ตวั เลขเงนิ เดอื น) หากผบู้ กุ รุกประสงค์รา้ ยอาจมกี ารทำลายข้อมลู ได้ นอกจากน้ันหากผบู้ ุกรุกแอบนำโปรแกรมประเภท Backdoor และ Trojan ไปติดตง้ั ไว้บนเครื่องคอมพวิ เตอร์ แม่ขา่ ย จะทำให้เขาสามารถกลับเข้ามาควบคมุ เครอ่ื งคอมพิวเตอรแ์ มข่ ่ายได้ โดยการรีโมตผา่ นทางระบบเนต็ เวิร์กและอนิ เทอรเ์ น็ต
(3) ขโมย/ทำลายอุปกรณ์และเคร่ืองคอมพวิ เตอร์ การเข้าถงึ ทางกายภาพเปน็ ช่องทางใหผ้ ้บู กุ รุก สามารถขโมยอุปกรณ์คอมพิวเตอรห์ รอื ทำลายฮาร์ดแวรใ์ หไ้ ดร้ บั ความเสียหายได้ ตวั อย่างเช่น การวางอุปกรณ์ ดังกลา่ วไว้นอกห้องจะถูกขโมยได้ ดังน้นั อุปกรณเ์ ครือข่ายที่อยภู่ ายนอกหอ้ งเซริ ฟ์ เวอร์ เชน่ Layer2, Switch, Access Point และสายนำสัญญาณ ควรไดร้ ับการจัดวางไว้ในตำแหน่งท่ีปลอดภัย เช่น อยู่ที่สงู ท่ีไมส่ ามารถ เข้าถงึ ไดง้ า่ ย
2. การรักษาความปลอดภยั ของคอมพวิ เตอรแ์ ม่ขา่ ยและลกู ขา่ ย เป้าหมายการโจมตีหลักของผบู้ กุ รกุ ระบบคอมพิวเตอรแ์ ละเครอื ขา่ ยก็คือ คอมพวิ เตอร์แมข่ ่ายและ
คอมพวิ เตอรล์ ูกข่ายท่ีข้อมลู สำคัญ ผู้บุกรุกหรือแฮกเกอรม์ ักจะโจมตดี ว้ ยวิธกี ารต่าง ๆ เช่น เข้าถงึ คอมพวิ เตอร์ แมข่ ่ายท่ีไม่ไดป้ ้องกนั (รหัสผ่านวางเปล่า รหสั ผ่านดฟี อลต์ หรอื ตัง้ รหัสผา่ นง่ายเกนิ ไป) เข้าถึงคอมพิวเตอรแ์ ม่ ข่ายที่มชี อ่ งโหว่ (เช่น ชอ่ งโหวข่ องระบบปฏิบัตกิ าร ช่องโหว่ของ Application ชอ่ งโหวข่ อง Web Application) โจมตีเคร่ืองแม่ข่ายเพ่ือไม่ใหส้ ามารถใชก้ ารไดห้ รือทำใหป้ ระสิทธภิ าพลดลง (DoS : Denial of Service)และ เข้าถงึ คอมพวิ เตอรล์ ูกข่ายเพื่อขโมย/แกไ้ ข/ทำลายข้อมลู ผู้ใชภ้ ายในองค์กร เป็นต้น วธิ กี ารทแี่ ฮกเกอร์ใช้ในการ เข้าถงึ และการป้องกนั มดี ังต่อไปน้ี
(1) การเขา้ ถงึ คอมพิวเตอร์แม่ข่ายท่ีไม่ไดป้ ้องกนั คอมพวิ เตอร์แม่ข่ายทใ่ี ช้รหัสผา่ นวา่ งเปลา่ รหสั ผา่ นดี ฟอลต์ หรือตง้ั รหัสผ่านงา่ ยเกนิ ไป เปน็ ช่องทางที่แฮกเกอร์จะรีโมตผา่ นเนต็ เวริ ์กเขา้ มาควบคมุ ระบบได้ เช่น การตัง้ รหสั ผา่ น wa ของ SQL Server เป็นค่าวา่ งเปลา่ การตั้งรหัสผา่ นของ Windows Server เปน็ คำว่า password แฮกเกอร์ท่ีไม่มีความชำนาญมากนักกส็ ามารถคาดเดารหัสผา่ นได้อยา่ งง่ายดาย และรีโมตเขา้ มา ควบคุมผา่ นทาง Terminal Service หรอื วิธีการอนื่ ๆ ดังน้ัน ผู้ดแู ลคอมพวิ เตอร์แม่ข่ายควรใส่ใจในเรื่องของ การตง้ั รหสั ผ่าน เชน่ ควรต้งั รหัสใหม้ ีความซบั ซ้อนโดยใชต้ ัวอกั ษรผสมกับตัวเลข และอักขระพิเศษ ให้มีความ ยาวพอสมควร
(2) การเข้าถงึ คอมพวิ เตอร์แม่ขายที่มชี อ่ งโหว่ ชอ่ งโหว่ของคอมพวิ เตอรแ์ ม่ขา่ ยมักจะเกิดจากช่องโหว่ ของระบบปฏบิ ตั กิ าร หรือช่องโหวข่ อง Application (โปรแกรมท่รี ันบนเซิร์ฟเวอร์) ช่องโหวข่ อง Web Application แฮกเกอรจ์ ะใช้การโจมตีแบบ Remote Exploit คอื การใชโ้ ปรแกรมชว่ ยในการเจาะระบบ เชน่ โปรแกรม Metasploit หากการโจมตนี ั้นสำเร็จ แฮกเกอร์จะสามารถควบคุมเครอ่ื งคอมพวิ เตอรแ์ ม่ข่าย (โดย
สว่ นมากแล้วแฮกเกอรจ์ ะได้ Shell Command) จากนั้นจะสามารถ ขโมย/แกไ้ ข/ทำลายขอ้ มลู ได้ผ่านทาง Linux Command หรือ Windows Command เช่น FTP, TFTP, SCP หรอื ใช้ Wget เพอ่ื นำ Backdoor มา ตดิ ตง้ั
(3) การโจมตีเครื่องแม่ขา่ ยเพื่อไมใ่ ห้สามารถใช้การได้ หรอื ทำใหป้ ระสิทธิภาพลดลงการโจมตีแบบ DoS (Denial of Service) เปน็ การโจมตเี พ่ือไม่ให้เครอื่ งแมข่ ่ายสามารถให้บริการได้ หรอื อยา่ งน้อยจะทำให้ เครอ่ื งแมข่ ่ายมีประสทิ ธภิ าพลดลง หากแฮกเกอร์ไม่สามารถทำการโจมตี (Exploit) เพ่ือเข้าถงึ เครื่องได้ และไม่ สามารถกระทำการใด ๆ เพื่อให้ได้ประโยชน์จากเครื่องแม่ข่ายได้ ทางเลอื กสดุ ท้ายก็คือ โจมตโี ดยวธิ ี DoS เพอ่ื ให้เครอื่ งแม่ข่ายหยดุ ทำงาน การโจมตีแบบ DoS นสี้ ามารถทำได้หลายวธิ ี ไม่วา่ จะเปน็ การโจมตีด้วย ARP, ICMP, TCP หรือวิธกี ารอื่น ๆ ท่ที ำให้เป้าหมายใช้การไมไ่ ด้
(4) การเขา้ ถงึ คอมพิวเตอร์ลูกข่าย เพ่ือขโมย/แก้ไข/ทำลายขอ้ มูลผใู้ ชภ้ ายในองค์กร ในอดีตการโจมตี มกั จะมงุ่ เน้น ไปท่คี อมพวิ เตอร์แม่ข่าย แต่ปัจจบุ นั แฮกเกอร์หนั มาสนใจการโจมตี Client มากข้นึ ซ่ึงอาจจะมี สาเหตุมาจาก Windows XP/Vista ใช้เทคโนโลยีเดียวกบั Windows Server 2003/2008 เคร่ืองมือแฮกทีใ่ ช้ งานไดก้ ับWindows Server จงึ สามารถใช้งานไดก้ ับ Windows Client และเน่อื งจากเคร่อื งมือแฮกสามารถหา ได้งา่ ยและใช้งานงา่ ย ผูใ้ ชท้ ่ัวไปท่ีไม่มคี วามรู้ความสามารถดาวนโ์ หลดมาใชใ้ นการโจมตีคอมพวิ เตอรข์ องผู้อน่ื ได้ (การโจมตี Client ที่อยภู่ ายในเนต็ เวริ ก์ เดียวกัน) เพอ่ื ขโมยขอ้ มลู หรือเพ่ือโจมตีแบบ DoS ใหค้ อมพวิ เตอร์ อน่ื ใชง้ านไม่ได้ เชน่ การใชโ้ ปรแกรม NetCut ท่ีสามารถตดั การส่อื สารของคอมพวิ เตอรอ์ ืน่ ๆ ภายในระบบ LAN เดยี วกัน ทำให้เครื่องที่ถูกโจมตีไมส่ ามารถใช้อนิ เทอร์เน็ตได้
3. การรกั ษาความปลอดภยั ของอปุ กรณเ์ ครอื ขา่ ยและระบบเครอื ขา่ ย หลังจากท่ีรฐั บาลไดอ้ อกกฎเพอ่ื ควบคุมการบันทกึ การใช้งานระบบเครือข่าย ซึ่งก่อนการเขา้ ใชง้ านระบบ เครือข่ายจะต้องพสิ ูจนท์ ราบตัวตน (Authentication) ด้วยนัน้ รูปแบบการโจมตรี ะบบเครือขา่ ยภายในกเ็ ร่ิมท่ี จะพบเห็นไดบ้ ่อยขึ้น นั่นคือ การแฮกเพื่อเขา้ ใช้งานเครอื ข่ายโดยไม่ต้องผา่ น Authentication เชน่ การโกงโดย ที่แฮกเกอรป์ ลอมแปลงคา่ MAC Address ท่ีระบบอนุญาต เป็นต้น ดงั นัน้ จึงควรมีการป้องกนั การลักลอบเข้าถึง ระบบเครือข่าย และปอ้ งกันการลกั ลอบใช้งานระบบเครือข่ายอินเทอรเ์ น็ต นอกจากน้นั การโจมตจี ากภายนอก กย็ ังมใี ห้เห็นอยู่ เชน่ การเขา้ ถงึ อปุ กรณ์เครอื ข่ายจากระยะใกล้ ซึง่ ท้งั หมดนจ้ี ำเป็นต้องวางแผนรบั มือการโจมตี รปู แบบต่าง ๆ และใช้มาตรการป้องกันด้วยวิธี ดงั นี้
(1) ป้องกนั การโจมตีดว้ ยวิธกี ารปลอม MAC Address (2) ป้องกันการโจมตีแบบ ARP Spoofing/Poisoning (3) ป้องกนั การโจมตโี ดยใช้ Rogue DHCP (4) เพิ่มความปลอดภยั ให้กบั ระบบ LAN, Wireless LAN (5) ทำการ Hardening ระบบปฏบิ ตั ิการ (Firmware) และคอนฟิกกูเรชัน่ ของอปุ กรณ์เครอื ข่าย
4. การรกั ษาความปลอดภยั ของขอ้ มลู
ขอ้ มูลหลักท่เี ราต้องป้องกนั คือ ขอ้ มูลขององค์กร เชน่ ขอ้ มลู รายละเอียดการสง่ั ซื้อสนิ ค้าขอ้ มลู รายรับ
รายจ่ายของบริษทั ขอ้ มลู เงินเดือนพนักงาน ข้อมลู รหัสผ่านของเจ้าหน้าท่รี ะบบเครือขา่ ย เปน็ ตน้ ซึ่งข้อมลู
เหลา่ นี้จะอยู่ใน Database Server หรืออยใู่ นเครื่องแม่ข่ายยอน่ื ๆ การป้องกันและรักษาความปลอดภัยของ
ข้อมูลจะมคี วามเก่ียวข้องกับการรกั ษาความปลอดภัยของเครื่องแม่ขา่ ยและระบบเครือขา่ ย นอกจากข้อมูลที่
สำคัญเหล่านแ้ี ล้ว หากแฮกเกอร์ได้ข้อมลู อืน่ ทดี่ ูแล้วไม่ค่อยมีความสำคญั แต่แฮกเกอรส์ ามารถนำข้อมูลดังกลา่ ว
ไปใชเ้ พ่ิมประสทิ ธิภาพในการโจมต/ี ควบคุมระบบให้สง่ ผลมากขึ้นได้ ข้อมลู นคี้ วรถกู ปกป้องไวเ้ ชน่ กัน
ตวั อยา่ งเช่น ข้อมูลแผนภาพของระบบเครือข่าย รนุ่ ยี่ห้อของอปุ กรณแ์ ตล่ ะตวั ข้อมลู ช่ือ/นามสกุล วัน/เดือน/ปี
เกิดของพนักงานและของเจ้าหนา้ ท่ีระบบเครือข่าย เป็นต้น
การควบคุมการเข้าถงึ ขอ้ มลู สำคญั จากระยะไกลต้องมกี ารประเมนิ ความเส่ียง หาชอ่ งโหวแ่ ละอดุ ช่อง
โหว่ที่พบ เช่น ป้องกันการขา้ มผ่านการตรวจสอบสิทธ์แิ บบ SQL Injection ซงึ่ สามารถทจ่ี ะล้วงเอาขอ้ มูล ใน
Database ได้ ปอ้ งกันการโจมตีแบบ XSS ทสี่ ามารถขโมย Cookie/Session ID ของ Webmasterแลว้ เข้าสู่
เว็บไซตด์ ว้ ยสิทธ์ขิ อง Webmaster มกั จะจดั การข้อมลู ใน Database ผา่ นทางเว็บ
นอกจากการปกป้องข้อมลู ขององค์กรแล้ว จำเปน็ ตอ้ งมีการปกป้องข้อมลู ลูกค้า เช่น ข้อมูลเกยี่ วกับ
บัตรเครดติ ของลกู คา้ ที่อยู่ใน Database ของเว็บไซต์ E–commerce ต่าง ๆ
องคป์ ระกอบพน้ื ฐานความปลอดภยั ของขอ้ มลู
องค์ประกอบพืน้ ฐานความปลอดภยั ของข้อมูลหลัก ๆ มีอยู่ 3 อยา่ ง ซงึ่ ใชต้ วั ย่อ CIA
มาจากคำว่าConfidentiality, Integrity และ Availability
ความปลอดภยั ของขอ้ มลู (Confidentiality)
การรักษาความลับของข้อมูล หมายถงึ การปกป้องข้อมูลโดยมีเง่อื นไขวา่ ข้อมลู นน้ั ใครมีสิทธท์ิ ีจ่ ะลว่ งรู้
เข้าถงึ ใชง้ านได้ และการทำให้ข้อมลู สามารถเขา้ ถงึ หรือเปิดเผยได้เฉพาะผู้ท่ไี ด้รบั อนุญาตเทา่ นน้ั สอดคล้องกับ
ประโยคคำถามทว่ี ่า “ใครทไี่ ด้รับอนุญาตให้ใช้ข้อมลู น้ัน” (Who is Authorized to use Data?) ตัวอยา่ งเช่น
ขอ้ มลู อเี มลในเมลบอ็ กซ์ของผู้ใช้ ผู้ที่มีสิทธ์ิเข้าถึงเมลบ็อกซ์จะเปดิ อ่านจดหมายได้ จะต้องเป็นเจ้าของเมลบ็อก
นั้น เช่น เมลบ็อกของบญั ชีอีเมล Warapron_toy2511.ac.th ทเ่ี จ้าของคือ วราภรณ์ นนั้ ตอ้ งมีแค่วราภรณ์
เพยี งคนเดยี วเทา่ นนั้ ท่ีเขา้ ถึงและเปิดอา่ นจดหมายในเมลบ็อกซ์นีไ้ ด้ผใู้ ชค้ นอืน่ เชน่ Wararee_toy2511.ac.th,
Wararuk_toy2511.ac.th ไมส่ ามารถเข้าถงึ เมลบ็อกซ์ และเปิดอา่ นจดหมายของวราภรณ์ได้การรักษาความคง
สภาพของขอ้ มลู สามารถทำได้หลายวธิ ี เชน่ การใช้ Checksum ตัวอยา่ งเชน่ ตรวจสอบไฟสท์ ดี่ าวน์โหลดจาก
เว็บไซตว์ ่าตรงกับตน้ ฉบบั หรือไม่ สามารถทำได้โดยตรวจสอบจากค่า Checksum(เชน่ การใช้ MD5) สว่ นการ
ตรวจสอบการปลอมแปลงไฟลบ์ น Linux สามารถตรวจสอบ Checksum ไดโ้ ดยใช้โปรแกรม Tripwire เปน็ ต้น
ซง่ึ ทงั้ หมดนเ้ี ป็นการประยกุ ต์ใช้การเข้ารหัสขอ้ มูล (Cryptography & Encryption)
ความพรอ้ มใชง้ านของขอ้ มลู (Availability) ความพร้อมใชง้ านของข้อมูล หมายถึง ข้อมลู จะตอ้ งมีสภาพพร้อมใชง้ านของขอ้ มูล สอดคล้องกับ
ประโยคคำถามทีว่ ่า “สามารถเข้าถึงและใชง้ านข้อมูลได้เมอื่ ต้องการหรือไม”่ (Can access data wheneverneed it?) ตัวอยา่ งเชน่ เมลเซริ ์ฟเวอร์ mail.msu.ac.th ท่ีถกู โจมตเี พื่อใหเ้ กิดการปฏเิ สธการ ให้บรกิ าร (DoSAttack Denial of Service Attack) เมื่อเมลเซริ ์ฟเวอรน์ ้ีลม่ และไม่สามารถให้บรกิ ารผู้ใช้ได้ เชน่ Wararee_toy2511.ac.th, Wararuk_toy2511.ac.th กไ็ มส่ ามารถทจ่ี ะเขา้ ไปเช็กเมลน้ไี ด้ต้องรอจนกวา่ ผู้ดแู ลระบบจะแก้ไขเพอ่ื ใหร้ ะบบสามารถกลบั มาใช้งานได้เหมือนเดิม แต่ถา้ หากระบบเมลเซิรฟ์ เวอรต์ ัวหลกั ไม่ สามารถให้บรกิ ารได้ผใู้ ช้ก็จะสามารถเขา้ ถึงข้อมูลในเมลบ็อกซเ์ พ่ือเปิดอ่านอีเมลไดต้ ลอด
การปอ้ งกันเพอ่ื ให้เกิดความพรอ้ มใชง้ านของข้อมลู มักจะต้องคำนึงถงึ เกยี่ วกบั Load Balancing, Fail Over, Back Up, ระบบไฟฟ้าสำรอง, การ Hardening เพื่อทำใหเ้ ครื่องแมข่ ่ายและระบบเครือข่ายมคี วาม แข็งแกร่งและมีความทนทานต่อการโจมตีแบบ DoS องคป์ ระกอบเพ่มิ เติม
โดยองค์ประกอบทเี่ พิม่ เข้ามา ได้แก่ Authentication, Authorization และ Nonrepudiation ซึ่งมี รายละเอยี ด ดงั น้ี
Authentication คอื การพิสจู น์ทราบตัวตน เนอื่ งจากการระบุตวั บคุ คลนนั้ จะต้องใช้กระบวนการ พิสจู นท์ ราบตัวตนเพ่ือให้ทราบวา่ เป็นบุคคลผนู้ ัน้ จรงิ หรอื ไม่ ตวั อย่างเช่น การล็อกอินเข้าสู่เว็บไซตร์ ะบบสมาชิก ซ่ึงจะต้องใช้ Username และ Password เพ่ือเป็นการพสิ จู น์ทราบวา่ เปน็ ผ้ใู ช้คนนนั้ จริง ๆ และการพสิ จู น์ ทราบตัวตนกม็ ีอยูห่ ลายวิธี เช่นการใชส้ ่งิ ตอ่ ไปนี้
(1) ส่ิงท่ีคุณรู้ เช่น การใช้ Username และ Password (2) สิง่ ทีค่ ุณมี เชน่ การใชบ้ ัตรประจำตวั (3) สิง่ ที่คุณเปน็ เช่น การสแกนลายนิว้ มือก่อนผา่ นเข้าห้องเซริ ฟ์ เวอร์ อย่างไรกต็ ามอาจมีการผสมผสานการใช้งานได้มากกว่าหนงึ่ อยา่ งเพอ่ื ใหก้ ารพิสจู นท์ ราบตัวตนมี ประสทิ ธภิ าพมากข้นึ เช่น การกดเงินจากตู้ ATM ท่ีจะต้องใช้ “สงิ่ ทค่ี ณุ มี” คือต้องมีบัตร ATM และยงั ต้องใช้ “สง่ิ ที่คณุ รู้” นน่ั คือต้องทราบรหสั PIN ด้วย จงึ จะสามารถกดเงินออกมาได้ เป็นตน้ Authorization คือ การอนุญาตใหเ้ ข้าใช้งานและระดบั สิทธใ์ิ นการเขา้ ถงึ กล่าวคือหลังจากท่ีไดม้ กี าร พสิ จู น์ทราบตัวตนแลว้ เม่ือระบบได้ตรวจสอบทราบว่าผู้ใช้น้ีมีอยู่จรงิ กจ็ ะมีการให้สทิ ธ์แิ ก่ผู้ใช้นัน้ ซง่ึ การให้สทิ ธ์ิ สามารถแบ่งเป็นหลายระดับได้ ตวั อย่างเชน่ ผ้ใู ช้ที่ล็อกอินเขา้ สเู่ วบ็ ไซต์ หากเปน็ ผ้ใู ชร้ ะดับสูง เชน่ Admin สามารถเปล่ียนแปลง/แกไ้ ขข้อมลู ได้ทงั้ หมด หากเป็นผูใ้ ช้ท่ีเปน็ สมาชิกทว่ั ไปอาจจะแก้ไขขอ้ มลู ได้บางส่วน เชน่ สามารถต้ังกระทู้ในเวบ็ บอร์ดได้ และแก้ไขกระทู้ทตี่ นเองตง้ั ได้ สว่ นผใู้ ชข้ าจรหรอื Guest สามารถอา่ นขอ้ มูลได้ แตไ่ ม่สามารถเขียนข้อความในเวบ็ บอร์ดได้ เปน็ ต้น
Non–repudiation คือ การหา้ มปฏิเสธความรับผิดชอบ หมายถึง วิธกี ารส่ือสารซ่ึงผสู้ ่งข้อมลู ได้รับหลกั ฐานวา่ ได้มกี ารส่งข้อมูลแลว้ และผรู้ ับกไ็ ด้รบั การยืนยนั วา่ ผู้ส่งเปน็ ใคร ดังนั้นทั้งผู้ส่งและผูร้ ับจะไม่สามารถปฏเิ สธไดว้ า่ ไม่มีความเกยี่ วข้องกบั ข้อมูลดังกลา่ วในภายหลัง ตวั อยา่ งเชน่ สมาชิกในเว็บบอร์ดที่มีการโพสต์ข้อความวา่ รา้ ย ผู้อนื่ ระบบ (เวบ็ บอร์ด) จะต้องมีการบันทึกและแสดงชือ่ ผู้ใช้ (ซ่ึงได้จากการพสิ จู น์ทราบตัวตนในขนั้ ตอน ล็อกอนิ ) พร้อมกบั ข้อความทโี่ พสต์เพื่อใชย้ ืนยนั ว่าข้อความดังกลา่ วถูกโพสตโ์ ดยบคุ คลผนู้ ้นั เพ่อื ทำให้บุคคลผู้ นั้นไม่สามารถปฏเิ สธความรบั ผิดชอบได้ และตัวอยา่ งเก่ียวกบั การสงั่ ซ้ือสินคา้ ท่ผี ู้สง่ั ซ้ือไม่สามารถทจ่ี ะปฏิเสธ ไดว้ า่ ตนเองไม่ไดส้ ่งั ซ้ือ ทั้งท่ีตนเองได้สง่ั ซื้อสนิ คา้ และได้ยืนยันการสง่ั ซ้อื ไปแลว้ ในระบบ e–commerce ที่ จะต้องสร้างความมั่นใจในการทำธรุ กรรมอิเล็กทรอนิกสแ์ กล่ กู คา้ และค่คู ้าก็นำองค์ประกอบข้างตนมาใช้เช่นกนั แตจ่ ะมีการเลือกมาใชเ้ พยี งบางองค์ประกอบเทา่ นัน้ เช่น
(1) ความลับของข้อมูล/การรักษาความลับ (Confidentiality) (2) การะบุตัวบคุ คล/การพิสจู น์ตัวตน (Authentication) (3) ความแทจ้ ริง/ความคงสภาพของข้อมลู (Integrity) (4) การห้ามปฏิเสธความรับผิด (Non–repudiation) 8.3.3 สภาพแวดลอ้ มของความปลอดภยั การปอ้ งกนั ระบบให้ปลอดภัยท่ามกลางสภาพแวดลอ้ มทีส่ ามารถก่อให้เกิดความเสียหายไดน้ ั้นผ้ดู แู ล ระบบจะรู้และเขา้ ใจสภาพแวดลอ้ มทสี่ ำคญั ท่ที ำใหร้ ะบบเกิดความเสยี หายไดน้ ั้นมอี ะไรบ้าง ตวั อย่างเชน่ ภยั คุกคามจากนักเจาะระบบ (Hacker) การคุกคามโดย Virus, Worm และภัยจากปรากฏการณท์ างธรรมชาติเปน็ ตน้ 1. ภยั คกุ คาม (Threat) ระบบคอมพวิ เตอรแ์ ละเครือข่ายอาจถูกคุกคามจากสิ่งต่อไปน้ี (1) ถูกคุกคามโดยนกั เจาะระบบ (Hacker) นกั เจาะระบบจะอาศัยจุดอ่อนของระบบ (Vulnerability) เพือ่ ท่จี ะเข้าถึงระบบดว้ ยสิทธ์ิของผใู้ ชห้ รอื สิทธ์ิของผดู้ ูแลระบบ เม่อื เข้าส่รู ะบบไดแ้ ล้วเป้าหมายของนักเจาะ ระบบมกั จะเปน็ ข้อมูลสำคญั ซงึ่ ขอ้ มูลสามารถทจ่ี ะถกู ขโมย ถูกเปล่ยี นแปลง หรอื ถกู ทำลายไดห้ ากระบบใดมี ชอ่ งโหว่หรือมีจุดอ่อน ระบบน้ันจะถือว่ามคี วามเสยี่ ง (Risk) ต่อการโจมตี ปจั จุบันมีเครอ่ื งมือแฮก (Hack Tools) ต่าง ๆ ออกมามากมาย แฮกเกอร์ไมจ่ ำเป็นต้องมีความร้มู ากนักก็สามารถโจมตีระบบได้ (2) ถกู คกุ คามโดย Virus, Worm เน่อื งจาก Virus และ Worm สามารถแพร่กระจายมายังระบบ คอมพวิ เตอร์ได้ไมว่ ่าจะโดยความไมร่ อบคอบของผใู้ ช้ที่ไม่ติดตัง้ Anti–Virus หรอื การแพรก่ ระจายตวั เองของ Worm ท่ีมักจะเข้ามาโดยใช้จุดอ่อนของระบบปฏิบัติการที่ไมไ่ ดอ้ ัปเดต Patch หลงั จากระบบตดิ Virus หรอื Worm ความเสียหายที่เกิดขึ้นนั้นจะขน้ึ อยู่กับความร้ายแรงของ Virus หรือ Worm นน้ั ๆ ซงึ่ โดยท่ัวไปจะเปน็ การเปลย่ี นแปลงหรอื ทำลายข้อมลู รวมทัง้ การทำให้ระบบทำงานไดช้ า้ ลงหรอื หยดุ ใหบ้ รกิ าร
(3) ภัยคุกคามโดยพวกอยากทดลอง เชน่ ผใู้ ชใ้ นองค์กรเองหรือผใู้ ชบ้ นอินเทอรเ์ น็ต เพอื่ ทดลองใช้
เคร่อื งมอื โจมตตี า่ ง ๆ เช่น Remote Exploit วา่ จะได้ผลอยา่ งไร โดยผ้โู จมตอี าจจะเปน็ ผูท้ ี่ไมค่ ่อยมีความรู้
ทางด้านคอมพวิ เตอร์มากนัก การโจมตีโดยการทดลองดงั กล่าวทำใหร้ ะบบหยดุ ใหบ้ รกิ ารหรือทำให้
ประสทิ ธภิ าพของการใหบ้ ริการลดลง ขอ้ มลู ภายในระบบอาจไดร้ ับความเสยี หาย โดยที่ผทู้ ดลองอาจไม่รู้ตวั ว่า
ทำสำเรจ็ หรือไม่
(4) ถูกคุกคามโดยผกู้ อ่ การร้าย เชน่ การถล่มอาคารหรอื เผาอาคาร ส่งผลให้ระบบคอมพวิ เตอรแ์ ละ
ขอ้ มูลไดร้ ับความเสียหายทไ่ี ม่อาจกู้คืนได้อยา่ งไรก็ตามหากมรี ะบบ Backup ขอ้ มูลท่ดี ี เช่น DR Site (Disaster
Recovery Site) โดยสำรองข้อมลู ไว้ในอีกสถานทห่ี นึ่งอย่หา่ งออกไปจากรัศมีของการทำลายล้าง และสำรอง
ขอ้ มูลไวท้ ุก ๆ ช่วงเวลาอย่างสม่าํ เสมอ ก็สามารถก้คู ืน (Recovery) ขอ้ มูลทถ่ี ูกทำลายจากการโจมตีโดย
ผ้กู อ่ การรา้ ยได้
รปู ท่ี 8.6 DR Site 2. เหตสุ ดุ วสิ ยั (Accidental)
นอกจากภยั คุกคามที่เกดิ จากผบู้ ุกรุกแล้ว ระบบคอมพิวเตอร์และเครอื ข่ายอาจจะเกิดความเสยี หาย ดว้ ยสาเหตุอน่ื ได้อีก อย่างเชน่ ปรากฏการณท์ างธรรมชาติ ฮารด์ แวร์หรอื ซอฟต์แวร์ชำรดุ /ทำงานผดิ พลาดและ ความผิดพลาดของผู้ควบคมุ ระบบ
3. ปรากฏการณท์ างธรรมชาติ หลายคนเขา้ ใจว่าระบบคอมพิวเตอร์และข้อมลู จะเสียหายได้ดว้ ยฝมี อื ของแฮกเกอร์เท่าน้ันแตค่ วาม
จรงิ แล้วน้ําทว่ ม ฟา้ ผ่า และภัยธรรมชาติอนื่ ๆ ก็เป็นอกี สาเหตหุ น่งึ ที่ทำให้ระบบคอมพิวเตอร์ และขอ้ มูลไดร้ ับ ความเสียหายได้ การป้องกันภัยธรรมชาติมักจะต้องคำนึงถึงด้านกายภาพ (Physical) เป็นหลัก เช่นการ ออกแบบระบบเครือข่ายให้ห้องเซิร์ฟเวอรอ์ ยู่ชั้นล่างสุด จะทำใหเ้ กิดความเสยี หายต่อภยั นํ้าทว่ มได้ หรือการใช้ สายUTP/STP/Coaxial เพื่อเปน็ สอ่ื ในการเช่อื มโยงขอ้ มูลระหว่างอาคารนัน้ หากฟ้าผ่าลงบนสายเหล่านนั้ กระแสไฟฟ้าสามารถทจ่ี ะวง่ิ มายงั ปลายของสายที่ต่อเช่ือมอยู่กบั Core Switch ราคาแพง ทำให้อปุ กรณ์ได้รบั
ความเสียหายไดเ้ ชน่ กัน ดังนนั้ การป้องกันภัยจากปรากฏการณท์ างธรรมชาติก็เป็นอีกส่งิ หน่ึงที่เราควรจะให้ ความสำคญั และควรวางมาตรการป้องกันตั้งแตต่ อนการออกแบบ
4. ความผดิ พลาดของผคู้ วบคมุ ระบบ ผดู้ ูแลระบบทีข่ าดประสบการณอ์ าจทำใหข้ ้อมูลเสียหายไดโ้ ดยไม่ตั้งใจ เช่น การจัดการกับฮาร์ดดสิ ก์ใน
ระดบั Low–level การแบ่งพาร์ติชนั หรือการฟอร์แมตพารต์ ิชนั อาจส่งผลใหข้ อ้ มูลในสว่ นอื่นถูกทำลายหรือ ถกู ลบได้ ดังนนั้ หากต้องใช้คำสัง่ ทีม่ คี วามเส่ยี งต่อข้อมูลหรือต้องทำงานในระดับฮารด์ แวร์ เชน่ เพิ่มฮาร์ดดสิ ก์ หรอื เปลย่ี นฮารด์ ดสิ ก์ก็ควรท่จี ะต้องใชผ้ ู้ท่ีมปี ระสบการณ์และควรดำเนนิ การด้วยความระมดั ระวงั อย่างไรก็ ตาม การมีระบบ Backup ข้อมลู ทด่ี กี ็ชว่ ยได้ค่อนข้างมากหากเกดิ เหตสุ ุดวสิ ยั
5. มาตรฐานความปลอดภยั วธิ กี ารทีจ่ ะทำใหร้ ะบบคอมพิวเตอรแ์ ละเครือข่ายมีความปลอดภัยนนั้ จะต้องมีกระบวนการในการ
ดำเนนิ การดา้ นความปลอดภัย ซึ่งกระบวนการต่าง ๆ ไดก้ ำหนดไวเ้ ป็นมาตรฐานซึ่งมีอยู่หลายมาตรฐานด้วยกนั บางมาตรฐานถูกดดั แปลงมาจากความปลอดภัยทว่ั ๆ ไป บางมาตรฐานถกู ดัดแปลงมาจากมาตรฐานการดำเนนิ ธุรกิจ อย่างไรก็ตามผปู้ ฏิบตั สิ ามารถทีจ่ ะเลือกมาตรฐานทีเ่ หมาะกับหนว่ ยงานของตน และเพ่มิ เตมิ ในบางสว่ น หรอื ยกเว้นการปฏิบตั ใิ นบางส่วนไดห้ ากมเี หตุผลเพียงพอ มาตรฐานที่มกั จะถูกนำมาใชเ้ พื่อยกระดับความ ปลอดภยั ใหก้ บั ระบบคอมพิวเตอร์และเครือขา่ ยมากทีส่ ดุ คอื ISO/IEC27001
ISO/IEC27001 มาตรฐาน ISO/IEC27001 ปจั จุบนั เป็นเวอร์ชนั ISO/IEC27001:2005 หรือเรียกวา่ ISMS
(Information Security Management System) เป็นมาตรฐานการจดั การขอ้ มูลทมี่ ีไว้เพือ่ ใหธ้ ุรกจิ ดำเนินไป อยา่ งต่อเนือ่ ง ข้อกำหนดต่าง ๆ ถกู กำหนดขึน้ โดยองค์กรท่มี คี วามนา่ เชื่อถือคือ ISO (The International Organization for Standardization) และ IEC (The International Electrotechnical Commission) การ นำ ISMS มาใชส้ ามารถชว่ ยใหก้ จิ กรรมทางธรุ กิจดำเนนิ ไปอย่างต่อเน่อื งไมส่ ะดุด ช่วยปอ้ งกนั กระบวนการทาง ธรุ กจิ จากภัยร้ายแรง เช่น ภยั ธรรมชาติ และปอ้ งกนั ความเสียหายของระบบข้อมูลได้ ISMS สามารถนำมาใช้ได้ ครอบคลุมทกุ กลมุ่ อตุ สาหกรรมทุกกล่มุ ธุรกิจ หวั ข้อสำคัญในมาตรฐาน ISO/IEC27001:2005 ประกอบดว้ ย 11 โดเมนหลกั ไดแ้ ก่
(1) นโยบายความมน่ั คงขององคก์ ร (Security Policy) (2) โครงสร้างความม่นั คงปลอดภัยในองค์กร (Organization of Information Security) (3) การจัดหมวดหมู่และการควบคมุ ทรัพยส์ นิ ขององคก์ ร (Asset Management) (4) มาตรฐานของบุคลากรเพื่อสร้างความมน่ั คงปลอดภัยให้กับองค์กร (Human Resources) (5) ความมน่ั คงทางด้านกายภาพและสงิ่ แวดลอ้ มขององค์กร (Human Resources Security)
(6) การบรหิ ารจัดการด้านการสอ่ื สารและการดำเนนิ งานของระบบสารสนเทศขององค์กร (Communications and Operations Management) (7) การควบคุมการถงึ ระบบสารสนเทศขององค์กร (Access Control)
(8) การพัฒนาและการดแู ลระบบสารสนเทศ (Information Systems Acquisition, Development and Maintenance)
(9) การบริหารจดั การเหตกุ ารณล์ ะเมิดความมั่นคงปลอดภัย (Information Security Incident Management)
(10) การบรหิ ารความต่อเน่ืองในการดำเนนิ งานขององค์กร (Business Continuity Management) (11) การปฏิบัติตามข้อกำหนดทางด้านกฎหมายและบทลงโทษของการละเมิดนโยบาย (Compliance) ISO/IEC TR 13335 มาตรฐานนยี้ อ่ มาจาก Guidelines for the Management of IT Security ซงึ่ ถกู อา้ งองิ โดย ISO/IEC2007 ในเรอื่ งของการจดั ทำ Technical Report เพือ่ ระบุภัยคุกคาม จดุ อ่อน และช่องโหว่ของระบบ รวมทง้ั แนวทางของการประเมินความเสย่ี งสามารถระบุแนวทางการลดความเส่ยี งนน้ั ได้ มาตรฐานนแี้ บง่ เป็น 5 หัวขอ้ หลกั ดังต่อไปน้ี (1) การบรหิ ารจดั การหน้าทง่ี านตา่ ง ๆ ของความปลอดภัยระบบเทคโนโลยสี ารสนเทศที่ได้รับการวาง โครงรา่ งไว้ การจัดหาแนวคดิ ดา้ นความม่ันคงปลอดภัยใหเ้ ป็นไปตามโครงร่างและรูปแบบเทคโนโลยสี ารสนเทศ ท่ีใชใ้ นการสื่อสาร (2) การนำไปปฏิบัติและบรหิ ารจัดการดา้ นความมั่นคงปลอดภยั ตอ้ งทำด้วยวธิ กี ารท่ีเหมาะสมทีส่ ุด (3) เทคนคิ สำหรับการบริหารจดั การดา้ นความปลอดภยั ต้องไดร้ บั การจดั หาใหจ้ ากผู้จดั ทำระบบ เทคโนโลยสี ารสนเทศ (4) ให้แนวทางการปฏิบตั ิสำหรบั การเลือกวิธกี ารรักษามน่ั คงปลอดภยั โดยพิจารณาจากประเภทของ ระบบและคำนงึ ถงึ ภยั คกุ คามที่จะเกิดขึน้ ในอนาคต (5) ข้อมลู ที่อยบู่ นระบบสารสนเทศหากมีการส่งผา่ นทางระบบเครือข่ายจะต้องมีความม่ันคงปลอดภัย ในการจัดสง่ รวมท้ังระบบเครอื ข่ายต้องมีความม่ันคงปลอดภยั ดว้ ย ISO/IEC 15408 : 2005/Common Criteria/ITSEC มาตรฐานนี้จดั ทำข้ึนเพื่อใชเ้ ป็นเกณฑ์กลางในการวัดระดบั ความปลอดภยั ว่าอยู่ในระดบั ใดโดย มาตรฐานเกดิ จากความรว่ มมือขององค์กรตา่ ง ๆ ซ่งึ สว่ นใหญ่แลว้ เปน็ ประเทศในกลุ่มยุโรป ได้แก่ องค์กร Communication Security Establishment จากประเทศแคนาดา องค์กร Central Service of the
Information จากประเทศฝรั่งเศส องค์กร Federal Office for Security in Information Technology จาก ประเทศเยอรมนี องคก์ ร The Netherlands National Communications Security Agency จากประเทศ เนเธอรแ์ ลนด์ องค์กร Communications–Electronics Security Group จากประเทศสหราชอาณาจกั ร และ องค์กร National Institute of Standards and Technology and National Security Agency จากประเทศ สหรัฐอเมริกา
ITIL ITIL ย่อมาจาก Information Technology Infrastructure Library เป็นแนวทางปฏิบัติเรอื่ งเกยี่ วกบั โครงสร้างพืน้ ฐานเทคโนโลยสี ารสนเทศ ได้รับการจัดทำเผยแพรโ่ ดยหน่วยงานรัฐบาล CCTA ซงึ่ ขณะนี้ กลายเปน็ องค์กร OGC แตก่ ็มิได้ประกาศบังคับว่าทุกองคก์ รท่เี กีย่ วข้องจะต้องปฏบิ ตั ติ าม ITIL ITIL ได้ชื่อว่าเป็นแนวทางปฏิบตั ิที่ดีเยีย่ มในการบรหิ ารจดั การด้าน IT Service แก่ผู้บริโภคแนวทาง ปฏบิ ตั ินีเ้ หมาะกับองค์กรไม่ว่าจะขนาดเล็กหรอื ใหญ่ โดยเฉพาะอย่างยงิ่ องค์กรท่เี น้นเร่ืองของการบริการดา้ น IT Service เน้ือหาใน ITIL แบง่ ออกเปน็ 8 เรื่อง ดังนี้ (1) การบรหิ ารจดั การซอฟต์แวร์และทรพั ย์สินขององค์กร (Software and Asset Management) (2) การสง่ มอบผลิตภัณฑห์ รือบริการที่ได้มาตรฐาน (Service Delivery) (3) คุณภาพของการบริการหลังส่งมอบ (Service Support) (4) การวางแผนสำหรบั การบริหารจดั การการให้บริการ (Planning to Implement Service Management) (5) การบริหารจดั การโครงสร้างพืน้ ฐานด้านไอซีที (ICT Infrastructure Management)
(6) การบรหิ ารจดั การแอปพลิเคชนั (Application Management) (7) การบริหารจัดการด้านความมั่นคงปลอดภัย (Security Management) (8) มุมมองทางธุรกิจ (Business Perspective, Volume II) FIPS PUB 200 มาตรฐานน้ยี ่อมาจาก The Federal Information Processing Standards Publication 200 กล่าวถงึ เร่ืองของข้อกำหนดข้ันตํ่าสำหรบั ความต้องการดา้ นความปลอดภยั ซ่งึ เปน็ ภาคบังคบั ขององค์กรบริหาร จดั การสารสนเทศและระบบสารสนเทศกลางของประเทศสหรฐั อเมรกิ า ทุกองค์กรท่ีเปน็ หนว่ ยงานภาครฐั จะต้องปฏบิ ัติตามข้อกำหนดด้านความม่นั คงปลอดภยั น้เี ปน็ อย่างน้อย โดยมาตรฐานน้ีจะมกี ารระบปุ ระเภท ของระบบสารสนเทศตา่ ง ๆ และวิธปี ฏบิ ัตทิ ีจ่ ำเป็นสำหรับควบคุม เพ่อื ใหเ้ กดิ ความม่นั คงปลอดภยั ของ สารสนเทศในระบบน้นั ๆ FIPS PUB 200 เปน็ มาตรฐานท่ีไดร้ บั การพมิ พ์เผยแพร่จากองค์กรกลาง FIPS ในประเทศสหรฐั อเมริกา เนื้อหาโดยสรุปของมาตรฐานน้ี ได้แก่ การระบขุ ้อกำหนดขน้ั ตํ่าของระบบประมวลผลสารสนเทศขององคก์ ร
กลางในประเทศสหรัฐอเมรกิ า การจดั ทำข้อกำหนดนเ้ี พ่ือสนบั สนุนการพัฒนา การลงมอื ปฏบิ ัติการดำเนินการ เพ่อื สร้างความมนั่ คงปลอดภัยระบบสารสนเทศ โดยหน่วยงานสามารถคัดเลือกเฉพาะสว่ นท่เี ก่ียวข้องกับ องค์กรของตนมาปฏบิ ตั ิตามมาตรฐานนี้ จึงได้มีการจัดทำแนวทางในการคัดเลอื กและกำหนดมาตรการดา้ น ความปลอดภัยทจี่ ำเปน็ และเหมาะสมกบั ระบบประมวลผลสารสนเทศของแต่ละหนว่ ยงาน
NIST 800–14 NIST 800–14 ยอ่ มาจาก National Institute of Standards and Technology 800–14เปน็ มาตรฐานท่ไี ด้รบั การพิมพเ์ ผยแพรจ่ ากสถาบันมาตรฐานเทคโนโลยีสารสนเทศแหง่ ชาตขิ องสหรฐั อเมริกาโดยใช้ ชือ่ หนงั สอื ว่า Generally Accepted Principles and Practices for Security Information Technology Systems มาตรฐานนีไ้ ดร้ ับการจัดทำและเผยแพร่ข้นึ เพ่ือเสรมิ สรา้ งความม่ันคงปลอดภัยให้แกร่ ะบบเทคโนโลยี สารสนเทศขององค์กรหรือหน่วยงานตา่ ง ๆ ในประเทศสหรฐั อเมรกิ าให้มากทสี่ ดุ เพื่อป้องกันภัยคุกคามด้าน อาชญากรรมคอมพิวเตอร์ และการละเมดิ ความมั่นคงปลอดภัยข้อมูลสารสนเทศ โดยเฉพาะอยา่ งยง่ิ สารสนเทศ บนระบบโครงสรา้ งพ้ืนฐานของประเทศ โดยเนอ้ื หาของ NIST 800–14 เป็นกฎพนื้ ฐานดา้ น Computer Security จำนวน 8 ขอ้ ดงั น้ี (1) ในพนั ธกจิ ขององค์กรตอ้ งใหก้ ารสนบั สนุนเร่ืองของความม่นั คงปลอดภยั คอมพิวเตอร์
(2) ในการบริหารจัดการขององค์กรต้องผนวกเรอื่ งของความม่นั คงปลอดภยั คอมพิวเตอรไ์ ว้ เป็นสาระสำคัญ
(3) ควรมีการลงทุนท่เี หมาะสมในเร่อื งของความมัน่ คงปลอดภยั คอมพวิ เตอร์ (4) ผ้เู ป็นเจา้ ของระบบต้องแสดงความรบั ผดิ ชอบต่อการรกั ษาความปลอดภัยของระบบโดย ตลอด (5) ความรับผิดชอบและการดูแลเอาใจใสใ่ นเร่อื งของความม่ันคงปลอดภัยคอมพวิ เตอร์ต้อง ไดร้ บั การดำเนนิ การอย่างชดั เจน (6) การรกั ษาความมั่นคงปลอดภยั คอมพิวเตอร์ต้องการแนวทางที่ผสมผสานในวิธีปฏิบตั ิ เช่น การรักษาความม่นั คงปลอดภยั ทางกายภาพ ทางด้านฮารด์ แวร์ ซอฟต์แวร์ และผู้ใช้ เปน็ ต้น (7) ความมนั่ คงปลอดภัยคอมพวิ เตอรต์ ้องได้รับการปรบั ปรงุ ให้ดขี ึ้นอย่างต่อเน่อื งและสมํ่า เสมอ (8) ปัจจัยแวดลอ้ มสามารถสง่ ผลตอ่ การรักษาความม่นั คงปลอดภยั คอมพิวเตอร์ไดเ้ สมอ IT BPM IT BPM ย่อมาจาก Information Technology Baseline Protection Manual เป็นหนงั สอื คู่มือท่ี แนะนำการรกั ษาความมั่นคงปลอดภัยระบบอยา่ งมีมาตรฐาน แต่อาจกำหนดไว้เปน็ มาตรฐานขั้นตำ่ คมู่ ือนี้พมิ พ์ เผยแพรโ่ ดยสถาบนั มาตรฐานแห่งชาติอังกฤษ BSI คมู่ ือน้จี ะใหก้ ารแนะนำว่าระบบทยี่ กตวั อยา่ งน้ี ควรมเี กราะ
ป้องกันหรือวธิ กี ารด้านความปลอดภยั อยา่ งน้อยต้องดำเนินการอย่างไรบ้าง ซ่ึงแต่ละองค์กรอาจนำไป
ประยุกต์ใช้ด้วยวัตถุประสงค์ทีแ่ ตกตา่ งกนั ออกไป เน้ือหา IT BPM ประกอบดว้ ย
(1) ระบบต้องมกี ารบรหิ ารจัดการดา้ นความม่นั คงปลอดภยั ตัง้ แตข่ ้ันการออกแบบ ประสานงาน
ตดิ ตามสถานะของความมนั่ คงปลอดภัยของระบบท่ีเกี่ยวกับหน้าท่กี ารงานน้ัน
(2) ระบบต้องมีการวเิ คราะหแ์ ละจัดทำเปน็ เอกสารเกีย่ วกบั โครงสร้างที่มอี ยู่ของทรัพย์สนิ ที่เป็น
เทคโนโลยสี ารสนเทศในองคก์ ร
(3) ระบบต้องไดร้ ับการประเมินถงึ มาตรการและระบบบริหารจดั การด้านความมน่ั คงปลอดภยั เดิมที่ได้
จัดทำไว้แล้วนัน้ วา่ มีประสทิ ธิภาพเพียงพอและเหมาะสมแล้วหรือยงั
(4) องค์กรตา่ ง ๆ สามารถนำโครงสรา้ งของเครือข่ายทมี่ คี วามมนั่ คงปลอดภัย ซง่ึ ได้ออกแบบไว้
เหมาะสมแล้วตามคมู่ ือนีม้ าเป็นแนวทางในการจัดทำเครือข่ายขององค์กร
(5) ระบบต้องได้รับการดำเนินการปรบั ปรงุ แก้ไขกรณีท่ีพบวา่ มาตรการหรือแนวทางการรักษาความ
มั่นคงปลอดภัยเหล่าน้ันไม่เพียงพอ หรือมีการดำเนนิ การบางอยา่ งท่ียงั ไมร่ ดั กุม เปน็ ตน้
COBIT
กรอบวิธปี ฏิบตั ิ COBIT (Control Objectives for Information and related Technology)
พัฒนาขน้ึ โดย ISACA ใช้สำหรับการพัฒนาเพ่ือใหร้ ะบบเทคโนโลยสี ารสนเทศมคี วามเป็น “ไอทีภิบาล” (IT
Governance) เพ่อื ให้ระบบเทคโนโลยีสารสนเทศมีประสทิ ธภิ าพและมีความคุ้มทนุ COBIT ไดร้ บั การใช้
แพรห่ ลายในกลุ่มธุรกิจดา้ นการเงนิ และการธนาคาร เดิมที COBIT ไดร้ ับการเผยแพร่ในรูปแบบของ
“กระบวนการ” ด้านเทคโนโลยสี ารสนเทศ ภายหลังไดม้ กี ารเพิม่ เติมแนวทางการปฏิบัติเพ่อื “การใหบ้ รกิ าร”
ดา้ นเทคโนโลยีสารสนเทศทม่ี ีประสิทธภิ าพมากขน้ึ อยา่ งไรก็ตามกรอบวธิ ีปฏบิ ัติ COBIT มงุ่ เนน้ ไปที่การ
ยกระดบั “ประสิทธภิ าพ” ของระบบเทคโนโลยสี ารสนเทศมากกว่าการม่งุ เนน้ ทางด้านการ “รักษาความ
ปลอดภยั ”
COSO
COSO ย่อมาจาก The Committee of Sponsoring Organizations of the Treadway
Commission เปน็ กรอบปฏบิ ัติทชี่ ่วยสง่ เสริมให้การตรวจสอบกจิ การภายในองค์กรมีความเท่ยี งตรงและ
โปรง่ ใส โดยเฉพาะองค์กรดา้ นการเงนิ โดยเน้นไปที่การจัดทำงบการเงินเพื่อให้เกิดความน่าเชอ่ื ถือ ความถกู ต้อง