สรุป 3 เทรนด์ด้าน Identity and Access Management ปี 2023

บทความน่าสนใจ

    Identity and Access Management (IAM) คือ หนึ่งในรากฐานสำคัญของการทำ Digital Transformation อย่างมั่นคงปลอดภัย ด้วยความสามารถในการบริหารจัดการ Identity ของผู้ใช้และการควบคุมการเข้าถึงระบบต่างๆ ขององค์กร ทำให้องค์กรสามารถสร้าง Transparency, Trust และ Control บน Digital Journey ของตนเองได้ อย่างไรก็ตาม การมาถึงของระบบ Cloud, Distributed Apps และ Hybrid Workforces ทำให้โซลูชัน IAM จำเป็นต้องปรับตัว เพื่อให้ยังคงจัดการกับ Identity และควบคุมการเข้าถึงได้อย่างมีประสิทธิภาพ   บทความนี้ i-Sprint Innovations ผู้ให้บริการนวัตกรรม Identity, Credential & Access Management ชั้นนำระดับโลก ได้ออกมาเปิดเผยถึง 3 เทรนด์ที่โซลูชัน IAM กำลังจะเดินทางไปในอนาคตอีกไม่กี่ปีข้างหน้านี้…

การรักษาความมั่นคงปลอดภัยของข้อมูลและการแจ้งเหตุการละเมิด

บทความน่าสนใจ

    พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562 เป็นกฎหมายที่กำหนดหน้าที่และความรับผิดชอบขององค์กร ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่ต้องปฏิบัติ เมื่อดำเนินการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล   หน้าที่ที่สำคัญประการหนึ่งขององค์กร คือ การจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม (Security of Processing/Data Security)   และในกรณีที่ “มาตรการรักษาความมั่นคงปลอดภัย” ดังกล่าวที่องค์กรดำเนินการไม่เป็นไปตามมาตรฐานหรือเกิดข้อผิดพลาด อันอาจนำไปสู่เหตุการละเมิดข้อมูลส่วนบุคคล (Data Breach)   องค์กรก็จะมีหน้าที่แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลตามเงื่อนไขที่กฎหมายกำหนด (Data Breach Notification)   หน้าที่ในส่วนของ “การมีมาตรการรักษาความมั่นคงปลอดภัย” และ “การแจ้งเหตุการละเมิด” จึงเป็นสองหน้าที่ที่มาควบคู่กันเสมอ   ในระบบกฎหมายด้านการคุ้มครองข้อมูลส่วนบุคคล ถือว่าเมื่อองค์กรนำเข้าและใช้ประโยชน์จากข้อมูลส่วนบุคคล องค์กรก็มีหน้าที่ต้องดูแลรักษา และเมื่อไม่สามารถดูแลได้จนนำมาซึ่งการเกิดเหตุการละเมิดข้อมูลส่วนบุคคล   องค์กรก็ต้องรีบดำเนินการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลตามเงื่อนไขของกฎหมาย   เพื่อให้มีการประเมินและพิจารณาความเสี่ยงต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคลโดยเร็ว   พร้อมทั้งดำเนินการเยียวยาแก้ไขความเสียหายและผลกระทบใด ๆ ที่อาจมีต่อเจ้าของข้อมูลส่วนบุคคล อันเป็นการปกป้องส่วนได้เสียต่าง ๆ ของผู้ใช้บริการ/ประชาชน   ตามประกาศฯ มาตรการรักษาความมั่นคงปลอดภัย ข้อ…

‘แรนซัมแวร์’ ป่วนข้อมูลธุรกิจ พร้อม ‘จ่าย’ หรือ พร้อม ‘รับมือ’

บทความน่าสนใจ

    การโจรกรรมข้อมูลโดยกลุ่มแฮ็กเกอร์ที่กระทำการอย่างซับซ้อนกำลังเพิ่มมากขึ้น ทั้งในแง่จำนวนครั้งและขอบเขตการโจมตี   เพียร์ แซมซัน ประธานเจ้าหน้าที่ฝ่ายดูแลรายได้ บริษัท Hackuity เล่าว่า เมื่อไม่กี่เดือนที่ผ่านมา ช่วงปลายปี 2565 มีรายงานว่าเกิดการโจมตีทางไซเบอร์ครั้งใหญ่ที่สุดในประวัติศาสตร์ออสเตรเลียซึ่งกระทบต่อลูกค้าของ Optus บริษัทด้านโทรคมนาคมรวมแล้วกว่า 10 ล้านคน   สำหรับประเทศไทยเองก็พบปัญหาการละเมิดข้อมูลของโรงพยาบาลหลายแห่งรวมถึงกระทรวงสาธารณสุขในช่วงสองปีที่ผ่านมา ทำให้ข้อมูลส่วนตัวของผู้ป่วยรั่วไหลและถูกเรียกค่าไถ่เพื่อนำฐานข้อมูลกลับมาเหมือนเดิม   วันนี้อาชญากรไซเบอร์ เช่น Desorden Group คัดเลือกเหยื่ออย่างพิถีพิถัน โดยมุ่งเป้าไปที่กลุ่มบริษัทขนาดใหญ่ในเอเชียที่มีช่องโหว่ชัดเจนซึ่งสามารถเจาะระบบได้ง่าย โดยจะลอบดึงข้อมูลจากบริษัทหรือองค์กรให้ตกเป็นเหยื่อ และข่มขู่ว่าจะเผยแพร่ข้อมูลเหล่านั้นหากไม่ยอมจ่ายค่าไถ่   หากไม่ได้รับการตอบกลับ อาชญากรกลุ่มนี้ก็จะทำให้เหยื่อได้รับความอับอายไปทั่ว ปล่อยข้อมูลให้รั่วไหล และยกระดับการกดดันให้เข้มข้นยิ่งขึ้น   “วายร้ายทุกวันนี้ไม่ได้อยากเก็บตัวแบบในอดีต หากแต่พร้อมที่จะป่าวประกาศและเปิดเผยรายละเอียดกับสื่อมวลชนว่าตนเองเจาะเข้าระบบรักษาความปลอดภัยไซเบอร์ของเหยื่ออย่างไร”   เตรียมพร้อม สกัดภัยไซเบอร์   ปัจจุบัน มีเพียงปัจจัยเดียวเท่านั้นที่ผู้ตกเป็นเป้าหมายสามารถควบคุมได้โดยสมบูรณ์ นั่นก็คือ ความพร้อม (หรือการขาดความพร้อม) ของตนเอง   ช่วงที่โควิดระบาด บริษัทหลายแห่งได้ควบรวมและจัดแจงรายจ่ายทางเทคโนโลยีใหม่ ทั้งได้มีการลงทุนเพื่อปรับธุรกิจให้เป็นระบบดิจิทัล ด้านฝ่ายไอทีก็เน้นไปที่การเปิดใช้ระบบการทำงานจากทางไกล เพื่อให้พนักงานและระบบภายในองค์กรมีความปลอดภัย…

เปิด 10 ข้อ ไซเบอร์ซิเคียวริตี้ 2023 เตรียมองค์กรพร้อมรับความเสี่ยง

บทความน่าสนใจ

  “ปริญญา หอมเอนก” ประธานกรรมการบริหาร บริษัท เอซิส โปรเฟสชั่นนัล เซ็นเตอร์ จำกัด ทำนายแนวโน้มดังกล่าวทุกปีเช่นกัน สำหรับ Top Ten Cybersecurity & Privacy Threats and Trends 2023   ปีนี้มาพร้อมกับคำแนะนำ 10 ข้อ ไซเบอร์ซิเคียวริตี้ 2023 ดังนี้   1.จัดให้มีการซ้อมหนีไฟทางไซเบอร์ หรือ Cyber Drill การสร้างความตระหนักรู้ความปลอดภัยไม่เพียงพออีกต่อไปแล้ว ดังนั้นองค์กรจำเป็นจะต้องจัดให้มีการซ้อมหนีไฟทางไซเบอร์ หรือที่เรียกว่า Cyber Drill เพื่อซักซ้อมแนวทางปฏิบัติที่จะรับมือกับการเผชิญเหตุอย่างน้อยปีละ 1-2 ครั้ง เป็นการสร้างภูมิคุ้มกันให้แก่บุคลากรและองค์กรไปพร้อมๆ กัน   ปริญญา อธิบายว่า “Cyber Drill” (Cyber Attack Simulation) เป็นการจำลองเหตุการณ์โจมตี ทั้งการโจมตีระบบ และการโจมตีที่จิตใจคน เพราะปัจจุบันภัยไซเบอร์ ไม่ได้มาในรูปแบบการโจมตี เพื่อบุกรุกเข้าสู่ระบบสารสนเทศขององค์กรเพียงอย่างเดียว แต่จะมุ่งเป้าโจมตีไปที่จิตใจคนเพื่อให้เกิดความโลภหรือเกิดความกลัวจนรีบทำในสิ่งที่แฮกเกอร์หลอกลวงโดยไม่รู้เท่าทัน   การจำลองเหตุการณ์ Cyber Attack จะทำให้เกิดความคุ้นชินกับการโจมตีที่มุ่งเป้าไปที่ตัวบุคคล เพราะเมื่อเราได้เห็นหรือมีประสบการณ์แล้วก็จะรู้ว่า…

“สกมช.”ห่วงหน่วยงานรัฐขาดผู้บริหารด้านไอที

บทความน่าสนใจ

  เผย หน่วยงานโครงสร้างพื้นฐานของภาครัฐ ยังขาดผู้บริหารความมั่นคงปลอดภัยสารสนเทศ ตามที่กฎหมายกกำหนดให้ต้องมี เพื่อป้องกันและบริหารความเสี่ยงด้านภัยไซเบอร์ เร่งจัดอบรมและประสานหน่วยงานต่าง ๆ ให้ปฏิบัติตามเกณฑ์มาตรฐานขั้นต่ำที่กำหนด   พล.อ.ต.อมร ชมเชย เลขาธิการคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์ (สกมช.) เปิดเผยว่า กฎหมายลูกของ พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 ได้บังคับให้หน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (ซีไอไอ) ของประเทศ เช่น ด้านการเงิน โทรคมนาคม  สาธารณูปโภค สาธารณสุข การศึกษา ฯลฯ  ต้องมีตำแหน่งผู้บริหารความมั่นคงปลอดภัยสารสนเทศ หรือซิโซ่ (CISO) เพื่อทำหน้าที่บริหารความเสี่ยงด้านความปลอดภัยทางไซเบอร์ให้กับหน่วยงาน ให้ได้ตามมาตรฐานที่กฎหมายกำหนดและป้องกันความเสี่ยง และผลกระทบต่อที่อาจเกิดขึ้น กรณีถูกโจมตีจนเกิดความเสียหายต่อระบบ ทำให้บริการหรือธุรกิจหยุดชะงัก จนส่งผลต่อประชาชนในวงกว้าง   อย่างไรก็ตาม ในปัจจุบันบางหน่วยงานของรัฐ รวมถึงรัฐวิสาหกิจ ที่เกี่ยวข้องกับงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ ยังไม่มีการตั้งบุคคลมาดำรงตำแหน่งนี้ เนื่องจากขาดแคลนบุคลากรที่เชี่ยวชาญ ที่จะขึ้นมาในระดับผู้บริหาร ขณะที่หน่วยงานที่เกี่ยวข้อง ที่เป็นภาคเอกชน เช่น สถาบันการเงิน ฯลฯ ไม่น่าเป็นห่วง เนื่องจากมีบุคลากรที่พร้อมกว่า รวมถึงมีงบประมาณในการจ้างผู้เชี่ยวชาญในส่วนนี้ ให้มาทำงานได้ ซึ่งที่ผ่านมาทาง สกมช. ก็ได้เร่งแก้ปัญหาในกับหน่วยงานรัฐ ด้วยการเปิดหลักสูตรด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ ระดับผู้บริหาร (เอ็กซ์คูลซีฟ ซิโซ่) ในรุ่นที่ 1 ซึ่งมีผู้บริหารหน่วยงานรัฐ สำเร็จจบหลักสูตรแล้ว 69 คน   พล.อ.ต.อมร กล่าวต่อว่า ทาง สกมช. ได้พยายามประสานและแจ้งหน่วยงานเหล่านี้แล้ว…

มือถือหรือคอมพิวเตอร์ถูกแฮ็กได้อย่างไร

บทความน่าสนใจ

  ช่วงนี้เราคงเคยได้ยินข่าวเกี่ยวกับมือถือ คอมพิวเตอร์ หรืออุปกรณ์อื่นใดที่ทำงานคล้ายคอมพิวเตอร์ (ในที่นี้แทนทั้งหมดด้วย “คอมพิวเตอร์”) ถูกแฮ็ก ทำให้สูญเงินในบัญชีกันบ่อยขึ้น แทบจะเกิดขึ้นรายวัน   เพราะเราสามารถทำเกือบทุกอย่างได้ผ่านคอมพิวเตอร์ ดังนั้น คอมพิวเตอร์เหล่านี้จึงตกเป็นเป้าโจมตีมากยิ่งขึ้น   ปัจจัยและสาเหตุของการถูกแฮกและขโมยข้อมูล – มีหลายปัจจัยที่ส่งผลกระทบและสร้างเสียหายความรุนแรงต่อคอมพิวเตอร์และผู้ใช้งาน   เช่น การดูแลรักษาคอมพิวเตอร์มีการอัปเดตระบบปฏิบัติการหรือซอฟต์แวร์เป็นรุ่นล่าสุดหรือไม่ ประเภทภัยคุกคามที่มาโจมตี จำนวนเงินที่มีอยู่ในบัญชีหรือบัตรเครดิต ความสำคัญของข้อมูลในระบบ เป็นต้น   สาเหตุที่คอมพิวเตอร์ถูกแฮกเกิดจาก 5 พฤติกรรม ดังนี้   1.การขาดความตระหนักรู้และขาดการไตร่ตรอง – เป็นสิ่งที่สุ่มเสี่ยงและมีผลกระทบมากที่สุด เพราะเป็นจุดเริ่มต้นที่ทำให้เกิดความเสี่ยงต่าง ๆ เช่น ในระหว่างทำธุรกรรมก็อาจเข้าใช้งานเว็บไซต์หรือดาวน์โหลดข้อมูลโดยไม่ได้ตรวจสอบเว็บไซต์   โปรแกรมที่ดาวน์โหลดมาหรือสังเกตอีเมลลิงก์ต่าง ๆ รวมถึงคลิกลิงก์ที่แนบมาโดยไม่ได้ระวัง ทำให้ตกเป็นเหยื่อของผู้ไม่ประสงค์ดีที่อาจส่งอีเมลหลอกลวงเพื่อขโมยข้อมูลหรือติดตั้งมัลแวร์ (โปรแกรมอันตราย) ได้   หรือเห็นได้จากหลาย ๆ ข่าวที่มิจฉาชีพปลอมตัวเป็นเจ้าหน้าที่รัฐ เช่น สรรพากร ตำรวจ เป็นต้น ทำการหลอกล่อเหยื่อโดยการส่งลิงก์มาให้โหลด และเหยื่อก็ติดตั้งซอฟต์แวร์จากลิงก์นั้น ทำให้สูญเงินไปหลายล้านบาท…