Tag Archives: ความเสี่ยง

Microsoft 365 อัปเดตใหม่ ปรับปรุงคุณสมบัติด้าน Data Privacy

Credit: Microsoft.com Microsoft ประกาศอัปเดตการควบคุมความเป็นส่วนบุคคลใหม่บน Microsoft 365 สำหรับกลุ่มลูกค้าองค์กร ซึ่งช่วยให้ผู้ใช้สามารถสั่งยกเลิกสิทธิ์ในการเข้าถึงอีเมลที่เข้ารหัส บล็อกการแชร์ข้อมูลสำคัญเมื่อใช้ Teams เพิ่มขีดความสามารถในการตรวจสอบข้อมูล และปรับปรุงด้านการใช้งานให้สอดคล้องกับกฎระเบียบและข้อบังคับต่าง ๆ ฟีเจอร์ใหม่เหล่านี้นับว่าเป็นก้าวใหม่สำหรับ Microsoft ในการเพิ่มความโปร่งใสและเพิ่มสิทธิ์ในการควบคุมข้อมูลของผู้ใช้ นอกจากนี้ Microsoft ยังเพิ่มบริการ การจัดกลุ่มข้อมูลที่จะจัดเก็บว่าเป็นแบบ “Required” หรือ “Optional” ซึ่งผู้ใช้สามารถเลือกได้ว่าจะให้เก็บข้อมูลแบบไหน เพิ่มประสิทธิภาพของการจัดทำเอกสารสำหรับผลิตภัณฑ์และบริการที่สำคัญ เพื่อให้ลูกค้าสามารถค้นหาและเข้าใจได้ง่ายยิ่งขึ้น จัดทำเอกสารด้านความเป็นส่วนบุคคล 2 ฉบับในแต่ละปี เพื่อสรุปแนวทางปฏิบัติที่เปลี่ยนแปลงไปของการจัดเก็บข้อมูล โดยเฉพาะอย่างยิ่งเมื่อต้องปฏิบัติตามกฎหมายคุ้มครองความเป็นส่วนบุคคล มาตรฐานและกฎระเบียบของอุตสาหกรรมต่าง ๆ การควบคุมความเป็นส่วนบุคคลใหม่นี้พร้อมให้บริการแก่ลูกค้าองค์กรที่ใช้ Microsoft 365 Enterprise แบบ E5 ซึ่งเป็นบริการเดียวที่รวม Audio Conferencing, Phone System, Advanced Threat Protection, Cloud App Security และ Advanced Compliance เข้าไว้ด้วยกัน ซึ่งหลังจากนี้…

เผยสถิติแนวโน้ม phishing ส่วนใหญ่โจมตีผ่านอีเมล กว่าครึ่งใช้ HTTPS เจ้าหน้าที่ฝ่ายบุคคลและฝ่ายการเงินมีความเสี่ยงสูงสุด

บริษัท PhishLabs ได้เปิดเผยข้อมูลสถิติและแนวโน้มการโจมตีแบบ phishing ในปี 2019 โดยรวมพบว่าในปีที่ผ่านมาปริมาณการโจมตีเพิ่มขึ้นกว่า 40% ผู้โจมตีใช้บริการออกใบรับรอง HTTPS ฟรีเพื่อทำให้เว็บไซต์ปลอมดูน่าเชื่อถือ กลุ่มเป้าหมายส่วนใหญ่คือเจ้าหน้าที่ฝ่ายบุคคลและฝ่ายการเงิน การโจมตีแบบ phishing เป็นการหลอกลวงให้เหยื่อเข้าไปยังเว็บไซต์ปลอมเพื่อข้อมูลสำคัญ เช่น รหัสผ่าน โดยส่วนใหญ่ผู้ประสงค์ร้ายจะส่งลิงก์ของเว็บไซต์ปลอมมาทางอีเมล โปรแกรมแช็ต หรือทาง SMS โดยบริการที่มักถูกนำมาสร้างเป็นหน้าเว็บไซต์ปลอมส่วนใหญ่เกี่ยวข้องกับด้านการเงิน อีเมล หรือบริการเก็บไฟล์แบบออนไลน์ จากสถิติของปี 2018 พบว่าผู้ประสงค์ร้ายนิยมใช้บริการเว็บโฮสติ้งฟรีเพื่อฝากหน้าเว็บไซต์ phishing นอกจากนี้ยังพบว่าเกือบครึ่งหนึ่งของเว็บไซต์ปลอมที่พบในปี 2018 เป็นเว็บไซต์ที่เข้าผ่าน HTTPS ซึ่งนอกจากจะทำให้ผู้ใช้สังเกตความผิดปกติได้ยากแล้วยังมีผลกระทบต่อความสามารถของระบบตรวจจับและป้องกัน phishing ด้วย แนวทางการตรวจสอบและป้องกันไม่ให้ตกเป็นเหยื่อ phishing สามารถศึกษาได้จาก infographic ของไทยเซิร์ต ——————————————————– ที่มา : ไทยเซิร์ต / 17 เมษายน 2562 Link : https://www.thaicert.or.th/newsbite/

หญิงชาวจีนถูกจับ หลังโกหกเพื่อเข้าพักในรีสอร์ทของทรัมป์ พบมีอุปกรณ์ติดมัลแวร์ติดตัวมาด้วย

หญิงสาวชาวจีนวัย 34 ปี ถูกเจ้าหน้าที่ในอเมริกาจับกุมจากกรณีที่พกพาโทรศัพท์มือถือจำนวน 4 เครื่องและแฟลชไดร์ฟที่ติดตั้งมัลแวร์ที่อาจเข้าถึงระบบภายในขององค์กรได้ เหตุเกิดที่ มาร์อาลาโก รีสอร์ท (Mar-A-Lago Resort) หนึ่งในรีสอร์ตชื่อดังที่เป็นทรัพย์สินส่วนตัวของโดนัลด์ ทรัมป์ ซึ่งเกิดขึ้นในช่วงเวลาที่โดนัลด์ ทรัมป์ กำลังเข้าพักผ่อนในช่วงสุดสัปดาห์ ณ รีสอร์ตแห่งนี้ หญิงสาวรายนี้ ทราบชื่อในภายหลังคือ Yujing Zhang เดินทางมาถึงรีสอร์ตแห่งนี้ในช่วงสุดสัปดาห์ที่ผ่านมา เธอแสดงหนังสือเดินทางสองเล่มเป็นหลักฐานเข้าพัก พร้อมทั้งใช้นามสกุลเดียวกับสมาชิกสโมสรของรีสอร์ต ที่ใช้นามว่า HZ ซึ่งเธออ้างว่าเป็นพ่อ จึงได้รับการอนุญาตจากเจ้าหน้าที่ความปลอดภัยให้เข้าไปยังบริเวณรีสอร์ต แต่ถามหญิงสาวว่าเธอคือลูกสาวของหนึ่งในสมาชิกของสโมสรแห่งนี้จริงหรือไม่ เธอไม่ได้ให้คำตอบที่ชัดเจน บอกเพียงว่า เธอได้รับการอนุญาตให้เข้าพัก ณ รีสอร์ตแห่งนี้อย่างถูกต้อง หลังจากนั้น Zhang กล่าวอ้างกับเจ้าหน้าที่ว่าเธอต้องการเข้าพัก ณ รีสอร์ตแห่งนี้เพื่อที่จะเข้าร่วมการประชุมสหประชาชาติระหว่างจีนและอเมริกาในช่วงเย็น (United Nations Chinese American Association) แต่จากการตรวจสอบก็พบว่าไม่มีการประชุมดังกล่าว พนักงานตอนรับประจำคลับแห่งนี้จึงแจ้งไปทางเจ้าหน้าที่หน่วยสืบราชการลับที่อยู่ภายนอกเพื่อเข้ามาตรวจสอบหญิงสาวรายนี้อีกครั้ง ระหว่างการสอบสวนและตรวจสอบทรัพย์สิน ทางเจ้าหน้าที่หน่วยสืบราชการลับ ค้นพบว่าเธอพกโทรศัพท์มือถือ 4 เครื่อง ฮาร์ดไดรฟ์ แล็ปท็อป และแฟลชไดร์ฟที่พบว่าติดมัลแวร์ที่เป็นอันตรายที่สามารถทำลายหรือก่อกวนอุปกรณ์คอมพิวเตอร์มาด้วย…

ปูด! เจ้าหน้าที่ทำเนียบขาวหลายคนเข้าถึงข้อมูลลับได้แม้ไม่ผ่านการสอบประวัติ

The White House is seen behind security barriers in Washington, March 24, 2019. เจ้าหน้าที่ทำเนียบขาวรายหนึ่งเปิดเผยกับคณะกรรมาธิการสภาผู้แทนราษฎรสหรัฐฯว่า บุคคลที่ทำงานในรัฐบาลประธานาธิบดี โดนัลด์ ทรัมป์ อย่างน้อย 25 คน ได้รับอนุมัติให้เข้าถึงข้อมูลลับทั้งๆ ที่ถูกปฏิเสธในขั้นตอนตรวจสอบประวัติ ผู้เปิดโปงเรื่องนี้ คือ ทริเชีย นิวโบล์ด (Tricia Newbold) ซึ่งรับหน้าที่ตรวจสอบประวัติบุคคลที่สามารถเข้าถึงข้อมูลสำคัญของรัฐ มาเป็นเวลา 18 ปี ทั้งในรัฐาลของประธานาธิบดีจากพรรคเดโมเเครตและรีพับลิกัน เมื่อเดือนที่แล้ว เธอบอกกับคณะกรรมาธิการสภาผู้แทนฯ ว่า แม้ประธานาธิบดี ทรัมป์สามารถใช้อำนาจพิเศษให้บุคคลที่ถูกปฏิเสฐการเช้าถึงข้อมูลลับได้รับสิทธิ์นั้น แต่เธอกล่าวว่าบางครั้งการเดินเรื่องลักษณะนี้อาจไม่ได้ทำโดยเห็นแก่ประโยชน์สูงสุดของชาติเรื่องความมั่นคงเป็นที่ตั้ง ส.ส. อิลิจาห์ คัมมิงส์ (Elijah Cummings) ประธานคณะกรรมาธิการที่รับข้อมูลจาก ทริเชีย นิวโบล์ด กล่าวว่า เหตุผลที่คนเหล่านั้นถูกปฏิเสธในขั้นตอนตรวจสอบมีทั้ง เรื่องผลประโยชน์ทับซ้อน ปัญหาการเงิน การใช้ยาเสพติด และประวัติอาชญากรรม ขณะเดียวกัน กล่าวว่าเธอถูกพักงานเป็นเวลา…

เจ้าของเว็บ WickedGen เว็บขายรหัสผ่าน Netflix, Spotify, Hulu ถูกจับในออสเตรเลีย

ภาพจากตำรวจรัฐบาลกลางออสเตรเลีย ตำรวจรัฐบาลกลางออสเตรเลีย (Australian Federal Police – AFP) ออกจดหมายข่าวจับชายอายุ 21 ผู้ดำเนินการเว็บ WickedGen.com ที่ขายบัญชีผู้ใช้เว็บที่ต้องสมัครสมาชิกหลายเว็บ รวมถึง Netflix, Spotify, และ Hulu WickedGen อาศัยฐานข้อมูลชื่อผู้ใช้และรหัสผ่านที่เคยรั่วมาก่อนหน้า แล้วนำมาตรวจสอบว่าใช้งานกับบริการเป้าหมายได้หรือไม่ เรียกว่า credential stuffing ก่อนที่เว็บจะปิดตัวลงไป ทางเว็บไซต์มีสมาชิกถึง 120,000 คน ขายบัญชีผู้ใช้ของบริการต่างๆ เกือบล้านบัญชี ทำเงินทั้งหมดประมาณ 300,000 ดอลลาร์ออสเตรเลีย หรือ 6.7 ล้านบาท คดีนี้เริ่มมาจากฝั่ง FBI ที่สอบสวนตั้งแต่กลางปีที่แล้ว แล้วจึงขอความร่วมมือกับตำรวจออสเตรเลีย ผู้ต้องหาถูกแจ้งข้อหา 5 กระทง ตั้งแต่ความผิดทางอาชญากรรมคอมพิวเตอร์, การฟอกเงิน, การใช้ข้อมูลส่วนบุคคล, และการละเมิดลิขสิทธิ์ —————————————————————— ที่มา : Blognone / 16 March 2019 Link…

6 ขั้นตอนสำคัญ ในการประเมินความเสี่ยงด้านความปลอดภัยทางไซเบอร์

ยุทธศาสตร์การจัดการความเสี่ยงของทุกองค์กรนั้นย่อมต้องมีการประเมินความเสี่ยงด้านความปลอดภัยทางไซเบอร์ด้วย เนื่องจากถือเป็นช่องโหว่สำคัญที่เปิดช่องให้เกิดอันตรายที่สร้างความเสียหายอย่างใหญ่หลวงได้ แต่แน่นอนว่าความจำเป็นในการประเมินความเสี่ยงนั้นขึ้นอยู่กับขนาดขององค์กรด้วย อย่างบริษัทข้ามชาตินั้นย่อมมีความเสี่ยงมากกว่าบริษัทขนาดเล็กและขนาดกลางในประเทศอยู่แล้ว เป็นต้น อย่างไรก็ดี ทุกบริษัทน้อยใหญ่ต่างก็พยายามอย่างสุดความสามารถในการลดความเสี่ยงมากที่สุดเท่าที่เป็นไปได้ ซึ่งหนทางที่จะทำได้นั้นก็หนีไม่พ้นการประเมินความเสี่ยงเช่นกัน แต่การประเมินความเสี่ยงที่เหมาะสมนั้นไม่ใช่เรื่องทีจำเป็นต้องทำให้ซับซ้อน เพียงแค่แตกย่อยออกมาเป็นแต่ละหัวข้อเล็กๆ ก็ทำให้สามารถบริหารจัดการได้ง่ายขึ้นแล้ว ดังขั้นตอนต่อไปนี้ 1. จัดตั้งทีมงานจัดการความเสี่ยงโดยเฉพาะ ไม่ว่าตัวคุณเองจะมีทักษะด้านการรักษาความปลอดภัยดีแค่ไหน ก็ไม่มีทางที่จะสามารถสอดส่องดูแลได้ทุกจุดพร้อมกัน ดังนั้นจึงจำเป็นต้องมีทีมงานคอยช่วยเหลือ เป็นหูเป็นตาโดยเฉพาะจุดเสี่ยงต่างๆ ในองค์กร โดยเฉพาะในเมื่อแต่ละแผนกมีลักษณะการทำงานที่ต่างกัน ทีมงานด้านนี้จึงควรมีตัวแทนจากหลากหลายแผนกที่ช่วยได้ทั้งด้านการสื่อสารและการวิเคราะห์ภาพรวมได้ชัดเจน 2. ลิสต์รายการและจัดหมวดหมู่ทรัพย์สินในองค์กร ทีมงานที่จัดตั้งขึ้นจะเป็นหัวแรงสำคัญในการรวบรวมข้อมูลเกี่ยวกับทรัพยากรทั้งหมดภายในองค์กร โดยเฉพาะข้อมูลที่ถูกรวบรวม, จัดเก็บ, และโอนย้ายถ่ายเทไปยังตำแหน่งต่างๆ โดยเฉพาะในบริการบนคลาวด์อย่างเช่น Platform-as-a-Service (PaaS), Infrastructure-as-a-Service (IaaS), และ Software-as-a-Service (SaaS) 3. ลงมือประเมินความเสี่ยง ข้อมูลที่ใช้งานในองค์กรต่างมีความสำคัญแตกต่างกัน และหน่วยงานที่เราเอาต์ซอร์สหรือเธิร์ดปาร์ตี้ต่างๆ ก็ไม่ได้มีมาตรการรักษาความปลอดภัยที่มีประสิทธิภาพเพียงพอเท่าเทียมกันด้วย ดังนั้นเวลาที่จะระบุความสำคัญหรือระดับความเสี่ยงของทรัพยากรด้านข้อมูลในบริเวณต่างๆ ก็ไม่ควรมองข้ามความเสี่ยงที่เกิดจากบุคคลหรือองค์กรภายนอกที่ร่วมงานด้วยเช่นกันตัวอย่างเช่น การมองหาระบบ เครือข่าย หรือซอฟต์แวร์ที่เป็นแกนหลักของบริษัท, ระบุข้อมูลที่ควรจัดการทั้งด้านการรักษาความลับ ความพร้อมในการเข้าถึง และความถูกต้อง, ระบุอุปกรณ์ที่มีความเสี่ยงมากที่สุดต่อการเกิดเหตุข้อมูลรั่วไหล, ระบุโอกาสต่างๆ ที่สร้างความเสียหายแก่ข้อมูล, มองหาระบบ เครือข่าย หรือซอฟต์แวร์ที่มักตกเป็นเป้าของอาชญากรไซเบอร์ในการจารกรรมข้อมูล, รวมไปถึงความเสี่ยงทั้งด้านการเงินและชื่อเสียงที่เป็นไปได้ถ้าเกิดเหตุข้อมูลรั่วไหล…