การรักษาความมั่นคงปลอดภัยของข้อมูลและการแจ้งเหตุการละเมิด

บทความน่าสนใจ

    พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562 เป็นกฎหมายที่กำหนดหน้าที่และความรับผิดชอบขององค์กร ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่ต้องปฏิบัติ เมื่อดำเนินการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล   หน้าที่ที่สำคัญประการหนึ่งขององค์กร คือ การจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม (Security of Processing/Data Security)   และในกรณีที่ “มาตรการรักษาความมั่นคงปลอดภัย” ดังกล่าวที่องค์กรดำเนินการไม่เป็นไปตามมาตรฐานหรือเกิดข้อผิดพลาด อันอาจนำไปสู่เหตุการละเมิดข้อมูลส่วนบุคคล (Data Breach)   องค์กรก็จะมีหน้าที่แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลตามเงื่อนไขที่กฎหมายกำหนด (Data Breach Notification)   หน้าที่ในส่วนของ “การมีมาตรการรักษาความมั่นคงปลอดภัย” และ “การแจ้งเหตุการละเมิด” จึงเป็นสองหน้าที่ที่มาควบคู่กันเสมอ   ในระบบกฎหมายด้านการคุ้มครองข้อมูลส่วนบุคคล ถือว่าเมื่อองค์กรนำเข้าและใช้ประโยชน์จากข้อมูลส่วนบุคคล องค์กรก็มีหน้าที่ต้องดูแลรักษา และเมื่อไม่สามารถดูแลได้จนนำมาซึ่งการเกิดเหตุการละเมิดข้อมูลส่วนบุคคล   องค์กรก็ต้องรีบดำเนินการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลตามเงื่อนไขของกฎหมาย   เพื่อให้มีการประเมินและพิจารณาความเสี่ยงต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคลโดยเร็ว   พร้อมทั้งดำเนินการเยียวยาแก้ไขความเสียหายและผลกระทบใด ๆ ที่อาจมีต่อเจ้าของข้อมูลส่วนบุคคล อันเป็นการปกป้องส่วนได้เสียต่าง ๆ ของผู้ใช้บริการ/ประชาชน   ตามประกาศฯ มาตรการรักษาความมั่นคงปลอดภัย ข้อ…

‘แรนซัมแวร์’ ป่วนข้อมูลธุรกิจ พร้อม ‘จ่าย’ หรือ พร้อม ‘รับมือ’

บทความน่าสนใจ

    การโจรกรรมข้อมูลโดยกลุ่มแฮ็กเกอร์ที่กระทำการอย่างซับซ้อนกำลังเพิ่มมากขึ้น ทั้งในแง่จำนวนครั้งและขอบเขตการโจมตี   เพียร์ แซมซัน ประธานเจ้าหน้าที่ฝ่ายดูแลรายได้ บริษัท Hackuity เล่าว่า เมื่อไม่กี่เดือนที่ผ่านมา ช่วงปลายปี 2565 มีรายงานว่าเกิดการโจมตีทางไซเบอร์ครั้งใหญ่ที่สุดในประวัติศาสตร์ออสเตรเลียซึ่งกระทบต่อลูกค้าของ Optus บริษัทด้านโทรคมนาคมรวมแล้วกว่า 10 ล้านคน   สำหรับประเทศไทยเองก็พบปัญหาการละเมิดข้อมูลของโรงพยาบาลหลายแห่งรวมถึงกระทรวงสาธารณสุขในช่วงสองปีที่ผ่านมา ทำให้ข้อมูลส่วนตัวของผู้ป่วยรั่วไหลและถูกเรียกค่าไถ่เพื่อนำฐานข้อมูลกลับมาเหมือนเดิม   วันนี้อาชญากรไซเบอร์ เช่น Desorden Group คัดเลือกเหยื่ออย่างพิถีพิถัน โดยมุ่งเป้าไปที่กลุ่มบริษัทขนาดใหญ่ในเอเชียที่มีช่องโหว่ชัดเจนซึ่งสามารถเจาะระบบได้ง่าย โดยจะลอบดึงข้อมูลจากบริษัทหรือองค์กรให้ตกเป็นเหยื่อ และข่มขู่ว่าจะเผยแพร่ข้อมูลเหล่านั้นหากไม่ยอมจ่ายค่าไถ่   หากไม่ได้รับการตอบกลับ อาชญากรกลุ่มนี้ก็จะทำให้เหยื่อได้รับความอับอายไปทั่ว ปล่อยข้อมูลให้รั่วไหล และยกระดับการกดดันให้เข้มข้นยิ่งขึ้น   “วายร้ายทุกวันนี้ไม่ได้อยากเก็บตัวแบบในอดีต หากแต่พร้อมที่จะป่าวประกาศและเปิดเผยรายละเอียดกับสื่อมวลชนว่าตนเองเจาะเข้าระบบรักษาความปลอดภัยไซเบอร์ของเหยื่ออย่างไร”   เตรียมพร้อม สกัดภัยไซเบอร์   ปัจจุบัน มีเพียงปัจจัยเดียวเท่านั้นที่ผู้ตกเป็นเป้าหมายสามารถควบคุมได้โดยสมบูรณ์ นั่นก็คือ ความพร้อม (หรือการขาดความพร้อม) ของตนเอง   ช่วงที่โควิดระบาด บริษัทหลายแห่งได้ควบรวมและจัดแจงรายจ่ายทางเทคโนโลยีใหม่ ทั้งได้มีการลงทุนเพื่อปรับธุรกิจให้เป็นระบบดิจิทัล ด้านฝ่ายไอทีก็เน้นไปที่การเปิดใช้ระบบการทำงานจากทางไกล เพื่อให้พนักงานและระบบภายในองค์กรมีความปลอดภัย…

เปิด 10 ข้อ ไซเบอร์ซิเคียวริตี้ 2023 เตรียมองค์กรพร้อมรับความเสี่ยง

บทความน่าสนใจ

  “ปริญญา หอมเอนก” ประธานกรรมการบริหาร บริษัท เอซิส โปรเฟสชั่นนัล เซ็นเตอร์ จำกัด ทำนายแนวโน้มดังกล่าวทุกปีเช่นกัน สำหรับ Top Ten Cybersecurity & Privacy Threats and Trends 2023   ปีนี้มาพร้อมกับคำแนะนำ 10 ข้อ ไซเบอร์ซิเคียวริตี้ 2023 ดังนี้   1.จัดให้มีการซ้อมหนีไฟทางไซเบอร์ หรือ Cyber Drill การสร้างความตระหนักรู้ความปลอดภัยไม่เพียงพออีกต่อไปแล้ว ดังนั้นองค์กรจำเป็นจะต้องจัดให้มีการซ้อมหนีไฟทางไซเบอร์ หรือที่เรียกว่า Cyber Drill เพื่อซักซ้อมแนวทางปฏิบัติที่จะรับมือกับการเผชิญเหตุอย่างน้อยปีละ 1-2 ครั้ง เป็นการสร้างภูมิคุ้มกันให้แก่บุคลากรและองค์กรไปพร้อมๆ กัน   ปริญญา อธิบายว่า “Cyber Drill” (Cyber Attack Simulation) เป็นการจำลองเหตุการณ์โจมตี ทั้งการโจมตีระบบ และการโจมตีที่จิตใจคน เพราะปัจจุบันภัยไซเบอร์ ไม่ได้มาในรูปแบบการโจมตี เพื่อบุกรุกเข้าสู่ระบบสารสนเทศขององค์กรเพียงอย่างเดียว แต่จะมุ่งเป้าโจมตีไปที่จิตใจคนเพื่อให้เกิดความโลภหรือเกิดความกลัวจนรีบทำในสิ่งที่แฮกเกอร์หลอกลวงโดยไม่รู้เท่าทัน   การจำลองเหตุการณ์ Cyber Attack จะทำให้เกิดความคุ้นชินกับการโจมตีที่มุ่งเป้าไปที่ตัวบุคคล เพราะเมื่อเราได้เห็นหรือมีประสบการณ์แล้วก็จะรู้ว่า…

“สกมช.”ห่วงหน่วยงานรัฐขาดผู้บริหารด้านไอที

บทความน่าสนใจ

  เผย หน่วยงานโครงสร้างพื้นฐานของภาครัฐ ยังขาดผู้บริหารความมั่นคงปลอดภัยสารสนเทศ ตามที่กฎหมายกกำหนดให้ต้องมี เพื่อป้องกันและบริหารความเสี่ยงด้านภัยไซเบอร์ เร่งจัดอบรมและประสานหน่วยงานต่าง ๆ ให้ปฏิบัติตามเกณฑ์มาตรฐานขั้นต่ำที่กำหนด   พล.อ.ต.อมร ชมเชย เลขาธิการคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์ (สกมช.) เปิดเผยว่า กฎหมายลูกของ พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 ได้บังคับให้หน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (ซีไอไอ) ของประเทศ เช่น ด้านการเงิน โทรคมนาคม  สาธารณูปโภค สาธารณสุข การศึกษา ฯลฯ  ต้องมีตำแหน่งผู้บริหารความมั่นคงปลอดภัยสารสนเทศ หรือซิโซ่ (CISO) เพื่อทำหน้าที่บริหารความเสี่ยงด้านความปลอดภัยทางไซเบอร์ให้กับหน่วยงาน ให้ได้ตามมาตรฐานที่กฎหมายกำหนดและป้องกันความเสี่ยง และผลกระทบต่อที่อาจเกิดขึ้น กรณีถูกโจมตีจนเกิดความเสียหายต่อระบบ ทำให้บริการหรือธุรกิจหยุดชะงัก จนส่งผลต่อประชาชนในวงกว้าง   อย่างไรก็ตาม ในปัจจุบันบางหน่วยงานของรัฐ รวมถึงรัฐวิสาหกิจ ที่เกี่ยวข้องกับงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ ยังไม่มีการตั้งบุคคลมาดำรงตำแหน่งนี้ เนื่องจากขาดแคลนบุคลากรที่เชี่ยวชาญ ที่จะขึ้นมาในระดับผู้บริหาร ขณะที่หน่วยงานที่เกี่ยวข้อง ที่เป็นภาคเอกชน เช่น สถาบันการเงิน ฯลฯ ไม่น่าเป็นห่วง เนื่องจากมีบุคลากรที่พร้อมกว่า รวมถึงมีงบประมาณในการจ้างผู้เชี่ยวชาญในส่วนนี้ ให้มาทำงานได้ ซึ่งที่ผ่านมาทาง สกมช. ก็ได้เร่งแก้ปัญหาในกับหน่วยงานรัฐ ด้วยการเปิดหลักสูตรด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ ระดับผู้บริหาร (เอ็กซ์คูลซีฟ ซิโซ่) ในรุ่นที่ 1 ซึ่งมีผู้บริหารหน่วยงานรัฐ สำเร็จจบหลักสูตรแล้ว 69 คน   พล.อ.ต.อมร กล่าวต่อว่า ทาง สกมช. ได้พยายามประสานและแจ้งหน่วยงานเหล่านี้แล้ว…

มือถือหรือคอมพิวเตอร์ถูกแฮ็กได้อย่างไร

บทความน่าสนใจ

  ช่วงนี้เราคงเคยได้ยินข่าวเกี่ยวกับมือถือ คอมพิวเตอร์ หรืออุปกรณ์อื่นใดที่ทำงานคล้ายคอมพิวเตอร์ (ในที่นี้แทนทั้งหมดด้วย “คอมพิวเตอร์”) ถูกแฮ็ก ทำให้สูญเงินในบัญชีกันบ่อยขึ้น แทบจะเกิดขึ้นรายวัน   เพราะเราสามารถทำเกือบทุกอย่างได้ผ่านคอมพิวเตอร์ ดังนั้น คอมพิวเตอร์เหล่านี้จึงตกเป็นเป้าโจมตีมากยิ่งขึ้น   ปัจจัยและสาเหตุของการถูกแฮกและขโมยข้อมูล – มีหลายปัจจัยที่ส่งผลกระทบและสร้างเสียหายความรุนแรงต่อคอมพิวเตอร์และผู้ใช้งาน   เช่น การดูแลรักษาคอมพิวเตอร์มีการอัปเดตระบบปฏิบัติการหรือซอฟต์แวร์เป็นรุ่นล่าสุดหรือไม่ ประเภทภัยคุกคามที่มาโจมตี จำนวนเงินที่มีอยู่ในบัญชีหรือบัตรเครดิต ความสำคัญของข้อมูลในระบบ เป็นต้น   สาเหตุที่คอมพิวเตอร์ถูกแฮกเกิดจาก 5 พฤติกรรม ดังนี้   1.การขาดความตระหนักรู้และขาดการไตร่ตรอง – เป็นสิ่งที่สุ่มเสี่ยงและมีผลกระทบมากที่สุด เพราะเป็นจุดเริ่มต้นที่ทำให้เกิดความเสี่ยงต่าง ๆ เช่น ในระหว่างทำธุรกรรมก็อาจเข้าใช้งานเว็บไซต์หรือดาวน์โหลดข้อมูลโดยไม่ได้ตรวจสอบเว็บไซต์   โปรแกรมที่ดาวน์โหลดมาหรือสังเกตอีเมลลิงก์ต่าง ๆ รวมถึงคลิกลิงก์ที่แนบมาโดยไม่ได้ระวัง ทำให้ตกเป็นเหยื่อของผู้ไม่ประสงค์ดีที่อาจส่งอีเมลหลอกลวงเพื่อขโมยข้อมูลหรือติดตั้งมัลแวร์ (โปรแกรมอันตราย) ได้   หรือเห็นได้จากหลาย ๆ ข่าวที่มิจฉาชีพปลอมตัวเป็นเจ้าหน้าที่รัฐ เช่น สรรพากร ตำรวจ เป็นต้น ทำการหลอกล่อเหยื่อโดยการส่งลิงก์มาให้โหลด และเหยื่อก็ติดตั้งซอฟต์แวร์จากลิงก์นั้น ทำให้สูญเงินไปหลายล้านบาท…

ชี้หน่วยงานรัฐเสี่ยงโดนโจมตีไซเบอร์เพิ่มขึ้นหลังก.ม.บังคับให้บริการปชช.ผ่านออนไลน์

บทความน่าสนใจ

  สกมช. เผยแนวโน้มภัยคุกคามทางไซเบอร์ในประเทศไทย มีแนวโน้มที่เพิ่มสูงขึ้นอย่างต่อเนื่อง หลังไทยจะบังคับใช้ปฏิบัติราชการทางอิเล็กทรอนิกส์ ในเดือน ม.ค. 66   พลอากาศตรี อมร ชมเชย เลขาธิการคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์ (สกมช.) เปิดเผยว่า แนวโน้มภัยคุกคามทางไซเบอร์ทั้งในระดับโลก ระดับภูมิภาค และในประเทศไทย มีแนวโน้มที่เพิ่มสูงขึ้นอย่างต่อเนื่อง ประกอบกับการที่ประเทศไทยมีการนำเทคโนโลยีสารสนเทศมาใช้ในการทำงานเพิ่มสูงขึ้น ทั้งในหน่วยงานของรัฐ หน่วยงานเอกชน และหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ   ล่าสุดได้มีกฎหมายสำคัญ คือ พระราชบัญญัติการปฏิบัติราชการทางอิเล็กทรอนิกส์ พ.ศ. 2565  ที่จะบังคับใช้ในเดือน ม.ค. 66 ซึ่งมุ่งผลักดันให้หน่วยงานของรัฐจะต้องให้บริการประชาชนด้วยวิธีการทางอิเล็กทรอนิกส์ที่เพิ่มสูงขึ้น ส่งผลให้เกิดความเสี่ยงจากภัยคุกคามทางไซเบอร์ที่เพิ่มสูงขึ้น จนอาจส่งผลกระทบต่อการให้บริการต่อประชาชนอย่างหลีกเลี่ยงไม่ได้ โดยเฉพาะหลายหน่วยงานรัฐยังขาดแคลนบุคลากรที่ทำงานดูแลด้านไอทีจำนวนมาก   พลอากาศตรี อมร กล่าวต่อว่า สกมช. มุ่งมั่นที่จะลดความเสี่ยงดังกล่าว เพื่อยกระดับประเทศเพื่อให้มีความมั่นคงปลอดภัยไซเบอร์ โดยได้มีการประกาศนโยบายและแผนปฏิบัติการว่าด้วยความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2565-2570 ซึ่งจะเป็นกรอบแนวทางการดำเนินการรักษาความมั่นคงปลอดภัยไซเบอร์ของประเทศ ที่มุ่งเน้นทั้งการเสริมสร้างศักยภาพ การป้องกัน การรับมือ ลดความเสี่ยงจากภัยคุกคามทางไซเบอร์ และการตอบสนองต่อเหตุภัยคุกคาม พร้อมฟื้นฟูระบบให้กลับคืนสู่สภาวะปกติอย่างทันท่วงที โดยเฉพาะหน่วยงานที่เกี่ยวกับโครงสร้างพื้นฐาน เพื่อเพิ่มประสิทธิภาพในการรับมือภัยคุกคามทางไซเบอร์ที่อาจเกิดขึ้น ทำให้หน่วยงานต่าง ๆ เกิดความตระหนักรู้เกี่ยวกับสถานการณ์ความเสี่ยงด้านไซเบอร์ของประเทศ และเกิดความปลอดภัยต่อประชาชนมากยิ่งขึ้น.     ——————————————————————————————————————————————————————————- ที่มา :                                เดลินิวส์ออนไลน์         …