ทันทีที่ระบบสารสนเทศ คือหัวใจสำคัญในการทำธุรกิจ
การขยายธุรกิจ ความเสี่ยงจากระบบสารสนเทศก็เกิดขึ้นทันใด ความเสี่ยงที่ว่า คือความเสี่ยงทางไซเบอร์ ซึ่งรวบรวมมาให้รับรู้กันดังนี้
- Ransomware: เข้ารหัสข้อมูล อยากได้ข้อมูลคืนต้องจ่ายค่าไถ่
- Data Leaks: ข้อมูลสำคัญๆ ถูกทำให้รั่วไหลออกไปสู่ภายนอกทั้งโดยตั้งใจ ผ่านช่องทางต่างๆ เช่น usb, hdd, email, internet, เป็นต้น
- Phishing: มิจฉาชีพล่อหลอกให้กรอกข้อมูลต่างๆ เช่น เลขที่บัญชีธนาคาร บัตรประชาชน
- Malware (Malicious Software): มุ่งโจรกรรมข้อมูล มาพร้อมเพื่อนๆ สร้างกับดักลักข้อมูล เช่น Virus, Worms, Trojan, Spyware
- “คนในทำกันเอง”
หลักเกณฑ์การดูแลความเสี่ยงด้านระบบสารสนเทศ
การจัดการความเสี่ยงด้านสารสนเทศ มี 2 มาตราการ คือ
มาตรการขั้นต้น “เฉพาะที่จำเป็น” (Cyber Hygiene) เพื่อยกระดับความปลอดภัยในการป้องกันและรับมือภัยคุกคามทางไซเบอร์ ทั้งภายใน ภายนอก
มาตราการขั้นสูง (Risk management) โฟกัสการสร้างมาตราฐานในการบริหารความเสี่ยง โดยคำนึงถึงโครงสร้างองค์กร การกำหนดบทบาทหน้าที่ของผู้ดูแล การกำหนดนโยบายความปลอดภัยทั้งการเข้าถึงข้อมูล การรักษาข้อมูล การใช้ข้อมูล การเปิดเผยข้อมูล ซึ่งจะต้องจัดการให้เหมาะสมกับประเภทธุรกิจ ที่สำคัญต้องสอดคล้องตามหลัก 3-Lines of Defense ซึ่งเป็นเครื่องมือมาตรฐานสากลมาตรการตรวจสอบ
การประเมินความเสี่ยง
หลักการประเมินความเสี่ยงโดยทั่วไป มีดังต่อไปนี้
ระบุความเสี่ยง คือ การระบุ หรือคาดการณ์ถึงความเสี่ยงที่อาจจะเกิดขึ้นกับระบบสารสนเทศ
วิเคราะห์ถึงปัจจัยว่าสิ่งใด เรื่องใด ที่น่าจะมีความเกี่ยงข้องกับตัวภัยคุกคาม ภัยร้ายไซเบอร์
ปัจจัยใดที่ส่งผลกระทบต่อการทำงานของระบบสารสนเทศ
การกำหนดความรุนแรงของความเสี่ยงที่มีผลกระทบต่อระบบสารสนเทศอยู่ในระดับใด
รุนแรงมาก คือความเสี่ยงที่ทำให้องค์กรไม่สามารถดำเนินการใดๆ ได้
รุนแรงปานกลาง คือสร้างความป่วน ติดขัด แต่องค์กรยังดำเนินการได้
รุนแรงต่ำ คือ ไม่ติดขัด แต่ขรุขระบ้างเล็กน้อย
ต้องตัดสินใจว่าจะวางแผนแก้ไขทั้งเชิงนโยบาย และเชิงเทคนิค เช่น การปิดช่องโหว่ใดก่อน หลัง (priority ในการปิดช่องโหว่)
การจำลองการประเมินความเสี่ยง และการจัดลำดับความเสี่ยง
การบริหารความเสี่ยงไซเบอร์
สถาบันมาตรฐานและเทคโนโลยีแห่งชาติ (NIST) ช่วยสร้างกลยุทธ์การป้องกัน และการบริหารความเสี่ยงทางไซเบอร์ ซึ่งมีองค์ประกอบดังนี้
Identify ระบุบุคคล กระบวนการ หรือระบบทั้งหมดที่อาจเสี่ยงต่อภัยคุกคาม
Protect วิธีการจำกัดการคุกคาม หรือการโจมตี ด้วยการลบ หรือ บล็อกช่องโหว่
Detect หากไม่สามารถหยุดการคุกคามได้ องค์กรก็จะต้องรู้ว่าภัยคุกคามนั้น คืออะไร ต้นตอจากไหน มีพฤติกรรมอย่างไร
Respond รับรู้ว่ามีภัยคุกคาม จึงต้องมีการป้องกันที่เข้มแข็งสูงขึ้น จะต้องไม่เพิกเฉย ละเลยในการจัดการ
Recover การกู้ข้อมูล กู้ระบบเพื่อให้ทำงานได้ตามปกติอย่างรวดเร็ว
**การจัดการเหล่านี้ต้องมี Network Security และผู้ให้บริการช่วยจัดการ
Network Security มีอะไรบ้าง
* Firewall * Data Loss Prevention (DLP)
* Intrusion Prevention System (PS) * E mail Security
* Antivirus * Cloud Security
ผู้ให้บริการ Network Security
บริษัท ภัทร โปรเกรส จำกัด เป็นที่ปรึกษาการสร้างนวัตกรรมการทำงาน การสร้างสรรค์ supply chain การจัดการระบบ ERP รวมถึงการวางระบบ Network Security ให้ทำงานตลอด 24×7 สร้างระบบ Zero Trust ลดความเสี่ยงเรื่องข้อมูลรั่วไหล และภัยคุกคามไซเบอร์
บริษัทฯ จึงได้รับความไว้วางใจจากลูกค้ามากมายซึ่งส่งผลให้บริษัทฯ ได้รับรางวัลในระดับโลก Microsoft Partner Worldwide – Inner Circle Business Application Award ในปี 2021/2022, 2022/2023, 2023/2024 ทั้ง 3 ปีนี้ บริษัทฯ เป็น 1 ใน 264, 76, 79 บริษัท รวมถึง LS Retail – Platinum Partner Award
