หลักเกณฑ์การดูแลความเสี่ยงด้านระบบสารสนเทศ

การจัดการความเสี่ยงด้านสารสนเทศ มี 2 มาตราการ คือ

มาตรการขั้นต้น “เฉพาะที่จำเป็น” (Cyber Hygiene) เพื่อยกระดับความปลอดภัยในการป้องกันและรับมือภัยคุกคามทางไซเบอร์ ทั้งภายใน ภายนอก

มาตราการขั้นสูง (Risk management) โฟกัสการสร้างมาตราฐานในการบริหารความเสี่ยง โดยคำนึงถึงโครงสร้างองค์กร การกำหนดบทบาทหน้าที่ของผู้ดูแล การกำหนดนโยบายความปลอดภัยทั้งการเข้าถึงข้อมูล การรักษาข้อมูล การใช้ข้อมูล การเปิดเผยข้อมูล ซึ่งจะต้องจัดการให้เหมาะสมกับประเภทธุรกิจ ที่สำคัญต้องสอดคล้องตามหลัก 3-Lines of Defense ซึ่งเป็นเครื่องมือมาตรฐานสากลมาตรการตรวจสอบ

การประเมินความเสี่ยง

หลักการประเมินความเสี่ยงโดยทั่วไป มีดังต่อไปนี้

ระบุความเสี่ยง คือ การระบุ หรือคาดการณ์ถึงความเสี่ยงที่อาจจะเกิดขึ้นกับระบบสารสนเทศ

วิเคราะห์ถึงปัจจัยว่าสิ่งใด เรื่องใด ที่น่าจะมีความเกี่ยงข้องกับตัวภัยคุกคาม ภัยร้ายไซเบอร์

ปัจจัยใดที่ส่งผลกระทบต่อการทำงานของระบบสารสนเทศ

การกำหนดความรุนแรงของความเสี่ยงที่มีผลกระทบต่อระบบสารสนเทศอยู่ในระดับใด

รุนแรงมาก คือความเสี่ยงที่ทำให้องค์กรไม่สามารถดำเนินการใดๆ ได้

รุนแรงปานกลาง คือสร้างความป่วน ติดขัด แต่องค์กรยังดำเนินการได้

รุนแรงต่ำ คือ ไม่ติดขัด แต่ขรุขระบ้างเล็กน้อย

ต้องตัดสินใจว่าจะวางแผนแก้ไขทั้งเชิงนโยบาย และเชิงเทคนิค เช่น การปิดช่องโหว่ใดก่อน หลัง (priority ในการปิดช่องโหว่)

การจำลองการประเมินความเสี่ยง และการจัดลำดับความเสี่ยง

การบริหารความเสี่ยงไซเบอร์

สถาบันมาตรฐานและเทคโนโลยีแห่งชาติ (NIST) ช่วยสร้างกลยุทธ์การป้องกัน และการบริหารความเสี่ยงทางไซเบอร์ ซึ่งมีองค์ประกอบดังนี้

Identify ระบุบุคคล กระบวนการ หรือระบบทั้งหมดที่อาจเสี่ยงต่อภัยคุกคาม

Protect วิธีการจำกัดการคุกคาม หรือการโจมตี ด้วยการลบ หรือ บล็อกช่องโหว่

Detect หากไม่สามารถหยุดการคุกคามได้ องค์กรก็จะต้องรู้ว่าภัยคุกคามนั้น คืออะไร ต้นตอจากไหน มีพฤติกรรมอย่างไร

Respond รับรู้ว่ามีภัยคุกคาม จึงต้องมีการป้องกันที่เข้มแข็งสูงขึ้น จะต้องไม่เพิกเฉย ละเลยในการจัดการ

Recover การกู้ข้อมูล กู้ระบบเพื่อให้ทำงานได้ตามปกติอย่างรวดเร็ว

**การจัดการเหล่านี้ต้องมี Network Security และผู้ให้บริการช่วยจัดการ

Network Security มีอะไรบ้าง
* Firewall                                                       * Data Loss Prevention (DLP)
* Intrusion Prevention System (PS)          * E mail Security
* Antivirus                                                     * Cloud Security