Vulnerability Assessments & Penetration Test (VA/PT) - Timetable

Test timetable

 

Threat & Vulnerability, Security Patch response timetable

การจัดการอุบัติการณ์ด้าน IT (IT Incident Management)

ในยุคดิจิทัลที่ระบบเทคโนโลยีสารสนเทศ (IT) กลายเป็นหัวใจสำคัญของการดำเนินธุรกิจ ความผิดพลาดหรือเหตุการณ์ผิดปกติด้าน IT (IT Incident) อาจส่งผลกระทบอย่างร้ายแรงต่อการดำเนินงาน ชื่อเสียง หรือความเชื่อมั่นของลูกค้า การจัดการอุบัติการณ์ด้าน IT (IT Incident Management) จึงเป็นกระบวนการที่จำเป็นสำหรับธุรกิจทุกประเภท เพื่อให้สามารถตอบสนองต่อเหตุการณ์ได้อย่างมีประสิทธิภาพและลดผลกระทบให้น้อยที่สุด

เคยเขียนเรื่อง Incident Management (Why & How) เอาไว้ วันนี้มาเขียนเป็นเวอร์ชั่นภาษาไทยอีกครั้ง (หลายท่านที่หลงเข้ามาอาจไม่สันทัดในภาษาอังกฤษ) แต่จะไม่ละเอียดเท่านะ อันนั้นจะเขียนตาม NIST ;)))

การตรวจสอบด้านเทคโนโลยีสารสนเทศ (Information Technology Audit)

การตรวจสอบด้านเทคโนโลยีสารสนเทศ (Information Technology Audit หรือ IT Audit) เป็นกระบวนการสำคัญที่ช่วยให้องค์กรมั่นใจได้ว่าระบบ IT มีความปลอดภัย สอดคล้องกับข้อกำหนดทางกฎหมาย และมีประสิทธิภาพในการสนับสนุนเป้าหมายทางธุรกิจ ในยุคที่เทคโนโลยีมีบทบาทสำคัญในทุกภาคส่วน การตรวจสอบ IT จึงเป็นเครื่องมือสำคัญในการจัดการความเสี่ยงและเพิ่มความโปร่งใสในกระบวนการทำงานขององค์กร

ความสำคัญของ IT Audit

1. การบริหารความเสี่ยง (Risk Management):
• IT Audit ช่วยระบุช่องโหว่และความเสี่ยงที่อาจเกิดขึ้นในระบบ IT เช่น การโจมตีทางไซเบอร์ การสูญหายของข้อมูล หรือปัญหาในกระบวนการทำงาน
• การตรวจสอบช่วยให้องค์กรสามารถวางแผนรับมือกับความเสี่ยงได้อย่างมีประสิทธิภาพ ลดโอกาสเกิดความเสียหายทั้งทางการเงินและชื่อเสียง
2. การปฏิบัติตามข้อกำหนดและกฎหมาย (Compliance):
• การตรวจสอบช่วยให้องค์กรปฏิบัติตามมาตรฐานสากล เช่น ISO/IEC 27001, PCI DSS, หรือข้อกำหนดทางกฎหมายที่เกี่ยวข้อง
• ลดความเสี่ยงจากบทลงโทษหรือผลกระทบทางกฎหมาย
3. เพิ่มประสิทธิภาพการดำเนินงาน (Operational Efficiency):
• ช่วยปรับปรุงกระบวนการทำงานด้าน IT ให้มีประสิทธิภาพมากขึ้น โดยระบุจุดอ่อนและเสนอแนวทางแก้ไข
• สนับสนุนการตัดสินใจเชิงกลยุทธ์ด้วยข้อมูลที่ถูกต้องและเชื่อถือได้
4. สร้างความมั่นใจให้ผู้มีส่วนได้ส่วนเสีย:
• IT Audit ช่วยสร้างความมั่นใจให้กับผู้ถือหุ้น ลูกค้า และพนักงานว่าระบบ IT ขององค์กรมีความปลอดภัยและเชื่อถือได้

การบริหารจัดการผู้ให้บริการภายนอก (vendor management)

 การบริหารจัดการผู้ให้บริการภายนอก (Vendor Management) มีความสำคัญอย่างยิ่งในยุคปัจจุบันที่องค์กรต้องพึ่งพาบุคคลภายนอกในการให้บริการต่าง ๆ เพื่อสนับสนุนการดำเนินงาน ดังนั้น การบริหารจัดการผู้ให้บริการภายนอกจึงต้องมีกระบวนการที่ชัดเจน เพื่อให้มั่นใจว่าผู้ให้บริการสามารถปฏิบัติตามข้อกำหนด นโยบาย และมาตรฐานขององค์กร อีกทั้งยังช่วยลดความเสี่ยงด้านการรั่วไหลของข้อมูลหรือการละเมิดความมั่นคงปลอดภัยของข้อมูลได้อย่างมีประสิทธิภาพ 

กระบวนการบริหารจัดการผู้ให้บริการภายนอก แบ่ง ๆ คร่าว ๆ ได้เป็น 5 ขั้นตอน ดังนี้

1. การประเมินผู้ให้บริการภายนอก

การประเมินผู้ให้บริการภายนอกมีวัตถุประสงค์เพื่อให้มั่นใจว่าองค์กรสามารถเลือกผู้ให้บริการที่มีความเหมาะสมทั้งด้านความรู้ ความเชี่ยวชาญ และการดำเนินงานตามมาตรฐานความมั่นคงปลอดภัย เช่น ISO 27001, PCI-DSS, หรือ SOC2 การประเมินนี้ยังช่วยลดความเสี่ยงที่อาจเกิดจากการทำงานร่วมกับผู้ให้บริการที่ไม่มีคุณภาพ อาทิ การรั่วไหลของข้อมูลหรือการละเมิดข้อกำหนดขององค์กร

ตัวอย่างการประชุมทบทวนฝ่ายบริหาร (Management Review)

 การประชุม Management Review มีบทบาทสำคัญในการประเมินและทวนสอบประสิทธิผลของระบบบริหารงานด้านคุณภาพและความปลอดภัยอาหาร โดยผู้บริหารระดับสูงต้องเข้าร่วมอย่างน้อยปีละ 1 ครั้ง เพื่อพิจารณาประสิทธิภาพขององค์กรตามมาตรฐานและวัตถุประสงค์ที่กำหนดไว้   ในบริบทตามมาตรฐาน ISO/IEC 27001 มุ่งเน้นไปที่การกำกับดูแล และติดตามประสิทธิภาพของระบบบริหารจัดการความมั่นคงปลอดภัยสารสนเทศ (ISMS) เพื่อให้มั่นใจว่าองค์กรสามารถปกป้องข้อมูลสำคัญได้อย่างเหมาะสม รวมถึงสอดคล้องกับข้อกำหนดของมาตรฐานและเป้าหมายด้านความปลอดภัยสารสนเทศ

วาระการประชุมและตัวอย่าง

1. สถานะการดำเนินงานจากการประชุมครั้งก่อน
   ตัวอย่าง: ในการประชุมครั้งก่อน มีข้อเสนอให้ปรับปรุงนโยบายการจัดการรหัสผ่านให้มีความเข้มงวดมากขึ้น เช่น การบังคับใช้ MFA (Multi-Factor Authentication) ภายใน 6 เดือน
   การติดตาม: ในการประชุมนี้ รายงานผลว่าได้ดำเนินการติดตั้ง MFA สำเร็จแล้วใน 80% ของระบบ โดยส่วนที่เหลือกำลังอยู่ระหว่างการทดสอบการใช้งาน

2. การเปลี่ยนแปลงภายนอกและภายใน
   ตัวอย่าง: พบว่ามีการเปลี่ยนแปลงกฎหมายคุ้มครองข้อมูลส่วนบุคคล (PDPA) ที่ส่งผลต่อการจัดเก็บและประมวลผลข้อมูล
   การพิจารณา: ทบทวนและปรับเปลี่ยนนโยบายการจัดเก็บข้อมูลส่วนบุคคลให้สอดคล้องกับกฎหมายใหม่

3. ผลการทวนสอบและปรับปรุงระบบควบคุมความปลอดภัย (Security Controls)
   ตัวอย่าง: มีการอัปเกรดระบบไฟร์วอลล์เพื่อป้องกันการโจมตีจากภายนอก เช่น การโจมตีแบบ DDoS
   การรายงาน: ผลการติดตั้งไฟร์วอลล์ใหม่ลดการโจมตีได้ถึง 90%