The CIA triad, a foundational concept in IT security, stands for Confidentiality, Integrity, and Availability. It is sometimes referred to as the AIC triad in other contexts.
Wednesday, May 15, 2024
Monday, May 13, 2024
Risk appetite vs Risk tolerance
ระดับเบี่ยงเบนที่ยอมรับได้ (risk tolerance) เป็นช่วงเบี่ยงของระดับความเสี่ยงที่องค์กรยอมรับได้ โดยระดับเบี่ยงเบนที่ยอมรับได้ต้องสอดคล้องกับระดับขององค์กรที่ยอมให้เบี่ยงเบนได้ที่ได้ระบุไว้ (ในแผนปฏิบัติงานประจำปี) ถ้าไม่มีการระบุ ควรเป็นค่าที่ได้ผ่านการอนุมัติแล้ว (เช่น ผ่านการอนุมัติจากคณะกรรมการบริหารองค์กร)
Sunday, May 12, 2024
Intrusion Detection System (IDS) --- ระบบตรวจจับการบุกรุก
ระบบตรวจจับการบุกรุก (IDS) หรือ Intrusion Detection System เป็นเครื่องมือที่ใช้สำหรับการรักษาความปลอดภัยของระบบคอมพิวเตอร์ โดยตรวจจับและแจ้งเตือนเมื่อมีการบุกรุกหรือสิ่งที่ผิดปกติเกิดขึ้นในระบบ ซึ่ง IDS มีบทบาทสำคัญในการเฝ้าระวังและป้องกันการโจมตีเครือข่าย แม้ว่า IDS จะไม่สามารถป้องกันการโจมตีได้ แต่มีประโยชน์ในการตรวจจับความพยายามของผู้ใช้ที่ได้รับอนุญาตในการเข้าถึงไฟล์หรือใช้โปรแกรมที่ไม่ได้รับอนุญาต.
ระบบ IDS สามารถแบ่งเป็นสองประเภทหลัก:
- ระบบตรวจจับการบุกรุกรูปแบบระบบเฝ้าระวัง (Network-based IDS, NIDS): ตรวจจับการบุกรุกในระบบเครือข่าย โดยตรวจสอบการกระทำที่เกิดขึ้นในระบบเครือข่าย และแจ้งเตือนผู้ดูแลระบบเมื่อมีการโจมตีหรือพยายามที่จะบุกรุกเครือข่าย.
- ระบบตรวจจับการบุกรุกรูปแบบระบบโฮสต์ (Host-based IDS, HIDS): ตรวจจับการบุกรุกในระบบโฮสต์ โดยตรวจสอบการกระทำที่เกิดขึ้นในเซิร์ฟเวอร์หรือคอมพิวเตอร์เดี่ยว และแจ้งเตือนผู้ดูแลระบบเมื่อมีการโจมตีหรือพยายามที่จะบุกรุกระบบโฮสต์.
ข้อควรระวัง:
- IDS ไม่สามารถป้องกันไม่ให้ข้อมูลถูกโจมตีได้ แต่เป็นระบบที่คอยแจ้งเตือนภัยเมื่อมีการบุกรุกหรือพยายามที่จะบุกรุกเครือข่าย.
- การตรวจจับของ IDS อาจไม่สามารถตรวจจับความพยายามของผู้ใช้ที่ได้รับอนุญาตในการเข้าถึงไฟล์หรือใช้โปรแกรมที่ไม่ได้รับอนุญาตได้.
Friday, May 10, 2024
ภัยคุกคาม (Threat)
ภัยคุกคาม (Threat) คือสิ่งที่อาจจะก่อให้เกิดความเสียหายต่อคุณสมบัติของข้อมูลในด้านต่างๆ ภัยคุกคามอาจมีลักษณะเป็นการโจมตี (Attack) หรือการบุกรุกเครือข่าย ซึ่งสามารถทำลายข้อมูล หรือทำให้ระบบไม่สามารถใช้งานได้ นอกจากนี้ การเปิดเผยข้อมูล (Disclosure) การหลอกลวงหรือการให้ข้อมูลที่เป็นเท็จ (Deception) และการควบคุมระบบโดยไม่ได้รับอนุญาต (Usurpation) ก็ถือเป็นส่วนหนึ่งของภัยคุกคาม
Friday, April 19, 2024
Wednesday, April 10, 2024
Who is responsible for developing procedures??? --- หน้าที่ในการเขียนคู่มือการปฏิบัติงานคือใคร !!!
บางหน่วยงานคาดหวังให้ทีมคุณภาพเป็นผู้เขียน คุณภาพก็อาจจะบอกว่ามันใช่หน้าที่ของฉัน??? ก่อนอื่นต้องเข้าใจก่อนว่าคู่มือหรือขั้นตอนการปฏิบัติงาน เป็นเอกสารที่ถูกจัดทำเพื่อเป็นแนวทางในการทำงาน เป็นขั้นตอนการปฏิบัติงาน หรือวิธีการที่กำหนดไว้เพื่อใช้ในการปฏิบัติงาน ดังนั้นโดยทั่วไปแล้วคู่มือหรือขั้นตอนการปฏิบัติงานจะถูกจัดทำ หรือเขียนโดยเจ้าของกระบวนการ (Process owner) เช่น คู่มือการผลิต ก็ควรเป็นของทีมผลิต คู่มือการจัดการความเสี่ยง ก็ควรเป็นของทีมความเสี่ยง คู่มือการตรวจสอบภายในก็ควรเป็นของทีมตรวจสอบภายใน เนื่องจากเจ้าของกระบวนการจะทราบรายละเอียดขั้นตอนการทำงานดีที่สุด
Monday, April 1, 2024
นิทานสั้น: "รหัสผ่านที่ปลอดภัย"
ในหมู่บ้านเล็ก ๆ แห่งหนึ่ง มีเด็กชายชื่อ "น้อย" ที่ชอบเล่นเกมออนไลน์เป็นชีวิตจิตใจ น้อยมีเพื่อนสนิทชื่อ "จ้อย" ที่มักจะเล่นเกมด้วยกันเสมอ วันหนึ่ง น้อยได้พบกับเหตุการณ์ที่ทำให้เขาเรียนรู้ถึงความสำคัญของการใช้รหัสผ่านที่ปลอดภัย
Friday, March 15, 2024
ประกาศกระทวงมหาดไทยกำหนดสีถังขยะ
กระทรวงมหาดไทยได้ออกประกาศ เรื่องการจัดการมูลฝอย ปี พ.ศ.2567 เมื่อวันที่ 11 มีนาคม 2567 โดยอาศัยอำนาจตาม พรบ.รักษาความสะอาดแบะความเป็นระเบียบเรียบร้อยของบ้านเมือง พ.ศ.2560 กำหนดสีของถังขยะ ดังนี้
- สีน้ำเงิน สำหรับมูลฝอยทั่วไป
- สีเขียว สำหรับมูลฝอยอินทรีย์
- สีเหลือง สำหรับมูลฝอยนำกลับมาใช้ใหม่
- สีส้ม สำหรับมูลฝอยที่เป็นพิษ หรืออันตราย
- สีแดง สำหรับมูลฝอยติดเชื้อ
Thursday, March 14, 2024
ประเภทของเอกสารคุณภาพ
- นโยบาย (Policy), คู่มือคุณภาพ (Quality Manual: QM): เป็นแนวทาง หลักการ หรือแนวปฏิบัติที่กำหนดไว้เพื่อเป็นแนวทางในการตัดสินใจ หรือดำเนินการเกี่ยวกับเรื่องใดเรื่องหนึ่ง ที่ถูกกำหนดโดยองค์กร เพื่อเป็นแนวทางในการดำเนินงาน บริหารจัดการ และควบคุมดูแลกิจกรรมต่างๆ
- ระเบียบปฏิบัติ (Standard Procedure: SP / Quality Procedure: QP): เอกสารที่อธิบายลำดับขั้นตอน หรือวิธีการที่กำหนดไว้เพื่อเป็นแนวทางในการปฏิบัติงาน ซึ่งองค์กรได้กำหนดไว้
กฎหมาย และประกาศที่เกี่ยวข้องกับความมั่นคงปลอดภัยไซเบอร์
- พระราชบัญญัติว่าด้วยธุรกรรมทางอิเล็กทรอนิกส์ พ.ศ. 2544 (ฉบับแก้ไขเพิ่มเติม)
- พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 (ฉบับแก้ไขเพิ่มเติม)
- พระราชบัญญัติการบริหารงานและการให้บริการภาครัฐผ่านระบบดิจิทัล พ.ศ. 2562
- พระราชบัญญัติว่าด้วยการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
- ฯลฯ
- ประกาศธนาคารแห่งประเทศไทย ที่ สนส. 21/2562 เรื่อง หลักเกณฑ์การกำกับดูแลความเสี่ยงด้านเทคโนโลยีสารสนเทศ (Information Technology Risk) ของสถาบันการเงิน
- แนวปฏิบัติในการบริหารความเสี่ยงด้านเทคโนโลยีสารสนเทศ (IT Risk Implementation Guideline)
- แนวปฏิบัติการบริหารจัดการความเสี่ยงจากบุคคลภายนอก (Third Party Risk Management Implementation Guideline)
- กรอบการประเมินความพร้อมด้าน Cyber Resilience
- แนวปฏิบัติการทดสอบเจาะระบบแบบ Intelligence-led (iPentest)
- แนวนโยบาย เรื่องการรักษาความมั่นคงปลอดภัยของการให้บริการทางการเงินและการชำระเงินบนอุปกรณ์เคลื่อนที่ (Guiding Principles for Mobile Banking Security)
- ประกาศคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย เรื่อง หลักเกณฑ์การกำกับดูแลและบริหารจัดการความเสี่ยงด้านเทคโนโลยีสารสนเทศของบริษัทประกันชีวิต / ประกันวินาศภัย พ.ศ. 2563
- แนวปฏิบัติ เรื่อง การกำกับดูแลและบริหารจัดการความเสี่ยงด้านเทคโนโลยีสารสนเทศของบริษัทประกันชีวิต / ประกันวินาศภัย พ.ศ. 2563
- แนวปฏิบัติเรื่อง หลักเกณฑ์การกำกับดูแลการใช้บริการจากผู้ให้บริการภายนอกด้านเทคโนโลยีสารสนเทศของบริษัทประกันชีวิต / ประกันวินาศภัย พ.ศ. 2563
- ประกาศสำนักงานคณะกรรมการ ก.ล.ต. ที่ สธ. 38/2565
- กรอบการประเมินความพร้อมด้าน cyber resilience (CRAF)
- คู่มือแนวทางปฏิบัติการกำกับดูแลและบริหารจัดการเทคโนโลยีระดับองค์กรที่ดี (IT governance)
- คู่มือแนวทางปฏิบัติการบริหารจัดการความเสี่ยงด้านเทคโนโลยีสารสนเทศ (IT risk management)
- คู่มือแนวทางปฏิบัติการบริหารจัดการการใช้บริการ cloud computing