NIST Updates Password Security Guidelines

The National Institute of Standards and Technology (NIST) has released new guidelines for password security, marking a significant shift from traditional practices. Key changes include:

• Password Complexity: NIST no longer recommends complex requirements like mixing characters. Instead, they emphasize longer passwords, suggesting a minimum of 8 characters and allowing up to 64 characters for passphrases.
• Periodic Changes: Mandatory periodic password changes are discouraged. Passwords should only be changed when there’s evidence of compromise.
• Weak Passwords: Organizations should block commonly used or compromised passwords and avoid password hints or knowledge-based questions.
• Multi-Factor Authentication: NIST strongly encourages the use of multi-factor authentication (MFA) for added security.

---

NIST Special Publication 800-63B. (n.d.). https://pages.nist.gov/800-63-4/sp800-63b.html#passwordver

Baran, G. (2024, September 27). NIST recommends new rules for password security. Cyber Security News. https://cybersecuritynews.com/nist-rules-password-security/#google_vignette

การเลือกใช้สถิติวิเคราะห์ข้อมูล - ร.ศ.นพวรรณ เปียซื่อ (2016)

 

---

Statistical Analysis and Common Problems | Thai Journal of Nursing and Midwifery Practice (tci-thaijo.org)

แนวทางการจัดทำแผนฉุกเฉินด้านไอที (IT Contingency Plan) เพื่อรับมือกับเหตุการณ์วิกฤต

การจัดการความต่อเนื่องทางธุรกิจ (Business Continuity Management: BCM) เป็นกระบวนการที่องค์กรต้องจัดเตรียมเพื่อให้สามารถดำเนินกิจการได้อย่างต่อเนื่องในกรณีที่เกิดเหตุการณ์ไม่คาดคิด เช่น การหยุดชะงักของระบบเทคโนโลยีสารสนเทศ (IT), ภัยธรรมชาติ, หรือการโจมตีทางไซเบอร์ ในส่วนของการจัดการความต่อเนื่องทางธุรกิจที่เกี่ยวข้องกับระบบ IT จำเป็นต้องมีการวางแผนฉุกเฉินที่มีความครอบคลุมเพื่อให้การให้บริการไม่สะดุด และลดความเสี่ยงที่จะส่งผลกระทบต่อธุรกิจหลักขององค์กร

อ่านมาถึงตรงนี้หลายคนน่าจะนึกในใจว่า "รู้แหละว่าสำคัญ แต่จะเริ่มยังไง?" ... ขอเสนอ 6 ขั้นตอนในการจัดทำแผนให้เป็นระบบครับ ;)))

Micromanage vs. Empower

 

Compliance (Why & How)

Compliance in business is a critical component of ensuring that organizations operate within the boundaries of laws, regulations, and ethical standards. It involves adhering to statutory and regulatory laws, rules, and standards applicable to a business, thereby safeguarding the organization from legal and financial liabilities. This article explores the importance of compliance, the consequences of non-compliance, and how businesses can effectively implement compliance programs.

Why Compliance is Important

Compliance is essential for several reasons:

1. Legal Protection: Adhering to compliance requirements helps organizations avoid fines, penalties, and lawsuits. Non-compliance can lead to severe legal repercussions, including financial losses and damage to the company's reputation
2. Reputation Management: Companies that consistently comply with regulations are seen as trustworthy and reliable. This can enhance their reputation among customers, partners, and investors, leading to increased business opportunities

Endpoint Attacks and Countermeasures

Endpoint security is a critical aspect of safeguarding information systems. An endpoint refers to any device that connects to a network, such as laptops, desktops, mobile devices, or servers. These endpoints are often targeted by attackers due to their accessibility and the critical data they hold. This article outlines the basic concepts of endpoint attacks, the tactics and tools used by attackers, and countermeasures to protect against these threats.

1. User-Initiated Actions

Attack Tactics: Attackers exploit user trust and curiosity through phishing emails, social engineering, and malicious downloads. They impersonate legitimate entities to lure users into clicking malicious links or attachments, leading to malware installation or data breaches.

Countermeasures:

• Implement robust email filtering and anti-phishing solutions.
• Educate users on security best practices.
• Use security software that scans downloads for malicious content.
• Restrict administrative privileges to minimize damage from user-initiated actions.

บริษัท เจไอบี คอมพิวเตอร์ กรุ๊ป จำกัด ถูกปรับเป็นเงิน 7 ล้านบาท

บริษัท เจไอบี คอมพิวเตอร์ กรุ๊ป จำกัด ถูกคณะกรรมการผู้เชี่ยวชาญ คณะที่ 2 (เรื่องร้องเรียนเกี่ยวกับเทคโนโลยีดิจิทัล และอื่น ๆ) มีคำสั่งตัดสินให้รับโทษปรับทางปกครองภายใต้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) ปรับเป็นเงิน 7 ล้านบาท เนื่องจากข้อมูลส่วนบุคคลของลูกค้ารั่วไหล

การส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ (PII Cross-border Transfer)

"การส่งและรับข้อมูลส่วนบุคคลในลักษณะที่เป็นเพียงสื่อกลาง (intermediary) ในการส่งผ่านข้อมูล (data transit) ระหว่างระบบคอบผิวเตอร์หรือระบบเครือข่าย หรือการเก็บพักขัอมูล (data storage) ในรูปแบบชั่วคราวหรือถาวรที่ไม่มีบุคคลภายนอกเข้าถึงข้อมูลส่วนบุคคลนั้น ไม่ถือว่าเป็นการส่งหรือโอนข้อมูลส่วนบุคคล"

--

สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC)

IAAA: Identification, Authentication, Authorization, and Accountability

Identification involves something unique to the user, such as a name, username, ID number, or Social Security number. It establishes who the individual claims to be.

Authentication ensures that the person is who they claim to be, typically involving multifactor authentication (MFA), which combines:

• Type 1: Something you know (password, passphrase, PIN).
• Type 2: Something you have (ID, smart card, token, one-time password).
• Type 3: Something you are (biometrics like fingerprints, iris scans, facial geometry).

Authorization determines what the authenticated user can access, using various models:

• DAC (Discretionary Access Control): Users grant rights to objects.
• MAC (Mandatory Access Control): Strict, least-privilege access, common in military/intelligence sectors.
• RBAC (Role-Based Access Control): Access based on user roles, common in the private sector.
• ABAC (Attribute-Based Access Control): Access based on attributes of the user.

Accountability involves tracing actions to users to ensure non-repudiation, often facilitated through auditing.

เกณฑ์การแชร์ข้อมูลภัยคุกคามทางไซเบอร์ (Traffic Light Protocol : TLP) เวอร์ชัน 2.0

---

ศูนย์ประสานการรักษาความมั่นคงปลอดภัยไซเบอร์ด้านสาธารณสุข (HealthCERT)

เว็บไซต์ข่าวสาร : cyber.moph.go.th