Insider Threat: ภัยจากคนในที่ระบบภายนอกกันไม่ได้
ไฟร์วอลล์กันคนนอกได้ แต่กันคนในที่มีสิทธิ์เข้าถึงอยู่แล้วไม่ได้ Insider Threat มาได้ทั้งจากความจงใจและความเผลอ เข้าใจว่าจะลดความเสี่ยงจากคนในโดยไม่ทำลายความไว้วางใจได้อย่างไร
การลงทุนด้านความปลอดภัยส่วนใหญ่มุ่งกันคนนอก แต่ภัยจำนวนมากมาจากคนใน คือคนที่มีสิทธิ์เข้าถึงระบบอยู่แล้ว Insider Threat มาได้สองแบบ แบบจงใจ เช่น พนักงานที่ไม่พอใจนำข้อมูลออกไป และแบบไม่ตั้งใจ เช่น เผลอส่งข้อมูลผิดที่ หรือถูกหลอกจนเปิดทางให้คนร้าย ไฟร์วอลล์และการป้องกันภายนอกกันภัยแบบนี้ไม่ได้ เพราะคนในอยู่หลังกำแพงนั้นแล้ว
ลดความเสี่ยงโดยไม่ทำลายความไว้วางใจ
การรับมือ Insider Threat ต้องสมดุล เพราะถ้าจับตาพนักงานทุกฝีก้าวเหมือนผู้ต้องสงสัย ก็ทำลายวัฒนธรรมและความไว้วางใจ ทางที่ดีคือใช้หลักการเชิงระบบที่ลดความเสี่ยงโดยไม่ต้องระแวงตัวบุคคล เช่น ให้สิทธิ์เท่าที่จำเป็น ทบทวนสิทธิ์เมื่อเปลี่ยนบทบาท ถอดสิทธิ์ทันทีเมื่อลาออก และมีบันทึกการเข้าถึงที่ตรวจย้อนได้ สิ่งเหล่านี้ป้องกันทั้งความจงใจและความเผลอ โดยไม่ทำให้คนรู้สึกถูกจับผิด
- ให้สิทธิ์เท่าที่จำเป็น และถอดออกทันทีเมื่อคนเปลี่ยนบทบาทหรือลาออก
- มีบันทึกการเข้าถึงข้อมูลสำคัญ เพื่อสืบสวนได้เมื่อจำเป็น
- อบรมให้คนรู้ทันการหลอก เพราะ Insider ที่เผลอ ก็เป็นภัยได้
Insider Threat เป็นเครื่องเตือนว่าความปลอดภัยไม่ใช่แค่การสร้างกำแพงสูงกันคนนอก แต่รวมถึงการจัดการสิทธิ์และความตื่นรู้ของคนในด้วย ธุรกิจที่ทำเรื่องนี้อย่างสมดุล จะลดความเสี่ยงจากทั้งความจงใจและความเผลอ โดยยังรักษาวัฒนธรรมความไว้วางใจไว้ได้ ซึ่งเป็นสิ่งที่ทั้งสำคัญและเปราะบางพอ ๆ กัน
บริการที่เกี่ยวข้อง
รับพัฒนาระบบและซอฟต์แวร์เฉพาะทาง
ออกแบบและวางระบบตามความต้องการเฉพาะของธุรกิจคุณ ตั้งแต่ต้นจนใช้งานจริง
WhaleScope
ดูโครงสร้างตลาดของทุกหมวดธุรกิจไทย บน WhaleScope
รายชื่อบริษัท ผู้เล่นรายใหญ่ และอัตราคงอยู่ของแต่ละหมวด — จากข้อมูลจดทะเบียน 2 ล้านนิติบุคคล
อ่านต่อ
Zero Trust จำเป็นกับ SME หรือไม่?
ไม่เชื่อใจใครโดยปริยาย ตรวจสอบทุกครั้ง ฟังดูเป็นแนวคิดขององค์กรใหญ่ แต่สำหรับ SME มันคือเรื่องเกินตัว หรือเป็นเพียงสุขอนามัยพื้นฐานที่เรามองข้าม
Threat Modeling: คิดล่วงหน้าว่าใครจะโจมตีระบบเราอย่างไร
แทนที่จะรอให้ถูกเจาะแล้วค่อยแก้ Threat Modeling คือการนั่งคิดตั้งแต่ออกแบบว่า ใครอยากโจมตีเรา จะเข้าทางไหน และเราจะกันตรงไหน ทำให้ความปลอดภัยเป็นการวางแผน ไม่ใช่การตั้งรับ
Penetration Testing: จ้างคนมาแฮกตัวเองก่อนโจรจะทำ
การคิดว่าระบบปลอดภัย กับการรู้ว่าปลอดภัยจริง ต่างกันมาก Penetration Testing คือการจ้างผู้เชี่ยวชาญมาลองเจาะระบบของคุณอย่างมีจริยธรรม เพื่อหาช่องโหว่ก่อนที่คนร้ายจะเจอ
Security by Design: ใส่ความปลอดภัยตั้งแต่ออกแบบ ไม่ใช่แปะทีหลัง
ความปลอดภัยที่มาคิดทีหลังตอนระบบเกือบเสร็จ มักแพงและไม่แน่นหนา Security by Design คือการคิดเรื่องความเสี่ยงตั้งแต่ออกแบบ ทำให้ระบบปลอดภัยโดยธรรมชาติ ไม่ใช่ด้วยการแปะแก้