Penetration Testing: จ้างคนมาแฮกตัวเองก่อนโจรจะทำ
การคิดว่าระบบปลอดภัย กับการรู้ว่าปลอดภัยจริง ต่างกันมาก Penetration Testing คือการจ้างผู้เชี่ยวชาญมาลองเจาะระบบของคุณอย่างมีจริยธรรม เพื่อหาช่องโหว่ก่อนที่คนร้ายจะเจอ
หลายองค์กรมั่นใจว่าระบบของตัวเองปลอดภัย เพราะยังไม่เคยถูกเจาะ แต่การไม่เคยถูกจับได้ ไม่เท่ากับปลอดภัย Penetration Testing หรือการทดสอบเจาะระบบ คือการจ้างผู้เชี่ยวชาญด้านความปลอดภัยมาลองโจมตีระบบของคุณด้วยเทคนิคเดียวกับคนร้าย แต่ทำอย่างมีจริยธรรมและได้รับอนุญาต เพื่อค้นหาช่องโหว่จริงก่อนที่จะมีคนใช้มันทำร้ายคุณ
ต่างจากการสแกนช่องโหว่อัตโนมัติ
เครื่องสแกนอัตโนมัติบอกได้ว่ามีจุดที่น่าสงสัย แต่ Penetration Testing ไปไกลกว่า คือผู้เชี่ยวชาญจะลองต่อช่องโหว่หลายจุดเข้าด้วยกันเหมือนที่คนร้ายจริงทำ เพื่อดูว่าเจาะเข้าไปได้ลึกแค่ไหน เข้าถึงข้อมูลอะไรได้บ้าง สิ่งที่ได้คือภาพจริงของความเสี่ยง ไม่ใช่แค่รายการจุดอ่อนที่ยังไม่รู้ว่ารวมกันแล้วอันตรายแค่ไหน
- ทำเป็นรอบ โดยเฉพาะหลังเปลี่ยนระบบใหญ่หรือก่อนเปิดบริการใหม่
- กำหนดขอบเขตให้ชัด และตกลงกติกาเป็นลายลักษณ์อักษรก่อนเริ่ม
- สิ่งที่สำคัญคือการแก้ตามรายงาน ไม่ใช่แค่เก็บรายงานไว้
Penetration Testing ไม่ใช่การพิสูจน์ว่าทีมไอทีทำงานไม่ดี แต่เป็นการยอมรับว่าไม่มีระบบใดสมบูรณ์แบบ และเลือกที่จะรู้ความจริงด้วยตัวเองก่อน ดีกว่าให้คนร้ายเป็นคนบอกความจริงนั้นผ่านการโจมตี
บริการที่เกี่ยวข้อง
รับพัฒนาระบบและซอฟต์แวร์เฉพาะทาง
ออกแบบและวางระบบตามความต้องการเฉพาะของธุรกิจคุณ ตั้งแต่ต้นจนใช้งานจริง
WhaleScope
ดูโครงสร้างตลาดของทุกหมวดธุรกิจไทย บน WhaleScope
รายชื่อบริษัท ผู้เล่นรายใหญ่ และอัตราคงอยู่ของแต่ละหมวด — จากข้อมูลจดทะเบียน 2 ล้านนิติบุคคล
อ่านต่อ
Threat Modeling: คิดล่วงหน้าว่าใครจะโจมตีระบบเราอย่างไร
แทนที่จะรอให้ถูกเจาะแล้วค่อยแก้ Threat Modeling คือการนั่งคิดตั้งแต่ออกแบบว่า ใครอยากโจมตีเรา จะเข้าทางไหน และเราจะกันตรงไหน ทำให้ความปลอดภัยเป็นการวางแผน ไม่ใช่การตั้งรับ
Insider Threat: ภัยจากคนในที่ระบบภายนอกกันไม่ได้
ไฟร์วอลล์กันคนนอกได้ แต่กันคนในที่มีสิทธิ์เข้าถึงอยู่แล้วไม่ได้ Insider Threat มาได้ทั้งจากความจงใจและความเผลอ เข้าใจว่าจะลดความเสี่ยงจากคนในโดยไม่ทำลายความไว้วางใจได้อย่างไร
Security by Design: ใส่ความปลอดภัยตั้งแต่ออกแบบ ไม่ใช่แปะทีหลัง
ความปลอดภัยที่มาคิดทีหลังตอนระบบเกือบเสร็จ มักแพงและไม่แน่นหนา Security by Design คือการคิดเรื่องความเสี่ยงตั้งแต่ออกแบบ ทำให้ระบบปลอดภัยโดยธรรมชาติ ไม่ใช่ด้วยการแปะแก้
Defense in Depth: ป้องกันหลายชั้น เผื่อชั้นใดชั้นหนึ่งพลาด
ไม่มีมาตรการความปลอดภัยใดสมบูรณ์แบบ Defense in Depth คือการวางการป้องกันหลายชั้น เพื่อให้เมื่อชั้นหนึ่งถูกเจาะ ยังมีชั้นถัดไปคอยหยุด ไม่ใช่ฝากความหวังไว้กับกำแพงเดียว