ยินดีต้อนรับสู่โลกของความปลอดภัยทางไซเบอร์!
สวัสดีครับ/ค่ะ ว่าที่ CPA ทุกคน! ยินดีต้อนรับสู่ส่วนที่สำคัญที่สุดส่วนหนึ่งของการสอบ Information Systems and Controls (ISC) นั่นคือเรื่อง ความปลอดภัย (Security) หากใครที่รู้สึกว่าเรื่องเทคโนโลยีเป็นเรื่องยากและน่าปวดหัว ไม่ต้องกังวลไปนะครับ/คะ! เราจะมาย่อยเรื่องนี้ให้กลายเป็นแนวคิดง่ายๆ ที่พบได้ในชีวิตจริง ให้ลองมองว่าความปลอดภัยไม่ใช่เรื่องของโค้ดคอมพิวเตอร์ที่น่าเบื่อ แต่เป็น "รั้วดิจิทัล" ที่ช่วยปกป้องทรัพย์สินที่มีค่าที่สุดของบริษัท ในบทนี้เราจะมาเรียนรู้กันว่าบริษัทต่างๆ มีวิธีการคัดกรองคนที่หน้าประตูอย่างไร ล็อกประตูไว้อย่างไร และวิธีป้องกันตัวจาก "ขโมย" ในโลกดิจิทัลทำได้อย่างไรบ้าง
1. พื้นฐานที่สำคัญ: CIA Triad
ก่อนที่เราจะไปดู "วิธีการ" เราต้องเข้าใจ "เหตุผล" ก่อน ในโลกของความปลอดภัย ทุกสิ่งที่เราทำมีเป้าหมายเพื่อปกป้อง 3 อย่างนี้ ซึ่งเราเรียกว่า CIA Triad (ไม่ใช่ชื่อหน่วยงานสายลับนะ!)
• Confidentiality (ความลับ): คือการเก็บความลับให้เป็นความลับ เฉพาะคนที่ ได้รับอนุญาต เท่านั้นถึงจะเข้าถึงข้อมูลที่มีความสำคัญได้
เปรียบเทียบ: เหมือนซองจดหมายที่ปิดผนึกไว้ ซึ่งมีเพียงผู้รับเท่านั้นที่จะเปิดอ่านได้
• Integrity (ความถูกต้องครบถ้วน): คือการทำให้มั่นใจว่าข้อมูลไม่ถูกแก้ไขหรือเปลี่ยนแปลงโดยไม่ตั้งใจ ข้อมูลต้องมีความแม่นยำและสมบูรณ์
เปรียบเทียบ: เหมือนใบแจ้งยอดบัญชีธนาคารที่แสดงรายการใช้จ่ายจริงของคุณ ไม่ขาดไม่เกินแม้แต่บาทเดียว
• Availability (ความพร้อมใช้งาน): คือการทำให้มั่นใจว่าระบบยังคงทำงานได้ตามปกติเมื่อผู้ใช้ต้องการ
เปรียบเทียบ: เหมือนตู้ ATM ที่ต้องใช้งานได้จริงเวลาที่คุณต้องการเงินสดตอนตี 2
ทบทวนสั้นๆ:
Confidentiality = ความลับ
Integrity = ถูกต้องแม่นยำ
Availability = พร้อมใช้งาน
2. การจัดการอัตลักษณ์และการเข้าถึง (Identity and Access Management - IAM)
IAM คือกระบวนการที่ทำให้มั่นใจว่า "คนที่ใช่" จะได้รับ "สิทธิ์ที่ใช่" ในการเข้าถึง "ทรัพยากรที่ใช่" โดยปกติจะมีขั้นตอน 3 ขั้นตอน ไม่ต้องกังวลหากคำศัพท์เหล่านี้ดูคล้ายกัน นี่คือวิธีแยกแยะครับ/ค่ะ:
ขั้นตอนที่ 1: Identification (การระบุตัวตน)
นี่เป็นเพียงการบอกระบบว่าคุณคือใคร
ตัวอย่าง: การพิมพ์ Username ของคุณ
ขั้นตอนที่ 2: Authentication (การพิสูจน์ตัวตน)
นี่คือการ พิสูจน์ ว่าคุณคือคนที่คุณกล่าวอ้างจริงๆ ในจุดนี้เองที่ Multi-Factor Authentication (MFA) เข้ามามีบทบาท เพื่อความปลอดภัยที่มากขึ้น เราจะขอ "ปัจจัย" จากคนละหมวดหมู่กัน:
• สิ่งที่คุณรู้ (Something you know): รหัสผ่าน หรือ PIN
• สิ่งที่คุณมี (Something you have): กุญแจจริง, สมาร์ทโฟนเพื่อรับรหัส OTP, หรืออุปกรณ์ USB Token
• สิ่งที่คุณเป็น (Something you are): ข้อมูลทางชีวภาพ เช่น ลายนิ้วมือ หรือการสแกนใบหน้า
ข้อควรจำ: การจะเป็น "Multi-Factor" ได้ คุณต้องใช้สิ่งที่มาจากหมวดหมู่ที่ "แตกต่างกัน" เท่านั้น! หากใช้รหัสผ่านสองชุด นั่นไม่ใช่ MFA เพราะนั่นเป็นเพียงปัจจัยประเภท "สิ่งที่คุณรู้" ทั้งคู่ครับ/ค่ะ!
ขั้นตอนที่ 3: Authorization (การอนุญาต)
เมื่อระบบรู้แล้วว่าเป็นคุณจริงๆ แล้วคุณได้รับอนุญาตให้ทำอะไรได้บ้างล่ะ? เรื่องนี้จะถูกควบคุมด้วย หลักการการเข้าถึงขั้นต่ำ (Principle of Least Privilege) กฎนี้บอกว่าพนักงานควรได้รับสิทธิ์เข้าถึงเท่าที่จำเป็นต่อการทำงานเท่านั้น
ตัวอย่าง: พนักงานฝึกหัดไม่ควรจะมีปุ่ม "ลบไฟล์ทั้งหมด" ให้กดได้!
ประเด็นสำคัญ:
Identification คือชื่อของคุณ, Authentication คือบัตรประจำตัว, และ Authorization คือกุญแจที่ไขเข้าได้เฉพาะห้องที่กำหนดเท่านั้น
3. การปกป้องเครือข่าย
องค์กรต่างๆ ใช้เครื่องมือหลายอย่างเพื่อรักษา "บ้านดิจิทัล" ให้ปลอดภัยจากภัยคุกคามภายนอก
ไฟร์วอลล์ (Firewall)
ลองจินตนาการว่า Firewall เหมือนการ์ดเฝ้าหน้าคลับ มันจะคอยยืนคั่นระหว่างเครือข่ายส่วนตัวของบริษัทกับอินเทอร์เน็ตสาธารณะที่เต็มไปด้วยอันตราย มันจะคอยตรวจสอบ "แพ็กเก็ต" ข้อมูลทุกอย่างที่พยายามจะเข้าหรือออกจากเครือข่าย และตัดสินใจว่าจะอนุญาตให้ผ่านหรือไม่ตามชุดกฎที่ตั้งไว้
เครือข่ายส่วนตัวเสมือน (VPNs)
VPN เข้ารหัสที่ตั้งค่าถูกปกป้อง traffic ใน tunnel ผ่านเครือข่ายไม่น่าเชื่อถือ ไม่รับประกัน endpoint/user/app หรือ traffic นอก tunnel ยังต้อง authentication patch access และ endpoint controls
การเข้ารหัส (Encryption)
Encryption คือกระบวนการเปลี่ยนข้อมูลที่อ่านออกได้ (Plaintext) ให้กลายเป็นข้อความที่อ่านไม่รู้เรื่อง (Ciphertext) โดยใช้กุญแจทางคณิตศาสตร์
• Encryption at Rest: การปกป้องข้อมูลในขณะที่เก็บอยู่ในฮาร์ดไดรฟ์หรือเซิร์ฟเวอร์
• Encryption in Transit: การปกป้องข้อมูลในขณะที่เดินทางข้ามอินเทอร์เน็ต (เช่น การใช้ VPN หรือเว็บไซต์ที่เป็น "https")
4. ความปลอดภัยของระบบและอุปกรณ์ปลายทาง (Endpoint Security)
"อุปกรณ์ปลายทาง" (Endpoint) คืออุปกรณ์ใดก็ตามที่เชื่อมต่อกับเครือข่าย ทั้งแล็ปท็อป โทรศัพท์ หรือแม้แต่เครื่องพิมพ์อัจฉริยะ อุปกรณ์เหล่านี้มักจะเป็นจุดที่อ่อนแอที่สุด
การจัดการช่องโหว่ (Vulnerability Management)
ซอฟต์แวร์ไม่มีอะไรสมบูรณ์แบบ มันมักจะมี "รูรั่ว" หรือ ช่องโหว่ (Vulnerabilities) อยู่ แฮกเกอร์มักจะคอยจ้องมองหารูรั่วเหล่านี้ บริษัทต่างๆ จึงต้องทำ Vulnerability Scans เพื่อค้นหา และใช้ Patches (การอัปเดต) เพื่อปิดช่องโหว่เหล่านั้น
ข้อแนะนำ: ถ้าโทรศัพท์ของคุณแจ้งให้อัปเดตซอฟต์แวร์ ก็กดเลย! เพราะนั่นเท่ากับว่าคุณกำลัง "อุดช่องโหว่" ด้านความปลอดภัยอยู่ครับ/ค่ะ
การป้องกันมัลแวร์ (Malware Protection)
Virus แพร่โดยแนบ host file/program ไม่จำเป็นต้องทำลายทุกกรณี Ransomware มักเข้ารหัส/ปิดเข้าถึง แต่ extortion ที่เกี่ยวข้องอาจขโมยข้อมูลขู่เผยแพร่แม้ไม่เข้ารหัส
5. ปัจจัยด้านมนุษย์: วิศวกรรมสังคม (Social Engineering)
บางครั้ง วิธีที่ง่ายที่สุดในการเข้าถึงระบบไม่ได้ผ่านทางคอมพิวเตอร์ แต่ผ่านทางตัวบุคคลที่ใช้งานมัน ซึ่งเราเรียกสิ่งนี้ว่า Social Engineering
BEC ปลอมหรือยึด trusted email เพื่อชักจูงจ่ายเงิน/เปิดเผยข้อมูล อาจเป็นผู้บริหาร vendor หรือผู้ติดต่ออื่น Phishing เป็นเพียงวิธีหนึ่ง ยืนยันการเปลี่ยนสำคัญผ่านช่องทางที่ตรวจสอบแยกแล้ว Social engineeringรวมphishing messagesและpretextingใช้เรื่อง/บทบาทปลอม
BEC ปลอมหรือยึด trusted email เพื่อชักจูงจ่ายเงิน/เปิดเผยข้อมูล อาจเป็นผู้บริหาร vendor หรือผู้ติดต่ออื่น Phishing เป็นเพียงวิธีหนึ่ง ยืนยันการเปลี่ยนสำคัญผ่านช่องทางที่ตรวจสอบแยกแล้ว Social engineeringรวมphishing messagesและpretextingใช้เรื่อง/บทบาทปลอม
6. การเฝ้าระวังและการตอบสนอง
Logs เก็บ event ที่ตั้งค่าและเข้าถึงได้ ไม่ใช่ทุกกิจกรรมเสมอ ต้องมี coverage เวลาตรงกัน storage protection retention alert triage/response เวลาเฝ้าระวังและคนขึ้นกับองค์กร SOC ไม่ได้มีคน24ชม.อัตโนมัติ
องค์กรมักจะมี ศูนย์ปฏิบัติการความปลอดภัย (Security Operations Center - SOC) ซึ่งเป็นทีมผู้เชี่ยวชาญที่คอยเฝ้าดูบันทึกเหล่านี้ตลอด 24 ชั่วโมง เพื่อมองหา "สัญญาณเตือน" ที่บ่งบอกว่ากำลังเกิดเหตุการณ์ด้านความปลอดภัยขึ้น
กล่องทบทวนสั้นๆ:
MFA: ต้องมีปัจจัยที่ต่างกันอย่างน้อย 2 อย่าง (รู้, มี, เป็น)
Least Privilege: ให้สิทธิ์เท่าที่จำเป็นต้องใช้ในการทำงานเท่านั้น
Firewall: กรองข้อมูลเข้าออก (เหมือนการ์ดเฝ้าคลับ)
VPN: อุโมงค์ปลอดภัยสำหรับการทำงานทางไกล
Phishing: อีเมลหลอกลวงเพื่อขโมยข้อมูล
สรุป: ทำไมเรื่องนี้ถึงสำคัญสำหรับ CPA?
ขาด MFA หรือ control อื่นเพิ่มความเสี่ยงได้ ต้องประเมินบัญชี ระบบ ข้อมูล ภัยและ compensating controls ข้อบกพร่องลำพังไม่ได้พิสูจน์ว่าข้อมูลการเงินถูกแก้หรือผิด
อย่ากังวลไปนะครับ/คะ ถ้าเรื่องนี้ดูมีคำศัพท์เยอะ! แค่จำคำเปรียบเทียบง่ายๆ ไว้: การ์ดเฝ้าคลับ (Firewall), อุโมงค์ลับ (VPN), และรายชื่อแขกที่เข้าได้ (Authorization) คุณทำได้แน่นอน!