WEEK 13 : IT Security

การรักษาความปลอดภัยระบบสารสนเทศและจรรยาบรรณเบื้องต้น
ความเสี่ยงของระบบสารสนเทศ
หมายถึง เหตุการณ์หรือการกระทำใดๆ ที่ก่อให้เกิดการสูญเสียหรือทำลายฮาร์ดแวร์ (Hardware)ซอฟต์แวร์ (Software) ข้อมูลสารสนเทศ หรือความสามารถในการประมวลผลข้อมูลของระบบ ดังนั้นระบบสารสนเทศถือเป็นหัวใจสำคัญขององค์กรที่ควรให้ความสำคัญเรื่องความปลอดภัยของข้อมูลเป็นอย่างยิ่ง

 
ประเภทบุคคลที่เกี่ยวข้องกับระบบสารสนเทศ

1. แฮกเกอร์ (Hacker) คือบุคคลที่พยายามเข้าไปในระบบสารสนเทศ มีความเชี่ยวชาญในการเจาะฐานข้อมูล ถ้าทำเพื่อแสดงให้เจ้าของระบบทราบว่ายังมีช่องโหว่ของการรักษาความปลอดภัยของระบบอยู่และเรียกว่า แฮกเกอร์ที่มีจรรยาบรรณ
2. แครกเกอร์ (Cracker) คือบุคคลที่ทำอันตรายต่อการรักษาความปลอดภัยของระบบสารสนเทศโดยมีวัตถุประสงค์ร้าย เจาะเพื่อขโมยฐานข้อมูลเป็นต้น
3. ผู้ก่อให้เกิดภัยมือใหม่ (Script Kiddies) คือบุคคลที่ต้องการทำอันตรายระบบรักษาความปลอดภัยแต่ยังไม่มีทักษะทางด้านคอมพิวเตอร์มากนักจึงใช้ซอฟท์แวร์ในการเป็นเครื่องมือเพื่อช่วยในการทำลาย เช่น สร้างไวรัส
4. ผู้สอดแนม (Spies) คือบุคคลที่ถูกจ้างเพื่อเจาะระบบสารสนเทศและขโมยข้อมูล มักมีทักษะทางคอมพิวเตอร์สูง โดยมีเป้าหมายของระบบที่ต้องการเจาะอย่างชัดเจน บางครั้งอาจทำไปตามการว่าจ้างของบริษัทคู่แข่งเพื่อล้วงความลับข้อมูลทางการแข่งขันที่สำคัญ เช่น คนที่ดักดูข้อมูลต่างๆระหว่างการทำงานของบุคคลอื่นๆ
5. เจ้าหน้าที่ขององค์กร (Employees)
6. ผู้ก่อการร้ายทางคอมพิวเตอร์ (Cyber terrorist) ใช้ความเชื่อของตนเองในการปรับเปลี่ยนข้อมูลสารสนเทศ หรือการทำให้ระบบสารสนเทศ ปฏิเสธการให้บริการกับผู้ใช้ที่มีสิทธิในการใช้ระบบอย่างถูกต้อง หรือเจาะเข้าไปในระบบเพื่อทำให้ข้อมูลเสียหายอย่างมาก ผู้ก่อการร้ายทางคอมพิวเตอร์เป็นนักเจาระบบที่น่ากลัวมากที่สุดในจำนวนนักเจาะระบบ มีทักษะทางคอมพิวเตอร์ที่สูงมาก นอกจากนี้ยังเป็นการยากที่จะทำนายว่าจะโจมตีจะเกิดเวลาไหนและที่ใด โจมตีในรูปแบบใหม่อย่างอย่างฉับพลันและรวดเร็ว

ประเภทของความเสี่ยงของระบบสารสนเทศ1.การโจมตีระบบเครือข่าย (Network attack)

-  การโจมตีขั้นพื้นฐาน (Basic Attacks)  เช่น กลลวงทางสังคม (Social engineering), การรื้อค้นเอกสารคอมพิวเตอร์จากที่ทิ้งขยะ (Dumpster Diving )

- การโจมตีด้านคุณลักษณะ (Identity Attacks) เช่น DNS Spoofing, e-mail spoofing เช่นการกดลิงค์ในอีเมลล์, Web Page Spoofing การหลอกล่อให้เข้าไปในเว็บ เพื่อให้กรอกข้อมูลหรือรหัสต่างๆ โดยใช้ URL ที่คล้ายๆของจริง, IP Spoofing ปลอม IP แทนที่จะเข้าเว็บที่ต้องการ กลับไปยังหน้าที่มีลักษณะคล้ายกันมาก

-  การปฏิเสธการให้บริการ (Denial of Service หรือ DoS) เช่น Distributed denial-of-service (DDoS) ไวรัสหรือ Malware ที่ตั้งเวลาไว้ว่า ถ้า ณ เวลานั้นยังมีการออนไลน์ใช้งานเครื่องอยู่ ให้ส่งข้อมูลไปยังที่ต่างๆ โดยที่ผู้ใช้คอมไม่รู้ตัว เพราะมันไม่ได้ทำอันตรายต่อคอม โดยกลุ่มข้อมูลที่ถูกจัดส่งไปยังเว็บสามารถติดตามพฤติกรรมของผู้ใช้ได้ ซึ่งอาจเป็นการละเมิดความเป็นส่วนตัวได้, DoSHTTP (HTTP Flood Denial of Service)

2.การโจมตีด้วยมัลแวร์ (Malware)

- โปรแกรมที่โจมตีการปฏิบัติงานของคอมพิวเตอร์ (Computer’s operations) ประกอบด้วย Viruses, Worms, Trojan horse และ Logic bombs

- โปรแกรมที่โจมตีความเป็นส่วนตัวของสารสนเทศ (Information privacy) มีชื่อเรียกทั่วไปว่า Spyware ประกอบด้วย Adware, Phishing, Keyloggers, การเปลี่ยนการปรับแต่งระบบ (Configuration Changers), การต่อหมายเลข (Dialers) และ Backdoors

3. การเข้าถึงระบบโดยไม่ได้รับอนุญาต (Unauthorized access) ส่วนมากจะเป็นการใช้คอมพิวเตอร์หรือข้อมูลในเครื่องคอมพิวเตอร์เพื่อทำกิจกรรมบางอย่างที่ผิดกฏระเบียบของกิจการหรือการกระทำที่ผิดกฏหมาย 

4. การขโมย (Theft)  ได้แก่ การขโมยฮาร์ดแวร์ ซอฟท์แวร์ หรือการขโมยสารสนเทศ

5. ความล้มเหลวของระบบสารสนเทศ (System failure) อาจเกิดจากเสียง (Noise), แรงดันไฟฟ้าต่ำ (Undervoltages) หรือแรงดันไฟฟ้าสูง (overvoltages) 

การรักษาความปลอดภัยของระบบสารสนเทศ
1.การรักษาความปลอดภัยการโจมตีระบบเครือข่าย
- ติดตั้งและ update ระบบโปรแกรมป้องกันไวรัส
- ติดตั้งFirewall
- ติดตั้งซอร์ฟแวร์ตรวจจับการบุกรุก โดยมีการตรวจสอบ IP address ของผู้ที่เข้าใช้งานระบบ
- ติดตั้ง honeypot มีการสร้างระบบไว้ข้างนอก เป็นตัวที่เอาไว้หลอกล่อพวกแฮกเกอร์ที่ต้องการเจาะเข้าระบบ
2. การควบคุมการเข้าถึงระบบโดยไม่ได้รับอนุญาต
- การระบุตัวตน การพิสูจน์ตัวจริง เช่น มีการใส่รหัสผ่าน บอกข้อมูลที่ทราบเฉพาะบุคคลที่เป็นเจ้าของ ใช้บัตรผ่านที่มีลักษณะเป็นบัตรประจำตัว ลักษณะทางกายภาพ
3. การควบคุมการขโมย
- การควบคุมการเข้าถึงทางกายภาพ การรักษาความปลอดภัยของซอฟแวร์โดยเก็บรักษาแผ่นในสถานที่ที่มีการรักษาความปลอดภัย Real time location การใช้ลักษณะทางกายภาพในการเปิดปิดคอมพิวเตอร์ อาจใช้เทคโนโลยีที่สำคัญคือ RFID ในการตรวจนับสิ่งของ
4. การเข้ารหัส คือ การแปลงข้อมูลที่คนทั่วไปสามารถอ่านได้ให้อยู่ในรูปที่เฉพาะคนที่เกี่ยวข้องเท่านั้นจึงสามารถอ่านได้ ประเภทการเข้ารหัส คือ การเข้ารหัสแบบสมมาตร และการเข้ารหัสแบบไม่สมมาตร
5. การรักษาความปลอดภัยอื่นๆ เช่น SSL : Secure sockets layer, S-HTTP, VPN
6. ควบคุมการล้มเหลวของระบบสารสนเทศ เช่น Surge protector, UPS, Disaster Recovery, Business Continuity Planning, มีการใช้ UPS สำรองไฟหรือป้องกันแรงดันไฟฟ้า
7. การสำรองข้อมูล
8. การรักษาความปลอดภัยของ Wireless LAN
จรรยาบรรณ

จรรยาบรรณทางคอมพิวเตอร์ คือหลักปฏิบัติที่แสดงให้เห็นถึงความรู้สึกผิดชอบเกี่ยวกับการใช้ระบบสารสนเทศ ซึ่งประกอบด้วย

- การใช้คอมพิวเตอร์และเครือข่ายโดยไม่ได้รับอนุญาต

- การขโมยซอฟต์แวร์ (การละเมิดลิขสิทธิ์)

- ความถูกต้องของสารสนเทศ เช่น การตกแต่งรูปภาพ เป็นต้น

- สิทธิ์ต่อทรัพย์สินทางปัญญา (Intellectual property rights)

- หลักปฏิบัติ (Code of conduct)

- ความเป็นส่วนตัวของสารสนเทศ (Information privacy)

Presentation

1. Data Center

Data center เป็นพื้นที่ที่ใช้จัดวางระบบประมวลผลกลางและระบบเครือข่ายคอมพิวเตอร์ขององค์กร โดยมากผู้ใช้งานหรือลูกค้าจะเชื่อมต่อมาใช้บริการผ่านระบบเครือข่ายที่มาจากภายนอก Data Center จึงเปรียบได้กับสมองขององค์กรนั่นเอง

   หน้าที่สำคัญ คือ การรักษาเสถียรภาพของระบบไอทีขององค์กรให้สามารถบริการลูกค้าและบุคคลากรของบริษัทฯอย่างต่อเนื่อง

2. Wireless Power

       หรือที่เรียกอีกชื่อว่า Wireless energy transfer คือ การส่งผ่านพลังงานไฟฟ้าจากแหล่งพลังงาน (power source) ไปยังแหล่งเก็บไฟฟ้า (electrical load) โดยไม่ผ่านสายไฟฟ้า ซึ่งจะช่วยเพิ่มความสะดวกสบายในชีวิตประจำวันมากขึ้น และยังสามารถช่วยลดค่าใช้จ่ายได้อีกด้วย