การป้องกันการเจาะระบบ

การสแกนเพื่อหาจุดอ่อน (Vulnerability Scanning) และการอัพเดตแพตช์เพื่อปิดช่องโหว่หรือจุดอ่อนนั้นเป็นส่วนที่สำคัญสำหรับการป้องกัน และการรักษาความปลอดภัยให้กับเครือข่าย เครื่องมือที่ใช้สำหรับการจัดการและอัพเดตแพตช์เป็นส่วนที่สำคัญ และมีประโยชน์อย่างมากในช่วงหลังๆต่อไปนี้เป็นตัวอย่างของเครื่องมือที่ได้รับความนิยม และนอกจากนี้ยังได้มีการเปรียบเทียบข้อดีข้อเสียเพื่อเป็นข้อมูลสำหรับจัดซื้อเครื่องมือเหล่านี้มาใช้งานในระบบ     การสแกนเครือข่ายเพื่อค้นหาจุดอ่อน หรือช่องโหว่เป็นสิ่งสำคัญที่จะช่วยทำไห้เครือข่ายปลอดภัยมากยิ่งขึ้น ผู้ดูแลระบบจำเป็นที่ต้องรู้ว่าเครือข่ายมีช่องโหว่หรือจุดอ่อนตรงไหนบ้าง การใช้เครื่องมือด้านการรักษาความปลอดภัยเป็นวิธีที่ง่ายและเป็นวิธีเดียวที่ใช้ได้ผล การสแกนนั้นควรทำจากหลายๆจุด เช่น จากภายนอกหรืออินเทอร์เน็ต เพื่อทดสอบไฟร์วอลระบบป้องกันจากภายนอก สแกนจากภายในโดยทั้งที่ใช้สิทธิ์และไม่ใช้สิทธิ์ของผู้ดูแลระบบ และสแกน DMZ โซนด้วย
หลังจากที่สแกนเครือข่ายและพบจุดอ่อนหรือช่องโหว่แล้ว ขั้นตอนต่อไปคือ การปิดช่องโหว่ ซึ่งในทางไอทีเราจะเรียกว่า “การอัพเดตแพตช์ (Patch)” ดังนั้น วิธีสแกนหาช่องโหว่หรือจุดอ่อนวิธีหนึ่งก็โดยการสแกนเพื่อเช็คดูว่าระบบนั้นได้อัพเดตแพตช์นั้นๆหรือยัง ถ้ายังก็สามารถสรุปได้ว่าระบบนั้นยังมีช่องโหว่อยู่ เครื่องมือที่ใช้สำหรับการสแกนหาช่องโหว่ส่วนใหญ่จะมีฟีเจอร์ที่สามารถอัพเดตแพตช์ให้กับระบบได้ทันที การไม่อัพเดตแพตช์ทันทีอาจเป็นการเพิ่มความเสี่ยงเป็นสองเท่า เพราะนอกจากช่องโหว่ที่ยังไม่ถูกปิดแล้ว การสแกนนั้นอาจถูกประกาศให้สาธารณะทราบ เมื่อมีคนรู้มากขึ้นว่าระบบมีช่องโหว่ก็อาจเป็นเหตุให้ผู้ที่ไม่หวังดีพยายามที่จะเจาะเข้ามาทำลายระบบก็ได้

กระบวนการรักษาความปลอดภัยข้อมูล

กระบวนการในการรักษาความปลอดภัยข้อมูลขององค์กรนั้นเป็นกระบวนการที่ต้องทำอย่างต่อเนื่อง ซึ่งประกอบด้วย ๕ ขั้นตอนหลักคือ
• การประเมินความเสี่ยง (Risk Assessment)
• กำหนดนโยบาย (Policy)
• การติดตั้งระบบป้องกัน (Implementation)
• การฝึกอบรม (Training)
• การตรวจสอบ (Audit)

แต่ละขั้นตอนนั้นมีความสำคัญต่อกระบวนการรักษาความปลอดภัยข้อมูลขององค์กรอย่างไรก็ตามเพื่อให้กระบวนการนี้ได้ผล และมีประสิทธิภาพในการป้องกันเหตุการณ์ต่างๆ องค์กรจะต้องทำทุกขั้นตอนควบคู่กันไป

การรักษาความปลอดภัยของข้อมูล

การรักษาความปลอดภัยของข้อมูล คือ เทคนิคและวิธีการต่าง ๆ ที่ใช้ป้องกันการลักลอบแอบดูข้อมูล การเปลี่ยนแปลง การแทน หรือ การทำลายข้อมูลที่ไม่ได้รับอนุญาตจากเจ้าของข้อมูลนั้น ๆ โดยทั่วไปแล้วในการให้บริการด้านความปลอดภัยของข้อมูล เทคโนโลยีต่าง ๆ ที่จะนำมาใช้สามารถรองรับองค์ประกอบดังต่อไปนี้

               Confidentiality          คือ การรักษาความลับของข้อมูล โดยข้อมูลนั้นสามารถถูกเปิดอ่านและเข้าใจได้เฉพาะผู้ที่ได้มีการระบุว่าเป็นผู้รับเท่านั้น

Integrity                   คือ การรักษาความแท้จริงของข้อมูล โดยสามารถตรวจสอบได้ว่า ข้อมูลที่นั้นได้ถูกเปลี่ยนแปลงแก้ไขโดยบุคคลอื่นที่ไม่ได้รับอนุญาตในระหว่างทางหรือ ไม่

Authentication       คือ การระบุตัวบุคคลผู้ส่งข้อมูล เพื่อตรวจสอบว่าบุคคลนั้นเป็นผู้ซึ่งอ้างถึงจริง

Non-repudiation   คือ ความแน่ใจว่าคู่สื่อสารไม่สามารถที่จะปฏิเสธการสื่อสารทางอิเล็กทรอนิกส์ที่เกิดขึ้นได้

วิชา IT 6323 วิชาความมั่นคงปลอดภัยของระบบสารสนเทศ

·        การรักษาความปลอดภัยของข้อมูล

·        กระบวนการรักษาความปลอดภัยของข้อมูล

·        การป้องกันการเจาะระบบ

·        Cryptography  & Steganography

·        การประยุกต์ใช้  Cryptography

·        Firewall

·        IDS/IPS

·        การป้องกันไวรัส

·        การกู้คืนระบบ

·        กรณีศึกษา

กรณีศึกษา

กรณีศึกษา: ระบบสารสนเทศสำหรับผู้บริหารระดับสูงที่บริษัทเฮิร์ตซ์

           กรณีศึกษา: ระบบสารสนเทศสำหรับผู้บริหารระดับสูงที่บริษัทเฮิร์ตซ์ : An Executive Ilformation System at Hertz Corporation
              เฮิร์ตซ์ (Hertz) เป็นบริษัทให้บริการเช่ารถยนต์รายใหญ่ที่สุดของธุรกิจการเช่ารถ โดยให้บริการเช่ารถในหลายร้อยแห่งทั่วโลก เละมีคู่แข่งที่สำคัญหลายสิบราย
         การตัดสินใจด้านการตลาดของธุรกิจให้บริการเช่ารถยนต์จะขึ้นอยู่กับปัจจัยสิ่งแวดล้อมของแต่ละแห่งซึ่งจำเป็นต้องอาศัยสารสนเทศเพื่อประกอบการตัดสินใจ เช่น สารสนเทศเกี่ยวกับสถานที่ เทศการกิจกรรมเกี่ยวกับการท่องเที่ยว การสนับสนุนการขายที่ผ่านมา ข้อมูลของผู้แข่งขัน รวมถึงพฤติกรรมของลูกค้า ฯลฯ ด้วยข้อมูลจำนวนมหาศาลเช่นนี้การประมวลผลย่อมต้องอาศัยคอมพิวเตอร์อย่างแน่นอน แต่ปัญหาที่บริษัทฯพบก็คือ จะสามารถเข้าถึงข้อมูลเหล่านี้ได้อย่างรวดเร็วและนำมาใช้อย่างเหมาะสมได้อย่างไร
            บริษัทตระหนักดีว่าการวิเคราะห์ข้อมูลเป็นสิ่งสำคัญจึงได้พัฒนาระบบสนับสนุนการตัดสินใจ (DSS) ขึ้นมาเพื่อช่วยให้ผู้บริหารสามารถวิเคราะห์ข้อมูลได้อย่างรวดเร็ว อย่างไรก็ตามการใช้ระบบ ทำให้มีขึ้นตอนในการประมวลผลเพิ่มขึ้นและไม่คล่องตัว ดังนั้นในปีถัดมาทางบริษัทจึงตัดสินใจเพิ่มระบบสารสนเทศสำหรับผู้บริหาร (ELS) ซึ่งเป็นระบบบนเครื่อง PC เพื่อเป็นเครื่องมือให้ผู้บริหารสามารถวิเคราะห์ข้อมูลจำนวนมหาศาล ในลักษณะเรียลไทม์ (Real-time) ได้เองโดยไม่จำเป็นต้องอาศัยผู้ช่วยอีกต่อไป เนื่องจากระบบ ELS ได้รับการพัฒนาให้ใช้งายง่าย (User-friendly) คำนึงถึงความเหมาะสมกับลักษณะขององค์การ ทักษะ และการใช้งานของผูบริหารระดับสูง โดยระบบดังกล่าวมีเจ้าหน้าที่ด้านการตลาดเป็นผู้ดูแลบำรุงรักษาระบบ
ผู้บริหารระดับสูงของเฮิร์ตซ์ สามารถใช้ระบบ ELS ในการเลือกดูและวิเคราะห์ข้อมูลที่ต้องการและมีความสำคัญเชิงกลยุทธ์ได้อย่างรวดเร็ว สามารถเข้าถึงข้อมุลในรายละเอียดเป็นระดับลงมาได้ (Drill-Down) รวมถึงความสามารถในการดึงข้อมูลจากเครื่องขนาดใหญ่ (Mainframe) และนำมาจัดเก็บไว้ในเครื่อง PC ของผู้บริหารเองและนำข้อมูลนั้นมาวิเคราะห์ในแบบของระบบสนับสนุนการตัดสินใจโดยไม่ต้องทำการวิเคราะห์บนเครื่องขนาดใหญ่ ระบบ ELS ช่วยสนับสนุนการตัดสินใจของผู้บริหารระดับสูง ก่อให้เกิดความคิดสร้างสรรค์ และช่วยให้การตัดสินใจมีประสิทธิภาพมากยิ่งขึ้น
ในปลายทศวรรษ 1990 ระบบ ELS ได้รับการเชื่อมโยงเข้ากับคลังข้อมูล (Data Warehouse) อินเทอร์เน็ตและอินทราเน็ตขององค์การ ผู้บริหารของเฮิร์ทในท้องที่ต่างๆ สามารถรับทราบข้อมูลราคาที่แข่งขันทั้งหมดได้ลักษณะเรียลไทม์ (Real-time) และสามารถเข้าถึงข้อมูลเกี่ยวกับผละกระทบของการเปลี่ยนแปลงราคาต่อความต้องการรถยนต์ของลูกค้าได้อย่างรวดเร็ว (Turban, et al., 2002: 457)
คำถาม
1. การกำหนดอัตราค่าเช่ารถแต่ละประเภทต้องพิจารณาปัจจัยใดบ้าง
ตอบ ขึ้นอยู่กับปัจจัยสิ่งแวดล้อมของแต่ละแห่ง เช่น สถานที่ เทศกาล กิจกรรมเกี่ยวกับการท่องเที่ยว ผู้แข่งขัน พฤติกรรมของลูกค้า
2. เพราะเหตุใดบริษัทเฮิร์ตจึงนำเอาระบบสารสนเทศสำหรับผู้บริหารระดับสูงมาใช้
ตอบ เนื่องจากระบบเดิมคือระบบ DSS นั้นพบว่าบางครั้งผุ้จัดการฝ่ายการตลาดต้องอาศัยผู้ช่วยเพื่อคอยช่วยเหลือในการใช้ระบบ ทำให้มีขั้นตอนในการประมวลผลเพิ่มขึ้น และไม่คล่องตัว จึงตัดสินใจเพิ่มระบบสารสนเทศสำหรับผู้บริหาร ESS ซึ่งเป็นเครื่องมือให้ผู้บริหารสามารถวิเคราะห์ข้อมูลจำนวนมหาศาลในลักษณะเรียลไทม์ (Real-time) ได้เองโดยไม่จำเป็นต้องอายศัยผู้ช่วยอีกต่อไป

ความสำคัญของผู้บริหารต่อการพัฒนาระบบ ESS

                ผู้บริหารระดับสูงเป็นผู้มีบทบาทสำคัญอย่างมากต่อการพัฒนาระบบสารสนเทศทุกระบบในองค์การ โดยให้การสนับสนุนและจัดหาทรัพยากร ให้ความร่วมมือกับทีมงานพัฒนาระบบเพื่อให้สามารถรวบรวมความต้องการของผู้บริหาร และนำมาออกแบบระบบให้เหมาะสมกับลักษณะการใช้งานต่อไป การมีทัศนคติที่ดีของผู้บริหารต่อระบบสารสนเทศ และเป็นผู้นำในการใช้เทคโนโลยีสารสนเทศเพื่อการวางแผนกลยุทธ์ และบริหารองค์การ ก่อให้เกิดภาพลักษณ์ที่ดี และเป็นแบบอย่างในการนำไปใช้เทคโนโลยีสารสนเทศมาใช้ให้เกิดประโยชน์ต่อองค์การ

เปรียบเทียบระบบ ESS  กับระบบสารสนเทศอื่น

               

ลักษณะของระบบ	ระบบสารสนเทศสำหรับผู้บริหาร(Executive Support System : Ess)	ระบบสนับสนุนการตัดสินใจ (Decision Support System : DSS)	ระบบสารสนเทศเพื่อการจัดการ (Management Information System : MIS)
วัตถุประสงค์หลัก	สนับสนุนการตัดสินใจของผู้บริหารระดับสูง	สนับสนุนการวางแผนและการตัดสินใจ	ควบคุมตรวจสอบการปฏิบัติการและสรุปสภาพการณ์
ข้อมูลนำเข้า	ข้อมูลสรุปจากภายใน และภายนอกองค์การ	ข้อมูลจากระบบ TPS ข้อมูลเพื่อการสร้างตัวแบบ  การตัดสินใจ	ข้อมูลจากรายงานกิจกรรม และจากแต่ละขอบเขตการบริหารงานในองค์การ ตัวแบบไม่ซับซ้อน
สารสนเทศผลลัพธ์	ให้สารสนเทศที่เป็นประโยชน์ ด้านกลยุทธ์ กาคาดการณ์ล่วงหน้า การตอบข้อถามดัชนีต่าง ๆ	รายงานวิเคราะห์เพื่อการตัดสินใจ การพยากรณ์ การตอบข้อซักถาม	รายงานสรุป รายงานสิ่งผิดปกติ สารสนเทศที่มีโครงสร้าง
ผู้ใช้	ผู้บริหารระดับสูง	ผู้บริการระดับต่าง ๆ ผู้เชี่ยวชาญ นักวิเคราะห์	ผู้บริหารระดับกลาง
รูปแบบของการตัดสินใจ	มีการปรับเปลี่ยนโครงสร้างบ่อย รูปแบบไม่ชัดเจน ไม่มีโครงสร้าง ปัญหาเฉพาะหน้า	กึ่งโครงสร้าง และไม่มีโครงสร้าง	มีโครงสร้างแน่นอน
การใช้ข้อมูลสนับสนุนการตัดสินใจ	ข้อมูลที่สนับสนุนการตัดสินใจทางอ้อม ไม่มีกฎเกณฑ์แน่นอนขึ้นกับการเลือกใช้	ข้อมูลสนับสนุนการตัดสินใจในสถานการณ์เฉพาะด้าน เฉพาะเรื่อง	ข้อมูลสนับสนุนตามรูปแบบและระยะเวลาที่กำหนด

ลักษณะของระบบ ESS

1.     ให้สารสนเทศที่มีประโยชน์ต่อการวางแผน่กลยุทธ์  ให้ข้อมูลที่สำคัญและเป็นประโยชน์ต่อการวางแผน และตัดสินใจของผู้บริหารระดับสูง เช่น ข้อมูลการบ่งชี้ผลการปฏิบัติงาน (Key Performance Indicators : KPI)  ช่วยให้เห็นความเป็นไปของธุรกิจ และเป้าหมายในการบริหารอย่างชัดเจน เตรียมพร้อมการรองรับสถานการณ์ทันท่วงที ได้เปรียบจากคู่แข่งขัน และส่วนแบ่งการตลาดที่เพิ่มขึ้น

2.     ง่ายต่อการเรียนรู้และใช้งาน  โดยผู้ใช้ไม่จำเป็นต้องมีความรู้มาก หรือทักษะสูงด้านคอมพิวเตอร์ และเทคโนโลยีสารสนเทศก็สามารถเรียนรู้ และใช้งานได้ง่าย มีอุปกรณ์ช่วยให้ใช้ระบบได้คล่องตัว เช่น การใช้เมาส์ ระบบสัมผัส อาจมีเมนูสำหรับอธิบายการใช้งาน และแก้ปัญหาด้วยตนเอง (Self-help Menu) วิธีการเรียกดู สืบค้นข้อมูลง่าย ไม่ซับซ้อน

3.     เชื่อมโยงกับแหล่งข้อมูลภายนอก สามารถเชื่อมโยงระหว่างสื่อหลายมิติ (Hypermedia) หรือเชื่อมโยงเข้ากับเว็บไซต์ต่าง ๆ เพื่อให้ผู้บริหารรับทราบข้อมูลที่สำคัญจากแหล่งภายนอก เช่น ภาวะเศรษฐกิจ ความต้องการตลาด ความต้องการลูกค้า เป็นต้น สามารถนำข้อมูลเหล่านี้มาวิเคราะห์เพื่อประกอบการตัดสินใจได้อย่างรวดเร็ว

4.     สามารถประมวลผลในรูปแบบที่ไม่ได้กำหนดไว้ล่วงหน้า  ESS มีการจัดเตรียมข้อมูล และเครื่องมือเพื่อให้ผู้บริหารเรียกดูข้อมูลในลักษณะภาพรวมแบบกว้าง (Aggregate/Global Information)  และสามารถเรียกดูสารสนเทศในลักษณะเฉพาะเจาะจงในรายละเอียดของข้อมูลเป็นลำดับลงมาตามความต้องการ (Drill-down Ability) ระบบสามารถวิเคราะห์ข้อมูลเฉพาะกิจได้อย่างรวดเร็ว(Ad Hoc Analysis) และนำเสนอรายงานให้ผู้บริหารได้หลายรูปแบบ

5.     พัฒนาเฉพาะสำหรับผู้บริหาร ระบบได้รับการออกแบบเป็นแบบเฉพาะสำหรับผู้บริหารในการเข้าถึงข้อมูลที่ต้องการได้อย่างสะดวกรวดเร็ว ดูได้บ่อยครั้งมีขั้นตอนที่เข้าถึงง่าย ไม่ต้องจดจำคำสั่งและใช้เวลามากในการทำงาน

6.     มีระบบรักษาความปลอดภัย ป้องกันการเข้าถึงข้อมูลจากผู้ไม่ได้รับสิทธิ์ รวมถึงการรั่วไหลข้อมูลที่มีความสำคัญขององค์การ