OWASP (Open Web Application Security Project)

 

OWASP (Open Web Application Security Project) 

คือองค์กรไม่แสวงหาผลกำไรระดับโลก ที่มุ่งเน้นการปรับปรุงความปลอดภัยของซอฟต์แวร์ เอกสารที่โด่งดังที่สุดคือ "OWASP Top 10" ซึ่งสรุป 10 อันดับความเสี่ยงสูงสุดที่เว็บไซต์มักจะโดนโจมตี

ISO 27001

 

องค์ประกอบหลักของ ISO 27001

เพื่อให้เข้าใจง่าย มาตรฐานนี้ไม่ได้เน้นเพียงแค่เรื่อง "ไอที" หรือเทคโนโลยีเท่านั้น แต่เน้นการบริหารจัดการผ่าน 3 แกนหลัก:

• บุคลากร (People): การสร้างความตระหนักรู้ การฝึกอบรม และการกำหนดหน้าที่ความรับผิดชอบ

• กระบวนการ (Process): การมีระเบียบปฏิบัติที่ชัดเจน เช่น การควบคุมการเข้าถึงข้อมูล หรือการจัดการเมื่อเกิดเหตุข้อมูลรั่วไหล

• เทคโนโลยี (Technology): การใช้เครื่องมือ เช่น Firewall, การเข้ารหัสข้อมูล (Encryption) และระบบสำรองข้อมูล

---

หัวใจสำคัญ: การบริหารความเสี่ยง (Risk Management)

ISO 27001 ใช้แนวทางที่เรียกว่า "Risk-based Approach" หมายความว่าองค์กรไม่ต้องทำทุกอย่างในระดับสูงสุดเหมือนกันหมด แต่ให้:

1. ประเมินความเสี่ยง: ดูว่าข้อมูลส่วนไหนสำคัญและมีโอกาสถูกโจมตีทางไหนบ้าง

2. จัดการความเสี่ยง: เลือกใช้ "มาตรการควบคุม" (Controls) ที่เหมาะสมกับระดับความเสี่ยงนั้นๆ โดยอ้างอิงจากภาคผนวก (Annex A) ของมาตรฐาน

---

ประโยชน์ของการได้รับใบรับรอง (Certification)

• ความเชื่อมั่น: สร้างความมั่นใจให้คู่ค้าและลูกค้าว่าข้อมูลของเขาจะปลอดภัย

• ปฏิบัติตามกฎหมาย: ช่วยให้สอดคล้องกับกฎหมายคุ้มครองข้อมูลส่วนบุคคล เช่น PDPA ของไทย หรือ GDPR ของยุโรป

• ลดค่าใช้จ่าย: ป้องกันความเสียหายทางการเงินและชื่อเสียงที่เกิดจากเหตุการณ์ข้อมูลรั่วไหล (Data Breach)

• ความเป็นสากล: เป็นมาตรฐานที่ยอมรับทั่วโลก ทำให้ขยายธุรกิจไปต่างประเทศได้ง่ายขึ้น

---

โครงสร้างของมาตรฐาน (PDCA Cycle)

ISO 27001 ทำงานภายใต้วงจรการพัฒนาอย่างต่อเนื่องที่เรียกว่า PDCA:

• Plan (วางแผน): กำหนดนโยบายและประเมินความเสี่ยง

• Do (ปฏิบัติ): เริ่มใช้มาตรการควบคุมต่างๆ

• Check (ตรวจสอบ): วัดผล ติดตาม และทำการตรวจสอบภายใน (Internal Audit)

• Act (ปรับปรุง): แก้ไขข้อบกพร่องและพัฒนาระบบให้ดีขึ้นอยู่เสมอ

สรุปสั้นๆ: ISO 27001 ไม่ใช่แค่เรื่องการลงโปรแกรมป้องกันไวรัส แต่คือการวาง "ระบบบริหารจัดการ" เพื่อให้มั่นใจว่าข้อมูลของบริษัทจะไม่รั่วไหล ไม่ถูกแก้ไขโดยไม่ได้รับอนุญาต และพร้อมใช้งานได้ตลอดเวลาครับ