ความปลอดภัยและการปฏิบัติตามข้อกำหนดอาจรู้สึกเหมือนเป็นเป้าหมายที่เคลื่อนไหวอยู่เสมอ สิ่งเหล่านี้มีการเปลี่ยนแปลงตลอดเวลา: ได้รับผลกระทบจากกิจกรรมขนาดเล็ก เช่น ทีมเพิ่มเครื่องมือ SaaS ใหม่ และกิจกรรมขนาดใหญ่ขึ้น เช่น หน่วยงานกำกับดูแลอัปเดตคำแนะนำ ในขณะเดียวกัน ความเสี่ยงที่แท้จริงยังคงเหมือนเดิม: ข้อมูลที่ละเอียดอ่อนอาจถูกเปิดเผยในที่สุดเนื่องจากพื้นฐานไม่สอดคล้องกัน ไม่มีเอกสารประกอบ หรือบังคับใช้ได้ยาก
ความท้าทายหลักประการหนึ่งคือหลายบริษัทซื้อโซลูชันต่างๆ แต่ไม่ได้สร้างระบบแบบบูรณาการ ด้วยการควบคุมที่กระจายอยู่ตามซอฟต์แวร์ชิ้นต่างๆ และกระบวนการที่ขึ้นอยู่กับแต่ละบุคคล จึงไม่มีใครมีมุมมองที่น่าเชื่อถือว่ามีข้อมูลใดอยู่ ไหลไปที่ใด และใครสามารถเข้าถึงข้อมูลนั้นได้
มาตรฐานตระกูล ISO 27000 จัดการปัญหานี้โดยเสนอสิ่งที่หลายองค์กรขาดหายไป: วิธีที่มีโครงสร้างในการจัดการความปลอดภัยของข้อมูลและการปฏิบัติตามข้อกำหนดในฐานะโปรแกรมที่ดำเนินอย่างต่อเนื่อง ไม่ใช่โครงการที่ทำเพียงครั้งเดียว ช่วยกำหนดสิ่งที่ปกป้อง ประเมินความเสี่ยง นำการควบคุมไปใช้ และปรับปรุงอย่างต่อเนื่อง พร้อมด้วยความรับผิดชอบที่ชัดเจนตลอดเส้นทาง
ในบทความนี้ จะอธิบายว่า ISO 27000 คืออะไร ขอบเขตการควบคุมหลักที่ธุรกิจส่วนใหญ่จำเป็นต้องจัดการเพื่อปกป้องข้อมูล และวิธีที่ Proton Pass for Business สนับสนุนการควบคุมข้อมูลยืนยันตัวตนและการเข้าถึงที่สอดคล้องกับ ISO โดยไม่เพิ่มความยุ่งยาก
ทำไม ISO 27000 จึงมีความสำคัญต่อความปลอดภัยและการปฏิบัติตามข้อกำหนด?
ขอบเขตการควบคุมหลักของ ISO 27000 ใดบ้างที่ธุรกิจต้องจัดการ?
การจัดการการเข้าถึงและรหัสผ่านสนับสนุน ISO 27000 อย่างไร?
Proton Pass for Business สอดคล้องกับหลักการของ ISO 27000 อย่างไร?
อธิบายเกี่ยวกับ ISO 27000
ISO 27000 คือตระกูลมาตรฐานสากลสำหรับการจัดการความปลอดภัยของข้อมูล ช่วยให้องค์กรสร้างระบบบริหารจัดการความมั่นคงปลอดภัยสารสนเทศ (ISMS) โดยการเสนอเส้นทางที่มีโครงสร้างเพื่อระบุความเสี่ยง เลือกการควบคุม และพิสูจน์ว่างานด้านความปลอดภัยเกิดขึ้นอย่างสม่ำเสมอ ไม่ใช่เฉพาะในช่วงการตรวจสอบเท่านั้น
ในทางปฏิบัติ ISO 27000 อาจหมายถึงสองสิ่ง:
- ISO/IEC 27000 (ตัวมาตรฐานเอง): มาตรฐานที่ให้คำศัพท์และคำจำกัดความที่เกี่ยวข้องกับ ISMS
- ตระกูล ISO/IEC 27000 (ซีรีส์): ชุดของมาตรฐานที่เกี่ยวข้องซึ่งแนะนำวิธีออกแบบ ดำเนินการ และปรับปรุง ISMS
ที่ศูนย์กลางของตระกูลนี้ ISO/IEC 27001 กำหนดข้อกำหนดสำหรับ ISMS และใช้สำหรับการรับรอง มาตรฐานที่เกี่ยวข้องโดยรอบจะให้คำแนะนำเกี่ยวกับการควบคุม การจัดการความเสี่ยง การตรวจสอบ ความเป็นส่วนตัว และอื่นๆ
ISO 27001: คืออะไรและใบรับรองหมายถึงอะไร
หากลูกค้าหรือผู้ใช้บริการถามว่าได้รับการรับรอง ISO หรือไม่ มักจะหมายถึง การรับรอง ISO/IEC 27001
ISO/IEC 27001 กำหนดข้อกำหนดสำหรับการจัดตั้ง การดำเนินการ การบำรุงรักษา และการปรับปรุง ISMS อย่างต่อเนื่อง มีแนวทางที่เน้นการจัดการอย่างตั้งใจซึ่งกำหนดให้ต้อง:
- ทราบว่าข้อมูลใดที่ต้องปกป้อง
- ทำความเข้าใจความเสี่ยงในบริบทขององค์กร
- กำหนดนโยบายและความรับผิดชอบ
- เลือกการควบคุมที่ช่วยลดความเสี่ยง
- วัดผลว่าการควบคุมเหล่านั้นทำงานได้ผลหรือไม่
- ปรับปรุงเมื่อการควบคุมเหล่านั้นไม่ได้ผล
เนื่องจากลักษณะที่ครอบคลุมในหลายด้าน ISO 27001 จึงถูกนำไปอ้างอิงอย่างกว้างขวางในการจัดซื้อจัดจ้าง การทบทวนความปลอดภัย และโปรแกรมการปฏิบัติตามข้อกำหนด นอกจากนี้ยังช่วยให้ผู้มีส่วนได้ส่วนเสียมีภาษาเดียวกันในการสร้างความไว้วางใจ
รายชื่อมาตรฐาน ISO 27000
มีมาตรฐานมากมายในตระกูล ISO/IEC 27000 ไม่จำเป็นต้องจดจำทั้งหมด แต่การทำความเข้าใจว่ามาตรฐานเหล่านี้สอดคล้องกันอย่างไรจะช่วยได้มาก ในรูปแบบที่เรียบง่าย หลายองค์กรใช้ตระกูลนี้ดังนี้:
- ISO/IEC 27000: ภาพรวมและคำศัพท์ (คำจำกัดความที่ใช้ร่วมกัน)
- ISO/IEC 27001: ข้อกำหนด ISMS (มาตรฐานที่สามารถขอรับรองได้)
- ISO/IEC 27002: คำแนะนำในการควบคุม (แคตตาล็อกการควบคุมที่ใช้งานได้จริงและคำแนะนำในการนำไปใช้)
- ISO/IEC 27005: คำแนะนำในการจัดการความเสี่ยง (วิธีการจัดโครงสร้างการจัดการความเสี่ยงด้านความปลอดภัยของข้อมูล)
- ISO/IEC 27007 และ TS 27008: คำแนะนำในการตรวจสอบ (วิธีประเมิน ISMS และการควบคุม)
- ISO/IEC 27017: คำแนะนำด้านความปลอดภัยบนคลาวด์ (การควบคุมเพิ่มเติมและความชัดเจนสำหรับสภาพแวดล้อมคลาวด์)
- ISO/IEC 27701: ส่วนขยายความเป็นส่วนตัว (วิธีสร้างการจัดการความเป็นส่วนตัวบน ISMS)
ขึ้นอยู่กับอุตสาหกรรมและการกำกับดูแลที่เกี่ยวข้อง อาจเห็นคำแนะนำเฉพาะภาคส่วนและมาตรฐาน ISO เพิ่มเติมที่อ้างอิงในแบบสอบถามด้วย ไม่จำเป็นต้องยอมรับเอกสารทุกฉบับ แต่สิ่งสำคัญคือการนำแนวทางที่สอดคล้องกันมาใช้
ทำไม ISO 27000 จึงมีความสำคัญต่อความปลอดภัยและการปฏิบัติตามข้อกำหนด?
ความปลอดภัยและการปฏิบัติตามข้อกำหนดมักได้รับการปฏิบัติเหมือนเป็นสายงานที่แยกจากกัน:
- ทีมรักษาความปลอดภัยมุ่งเน้นไปที่ภัยคุกคาม กิจกรรมที่ไม่พึงประสงค์ และการควบคุมทางเทคนิค
- ทีมปฏิบัติตามข้อกำหนดมุ่งเน้นไปที่นโยบาย การตรวจสอบ และเอกสารประกอบ
ISO 27000 ช่วยรวมสิ่งเหล่านี้เข้าด้วยกัน เนื่องจากแนวทาง ISMS ถือว่าการจัดการความเสี่ยง การดำเนินการควบคุม และหลักฐานเป็นส่วนหนึ่งของระบบเดียวกัน
นี่คือประโยชน์หลักๆ จากมุมมองแบบบูรณาการของ ISO 27000
เปลี่ยนการควบคุมที่กระจัดกระจายให้เป็นระบบ
โหมดความล้มเหลวทั่วไปมีลักษณะดังนี้:
- กฎรหัสผ่านอยู่ในรายการตรวจสอบการรับพนักงานใหม่ของฝ่ายบุคคล
- การตรวจสอบการเข้าถึงเกิดขึ้นแบบเฉพาะกิจแทนที่จะทำอย่างสม่ำเสมอ
- สินค้าคงคลังของสินทรัพย์ล้าสมัย
- มีแผนรับมือเหตุการณ์ความมั่นคงปลอดภัย แต่ไม่มีใครทดสอบแผนเหล่านั้น
- พนักงานได้รับการฝึกอบรม แต่ไม่ได้เปลี่ยนพฤติกรรม
แม้ว่าจะมีแต่ละรายการอยู่ แต่ระบบก็ล้มเหลวเนื่องจากไม่มีความสม่ำเสมอ ไม่มีการวัดผล หรือไม่มีผู้รับผิดชอบอย่างเหมาะสม ในทางกลับกัน ความปลอดภัยที่สอดคล้องกับ ISO จะสร้างลูปการจัดการที่นำไปสู่การควบคุมที่ยั่งยืน
ระบบทั้งหมดทำงานตามขั้นตอนดังต่อไปนี้:
- กำหนดขอบเขตและสินทรัพย์ข้อมูล
- ประเมินความเสี่ยง
- เลือกและนำการควบคุมไปใช้
- ตรวจสอบและวัดผลลัพธ์
- ปรับปรุงอย่างต่อเนื่อง
ช่วยพิสูจน์การทำงานจริง ไม่ใช่แค่การกล่าวอ้าง
ข้อบังคับและความคาดหวังของลูกค้าจำนวนมากเป็นไปตามธีมเดียวกัน: แสดงผลงาน
- ใครสามารถเข้าถึงข้อมูลที่ละเอียดอ่อนได้บ้าง?
- จะป้องกันการเข้าถึงที่ไม่ได้รับอนุญาตได้อย่างไร?
- จะตอบสนองต่อเหตุการณ์ความมั่นคงปลอดภัยอย่างไร?
- จะลดโอกาสที่จะเกิดการละเมิดข้อมูลได้อย่างไร?
- จะรับประกันได้อย่างไรว่าพนักงานปฏิบัติตามกระบวนการที่ปลอดภัย?
ISO 27000 ส่งเสริมนโยบายที่เป็นลายลักษณ์อักษร การมอบหมายความรับผิดชอบ และกระบวนการที่ทำซ้ำได้ ซึ่งสร้างร่องรอยหลักฐานที่จำเป็นสำหรับการตรวจสอบและการทบทวนโดยบุคคลที่สาม กล่าวอีกหนึ่งคือ จะผลักดันธุรกิจไปสู่การนำ แนวปฏิบัติที่ดีที่สุดในการป้องกันการละเมิดข้อมูล มาใช้
ปรับขนาดได้ตามการเติบโตขององค์กร
การรักษาความปลอดภัยที่พึ่งพาความจำของแต่ละบุคคลไม่สามารถขยายขนาดได้ ทว่าความปลอดภัยที่สอดคล้องกับ ISO สามารถทำได้ เนื่องจากสร้างขึ้นรอบด้านของ:
- บทบาทและความรับผิดชอบที่กำหนดไว้อย่างชัดเจน
- กระบวนการมาตรฐานที่ยังคงอยู่แม้มีการเปลี่ยนแปลงบุคลากร
- ความเป็นเจ้าของในการควบคุม (มีผู้รับผิดชอบในขอบเขตการควบคุมแต่ละด้าน)
- การปรับปรุงอย่างต่อเนื่อง (การรักษาความปลอดภัยพัฒนาไปพร้อมกับธุรกิจ)
นั่นคือเหตุผลที่ ISO 27001 มีความเกี่ยวข้อง กับทั้งธุรกิจขนาดเล็กที่เติบโตอย่างรวดเร็วและองค์กรที่จัดตั้งขึ้นแล้วที่จัดการการดำเนินงานที่ซับซ้อน
ช่วยปรับปรุงการกำกับดูแลและการตัดสินใจ
ISMS ที่แข็งแกร่งช่วยให้ผู้บริหารสามารถตัดสินใจเกี่ยวกับความเสี่ยงได้อย่างรอบรู้ แทนที่จะกำหนดแผนการที่ไม่มีโครงสร้างเพื่อลงทุนในการรักษาความปลอดภัยเพิ่มขึ้น โปรแกรมที่สอดคล้องกับ ISO จะสนับสนุนการตัดสินใจที่ชัดเจนและมีโครงสร้างมากขึ้น:
- ความเสี่ยงใดสำคัญที่สุดสำหรับธุรกิจและลูกค้า?
- การควบคุมใดช่วยลดความเสี่ยงเหล่านั้นได้อย่างมีประสิทธิภาพ?
- จุดใดที่มีความเสี่ยงเนื่องจากการเข้าถึงที่ไม่ได้รับการควบคุม?
- สามารถแสดงหลักฐานใดแก่ผู้มีส่วนได้ส่วนเสียได้บ้างในวันนี้?
- สิ่งใดที่ต้องปรับปรุงในไตรมาสถัดไป?
ขอบเขตการควบคุมหลักของ ISO 27000 ใดบ้างที่ธุรกิจต้องจัดการ?
ISO 27000 และ ISO 27001 ไม่ได้บังคับให้ต้องใช้รายการตรวจสอบเดียวที่นำไปใช้กับทุกองค์กร มาตรฐานเหล่านี้กำหนดให้ระบุความเสี่ยงและเลือกการควบคุมที่เหมาะสม อย่างไรก็ตาม ธุรกิจส่วนใหญ่จำเป็นต้องจัดการขอบเขตการควบคุมชุดเดียวกันเพื่อปกป้องข้อมูลและสนับสนุนความคาดหวังในการปฏิบัติตามข้อกำหนด
ด้านล่างนี้คือแนวปฏิบัติพื้นฐานเจ็ดประการที่สอดคล้องกับโปรแกรมรักษาความปลอดภัยตามมาตรฐาน ISO สามารถใช้เป็นเกณฑ์มาตรฐานที่นำไปใช้ได้จริง ไม่ว่าจะกำลังเตรียมตัวสำหรับการขอรับรองหรือการสร้างการคุ้มครองข้อมูลที่แข็งแกร่งยิ่งขึ้น
1. ทราบว่ามีข้อมูลใดบ้างและจะค้นหาได้จากที่ใด
ไม่สามารถปกป้องสิ่งที่ไม่เห็นได้ การจัดการสินทรัพย์ข้อมูลเริ่มต้นจากการมองเห็นระบบทั้งหมด:
- ข้อมูลที่ละเอียดอ่อนใดที่จัดเก็บไว้ (ข้อมูลลูกค้า ข้อมูลยืนยันตัวตน ข้อมูลทางการเงิน ทรัพย์สินทางปัญญา)?
- ข้อมูลนั้นอยู่ที่ใด (อุปกรณ์ แอปคลาวด์ ไดรฟ์ที่แชร์ อีเมล ห้องนิรภัยรหัสผ่าน)?
- ใครเป็นเจ้าของ (ทีมใดเป็นผู้รับผิดชอบ)?
- ข้อมูลเคลื่อนย้ายอย่างไร (การแชร์ การส่งออก การบูรณาการ ผู้ให้บริการ)?
นี่ไม่ใช่งานที่ทำไปอย่างไร้ประโยชน์ แต่เป็นรากฐานสำหรับการควบคุมอื่นๆ ทั้งหมด หากธุรกิจจัดการข้อมูลลูกค้าที่ละเอียดอ่อน ซึ่งเป็นเรื่องปกติสำหรับบริษัทที่ปรึกษา บริการทางกฎหมาย เอเจนซี่ และผู้ให้บริการด้านความปลอดภัย การมองเห็นระบบคือความแตกต่างระหว่างการเข้าถึงที่ได้รับการควบคุมและการเปิดเผยข้อมูลโดยไม่ได้ตั้งใจ
นี่คือขั้นตอนที่นำไปปฏิบัติได้จริงบางประการ:
- สร้างรายการทรัพย์สินอย่างง่าย: ระบบ ประเภทข้อมูล เจ้าของ และเส้นทางการเข้าถึง
- กำหนดการจัดประเภทข้อมูล (เช่น สาธารณะ ภายใน ลับ)
- เชื่อมโยงการตัดสินใจในการเข้าถึงกับการจัดประเภทข้อมูล (ข้อมูลลับจะได้รับการควบคุมที่เข้มงวดกว่า)
2. กำหนดการควบคุมการเข้าถึงในฐานะกระบวนการทางธุรกิจ ไม่ใช่แค่การตั้งค่าทางเทคนิค
การควบคุมการเข้าถึงเป็นหนึ่งในขอบเขตการควบคุมที่มีผลกระทบสูงสุด เนื่องจากช่วยลดโอกาสในการเข้าถึงโดยไม่ได้รับอนุญาต การใช้งานในทางที่ผิดโดยบุคคลภายใน และการยึดครองบัญชีโดยตรง
แนวทางการควบคุมการเข้าถึงที่สอดคล้องกับ ISO ที่แข็งแกร่งมักประกอบด้วย:
- นโยบายที่กำหนดไว้สำหรับการเข้าถึง (ใครจะได้รับการเข้าถึง อนุมัติอย่างไร ข้อยกเว้นได้รับการจัดการอย่างไร)
- การเข้าถึงตามบทบาทที่สอดคล้องกับความรับผิดชอบในงาน
- กระบวนการรับพนักงานใหม่ การพ้นสภาพพนักงาน และการเปลี่ยนบทบาท
- การตรวจสอบการเข้าถึงระบบที่มีความเสี่ยงสูงอย่างสม่ำเสมอ
- มาตรฐานการยืนยันตัวตนที่แข็งแกร่ง
สิ่งที่มักผิดพลาดไม่ใช่นโยบายแต่เป็นส่วนการปฏิบัติงาน การเปลี่ยนแปลงการเข้าถึงเกิดขึ้นได้ง่าย: ผู้รับจ้างภายนอกและอดีตพนักงานยังคงอยู่ในระบบ หรือรหัสผ่านที่แชร์อยู่ในเธรดการแชท ช่องว่างเหล่านั้นกลายเป็นเหตุการณ์ด้านความปลอดภัย แต่สามารถปฏิบัติตามขั้นตอนที่นำไปใช้ได้จริงเหล่านี้:
- กำหนดบทบาทและการเข้าถึงขั้นต่ำที่จำเป็นสำหรับแต่ละบทบาท
- รวมศูนย์ข้อมูลระบุตัวตนเมื่อเป็นไปได้ (การลงชื่อเข้าใช้ด้วยบัญชีเดียวหรือ SSO สามารถช่วยได้)
- ปฏิบัติต่อการพ้นสภาพพนักงานเหมือนเป็นกระบวนการที่สำคัญต่อความปลอดภัย ไม่ใช่แค่หน้าที่ฝ่ายบุคคล
- ตั้งกฎการแชร์ที่ปลอดภัยและบังคับใช้ด้วยนโยบายขององค์กร
3. ปฏิบัติต่อการจัดการรหัสผ่านเหมือนเป็นการควบคุม ไม่ใช่แค่ความคุ้นเคย
รหัสผ่านที่คาดเดาง่ายไม่ใช่เพียงปัญหาพื้นฐานของผู้ใช้ แต่เป็นผลลัพธ์ที่คาดเดาได้เมื่อทีมใช้เครื่องมือทางธุรกิจหลายสิบรายการโดยไม่มีการจัดการรหัสผ่านที่สะดวกสบาย ในบริบทนั้นจะพบว่า:
- การใช้รหัสผ่านซ้ำในหลายบัญชี
- การบันทึกรหัสผ่านในเบราว์เซอร์โดยไม่มีการกำกับดูแล
- รหัสผ่านที่แชร์ผ่านอีเมลหรือการแชท
- ข้อมูลยืนยันตัวตนที่จัดเก็บไว้ชั่วคราวในเอกสาร
- อดีตพนักงานยังคงสามารถเข้าถึงได้เนื่องจากไม่มีใครสับเปลี่ยนข้อมูลยืนยันตัวตนที่แชร์
โปรแกรมรักษาความปลอดภัยที่สอดคล้องกับ ISO ปฏิบัติต่อการจัดการรหัสผ่านเป็นขอบเขตการควบคุมที่เป็นทางการ นั่นหมายความว่าจะต้องกำหนดวิธีที่องค์กรสร้าง จัดเก็บ แชร์ และยกเลิกข้อมูลยืนยันตัวตน
โปรแกรมจัดการรหัสผ่านสำหรับธุรกิจ สนับสนุนการควบคุมนั้นในลักษณะที่วัดผลได้ ทั้งยังมีนโยบายทีมที่บังคับใช้ได้ การยืนยันตัวตนผ่านสองขั้นตอน (2FA) การตรวจสอบความปลอดภัยของรหัสผ่าน และบันทึกการใช้งาน:
- ขจัดปัญหาการใช้รหัสผ่านซ้ำโดยทำให้สร้าง รหัสผ่านที่ไม่ซ้ำกัน ได้ง่ายขึ้น
- ปรับปรุงการนำไปใช้งานโดยทำให้การเข้าสู่ระบบรวดเร็วยิ่งขึ้นผ่านการป้อนอัตโนมัติและอินเทอร์เฟซที่ใช้งานง่าย
- ช่วยให้สามารถ แชร์อย่างปลอดภัย ได้โดยไม่เปิดเผยข้อมูลลับ
- ช่วยให้ผู้ดูแลระบบมองเห็นการทำงานได้ (ขึ้นอยู่กับโซลูชัน)
- สนับสนุนการพ้นสภาพพนักงานด้วยการรวมศูนย์การจัดการเข้าถึง
นี่คือเหตุผลที่การจัดการรหัสผ่านปรากฏซ้ำๆ ในแบบสอบถามความปลอดภัยและการประเมินการปฏิบัติตามข้อกำหนด ข้อมูลยืนยันตัวตนมักเป็นขั้นตอนแรกในการละเมิดข้อมูล ตัวอย่างเช่น การละเมิดข้อมูลของ LastPass เป็นเครื่องเตือนใจว่าความเสี่ยงด้านข้อมูลยืนยันตัวตนไม่ใช่เรื่องทางทฤษฎี
4. ดำเนินการประเมินความเสี่ยงเป็นรอบวงจรที่ทำซ้ำได้
ความปลอดภัยที่สอดคล้องกับ ISO ไม่ได้ขอให้มีความสมบูรณ์แบบ ทว่าต้องการให้มีการคิดไตร่ตรองอย่างรอบคอบ การประเมินความเสี่ยงคือวิธีการตัดสินใจว่าจะทำสิ่งใดก่อนและเพราะเหตุใด:
- ระบุภัยคุกคามที่เกี่ยวข้องกับองค์กร
- ตรวจหาช่องโหว่และช่องว่างในการควบคุม
- ประเมินโอกาสเกิดและผลกระทบ
- ตัดสินใจว่าจะจัดการความเสี่ยงอย่างไร (ลด โอนย้าย ยอมรับ หลีกเลี่ยง)
- ติดตามการดำเนินการและทบทวนความคืบหน้า
ความเสี่ยงไม่ใช่สิ่งที่จะทำเอกสารเพียงครั้งเดียวแล้วลืมไป เมื่อธุรกิจเติบโต เครื่องมือต่างๆ ย่อมพัฒนาไป เมื่อมีภัยคุกคามใหม่ๆ เกิดขึ้น การประเมินความเสี่ยงจึงต้องก้าวตามให้ทัน ด้วยรอบการดำเนินการที่สม่ำเสมอ (รายไตรมาสหรือปีละสองครั้ง) รวมถึงมีการทบทวนเพิ่มเติมเมื่อเกิดการเปลี่ยนแปลงครั้งสำคัญ
เริ่มต้นด้วยการมุ่งเน้นไปที่ข้อมูลที่ละเอียดอ่อนที่สุดและระบบที่สำคัญ จากนั้นใช้แนวทางการให้คะแนนที่สม่ำเสมอ เพื่อช่วยให้ทีมเปรียบเทียบความเสี่ยงตามเวลาได้ สุดท้าย ปฏิบัติต่อการแก้ไขความเสี่ยงเสมือนโครงการทางธุรกิจอื่นๆ โดยมีผู้รับผิดชอบที่ชัดเจน กำหนดส่ง และการมองเห็นความคืบหน้า
5. เตรียมตัวรับมือกับเหตุการณ์ความมั่นคงปลอดภัยก่อนที่จะต้องตอบสนองจริง
เหตุการณ์ที่ไม่พึงประสงค์ไม่ใช่สิ่งที่จะเลือกได้ แต่การวางแผนรับมืออย่างจริงจังเป็นสิ่งที่เลือกได้ การจัดการเหตุการณ์ต้องประกอบด้วย:
- คำจำกัดความที่ชัดเจน (สิ่งใดที่ถือเป็นเหตุการณ์ความมั่นคงปลอดภัย ใครเป็นผู้ร่วมตัดสินใจ)
- บทบาทและการยกระดับเหตุการณ์ (ใครเป็นผู้นำ ใครเป็นผู้สื่อสาร ใครเป็นผู้บันทึกเอกสาร)
- ขั้นตอนการควบคุมพื้นที่ (วิธีระงับความเสียหาย)
- ขั้นตอนการกู้คืน (วิธีกู้คืนระบบและการเข้าถึง)
- การทบทวนหลังเกิดเหตุการณ์ (สิ่งที่จะเปลี่ยนเพื่อป้องกันไม่ให้เกิดขึ้นซ้ำอีก)
การเข้าถึงและข้อมูลยืนยันตัวตนถือเป็นศูนย์กลางของหลายๆ เหตุการณ์ เมื่อผู้โจมตีเข้าสู่บัญชี การตอบสนองมักขึ้นอยู่กับว่าสามารถทำสิ่งต่อไปนี้ได้รวดเร็วเพียงใด:
- ยกเลิกการเข้าถึง
- สับเปลี่ยนข้อมูลยืนยันตัวตน
- ระบุว่าระบบใดบ้างที่ถูกเข้าถึง
- ยืนยันว่าใครทำอะไรและเมื่อใด
หากการดำเนินการเหล่านั้นต้องทำด้วยตนเอง ล่าช้า หรือไม่สม่ำเสมอ เหตุการณ์จะขยายวงกว้างออกไป หากสิ่งเหล่านี้ถูกสร้างขึ้นไว้ในการควบคุม เหตุการณ์ก็จะยังคงถูกจำกัดวงไว้ได้
6. สร้างความตระหนักรู้ของพนักงานให้เป็นส่วนหนึ่งของงานประจำวัน
วัฒนธรรมความปลอดภัยมีความสำคัญเนื่องจากความล้มเหลวด้านความปลอดภัยส่วนใหญ่ไม่ได้มีความซับซ้อน แต่เป็นข้อผิดพลาดของมนุษย์ การใช้รหัสผ่านซ้ำ การแชร์การเข้าถึงเมื่อไม่เหมาะสม การอนุมัติคำขอโดยไม่ได้ตรวจสอบความจำเป็นที่แท้จริง และการหลงกลกลลวงฟิชชิ่งที่ตกเป็นเป้าหมาย เป็นเพียงตัวอย่างบางส่วนของพฤติกรรมที่อาจทำให้ความปลอดภัยตกอยู่ในความเสี่ยง
ความตระหนักรู้ที่สอดคล้องกับ ISO ไม่ใช่แค่การฝึกอบรมปีละครั้งเท่านั้น แต่ยังหมายถึง:
- กฎที่ชัดเจนซึ่งสอดคล้องกับขั้นตอนการทำงานจริง
- คำแนะนำง่ายๆ ที่ผู้คนสามารถปฏิบัติตามได้โดยไม่ต้องเป็นผู้เชี่ยวชาญด้านความปลอดภัย
- การตอกย้ำผ่านการปฐมนิเทศพนักงานใหม่ การแจ้งเตือน และพฤติกรรมของผู้นำ
โปรแกรมรักษาความปลอดภัยควรทำให้ทางเลือกที่ปลอดภัยเป็นเส้นทางที่มีอุปสรรคน้อยที่สุด
7. ปฏิบัติต่อการปรับปรุงเป็นส่วนหนึ่งของการรักษาความปลอดภัย ไม่ใช่แค่ปฏิกิริยาตอบสนอง
ความปลอดภัยตามมาตรฐาน ISO ถูกสร้างขึ้นโดยเน้นการปรับปรุงอย่างต่อเนื่อง นี่คือหนึ่งในส่วนที่มีคุณค่าที่สุดของกรอบการทำงาน เนื่องจากความปลอดภัยที่หยุดนิ่งจะล้าสมัยไปในที่สุด
การปรับปรุงอย่างต่อเนื่องประกอบด้วย:
- การวัดผลว่าการควบคุมต่างๆ ทำงานได้จริงหรือไม่ (ไม่ใช่แค่ดูว่ามีอยู่หรือไม่)
- การตรวจสอบกระบวนการและการระบุช่องโหว่
- การติดตามการดำเนินการแก้ไข
- การตรวจสอบการเปลี่ยนแปลงในเทคโนโลยี ผู้ให้บริการภายนอก และภัยคุกคาม
- การอัปเดตนโยบายเมื่อความเป็นจริงเปลี่ยนแปลงไป
นี่คือจุดที่ ISO 27000 กลายมาเป็นรากฐานที่สำคัญมากกว่าที่จะเป็นเพียงโครงการขอการรับรอง แม้ว่าจะไม่เคยขอกระบวนการรับรองเลยก็ตาม แต่วงจรการจัดการนี้จะช่วยปรับปรุงความสามารถในการรับมือกับความเสี่ยงเมื่อเวลาผ่านไป
เหตุการณ์ต่างๆ เช่น การละเมิดข้อมูลของผู้ให้บริการภายนอกของ OpenAI แสดงให้เห็นว่าเหตุใดความเสี่ยงจากผู้ให้บริการจึงจำเป็นต้องได้รับการตรวจสอบอย่างต่อเนื่อง ไม่ใช่เฉพาะในระหว่างการตรวจสอบเท่านั้น
การควบคุมการเข้าถึงและการจัดการรหัสผ่านสนับสนุน ISO 27000 อย่างไร?
การควบคุมการเข้าถึงและการจัดการรหัสผ่านอาจฟังดูเป็นเรื่องเฉพาะส่วนเมื่อเทียบกับหัวข้อความปลอดภัยในวงกว้าง แต่ในทางปฏิบัติ สิ่งเหล่านี้เป็นหนึ่งในมาตรการควบคุมที่มีการนำมาใช้งานมากที่สุดซึ่งสามารถปรับปรุงได้ เนื่องจากมีอิทธิพลต่อ:
- การรักษาความลับของข้อมูล (ใครบ้างที่สามารถดูข้อมูลที่ละเอียดอ่อนได้)
- ความถูกต้องสมบูรณ์ของข้อมูล (ใครบ้างที่สามารถเปลี่ยนแปลงหรือลบข้อมูลได้)
- ความพร้อมใช้งานของข้อมูล (ใครบ้างที่สามารถบล็อกการเข้าถึงด้วยการเข้าควบคุมบัญชี)
- การปฏิบัติตามกฎระเบียบ (ใครบ้างที่สามารถพิสูจน์ได้ว่ามีการควบคุมการเข้าถึง)
การควบคุมการเข้าถึงคือจุดที่การปกป้องข้อมูลเกิดขึ้นจริง
ความล้มเหลวใน การปกป้องข้อมูล ส่วนใหญ่เกิดขึ้นเนื่องจากสิทธิ์การเข้าถึงนั้นกว้างเกินกว่าที่ตั้งใจไว้ แนวทางปฏิบัติของ ISMS จะผลักดันให้ต้องตอบคำถามที่เป็นรูปธรรมเหล่านี้:
- บทบาทใดบ้างที่จำเป็นต้องเข้าถึงระบบใดบ้าง
- อนุมัติการเข้าถึงอย่างไร
- ยกเลิกการเข้าถึงอย่างรวดเร็วอย่างไร
- ตรวจสอบการเข้าถึงสำหรับระบบที่ละเอียดอ่อนอย่างไร
- ดูแลให้การยืนยันตัวตนมีความแข็งแกร่งเพียงพออย่างไร
การจัดการรหัสผ่านสนับสนุนคำตอบเหล่านั้นด้วยการลดการกระจัดกระจายของข้อมูลยืนยันตัวตนที่ควบคุมไม่ได้ โดยเฉพาะข้อมูลยืนยันตัวตนที่มีการแชร์และการจัดเก็บแบบเฉพาะกิจ
โปรแกรมจัดการรหัสผ่านช่วยลดปัญหาการเข้าถึงแบบเงาหรือ Shadow Access
แม้จะใช้การลงชื่อเข้าใช้เพียงครั้งเดียวหรือ Single Sign-On แต่ก็มักจะมีข้อมูลยืนยันตัวตนอยู่นอกผู้ให้บริการข้อมูลระบุตัวตนอยู่เสมอ:
- พอร์ทัลของผู้ให้บริการภายนอกที่ไม่สนับสนุน SSO
- บัญชีที่มีการแชร์สำหรับการใช้งานเครื่องมือปฏิบัติการ
- บัญชีที่สร้างขึ้นโดยทีมงานโดยที่ฝ่ายไอทีไม่มีส่วนเกี่ยวข้อง
- บัญชีที่ยังคงมีอยู่นานกว่าโครงการที่สร้างขึ้นเพื่อรองรับการใช้งาน
บัญชีเหล่านี้สร้างช่องทาง การเข้าถึงแบบเงา: ผู้คนสามารถเข้าระบบนอกขั้นตอนการอนุมัติปกติได้ การยกเลิกสิทธิ์พนักงานหลังออกจากงานอาจมีช่องโหว่ และการตรวจสอบข้อมูลจะกลายเป็นเรื่องยุ่งเหยิง โปรแกรมจัดการรหัสผ่านสำหรับธุรกิจ จะนำข้อมูลยืนยันตัวตนเหล่านั้นกลับมาอยู่ภายใต้การควบคุม เพื่อให้การแชร์ปลอดภัยตามค่าเริ่มต้น และการเปลี่ยนแปลงการเข้าถึงเกิดขึ้นอย่างตั้งใจ
การควบคุมข้อมูลยืนยันตัวตนสนับสนุนความคาดหวังในการปฏิบัติตามกฎระเบียบในกรอบการทำงานต่างๆ
กรอบการปฏิบัติตามข้อกำหนดอาจมีความแตกต่างกันในด้านโครงสร้างและเงื่อนไข แต่ก็มักจะมุ่งเน้นไปที่ผลลัพธ์แบบเดียวกัน ได้แก่ การยืนยันตัวตนที่แข็งแกร่ง การเข้าถึงตามสิทธิ์ขั้นต่ำที่จำเป็น การป้องกันจากการเข้าถึงข้อมูลที่ละเอียดอ่อนโดยไม่ได้รับอนุญาต หลักฐานที่ชัดเจนว่าการควบคุมต่างๆ กำลังทำงานอยู่ และความมุ่งมั่นในการปรับปรุงอย่างต่อเนื่องเมื่อพบช่องโหว่
การควบคุมการเข้าถึงและการจัดการรหัสผ่านที่สอดคล้องกับมาตรฐาน ISO สนับสนุนความคาดหวังเหล่านี้โดยตรง นอกจากนี้ยังช่วยให้การตรวจสอบความปลอดภัยทำได้ง่ายขึ้น เนื่องจากสามารถแสดงวิธีการเข้าถึงในการปฏิบัติจริงได้ ไม่ใช่เพียงแค่อธิบายบนกระดาษเท่านั้น
Proton Pass for Business สอดคล้องกับหลักการ ISO 27000 อย่างไร?
ISO 27000 มอบโครงสร้างที่จำเป็นให้ ส่วนที่ยากคือการเปลี่ยนโครงสร้างนั้นให้เป็นพฤติกรรมที่ทีมงานสามารถปฏิบัติได้ทุกวัน โดยเฉพาะเรื่องการเข้าถึง ซึ่งทางลัดเล็กๆ น้อยๆ (รหัสผ่านที่ใช้ซ้ำ ข้อมูลยืนยันตัวตนที่แชร์ในแชท บัญชีที่ไม่เคยได้รับการล้างข้อมูล) สามารถบ่อนทำลายโปรแกรมความปลอดภัยที่มั่นคงได้แบบเงียบๆ
โปรแกรมจัดการรหัสผ่านสำหรับธุรกิจ ช่วยให้ควบคุมความปลอดภัยของรหัสผ่าน ทั่วทั้งธุรกิจได้ โดยนำการควบคุมการเข้าถึงและข้อมูลยืนยันตัวตนที่สอดคล้องกับมาตรฐาน ISO มาปฏิบัติจริงโดยไม่ทำให้การทำงานของทีมล่าช้าลง ทีมงานสามารถสร้างรหัสผ่านที่คาดเดายากและไม่ซ้ำใคร และจัดเก็บไว้ในห้องนิรภัยที่เข้ารหัสลับจากต้นทางถึงปลายทาง เพื่อไม่ให้ความลับต่างๆ กระจัดกระจายอยู่ตามเบราว์เซอร์ ตารางคำนวณ หรือกล่องจดหมาย นอกจากนี้ยังสามารถใช้การยืนยันตัวตนผ่านสองขั้นตอน (2FA) ในตัว และแชร์การเข้าถึงได้อย่างปลอดภัยโดยไม่ต้องคัดลอกรหัสผ่านลงในข้อความ
การแชร์และการดำเนินการในบัญชีหลักสามารถตรวจสอบได้ผ่านรายงานการใช้งานและบันทึกกิจกรรม ซึ่งสนับสนุนความรับผิดชอบที่โปรแกรม ISO ได้รับการออกแบบขึ้นมาเพื่อรองรับเมื่อองค์กรเติบโตขึ้น ไม่ใช่เฉพาะในระหว่างการตรวจสอบเท่านั้น แต่เป็นส่วนหนึ่งของการปฏิบัติงานตามปกติ
นอกจากนี้ ISO ยังให้ความสำคัญกับความปลอดภัยที่สามารถเชื่อถือและตรวจสอบได้ ด้วย ISMS ที่ได้รับการรับรอง ISO 27001 รหัสโอเพนซอร์สและการตรวจสอบที่เป็นอิสระ Proton Pass จึงได้รับการสร้างขึ้นมาสำหรับองค์กรที่ต้องการความปลอดภัยที่สามารถตรวจสอบความถูกต้องได้ โดยได้รับการสนับสนุนจากเขตอำนาจศาลของสวิตเซอร์แลนด์และโครงสร้างพื้นฐานหลักที่องค์กรเป็นเจ้าของและดำเนินงานเองภายในองค์กร
หากกำลังสร้างแนวทางปฏิบัติในการปกป้องข้อมูลที่สอดคล้องกับ ISO 27000 การเข้าถึงคือหนึ่งในจุดเริ่มต้นที่ดีที่สุด เนื่องจากส่งผลกระทบต่อทุกระบบที่ทีมงานเข้าไปเกี่ยวข้อง
ดาวน์โหลด eBook ด้านความปลอดภัยที่ใช้งานได้จริงของ Proton สำหรับธุรกิจที่กำลังเติบโต เพื่อเริ่มดำเนินการปรับปรุงอย่างรวดเร็วและสร้างกลยุทธ์ความปลอดภัยในระยะยาวที่สามารถปรับขนาดร่วมกับทีมงานได้
