Information Security

ป้ องกนั ภยั คุกคามจากการใช้งานเทคโนโลยี ??

พรบ.ข้อมูลส่วนบุคคล ปี 62

พรบ.ข้อมูลส่วนบุคคล ปี 62

พรบ.ข้อมูลส่วนบุคคล ปี 62

พรบ.ข้อมูลส่วนบุคคล ปี 62

พรบ.ข้อมูลส่วนบุคคล ปี 62

พรบ.ข้อมูลส่วนบุคคล ปี 62

ความเส่ียง ?

ความเส่ียงคอื อะไร ? ความเส่ียง (Risk) คอื ความไม่แน่นอน

การบริหารความเส่ียง การบริหาร ความไม่แน่นอน โดยลดสาเหตุของแต่ละโอกาสทจ่ี ะทาให้ เกดิ ความเสียหาย เพอ่ื ควบคุมระดบั ของความเส่ียง และผลกระทบทจ่ี ะเกดิ ขนึ้ ในอนาคต ให้อยู่ในระดบั ทส่ี ามารถยอมรับได้

ระดบั ความเส่ียง?

ประเภทความเส่ียงด้านระบบสารสนเทศ 1.ความเส่ียงด้านกายภาพและส่ิงแวดล้อม 2.ความเส่ียงด้านบุคลากร (People ware) 3.ความเส่ียงด้านอุปกรณ์เทคโนโลยสี ารสนเทศ (Hardware) 4.ความเส่ียงด้านโปรแกรมคอมพวิ เตอร์ (Software) 5.ความเสี่ยงด้านระบบข้อมูล 6.ความเส่ียงด้านกลยุทธ์ (Strategic Risk) 7.ความเสี่ยงด้านการเงนิ (Financial Risk)

ความเส่ียงด้านกายภาพและสิ่งแวดล้อม ? วาตภยั อุทกภยั ฟ้ าผ่า นา้ ท่วม กระแสไฟฟ้ าขดั ข้อง เพลงิ ไหม้ การไม่ มีระบบรักษาความปลอดภยั ห้องคอมพวิ เตอร์แม่ข่าย และการก่อการ ร้ายเป็ นต้น

การบริหารความเส่ียง จัดทาห้อง server ให้ได้ จดั ทาระบบไฟฟ้ าให้ได้ ติดต้งั เคร่ืองจดั ความร้อน/ มาตรฐาน มาตรฐาน ควนั ไฟ ติดต้งั ระบบสแกนก่อนเข้าห้อง จดั ทาระบบสารองข้อมูล server

ความเส่ียงด้านบุคลากร (People ware) ในหน่วยงานคนมี งานรวมอยู่ทคี่ น ๆ ความรู้เพยี งคน เดยี วมากเกนิ ไป เดยี ว People ware คนในองค์กรไม่มี ไม่มีแผนสารอง องค์ความรู้ ด้านกาลงั คน

การบริหารความเส่ียง 55% 75% 35% 90% ผงั องค์กร/เกลย่ี จัดอบรม จ้างทป่ี รึกษา จดั ทาคู่มอื

ความเสี่ยงด้านอปุ กรณ์เทคโนโลยสี ารสนเทศ (Hardware) ความผดิ พลาดของอปุ กรณ์ ความเสื่อมสภาพของอุปกรณ์ตามกาลเวลา การติดต้งั ในพนื้ ทไ่ี ม่เหมาะสม ความเสียหายของอุปกรณ์ทเี่ กดิ ขนึ้ กะทนั หัน

การบริหารความเส่ียง ถอด/สารอง/ตรวจ/ซ่อม ตรวจเช็ค ซ่อมบารุง อุปกรณ์ ตามรอบ ถอดปลก๊ั เมอื่ เลกิ ใช้ สารอง อุปกรณ์

ความเสี่ยงด้านโปรแกรมคอมพวิ เตอร์ (Software) โปรแกรม การใช้ โปรแกรม การถูก HACK ทางาน โปรแกรมที่ ติดไวรัส ผดิ พลาด ละเมดิ ลขิ สิทธ์ิ

อาการของเครื่องตดิ ไวรัส

การแก้ไขไวรัส ตดิ ต้งั โปรแกรม/อพั เดท ไม่โหลด/ไม่เข้า เวบ็ ทไี่ ม่น่าเช่ือถอื

การบริหารความเสี่ยง ใช้ software ติดต้งั ติดต้งั ใช้ software ถูกลขิ สิทธ์ิ Antivirus Firewall จาก ส่ วนกลาง

ความเส่ียงด้านระบบข้อมูล ฐานข้อมูลได้รับความเสียหาย การลกั ลอบเข้ามาแก้ไขเปลย่ี นแปลงข้อมูล การโจรกรรมข้อมูลทสี่ าคญั

การบริหารความเสี่ยง การยนื ยนั หรือพสิ ูจน์ตวั ตน วางแผนการซ้อมก้รู ะบบ ทาแผนการสารองและการก้คู นื ระบบเป็ น เอกสาร การกาหนดรหัสผ่านการใช้งาน สารองข้อมูล/ทดสอบการใช้ข้อมูล

ความเสี่ยงด้านกลยุทธ์ (Strategic Risk) Contents Here ผู้บริหาร การเปลย่ี นแปลง Easy to change colors, ผู้บริหารหน่วยงาน photos and Text. Contents Here นโยบาย Easy to change colors, การเปลยี่ นแปลง photos and Text. นโยบาย

การบริหารความเส่ียง สื่อสารกบั ผู้บริหารให้ชัดเจนเพอื่ นามาจัดทาแผน ปรับแผนให้สอดคล้องกบั นโยบายทกุ 3-6 เดอื น

ความเสี่ยงด้านการเงนิ (Financial Risk)? 01 งบประมาณไม่เพยี งพอ เบกิ จ่ายงบประมาณไม่ 02 03 ค่าใช้จ่ายกะทันหัน ทนั ตามกาหนดเวลา

การบริหารความเส่ียง จดั ทาแผนการบริหาร 02 ความเปลย่ี นแปลง เช่น 01 จัดทาแผนบริหาร ค่าอปุ กรณ์เพม่ิ สูงขนึ้ จัดการการใช้จ่าย เปลย่ี นเทคโนโลยี งบประมาณ เปลยี่ นระบบปฏิบัติ ใหม่ 03 ตดิ ตามการใช้ งบประมาณรายจ่าย จัดทาแผนงบประมาณ 04 อย่างต่อเน่ือง ระยะส้ัน – กลาง - ยาว

ข้นั ตอนการบริหารความเส่ียง คน้ หาและ วางแผน ดาเนินการ ประเมิน

การค้นหาและประเมนิ

ค้นหาความเส่ียง

ค้นหาความเส่ียง

ค้นหาความเส่ียง

ประมาณความเส่ียง

ประมาณความเส่ียง

ตวั อย่างแบบประเมนิ ความเส่ียง

ตวั อย่างการประเมนิ ความเส่ียง

ตวั อย่างการประเมนิ ความเส่ียง

ตวั อย่างการประเมนิ ความเส่ียง

ตวั อย่างการประเมนิ ความเส่ียง

เกณฑ์การประเมนิ ความเส่ียง

การประเมนิ ความเส่ียง

ผลการประเมินความเส่ียง

ผลการประเมินความเส่ียง

ผลการประเมินความเส่ียง

รายงานสรุปผลการวเิ คราะห์ความเส่ียง

รายงานสรุปผลการวเิ คราะห์ความเส่ียง

วางแผนจดั การความเสี่ยง กลยุทธ์ใน การลดความเส่ียง การจดั การ การโอนย้ายความเสี่ยง ความเสี่ยง การหลกี เลย่ี งความเสี่ยง การยอมรับความเส่ียง

วางแผนจัดการความเสี่ยง 1. การลดความเสี่ยง (Loss Reduction = LR ) ได้แก่ การมีมาตรการควบคุม มากขนึ้ หรือเข้มงวดมากขนึ้ เพอื่ ลดความเสี่ยง เช่น การใช้ชีวมาตร (biometrics) เพอื่ ใช้ในการพสิ ูจน์ตวั จริงนอกเหนือไปจากการใช้ id/ password ทมี่ ีอยู่เดมิ 2. การโอนย้ายความเสี่ยง ( Risk Transfer = RF ) ได้แก่ อุปกรณ์เครือข่าย เม่ือซื้อมาแล้วมีระยะประกนั เพยี ง 1 ปี เพอ่ื เป็ นการรับมือในกรณที อ่ี ุปกรณ์ เครือข่าย ไม่ทางาน องค์กรอาจเลอื กซื้อประกนั หรือสัญญาการบารุงรักษา หลงั ขาย (Maintenance service)

วางแผนจดั การความเส่ียง 3. การหลกี เลย่ี งความเสี่ยง ( Risk Avoidance = RA ) ได้แก่ เมอื่ พบว่ามกี าร สารองข้อมูลเพยี ง 1 ชุดเพมิ่ เป็ นการสารองข้อมูล 2 ชุด และแยกเกบ็ ในสถานที่ ต่างกนั การบริหารจดั การการเช่ือมโยงสู่ระบบเครือข่าย 4. การยอมรับความเส่ียง ( Risk acceptance = RC ) เป็ นการยอมรับในความ เส่ียงโดยไม่ทาอะไร และยอมรับในผลทอี่ าจตามมา เช่น การพสิ ูจน์ตวั จริงเพยี ง ใช้ id/ password มีความเสี่ยงเพราะอาจมีการขโมยไปใช้ได้ การให้มใี ช้ชีวมาตร (biometrics) เช่น การตรวจลายนิว้ มอื หรือม่านตา อาจมีค่าใช้จ่ายสูงไม่คุ้มค่า