การละเมิดความปลอดภัยขององค์กรเช่น Target และ Experian เป็นข่าวใหญ่ แต่ทุกวันมีเหตุการณ์ด้านความปลอดภัยและการละเมิดของบริษัทและองค์กรขนาดเล็กทั่วโลก รัฐบาลสหรัฐเองก็ไม่รอดอย่างแน่นอน ในปี 2559 เพียงปีเดียว “หน่วยงานรัฐบาลรายงาน เหตุการณ์ ด้านความปลอดภัยข้อมูล 30,899 เหตุการณ์ ซึ่ง 16 เหตุการณ์เข้าเกณฑ์ที่จะเป็นเหตุการณ์สำคัญปี 2017 ก็ไม่ใช่ข้อยกเว้น และมี เหตุการณ์สำคัญ เกิดขึ้นมากมาย
ในเดือนมีนาคมและเมษายน WikiLeaks ได้เผยแพร่สิ่งที่อ้างว่าเป็นรายการเครื่อง
มือแฮ็คของ CIA ตามรายงานการสอบสวน มันสามารถรับสิ่งที่เรียกว่า “Vault 7” ในขณะที่ข้อมูลนี้ส่งต่อจากพนักงานของรัฐไปยังผู้รับเหมาภายนอกในลักษณะที่ “ไม่ได้รับอนุญาต”
เครื่องมือเจาะระบบที่เรียกว่า “EternalBlue” ถูกขโมยไปจาก NSA และถูกใช้โดยกลุ่มที่รู้จักกันในชื่อ Shadow Brokers เพื่อโจมตีกว่า 150 ประเทศ เมื่อไม่ได้รับค่าไถ่ 1 ล้าน Bitcoins มันก็ปล่อยเครื่องมือ
เครื่องมือดึงข้อมูล IRS สำหรับการขอสินเชื่อเพื่อการศึกษาถูกละเมิดตั้งแต่ต้นฤดูใบไม้ร่วงปี 2016 และต่อเนื่องไปจนถึงปี 2017 จนกว่าจะถูกค้นพบและปิดเครื่องมือนี้ ข้อมูลผู้เสียภาษีอาจถูกบุกรุกมากถึง 100,000 ราย แฮ็กเกอร์ยังกรอกใบสมัครเงินกู้ 8,000 ใบและขโมยเงิน 30 ล้านดอลลาร์จากรัฐบาล
และในปี 2560 มี 21 รัฐได้รับแจ้งจากกระทรวงความมั่นคงแห่งมาตุภูมิว่าระบบการเลือกตั้งของพวกเขาตกเป็นเป้าหมายของการแฮ็กข้อมูลของรัสเซียในระหว่างการเลือกตั้งปี 2559
สาเหตุที่พบบ่อยที่สุด
การศึกษาที่จัดทำโดย PricewaterhouseCoopers แสดงให้เห็นว่าการละเมิดส่วนใหญ่ ไม่ว่าจะเป็นองค์กรหรือรัฐบาล ไม่ได้เกิดขึ้นจากความพยายามอย่างเปิดเผยของแฮ็กเกอร์และรัฐชาติ แต่เป็นเพราะพนักงานปัจจุบันหรืออดีตพนักงานที่ไม่ปฏิบัติตามกฎพื้นฐานด้านความปลอดภัยทางไซเบอร์ พวกเขาไม่ทราบถึงภัยคุกคามที่สำคัญหรือเลือกที่จะเพิกเฉย
ข้อมูลเชิงลึกโดย Carahsoft: เอเจนซีจะบรรลุประสบการณ์ลูกค้า
ที่ยอดเยี่ยมด้วยความปลอดภัยทางไซเบอร์ที่ได้รับการปรับปรุงได้อย่างไร ในระหว่างการสัมมนาผ่านเว็บสุดพิเศษนี้ Jason Miller ผู้ดำเนินรายการจะหารือเกี่ยวกับการเปลี่ยนแปลงสู่ระบบคลาวด์และกลยุทธ์การจัดการข้อมูลประจำตัวและการเข้าถึงกับหน่วยงานและผู้นำในอุตสาหกรรม
นี่เป็นเรื่องของการศึกษาและการฝึกอบรม และคอยจับตาดูอย่างใกล้ชิดว่าพนักงานกำลังทำอะไรกับคอมพิวเตอร์และอุปกรณ์ที่ทำงานซึ่งก่อให้เกิดความเสี่ยง
กฎพื้นฐานบางประการสำหรับทั้งฝ่ายไอทีและพนักงานประจำ ต่อไปนี้คือกฎพื้นฐาน 6 ข้อของการรักษาความปลอดภัยทางไซเบอร์ที่ควรปฏิบัติตาม:
ผู้ดูแลระบบไอทีมักหละหลวมในการอัปเดตซอฟต์แวร์และแอป และลบรายการที่ไม่ได้ใช้งานแล้ว ในขณะที่ผู้ให้บริการซอฟต์แวร์ทำงานอย่างหนักเพื่อแก้ไขช่องโหว่ การใช้เวอร์ชันที่ล้าสมัยทำให้องค์กรมีช่องโหว่ และการเก็บซอฟต์แวร์และแอพที่ไม่ได้ใช้งานไว้เป็นจุดเริ่มต้นสำหรับแฮ็กเกอร์ เนื่องจากซอฟต์แวร์นั้นยังคงสื่อสารอยู่เบื้องหลังกับเซิร์ฟเวอร์จำนวนเท่าใดก็ได้
อีเมลจากแหล่งที่ไม่รู้จัก นี่เป็นหนึ่งในปัญหาใหญ่เมื่อพนักงานใช้คอมพิวเตอร์ที่ทำงานเพื่อเข้าถึงบัญชีอีเมลส่วนตัว ฟิชชิ่งจำนวนมากเกิดขึ้นที่นี่ โดยเฉพาะอย่างยิ่งกับแฮ็กเกอร์ที่สวมรอยเป็นบุคคลหรือสถาบันที่มีชื่อเสียง เมื่อเปิดอีเมลเหล่านั้นและผู้ใช้เริ่มทำตามคำแนะนำในการดาวน์โหลด ฯลฯ แฮ็กเกอร์ก็เข้ามา การป้องกันที่สำคัญที่สุดคืออย่าใช้คอมพิวเตอร์ที่ทำงานเพื่อเข้าถึงอีเมลส่วนตัว พนักงานควรใช้อุปกรณ์ส่วนตัว (โทรศัพท์ แท็บเล็ต ฯลฯ) เพื่อเข้าถึงบัญชีอีเมลของตนเท่านั้น แม้ว่านี่จะเป็นนโยบายมาตรฐานของหน่วยงานรัฐบาลทั้งหมด แต่จำนวนพนักงานที่แท้จริงหมายความว่าเปอร์เซ็นต์จะไม่ปฏิบัติตามนโยบายดังกล่าว
วิธีแก้ปัญหาอยู่ในสองสามขั้นตอน ขั้นแรก ผู้ดูแลระบบไอทีต้องตั้งค่าระบบตรวจสอบเพื่อให้ระบบแจ้งเตือนเมื่อพนักงานละเมิดนโยบาย ผลที่ตามมาต้องรวดเร็วและรุนแรง รวมถึงการยุติ ต้องตั้งค่าตัวอย่าง ประการที่สอง แต่ละหน่วยงานมีเบราว์เซอร์และเซิร์ฟเวอร์อีเมลเฉพาะ ควรบล็อกคนอื่นๆ ทั้งหมด เพื่อให้พนักงานไม่สามารถเข้าถึงบัญชีอีเมลส่วนตัวของตนได้ มาตรการป้องกันนี้จะนำสิ่งล่อใจออกไป และไม่มีใครต้องรับมือกับผลที่ตามมาของการละเมิด
ข้อมูลส่วนตัวที่เปิดเผยบนโซเชียลมีเดีย นี่เป็นปัญหาใหญ่ เมื่อพนักงานของรัฐบาลกลางทำงานให้กับหน่วยงานที่จัดการเนื้อหาและข้อมูลที่มีความละเอียดอ่อนสูง พวกเขาไม่ควรเปิดเผยรายละเอียดการจ้างงานในโปรไฟล์โซเชียลมีเดียของตน โปรไฟล์ Facebook ที่แสดงชื่อ วันเกิด และข้อมูลการจ้างงานเฉพาะของรัฐบาลกลางทำให้แฮ็กเกอร์มีช่องโหว่ที่พวกเขาสามารถใช้เพื่อใช้ประโยชน์จากบุคคลนั้นได้
วิธีแก้ปัญหานั้นไร้สมองจริงๆ แพลตฟอร์มโซเชียลมีเดียทั้งหมดควรถูกบล็อกในคอมพิวเตอร์และอุปกรณ์ที่ทำงาน และพนักงานต้องได้รับคำแนะนำเกี่ยวกับวิธีที่พวกเขาลงรายการงานในบัญชีโซเชียลมีเดียส่วนตัว อีกครั้ง การละเมิดนโยบายนี้จะต้องได้รับผลร้ายแรง
อุปกรณ์เคลื่อนที่ในที่ทำงานไม่ได้มีไว้สำหรับใช้ส่วนตัวแต่อย่างใด พนักงานของรัฐบาลกลางที่ทำงาน “ภาคสนาม” มักจะได้รับอุปกรณ์พกพา อุปกรณ์เหล่านี้มีความปลอดภัยในตัว เมื่อพนักงานตัดสินใจใช้เพื่อ
