8311301 : INFORMATION SECURITY (ความมนคงปลอดภยของสารสนเทศ)

Department of Informatics, Phuket Rajabhat University. THAILAND

Department of Informatics, Phuket Rajabhat University. THAILAND

บทท 1 ภาพรวมความมนคงปลอดภยของสารสนเทศ

ความมนคงปลอดภยของสารสนเทศ (Information Security) คออะไร

ความมนคงปลอดภยของสารสนเทศ คอ กระบวนการในการยบยงและการปองกนภยคกคาม ตาง ๆ ทเกดขนหรออาจจะเกดขนกบสารสนเทศ ระบบสารสนเทศ และบรการของระบบสารสนเทศ

ภยคกคาม (Threats) คออะไร

ภยคกคาม หมายถง การกระทำาและ/ หรอเหตการณใด ๆ ททำาใหระบบสารสนเทศไมมความมนคงปลอดภย

ทมาของภยคกคาม คน เชน ตงรหสผานงายเกนไป อปกรณ เชน ฮารดแวรพง ซอฟตแวรทำางานผดพลาด ฯลฯ ภยธรรมชาต เชน ไฟไหม นำาทวม แผนดนไหว ฯลฯ

ภยคกคามอาจเปนอบตเหตหรอเปนการจงใจทำาใหเกดขนกได

แนวโนม (Trend) ของภยคกคามทมตอระบบสารสนเทศ

1988

1990

1992

1994

1996

1998

2000

2002

0

40000

80000

120000

Incident reports received

Source : http://www.cert.org/stats/

สาเหตททำาใหภยคกคามทมตอขอมลสารสนเทศมแนวโนมขยายตว มการประยกตใช ICT ในดานตาง ๆ มากขน (ทกอยางใชคอมพวเตอร

ควบคม) มจำานวนผใชอนเทอรเนตทเพมสงขนอยางตอเนอง (มทงคนดและคนไม

ด) เครองมอในการสรางภยคกคามหาไดงายจากอนเตอรเนต (อยากรอะไร

ถาม Google) เครองมอในการสรางภยคกคามใชงานไดงาย (ขอแคคลกเมาสเปนกใชได) ผใชขาดความใสใจในเรองของความมนคงปลอดภย

มลคาความเสยหาย

Source : http://gocsi.com/sites/default/files/uploads/CSIsurvey2008.pdf

ประเภทของภยคกคาม

ประเภทของภยคกคาม

เปนการแอบดขอมลระหวางการสง ไมมการแกไข/เปลยนแปลงขอมล ยากตอการตรวจจบ แตสามารถปองกนได ตวอยาง เชน

Sniffer Wiretap Social engineering

มการแกไข/เปลยนแปลงขอมล งายตอการตรวจจบ แตปองกนไดยาก ตวอยาง เชน

Virus Worm Trojan Horse ฯลฯ

Passive threats Active threats

ความสำาคญของ Information Security

เปนการปองกนและ/หรอลดมลคาความเสยหายทอาจจะเกดขน ชวยใหธรกจสามารถดำาเนนงานไดอยางตอเนอง เพมโอกาสทางธรกจ ชวยใหองคกรมภาพลกษณทด ผมสวนไดสวนเสย (Stakeholder : ลกคา คคา ผถอหน) เกด

ความเชอมน

ภาพรวมความมนคงปลอดภยของสารสนเทศ

สวนผสมทางดานความมนคงปลอดภย

Security

Technology

ProcessPeople

ธรรมชาตของความมนคงปลอดภย

ความมนคงปลอดภยเปนเรองของความเสยงดงนนจงไมมคำาว า “ ”รอยเปอรเซนต

ความมนคงปลอดภยมกจะสวนทางกบความสะดวกสบายเสมอ ความมนคงปลอดภยเปนเรองของกระบวนการไมใชเรองของ

เทคโนโลยชนสง Security

Comfortable

แนวความคดหลกทใชในการรกษาความมนคงปลอดภยสารสนเทศ

Confidentiality (การรกษาความลบ) การรบรองวาจะมการเกบรกษาสารสนเทศไวเปนความลบและจะ

มเพยงผทมสทธเทานนทสามารถจะเขาถงสารสนเทศเหลานนได

แนวความคดหลกทใชในการรกษาความมนคงปลอดภยสารสนเทศ

Integrity (ความสมบรณ) การรบรองวาสารสนเทศจะไมถกกระทำาการใด ๆ อนมผลทำาให

สารสนเทศเกดการเปลยนแปลงหรอแกไขจากผไมมสทธหรอกลาวอกนยหนงวาสารสนเทศจะมความสมบรณถกตองตลอดเวลา

แนวความคดหลกทใชในการรกษาความมนคงปลอดภยสารสนเทศ

Availability (ความพรอมใช) การรบรองวาระบบสารสนเทศมความพรอมทจะใหบรการไดใน

เวลาทตองการใชงาน

แนวความคดหลกทใชในการรกษาความมนคงปลอดภย สารสนเทศ

Authentication (การพสจนตวตน) การตรวจสอบสทธในการเขาใชงานระบบสารสนเทศของบคคล

ใดบคคลหนง

แนวความคดหลกทใชในการรกษาความมนคงปลอดภย สารสนเทศ

Authorization (การพสจนสทธ) ตรวจสอบสทธในการดำาเนนการอยางใดอยางหนงตอระบบ

สารสนเทศของบคคลทไดรบอนญาตใหเขาใชงานระบบสารสนเทศ

แนวความคดหลกทใชในการรกษาความมนคงปลอดภย สารสนเทศ

Non-repudiation (การไมปฎเสธการกระทำา) การปองกนการปฎเสธการรบผดชอบในการดำาเนนการอยาง

หนงอยางใดตอระบบสารสนเทศของผใชระบบสารสนเทศ

ชองโหว (Vulnerabilities)

ชองโหว คอ จดออนของระบบสารสนเทศ ทอาจจะทำาใหระบบ สารสนเทศไมมความปลอดภยจากภยคกคามตาง ๆ

หากละเลยในการคนหาชองโหวอาจเปนสาเหตใหเกดความเสยได งาย ดงตวอยาง

ชองโหวเกยวกบฮารดแวรไมลอคประต

ชองโหวเกยวกบซอฟตแวร ไมอพเดทฐานขอมลไวรส

ชองโหวเกยวกบนโยบายไมมการทบทวนนโยบายความปลอดภยฯ

การโจมต (Attack)

การโจมต หมายถง การกระทำาใด ๆ กตามทเปนการพยายามบกรกผานระบบรกษาความปลอดภยฯ

รปแบบของการโจมตระบบเครอขายสารสนเทศ Interruption Interception Modification Fabrication

รปแบบการโจมตระบบสารสนเทศ

Questions