Page 11 - E-MAGAZINE_VOL_55
P. 11
I - Trend | กองบรรณาธิการ
• Malware (มัลิ้แวร์) ห้รือ Malicious Software (ซอฟิต์แวร์อันตราย่) คุือ่ การประเมินค์วามเสำี�ย่งด้้านค์วามปลิ้อด้ภััย่ทางไซเบอร์
ซึ่อ่ฟต์แวัร์ทุี�พัฒนาโดียผู้้�ไม่หวัังดีี เพื�อ่ข้โมยข้�อ่ม้ล่แล่ะสร�างคุวัามเสียหายให�กับั การประเมินคุวัามเสี�ยงดี�านคุวัามปล่อ่ดีภัยทุางไซึ่เบัอ่ร์ช่วัยให�ธิุรกิจำ
ระบับัคุอ่มพิวัเตอ่ร์ โดียมัล่แวัร์นั�นไดี�แบั่งอ่อ่กเป็นหล่ายประเภทุ เช่น แล่ะอ่งคุ์กรเข้�าใจำ คุวับัคุุม แล่ะล่ดีคุวัามเสี�ยงทุางไซึ่เบัอ่ร์ทุุกร้ปแบับั ทุี�เป็นอ่งคุ์ประกอ่บั
สำาคุัญข้อ่งการบัริหารคุวัามเสี�ยงแล่ะล่ดีคุวัามเสี�ยง หากไม่มีการประเมินคุวัามเสี�ยง
• Virus (ไวรัสำ) เป็นซึ่อ่ฟต์แวัร์ทุี�เป็นอ่ันตรายต่อ่ระบับัสารสนเทุศเป็นอ่ย่าง การรักษาคุวัามปล่อ่ดีภัยทุางไซึ่เบัอ่ร์ อ่าจำส่งผู้ล่กระทุบัต่อ่ข้�อ่ม้ล่แล่ะทุรัพยากร
ซึ่่�งโดียมุ่งเน�นในการโจำมตี ข้ัดีข้วัางเพื�อ่ไม่ให�ระบับัสามารถุใช�งานไดี� สำาคุัญใน การดีำาเนินการอ่ย้่ข้อ่งธิุรกิจำแล่ะอ่งคุ์กรไดี� การใช�มาตรการรักษาคุวัาม
ปล่อ่ดีภัยทุางไซึ่เบัอ่ร์ มีวัิธิีการคุำานวัณตาม OWASP Risk
• Worms (เวิร์ม) เป็นซึ่อ่ฟต์แวัร์ทุี�เป็นอ่ันตรายต่อ่ระบับัสารเทุศทุี�มีการเชื�อ่มต่อ่ โดยมีีขั้้�นตอนการประเมีินความีเสี่ี�ยงด้งนี�
ผู้่านระบับัเคุรือ่ข้่ายทุั�งภายในแล่ะภายนอ่กโดียซึ่อ่ฟต์แวัร์ชนิดีนี�มุ่งเน�นเพื�อ่ 1. ระบัุคุวัามเสี�ยง คุือ่การระบัุถุ่งคุวัามเสี�ยงทุี�จำะเกิดีข้่�นกับัระบับัสารสนเทุศ
การโจำมตี ข้ัดีข้วัางการทุำางานแล่ะข้ยายตัวัส่งต่อ่ภายในระบับัเคุรือ่ข้่ายจำนทุำาให� 2. ปัจำจำัยในการประมาณคุวัามน่าจำะเป็น คุือ่ปัจำจำัยทุี�สามารถุช่วัยกำาหนดีคุวัาม
ไม่สามารถุใช�งานระบับัสารสนเทุศไดี� น่าจำะเป็นไดี� ซึ่่�งมีคุวัามเกี�ยวัข้�อ่งกับัตัวัภัยคุุกคุาม
3. ปัจำจำัยในการประเมินผู้ล่กระทุบั คุือ่ปัจำจำัยทุี�ส่งผู้ล่กระทุบัการทุำางานข้อ่งระบับั
• Trojan (โทรจึัน) เป็นซึ่อ่ฟต์แวัร์ทุี�มีเป้าหมายการดีักจำับัเปล่ี�ยนแปล่งแก�ไข้ สารสนเทุศ
ข้�อ่ม้ล่ซึ่่�งอ่าจำส่งผู้ล่ต่อ่คุวัามถุ้กต�อ่งข้อ่งข้�อ่ม้ล่ภายในระบับัสารสนเทุศหรือ่ 4. การกำาหนดีคุวัามรุนแรงข้อ่งคุวัามเสี�ยง คุือ่คุวัามรุนแรงทุี�อ่าจำส่งผู้ล่กระทุบั
การัปรัะเมิินรัะดัับความิเสี่่�ยงดั้านไซเบอรั์ อ่าจำเกิดีคุวัามเสียหายภายในระบับัสารสนเทุศไดี� ต่อ่ระบับัสารสนเทุศ
5. ตัดีสินใจำวั่าจำะแก�ไข้ในอ่นาคุตหรือ่ไม่ คุือ่มีแนวัโน�มทุี�จำะแก�ไข้ช่อ่งโหวั่ทุี�เกิดีข้่�นนี�
แลิะการับรัิหารัความิเสี่่�ยงดั้านไซเบอรั์ภายในธุุรักิจแลิะองค์กรั • Spyware (สำปาย่แวร์) ซึ่อ่ฟต์แวัร์ประสงคุ์ร�ายทุี�ทุำางานอ่ย่างล่ับัๆ ในอ่นาคุตหรือ่ไม่
บันคุอ่มพิวัเตอ่ร์แล่ะรายงานกล่ับัไปยังผู้้�ใช�ระยะไกล่ โดียสปายแวัร์มุ่งเน�น
6. การจำำาล่อ่งการประเมินคุวัามเสี�ยง คุือ่การมีกรอ่บัการจำัดีล่ำาดีับัคุวัามเสี�ยง
ค์วิามเสู่�ยงไซึ่เบอร์ ค์ือชุ้ดูของภัยค์ุกค์ามท่�ธุุรกิจัจัะต้องแบกรับเมื�อม่การใช้้เทค์โนโลิ้ย่แลิ้ะข้อม้ลิ้ ค์วิามเสู่�ยงเห้ลิ้่าน่�มักถ้กซึ่่อนเร้นใน เพื�อ่ข้โมยข้�อ่ม้ล่ทุางการเงินหรือ่ข้�อ่ม้ล่ส่วันบัุคุคุล่ ทุี�ปรับัแต่งไดี�สำาหรับัธิุรกิจำเป็นสิ�งสำาคุัญสำาหรับัการนำาไปใช�
เทค์โนโลิ้ย่สูารสูนเทศท่�ม่ขนาดูมห้าศาลิ้ ค์วิามเสู่ยห้ายท่�เกิดูจัากเห้ตุการณ์์ค์วิามเสู่�ยงไซึ่เบอร์ สู่งผู้ลิ้กระทบต่อบริษััทโดูยรวิม เพราะในช้่วิง เมื�อ่เข้�าส้่ข้ั�นตอ่นการประเมินคุวัามเสี�ยงต่อ่ภัยคุุกคุามทุางไซึ่เบัอ่ร์โดีย
วิิกฤต COVID-19 กระแสู Digital Transformation ห้รือ การนำาเทค์โนโลิ้ย่มาปัระยุกต์ใช้้ในทุกภาค์สู่วินของการดูำาเนินธุุรกิจัไดู้เร่งตัวิข้�น • Adware (แอด้แวร์) คุือ่ซึ่อ่ฟต์แวัร์ทุี�รวับัรวัมข้�อ่ม้ล่การใช�งานระบับั คุำาน่งถุ่งจำุดีอ่่อ่นทุี�มีระดีับัคุวัามเสี�ยงตำ�าหมายถุ่งจำุดีอ่่อ่นมีคุวัามรุนแรงตำ�าจำุดีอ่่อ่นทุี�
เปั็นอย่างมาก เพ่�อตอบรับพฤติกรรมผู้้้บริโภค์ท่�เปัลิ้่�ยนไปัในยุค์ New Normal เทค์โนโลิ้ย่ต่าง ๆ ท่�ใค์รห้ลิ้ายค์นอาจัเค์ยมองวิ่าเปั็นเรื�องไกลิ้ตัวิ คุอ่มพิวัเตอ่ร์แล่ะจำัดีเตรียมโฆษณาให�กับัเป้าหมาย ถุ่งแม�วั่าแอ่ดีแวัร์อ่าจำไม่เป็น มีคุวัามเสี�ยงส้งหมายถุ่งจำุดีอ่่อ่นทุี�อ่าจำก่อ่ให�เกิดีคุวัามเสียหายต่อ่ระบับัสารสนเทุศ
เช้่น ค์วิามเสู่�ยงดู้านไซึ่เบอร์แลิ้ะการบริห้ารค์วิามเสู่�ยงดู้านไซึ่เบอร์ เริ�มไดู้รับค์วิามนิยมเปั็นอย่างมากในช้ั�วิข้ามค์ืน จันเปั็นค์ำาศัพท์ท่�ใช้้กัน อ่ันตราย แต่ในบัางกรณีแอ่ดีแวัร์อ่าจำทุำาให�เกิดีปัญหากับัระบับัสารสนเทุศไดี�ซึ่่�ง ส้งหรือ่มีระดีับัคุวัามรุนแรงส้ง แล่ะง่ายต่อ่การโจำมตี โดียใช�หล่ักการวัิเคุราะห์
อย่างทั�วิไปัในช้่วิิตปัระจัำาวิัน แอ่ดีแวัร์สามารถุเปล่ี�ยนแปล่งเส�นทุางการเข้�าถุ่งเวั็บัไซึ่ต์ไปส้่เวั็บัไซึ่ต์ทุี�ไม่ปล่อ่ดีภัยไดี� คุวัามรุนแรงข้อ่งช่อ่งโหวั่แล่ะการประเมินคุวัามเสี�ยง ดีังนี�
• Ransomware (แรนซัมแวร์) คุือ่ซึ่อ่ฟต์แวัร์ทุี�มีวััตถุุประสงคุ์ทุี�มุ่งเน�นในการ ค์วามรุนแรง
โจำมตีข้�อ่ม้ล่ ไฟล่์ แล่ะเอ่กสารภายในระบับัสารสนเทุศข้อ่งเป้าหมายโดียวัิธิีการเข้�า • มาก ช่อ่งโหวั่สามารถุข้ัดีข้วัาง หรือ่ยุติการให�บัริการ หรือ่ทุำาให�
รหัสข้�อ่ม้ล่ ไฟล่์แล่ะเอ่กสารเพื�อ่ไม่ให�เป้าหมายสามารถุใช�งานไดี� ข้�อ่ม้ล่เสียหายไดี�
• ปานกลิ้าง ช่อ่งโหวั่ไม่สามารถุทุำาให�ระบับัหยุดีการให�บัริการไดี�
• Insider threats (ภััย่ค์ุกค์ามจึากภัาย่ใน) คุือ่ภัยคุุกคุามจำากภายในอ่าจำ หรือ่จำำาเป็นจำะต�อ่งอ่าศัยช่อ่งโหวั่อ่ื�นๆ ช่วัยในการทุำาให�ระบับัยุติการให�บัริการ
เกิดีข้่�นไดี�กับัคุนใกล่�ชิดีภายในอ่งคุ์กรทุี�ไดี�รับัอ่นุญาตในการเข้�าถุ่งข้�อ่ม้ล่ทุี�เป็น • ตำ�า ช่อ่งโหวั่ไม่สามารถุยุติการให�บัริการไดี� แต่ทุำาให�ไดี�ข้�อ่ม้ล่พื�นฐาน
คุวัามล่ับัซึ่่�งการเข้�าถุ่งอ่าจำส่งผู้ล่เสียต่อ่ข้�อ่ม้ล่หรือ่ระบับัทุี�สำาคุัญข้อ่งอ่งคุ์กรไดี� เกี�ยวักับัการให�บัริการ
โดียภัยคุุกคุามชนิดีนี�อ่าจำจำะเป็นพนักงาน ผู้้�ข้าย ผู้้�รับัเหมา หุ�นส่วันหรือ่บัุคุคุล่ ซึ่่�งการประเมินคุวัามเสี�ยงทุางไซึ่เบัอ่ร์ถุ้กกำาหนดีโดียสถุาบัันมาตรฐาน
ค์วามเสำี�ย่งทางไซเบอร์ค์ืออะไร ทุี�มีคุวัามใกล่�ชิดี โดียคุวัามเสี�ยงแล่ะช่อ่งโหวั่ทุางไซึ่เบัอ่ร์นั�นมีวัิธิีการในการทุำางาน แล่ะเทุคุโนโล่ยีแห่งชาติ (NIST) เป็นการประเมินคุวัามเสี�ยงทุี�ใช�ในการระบัุ
คุวัามเสี�ยงทุางไซึ่เบัอ่ร์คุือ่แนวัโน�มทุี�จำะไดี�รับัผู้ล่กระทุบัจำากการหยุดี ทุี�แตกต่างกัน โดียช่อ่งโหวั่ถุือ่เป็นจำุดีอ่่อ่นทุี�ส่งผู้ล่ให�เกิดีการเข้�าถุ่งเคุรือ่ข้่าย การประมาณการแล่ะการจำัดีล่ำาดีับัคุวัามสำาคุัญข้อ่งคุวัามเสี�ยง ต่อ่การดีำาเนินงาน
ชะงักต่อ่ข้�อ่ม้ล่ทุี�ล่ะเอ่ียดีอ่่อ่น การเงิน หรือ่การดีำาเนินธิุรกิจำอ่อ่นไล่น์ รวัมถุ่ง โดียไม่ไดี�รับัอ่นุญาตจำากผู้้�ไม่หวัังดีีทุี�อ่าจำก่อ่ให�เกิดีคุวัามเสี�ยงทุางไซึ่เบัอ่ร์ภายใน ข้อ่งธิุรกิจำแล่ะอ่งคุ์กร สินทุรัพย์ข้อ่งธิุรกิจำแล่ะอ่งคุ์กร บัุคุคุล่ ธิุรกิจำแล่ะอ่งคุ์กรอ่ื�นๆ
การให�บัริการบัางอ่ย่างทุี�มีคุวัามเกี�ยวัข้�อ่งต่อ่การดีำาเนินธิุรกิจำแล่ะการให�บัริการ ระบับัสารสนเทุศข้อ่งธิุรกิจำแล่ะอ่งคุ์กร แล่ะประเทุศ ซึ่่�งเป็นผู้ล่มาจำากการดีำาเนินงานแล่ะการใช�ระบับัสารสนเทุศ
ประชาชน โดียทุั�วัไปคุวัามเสี�ยงทุางไซึ่เบัอ่ร์มีคุวัามเกี�ยวัข้�อ่งกับัเหตุการณ์ทุี�อ่าจำ • Data leaks (ข้อมูลิ้รั�วไห้ลิ้) ข้�อ่ม้ล่รั�วัไหล่เกิดีข้่�นเมื�อ่มีข้�อ่ม้ล่ทุี�ล่ะเอ่ียดีอ่่อ่น วััตถุุประสงคุ์หล่ักข้อ่งการประเมินคุวัามเสี�ยงทุางไซึ่เบัอ่ร์คุือ่ การแจำ�งให�ผู้้�มีส่วันไดี�
ส่งผู้ล่ให�เกิดีการล่ะเมิดีข้�อ่ม้ล่ การข้โมยข้�อ่ม้ล่ หรือ่การทุำาล่ายข้�อ่ม้ล่เพื�อ่ให� หรือ่ข้�อ่ม้ล่ทุี�เป็นคุวัามล่ับัถุ้กเปิดีเผู้ยโดียไม่ไดี�ตั�งใจำบันอ่ินเทุอ่ร์เน็ตหรือ่ร้ปแบับัอ่ื�นใดี ส่วันเสียทุราบัแล่ะสนับัสนุนการตอ่บัสนอ่งทุี�เหมาะสมต่อ่คุวัามเสี�ยงทุี�เกิดีข้่�น
ไม่สามารถุให�บัริการไดี� คุวัามเสี�ยงทุางไซึ่เบัอ่ร์นั�นเป็นภัยคุุกคุามดี�านคุวัามปล่อ่ดีภัย การนำาข้�อ่ม้ล่อ่อ่กโดียอ่าจำบัันทุ่กผู้่าน Flash drive External Hard disk หรือ่ผู้่าน พร�อ่มสามารถุสรุปข้�อ่ม้ล่สำาคุัญสำาหรับัผู้้�บัริหาร เพื�อ่ช่วัยผู้้�บัริหารแล่ะกรรมการ
ต่อ่การดีำาเนินงานข้อ่งธิุรกิจำแล่ะอ่งคุ์กร ตัวัอ่ย่างข้อ่งคุวัามเสี�ยงทุางไซึ่เบัอ่ร์ ไดี�แก่ เคุรื�อ่งคุอ่มพิวัเตอ่ร์พกพาแล่ะเกิดีการส้ญหายซึ่่�งอ่าจำเกิดีคุวัามเสี�ยงทุี�ผู้้�ไม่หวัังดีี ในการตัดีสินใจำเกี�ยวักับัการรักษาคุวัามปล่อ่ดีภัย
สามารถุเข้�าถุ่งข้�อ่ม้ล่ทุี�ล่ะเอ่ียดีอ่่อ่นไดี� การบัริหารคุวัามเสี�ยงดี�านคุวัามปล่อ่ดีภัยทุางไซึ่เบัอ่ร์คุือ่ แนวัปฏิิบััติ
• Ransomware (แรนซัมแวร์) ซึ่่�งเป็นหน่�งในมัล่แวัร์ทุี�มีวััตถุุประสงคุ์ทุี�มุ่งเน�น ในการจำัดีล่ำาดีับัคุวัามสำาคุัญข้อ่งมาตรการป้อ่งกันคุวัามปล่อ่ดีภัยทุางไซึ่เบัอ่ร์
ในการโจำมตีข้�อ่ม้ล่ ไฟล่์ แล่ะเอ่กสารภายในระบับัสารสนเทุศข้อ่งเป้าหมายโดียวัิธิี • Phishing (ฟิิชชิง) คุือ่การโจำมตีร้ปแบับัหน่�งทุี�หล่อ่กให�เป้าหมายกรอ่กข้�อ่ม้ล่ โดียพิจำารณาจำากผู้ล่กระทุบัทุี�อ่าจำเกิดีข้่�นจำากภัยคุุกคุามทุี�อ่อ่กแบับั มาเพื�อ่ใช�ใน
การเข้�ารหัสข้�อ่ม้ล่ดี�วัยวัิธิีการต่างๆ เช่น การเข้�ารหัสดี�วัย Advanced Encryption ส่วันบัุคุคุล่ ข้�อ่ม้ล่ทุี�เป็นคุวัามล่ับั ข้�อ่ม้ล่ทุางการเงิน ข้�อ่ม้ล่บััตรประชาชน ดี�วัยวัิธิีการ การโจำมตีเป้าหมายการสร�างแนวัทุางการบัริหารคุวัามเสี�ยง เพื�อ่การสร�างคุวัาม
Standard (AES) ซึ่่�งเป็นหน่�งในมาตรฐานการเข้�ารหัสทุี�ไดี�รับัคุวัามเชื�อ่ถุือ่ ต่างๆ เพื�อ่ให�เป้าหมายส่งข้�อ่ม้ล่นั�นให�กับัผู้้�ไม่หวัังดีี เช่นการส่งอ่ีเมล่หล่อ่กเป้าหมาย มั�นคุงดี�านคุวัามปล่อ่ดีภัยทุางไซึ่เบัอ่ร์ ซึ่่�งธิุรกิจำแล่ะอ่งคุ์กรทุี�เกิดีข้่�นใหม่ อ่าจำไม่
ในอุ่ตสาหกรรมแล่ะอ่งคุ์กรต่างๆ ทุี�ต�อ่งการสร�างคุวัามมั�นใจำแล่ะคุวัามปล่อ่ดีภัย “คุุณมีการถุอ่นเงินเป็นจำำานวันหน่�ง หากไม่ใช่กรุณาคุล่ิกล่ิงก์ดี�านล่่างนี�เพื�อ่ ยกเล่ิก สามารถุกำาจำัดีช่อ่งโหวั่ข้อ่งระบับัทุั�งหมดีหรือ่บัล่็อ่กการโจำมตี ทุางไซึ่เบัอ่ร์ไดี�ทุั�งหมดี
ข้อ่งข้�อ่ม้ล่เพื�อ่ไม่ให�ผู้้�อ่ื�นสามารถุล่่วังร้�คุวัามล่ับัข้อ่งข้�อ่ม้ล่ไดี� ดี�วัยเหตุนี�จำ่ง การทุำารายการ” หรือ่ “คุุณเป็นผู้้�โชคุดีีไดี�รับั iPhone ฟรีเพียงแคุ่กรอ่กข้�อ่ม้ล่ในนี�” ผู้่านการจำัดีการคุวัามเสี�ยงดี�านคุวัามปล่อ่ดีภัยทุางไซึ่เบัอ่ร์ ธิุรกิจำแล่ะอ่งคุ์กรคุวัร
ทุำาให�ผู้้�ไม่หวัังดีีไดี�มีการพัฒนามัล่แวัร์ไดี�มีการเอ่าประโยชน์ข้อ่งการเข้�ารหัสนี�มา แล่ะเมื�อ่เป้าหมายส่งข้�อ่ม้ล่ให�กับัผู้้�ไม่หวัังดีีแล่�วัผู้้�ไม่หวัังนำาข้�อ่ม้ล่ไปดีำาเนินการเข้�า ให�คุวัามสำาคุัญกับัข้�อ่บักพร่อ่งข้อ่งระบับั แนวัโน�มภัยคุุกคุาม แล่ะการโจำมตีทุี�
ใช�ประโยชน์ดี�วัยการเข้�ารหัสข้�อ่ม้ล่ข้อ่งเป้าหมายทุำาให�ไม่สามารถุเข้�าใช�ข้�อ่ม้ล่ไดี� ถุ่งข้�อ่ม้ล่ส่วันอ่ื�นๆ ข้อ่งเป้าหมาย เช่นข้�อ่ม้ล่การเงิน ข้�อ่ม้ล่รหัสระบับัต่างๆ สำาคุัญทุี�สุดีต่อ่ธิุรกิจำก่อ่น
จำนกวั่าจำะจำ่ายคุ่าไถุ่ข้�อ่ม้ล่ให�กับัผู้้�พัฒนา Ransomware ทุี�เป็นข้�อ่ม้ล่ส่วันบัุคุคุล่ ข้อ่บัคุุณข้�อ่ม้ล่จำาก : สำานักงานส่งเสริมเศรษฐกิจำดีิจำิทุัล่ https://www.depa.or.th/th/article-view/cyber-risk-assessment-and-cyber-risk-management
10 | I-TEL I-TEL | 11
