ความปลอดภัยระดับองค์กร (Enterprise Security) เป็นประเด็นหลายมิติ ที่เกี่ยวข้องกับทั้งความลับทางธุรกิจภายในหรือของบริษัท (Proprietary Business Secrets) และข้อมูลพนักงานและผู้ใช้ที่เกี่ยวข้องกับกฎหมายความเป็นส่วนตัว ความปลอดภัยระดับองค์กรเน้นที่ศูนย์ข้อมูล (Data Center) เครือข่าย และการดำเนินงานเซิร์ฟเวอร์เครือข่ายในทางปฏิบัติ แต่ในทางทฤษฎีเริ่มต้นจากทรัพยากรบุคคล (Human Resources)
วิศวกรรมสังคม (Social Engineering)
วิศวกรรมสังคมเป็นสาเหตุรากฐานของการโจมตีแฮกกิ้งที่สำเร็จมากถึงสองในสาม ตามนักวิจัยความปลอดภัยบางคน ในการโจมตีแบบวิศวกรรมสังคม ความอ่อนแอในลักษณะนิสัยมนุษย์ ความซื่อสัตย์ของพนักงาน หรือความเชื่อง่ายของบุคคล ถูกใช้ประโยชน์โดยผู้โจมตีเพื่อได้รับการเข้าถึงเว็บหรือทรัพยากรข้อมูล
การโจมตีแฮกกิ้งอัตโนมัติ (Automated Hacking Attacks)
การโจมตีแฮกกิ้งอัตโนมัติขับเคลื่อนด้วยสคริปต์ (Script-driven) และมุ่งเป้าทรัพยากรศูนย์ข้อมูล รวมถึงเซิร์ฟเวอร์เว็บและแอปพลิเคชันออนไลน์อย่างต่อเนื่อง ผ่านจุดป้อนข้อมูล (Input Entry Points) รวมถึงหน้าจอล็อกอิน ฟอร์มติดต่อ ค้นหาฐานข้อมูล (Search-to-Database Queries) และกระบวนการจัดการแบ็กเอนด์ (Backend Management Processes)
ตัวอย่างของการโจมตีบอทสคริปต์ (Script Bot Attacks) ได้แก่ การแฮก MySQL Injection และการโจมตี Cross-site Scripting (XSS) ความสามารถในการส่งโปรแกรมไปยังเซิร์ฟเวอร์ผ่านฟอร์มที่ไม่ปลอดภัย สามารถนำไปสู่การสูญเสียฐานข้อมูลทั้งหมด รวมถึงข้อมูลตารางทั้งหมด รหัสผ่าน และข้อมูลการเงินของผู้ใช้ที่ละเอียดอ่อน
ความสำคัญของการเข้ารหัส (Importance of Encryption)
ความสำคัญของความปลอดภัยระดับองค์กรสามารถมองได้ที่ความสำคัญของการเข้ารหัสในการสื่อสารเว็บ เมื่อส่งอีเมล หรือผู้ใช้ป้อนรหัสผ่านเพื่อล็อกอินเว็บไซต์ ข้อมูลจะถูกส่งแบบ Point-to-point ผ่านลำดับช่องทางของบุคคลที่สาม (Third-party Channels) ที่อาจถูกสกัดและอ่านโดยผู้ใช้ที่เป็นอันตรายที่มีการเข้าถึงโดยไม่ได้รับอนุญาต เว้นแต่จะเข้ารหัส
ภัยคุกคามรวมถึงตัวแทนที่ไม่ได้รับอนุญาตใช้ซอฟต์แวร์ดักฟังแพ็กเก็ต (Packet Sniffing) ที่ติดตั้งบนเครือข่ายโทรคมนาคม ISP หรือช่องสัญญาณ Wi-Fi ท้องถิ่น คุณค่าของข้อมูลที่ส่งผ่านการเชื่อมต่อเหล่านี้อาจแตกต่างกันไป ไม่มีบริษัทระดับองค์กรหรือองค์กรซับซ้อนอื่นๆ ที่จะยอมให้ความลับทางธุรกิจ การสื่อสารของผู้ใช้ และการหารายภายใน ถูกเข้าถึงโดยบุคคลที่สามที่มีเจตนาร้ายบนช่องทางเปิด
ปัญหาสถาปัตยกรรมของฐานข้อมูลระดับองค์กร
มีปัญหาด้านความปลอดภัยสำหรับฐานข้อมูลระดับองค์กร มากกว่าที่ตลาด IT จะยอมรับ นโยบายความปลอดภัยเหล่านี้รากจากข้อกังวลทางสถาปัตยกรรมดังนี้:
- จุดเข้าหลายจุด (Multiple Entry Points) — ไม่เหมือนฐานข้อมูลแบบรวมศูนย์แบบดั้งเดิม (Traditional Centralized Database) ฐานข้อมูลบนเว็บมีจุดเข้าหลายจุด จุดเข้าเหล่านี้รวมถึง เซิร์ฟเวอร์เว็บ, การเข้าถึง VPN, การเข้าถึงแอปเซิร์ฟเวอร์ และการเข้าถึงฐานข้อมูลผ่านโปรโตคอลพอร์ทัลอินเทอร์เน็ต เมื่อจัดการกับจุดเข้าที่นับพันอย่างแน่นอน จำเป็นต้องระมัดระวังเป็นพิเศษเพื่อให้แน่ใจว่าไวรัสที่ทำลายล้างไม่ถูกนำเข้าสู่ระบบ
- ปัญหาลูกโซ่ที่อ่อนแอที่สุด (Weakest Link Problem) — การโฆษณาสาธารณะล่าสุดเกี่ยวกับช่องโหว่ความปลอดภัยในความปลอดภัยระดับองค์กร เน้นย้ำปัญหาลูกโซ่ที่อ่อนแอที่สุด เมื่อจัดการกับจุดเข้าและแพลตฟอร์มมากมาย ความปลอดภัยของระบบทั้งหมดปลอดภัยเพียงแค่ลูกโซ่ที่อ่อนแอที่สุดในกลุ่ม (Federation)
- ฐานข้อมูลบนเว็บ (Web-based Databases) — ฐานข้อมูลที่ตั้งค่าให้อนุญาตการสื่อสารภายนอกจากพอร์ทัลเว็บหลายแห่ง เผชิญกับความท้าทายความปลอดภัยข้อมูลที่ยוצאจากกว่า แฮกเกอร์จะพยายามแฮกเข้าพอร์ทัลเว็บอยู่เสมอ จนสุดท้ายพบจุดอ่อนในสถาปัตยกรรมบริการเว็บ (Web Services Architecture)
