นโยบายและแนวทางปฏิบัติมหาวิทยาลัยเพื่อบรรเทาความเสี่ยงฐานข้อมูลและความปลอดภัยเครือข่าย

นโยบายความปลอดภัยประกอบด้วยอะไรบ้าง?

วัตถุประสงค์ของรายงาน
กลุ่มเป้าหมาย
เป้าหมายความปลอดภัยข้อมูล
นโยบายอำนาจและการควบคุมการเข้าถึง (Authority & Access Control Policy)
การจัดประเภทข้อมูล (Data Classification)
บริการและปฏิบัติการข้อมูล (Data Services & Operations)
การรับรู้และการปฏิบัติต่อความปลอดภัย (Security Awareness & Behavior)
สิทธิ หน้าที่ และความรับผิดชอบของบุคลากร

สามประเภทของนโยบายความปลอดภัย

นโยบายองค์กร หรือ นโยบายหลัก (Organizational / Master Policy)
นโยบายเฉพาะระบบ (System-specific Policy)
นโยบายเฉพาะประเด็น (Issue-specific Policy)

นโยบายที่ช่วยสร้างเครือข่ายที่ปลอดภัย

กำหนดเป้าหมายและวัตถุประสงค์ของโปรแกรม
บุคลากรที่จะให้การฝึกอบรม
เลือกกลุ่มเป้าหมาย
สร้างแรงจูงใจให้ผู้จัดการและพนักงาน
ติดตั้งโปรแกรม
ดูแลรักษาโปรแกรม
ประเมินผลโปรแกรม

นโยบายที่จำเป็นสำหรับการดำเนินความปลอดภัยข้อมูลที่เหมาะสมในองค์กร

นโยบายการเข้ารหัสและจัดการคีย์ (Encryption & Key Management Policy)
นโยบายการใช้งานที่ยอมรับได้ (Acceptable Use Policy)
นโยบายเก้าอี้สะอาด (Clean Desk Policy)
นโยบายการจัดการเหตุการณ์รั่วไหลข้อมูล (Data Breach Response Policy)
นโยบายแผนฟื้นฟูภัยพิบัติ (Disaster Recovery Plan Policy)
นโยบายความปลอดภัยพนักงาน (Personnel Security Policy)
นโยบายการสำรองข้อมูล (Data Backup Policy)
นโยบายการระบุตัวตน การยืนยันตัวตน และการอนุญาต (Identification, Authentication, Authorization Policy)

ห้าองค์ประกอบของนโยบายความปลอดภัย

องค์ประกอบสำคัญ 5 ประการ: ความลับ (Confidentiality), ความสมบูรณ์ (Integrity), ความพร้อมใช้งาน (Availability), ความแท้จริง (Authenticity), และ การไม่ได้ปฏิเสธ (Non-repudiation)

สิ่งที่ควรรวมในนโยบายความปลอดภัย书面

นโยบายความปลอดภัยข้อมูลควรระบุความต้องการความปลอดภัยขององค์กร ระบุเป้าหมายความปลอดภัยข้อมูลอย่างชัดเจน รายละเอียดวิธีการตอบสนองความต้องการทางธุรกิจและสัญญา และกล่าวถึงการปฏิบัติการปรับปรุงอย่างต่อเนื่อง

ประเภทของนโยบายความปลอดภัย

นโยบายความปลอดภัยแบ่งได้ 2 ประเภท: Technical (ทางเทคนิค) และ Administrative (บริหาร) นโยบายทางกายภาพ (Body) อธิบายพฤติกรรมบุคคล นโยบายทางเทคนิค อธิบายเทคโนโลยีที่กำหนดค่าเพื่อความสะดวกในการใช้งาน

สามองค์ประกอบสำคัญของความปลอดภัยข้อมูล (CIA Triad)

โมเดล CIA Triad ประกอบด้วย 3 ส่วนหลัก: ความลับ (Confidentiality), ความสมบูรณ์ (Integrity), ความพร้อมใช้งาน (Availability) แต่ละองค์ประกอบเป็นเป้าหมายพื้นฐานของความปลอดภัย

ทำไมนโยบายความปลอดภัยเครือข่ายจึงสำคัญ?

นโยบายเหล่านี้จัดการกับภัยคุกคามด้านความปลอดภัย กำหนดวิธีลดช่องโหว่ IT Security วิธีฟื้นฟูจากการบุดเสียเครือข่าย และแนวทางปฏิบัติที่ถูกต้อง/ไม่ถูกต้องสำหรับพนักงาน

วิธีทำให้เครือข่ายของฉันปลอดภัย

เปลี่ยน SSID ของ Wi-Fi ที่บ้าน
ใช้รหัสผ่านเครือข่ายไร้สายที่แข็งแกร่ง
เปิดใช้งานการเข้ารหัสเครือข่าย
ปิดการกระจายชื่อเครือข่าย (Network Name Broadcast)
อัปเดตซอฟต์แวร์เราเตอร์เป็นล่าสุด
ตรวจสอบไฟร์วอลล์ให้เป็นปัจจุบัน

ทำไมต้องมีนโยบายความปลอดภัย?

นโยบายความปลอดภัยของบริษัทปกป้องข้อมูลมีค่า/ทรัพย์สินทางปัญญา โดยกำหนดหน้าที่พนักงานอย่างชัดเจน ระบุว่าทำไมข้อมูลต้องได้รับการปกป้อง และว่าจะปกป้องอย่างไร

นโยบายในความปลอดภัยข้อมูลคืออะไร?

Information Security Policy (ISP) กำหนดกฎและขั้นตอนที่พนักงานปฏิบัติต่อเทคโนโลยีสารสนเทศขององค์กร รวมถึงเครือข่ายและแอปพลิเคชัน ปกป้องความลับ ความสมบูรณ์ และความพร้อมใช้งานของข้อมูล

นโยบายที่แผนก IT ต้องมี

นโยบายการใช้งานที่ยอมรับได้ (Acceptable Use Policy)
นโยบายการรับรู้และฝึกอบรมความปลอดภัย (Security Awareness & Training Policy)
นโยบายการจัดการการเปลี่ยนแปลง (Change Management Policy)
นโยบายการจัดการเหตุการณ์ (Incident Response Policy)
นโยบายการเข้าถึงจากระยะไกล (Remote Access Policy)
นโยบายการจัดการผู้ขาย (Vendor Management Policy)
นโยบายการสร้างและจัดการรหัสผ่าน (Password Creation & Management Policy)
นโยบายความปลอดภัยเครือข่าย (Network Security Policy)

วิธีดำเนินการนโยบายความปลอดภัยข้อมูล

ลดความเสี่ยงการใช้งานที่ไม่เหมาะสมอย่างไร?
เรียนรู้จากสิ่งที่ผู้อื่นทำ
ตรวจสอบการปฏิบัติตามกฎหมาย
ระดับความปลอดภัยขึ้นอยู่กับระดับความเสี่ยง
ร่วมมือกับพนักงานในการพัฒนานโยบาย
ฝึกอบรมพนักงาน
จัดทำเป็นลายลักษณ์อักษร
กำหนดโทษอย่างชัดเจนและบังคับใช้