นโยบายความปลอดภัยเครือข่ายของบริษัทควรมีอะไรบ้าง?

นโยบายความปลอดภัยเครือข่ายควรมีอะไรบ้าง?

• จุดประสงค์ (Purpose)
• ขอบเขต/ผู้เกี่ยวข้อง (Audience)
• วัตถุประสงค์ความปลอดภัยข้อมูล (Information Security Objectives)
• นโยบายควบคุมการเข้าถึงและอำนาจ (Access Control & Authority) - ครอบคลุมทั้ง Physical และ Logical Security
• ระบบจัดประเภทข้อมูล (Data Classification)
• บริการและปฏิบัติการข้อมูล (Data Services & Operations)
• ความตระหนักและการดำเนินการด้านความปลอดภัย (Security Awareness & Behavior)
• สิทธิหน้าที่และความรับผิดชอบ (Rights, Duties & Responsibilities)

นโยบายเครือข่าย (Network Policy) ประกอบด้วยอะไร?

กำหนดเงื่อนไขและข้อจำกัด ที่ผู้ใช้หรืออุปกรณ์ได้รับอนุญาตให้เชื่อมต่อเครือข่าย และสถานการณ์ที่สามารถทำได้ NPS (Network Policy Server) กำหนดเวลาที่ User/Computer ได้รับอนุญาตผ่านกระบวนการ Authorization

องค์ประกอบ 5 ส่วนของนโยบายความปลอดภัย?

เพื่อรับประกัน Confidentiality (ความลับ), Integrity (ความสมบูรณ์), Availability (ความพร้อมใช้งาน), Authenticity (ความแท้จริง), Non-repudiation ( عدم انکار) ต้องมี 5 องค์ประกอบหลัก

นโยบายความปลอดภัยที่บริษัทควรมี?

• นโยบายการเข้ารหัสและจัดการกุญแจ (Encryption & Key Management)
• นโยบายการใช้งานที่ยอมรับได้ (Acceptable Use Policy)
• นโยบายโต๊ะสะอาด (Clean Desk Policy)
• นโยบายตอบสนองเหตุการณ์รั่วไหลข้อมูล (Data Breach Response)
• นโยบายแผนฟื้นฟูภัยพิบัติ (Disaster Recovery Plan)
• นโยบายความปลอดภัยบุคลากร (Personnel Security)
• นโยบายสำรองข้อมูล (Data Backup Policy)
• นโยบายระบุตัวตน ยืนยันตัวตน และอนุญาต (Identification, Authentication, Authorization)

ทำไมต้องมี Network Security Policy?

อธิบายแนวทางและหลักเกณฑ์ในการปกป้องทรัพสินเครือข่าย เพื่อไม่ให้เกิดความเสี่ยงด้านความปลอดภัย

ทำไมนโยบายความปลอดภัยสำคัญต่อองค์กร?

กำหนดชัดเจนว่าพนักงานรับผิดชอบปกป้องอะไร และจะปกป้องอย่างไร ระบุมาตรการป้องกันที่จำเป็น

ตัวอย่าง Network Policy?

นอกจาก Acceptable Use Policy แล้ว ยังมี Disaster Recovery, Backup, Archiving, Fail-over Policy การเข้าถึงเครือข่ายมักจำกัดเฉพาะคนที่ทำหน้าที่และเซ็นสัญญาไม่ใช้เพื่อวัตถุประสงค์อื่นนอกจากงาน

3 ส่วนของ Network Policy และวัตถุประสงค์?

1. Supplicant (ผู้ขอ): Client ที่พยายามเชื่อมต่อเครือข่าย
2. Pass-through Authenticator: จุดกลางส่งต่อการยืนยันตัวตน
3. RADIUS Server: เซิร์ฟเวอร์ยืนยันตัวตนจริง

Network Policy หมายถึงอะไร?

ควบคุมพฤติกรรมอุปกรณ์บนเครือข่าย เช่นเดียวกับรัฐบาลกำหนดนโยบายให้รัฐ/เขต อดมินเครือข่ายก็กำหนดนโยบายให้อุปกรณ์ธุรกิจทำงานอย่างไร

5 หลักการจัดการความปลอดภัยข้อมูล?

U.S. Department of Defense: Five Pillars of Information Assurance - ปกป้องข้อมูลผู้ใช้จากการเข้าถึง, การแก้ไข, การเปิดเผย, การทำลาย โดยไม่ได้รับอนุญาต

3 ส่วนหลักของ Information Security Policy?

CIA Triad: Confidentiality (ความลับ), Integrity (ความสมบูรณ์), Availability (ความพร้อมใช้งาน) - เป้าหมายพื้นฐานของความปลอดภัยข้อมูล

นโยบายความปลอดภัยควรมีอะไรบ้าง? (สรุป)

ระบุวัตถุประสงค์, ขอบเขต, เป้าหมายความปลอดภัย, ควบคุมการเข้าถึง, จัดประเภทข้อมูล, บริการข้อมูล, ความตระหนักด้านความปลอดภัย, สิทธิหน้าที่พนักงาน

3 ประเภทของ Security Policies?

1. Organizational (Master) Policy - นโยบายระดับองค์กร
2. System-specific Policy - นโยบายเฉพาะระบบ
3. Issue-specific Policy - นโยบายเฉพาะประเด็น

นโยบายและขั้นตอนความปลอดภัยที่ช่วยปกป้องธุรกิจ?

• Acceptable Use Policy
• Access Control Policy
• Change Management Policy
• Information Security Policy
• Incident Response (IR) Policy
• Remote Access Policy
• Email/Communication Policy
• Disaster Recovery Policy

ตัวอย่าง Security Policies?

• AUP (Acceptable Use Policy)
• Data Breach Response Policy
• Disaster Recovery Plan
• Business Continuity Plan
• Remote Access Policy
• Access Control Policy