Top Story

ฟอร์ติเน็ตแนะนำความปลอดภัย 5 ข้อสำหรับองค์กรที่จะเริ่มใช้งานคลาวด์ครั้งแรก

คุณพีระพงศ์ จงวิบูลย์

ผู้อำนวยการขาย แห่งภูมิภาคอินโดจีน

(ประเทศไทย เมียนมาร์ ลาว กัมพูชาและเวียตนาม)ฟอร์ติเน็ต

 

 

องค์กรที่จะใช้งานคลาวด์เป็นครั้งแรกอาจตกอยู่ในความเสี่ยงสูง เนื่องจากยังไม่คุ้นเคยกับสิ่งแวดล้อมใหม่นี้ อีกทั้งยังต้องมีภาระในการบริหารจัดการผู้ใช้งาน ข้อมูล และด้านความปลอดภัยในวิธีการใหม่ๆ อีกด้วย

 

แอปเปิ้ล อเมซอน และไมโครซอฟท์ มีอะไรที่เหมือนกัน?

 

          คำตอบคือ องค์กรด้านเทคโนโลยียักษ์ใหญ่ทั้งสามเคยประสบปัญหาถูกแฮกเกอร์คุกคามมาแล้วหลายครั้ง ถึงแม้ว่าองค์กรทั้งสามจะได้ชื่อว่าเป็นผู้ให้บริการคลาวด์คอมพิวติ้งในระดับที่เรียกว่า Gold standard

           

          แอปเปิ้ลเคยเจอกรณี “Celebgate” ที่ภาพของลูกค้าผู้มีชื่อเสียงถูกขโมยและนำมาเปิดเผยบนโลกอินเทอร์เน็ต และผู้ใช้งาน iCloud ถูกตกเป็นเหยื่อและเป็นข่าวเชิงลบไปเมื่อปีที่แล้ว นอกจากนี้ Code Spaces ผู้ให้บริการด้านเทคโนโลยีหนึ่งในสหราชอณาจักรได้ถูกบีบให้ออกจากธุรกิจไป เมื่อมีแฮกเกอร์แบล็คเมล์และได้ลบข้อมูลสำคัญออกจาก Amazon Web Services-hosted cloud storage ของตน

           

          ก่อนหน้านี้ในปีคศ. 2013 เกิดกรณีที่ SSL certificate ของ Azure cloud service ของไมโครซอฟท์หมดอายุลง จึงเป็นการเปิดช่องว่างให้แฮกเกอร์เข้ามาก่อเหตุให้บริการโหลดวิดีโอและเพลง Xbox Live และบริการอื่นๆ หลายประเภทที่อยู่บนคลาวด์นั้นหยุดชะงักลง

           

          ภัยคุกคามบนคลาวด์กลายเป็นเรื่องที่สำคัญมากขึ้น เมื่อองค์กรด้านความปลอดภัยบนคลาวด์ Alert Logic พบว่า ภัยคุกคามจะเกิดมากขึ้น 45% ในทุกๆ ปี และ Forrester Research คาดว่าอีก 5 ปี ข้างหน้า องค์กรทั่วโลกจะใช้เม็ดเงินมากถึง 2  พันล้านเหรียญสหรัฐในการสร้างความปลอดภัยของคลาวด์ของตนเอง

           

          ดังนั้น องค์กรที่จะใช้งานคลาวด์เป็นครั้งแรกอาจตกอยู่ในความเสี่ยงสูง เนื่องจากยังไม่คุ้นเคยกับสิ่งแวดล้อมใหม่นี้ อีกทั้งยังต้องมีภาระในการบริหารจัดการผู้ใช้งาน ข้อมูล และด้านความปลอดภัยในวิธีการใหม่ๆ อีกด้วย

           

          ดังนั้น ฟอร์ติเน็ตจึงแนะนำ 5 ประการที่องค์กรจะต้องคำนึงถึงและลงมือปฏิบัติ คือ

 

1. ต้องรู้จักอณาจักรคลาวด์ของตนเอง

 

          ในการใช้งานคลาวด์ มี 3 ส่วนที่เกี่ยวข้องกันคือ ผู้ขายส่วนคลาวด์ ผู้ให้บริการเครือข่าย และองค์กรเอง ถ้าท่านยอมรับว่า ควรมองคลาวด์ว่าเป็นส่วนขยายของเครือข่ายไปจากดาต้าเซ็นเตอร์ขององค์กร ดังนั้น คำถามที่ท่านควรตอบคือ จะสามารถใช้บริการและตั้งนโยบายด้านความปลอดภัยให้เป็นมาตรฐานเดียวกันใน 3 ส่วนที่เกี่ยวข้องนี้ได้หรือไม่?  และอะไรที่ยังเป็นช่องว่างที่ไม่เท่ากันด้านความปลอดภัย?

           

          ในช่วงที่เลือกผู้ขายส่วนคลาวด์ นั้น  ให้ถามผู้ขายถึงบริการด้านความปลอดภัยที่ผู้ขายจัดให้ และถามถึงผู้ค้าอุปกรณ์ที่เขาทำงานด้วยกันนั้นด้วย คลาวด์เป็นสิ่งแวดล้อมที่ไดนามิคและต้องการการอัปเดทไปยังโครงสร้างสถาปัตยกรรมด้านความปลอดภัยอยู่ตลอดเวลาเพื่อให้ทันต่อภัยที่เกิดขึ้นล่าสุด และควรถามว่าผู้ขายส่วนคลาวด์นั้นป้องกันภัยคุกคามและช่องโหว่แบบ Zero-day vulnerabilities อย่างไร  

           

          และควรถามถึงขอบเขตและโมเดลของความรับผิดชอบร่วมกันด้านความปลอดภัย  ท่านต้องเข้าใจในความรับผิดชอบของผู้ให้บริการคลาวด์ของท่านและขององค์กรท่านเอง  ในบริการคลาวด์บางแห่ง เช่น IaaS นั้น องค์กรจะเป็นผู้รับผิดชอบด้านความปลอดภัยของแอปพลิเคชั่นและดาต้าที่อยู่ในคลาวด์  ดังนั้น ท่านควรรู้จักผู้ค้าอุปกรณ์ด้านความปลอดภัยที่ผู้ให้บริการคลาวด์ใช้อยู่ และอนุญาตให้ใช้นั้น

 

 

ภาพข้างต้น: โมเดลโดยทั่วไปของความรับผิดชอบร่วมกันด้านความปลอดภัย 

 

2. แอปใหม่ต้องการการปกป้องใหม่

  

          หากท่านพร้อมที่จะก้าวไปสู่คลาวด์? ให้พิจารณากระบวนการปกป้องแบบใหม่ เพิ่มขึ้นจากที่วิธีระบุตัวตนเข้าแอปพลิเคชั่นและวิธีการล็อคอินเดิมๆ ที่ท่านใช้ด้วย

           

          ในการเสริมสร้างให้การเข้าใช้งานคลาวด์ที่แข็งแกร่งนั้น ท่านควรมีรูปแบบการเข้าถึงข้อมูลที่ละเอียด ท่านอาจให้สิทธิ์เข้าถึงได้ตามบทบาทของผู้ใช้งาน ตำแหน่งในองค์กร หรือตามประเภทโครงการ ซึ่งทั้งหมดนี้เป็นการเพิ่มการปกป้องขึ้นอีกชั้นหนึ่ง หากว่ามีแฮกเกอร์ขโมยข้อมูลลับในการล็อคอินของพนักงานไป

           

          การขโมยแอคเค้านท์ไปนั้นอาจฟังดูธรรมดา แต่ในปัจจุบัน กลุ่มพันธมิตร Cloud Security Alliance ยังออกประกาศเตือนภัยคุกคามนี้อยู่และถือว่าเป็นภัยคุกคามระดับต้นๆ ต่อผู้ใช้งานคลาวด์ด้วย ดังนั้น การสร้างวิธีการล็อคอินให้ปลอดภัยนั้น  ท่านควรพิจารณาใช้กระบวนการการในการยืนยันตนเอง 2 ระดับในการเข้าใช้หรือเข้าถึงบริการในคอมพิวเตอร์หรือในเครือข่าย การตรวจสอบเชิงลึกลงไปยังระดับซอฟแวร์ที่ติดตั้งอยู่บนอุปกรณ์ที่ผู้ใช้งานกำลังใช้อยู่ด้วยที่เรียกว่า Posture checking และการใช้รหัสผ่านเพียงครั้งเดียว (One-time passwords) กลเม็ดที่ดีอีกประการคือ การบังคับให้เปลี่ยน User IDs ในการล็อคอินครั้งแรก

 

3. ใช้การเข้ารหัส

 

          การเข้ารหัสข้อมูลเป็นสิ่งควรทำมากที่สุดอย่างหนึ่งในคลาวด์ รวมถึงในการโอนไฟล์และอีเมล์ ถึงแม้ว่าอาจจะไม่สามารถหยุกการแฮกหรือการขโมยข้อมูลได้หมดจด แต่อย่างน้อย สามารถปกป้องธุรกิจและองค์กรของท่านจากการโดนปรับหรือความเสียหายขนาดหนักหากเกิดเหตุการณ์ร้ายแรงใดๆ ขึ้น

           

          ท่านควรถามผู้ขายคลาวด์ถึงวิธีการเข้ารหัสข้อมูลด้วย ควรถามถึงวิธีการเข้ารหัสในขณะที่ข้อมูลอยู่กับที่ ถูกใช้งานและถูกรับส่งอย่างไร ในการที่ท่านจะเห็นว่าข้อมูลใดควรเข้ารหัสบ้าง ท่านอาจจะเริ่มต้นดูที่ว่า ข้อมูลนั้นอยู่ที่ใด เช่น อยู่ในเซิร์ฟเวอร์ของผู้ขายคลาวด์ เซิร์ฟเวอร์ของบุคคลที่สาม แล็ปท้อปของพนักงาน พีซีของสำนักงาน หรือในยูเอสบีไดร้ฟ

 

4. ต่อสู้ให้หนักในสิ่งแวดล้อมเสมือน

 

          การย้ายเข้าไปอยู่ในระบบคลาวด์นั้น จะช่วยให้ธุรกิจเก็บเกี่ยวผลประโยชน์ของเวอร์ชั่ลไลเซชั่นได้มาก แต่สภาพแวดล้อมเสมือนจริงยังมีความท้าทายในด้านการป้องกันข้อมูลอีกมาก  ปัญหาหลักคือ จะทำอย่างไรกับการจัดการการรักษาความปลอดภัยและทราฟฟิคที่อยู่ในส่วนที่มีผู้ใช้งานหลายกลุ่ม (Multi-tenancy) และอุปกรณ์เสมือนต่างๆ

           

          อุปกรณ์ด้านความปลอดภัยจริงนั้น โดยทั่วไปไม่ได้ออกแบบมาให้จัดการกับข้อมูลที่อยู่ในคลาวด์ จึงทำให้ต้องมีการนำอุปกรณ์ด้านความปลอดภัยแบบเสมือนมาใช้งานและพัฒนาขึ้นเพื่อให้สามารถจัดการกับความซับซ้อนของแอปพลิเคชั่นที่หลากหลายและส่วนที่มีผู้ใช้งานหลายกลุ่ม

           

          ดังนั้น ควรให้ผู้เชี่ยวชาญด้านความปลอดภัยดูแลข้อมูลในคลาวด์ และควรถามผู้ให้บริการคลาวด์ถึงวิธีการที่เขาปกป้องสิ่งแวดล้อมแบบเสมือนนั้นอย่างไร  และอุปกรณ์แบบเสมือนที่ใช้อยู่ด้วย  และถ้าหากท่านกำลังสร้างไพรเวทหรือพับลิคคลาวด์ของท่านเอง ควรพิจารณาใช้อุปกรณ์ที่มุ่งเน้นไปที่การควบคุมที่เป็นประโยชน์กับงานของท่านเป็นหลัก

 

5. อย่าให้เงาไอทีทำให้ท่านอยู่ในความเสี่ยง

 

          ในปัจจุบันยังไม่มีรายงานระบุถึงจำนวนการใช้งานที่ไม่ได้รับอนุญาตและการให้บริการคลาวด์ที่ไม่ได้รับอนุญาตที่ชัดเจน อันเป็นสถานการณ์ที่เรียกว่า เงาไอที (Shadow IT) ซึ่งเป็นโอกาสของภัยคุกคามเช่นกัน

           

          ดังนั้น แอปพลิเคชั่นบนคลาวด์ใหม่ๆ ของท่านอาจตกอยู่ในความเสี่ยงเช่นกัน ลองวาดภาพดูว่า พนักงานของท่านใช้สมาร์ทโฟนส่วนตัวเปิดไฟล์ของที่ทำงาน และใช้โทรศัพท์นั้นทำสำเนาเอกสารนั้น ซึ่งเป็นไปได้ว่าเมื่อโทรศัพท์ทำการอัปเดทแบบออโตเมติค อาจจะเป็นการส่งเอกสารนั้นไปยังที่เก็บข้อมูลแห่งหนึ่งในทันที  ดังนั้น ข้อมูลขององค์กรของท่านได้โดนย้ายไปอยู่ในที่ที่ไม่ปลอดภัยแล้ว 

           

          อย่างไรก็ตาม การที่องค์กรพยายามลดสภาวะเงาไอทีนั้น ไม่ควรทำให้ธุรกิจมีผลกระทบใดๆ  และ การจัดอบรมให้พนักงานมีความรู้ทันและใช้เทคโนโลยีจัดการกับปัญหาน่าจะเป็นทางออกที่มีประสิทธิภาพมากที่สุด  รวมถึงการใช้ทูลส์ต่างๆ ที่ทำหน้าที่เข้ารหัส การตรวจสอบเครือข่าย และจัดการด้านความปลอดภัยที่รัดกุมจะสามารถช่วยท่านปกป้องแอปพลิเคชั่นแรกที่อยู่บนคลาวด์ให้พ้นภัยได้

 

          คุณพีระพงศ์ จงวิบูลย์ ผู้อำนวยการขาย แห่งภูมิภาคอินโดจีน (ประเทศไทย เมียนมาร์ ลาว กัมพูชาและเวียตนาม) แห่งฟอร์ติเน็ตได้อัปเดทความก้าวหน้าล่าสุดว่า

 

ฟอร์ติเน็ต ได้เปิดตัวซีเคียวริตี้แฟบลิคใหม่ (Security Fabric) ผืนผ้าความปลอดภัยที่ถักทอร้อยกันขึ้นมาจากอุปกรณ์ฮาร์ดแวร์ ซอฟท์แวร์ และโปรโตคอลสื่อสาร เพื่อศักยภาพในการตอบสนองต่อภัยคุกคามทีมาจากคลาวด์และไอโอทีได้อย่างรวดเร็ว ซึ่งซีเคียวริตี้แฟบลิคทำงานเหมือนเป็นส่วนเดียวกัน จึงสามารถรับรู้ (Awareness) ได้ทั้งตามประเภทอุปกรณ์ ผู้ใช้งาน คอนเท้นท์ และข้อมูลที่เข้ามาและออกนอกเครือข่าย สามารถเห็นแพทเทิร์นของทราฟฟิคอย่างชัดเจน คุณสมบัตินี้จะช่วยลดต้นทุนทั้งในการพัฒนาประสิทธิภาพการบริหาร และการสร้างกลยุทธ์ด้านความปลอดภัยใหม่ๆ อาทิ การจัดทำ End-to-end segmentation ในการป้องกันภัยคุกคามขั้นสูงได้ดี”

 

 

สงวนลิขสิทธิ์ ตามพระราชบัญญัติลิขสิทธิ์ พ.ศ. 2539 www.thailandindustry.com
Copyright (C) 2009 www.thailandindustry.com All rights reserved.

ขอสงวนสิทธิ์ ข้อมูล เนื้อหา บทความ และรูปภาพ (ในส่วนที่ทำขึ้นเอง) ทั้งหมดที่ปรากฎอยู่ในเว็บไซต์ www.thailandindustry.com ห้ามมิให้บุคคลใด คัดลอก หรือ ทำสำเนา หรือ ดัดแปลง ข้อความหรือบทความใดๆ ของเว็บไซต์ หากผู้ใดละเมิด ไม่ว่าการลอกเลียน หรือนำส่วนหนึ่งส่วนใดของบทความนี้ไปใช้ ดัดแปลง โดยไม่ได้รับอนุญาตเป็นลายลักษณ์อักษร จะถูกดำเนินคดี ตามที่กฏหมายบัญญัติไว้สูงสุด