ACIS Article

5 ขั้นตอนในการบริหารจัดการช่องโหว่ในระบบสารสนเทศเพื่อการป้องกันระบบอย่างมีประสิทธิภาพ
"5 Steps Proactive Security Management using Vulnerability Management Concept"
by A.Pinya Hom-anek,
GCFW, CISSP, CISA, (ISC)2 Asian Advisory Board
President, ACIS Professional Center
E-mail:

เราสามารถเชื่อถือระบบความปลอดภัยข้อมูลของเราได้มากน้อยแค่ไหน ? ระบบของเราปลอดภัยจากแฮกเกอร์และไวรัสคอมพิวเตอร์แล้วหรือยัง ? เป็น FAQ หรือ Frequently Ask Question ที่ถูกถามบ่อยครั้งภายในองค์กร ซึ่งผู้บริหารระบบสารสนเทศเองก็ยังไม่แน่ใจความปลอดภัยของระบบว่าถึงร้อยเปอร์เซ็นต์หรือไม่ เพราะระบบสารสนเทศนั้นย่อมมี "ช่องโหว่" หรือ "Vulnerability" ที่เกิดขึ้นได้อยู่ตลอดเวลา ไม่ว่าจะเกิดขึ้นจากคนดูแลที่ไม่มีความเข้าใจดีพอ (People) เกิดขึ้นจากกระบวนการจัดการบริหารที่ผิดพลาด (Process) และ เกิดขึ้นจากการเลือกใช้เทคโนโลยีที่ผิดพลาดหรือยังไม่มีเทคโนโลยีที่ดีพอ (Technology) จะเห็นได้ว่า ช่องโหว่นั้นเกิดขึ้นถึง 3 องค์ประกอบ คือ PPT (People, Process and Technology) ดังนั้น เราควรมีแผนบริหารจัดการช่องโหว่ ในระบบสารสนเทศจาก 3 องค์ประกอบนี้อย่างบูรณการ ซึ่งทางบริษัทที่ปรึกษาวิจัย Gartner ได้กล่าวไว้อย่างชัดเจน และนำเสนอวงจรที่แสดงให้เห็นถึงการบริหารจัดการช่องโหว่ในระบบสารสนเทศอย่างได้ผลจริงในสภาพแวดล้อมปัจจุบันที่เราใช้งานระบบอยู่ ขั้นตอนในการจัดการบริหารช่องโหว่ให้ได้ผลและมีประสิทธิภาพนั้น แบ่งออกเป็น 5 ขั้นตอน ดังต่อไปนี้

Source : Gartner www.gartner.com

ขั้นตอนที่ 1 Baseline/Discover

หมายถึง เราต้องกำหนด "Baseline" หรือ "มาตรฐานขั้นต่ำ" ของระบบให้ได้เสียก่อน โดยอาจจะเปรียบเทียบกับมาตรฐานโลกต่าง ๆ ด้านความปลอดภัยข้อมูลคอมพิวเตอร์ที่หลายองค์กรนิยมเอามาใช้ในการตรวจสอบระบบ เราต้องเริ่มจากการทำ "Vulnerability Assessment" เพื่อประเมินความเสี่ยงของช่องโหว่โดยการตรวจสอบระบบ (Audit) ว่ามีช่องโหว่อะไรอยู่บ้าง หลังจากนั้นก็ควรทำ "Inventory" เพื่อเก็บข้อมูลจากการตรวจสอบระบบให้เป็นระเบียบเพื่อนำไปใช้ในขั้นตอนที่ 2 ต่อไป การตรวจสอบระบบควรตรวจสอบระบบ Microsoft Windows และ ระบบ UNIX/Linux ที่ตัว Network Operating System ก่อน จากนั้นให้ตรวจสอบ Application ที่ทำงานบน Network Operating System นั้น ๆ ตลอดจนตรวจสอบอุปกรณ์เครือข่ายและอุปกรณ์รักษาความปลอดภัยด้วย

ขั้นตอนที่ 2 Prioritize

หลังจากการประเมินความเสี่ยงในขั้นตอนที่หนึ่ง จะทำให้เราทราบถึงระดับความเสี่ยง (Risk Level) ว่ามีระบบใดบ้างที่มีผลกระทบสูง (High Impact) และมีโอกาสเกิดความเสี่ยงสูง (High Probability) เราควรต้องนำระบบดังกล่าวมาจัดลำดับเป็นลำดับต้น ๆ เพื่อที่จะได้แก้ไขปัญหาก่อนระบบอื่น ๆ เพราะ ระบบมีระดับความเสี่ยงสูง (High Risk Level) จากนั้นค่อยมาจัดการระบบที่เหลือที่ยังมีความเสี่ยงกับองค์กรต่อไป สรุปได้ว่าระบบที่มีความเสี่ยงสูง เราจะเลือกมาแก้ไขปัญหาก่อนนั่นเอง

ขั้นตอนที่ 3 Shield and Mitigate

ขั้นตอนนี้คือ "Action Plan" ในการปิดช่องโหว่ที่เราได้ค้นพบจากการตรวจสอบในขั้นตอนที่ 1 และได้จัดระดับความสำคัญในขั้นตอนที่ 2 เรียบร้อยแล้ว การปิดช่องโหว่ให้ทำได้ในหลายวิธีตั้งแต่การเปลี่ยนรหัสผ่าน (Change Weak Password) ที่อ่อนแอ จนถึงการ "Hardening" ระบบ โดยการเปลี่ยนแปลงแก้ไข Configuration ของระบบเสียใหม่ การนำเทคโนโลยีชั้นสูงมาใช้ เช่น IPS (Intrusion Prevention System) หรือ "Scan and Block Technology" ก็เป็นทางออกหนึ่ง ของการแก้ปัญหา เช่นกัน

ขั้นตอนที่ 4 Control/Eliminate the Root Cause

ขั้นตอนนี้ทำเพื่อที่ไม่ให้ช่องโหว่เดิมที่ถูกค้นพบนั้นกลับมาอีก หมายถึง การแก้ปัญหาที่ต้นเหตุที่แท้จริง การปิดช่องโหว่ในทางเทคนิค เช่น การทำ "Hardening" ให้กับระบบนั้นถือเป็นเรื่องสำคัญที่ต้องรีบทำโดยด่วน แต่ยังไม่ใช่คำตอบสุดท้าย การแก้ปัญหาที่ได้ผล ก็คือ การแก้ไขที่ต้นเหตุที่แท้จริงของปัญหา เช่น การติดตั้ง Patch โดยใช้ระบบ "Patch Management System" หรือ การปรับเปลี่ยน Workflow ขั้นตอนในการทำงาน เป็นต้น การแก้ปัญหาให้ระบบไม่ใช่เพียงการติดตั้ง Patch เพียงอย่างเดียว เราต้องปรับแต่งแก้ไขการติดตั้งค่าระบบ (Change Configuration) ที่ผิดพลาดด้วย หรือ เราอาจต้องแก้ไขขั้นตอนการทำงาน (Process) ที่ผิดพลาดเช่นกัน

ขั้นตอนที่ 5 Maintain and Monitor

เราควรติดตั้งระบบ "Change management" หรือ "Configuration Management" เพื่อจัดการกับความเปลี่ยนแปลงที่เกิดขึ้นตลอดเวลา และ ควรมีการตรวจสอบระบบอย่างต่อเนื่อง (Continuous Audit) โดยเราสามารถ Outsource ให้ MSSP (Managed Security Service Provider) มาดูแลให้เรา จากนั้น เราต้องกลับไปสู่ขั้นตอนที่ 1 คือ การคอยตรวจสอบหาช่องโหว่ของระบบอย่างต่อเนื่อง แล้วทำการแก้ไขตามวงจรดังรูป ดังนั้น เราจะเห็นแล้วว่า การบริหารจัดการช่องโหว่และการป้องกันผลกระทบที่อาจเกิดจากความเสียงที่เรามีช่องโหว่ของระบบอยู่นั้น เป็นแนวคิดใหม่ที่เรียกว่า "Proactive Security Management" คือ แก้ไขระบบก่อนที่จะสายเกินแก้ และทำการแก้ไขอย่างรวดเร็วที่สุดเท่าที่จะทำได้ ทั้งนี้ก็เพื่อลดความเสี่ยงโดยรวมให้แก่องค์กร และ ทำให้เรื่องการรักษาความปลอดภัยข้อมูลคอมพิวเตอร์เป็นเรื่องที่เราสามารถควบคุมบริหารจัดการได้อย่างมีประสิทธิภาพในที่สุด

จาก : หนังสือ eLeader Thailand
ประจำเดือน เดือนกุมภาพันธ์ 2548
Update Information : 7 มีนาคม 2548