Information Security Management Framework (ISMF) ขั้นตอนที่ 3 "Practical Information Security Policy"
by A.Pinya Hom-anek, GCFW, CISSP, CISA
ACIS Professional Team
E-mail:

(ดูรูปที่ 1)

หลังจากที่เราได้ปฏิบัติตาม ISMF (ดูรูปที่ 1) ในขั้นตอนที่ 1 และ 2 คือ Risk Management / Vulnerability Assessment / Penetration Testing และ Critical Hardening/Patching/Fixing แล้ว (อ่านย้อนหลังได้ใน eLeader 2 ฉบับก่อนหน้านี้ หรือใน Web Site: www.acisonline.net) เราจะเข้าสู่ขั้นตอนที่ 3 คือ "Practical Information Security Policy" ซึ่งเป็นขั้นตอนที่มีความสำคัญกับองค์กรอย่างมากในการจัดการกับระบบรักษา ความปลอดภัยข้อมูลคอมพิวเตอร์อย่างได้ประสิทธิผลในการปฏิบัติจริง เพราะหากองค์กรไม่มีการกำหนด "นโยบายการใช้งานคอมพิวเตอร์และอินเทอร์เน็ตอย่างปลอดภัย" ก็จะทำให้ระบบยังคงมีปัญหาได้ อาทิ ระบบติดไวรัส, แฮกเกอร์ใช้ Trojan Horse เจาะเข้าระบบจากความผิดพลาดของผู้ใช้งาน (User) ที่โดนแฮกเกอร์ใช้เทคนิค "Social Engineering" เจาะเข้ามา เป็นต้น ไม่ว่าเราจะติดตั้ง Firewall, IDS ตลอดจน Anti Virus Software อย่างเต็มระบบแค่ไหน ก็เป็นเพียงการป้องกันในระดับเทคนิค (Technical Level) เท่านั้น (ดูรูปที่ 2) เรายังขาดการป้องกันในระดับบริหารจัดการ (Administrative Level) ซึ่งหมายถึงเรื่อง Policy , Standard, Guideline และ Procedure ที่ต้องถูกนำมาใช้เป็นนโยบายใน การปฏิบัติของผู้ใช้ IT ในองค์กร


(ดูรูปที่ 2)

โดยปกติแล้วองค์กรมักจะนิยมเขียนนโยบายด้านความปลอดภัยข้อมูลคอมพิวเตอร์ โดยอิงจากมาตรฐาน BS ISO/IEC 17799:2000 (ดูรูปที่ 3) ซึ่งประกอบไปด้วยหัวข้อต่างๆ 10 เรื่อง โดยเน้นในรูปของภาพรวมไม่เจาะลึกด้านปฏิบัติ


(ดูรูปที่ 3)

ดังนั้นในบางองค์กรเช่น ธนาคารหรือสถาบันการเงิน อาจนำหลักการด้านนโยบายจากหน่วยงานอื่นที่ไม่ใช่ ISO มาเป็นต้นแบบก็ได้ เช่น มาตรฐาน CobiT (Control Objectives for Information and Related Technology) Framework ของ สถาบัน IT Governance Institute (www.itgi.org) ซึ่งเน้นในการตรวจสอบโดยผู้ตรวจสอบด้าน Information System โดยตรงคือ CISA (Certified Information System Auditor) ที่ได้รับการรับรองจากสถาบัน ISACA (www.isaca.org) ซึ่งเป็นผู้ที่ช่วยกำหนดมาตฐานในการตรวจสอบ (Audit) ระบบ Information System ตามขั้นตอนและอ้างอิงมาตรฐาน CobiT

นอกจาก BS ISO/IEC 17799:2000 และ CobiT แล้วก็ยังมีแนวทางการกำหนดนโยบาย ด้านการรักษาความปลอดภัยระบบ คอมพิวเตอร์อีกจาก 2 หน่วยงานที่มีบทบาทสำคัญ และเน้นการนำไปใช้งานจริง กล่าวคือ เป็น Information Security Policy ที่ได้รับการขัดเกลาและประยุกต์แล้ว ได้แก่ CBK (Common Body of Knowledge) ดูรูปที่ 4 จาก ISC2.org และ SANS/FBI Top 20 ของ SANS Institute ซึ่งร่วมมือกับ FBI (รายละเอียดเพิ่มเติมที่ www.sans.org/top20)


(ดูรูปที่ 4)

CBK นั้น เป็นองค์ความรู้ที่ สำคัญ และ จำเป็น ในการกำหนดนโยบายด้านความปลอดภัยระบบข้อมูลคอมพิวเตอร์ คิดค้นขึ้นโดยสถาบัน (ISC)2 (www.isc2.org) ผู้ที่ต้องการศึกษาอย่างลึกซึ้ง ควรลองเข้าไปสอบ CISSP (Certified Information Systems Security Professional) ซึ่งเป็นใบรับรอง (Certificate) ที่จะทำให้เรามีความเข้าใจลึกซึ้งใน CBK ทั้ง 10 โดเมน มากขึ้นและสามารถนำมาใช้ในภาคปฏิบัติกับองค์กรของเราได้อย่างดี

ส่วน SANS/FBI Top 20 Vulnerabilities นั้นเหมาะสำหรับผู้ดูแลระบบหรือ System Administrator ที่จะนำไปใช้กับ Platform ที่ตนเองดูแลอยู่ ได้แก่ UNIX Platform Top 10 Vulnerabilities และ Windows Platform Top 10 Vulnerabilities

ความหมายของ Policy หมายถึง นโยบายในภาพรวมที่กระชับและได้ใจความ เรียกว่า "Goal" หรือ เป้าหมายที่เราต้องการบรรลุ , Standard หมายถึง มาตรฐานที่ต้องบังคับในการปฏิบัติจริง เช่น รหัสผ่านต้องมีความยาวไม่ต่ำกว่า 8 ตัวอักษร เป็นต้น , Guideline หมายถึง แนวทางในการปฏิบัติที่ไม่ได้บังคับ แต่แนะนำเพื่อให้ผู้ปฏิบัติให้สามารถบรรลุเป้าหมายได้ง่ายขึ้น และ Procedure หมายถึง รายละเอียดปลีกย่อยเป็นข้อ ๆ ที่ต้องนำมาปฏิบัติเพื่อให้ได้มาซึ่ง Standard ที่ได้วางไว้ (ดูรูปที่ 5)


(ดูรูปที่ 5)

การกำหนดรายละเอียดของนโยบายด้านการรักษาความปลอดภัยระบบข้อมูลคอมพิวเตอร์ จึงต้องประกอบไปด้วย 4 ส่วนหลักๆ นี้ใน การพัฒนารายละเอียดต่างๆ ในนโยบาย ซึ่งนโยบายของแต่ละองค์กรอาจจะไม่เหมือนกัน ขึ้นกับการทำงานด้าน Information System ขององค์กรนั้นๆ อาทิ พฤติกรรมของผู้ใช้งาน, ทิศทางของผู้บริหารระดับสูงด้าน Information System หรือ Platform ที่เลือกใช้ อาจต้องมีการกำหนด "Best Practices" ให้กับ Platform ที่เราใช้อยู่โยเฉพาะ เช่นเราใช้ "Apache" เป็น Web Server อยู่เราก็ใช้ "Best Practices" สำหรับ Web Server Apache โดยเฉพาะ ซึ่งก็จะมีรายละเอียดและข้อกำหนดต่างๆ ที่เราสามารถนำไปจัดการใช้กับ Web Server ได้ในทางปฏิบัติ

จะเห็นได้ว่า เราไม่สามารถนำ Information Security Policy จากสถาบันต่างๆ ดังได้กล่าวมาแล้วทั้ง 4 สถาบัน มาใช้งานได้ทันที เนื่องจาก เราต้องมีการประเมินสถานการณ์ความเสี่ยงขององค์กรเราเสียก่อน ซึ่งก็คือขั้นตอนที่ 1 ของ ISMF (Risk Management / Vulnerability Assessment / Penetration Testing) นั่นเอง หากปราศจากขั้นตอนนี้ แล้วเรามาทำนโยบายก่อน จะทำให้เราขาดข้อมูลประกอบการตัดสินใจในการกำหนดนโยบายให้ใช้งานได้จริง เพราะฉะนั้น การกำหนดนโยบายต้องทำภายหลังจากการประเมินความเสี่ยงแล้ว

ปัญหาใหญ่ๆ อีกอย่างหนึ่งสำหรับองค์กรที่มีนโยบายที่ดีและได้ลงทุนลงแรงไปมากกับการพัฒนานโยบายความปลอดภัยข้อมูล คอมพิวเตอร์ หน่วยงานบางแห่งใช้เวลามากกว่า 2 ปีในการทำงานนโยบาย แต่กลับพบว่าเมื่อได้คลอดนโยบายออกมาเป็นรูปธรรม เพื่อให้คน IT ในองค์กรได้ปฏิบัติ แล้ว ผลลัพธ์ออกมาไม่เป็นอย่างที่คาดหวังไว้ เพราะหลายๆ คนไม่ยอมทำตามนโยบาย บางคนอ่านแล้วไม่เข้าใจ บอกว่าศัพท์เทคนิคมากเกินไป บางคนบอกว่าไม่ตรงกับงานที่รับผิดชอบอยู่นำมาใช้งานจริงไม่ได้ เป็นต้น ทางแก้ปัญหาที่ถูกต้องคือ ต้องมีการทำ Security Awareness Training ให้กับผู้ใช้ IT เสียก่อน ตั้งแต่ระดับผู้บริหารกระทั่งถึง ระดับผู้ใช้ทั่วไป เพื่อให้มีความตระหนักถึงภัยจากการใช้งานอินเทอร์เน็ตอย่างไม่ระมัดระวังและไม่ถูกต้อง (ซึ่งผมจะกล่าวถึงใน ISMF ขั้นตอนที่ 5 ต่อไปในรายละเอียด) ในฉบับหน้าเราจะมาดูรายละเอียดของ ISMF ในขั้นตอนที่ 4 คือ "Defense In-Depth / Best Practices Implementation" ว่ามีรายละเอียดอย่างไรบ้าง อย่าลืมติดตามนะครับ สวัสดีครับ


จาก : หนังสือ eLeader Thailand
ฉบับที่179 ประจำเดือนมกราคม 2546
Update Information : 24 ธันวาคม 2546


10 ภัยมืดยุคอินเทอร์เน็ตปี คศ. 2007" Top 10 Cyber Threats Year 2007
Update: 29 December 2006, 2006


หน้าที่ ความรับผิดชอบ และมุมมองที่แตกต่าง ของ "ผู้ตรวจสอบภายใน" และ "ผู้ตรวจสอบระบบสารสนเทศ" Internal Auditor and IT/IS Auditor's Perception Analysis
Update: 29 December 2006, 2006


ยุทธศาสตร์การเตรียมพร้อมป้องกันภัยจากมัลแวร์อย่างได้ผลในทางปฏิบัติ Understanding MalWare Point-of-Entry and How to protect by implementing practical Anti-Malware strategy
Update: 30 November, 2006


แนวทางการประเมินความเสี่ยงระบบสารสนเทศเพื่อให้สอดคล้องกับยุคสมัยที่เปลี่ยนแปลงของเทคโนโลยี (Information Technology Risk Assessment Guidelines for Modern IT Auditors)
Update: 30 November, 2006


กรณีศึกษา : วิเคราะห์แผนยุทธศาสตร์นโยบายการป้องกันความปลอดภัยข้อมูลของประเทศสิงค์โปร์ (iN2015 and Infocomm Security Masterplan)
Update: 19 September, 2006


"เอาต์ซอร์สระบบความปลอดภัยเชื่อได้แค่ไหน?" : Can we trust IT security outsourcer or MSSP (managed security services provider)
Update: 18 September, 2006


14 เทคโนโลยีการป้องกันความปลอดภัยข้อมูลสารสนเทศล่าสุดที่คุณควรรู้
14 IT Security Technology Update
Update: 18 September, 2006


Information Security Awareness Program เรื่องสำคัญขององค์กรที่ถูกมองข้าม ?
Update: 31 August, 2006


กรณีศึกษาเกี่ยวกับ อาชญากรรมคอมพิวเตอร์ และ การใช้กฎหมายการกระทำผิดเกี่ยวกับคอมพิวเตอร์ในกระบวนการยุติธรรมของประเทศเกาหลีใต้ Case Study : Cyber Crime and IT Law in South Korea
Update: 19 July, 2006


เรียนรู้โมเดลในการบริหารจัดการระบบรักษาความปลอดภัยข้อมูลอย่างเป็นระบบและมีประสิทธิภาพ (รุ่นที่สอง) ตอนจบ Information Security Management Framework (ISMF) Version 2 : "Act" Part
Update: 19 July, 2006


ทิศทางในอนาคตของอาชญากรรมคอมพิวเตอร์ และ 10 วิธีในการป้องกันตนเองและ องค์กรให้ปลอดภัยจากภัยอินเทอร์เน็ต Future Cyber Crime Trend and Ten Ways to Secure your IT Infrastructure
Update: 28 June, 2006


การประยุกต์ใช้มาตรฐานสากลด้านความปลอดภัยข้อมูลกับงานบริหารความเสี่ยงระบบสารสนเทศในองค์กรอย่างได้ผลในทางปฏิบัติ Information Technology Risk Management using International Standard Methodologies and Frameworks
Update: 24 April, 2006


เรียนรู้โมเดลในการบริหารจัดการระบบรักษาความปลอดภัยข้อมูลอย่างเป็นระบบและมีประสิทธิภาพ (รุ่นที่สอง) ตอนที่ 3 Information Security Management Framework (ISMF) Version 2 : "Do" Part
Update: 18 April, 2005


แผนยุทธศาสตร์ IT839: วิวัฒนาการของกระบวนการรักษาความปลอดภัยข้อมูลคอมพิวเตอร์ระดับชาติของประเทศเกาหลีใต้ Get Ready for Ubiquitous Society
Update: 24 March, 2005


เรียนรู้โมเดลในการบริหารจัดการระบบรักษาความปลอดภัยข้อมูลอย่างเป็นระบบและมีประสิทธิภาพ (รุ่นที่สอง) Information Security Management Framework (ISMF) Version 2
Update: 1 February, 2006


จับกระแสทิศทาง IT Security Outsourcing โดย MSSP (Managed Security Service Provider) ในประเทศไทยและทั่วโลก "What Motivates an enterprise to outsource IT security?
Update: 30 January, 2006


มุมมองใหม่ของแฮกเกอร์ในการโจมตีระบบความปลอดภัยข้อมูลคอมพิวเตอร์ บทวิเคราะห์ SANS TOP 20 Version 6.01 จากสถาบัน SANS USA
Update: 8 December, 2005


10 Information Security Easy Tips
10 เทคนิคการรักษาความปลอดภัยข้อมูลคอมพิวเตอร์อย่างง่ายด้วยตนเอง
Update: 1 December, 2005


TOP 10 Information Security Threat Year 2006 (Part II) ทิศทางภัยคุกคามด้านความปลอดภัยข้อมูลคอมพิวเตอร์ปี 2006 (ตอนจบ)
Update: 14 Nov, 2005


TOP 10 Information Security Threat Year 2006 (Part I) ทิศทางภัยคุกคามด้านความปลอดภัยข้อมูลคอมพิวเตอร์ปี 2006 (ตอนที่1)
Update: 14 Nov, 2005


มาตรฐานสากลทางด้านความปลอดภัยระบบเทคโนโลยีสารสนเทศที่ CIO ควรรู้เพื่อนำมาใช้เป็นแนวทางปฏิบัติในองค์กร และ กลยุทธ์ CIO กับการบริหารระบบความปลอดภัยเทคโนโลยีสารสนเทศในองค์กรสมัยใหม่ Update: 30 Aug, 2005

ทำความเข้าใจเรื่องความแตกต่างของใบรับรองผู้เชี่ยวชาญระบบรักษาความมั่นคงปลอดภัยข้อมูลคอมพิวเตอร์ระดับสากลวันนี้ Professional Information Security Certification: CISSP, CISM, CISA, SANS GIAC Update: 30 Aug, 2005

สถานการณ์ขององค์กรในประเทศไทยเกี่ยวกับการรับรองมาตรฐาน BS7799 Part 2 กับ บทวิเคราะห์มาตรฐานการรักษาความปลอดภัยข้อมูลสารสนเทศ ISO/IEC 17799 Second Edition และ มาตรฐาน ISO/IEC FDIS 27001:2005 Update: 28 July, 2005

บทวิเคราะห์คำปราศัยวิสัยทัศน์ของ มร. บิล เกตส์ ในงาน Thailand Digital Inspiration ในมุมมองด้านการรักษาความปลอดภัยข้อมูลสารสนเทศกับเทคโนโลยีใหม่ในอนาคต
Update: 12 July, 2005


การเตรียมองค์กรให้พร้อมเข้าสู่ยุค IT Governance ด้วยมาตรฐาน CobiT และ ITIL
Update: 24 Jun, 2005


วิเคราะห์ปัญหาสแปมอีเมล์ เทคนิคใหม่ของสแปมเมอร์ DHAs (Directory Harvest Attacks) และ วิธีการป้องกันระบบอีเมล์ของเราอย่างมีประสิทธิภาพ (ตอนที่ 1)
Update: 22 Jun, 2005


วิเคราะห์ปัญหาสแปมอีเมล์ เทคนิคใหม่ของสแปมเมอร์ DHAs (Directory Harvest Attacks) และ วิธีการป้องกันระบบอีเมล์ของเราอย่างมีประสิทธิภาพ (ตอนจบ)
Update: 22 Jun, 2005


ภัยร้ายไอทีแอบแฝงภายในองค์กรที่เราควรระวัง
Hidden Threat from using email
Update: 22 Jun, 2005


เรียนรู้หลักการ Baseline Security Compliance ด้วยกระบวนการ Compliance Management
Update: 3 Jun, 2005


เตือนระวังภัยอินเตอร์เน็ตใหม่ล่าสุด "Pharming"
Update: 22 Apr, 2005


5 ขั้นตอนในการบริหารจัดการช่องโหว่ในระบบสารสนเทศเพื่อการป้องกันระบบอย่างมีประสิทธิภาพ
"5 Steps Proactive Security Management using Vulnerability Management Concept"


แนวคิดใหม่เรื่องการตรวจสอบระบบสารสนเทศ และหัวใจสำคัญของระบบความปลอดภัยข้อมูลคอมพิวเตอร์ที่มีประสิทธิภาพ New IT Audit Paradigm "Using Vulnerability Management and Patch Management System"

ความสำคัญของการจัดตั้งศูนย์บัญชาการความปลอดภัยเทคโนโลยีสารสนเทศและการสื่อสารแห่งชาติ สำหรับประเทศไทย
Thailand's National ICT Security and Incident Response Center Initiative Project


ทิศทางการเปลี่ยนแปลงของกระบวนการควบคุมความปลอดภัยข้อมูลด้านเทคโนโลยีสารสนเทศทั่วโลก และ สถานะการณ์ล่าสุดของประเทศไทย (The World Information Technology and Information Security Control Trend and latest Thailand's situationg)
Update: 27 Jan, 2005


สรุปสถิติจำนวนผู้เชี่ยวชาญระบบความปลอดภัยข้อมูลสารสนเทศ (CISSP) ในเอเชีย และ ประโยชน์ที่ประเทศไทยได้รับจากการประชุมคณะกรรมการที่ปรึกษาแห่งเอเชีย (ISC)2 Asian Advisory Board Meeting
Update: 25 Jan, 2005


Top 10 Information Security Trend 2005 10 ทิศทาง และแนวโน้มด้านความปลอดภัยข้อมูลคอมพิวเตอร์ ปี ค.ศ. 2005
Update: 3 Dec, 2004


วิเคราะห์มาตรฐานในการตรวจสอบระบบสารสนเทศ สำหรับระบบความปลอดภัยบนระบบปฏิบัติการ UNIX/Linux
Update: 2 Dec, 2004


วิเคราะห์มาตรฐานในการตรวจสอบระบบสารสนเทศสำหรับระบบความปลอดภัยบนระบบปฏิบัติการ Microsoft Windows (ตอนจบ)
Update: 2 Dec, 2004


วิเคราะห์มาตรฐานในการตรวจสอบระบบสารสนเทศ สำหรับระบบความปลอดภัยบนระบบปฏิบัติการ Microsoft Windows (ตอนที่ 1)
Update: 2 Dec, 2004


Proactive Vulnerability Management and Patch Management
แนวคิดใหม่ของการบริหารจัดการระบบความปลอดภัยข้อมูลคอมพิวเตอร์วันนี้
Update: Sep 27, 2004


  3 องค์ประกอบหลักสู่ความสำเร็จด้านการจัดการบริหารความปลอดภัยข้อมูลคอมพิวเตอร์อย่างสมบูรณ์แบบ
"Best Practices for Information Security Management - [ PPT : People, Process/Policy and Technology/Tool ]"
Update: Sep 27, 2004


  สรุปสถานการณ์ความเคลื่อนไหวด้านความปลอดภัยข้อมูลคอมพิวเตอร์ และ การวิเคราะห์ผลกระทบจากปัญหาความปลอดภัยข้อมูลคอมพิวเตอร์ของภูมิภาคเอเชีย (ผลสรุปจากการประชุมคณะกรรมการที่ปรึกษาความปลอดภัยข้อมูลแห่งเอเชียที่ฮ่องกง)
Update: Sep 10, 2004


  วันนี้คอมพิวเตอร์ของคุณปลอดภัยแล้วหรือยัง? "10 แนวทางปฏิบัติเพื่อการใช้งานอินเทอร์เน็ตอย่างปลอดภัย"
Update: Sep 1, 2004


  "Information Security Management Outsourcing" เหตุผล และมุมมอง การวิเคราะห์ข้อดี /ข้อเสีย ในการบริหารระบบความปลอดภัยคอมพิวเตอร์ โดยการทำสัญญาใช้บริการจาก MSSP (Managed Security Service Provider)
Update: July 30, 2004


  วิเคราะห์ผลสำรวจสถิติการนำเทคโนโลยีรักษาความปลอดภัยคอมพิวเตอร์มาใช้ในองค์กรปี 2004
Update: July 30, 2004


  "Remote Access Vulnerability" ช่องโหว่ระบบที่หลายคนมองข้าม
Update: July 30, 2004


  เมื่อโปรแกรมป้องกันไวรัสไม่ใช่คำตอบสุดท้ายในการปราบไวรัส
Update: July 1, 2004


  เรียนรู้วิธีการเจาะระบบ Web Application ทั้ง 10 วิธี ของแฮกเกอร์ และวิธีการป้องกันอย่างได้ผล (ตอนจบ) (Top 10 Web Application Hacking)
Update: June 17, 2004


  เรียนรู้วิธีการเจาะระบบ Web Application Hacking ทั้ง10 วิธี ของแฮกเกอร์ และวิธีป้องกันอย่างได้ผล (Top 10 Web Application Hacking and How to Protect from Hackers)
Update: June 3, 2004


  เปรียบเทียบระบบ Two-Factor Authentication ระหว่าง การใช้ One Time Password (OTP) และ Smart Card ร่วมกับ Public Key Infrastructure (PKI)
Update: May 25, 2004


  รู้จักกับตำแหน่งผู้บริหารใหม่ในองค์กรยุคไฮเทค CSO (Chief Security Officer) /CISO (Chief Information Security Officer)
Update: May 25, 2004


  ถึงเวลาแล้วหรือยังสำหรับ Smart Card และ PKI (ความเข้าใจที่ถูกต้องสำหรับความจำเป็นในการทำ Authentication)
Update: April 29, 2004


  ระวังภัยอินเทอร์เน็ทใหม่ล่าสุด "PHISHING"
Update: April 20, 2004


  10 Technical Tips for securing your Wireless LAN System ( 10 เทคนิคการติดตั้งระบบ LAN ไร้สายให้ปลอดภัยจากแฮกเกอร์ )
Update: April 19, 2004


  Information Security Management Framework (ISMF) ขั้นตอนที่ 7 "Managed Security Services (MSS) / Real-time Monitoring using IDS/IPS"
Update: March 25, 2004


  Information Security Management Framework (ISMF) ขั้นตอนที่ 6 "Internal/ External Audit, Re-Assessment and Re-Hardening"
Update: March 25, 2004


  เรียนรู้หลักการตรวจสอบระบบสารสนเทศ (IT Audit) อย่างมีประสิทธิภาพในทางปฏิบัติ วิเคราะห์ปัญหาการตรวจสอบระบบสารสนเทศ และ การแก้ปัญหาในเชิงบูรณาการ
Update: February 24, 2004


  Information Security Management Framework (ISMF) ขั้นตอนที่ 5 "Security Awareness/ Technical Know-how Transfer Training"
Update: February 24, 2004


  กฎหมายอาชญากรรมคอมพิวเตอร์ และ การพิสูจน์หลักฐานด้วยวิธีการ "นิติคอมพิวเตอร์" (Thailand Computer Crime Law and Computer Forensics)
Update: February 11, 2004


  Information Security Management Framework (ISMF) ขั้นตอนที่ 4 "Defense-In-Depth/Best Practices Implementation"
Update: January 25, 2004


  10 ทิศทางและแนวโน้มด้านระบบรักษาความปลอดภัยข้อมูลคอมพิวเตอร์ ในปี ค.ศ. 2004 (Top 10 Information Security Paradigm Shift)
Update: December 24, 2003


  Information Security Management Framework (ISMF) ขั้นตอนที่ 3 "Practical Information Security Policy"
Update: December 24, 2003


  Information Security Management Framework (ISMF) ขั้นตอนที่ 2 :Critical Networks & Hosts Hardening / Patching / Fixing
Update: November 20, 2003


  Browser Hijacking " ช่องโหว่ใน Browser Internet Explorer (IE) ภัยอินเทอร์เน็ตใกล้ตัวคุณวันนี้ "
Update: November 12, 2003


  Information Security Management Framework (ISMF) ขั้นตอนที่ 1:Risk Management, Vulnerability Assessment และ Penetration testing
Update: November 1, 2003


  บทสรุป Wireless LAN Security ในงานประชุม APEC Thailand 2003
Update: October 30, 2003


  กรณีศึกษา Wireless Security ในงานประชุม APEC Thailand 2003
Update: October 13, 2003


  การจัดการระบบรักษาความปลอดภัยข้อมูลอย่างเป็นระบบและมีประสิทธิภาพ (Information Security Management Framework - ISMF)
Update: October 1, 2003


  จะลงทุนกับ IDS, IPS หรือ Honeypot อย่างไหนจะคุ้มค่ากว่ากัน ? (ตอนจบ)
Update: September 18, 2003


  บทเรียนจากหนอนอินเทอร์เน็ต Blaster Worm วิเคราะห์การทำงานของ VIRUS และวิธีการป้องกันสำหรับอนาคต"
Update: September 15, 2003


  จะลงทุนกับ IDS, IPS หรือ Honeypots อย่างไหนจะคุ้มค่ากว่ากัน ? (ตอนที่ 1)
Update: August 9, 2003


 เจาะลึก Web Application Security ตอนจบ"Cross-Site Scripting Attack"
Update: August 9, 2003


Hacking Web Application (ตอนที่ 2) "ช่องโหว่ใน SSL Protocol และ ความเข้าผิดในการใช้งาน SSL กับ Web Application"
Update: July 17, 2003


เจาะลึก Web Application Security ( ตอนที่2) Knowledge Hackers Vs. Web Application Programmer
Update: July 17, 2003


Hacking Web Application (ตอนที่ 1)
Update: July 17, 2003


เจาะลึก Web Application Security ( ตอนที่1 ) Knowledge Hackers Vs. Web Application Programmer
Update: July 17, 2003


Perimeter Security กับ กรณีศึกษาการ Hack Web Site ภาครัฐ
Update: July 17, 2003


เทคนิคการแก้ปัญหา SPAM Mail และเจาะลึก Web Application Security (ตอนที่1)
Update: May 9, 2003


วันนี้คุณแน่ใจได้อย่างไรว่าระบบของคุณปลอดภัยจาก Hacker ? (ตอนจบ) "The 6 Steps of Information Security Risk Assessment Process"
Update: May 6, 2003


ถอดรหัสใบรองผู้ดูแลระบบความปลอดภัยข้อมูลคอมพิวเตอร์
Update: April 4, 2003


วันนี้คุณแน่ใจได้อย่างไรว่าระบบของคุณปลอดภัยจาก Hacker ? (ตอนที่ 1) "Information Security Risk Assessment and Vulnerability Assessment - Part1"
Update: March 21, 2003


มาตรฐานสำหรับผู้ตรวจสอบด้านเทคโนโลยีสารสนเทศ (IT & IS AUDITOR) , เรื่องจำเป็นของทุกองค์กรวันนี้
Update: March 21, 2003


พื้นฐานที่จำเป็นสำหรับมืออาชีพด้านระบบความปลอดภัยคอมพิวเตอร์ (CBK) ตอนจบ
Update: Dec 23, 2002


เรียนรู้ และ เข้าใจ วิธีการจัดการระบบความปลอดภัยข้อมูลอย่างเป็นระบบ Understanding Information Security Process Management
Update: Dec 17, 2002


พื้นฐานที่จำเป็นสำหรับมืออาชีพด้านระบบความปลอดภัยคอมพิวเตอร์ (CBK) ตอนที่ 7
Update: Dec 17, 2002


พื้นฐานที่จำเป็นสำหรับมืออาชีพด้านระบบความปลอดภัยคอมพิวเตอร์ (CBK) ตอนที่ 6
Update: Dec 6, 2002


พื้นฐานที่จำเป็นสำหรับมืออาชีพด้านระบบความปลอดภัยคอมพิวเตอร์ (CBK) ตอนที่ 5
Update: Dec 6, 2002


จับตาสถานการณ์ Information Security ของประเทศเพื่อนบ้าน
Update: Dec 2, 2002


LINUX Certification มาตรฐานใหม่สำหรับวงการ Open source วันนี้
Update: Oct 21, 2002


Wireless LAN Security LAB Testing at Siam Discovery
Update: Oct 17, 2002


พื้นฐานที่จำเป็นสำหรับมืออาชีพด้านระบบความปลอดภัยคอมพิวเตอร์ ตอนที่4
Update: Oct 17, 2002


พื้นฐานที่จำเป็นสำหรับมืออาชีพด้านระบบความปลอดภัยคอมพิวเตอร์ ตอนที่3
Update: Sep 24, 2002


พื้นฐานที่จำเป็นสำหรับมืออาชีพด้านระบบความปลอดภัยคอมพิวเตอร์ ตอนที่2
Update: Sep 24, 2002


Wireless Network Hacking ภัยไร้สาย เป้าหมายใหม่ของ Hacker
Update: Aug 26, 2002


Security Awareness Program เรื่องสำคัญที่ถูกมองข้าม ?
Update: Aug 19, 2002


พื้นฐานที่จำเป็นสำหรับ "Information Security Professional" ตอนที่ 1
Update: Aug 6, 2002


แน่ใจได้อย่างไรว่าระบบของเราปลอดภัยจาก Hacker/Cracker ?
Update: July 20, 2002


เตรียมพร้อมสู่ความเป็นมืออาชีพด้าน Information Security (INFOSEC) ตอนที่ 3
Update: July 19, 2002


ระวังช่องโหว่ SMTP Services เปิดทางให้ HACKERS/SPAMMERS
Update: July 18, 2002


เรียนรู้วิธีป้องกัน PC ด้วยโปรแกรมประเภท Personal Firewalls , SteathWare Finders/Removers และ SPAM Fighters
Update: July 4, 2002


เตรียมพร้อมสู่ความเป็นมืออาชีพด้าน Information Security (INFOSEC) ตอนที่ 2
Update: June 28, 2002


เตรียมพร้อมสู่ความเป็นมืออาชีพด้าน Information Security (INFOSEC)
Update: June 28, 2002


"IT Professional Certification" สำคัญอย่างไร...ในยุคการสื่อสารไร้พรมแดน
Update: May 31, 2002


ถึงเวลาแล้วหรือยัง….กับคำว่า IT Professional Certification
Update: May 28, 2002


ใบรับรอง CISSP กับอุตสาหกรรมไอทีไทย
Update: May 11, 2002


วันนี้คุณเตรียมพร้อมแล้วหรือยังกับ mCommerce Security
Update: May 11, 2002


all_pix_trans.gif (807 bytes)