គោលការណ៍សំខាន់ៗនៃសុវត្ថិភាពតាមប្រព័ន្ធអុីនធឺណិត

សុវត្ថិភាពតាមប្រព័ន្ធអុីនធឺណិតគឺជាការអនុវត្តនៃការការពារប្រព័ន្ធកុំព្យូទ័រ ម៉ាស៊ីនមេ កម្មវិធី និងទិន្នន័យពីការចូលប្រើប្រាស់ដោយគ្មានការអនុញ្ញាត ឬការប៉ុនប៉ងវាយប្រហារតាមប្រព័ន្ធឌីជីថល។ ក្នុងសម័យបច្ចេកវិទ្យាបច្ចុប្បន្ន ទិន្នន័យគឺជាទ្រព្យសម្បត្តិដ៏មានតម្លៃបំផុត ហើយការការពារវាមិនមែនជាជម្រើសទៀតទេ ប៉ុន្តែវាជាការចាំបាច់ដោយសារតែការវិវឌ្ឍនៃការគំរាមកំហែងតាមអុីនធឺណិតមានភាពស្មុគស្មាញកាន់តែខ្លាំងឡើងៗ។ ការវាយប្រហារតាមអុីនធឺណិតសព្វថ្ងៃនេះ មិនត្រឹមតែផ្តោតលើការលួចទិន្នន័យហិរញ្ញវត្ថុប៉ុណ្ណោះទេ ប៉ុន្តែថែមទាំងមានគោលបំណងបំផ្លាញហេដ្ឋារចនាសម្ព័ន្ធសំខាន់ៗរបស់ជាតិ បង្ខូចកេរ្តិ៍ឈ្មោះក្រុមហ៊ុន និងរំខានដល់ប្រតិបត្តិការអាជីវកម្មថែមទៀតផង។ ដូច្នេះ ការយល់ដឹងស៊ីជម្រៅអំពីមូលដ្ឋានគ្រឹះនៃសុវត្ថិភាពតាមអុីនធឺណិត គឺជាកាតព្វកិច្ចចំពោះគ្រប់អង្គភាព។

១. ធាតុសំខាន់ៗនៃសុវត្ថិភាពតាមប្រព័ន្ធអុីនធឺណិត (CIA Triad & AAA)

• ការសម្ងាត់ (Confidentiality) – ការធានាថាព័ត៌មានអាចចូលប្រើបានតែដោយអ្នកដែលមានសិទ្ធិត្រឹមត្រូវប៉ុណ្ណោះ។ ការសម្ងាត់ត្រូវបានធានាដោយការប្រើប្រាស់ការកូដនីយកម្ម (encryption) សម្រាប់ទិន្នន័យទាំងពេលរក្សាទុក និងពេលកំពុងបញ្ជូន (data at rest and data in transit) រួមជាមួយនឹងការត្រួតពិនិត្យការចូលប្រើប្រាស់ (access controls) យ៉ាងតឹងរ៉ឹង ដើម្បីធានាថាមានតែអ្នកដែលមានសិទ្ធិប៉ុណ្ណោះដែលអាចមើលឃើញព័ត៌មានរស៊ើប។
• ភាពត្រឹមត្រូវ (Integrity) – ការការពារទិន្នន័យពីការកែប្រែដោយគ្មានការអនុញ្ញាត។ នេះរាប់បញ្ចូលទាំងការការពារពីការកែប្រែដោយចៃដន្យ ឬដោយចេតនា។ ភាពត្រឹមត្រូវអាចត្រូវបានថែរក្សាដោយការប្រើប្រាស់មុខងារ hash, ហត្ថលេខាឌីជីថល, និងការត្រួតពិនិត្យកំណែ (version control) ដើម្បីធានាថាទិន្នន័យមិនត្រូវបានផ្លាស់ប្តូរដោយគ្មានការអនុញ្ញាត។
• ភាពអាចប្រើប្រាស់បាន (Availability) – ការធានាថាប្រព័ន្ធនិងទិន្នន័យអាចចូលប្រើបានសម្រាប់អ្នកប្រើប្រាស់ដែលមានសិទ្ធិនៅពេលដែលត្រូវការ។ នេះពាក់ព័ន្ធនឹងការរក្សាបរិក្ខារឱ្យដំណើរការជាប្រក្រតី ជៀសវាងការរំខានសេវា និងមានផែនការស្តារឡើងវិញនូវគ្រោះមហន្តរាយ (disaster recovery)។ វិធានការនានាដូចជាការបម្រុងទុកទិន្នន័យ (data backups) ប្រព័ន្ធស្វ័យប្រវត្តិ (redundancy) និងការការពារពីការវាយប្រហារ DDoS គឺសំខាន់ណាស់។
• ការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវ (Authentication) – ការផ្ទៀងផ្ទាត់អត្តសញ្ញាណរបស់អ្នកប្រើប្រាស់ ឬប្រព័ន្ធដែលកំពុងព្យាយាមចូលប្រើធនធាន។ នេះជាធម្មតាត្រូវបានសម្រេចតាមរយៈពាក្យសម្ងាត់, កត្តាផ្ទៀងផ្ទាត់ច្រើនកត្តា (MFA), និងជីវមាត្រ (biometrics)។
• ការផ្តល់សិទ្ធិអនុញ្ញាត (Authorization) – ការកំណត់សិទ្ធិចូលប្រើដល់អ្នកប្រើប្រាស់ដែលបានផ្ទៀងផ្ទាត់រួច ដោយកំណត់ថាពួកគេអាចចូលប្រើធនធានអ្វីខ្លះ និងធ្វើអ្វីបានខ្លះ។ នេះជួយធានាថាអ្នកប្រើប្រាស់ម្នាក់ៗមានសិទ្ធិចូលប្រើតែធនធានដែលចាំបាច់សម្រាប់ការងាររបស់ពួកគេប៉ុណ្ណោះ។

២. ការវិភាគផលប៉ះពាល់អាជីវកម្មនៃការវាយប្រហារតាមអ៊ីនធឺណិត

• ការខាតបង់ផ្នែកហិរញ្ញវត្ថុដោយផ្ទាល់ – នេះរាប់បញ្ចូលទាំងការលួចលុយដោយផ្ទាល់, ការចំណាយលើការស៊ើបអង្កេត, ការបង់ប្រាក់លោះ (ransomware), និងការពិន័យតាមអនុលោមភាពច្បាប់។ ឧទាហរណ៍ ការបំពានទិន្នន័យអាចបណ្តាលឱ្យមានការចំណាយរាប់លានដុល្លារសម្រាប់ការស្តារឡើងវិញ (recovery)។
• ការរំខានដល់ប្រតិបត្តិការអាជីវកម្ម – ការវាយប្រហារអាចធ្វើឱ្យប្រព័ន្ធសំខាន់ៗគាំង ឬមិនអាចប្រើប្រាស់បាន ដែលនាំឱ្យបាត់បង់ផលិតភាព និងប្រតិបត្តិការអាជីវកម្ម។ ឧទាហរណ៍ ការវាយប្រហារដោយមេរោគជំរិតទារប្រាក់អាចបិទខ្សែសង្វាក់ផលិតកម្មទាំងមូល។
• ការខូចខាតដល់កេរ្តិ៍ឈ្មោះនិងការបាត់បង់ទំនុកចិត្តពីអតិថិជន – នៅពេលមានការបំពានទិន្នន័យកើតឡើង ទំនុកចិត្តរបស់អតិថិជន និងដៃគូអាជីវកម្មអាចនឹងបាត់បង់យ៉ាងឆាប់រហ័ស ដែលពិបាកក្នុងការស្តារឡើងវិញ។ នេះអាចនាំឱ្យបាត់បង់ចំណូលរយៈពេលវែង។
• ផលវិបាកផ្នែកច្បាប់និងបទប្បញ្ញត្តិ – អង្គភាពអាចប្រឈមមុខនឹងបណ្តឹង, ការស៊ើបអង្កេតពីនិយតករ, និងការពិន័យធ្ងន់ធ្ងរ ប្រសិនបើពួកគេមិនអនុលោមតាមច្បាប់ការពារទិន្នន័យ (ដូចជា GDPR របស់អឺរ៉ុប)។
• ការចំណាយលើការស្តារឡើងវិញនិងការកែប្រព័ន្ធ – បន្ទាប់ពីការវាយប្រហារ អង្គភាពត្រូវចំណាយធនធានយ៉ាងច្រើនដើម្បីសម្អាតប្រព័ន្ធ, ស្ដារទិន្នន័យ, និងអនុវត្តវិធានការសុវត្ថិភាពបន្ថែមដើម្បីការពារការវាយប្រហារនាពេលអនាគត។

ការយល់ដឹងអំពីគោលការណ៍មូលដ្ឋាននៃសុវត្ថិភាពតាមប្រព័ន្ធអុីនធឺណិតគឺជាជំហានដំបូងក្នុងការបង្កើតកម្មវិធីសុវត្ថិភាព/សន្តិសុខដ៏មានប្រសិទ្ធភាព។ អង្គភាពត្រូវតែទទួលស្គាល់ថាសុវត្ថិភាពមិនមែនគ្រាន់តែជាបញ្ហាបច្ចេកទេសទេ ប៉ុន្តែវាជាបញ្ហាអាជីវកម្មដែលទាមទារការចូលរួមពីថ្នាក់ដឹកនាំកំពូល។ ការវិនិយោគលើសុវត្ថិភាពតាមប្រព័ន្ធអុីនធឺណិតគឺមិនត្រឹមតែជាការចំណាយទេ ប៉ុន្តែវាជាការការពារមិនឱ្យអង្គភាពជួបប្រទះនឹងហានិភ័យដែលអាចកើតមានឡើងដែលបណ្តាលមកពីការរំលោភបំពានសុវត្ថិភាព។

បន្ថែមពីលើគោលការណ៍សំខាន់ៗខាងលើ ការគ្រប់គ្រងហានិភ័យសុវត្ថិភាពតាមអ៊ីនធឺណិត (Cybersecurity Risk Management) ក៏ជាចំណុចគន្លឹះផងដែរ។ នេះរាប់បញ្ចូលទាំងការកំណត់អត្តសញ្ញាណ, ការវិភាគ, និងការកាត់បន្ថយហានិភ័យសក្តានុពល។ ដំណើរការនេះពាក់ព័ន្ធនឹងការវាយតម្លៃទ្រព្យសម្បត្តិសំខាន់ៗ, ការកំណត់អត្តសញ្ញាណភាពងាយរងគ្រោះ, ការវិភាគការគំរាមកំហែង, និងការអនុវត្តការត្រួតពិនិត្យសមស្របដើម្បីកាត់បន្ថយហានិភ័យដល់កម្រិតដែលអាចទទួលយកបាន។

ការបង្កើតវប្បធម៌សុវត្ថិភាព/សន្តិសុខគឺជាផ្នែកដ៏សំខាន់មួយនៃការប្រឆាំងនឹងការគំរាមកំហែងតាមអុីនធឺណិត។ វប្បធម៌នេះត្រូវចាប់ផ្តើមពីថ្នាក់ដឹកនាំកំពូល រហូតទៅកាន់គ្រប់ផ្នែកនៃអង្គភាព។ បុគ្គលិកគ្រប់រូបត្រូវយល់ពីតួនាទីរបស់ខ្លួនក្នុងការថែរក្សាសុវត្ថិភាព ហើយត្រូវបានបណ្តុះបណ្តាលឱ្យស្គាល់និងរាយការណ៍អំពីសកម្មភាពដែលគួរឱ្យសង្ស័យ។ ការបណ្តុះបណ្តាលជាប្រចាំនិងការលើកកម្ពស់ការយល់ដឹងអំពីសុវត្ថិភាពគឺជាគន្លឹះក្នុងការកាត់បន្ថយហានិភ័យនៃការវាយប្រហារតាមវិស្វកម្មសង្គម (social engineering) ដែលផ្តោតលើការកេងប្រវ័ញ្ច (exploit) ភាពទន់ខ្សោយរបស់មនុស្ស។ ការអនុវត្តយុទ្ធសាស្ត្រសុវត្ថិភាពដ៏រឹងមាំ មិនត្រឹមតែពឹងផ្អែកលើបច្ចេកវិទ្យាប៉ុណ្ណោះទេ ប៉ុន្តែថែមទាំងពឹងផ្អែកលើការយល់ដឹង និងការប្តេជ្ញាចិត្តរបស់បុគ្គលិកគ្រប់រូបក្នុងការការពារព័ត៌មាន និងប្រព័ន្ធរបស់អង្គភាព៕