លើសពីរបាយការណ៍ Pentest៖ ការផ្លាស់ប្តូរលទ្ធផល VAPT ទៅជាការកាត់បន្ថយហានិភ័យតាមបែបយុទ្ធសាស្ត្រ

បញ្ហាយុទ្ធសាស្ត្រ

អង្គភាពជាច្រើនបានជួលសេវាធ្វើតេស្តវាយប្រហារសាកល្បង (Penetration Test) ជារៀងរាល់ឆ្នាំ ទទួលបានរបាយការណ៍ជាឯកសារ PDF យ៉ាងក្រាស់ ហើយរក្សាទុកវាចោលដោយមានការដោះស្រាយកែប្រែតិចតួចបំផុត។ ការធ្វើតេស្តនេះគ្រាន់តែជួយបំពេញតាមតម្រូវការអនុលោមភាព (Compliance) ប៉ុន្តែផ្តល់លទ្ធផលតិចតួចណាស់ក្នុងការកាត់បន្ថយហានិភ័យជាក់ស្តែង។

ហេតុអ្វីបានជារបាយការណ៍ត្រូវទុកចោល?

លទ្ធផលនៃការធ្វើតេស្តភាគច្រើនត្រូវបានបង្ហាញក្នុងទម្រង់ជាចំណុចខ្សោយបច្ចេកទេសសុទ្ធសាធ ដោយខ្វះការភ្ជាប់ជាមួយបរិបទអាជីវកម្ម ដែលជាហេតុធ្វើឱ្យក្រុមការងារបច្ចេកវិទ្យាព័ត៌មាន (IT) មានការធុញថប់ និងស្មុគស្មាញជាមួយចំណុចខ្សោយរាប់រយដែលត្រូវបានចាត់ថ្នាក់ជា “ធ្ងន់ធ្ងរខ្លាំង (Critical)” និង “ធ្ងន់ធ្ងរ (High)” ប៉ុន្តែខ្វះការកំណត់អទិភាពច្បាស់លាស់។

ការកំណត់អទិភាពផ្អែកលើហានិភ័យ (Risk-Based Prioritization)

ត្រូវឈានចេញពីការមើលត្រឹមតែពិន្ទុ CVSS បច្ចេកទេសសុទ្ធ ដោយបញ្ចូលបរិបទអាជីវកម្មបន្ថែម៖ តើទ្រព្យសកម្មដែលមានចំណុចខ្សោយនោះជាប់ពាក់ព័ន្ធនឹងអ៊ីនធឺណិត (Internet-facing) ដែរឬទេ? តើវាផ្ទុកទិន្នន័យសំខាន់ខ្លាំង (Sensitive Data) ដែរឬទេ? តើវាជាទ្រព្យសកម្មសំខាន់កម្រិតទី ១ (Tier 1 Critical) ផ្អែកលើការចាត់ថ្នាក់ទ្រព្យសកម្មរបស់អ្នកដែរឬទេ? ការធ្វើបែបនេះនឹងបង្កើតបានជាបញ្ជីអទិភាពជាក់ស្តែង និងអាចអនុវត្តបាន ជំនួសឱ្យបញ្ជីការងារបច្ចេកទេសដែលច្រើនលើសលប់។

ពីការធ្វើតេស្តប្រចាំឆ្នាំ ទៅជាការធ្វើតេស្តជាប្រចាំ

ការធ្វើតេស្តប្រចាំឆ្នាំដើម្បីតែអនុលោមភាព អាចចាប់បានត្រឹមតែរូបភាពមួយពេលប៉ុណ្ណោះ (Snapshot)។ ការធ្វើតេស្តជាប្រចាំ ឬញឹកញាប់ (ប្រចាំត្រីមាសសម្រាប់ទ្រព្យសកម្មសំខាន់ៗ ឬការធ្វើតេស្តស្វ័យប្រវត្តិតាមប្រព័ន្ធសម្រាប់បរិស្ថានដែលមានការផ្លាស់ប្តូរញឹកញាប់) នឹងជួយស្វែងរកចំណុចខ្សោយដែលកើតមានឡើងនៅចន្លោះពេលនៃការធ្វើតេស្តនីមួយៗ។

បរិបទក្នុងតំបន់ (Regional Context)

កម្រិតថវិកាជាញឹកញាប់បានកម្រិតអង្គភាពក្នុងតំបន់ឱ្យធ្វើតេស្ត VAPT បានត្រឹមតែមួយដងប៉ុណ្ណោះក្នុងមួយឆ្នាំ។ ក្នុងករណីដែលថវិកាអនុញ្ញាតឱ្យធ្វើតេស្តបានតែមួយដង សូមផ្តោតវិសាលភាពនៃការធ្វើតេស្ត (Scope) លើទ្រព្យសកម្មសំខាន់ៗកម្រិតទី ១ (Tier 1) ជាជាងការធ្វើតេស្តរាយប៉ាយស្តើងៗលើបរិស្ថានប្រព័ន្ធទាំងមូល។

បញ្ជីសកម្មភាពត្រូវអនុវត្ត (Action Checklist)

• តម្រូវឱ្យរាល់របាយការណ៍ VAPT ទាំងអស់រួមបញ្ចូលទាំងពិន្ទុហានិភ័យផ្អែកលើបរិបទអាជីវកម្ម មិនមែនត្រឹមតែពិន្ទុ CVSS នោះទេ។
• កំណត់កាលបរិច្ឆេទកំណត់ (SLAs) ក្នុងការដោះស្រាយកែប្រែដោយភ្ជាប់ជាមួយកម្រិតហានិភ័យ (ឧទាហរណ៍៖ ចំណុចខ្សោយធ្ងន់ធ្ងរខ្លាំងលើទ្រព្យសកម្ម Tier 1 ត្រូវដោះស្រាយក្នុងរយៈពេល ៣០ ថ្ងៃ)។
• ផ្លាស់ប្តូរពីការធ្វើតេស្តប្រចាំឆ្នាំ ទៅជាយ៉ាងហោចណាស់កន្លះឆ្នាំម្តង សម្រាប់ទ្រព្យសកម្មសំខាន់ៗដែលជាប់ពាក់ព័ន្ធនឹងអ៊ីនធឺណិត។
• តាមដានអត្រាភាគរយនៃការដោះស្រាយរួចរាល់ ធ្វើជាសូចនាករវាស់វែងសមិទ្ធកម្ម (KPI) សម្រាប់រាយការណ៍ជូនក្រុមប្រឹក្សាភិបាល។

ការយល់ដឹងស៊ីជម្រៅសម្រាប់ថ្នាក់ដឹកនាំ

តម្លៃនៃការធ្វើតេស្តវាយប្រហារសាកល្បង (Penetration Test) មិនមែនស្ថិតនៅលើការរកឃើញចំណុចខ្សោយនោះទេ — ព្រោះការធ្វើតេស្តណាក៏គង់តែរកឃើញចំណុចខ្សោយដែរ។ តម្លៃពិតប្រាកដគឺស្ថិតនៅលើថា តើលទ្ធផលដែលរកឃើញទាំងនោះត្រូវបានបកប្រែទៅជា ការកាត់បន្ថយហានិភ័យដែលអាចវាស់វែងបាន ដែរឬទេ។ ប្រសិនបើអត្រានៃការដោះស្រាយកែប្រែរបស់អ្នកមានកម្រិតទាប នោះថវិកាវិន័យក្នុងការធ្វើតេស្តរបស់អ្នកកំពុងត្រូវ បានខាតបង់ដោយឥតប្រយោជន៍៕