Security Tips
-
អត្ថបទទី ៣៨៖ Fake Parcel Scam ល្បិចកាដូរជាប់គយ ដែលបោកយកលុយជាបន្តបន្ទាប់
រយៈពេលអាន៖ ២ នាទីកម្រិតយល់ដឹង៖ មូលដ្ឋានគ្រឹះ មានមិត្តភក្តិបរទេសផ្ញើកាដូរមកឱ្យ តែត្រូវបង់ថ្លៃគយជាមុន? សូមប្រយ័ត្ន! វាអាចជាល្បិចឆបោកកញ្ចប់អីវ៉ាន់ក្លែងក្លាយ។ នៅអត្ថបទមុន យើងបាននិយាយពីការក្លែងបន្លំសំឡេងដោយ AI (AI Voice Cloning) ដែលជនខិលខូចអាចប្រើសំឡេងក្លែងក្លាយ ដើម្បីបោកឱ្យគ្រួសារវេរលុយបន្ទាន់។ អត្ថបទនេះ យើងនឹងបន្តមកស្គាល់ល្បិចឆបោកមួយទៀត ដែលកើតឡើងជាញឹកញាប់តាម Facebook, Telegram ឬ…
Read More » -
សវនកម្ម IT ជាដៃគូយុទ្ធសាស្ត្រ មិនមែនជាភ្នាក់ងារនគរបាលនោះទេ
បញ្ហាជាយុទ្ធសាស្ត្រនៅក្នុងអង្គភាពជាច្រើន ក្រុមការងារសវនកម្ម IT និងក្រុមការងារសន្តិសុខសាយប័រ ប្រតិបត្តិការក្នុងទំនាក់ទំនងប្រឈមមុខដាក់គ្នា — សវនកម្មស្វែងរកកំហុស ឯផ្នែកសន្តិសុខសាយប័រធ្វើការការពារខ្លួន។ ទំនាក់ទំនងបែបនេះខាតបង់ថាមពលដែលគួរតែយកទៅប្រើប្រាស់ដើម្បីពង្រឹងស្ថានភាពហានិភ័យពិតប្រាកដរបស់អង្គភាព។ ការកែប្រែទម្រង់ទំនាក់ទំនងសវនកម្ម និងផ្នែកសន្តិសុខសាយប័រ មានគោលដៅចុងក្រោយដូចគ្នា៖ គឺការកាត់បន្ថយហានិភ័យរបស់អង្គភាព។ នៅពេលដែលដាក់តំណែងជាដៃគូយុទ្ធសាស្ត្រជំនួសឱ្យគូប្រជែង ការរកឃើញរបស់សវនកម្មនឹងក្លាយជាយន្តការបញ្ជាក់ភាពត្រឹមត្រូវពីខាងក្រៅដែលមានតម្លៃ មិនមែនជាការគំរាមកំហែងដែលត្រូវតែគ្រប់គ្រងទប់ទល់នោះទេ។ ការធ្វើសវនកម្មជាប្រចាំ ប្រៀបធៀបនឹង វដ្តសវនកម្មប្រចាំឆ្នាំសវនកម្មប្រចាំឆ្នាំផ្តល់ត្រឹមតែរូបភាពសង្ខេបមួយកាលវេលាប៉ុណ្ណោះ ដែលជាញឹកញាប់ហួសសម័យទៅហើយនៅពេលដែលការរកឃើញត្រូវបានធ្វើការកែសម្រួល។…
Read More » -
អត្ថបទទី ៣៧៖ សំឡេងកូនខលមកសុំលុយបន្ទាន់? កុំជឿភ្លាម! វាអាចជាសំឡេង AI
រយៈពេលអាន៖ ២ នាទីកម្រិតយល់ដឹង៖ មធ្យម សំឡេងកូន សំឡេងម្តាយ ឬសំឡេងមិត្តភក្តិដែលអ្នកស្គាល់ អាចលែងជាការធានាថា “វាជាមនុស្សពិត” ទៀតហើយ។ នៅអត្ថបទមុន យើងបាននិយាយពីការឆបោកតាមទូរស័ព្ទ Vishing (Voice Phishing) ដែលជនខិលខូចបន្លំខ្លួនជាបុគ្គលិកធនាគារ ឬមន្ត្រីប៉ូលិស ដើម្បីធ្វើឱ្យជនរងគ្រោះភ័យ ហើយវេរលុយ ឬផ្ញើព័ត៌មានសម្ងាត់។ អត្ថបទនេះ យើងនឹងបន្តទៅល្បិចថ្មីដែលគួរឱ្យព្រួយបារម្ភជាងមុន…
Read More » -
ការគំរាមកំហែង Ransomware ក្នុងឆ្នាំ ២០២៥៖ អ្វីដែលថ្នាក់ដឹកនាំគ្រប់រូបត្រូវយល់ដឹងអំពីទម្រង់អាជីវកម្មរបស់ឧក្រិដ្ឋកម្មសាយប័រ
ទម្រង់អាជីវកម្មនៃឧក្រិដ្ឋកម្មសាយប័រ និងការវាយប្រហារ Ransomware បានវិវត្តន៍ខ្លួនពីការវាយប្រហារបែបលក្ខណៈឯកត្តជន ឬជាក្រុមតូចតាច ទៅជា «ឧស្សាហកម្មឧក្រិដ្ឋកម្មដែលមានរចនាសម្ព័ន្ធស្មុគស្មាញ»។ សម្រាប់ថ្នាក់ដឹកនាំគ្រប់រូប (C-Suite & Board Members) ការយល់ដឹងពី ទម្រង់អាជីវកម្ម (Business Model) របស់ក្រុម Hacker គឺជាសោរចុចយ៉ាងសំខាន់ក្នុងការរៀបចំយុទ្ធសាស្ត្រការពារ និងបង្ការហានិភ័យហិរញ្ញវត្ថុរបស់អង្គភាព។ អេកូឡូស៊ីអាជីវកម្ម Ransomware (Ransomware Ecosystem) ក្រុមឧក្រិដ្ឋជនសាយប័រដើរតួនាទី…
Read More » -
អត្ថប្រយោជន៍លើការវិនិយោគ (ROI) នៃ Zero Trust៖ របៀបពន្យល់ហេតុផលនៃការវិនិយោគជូនក្រុមប្រឹក្សាភិបាល
បញ្ហាជាយុទ្ធសាស្ត្រកម្មវិធី Zero Trust តម្រូវឱ្យមានការវិនិយោគប្រកបដោយចីរភាពរយៈពេលច្រើនឆ្នាំ ប៉ុន្តែក្រុមប្រឹក្សាភិបាលអនុម័តថវិកាផ្អែកលើតម្លៃដែលអាចបង្ហាញបាន — មិនមែនលើភាពទាន់សម័យនៃស្ថាបត្យកម្មនោះទេ។ CISO ដែលមិនអាចបកប្រែ Zero Trust ទៅជាភាសាអាជីវកម្ម នឹងជួបការលំបាកក្នុងការស្វែងរក និងរក្សាប្រភពថវិកា។ ការកសាងអំណះអំណាងអាជីវកម្ម (Business Case)រៀបចំការវិនិយោគលើ Zero Trust ជុំវិញការកាត់បន្ថយហានិភ័យ…
Read More » -
អត្តសញ្ញាណគឺជាព្រំដែនការពារថ្មី៖ ការប្រែក្លាយការគ្រប់គ្រងការចូលប្រើប្រាស់ Zero Trust ទៅជាការប្រតិបត្តិការ
បញ្ហាជាយុទ្ធសាស្ត្រនៅពេលដែលព្រំដែនការពាររូបវន្តត្រូវរលាយបាត់បង់តាមរយៈការចាប់យកបច្ចេកវិទ្យាក្លោដ និងការធ្វើការពីចម្ងាយមក ការប្រើប្រាស់អត្តសញ្ញាណបានក្លាយជាចំណុចគ្រប់គ្រងចម្បង — ប៉ុន្តែអង្គភាពជាច្រើននៅតែគ្រប់គ្រងអត្តសញ្ញាណដូចជាកិច្ចការបន្ទាប់បន្សំ ដោយទុកឱ្យមានសិទ្ធិពិសេសអចិន្ត្រៃយ៍ហួសហេតុ និងការផ្ទៀងផ្ទាត់មិនស៊ីសង្វាក់គ្នា។ គ្រឹះ IAM/PAMការគ្រប់គ្រងអត្តសញ្ញាណការចូលប្រើប្រាស់ (IAM) និងការគ្រប់គ្រងការចូលប្រើប្រាស់ដែលមានសិទ្ធិពិសេស (PAM) គឺជាស្នូលប្រតិបត្តិការនៃ Zero Trust៖ សិទ្ធិអប្បបរមា (Least privilege)៖ អ្នកប្រើប្រាស់ និងប្រព័ន្ធទទួលបានតែការចូលប្រើប្រាស់ដែលចាំបាច់សម្រាប់មុខងាររបស់ពួកគេប៉ុណ្ណោះ។ ការចូលប្រើប្រាស់ទាន់ពេលវេលា…
Read More » -
Zero Trust គឺជាយុទ្ធសាស្ត្រ មិនមែនជាផលិតផលនោះទេ៖ ផែនទីបង្ហាញផ្លូវនៃការអនុវត្តសម្រាប់ CISO
បញ្ហាជាយុទ្ធសាស្ត្រ«Zero Trust» បានក្លាយជាពាក្យមួយក្នុងចំណោមពាក្យដែលត្រូវបានគេយកទៅផ្សព្វផ្សាយពាណិជ្ជកម្មច្រើនបំផុត — និងយល់ច្រឡំច្រើនបំផុត — នៅក្នុងវិស័យសន្តិសុខសាយប័រ។ ក្រុមហ៊ុនលក់ផលិតផលបច្ចេកវិទ្យាផ្សព្វផ្សាយលក់វាដូចជាផលិតផលមួយ ប៉ុន្តែនៅក្នុងតថភាពជាក់ស្តែង វាគឺជាទស្សនវិជ្ជាស្ថាបត្យកម្មដែលតម្រូវឱ្យមានការផ្លាស់ប្តូរនៅក្នុងអង្គភាពរយៈពេលច្រើនឆ្នាំ។ គោលការណ៍គ្រឹះZero Trust សន្មតថាមិនមានការទុកចិត្តដោយស្វ័យប្រវត្តិឡើយ ផ្អែកលើទីតាំងបណ្តាញ។ រាល់ការស្នើសុំចូលប្រើប្រាស់ទាំងអស់ — មិនថាតែអ្នកប្រើប្រាស់ ឧបករណ៍ ឬកម្មវិធីនោះទេ —…
Read More » -
អត្ថបទទី ៣៦៖ Vishing ល្បិចបោកតាមទូរស័ព្ទដែលគួរប្រុងប្រយ័ត្ន
រយៈពេលអាន៖ ២ នាទីកម្រិតយល់ដឹង៖ មូលដ្ឋានគ្រឹះ គេហៅមកថាគណនីអ្នកមានបញ្ហា? កុំភ័យភ្លាម! វាអាចជាល្បិចឆបោកតាមទូរស័ព្ទ។ នៅអត្ថបទមុនៗ យើងបានស្វែងយល់ពីល្បិចឆបោកតាមរយៈសារ SMS, Link ក្លែងក្លាយ និងវេបសាយវិនិយោគបោកប្រាស់។ អត្ថបទនេះ យើងនឹងមកស្គាល់ការឆបោកមួយទៀតដែលកើតឡើងតាមរយៈសំឡេង ឬការហៅទូរស័ព្ទផ្ទាល់ ដែលភាសាបច្ចេកទេសហៅថា Vishing (Voice Phishing)។ Vishing…
Read More » -
អត្ថបទទី ៣៥៖ Fake Investment Scam ដាក់លុយតិច ចំណេញច្រើន? ប្រយ័ត្ន វាអាចជាអន្ទាក់វិនិយោគក្លែងក្លាយ
រយៈពេលអាន៖ ២ នាទីកម្រិតយល់ដឹង៖ មធ្យម នៅអត្ថបទមុន យើងបាននិយាយពីការឆបោកបែប Pig Butchering Scams ដែលជនខិលខូចប្រើទំនុកចិត្ត មិត្តភាព ឬស្នេហាអនឡាញ ដើម្បីអូសទាញជនរងគ្រោះឱ្យចូលទៅក្នុងការវិនិយោគក្លែងក្លាយ។ អត្ថបទនេះ យើងនឹងបន្តពិនិត្យមើលឱ្យច្បាស់ជាងមុនអំពី ការឆបោកការវិនិយោគក្លែងក្លាយ (Fake Investment Scams)។ ល្បិចនេះភាគច្រើនប្រើ Website ឬ App…
Read More » -
ការកំណត់កម្រិតអាទិភាពទ្រព្យសកម្ម៖ ការផ្តល់អាទិភាពលើការការពារនៅកន្លែងដែលចាំបាច់បំផុត
បញ្ហាជាយុទ្ធសាស្ត្រថវិកាសន្តិសុខសុវត្ថិភាពមានកំណត់ ប៉ុន្តែអង្គភាពជាច្រើនព្យាយាមការពារគ្រប់ទ្រព្យសកម្មទាំងអស់ស្មើៗគ្នា — ដែលធ្វើឱ្យធនធានត្រូវបែងចែកស្តើងស្ទើរតែគ្មានប្រសិទ្ធភាព និងទុកឱ្យប្រព័ន្ធសំខាន់ៗពិតប្រាកដទទួលបានការការពារមិនគ្រប់គ្រាន់ ខណៈពេលដែលទ្រព្យសកម្មមានតម្លៃទាបបែរជាទទួលបានការយកចិត្តទុកដាក់ហួសប្រមាណ។ ដំណោះស្រាយ៖ ការកំណត់កម្រិតអាទិភាពផ្អែកលើផលប៉ះពាល់អាជីវកម្មចាត់ថ្នាក់ទ្រព្យសកម្មមិនមែនតែលើលក្ខណៈបច្ចេកទេសប៉ុណ្ណោះទេ ប៉ុន្តែផ្អែកលើផលប៉ះពាល់អាជីវកម្មប្រសិនបើត្រូវគេទម្លុះទម្លាយ៖ កម្រិតទី ១ (សំខាន់បំផុត)៖ ប្រព័ន្ធបង្កើតចំណូល, កន្លែងរក្សាទុកទិន្នន័យដែលមានបទប្បញ្ញត្តិ, ហេដ្ឋារចនាសម្ព័ន្ធស្នូល។ កម្រិតទី ២ (សំខាន់)៖ ប្រព័ន្ធគាំទ្រដែលមានផលប៉ះពាល់អាជីវកម្មមធ្យមប្រសិនបើត្រូវរអាក់រអួល។ កម្រិតទី ៣ (ស្តង់ដារ)៖ ប្រព័ន្ធដែលមានផលប៉ះពាល់ទាប…
Read More » -
អ្នកមិនអាចការពារអ្វីដែលអ្នកមើលមិនឃើញនោះទេ៖ ការគ្រប់គ្រងលំហនៃការវាយប្រហារលើទ្រព្យសកម្មសាយប័រ (CAASM)
បញ្ហាជាយុទ្ធសាស្ត្រប្រសិនបើអ្នកសួរបុគ្គលិកទទួលខុសត្រូវផ្នែកសន្តិសុខព័ត៌មាន (CISO) ណាម្នាក់ថា តើមានទ្រព្យសកម្មចំនួនប៉ុន្មាននៅក្នុងបរិស្ថានបច្ចេកវិទ្យារបស់ពួកគេ ចម្លើយដែលស្មោះត្រង់បំផុតជាញឹកញាប់គឺ «យើងមិនប្រាកដប្រជាទាំងស្រុងនោះទេ»។ ការរីករាលដាលនៃប្រព័ន្ធក្លោដ, ប្រព័ន្ធព័ត៌មានវិទ្យាស្រមោលដែលគ្មានការអនុញ្ញាត (Shadow IT), បរិក្ខារចុងខាងដែលប្រើប្រាស់ពីចម្ងាយ (Remote endpoints) និងប្រព័ន្ធចាស់ៗដែលត្រូវគេបំភ្លេចចោល បានបង្កើតឱ្យមានគម្លាតនៃភាពមើលឃើញ ដែលជនវាយប្រហារអាចកេងចំណេញបាន ដោយសារតែអ្នកការពារមិនបានដឹងថារបស់ទាំងនោះមានវត្តមាននៅឡើយផង។ មូលហេតុដែលឧបករណ៍ប្រពៃណីមិនអាចឆ្លើយតបបានមូលដ្ឋានទិន្នន័យគ្រប់គ្រងការកំណត់រចនាសម្ព័ន្ធ (CMDBs) ត្រូវបានបង្កើតឡើងសម្រាប់ការគ្រប់គ្រងសេវាកម្មព័ត៌មានវិទ្យា…
Read More » -
ហានិភ័យភាគីទីបី និងខ្សែច្រវាក់ផ្គត់ផ្គង់៖ ចំណុចដែលមើលមិនឃើញ (blind spot) នៅក្នុងកម្មវិធី GRC របស់អ្នក
បញ្ហាជាយុទ្ធសាស្ត្រការវាយប្រហារបែកធ្លាយទិន្នន័យដែលបង្កការខូចខាតធ្ងន់ធ្ងរបំផុតមួយចំនួនក្នុងរយៈពេល ៥ ឆ្នាំចុងក្រោយនេះ មិនបានចាប់ផ្តើមចេញពីខាងក្នុងស្ថាប័នរងគ្រោះនោះទេ — គឺវាបានចូលតាមរយៈអ្នកផ្គត់ផ្គង់ (Vendor) ក្រុមហ៊ុនម៉ៅការ ឬអ្នកផ្គត់ផ្គង់កម្មវិធីសូហ្វវែរ។ ទោះជាយ៉ាងណាក៏ដោយ ការគ្រប់គ្រងហានិភ័យភាគីទីបីនៅតែជាកែវភ្នែក ឬកញ្ចុំខ្សែភ្ជាប់ដែលខ្សោយបំផុតនៅក្នុងកម្មវិធី GRC ភាគច្រើន ដែលជាញឹកញាប់ត្រូវបានគេបន្ទាបតម្លៃមកត្រឹមតែជាការបំពេញកម្រងសំណួរតែម្តងគត់នៅពេលចាប់ផ្តើមសហការ។ មូលហេតុដែលអ្នកផ្គត់ផ្គង់ជាចំណុចដែលមើលមិនឃើញអង្គភាពនានាបានផ្តល់ការទុកចិត្តដល់អ្នកផ្គត់ផ្គង់ ដោយមិនបានផ្តល់នូវការត្រួតពិនិត្យមើលការខុសត្រូវស្មើគ្នានោះឡើយ។ អ្នកផ្គត់ផ្គង់ដែលមានសិទ្ធិចូលប្រើប្រាស់ប្រព័ន្ធ ឬទិន្នន័យរបស់អ្នក នឹងក្លាយជាផ្នែកមួយនៃលំហរងការវាយប្រហារ…
Read More » -
ពីគោលនយោបាយទៅជាការអនុវត្តជាក់ស្ដែង៖ ការលុបបំបាត់គម្លាតរវាងគោលនយោបាយសាយប័រ និងការអនុវត្តការងារជាក់ស្ដែង
បញ្ហាជាយុទ្ធសាស្ត្រអង្គភាពភាគច្រើនមានគោលនយោបាយសន្តិសុខសាយប័ររាប់សិប ដូចជា៖ ការគ្រប់គ្រងសិទ្ធិចូលប្រើប្រាស់, ការប្រកាសប្រើប្រាស់ដែលអាចទទួលយកបាន, ការឆ្លើយតបចំពោះហេតុការណ៍សន្តិសុខសាយប័រ និងការផ្លាស់ប្តូរកម្រិតសម្ងាត់នៃទិន្នន័យ។ ប៉ុន្តែមានគោលនយោបាយតិចតួចណាស់ដែលត្រូវបានអនុវត្តយ៉ាងម៉ឺងម៉ាត់ និងជាប់លាប់ ហើយរឹតតែតិចតួចជាងនេះទៅទៀតដែលត្រូវបានពិនិត្យមើលឡើងវិញ បន្ទាប់ពីបញ្ចប់វដ្តសវនកម្មដំបូង។ ការឃ្លាតឆ្ងាយពីគោលនយោបាយ (Policy drift) គឺជាហានិភ័យមួយក្នុងចំណោមហានិភ័យសន្តិសុខសាយប័រសហគ្រាសដែលត្រូវបានគេមើលរំលង និងរាយការណ៍តិចតួចបំផុត។ មូលហេតុដែលបង្កើតឱ្យមានបញ្ហានេះជាទូទៅ គោលនយោបាយត្រូវបានសរសេរឡើងតែម្តងគត់ដោយក្រុមការងារតូចមួយ ក្រោមសម្ពាធនៃសវនកម្ម ហើយបន្ទាប់មកត្រូវបានគេបោះបង់ចោល។ ការអនុវត្តតាមគោលនយោបាយតម្រូវឱ្យមានឧបករណ៍បច្ចេកវិទ្យា…
Read More » -
អត្ថបទទី ៣៤៖ ការឆបោកបែប “Pig Butchering Scams” – បង្កើតការជឿទុកចិត្ត រួចបោកបញ្ឆោតឱ្យដាក់លុយវិនិយោគ!
រយៈពេលអាន៖ ២ នាទីកម្រិតយល់ដឹង៖ មធ្យម នៅអត្ថបទមុន យើងបាននិយាយពី ការឆបោកការងារក្រៅម៉ោង (Part-time Job Scams) ដែលប្រើនុយ “ចុច Like បានលុយ” ដើម្បីសាងទំនុកចិត្ត មុននឹងសុំឱ្យជនរងគ្រោះដាក់លុយច្រើន។ អត្ថបទនេះ យើងនឹងបន្តទៅល្បិចឆបោកមួយទៀតដែលសាហាវជាង ព្រោះវាមិនត្រឹមតែប៉ះពាល់លុយទេ ប៉ុន្តែប៉ះពាល់ដល់អារម្មណ៍ ទំនុកចិត្ត និងផ្លូវចិត្តរបស់ជនរងគ្រោះផងដែរ។…
Read More » -
អត្ថបទទី ៣៣៖ ការឆបោកការងារក្រៅម៉ោងកំពុងវាយលុក Telegram និង WhatsApp – ល្បិច “ចុច Like បានលុយ” អាចនាំឱ្យខាតលុយធំ
រយៈពេលអាន៖ ២ នាទីកម្រិតយល់ដឹង៖ មធ្យម ការឆបោកផ្តល់ការងារក្រៅម៉ោង ឬ Part-time Job Scams កំពុងក្លាយជាល្បិចមួយដែលគួរឱ្យប្រុងប្រយ័ត្ន ជាពិសេសសម្រាប់និស្សិត អ្នកស្វែងរកការងារ និងអ្នកចង់រកប្រាក់ចំណូលបន្ថែមតាមអនឡាញ។ ល្បិចនេះភាគច្រើនចាប់ផ្តើមពីសារចម្លែកៗតាម Telegram, WhatsApp, Facebook Messenger ឬ SMS។…
Read More »
