การประเมินความปลอดภัยของเครือข่ายคืออะไร

การประเมินความปลอดภัยของเครือข่ายเป็นการตรวจสอบที่ออกแบบมาเพื่อค้นหาช่องโหว่ด้านความปลอดภัยที่เสี่ยงต่อการถูกใช้ประโยชน์ อาจก่อให้เกิดอันตรายต่อการดําเนินธุรกิจ หรืออาจเปิดเผยข้อมูลที่ละเอียดอ่อน

จุดประสงค์ของการประเมินความปลอดภัยของเครือข่ายคืออะไร

จุดประสงค์ของการประเมินความปลอดภัยของเครือข่ายคือการรักษาเครือข่าย อุปกรณ์ และข้อมูลที่ละเอียดอ่อนของคุณให้ปลอดภัยจากการเข้าถึงโดยไม่ได้รับอนุญาต โดยการค้นหาเวกเตอร์การโจมตีที่อาจเกิดขึ้นจากภายในและภายนอกเครือข่ายภายในของคุณ

นอกจากนี้ คุณอาจมีหน้าที่รับผิดชอบด้านกฎระเบียบในการทํา ขึ้นอยู่กับอุตสาหกรรมของคุณ ตัวอย่างเช่น ผู้ประมวลผลบัตรเครดิตต้องปฏิบัติตาม PCI DSS และองค์กรด้านการดูแลสุขภาพจําเป็นต้องปฏิบัติตาม HIPAA

การประเมินความปลอดภัยของเครือข่ายสามารถตอบคําถามต่างๆ เช่น

• ระบบใดบ้างที่มีแนวโน้มที่จะถูกละเมิด?
• จุดเริ่มต้นทั่วไปสําหรับการละเมิดความปลอดภัยคืออะไร
• การโจมตีทางไซเบอร์จะส่งผลกระทบต่อสินทรัพย์เฉพาะอย่างไร
• ข้อมูลที่ละเอียดอ่อน ข้อมูลที่สามารถระบุตัวตนได้ หรือข้อมูลด้านสุขภาพที่ได้รับการคุ้มครองใดที่จะเปิดเผยในการละเมิดข้อมูลหรือการรั่วไหลของข้อมูล
• เราจะทําอะไรได้บ้างเพื่อลดการโจมตีประเภทนี้

การประเมินความปลอดภัยของเครือข่ายมีกี่ประเภท

การประเมินความปลอดภัยของเครือข่ายมีสองประเภท:

1. การประเมินช่องโหว่: การประเมินช่องโหว่แสดงให้เห็นว่าองค์กรมีจุดอ่อนอยู่ที่ไหน อ่านเพิ่มเติมเกี่ยวกับช่องโหว่ได้ที่นี่ และการจัดการช่องโหว่ได้ที่นี่
2. การทดสอบการเจาะระบบ: การทดสอบการเจาะระบบได้รับการออกแบบมาเพื่อเลียนแบบการโจมตีทางไซเบอร์หรือการโจมตีทางวิศวกรรมสังคม เช่น ฟิชชิ่ง สเปียร์ฟิชชิ่ง หรือการล่าวาฬ

ทั้งสองเป็นวิธีที่ยอดเยี่ยมในการทดสอบประสิทธิภาพของการป้องกันความปลอดภัยเครือข่ายของคุณและวัดผลกระทบที่อาจเกิดขึ้นจากการโจมตีสินทรัพย์เฉพาะ

วิธีทําการประเมินความปลอดภัยของเครือข่าย

การประเมินความปลอดภัยของเครือข่ายเป็นเพียงการประเมินความเสี่ยงด้านความปลอดภัยทางไซเบอร์อีกประเภทหนึ่ง กระบวนการมีดังนี้:

• เก็บสินค้าคงคลังของทรัพยากรของคุณ
• กําหนดมูลค่าข้อมูล
• ประเมินช่องโหว่ของโครงสร้างพื้นฐานด้านไอทีของคุณ
• ทดสอบการป้องกันของคุณ
• เอกสารผลลัพธ์ในรายงานการประเมินความปลอดภัยของเครือข่าย
• ใช้การควบคุมความปลอดภัยเพื่อปรับปรุงความปลอดภัยทางไซเบอร์
• ตรวจสอบปัญหาและการเปลี่ยนแปลงอย่างต่อเนื่อง

เก็บทรัพยากร

ขั้นตอนแรกคือการระบุทรัพย์สินเพื่อประเมินและกําหนดขอบเขตของการประเมิน วิธีนี้จะช่วยให้คุณจัดลําดับความสําคัญของสินทรัพย์ที่จะประเมินก่อน คุณอาจไม่ต้องการหรือจําเป็นต้องทําการประเมินในทุกเครือข่ายไร้สาย web แอปพลิเคชัน และจุดเชื่อมต่อ Wi-Fi และคุณอาจไม่มีงบประมาณแม้ว่าคุณจะต้องการก็ตาม

ที่กล่าวว่าสามารถช่วยในการจัดเก็บเครือข่าย อุปกรณ์ ข้อมูล และทรัพย์สินอื่นๆ ทั้งหมดของคุณ เพื่อให้คุณสามารถกําหนดได้ว่าต้องการรักษาความปลอดภัยสินทรัพย์ใด กระบวนการนี้จะให้ภาพรวมของเครือข่ายโดยรวมและการควบคุมความปลอดภัยด้านไอทีรอบ ๆ เครือข่ายดังกล่าว

กําหนดมูลค่าข้อมูล

องค์กรส่วนใหญ่ไม่มีงบประมาณไม่จํากัดสําหรับความปลอดภัยของข้อมูล (InfoSec) ดังนั้นจึงเป็นการดีที่สุดที่จะจํากัดขอบเขตของคุณไว้ที่สินทรัพย์ที่สําคัญที่สุดสําหรับธุรกิจ นอกจากนี้ คุณควรคํานึงถึงข้อกําหนดด้านกฎระเบียบและการปฏิบัติตามข้อกําหนดที่องค์กรของคุณอาจต้องปฏิบัติตาม

อ่านคู่มือของเราเกี่ยวกับแนวทางปฏิบัติที่ดีที่สุดสําหรับการตรวจสอบการปฏิบัติตามข้อกําหนดสําหรับข้อมูลเพิ่มเติม

เพื่อประหยัดเวลาและค่าใช้จ่าย ให้ใช้เวลาในการพัฒนานโยบายการจัดประเภทข้อมูลที่กําหนดวิธีมาตรฐานในการกําหนดมูลค่าของสินทรัพย์หรือชิ้นส่วนของข้อมูล ดูคําแนะนําของเราเกี่ยวกับการจําแนกข้อมูลสําหรับข้อมูลเพิ่มเติม

องค์กรส่วนใหญ่จะรวมมูลค่าทรัพย์สิน สถานะทางกฎหมาย และความสําคัญทางธุรกิจ เมื่อนโยบายถูกรวมเข้ากับโปรแกรมการจัดการความเสี่ยงด้านข้อมูลของคุณอย่างเป็นทางการแล้ว ให้ใช้เพื่อจําแนกสินทรัพย์แต่ละรายการเป็นที่สําคัญ หลัก หรือรอง

คําถามอื่นๆ ที่อาจช่วยคุณกําหนดคุณค่า ได้แก่:

• มีบทลงโทษทางการเงินหรือทางกฎหมายที่เกี่ยวข้องกับการเปิดเผยหรือสูญหายข้อมูลนี้หรือไม่
• ข้อมูลนี้มีค่าต่อคู่แข่งมากน้อยเพียงใด
• เราสามารถสร้างข้อมูลนี้ขึ้นมาใหม่ตั้งแต่เริ่มต้นได้หรือไม่? จะใช้เวลานานแค่ไหนและค่าใช้จ่ายที่เกี่ยวข้องจะเป็นเท่าไร?
• การสูญเสียข้อมูลนี้จะส่งผลกระทบต่อรายได้หรือความสามารถในการทํากําไรหรือไม่?
• การสูญเสียข้อมูลนี้จะส่งผลกระทบต่อการดําเนินธุรกิจในแต่ละวันหรือไม่ พนักงานของเราสามารถทํางานได้โดยไม่มีมันหรือไม่?
• ความเสียหายต่อชื่อเสียงของข้อมูลนี้รั่วไหลจะเป็นอย่างไร?

ประเมินช่องโหว่ของโครงสร้างพื้นฐานด้านไอทีของคุณ

ช่องโหว่คือสิ่งที่สามารถใช้ประโยชน์ได้ในเครือข่ายที่ปลอดภัย

ความเสี่ยงด้านความปลอดภัยทางไซเบอร์อาจมาจากทุกที่รวมถึงภายในและภายนอกองค์กรบุคลากรภายในที่มีนิสัยการรักษาความปลอดภัยที่ไม่ดีหรือผู้ขายบุคคลที่สามที่มีนโยบายความปลอดภัยของข้อมูลที่ไม่เพียงพอซึ่งสามารถเข้าถึงเครือข่ายของคุณได้

กระบวนการประเมินความเสี่ยงด้านความปลอดภัยที่มีประสิทธิภาพควรรวมถึง:

• การสแกนเครือข่าย: การสแกนพอร์ตเครือข่ายทั้งหมดของคุณและเวกเตอร์การโจมตีอื่นๆ อย่างครอบคลุม อ่านเพิ่มเติมเกี่ยวกับอันตรายของท่าเรือเปิดที่นี่ ซึ่งควรรวมถึง Wi-Fi, Internet of Things (IoT) และเครือข่ายไร้สายอื่นๆ และจะระบุโฮสต์และบริการเครือข่ายที่เข้าถึงได้ (เช่น HTTP, FTP, SMTP และ POP-3)
• จุดอ่อนภายใน: หลายองค์กรจะเลือกจ้างที่ปรึกษาด้านความปลอดภัยภายนอกเพื่อทดสอบทั้งบุคลากรและที่ปรึกษาด้านความปลอดภัยจากภายนอก
• การแจงนับเครือข่าย: การค้นพบโฮสต์หรืออุปกรณ์บนเครือข่ายที่สามารถพิมพ์ลายนิ้วมือระบบปฏิบัติการของโฮสต์ระยะไกล เมื่อผู้โจมตีทราบระบบปฏิบัติการแล้ว พวกเขาสามารถตรวจสอบ CVE สําหรับรายการช่องโหว่ที่ทราบเพื่อใช้ประโยชน์ได้
• การตรวจสอบของบุคคลที่สาม: การตรวจสอบบุคคลที่สามทั้งหมดและระดับการเข้าถึงเครือข่ายภายในและเนื้อหาที่ละเอียดอ่อน
• การทบทวนนโยบายความปลอดภัยของข้อมูล: การทบทวนนโยบายเกี่ยวกับการฝึกอบรมพนักงาน BYOD (นําอุปกรณ์มาเอง) และการใช้อีเมล

ภัยคุกคามอื่นๆ ที่คุณควรพิจารณาด้วย:

• ภัยธรรมชาติ: น้ําท่วม พายุเฮอริเคน แผ่นดินไหว ฟ้าผ่า และไฟสามารถทําลายได้มากพอๆ กับผู้โจมตีทางไซเบอร์ คุณไม่เพียงแต่สูญเสียข้อมูลเท่านั้น แต่ยังสูญเสียเซิร์ฟเวอร์ด้วย เมื่อตัดสินใจระหว่างเซิร์ฟเวอร์ในองค์กรและเซิร์ฟเวอร์บนคลาวด์ ให้นึกถึงโอกาสที่จะเกิดภัยพิบัติทางธรรมชาติ
• ความล้มเหลวของระบบ: ระบบที่สําคัญที่สุดของคุณทํางานบนอุปกรณ์คุณภาพสูงหรือไม่? พวกเขาได้รับการสนับสนุนที่ดีหรือไม่?
• ความผิดพลาดของมนุษย์: บัคเก็ต S3 ของคุณมีการกําหนดค่าข้อมูลที่ละเอียดอ่อนอย่างเหมาะสมหรือไม่ องค์กรของคุณได้รับการศึกษาที่เหมาะสมเกี่ยวกับมัลแวร์ ฟิชชิ่ง และวิศวกรรมสังคมหรือไม่ ทุกคนสามารถคลิกลิงก์มัลแวร์โดยไม่ได้ตั้งใจหรือป้อนข้อมูลประจําตัวในการหลอกลวงแบบฟิชชิ่ง คุณต้องมีการควบคุมความปลอดภัยด้านไอทีที่เข้มงวด รวมถึงการสํารองข้อมูลเป็นประจํา ผู้จัดการรหัสผ่าน ฯลฯ
• ภัยคุกคามที่เป็นปฏิปักษ์: ผู้ขายบุคคลที่สาม, คนวงใน, คนวงในที่เชื่อถือได้, คนวงในที่มีสิทธิพิเศษ, กลุ่มแฮ็กเกอร์ที่จัดตั้งขึ้น, กลุ่มเฉพาะกิจ, จารกรรมขององค์กร, ซัพพลายเออร์, รัฐชาติ

เนื่องจากอาจใช้เวลานาน หลายองค์กรจึงเลือกใช้บริการประเมินภายนอกหรือโซลูชันการรักษาความปลอดภัยอัตโนมัติ

ทดสอบการป้องกันของคุณ

เมื่อคุณประเมินช่องโหว่ขององค์กรของคุณแล้ว คุณต้องการทดสอบว่าการควบคุมความปลอดภัยและเทคนิคการลดความเสี่ยงของคุณป้องกันไม่ให้ผู้โจมตีสามารถใช้ประโยชน์จากช่องโหว่เหล่านั้นได้หรือไม่

สามารถทําได้ผ่านการทดสอบการเจาะระบบด้วยตนเองหรือใช้เครื่องมือแฮ็กจริยธรรมอัตโนมัติ เช่น Metasploit หรือ Nmap

เอกสารผลลัพธ์ในรายงานการประเมินความปลอดภัยของเครือข่าย

ตอนนี้คุณต้องพัฒนารายงานเพื่อสนับสนุนการตัดสินใจของผู้บริหารเกี่ยวกับงบประมาณนโยบายและขั้นตอน สําหรับช่องโหว่แต่ละอย่าง รายงานควรอธิบายความเสี่ยง การหาประโยชน์ และคุณค่า พร้อมกับผลกระทบและความเป็นไปได้ที่จะเกิดขึ้นและคําแนะนําในการควบคุม

เมื่อคุณทํางานผ่านกระบวนการนี้ คุณจะเข้าใจว่าบริษัทของคุณดําเนินการโครงสร้างพื้นฐานใดบ้าง ข้อมูลที่มีค่าที่สุดของคุณคืออะไร และคุณจะดําเนินการและรักษาความปลอดภัยให้กับธุรกิจของคุณได้อย่างไร

ใช้การควบคุมความปลอดภัยเพื่อปรับปรุงความปลอดภัยทางไซเบอร์

มีโอกาสที่คุณจะพบช่องว่างหรือจุดอ่อนในเครือข่ายของคุณ ทํารายการและพัฒนาแผนเพื่อแก้ไข

การควบคุมสามารถนําไปใช้ได้ด้วยวิธีการทางเทคนิค เช่น ฮาร์ดแวร์หรือซอฟต์แวร์ การเข้ารหัส กลไกการตรวจจับการบุกรุกเครือข่าย การรับรองความถูกต้องแบบสองปัจจัย การอัปเดตอัตโนมัติ การตรวจจับการรั่วไหลของข้อมูลอย่างต่อเนื่อง หรือผ่านวิธีการที่ไม่ใช่ทางเทคนิค เช่น นโยบายความปลอดภัย และกลไกทางกายภาพ เช่น การล็อคหรือการเข้าถึงไบโอเมตริกซ์

นอกจากนี้ จําแนกการควบคุมออกเป็นมาตรการป้องกันและการตรวจสอบ การควบคุมเชิงป้องกันได้รับการออกแบบมาเพื่อหยุดการโจมตีไม่ให้เกิดขึ้น เช่น การตรวจสอบความปลอดภัยของผู้ขายอย่างต่อเนื่อง ในขณะที่การควบคุมนักสืบพยายามค้นหาว่าการโจมตีเกิดขึ้นเมื่อใด

ตรวจสอบปัญหาและการเปลี่ยนแปลงอย่างต่อเนื่อง

นอกเหนือจากการประเมินความปลอดภัยของเครือข่ายด้วยตนเองแล้ว หลายองค์กรกําลังลงทุนในการจัดอันดับความปลอดภัยเพื่อให้การตรวจสอบอย่างต่อเนื่องไม่เพียง แต่ความปลอดภัยของเครือข่ายเท่านั้น แต่ยังรวมถึงเสถียรภาพการรักษาความปลอดภัยโดยรวมด้วย

การให้คะแนนความปลอดภัยมักใช้โดยทีมการจัดการความเสี่ยงของบุคคลที่สามเพื่อประเมินคุณภาพของแนวทางปฏิบัติด้านความปลอดภัยของผู้ขาย

การจัดอันดับความปลอดภัยหรือการจัดอันดับความปลอดภัยทางไซเบอร์เป็นการวัดที่ขับเคลื่อนด้วยข้อมูล วัตถุประสงค์ และแบบไดนามิกของเสถียรภาพด้านความปลอดภัยขององค์กร พวกเขาถูกสร้างขึ้นโดยแพลตฟอร์มการให้คะแนนความปลอดภัยที่เชื่อถือได้และเป็นอิสระทําให้มีคุณค่าในฐานะตัวบ่งชี้วัตถุประสงค์ของประสิทธิภาพความปลอดภัยทางไซเบอร์ขององค์กร

การจัดอันดับความปลอดภัยช่วยเสริมวิธีการจัดการความเสี่ยงแบบดั้งเดิมโดยให้ข้อมูลที่ต่อเนื่อง เป็นกลาง นําไปใช้ได้จริง และเป็นปัจจุบันอยู่เสมอ

อ่านเพิ่มเติมเกี่ยวกับการจัดอันดับความปลอดภัยได้ที่นี่