១. ព័ត៌មានទូទៅ
ឧបមាថា បុគ្គលិកម្នាក់ឱ្យសមាជិកគ្រួសារគាត់ប្រើប្រាស់កុំព្យូទ័រយួរដៃពីកន្លែងធ្វើការរបស់គាត់ដោយគិតថាគ្រាន់តែប្រើបន្តិចបន្តួច មិនអាចមានបញ្ហាអ្វីធំដុំឡើយ ប៉ុន្តែគាត់មិនបានដឹងថាសមាជិកគ្រួសារបានទាញយកមេរោគដោយចៃដន្យនៅលើកុំព្យូទ័រយួរដៃរបស់គាត់ នៅពេលដែលបុគ្គលិកយកកុំព្យូទ័រយួរដៃទៅធ្វើការវិញ អាចបណ្ដាលឱ្យមេរោគនេះឆ្លងចូលប្រព័ន្ធរបស់ស្ថាប័ន។ ការធ្វេសប្រហែសនេះបណ្ដាលឱ្យប៉ះពាល់ទៅដល់ហេដ្ឋារចនាសម្ព័ន្ធសំខាន់ និងលេចធ្លាយទិន្នន័យសម្ងាត់របស់ស្ថាប័ន។
ករណីនេះមិនមែនគ្រាន់តែជាករណីច្នៃប្រឌិតស្រមើស្រមៃនោះទេ វេទិកាសេដ្ឋកិច្ចពិភពលោកបានស្រាវជ្រាវឃើញថា ៩៥% នៃឧប្បត្តិហេតុសន្តិសុខសាយប័រទាំងអស់កើតចេញពីការធ្វេសប្រហែសរបស់មនុស្សជាបុគ្គលិកក្នុងស្ថាប័ន។ ទោះបីជាស្ថាប័នមានបំពាក់ប្រព័ន្ធការពារទំនើប និងគោលការណ៍អនុវត្តល្អយ៉ាងណាក៏ដោយ ក៏ការធ្វេសប្រហែសនិងកំហុសអចេតនារបស់បុគ្គលិកអាចបណ្ដាលឱ្យមានឧប្បត្តិហេតុសន្តិសុខសាយប័រធ្ងន់ធ្ងរដែរ។ យោងតាម ក្រុមហ៊ុន IBM ការលេចធ្លាយទិន្នន័យក្នុងឆ្នាំ២០២៣ បានធ្វើឱ្យខូចខាតក្នុងទំហំទឹកប្រាក់ ៤,៤៥លានដុល្លារសហរដ្ឋអាមេរិក ដែលចំនួននេះបានកើនឡើង ១៥% ធៀបនឹង៣ឆ្នាំមុន។
ការធ្វេសប្រហែស ចំនួន ៥ ដែលកើតឡើងច្រើនជាងគេដោយសារកំហុសបុគ្គលិក៖
ក.ឱ្យគេផ្សេងប្រើឧបករណ៍របស់ស្ថាប័នដោយគ្មានការអនុញ្ញាត
ការអនុញ្ញាតឱ្យមិត្តភ័ក្តិ ឬសមាជិកគ្រួសារប្រើប្រាស់ឧបករណ៍របស់ស្ថាប័ននៅផ្ទះហាក់ដូចជាមិនមែនជាអ្វីធំដុំទេ ប៉ុន្តែគេអាចប្រទះឃើញទិន្នន័យសម្ងាត់របស់ស្ថាប័ន ឬចូលប្រើគេហទំព័រនិងកម្មវិធីដែលមិនមានសុវត្ថិភាពដោយអចេតនា។ ប្រសិនបើអ្នកប្រើប្រាស់ដែលគ្មានការអនុញ្ញាតធ្វើឱ្យឧបករណ៍ឆ្លងមេរោគ ឧក្រិដ្ឋជនសាយប័រអាចចូលប្រើទិន្នន័យស្ថាប័នឬកម្មវិធីពពក (clouds) ដែលអាចនាំឱ្យមានហានិភ័យសន្តិសុខធ្ងន់ធ្ងរ រួមទាំងការលេចធ្លាយទិន្នន័យ ការលួចកម្មសិទ្ធិបញ្ញា និងការខូចខាតកេរ្តិ៍ឈ្មោះ។
មធ្យោបាយកាត់បន្ថយហានិភ័យនេះរួមមានការអនុវត្តការគ្រប់គ្រងសុវត្ថិភាពតឹងរ៉ឹងដូចជាការប្រើឃ្លាសម្ងាត់ និងការផ្ទៀងផ្ទាត់ពហុកត្តា ហើយបង្រៀនឱ្យបុគ្គលិកយល់ដឹងពីសារៈសំខាន់នៃការរក្សាឧបករណ៍របស់ស្ថាប័នមិនឱ្យមានការប្រើប្រាស់ដោយគ្មានការអនុញ្ញាត។
ខ.ការបញ្ជូនព័ត៌មានសម្ងាត់ទៅខុសគោលដៅ
ឧបមាថា បុគ្គលិកម្នាក់បានផ្ញើអ៊ីមែលផ្ទុកព័ត៌មានសម្ងាត់ទៅកាន់អ្នកទទួលខុស នាំឱ្យមានការបែកធ្លាយ។ នៅក្នុងវិស័យ ពេលដែលសារអ៊ីមែលមានផ្ទុកទិន្នន័យសម្ងាត់ ដូចជាវិស័យសុខាភិបាលជាដើម ការបញ្ជូនទិន្នន័យសម្ងាត់ទៅខុសគោលដៅទទួលអាចបណ្ដាលឱ្យមានផលប៉ះពាល់យ៉ាងធ្ងន់ធ្ងរ។
ដើម្បីកាត់បន្ថយការធ្វេសប្រហែសបែបនេះ មានមធ្យោបាយដូចជាការធ្វើកូដនីយកម្មលើអ៊ីមែលមានព័ត៌មានសម្ងាត់ ការប្រើប្រាស់មុខងារជូនដំណឹងឱ្យផ្ទៀងផ្ទាត់អាសយដ្ឋានគោលដៅម្ដងទៀតមុននឹងបញ្ជូនអ៊ីមែល និងការប្រើប្រាស់យន្តការការពារការបាត់បង់ទិន្នន័យ (data loss prevention) ជាដើម។
គ.ការប្រើពាក្យឬឃ្លាសម្ងាត់ចាស់ៗឡើងវិញ
ស្ថាប័នអាចមានគោលការណ៍ឃ្លាសម្ងាត់ដែលមានប្រសិទ្ធភាព ប៉ុន្តែប្រសិនបើបុគ្គលិកប្រើពាក្យសម្ងាត់ចាស់ៗឡើងវិញនៅលើឧបករណ៍ផ្ទាល់ខ្លួន គេហទំព័រ និងកម្មវិធីដែលមិនសូវមានសុវត្ថិភាព នោះពួកគេនៅតែផ្ដល់ឱកាសសម្រាប់ឧក្រិដ្ឋជនសាយប័រដដែល ដោយសារពាក្យសម្ងាត់ចាស់ៗអាចមាននៅក្នុងកម្រងពាក្យសម្ងាត់លេចធ្លាយធំៗដែលមាននៅលើគេហទំព័រងងឹត។
ថ្វីត្បិតមិនមានវិធីសាស្ត្រល្អប្រពៃដែលអាចទប់ស្កាត់ទាំងស្រុងមិនឱ្យបុគ្គលិកប្រើពាក្យសម្ងាត់ចាស់ៗឡើងវិញបានក៏ដោយ ក៏មធ្យោបាយត្រួតពិនិត្យនិងការពារអត្តសញ្ញាណអាចជួយផ្ដល់ដំណឹងប្រសិនបើពាក្យសម្ងាត់ត្រូវបានបែកធ្លាយលើគេហទំព័រងងឹត។
ឃ.ការលាតត្រដាងច្រកចូលប្រើប្រព័ន្ធពីចម្ងាយ
ការធ្វើការពីចម្ងាយបាននាំមកនូវបញ្ហាប្រឈមថ្មីៗផងដែរ ក្រុមការងារព័ត៌មានវិទ្យា (IT) ជាញឹកញយត្រូវបំពេញការងារគ្រប់គ្រងពីចម្ងាយ ប៉ុន្តែការលាតត្រដាងច្រកចូលប្រើប្រព័ន្ធនៅលើអ៊ីនធឺណិតប្រៀបបានទៅនឹងការបង្ហាញច្រកចូលហេដ្ឋារចនាសម្ព័ន្ធរបស់ស្ថាប័នទៅនរណាក៏ដោយដែលប្រើប្រាស់អ៊ីនធឺណិត។
ដើម្បីចូលប្រើប្រព័ន្ធពីចម្ងាយដោយមិនបើកបង្ហាញច្រកចូលរបស់ស្ថាប័ន គួរជ្រើសរើសដាក់លើអ៊ីនធឺណិតនូវសេវាកម្មដែលចាំបាច់បំផុតប៉ុណ្ណោះ លើសពីនេះ ការប្រើប្រាស់មធ្យោបាយថែទាំដោយស្វ័យប្រវត្តិនឹងជួយអ្នកកាត់បន្ថយភាពងាយរងគ្រោះ និងហានិភ័យ។
ង.ការប្រើប្រាស់ខុសនូវគណនីមានសិទ្ធិខ្ពស់
អ្នកគ្រប់គ្រងផ្នែកព័ត៌មានវិទ្យា(IT) អាចប្រើគណនីដែលមានសិទ្ធិខ្ពស់របស់គេដើម្បីបំពេញការងារធម្មតាប្រចាំថ្ងៃរបស់គេដែលមិនចាំបាច់ត្រូវការសិទ្ធិចូលប្រើខ្ពស់ ព្រោះវាមានភាពងាយស្រួល ហើយគេមិនចាំបាច់ប្តូរទៅមកច្រើនដងរវាងគណនីគ្រប់គ្រង និងគណនីប្រើប្រាស់ធម្មតា ប៉ុន្តែភាពងាយស្រួលនេះនាំឱ្យមានហានិភ័យយ៉ាងខ្ពស់ ប្រសិនបើគណនីគ្រប់គ្រងរបស់គេត្រូវបានគេលួច វាអាចបណ្ដាលឱ្យមានការខូចខាតធ្ងន់ធ្ងរ។
ដូច្នេះ ការបែងចែករវាងគណនីគ្រប់គ្រងដែលមានសិទ្ធិខ្ពស់ និងគណនីប្រើប្រាស់ធម្មតាមានសារៈសំខាន់ខ្លាំង។ ស្ថាប័នគួរអនុវត្តគោលការណ៍ផ្ដល់សិទ្ធិអប្បបរមា (principle of least privilege) ដោយធានាថាបុគ្គលិកមានសិទ្ធិចូលប្រើប្រាស់ត្រឹមធនធានដែលគេត្រូវការដើម្បីអនុវត្តមុខងាររបស់ពួកគេប៉ុណ្ណោះ។ ស្ថាប័នក៏គួរត្រួតពិនិត្យនិងធ្វើសវនកម្មលើសិទ្ធិចូលប្រើរបស់បុគ្គលិកជាប្រចាំ ដោយដកហូតសិទ្ធិដែលមិនចាំបាច់ឱ្យបានកាន់តែលឿនកាន់តែប្រសើរ។
ច.សន្តិសុខសាយប័រគឺជាការងារក្រុម
សន្តិសុខសាយប័រគឺជាការងារក្រុម មិនថាយន្តការការពារផ្នែកបច្ចេកទេសរបស់ស្ថាប័នរឹងមាំប៉ុណ្ណានោះទេ ធនធានមនុស្សក្នុងស្ថាប័ននៅជាខ្សែការពារទីមួយ ហើយជាចំណុចខ្សោយបំផុតក្នុងស្ថាប័ន។ តាមរយៈការស្វែងយល់អំពីការធ្វេសប្រហែសដែលកើតមានឡើងញឹកញាប់បំផុត និងការអនុវត្តគោលនយោបាយ និងការកសាងសមត្ថភាពដែលមានលក្ខណៈបត់បែន ស្ថាប័នអាចកែប្រែធនធានមនុស្សពីចំណុចខ្សោយត្រូវទៅជាអ្នកការពារមានតម្លៃនៅក្នុងការប្រយុទ្ធប្រឆាំងនឹងការគំរាមកំហែងសាយប័រ។ លើសពីនេះ ក្នុងការការពារសន្តិសុខសាយប័រស្ថាប័ន ការការពារប្រសើរជាងការព្យាបាល។
២.ឯកសារពាក់ព័ន្ធ
- – https://www.bleepingcomputer.com/news/security/end-user-cybersecurity-errors-that-can-cost- you-millions/
