Bay Computing 13 by Bay Computing

ไทยแอรเอเชีย

เผยวิสัยทัศนการลงทุนระบบ RSA SIEM และ VMware เชื่อมั่นบริการจาก เบย คอมพิวติ้ง P. 06

นิตยสาร เบย คอมพิวติ้ง ฉบับที่ 13 ป 2555

โซลูชั่นที่ตอบโจทยสำหรับทุกองคกรในทุกวิกฤติการณ คุณจึงมั่นใจไดวา ไมวาจะอยูที่ไหนคุณก็สามารถจัดการกับเครือขายไรสาย ในสาขาตางๆ ขององคกรไดจากทุกที่ ขณะที่ยังคงความปลอดภัยไว ในระดับสูงไดเชนเดิม

Bay Newsletter_issue 13-1.indd 1

3/28/2012 3:24:24 PM

EDITOR’S NOTE & CONTENTS

สวัสดีปมังกรทองทุกทานคะ Bay’s Newsletter กลับมาพรอมกับโซลูชั่นที่ชวย ตอบโจทยสำหรับองคกรทีป่ ระสบปญหาอุทกภัยในชวงปลายปทผี่ า นมา ภายใตชอื่ “Work at Home” ที่มาในคอนเซ็ปตอยูที่ไหนก็สามารถทำงานได แตเรื่องความ ปลอดภัยเรายังคงไวในระดับสูงเชนเดิม ฉบับนี้เรายังมีโซลูชั่น Endpoint Management and Security Suite เพื่อชวยในการบริหาร จัดการเครื่องปลายทางภายใตคอนโซลเดียว เพื่อความสะดวกและลดตนทุนดานการบริหาร จัดการ นอกจากนี้เรายังมีภาคจบของ PCI-DSS ตอทายดวย Cisco Unified Computing System (UCS) เพื่อเปนประโยชนกับลูกคาที่มีระบบดาตาเซ็นเตอร แลวกลับมาพบกันใหม ในฉบับหนานะคะ นิดา ตั้งวงศศิริ, ผูจัดการทั่วไป

CONTENTS

02 03 05 06

EDITOR's NOTE & CONTENTS NEWS UPDATE Work @ Home Solution SUCCESS STORY

ä·ÂáÍÃ àÍàªÕÂ à¼ÂÇÔÊÑÂ·ÑÈ¹ ¡ÒÃÅ§·Ø¹ÃÐºº RSA SIEM áÅÐ VMware àª×èÍÁÑè¹ºÃÔ¡ÒÃ¨Ò¡ àºÂ ¤ÍÁ¾ÔÇμÔé§

09 SOLUTION UPDATE PCI-DSS Solutions μÍ¹·Õè 3

12 SonicWALL Tops the NSS Chart 13 NETWITNESS 14 ISMS STANDARD àÊÃÔÁÁÒμÃ¡ÒÃ¤ÇÒÁ»ÅÍ´ÀÑÂäÍ·Õ´ŒÇÂ ISO 27001:2005 μÍ¹·Õè 11 “Annex A” (μÍ¹¨º)

16 Endpoint Management and Security Suite 2

Bay Computing Newsletter l 13th Issue

Bay Newsletter_issue 13-1.indd 2

3/28/2012 3:24:33 PM

NEWS UPDATE

National Cyber Security Conference 2011

เมื่อวันที่ 18-19 สิงหาคมที่ผานมา บริษัท เบย คอมพิวติ้ง และ RSA เขารวมออกบูธในงานสัมมนาวิชาการดานการรักษาความ ปลอดภัยไซเบอรแหงชาติ (National Cyber Security Conference 2011) ณ สโมสรทหารบก ถนนวิภาวดีรังสิต โดยวัตถุประสงค ของงานจั ด ขึ้ น เพื่ อ กระตุ น ให เ กิ ด ความตื่ น ตั ว กั บ ภั ย คุ ก คามที่ มาจากไซเบอรและเสริมสรางเครือขาย ทำใหเกิดความรวมมือ ระหวางหนวยงานภาครัฐและภาคเอกชนในการปองกันภัยคุกคาม ที่มาจากไซเบอร โดยเราไดนำโซลูชั่นใหม RSA Netwitness Network Forensics ทีช่ ว ยสืบคนและพิสจู นเครือ่ งมือทีม่ ภี ยั คุกคาม จากไซเบอรไดอยางดีเยี่ยม

เบยรวมออกบูธงาน Digital Forensics

เมื่ อ วั น ที่ 1 กั น ยายน 2554 ที่ ผ า นมา บริ ษั ท เบย คอมพิวติ้ง และ RSA รวมออกบูธงานสัมมนาทางวิชาการดาน Digital Forensics ประจำป 2554 ณ หองแกรนด บอลรูม ชั้น 4 โรงแรมแกรนด มิลเลนเนี่ยม สุขุมวิท ซึ่งงานนี้จัดขึ้นโดย DSI (กรมสอบสวนคดีพิเศษ) เปนการเสวนาเรื่อง “เทคโนโลยีกับการ จั ด เก็ บ รวบรวม และตรวจพิ สู จ น พ ยานหลั ก ฐานดิ จิ ต อลของ ภาคเอกชน” ทั้งนี้ บริษัท เบย คอมพิวติ้ง ยังไดนำเสนอโซลูชั่น “Netwitness - Network Forensics” ซึ่งเปนผลิตภัณฑใหมของ ทาง RSA เพื่อใหขอมูลที่เปนประโยชนแกผูมารวมงาน

2011

18-19 August

September

2011

September

December

27-28

2nd Annual Regional Collaboration in Cyber Security Conference

เมื่อวันที่ 27-28 กันยายนที่ผานมา Bay และ RSA รวมออกบูธ ในงาน “2nd Annual Regional Collaboration in Cyber Security Conference Bangkok Thailand 2011” ณ หองแกรนด บอลรูม โรงแรมแชงกรีลา จัดขึน้ โดย National Defense University ภายในงาน เปนการสัมมนาเพือ่ ใหความรูแ ละแลกเปลีย่ นความคิดเห็น ในหัวขอ ที่กำลังเปนที่นาสนใจ เชน International Cybersecurity and Cyber Terrorism, The state of Regional Cyber Security and Cybersecurity from an Operational Perspective เปนตน นอกจากนี้ บริษทั เบย คอมพิวติง้ ไดนำโซลูชน่ั ของ RSA ไปนำเสนอ และใหความรูเพิ่มเติมแกผูเขารวมงานสัมมนาดวย

Exclusive Golf Challenge

เมื่อวันที่ 27 ธันวาคมที่ผานมา บริษัท เบย คอมพิวติ้ง รวมกับ RSA และ M.Tech ไดจัดกิจกรรมการแขงขันกอลฟ เพื่อ เปนการสรางความสัมพันธและตอบแทนกลุม ลูกคา ณ สนามกอลฟ ริเวอรเดล กอลฟคลับ (ปทุมธานี) ภายใตชื่องาน “Exclusive Golf Challenge 2011” โดยมีผูสนใจเขารวมงานอยางหนาตา ทั้งนี้ นอกจากจะมีการแขงขันกอลฟในชวงเชาแลว งานเลี้ยงสังสรรค ในชวงเย็นยังไดรับเกียรติจาก โปรเชาวรัตน เขมรัตน มาชวยสอน เทคนิ ค ต า งๆ ให กั บ ลู ก ค า ที่ ส นใจจะปรึ ก ษาการเล น กอล ฟ ซึ่ ง ภายในงานดำเนินไปอยางอบอุนและเปนกันเอง

Bay Computing Newsletter l 13th Issue Bay Newsletter_issue 13-1.indd 3

3 3/28/2012 3:25:28 PM

NEWS UPDATE

2011

October

บ.เบยฯ รวมบริจาคสิ่งของ แกผูประสบภัยน้ำทวม

อันเนื่องจากวิกฤติการณอุทกภัยครั้งใหญที่ผานมา สงผลกระทบ ตอทุกหนวยงานทั้งภาครัฐ ภาคเอกชน รวมถึงประชาชนมากกวา 27 จั ง หวั ด ทั่ ว ประเทศ ทำให มี ผู ป ระสบภั ย จากอุ ท กภั ย ครั้ ง นี้ เปนจำนวนมาก บริษัท เบย คอมพิวติ้ง จึงรวมบริจาคเงิน เพื่อ นำไปซื้ อ สิ่ ง ของอุ ป โภคบริ โ ภคที่ เ ป น ประโยชน แ ก ผู ป ระสบภั ย โดยไดนำสิ่งของทั้งหมดไปบริจาคใหที่ศูนยผูพักพิงผูประสบภัย ณ มหาวิทยาลัยธรรมศาสตร ศูนยรังสิต เมื่อวันที่ 10 ตุลาคม 2554 บริษัท เบย คอมพิวติ้งขอรวมสงกำลังใจใหผูประสบภัย ทุกทาน และขอเปนกำลังใจในการสูตอไปดวยกัน

งานเลี้ยงปใหมบริษัท

ราอะเวย

บริ ษั ท เบย คอมพิ ว ติ้ ง จำกั ด ได ต ระหนั ก ถึ ง ผลกระทบความเสียหายที่เกิดจากวิกฤติการณน้ำทวมในป 2554 ทีผ่ า นมา ดังนัน้ ทางบริษทั จึงไดตดิ ตอกับทางมหาวิทยาลัย เทคโนโลยี พ ระจอมเกล า ธนบุ รี เ พื่ อ ขอรั บ สู ต รน้ ำ ยากำจั ด เชื้อรา ”ราอะเวย” เพื่อนำมาผสมและนำไปแจกจายใหกับ ลู ก ค า ของบริ ษั ท รวมทั้ ง พนั ก งานที่ ไ ด รั บ ผลกระทบจาก เหตุการณในครั้งนี้ น้ำยาราอะเวยตัวนี้มีคุณสมบัติชวยขจัด เชื้อราที่เกิดจากความอับชื้น และยังชวยปองกันเชื้อราไมให กลับมาไดอีกครั้ง

2012

January

February

บริษัท เบย คอมพิวติ้ง จำกัด ไดจัดงานเลี้ยงปใหมประจำป 2555 เพื่อใหพนักงานไดรวมสังสรรคและเสริมสรางกำลังใจใหกับ พนักงานทุกคน ในชวงวิกฤติการณที่ผานมา ซึ่งงานนี้จัดขึ้นเมื่อวันที่ 20 มกราคม 2555 โดยกิจกรรมในชวงเชาไดจัดขึ้นที่ “Star Sport Arena” เปนการแขงขันแบดมินตันกระชับมิตร สวนงานเลี้ยงในชวง เย็นจัด ณ Buddy Oriental Riverside Pakkred ภายใตธมี งาน “Colorful Night Party 2012” ซึ่งภายในงานพนักงานทุกคนไดรวมกันแตงกาย ตามคอนเซ็ปตงาน อีกทั้งยังมีเซอรไพรสโชวจากพนักงานในแตละ แผนก เพือ่ เปนการสรางสีสนั ของงานใหสนุกสนานและอบอุน เปนกันเอง มากยิ่งขึ้น

เบยฯ ไดรับรางวัลกับทาง EMC

เมื่อวันที่ 21 กุมภาพันธ ที่ผานมา บริษัท เบย คอมพิวติ้ง เขารวมงาน “The EMC Partner All Hands 2012” ซึ่งจัดขึ้นที่โรงแรมคอนราด กรุงเทพฯ ในงานนี้ นอกจากจะเปนการขอบคุณพารตเนอรแลว ทาง EMC ยั ง ได ม อบราวั ล “EMC Solution Focus Partner of the year 2012 - RSA Award” ให บริษทั เบย คอมพิวติง้ จำกัด อีกดวย

Bay Computing Newsletter l 13th Issue

Bay Newsletter_issue 13-1.indd 4

3/28/2012 3:25:29 PM

Work @ Home Solution โซลูชั่นที่ตอบโจทยสำหรับ ทุกองคกรในทุกวิกฤติการณ

Aruba Remote Networking สามารถตอบสนองความตองการใชงานไดอยาง หลากหลาย นับตั้งแตการจัดการเครือขายไรสาย (WLAN) ภายในสาขาตางๆ ได จากศูนยกลาง โดยจัดการสาขาที่อยูหางไกล (Remote Sites) ไดนับรอยสาขา หรือจะเปนการติดตั้งเครือขาย Wi-Fi อิสระขนาดยอมที่ใชเวลาเพียงไมกี่นาที ไปจนถึงการจัดเตรียมซอฟตแวร VPN ทีช่ าญฉลาดสำหรับอุปกรณพกพา (mobile devices) ตางๆ ไมวา คุณจะเลือกใชงานในรูปแบบใด คุณก็สามารถเชือ่ มตอกับทรัพยากรของเครือขาย ภายในองคกรไดอยางงายดาย โดยขอความชวยเหลือเพียงเล็กนอยหรือไมตอง ขอความชวยเหลือจากฝายไอทีใหเขามาดูแลถึงออฟฟศแบบ On-site เลย และการ เชื่อมตอของคุณยังมาพรอมความปลอดภัย เนื่องจาก Aruba ไดจัดเตรียมระบบ ตรวจสอบตัวตน (authentication) ที่เขมแข็ง, มีการเขารหัสขอมูลในระดับเดียวกับ ที่ใชเขารหัสขอมูลทางทหาร และมีการปองกันภัยคุกคามที่มาจากระบบไรสายดวย ในกรณีทส่ี าขาปลายทางตองการเชือ่ มตอกลับมายังศูนยกลางแตไมมรี ะบบเครือขายที่ จะเชือ่ มตอกลับมานัน้ Aruba มีอปุ กรณทท่ี ำใหมรี ะบบเครือขายเชือ่ มตอผานเครือขาย 3G ได โดยรองรับผูใ หบริการทุกคาย ทำใหการใชงานงาย สะดวก เหมาะกับผูใ ชงาน ทีต่ อ งการทำงานไดจากทุกๆ สถานทีท่ สี่ ามารถเชือ่ มตอกับระบบโทรศัพทเคลือ่ นทีไ่ ด สิ่งที่ทำให Remote Networking ของ Aruba มีความแตกตางจากผลิตภัณฑอื่นๆ อาจจะอยูที่ความฉลาดในการเรียนรูสภาพแวดลอมทางเครือขายของตัวมันเอง เนื่องจากสามารถใหบริการผูใชงานที่อยูไกลออกไป (remote workers) ไดอยางมี เสถียรภาพ ควบคุมการแอ็กเซสเขาใชงานทรัพยากรของเครือขายไดอยางปลอดภัย โดยพิจารณาดูวา ผูใ ชคอื ใครเปนหลัก ไมวา จะอยูท ไ่ี หน ใชอปุ กรณอะไร มีแอพพลิเคชัน่ ตัวไหนอยู และเชื่อมตอเขามาในรูปแบบใดก็ตาม

Bay Newsletter_issue 13-1.indd 5

3/28/2012 3:25:31 PM

SUCCESS STORY ไทยแอรเอเชีย นับเปนสายการบินราคา ประหยั ด รายแรกๆ ที่ เ ป ด ให บ ริ ก าร ในประเทศไทย โดยเปดใหบริการตั้งแตวันที่ 3 กุมภาพันธ 2547 ดวยสโลแกน “Everyone Can Fly” ที่ทำใหการเดินทางทางอากาศ ไมใช เรื่องที่ไกลตัวของคนไทยอีกตอไป โดยทุกวันนี้ ไทยแอรเอเชียมีเสนทางการบินภายในประเทศ 11 เส น ทาง นอกจากนี้ ยั ง มี เ ส น ทางการบิ น ไปยังตางประเทศดวย ซึ่งตลอดระยะเวลา 8 ป ที่ ผ า นมา ไทยแอร เ อเชี ย มี ก ารเติ บ โตอย า ง กาวกระโดด จากพนักงาน 200 คน จนถึงทุกวันนี้ มีมากกวา 2,000 คน และมีจำนวนผูโดยสาร สะสมที่เดินทางกับไทยแอรเอเชียตั้งแตปแรก จนถึงปนม้ี ากกวา 30 ลานคน ทำใหความทาทาย ในการดำเนินธุรกิจของไทยแอรเอเชียอยูท ่ี “การ แขงขันกับตัวเอง” เพื่อปรับปรุงบริการใหดีขึ้น ลูกคาประทับใจมากขึ้น ในขณะเดียวกัน ก็ตอง รักษาตนทุนใหอยูบนพื้นฐานธุรกิจสายการบิน ราคาประหยัดดวย ซึง่ รวมถึงการลงทุนดานไอที ที่ไทยแอรเอเชียคอนขางใหความสำคัญและ มีการพัฒนาระบบไอทีมาอยางตอเนื่อง

ไทยแอร เ อเชี ย เผยวิสัยทัศนการลงทุนระบบ RSA SIEM

และ VMware เชื่อมั่นบริการจาก เบย คอมพิวติ้ง วิสัยทัศนการลงทุนดานไอที

คุ ณ พิ พั ฒ น คุ ณ ประคั ล ภ ผู จั ด การฝ า ย IT บริ ษั ท ไทยแอรเอเชีย จำกัด เปดเผยถึงวิสัยทัศนการลงทุนของ ไทยแอรเอเชียวา “เนือ่ งจาก ไทยแอรเอเชีย เปนสายการบิน ราคาประหยัด ดังนั้น นโยบายการลงทุนทุกอยางของเรา จึงตระหนักถึงเรือ่ งของราคา (Cost Conscious) คอนขาง ชัดเจน คือ เราจะดูวาตนทุนที่เราใชคุมคาหรือไม แต ไมไดหมายความวาเราตองซื้อของที่ราคาถูกเสมอไป หากราคาสมเหตุสมผล บางอยางเราก็กลาที่จะลงทุน ถาสิ่งนั้นสามารถตอบโจทยเราไดในระยะยาว และทำให ลูกคาเกิดความพึงพอใจและมีความสุข”

“สำหรั บ การลงทุ น ด า นไอที เราก็ ล งทุ น บนพื้ น ฐานว า เราเป น สายการบินราคาประหยัดเชนกัน แตเราก็กลาที่จะลงทุนระบบที่ ราคาสูง หากเทคโนโลยีนั้นตอบโจทยผูใชบริการดานไอทีของเรา ทั้งลูกคาที่เปนบุคคลภายนอกและพนักงานภายใน โดยการลงทุน ของที่นี่ เราจะพยายามนำเทคโนโลยีที่จับตองไดและงายตอการ ใช ง านของคนส ว นใหญ เอามาประยุ ก ต ใ ช กั บ องค ก รของเรา ใหมากทีส่ ดุ นอกจากนีย้ งั เนนการลงทุนระบบทีช่ ว ยลดความซับซอน ในการบริหารจัดการ เนื่องจากที่นี่เมื่อเทียบอัตราสวนพนักงาน ทั้งหมดที่มีกวา 2,000 คน กับพนักงานไอทีที่มีเพียง 13 คนแลว ถือวาต่ำมาก เราจึงพยายามนำเทคโนโลยีเขามาใชใหมากที่สุด ขณะที่ตองควบคุมตนทุนใหคุมคาที่สุด”

Bay Computing Newsletter l 13th Issue

Bay Newsletter_issue 13-1.indd 6

3/28/2012 3:25:32 PM

SUCCESS STORY

¤Ø³¾Ô¾Ñ²¹ ¤Ø³»ÃÐ¤ÑÅÀ ¼ÙŒ¨Ñ´¡ÒÃ½†ÒÂ IT ºÃÔÉÑ· ä·ÂáÍÃ àÍàªÕÂ ¨Ó¡Ñ´

ตอบสนองความตองการใชงานของไทยแอรเอเชีย ไดอยางครอบคลุม และบริษัท เบย คอมพิวติ้ง จำกัด ก็มีบริการหลังการขายที่ดีและยืดหยุน ใหกับบริษัทฯ อีกดวย

“เรามองว า เราไม มี คู แ ข ง ทางการค า เรามี แ ต คู ค า ที่ เ ราจะทำ การคาดวย ดังนั้น สิ่งที่ทาทายที่สุดของเราก็คือ การแขงขันกับ ตัวเอง วาจะสามารถรักษาตนทุน เพือ่ มอบบริการในราคาประหยัด ใหกับผูโดยสารไดอยางไร ในขณะเดียวกันเรื่องความปลอดภัย ทั้งหลายและการใหบริการของเราก็ตองดีเหมือนเดิม นี่คือสิ่งที่ ทาทายสำหรับเรามากกวา”

เลือกที่ความคุมคา

นอกเหนือไปจากระบบหลักที่เปนระบบจองตั๋วผานทางเว็บไซต (Reservation System) ซึ่งไทยแอรเอเชียใชบริการเอาตซอรส แบบ SaaS (Software as a Service), ระบบบัญชี (Accounting System) ที่ไทยแอรเอเชียเปน SSC (share service center) ซึ่ง รับทำบัญชีใหกับกลุมแอรเอเชียทั้งหมด และระบบมอนิเตอรตางๆ ทางไทยแอรเอเชียยังไดลงทุนระบบ RSA SIEM และ VMware เพิ่มเติม เพื่อเพิ่มประสิทธิภาพในการทำงานและการใหบริการ โดยระบบทั้งสองนี้ทางไทยแอรเอเชียเลือกใชโซลูชั่นที่นำเสนอโดย บริษัท เบย คอมพิวติ้ง จำกัด เนื่องจากผลิตภัณฑทั้งสองสามารถ

คุณพิพัฒน อธิบายถึงการตัดสินใจเลือกระบบ RSA SIEM และ VMware วา “ในการลงทุน ระบบ Log Management นั้น เราไมไดซื้อมา เพื่อที่จะ comply ตาม พ.ร.บ. คอมพิวเตอร ป 2550 เทานัน้ แตเราตองการไดประโยชนมากยิง่ ขึน้ คือ นอกจาก การเก็บ Log แลว ตอนนีเ้ รายังนำขอมูล Log มาวิเคราะหพฤติกรรม ในลักษณะเชิงรุก เพื่อปองกันความเสี่ยงจาก Fraud ที่จะเกิดขึ้น ในอนาคตในระบบของธุ ร กิ จ สายการบิ น ซึ่ ง เป น ธุ ร กิ จ ที่ มี ก าร รับเงินลวงหนา ทำใหเราสามารถจัดการปองกันหรือแกไขปญหา ไดทันทวงที หากมีเหตุการณ (event) แปลกๆ เกิดขึ้น และเหตุผล ที่เลือกแบรนด RSA ก็เนื่องจากเปน Hardware Appliance ที่ ตอบโจทย ค วามต อ งการของเราได ค รบในอุ ป กรณ ชิ้ น เดี ย วจบ และบริหารจัดการไดงาย” “สวนระบบ VMware เรานำมาใชรองรับในสวนของระบบบัญชีที่ เปนแบ็กออฟฟศ และในสวนของสตอเรจ เนื่องจากไทยแอรเอเชีย มี ก ารเติ บ โตของจำนวนพนั ก งานแบบก า วกระโดด และการที่ ไทยแอรเอเชียเปน share service center ในการทำระบบบัญชี ของแอรเอเชียทัง้ หมด นอกจากนีเ้ รายังมีระบบทีเ่ ปน e-Document อยูในเซิรฟเวอรหลายระบบ ทำใหสตอเรจของเราโตเร็วมาก เราจึง มีแผนทีจ่ ะขยายสตอเรจใหใหญขน้ึ ในป 2555 การนำระบบ VMware Bay Computing Newsletter l 13th Issue

Bay Newsletter_issue 13-1.indd 7

7 3/28/2012 3:25:34 PM

SUCCESS STORY มาใช จะชวยใหเราสามารถจัดการระบบของเราไดอยางยืดหยุน และแทนที่จะตองสั่งซื้อฮารดแวรเพื่อเซตอัพเซิรฟเวอรทั้งหลาย VMware จะชวยใหเราสามารถเซตอัพระบบทั้งหลายไดภายใน ระยะเวลาอันสั้น โดยไมตองมาทำเรื่องจัดซื้อใหม” คุณพิพัฒน กลาวเพิ่มเติม สำหรับผลลัพธที่ไดหลังจากนำระบบ VMware มาใช คุณพิพัฒน เลาวา “ในแงของผูใช เคาสามารถดึงขอมูลจากสตอเรจไดเร็วขึ้น เปดไฟลไดเร็วขึน้ สามารถจัดการงานของเคาไดดขี น้ึ ทางฝง พนักงาน ไอที สิง่ ทีเ่ ราไดรบั ประโยชนคอ นขางมาก คือ เรือ่ งการบริหารจัดการ ระบบเหลานี้ จะงายขึ้นมาก สามารถจัดการผานหนาจอคอนโซล ที่เดียว ไมตองแอ็กเซสเขาไปจัดการทีละเครื่องเหมือนสมัยกอน และทีท่ มี ซิสเต็มสชอบมากคือ การทีเ่ ราสามารถเซตอัพและจัดการ เครื่องเซิรฟเวอรใหมจำนวนมากไดคอนขางเร็วแคไมกี่นาที เมื่อ เทียบกับการเซตอัพเซิรฟเวอรจริงที่ตองใชเวลาสั่งซื้อและเซตอัพ หลายวัน”

บริการสุดประทับใจ

สำหรับการตัดสินใจเลือกบริษัท เบย คอมพิวติ้ง จำกัด ใหมา รับผิดชอบการอิมพลีเมนตและดูแลระบบทั้งสองนั้น คุณพิพัฒน ให เ หตุ ผ ลว า “เรามองว า เบย คอมพิ ว ติ้ ง ไม ใ ช ผู ข าย แต เ ป น พารตเนอรทางธุรกิจของเรา ซึ่งเหตุผลที่เราเลือกเบย คอมพิวติ้ง ก็เพราะ เบย คอมพิวติง้ มีบริการหลังการขายทีด่ แี ละมีความยืดหยุน ในการใหบริการกับเราพอสมควร รวมถึงมีการเขามาพูดคุยให คำปรึกษาหรืออัพเดตเทคโนโลยีใหมๆ เปนประจำทุกป ซึ่งเปน ขอมูลทีช่ ว ยในการวางแผนการลงทุนดานไอทีของเราในปถดั ๆ ไป” คุณพิพัฒนกลาวเสริมอีกวา “ในกรณีที่เราตองการความชวยเหลือ อยางดวนพิเศษ ทางเบย คอมพิวติ้ง ก็สามารถใหเราไดทันทวงที

อยางการอิมพลีเมนตระบบ VMware เรามีขอจำกัดเนื่องจากวา เซิ ร ฟ เวอร ข องเรามี ก ารใช ง านถึ ง ขี ด จำกั ด แล ว เราจำเป น ต อ ง เซตอัพระบบใหไดในระยะเวลาอันสัน้ ทางเบย คอมพิวติง้ ก็สามารถ ชวยเหลือเราในสวนนี้ไดเปนอยางดี สามารถอิมพลีเมนตระบบได ในระยะเวลาที่เรากำหนด รวมถึงสามารถไมเกรตระบบเกาไดโดย ไมสงผลกระทบกับผูใชปกติดวย ทำใหเราพอใจกับบริการที่ไดรับ จากเบย คอมพิวติ้ง”

กาวตอไปที่ไมหยุดยั้ง

คุณพิพฒ ั นกลาวถึงทิศทางการพัฒนาระบบไอทีของไทยแอรเอเชีย ในอนาคตวา “เรามีการพัฒนาบริการและระบบไอทีอยางตอเนื่อง จากเดิมทีเ่ ราเชาเครือ่ งบินโบอิง้ 737 ทีใ่ ชแลว (Used) มาใหบริการ แตตั้งแตป 2554 เราสามารถคอนเฟรมไดแลววา ตอนนี้เราเปน New Fleet ดังสโลแกน ‘เครื่องใหม ใครๆ ก็บินได’ โดยเราเปลี่ยน จากเครื่องโบอิ้งทั้งหมดเปนแอรบัส A320 ทั้งหมด ซึ่งมีประมาณ 21 ลำ ที่ใหบริการในปจจุบัน” “สำหรับการพัฒนาดานไอที เรามีแผนที่จะซื้อฟเจอรบางตัวของ VMware เพิม่ เพือ่ ใหจดั การระบบงายขึน้ และครอบคลุมทุกฟเจอร ที่เราตองการ เนื่องจากหลังจากที่เราใชแลว เราเห็นถึงประโยชน ของระบบดั ง กล า วว า สามารถตอบโจทย ทั้ ง ในส ว นของการ ใหบริการเอ็นดยูสเซอร และตอบโจทยในสวนของทางฝายไอทีเอง นอกจากนี้เรายังมีแผนที่จะศึกษาและลงทุนระบบไอทีดานอื่นๆ เพิ่มเติม ไมวาจะเปนระบบซีเคียวริตี้ การทำ DR site เอง และ ระบบคลาวด ซึง่ ในป 2555 เราจะเริม่ มีโปรเจ็กตเล็กๆ ทยอยออกมา บางสวน โดยตอนแรกจะเปนพวกสตอเรจ แลวเปนพวกไฟลแชริ่ง และพวกออฟฟศ เนื่องจากทุกวันนี้เราซื้อไลเซนสออฟฟศคอนขาง เยอะ ทั้งยังมีแผนที่จะนำระบบที่เปน Self-Services มาใชงาน มากขึน้ นอกเหนือจากเว็บเช็กอิน ไมวา จะเปนโมบายบุก กิง้ โมบาย เช็ ก อิ น คี อ อสเช็ ก อิ น เพื่ อ อำนวยความสะดวกให กั บ ผูโ ดยสาร และลดจำนวนพนักงานทีห่ นาเคานเตอรเช็กอิน ไมใหโตตามอัตราสวนของเสนทางการบินทีเ่ ราจะมีมากขึน้ ” “โจทยของเราคือ ถาสิ่งใดที่จะทำใหลูกคาเกิดความ พึ ง พอใจและมี ค วามสุ ข เราก็ จ ะพยายามลงทุ น ในสวนนั้นใหมากขึ้น ไมวาเทคโนโลยีนั้นจะชวยได มากนอยแคไหนก็ตาม เพราะลูกคาคือคนสำคัญ ของเรา” คุณพิพฒ ั นกลาวทิง้ ทายถึงความตัง้ ใจในการ พัฒนาระบบ รวมถึงการพยายามเลือกผลิตภัณฑ และผูว างระบบทีค่ มุ คาทีส่ ดุ เพือ่ มอบบริการทีด่ ยี งิ่ ๆ ขึ้นไปใหกับลูกคาอยางไมหยุดยั้ง

Bay Computing Newsletter l 13th Issue

Bay Newsletter_issue 13-1.indd 8

3/28/2012 3:25:38 PM

SOLUTION UPDATE

PCI-DSS Solution

ตอนที่ 3

โดย อวิรุทธ เลี้ยงศิริ, Technology Director, บริษัท เบย คอมพิวติ้ง จำกัด

โซลูชั่นของมาตรฐาน PCI-DSS

PCI-DSS v 2.0 มาตรฐานในการรักษา ความปลอดภัยธุรกรรมอิเล็กทรอนิกส PCI-DSS คือ มาตรฐานเกี่ยวกับการรักษา ความปลอดภัย กำหนดโดย PCI-SSC ซึ่ง ครอบคลุมการปกปองขอมูลทีม่ คี วามสำคัญ (Sensitive Data) โดยกำหนดตัวควบคุม สำหรับการบริหารจัดการการรักษาความ ปลอดภัย, นโยบายการใชงานขอมูล, ขัน้ ตอน กระบวนการ, สถาปตยกรรมระบบเครือขาย, การออกแบบซอฟตแวร และอืน่ ๆ เพือ่ ปกปอง ขอมูลสำคัญของผูถอื บัตร นอกจากนี้ PCI-DSS บังคับใชกบั ผูเ กีย่ วของ ทั้งหมดในวงจร การออกบัตร ประมวลผล และสถาบันการเงิน รวมถึงรานคาผูรับบัตร ซึ่งตองถูกรับรองโดยหนวยงานผูตรวจสอบ ทีไ่ ดรบั การรับรองจาก PCI แลว โดยมาตรฐาน บังคับใหผูเกี่ยวของตองปฏิบัติตาม และ หากไมปฏิบตั ติ ามอาจถูกระงับการใหบริการ รวมถึงหากเกิดเหตุขอมูลรั่วไหล ความผิด ตางๆ รวมถึงคาใชจายและความเสียหาย ทีเ่ กิดขึน้ ทัง้ หมด จะตกเปนของผูท ไ่ี มปฏิบตั ิ ตามมาตรฐานนี้แตเพียงผูเดียว แกนหลั ก ของ PCI-DSS คื อ Principle ซึ่งเกิดจากการรวมกันของ Requirement ต า งๆ โดยแบ ง เป น 6 Principle รวม 12 Requirement โดยในตอนที่ 3 นี้ จ ะ กล า วถึ ง โซลู ชั่ น เพื่ อ ตอบโจทย ใ นแต ล ะ Requirement

What are your current areas of non-compliance? Lack of appropriate access management (i.e., access control, identity management, physical security)

38% 31%

Lack of appropriate monitoring and testing (i.e., tracking, monitoring, testing systems and processes)

27% 28%

Lack of appropriate infrastructure management (i.e., AV, firewalls, System hardening) Lack of credit card data protection controls (i.e., discovery, disposal, masking, encryption, key management)

22% 22% 9% 8% 7%

Poor security policy (i.e., policies, awareness, etc.) 0% Other 1% 1%

42% 38% 41%

27%

Level 1 Level 2 Level 3 (pre-Level 2)

Base: 677 IT security decision makers directly or indirectly involved in protecting credit card data within their organizations Source: PCI Custom Study, Forrester Consulting, July 2007

จะพบวาปญหาสวนใหญ อยูใ นพืน้ ทีข่ องการ บริหารจัดการสิทธิ์ (Access Management) โดยเฉพาะในองคกรขนาดใหญ (Level 1) ซึง่ องคกรทีไ่ มมรี ะบบ Identity Management จะมี สิ ท ธิ์ เ กิ ด ป ญ หาในขณะตรวจสอบ (Audit) ตามมาตรฐาน PCI-DSS คอนขาง มาก รองลงมาคื อ พื้ น ที่ ใ นส ว นของการ มอนิเตอรและการทดสอบ (Monitoring and Testing)

ขั้นตอนการเตรียมตัวเพื่อ ตรวจสอบตามมาตรฐาน PCI-DSS ประกอบดวย 3 ขั้นตอนหลัก คือ

Discovering Cardholder Assets สถานะทั่ ว ไปของผู ใ ห บ ริ ก าร (Service เปนขัน้ ตอนทีอ่ งคกรจะตองคนหาวา ขอมูล Provider) หรือผูค า (Merchant) จากการศึกษา ของผูถ อื บัตร มีความเกีย่ วของกับระบบงาน ในป 2007 ของ PCI-SSC และสำนักวิจัย ใดบางภายในองคกร เพื่อทำ Inventory ฟอรเรสเตอร เปนดังภาพตอไปนี้ สำหรับการเตรียมพรอมในขั้นตอนตอไป

หรือเรียกวาเปนการทำ Scoping เบื้องตน โดยควรมีรายละเอียดวาระบบงานใด เกีย่ วของ มากนอยเพียงใด เชน แคประมวลผล มีการ จั ด เก็ บ เลขที่ ห รื อ ข อ มู ล ส ว นบุ ค คลของ ผูถ อื บัตรหรือไม มีระบบรักษาความปลอดภัย อะไรแลวบาง เปนตน Identify Compliance Gap เปนขั้นตอนที่องคกรจะตองประเมินความ พรอม และหาความแตกตาง (Gap) ระหวาง ระบบปจจุบันและมาตรฐานที่ PCI-DSS กำหนด ซึง่ ขัน้ ตอนนีส้ ามารถทำไดหลายวิธี เชน หากเปนองคกรใหญ ควรจัดจางทีป่ รึกษา (Consult) ที่มีความชำนาญ หากเปนไปได ควรสามารถรับรองหรือมีใบอนุญาต QSA ที่ ไ ด รั บ การรั บ รองจาก PCI-SSC ซึ่ ง จะ สามารถช ว ยในการหา Gap ได อ ย า งมี ประสิ ท ธิ ภ าพมากกว า หรื อ ในกรณี เ ป น องคกรขนาดเล็ก สามารถดาวนโหลด SAQ (Self-Assessment Questionnaire) ซึง่ เปน Bay Computing Newsletter l 13th Issue

Bay Newsletter_issue 13-1.indd 9

51% 47%

9 3/28/2012 3:25:39 PM

SOLUTION UPDATE คำถามมาตรฐาน โดยแนะนำให เ ลื อ ก ประเภทของ SAQ ที่ถูกตอง (มี 4 ประเภท คือ A, B, C, D) โดยแนะนำใหใชประเภท D (226 คำถาม) เพื่อใหครอบคลุม ยกเวน องค ก รเป น Merchant ที่ ไ ม ไ ด ใ ช ร ะบบ อิเล็กทรอนิกส อาจลดประเภทเปน SAQ ประเภท A,B,C ได และเมื่ อ ได Gap Analysis แลวจึงดำเนินการขั้นตอไป ตอบ Requirement 12 โดยการสร า งหรื อ ปรั บ เปลี่ ย น นโยบายรักษาความปลอดภัย (Security Policy) ขององคกร ใหมีหัวขอและเรื่อง เกี่ ย วกั บ การรั ก ษาความปลอดภั ย ข อ มู ล ผูถ อื บัตร และหัวขอทีจ่ ำเปนตาม Requirement ทั้ง 11 ขอที่เหลืออยางครบถวน พรอมทั้ง กำหนดวิธีการตรวจสอบเพื่อใหยืนยันกับ ผูตรวจสอบ (QSA) ไดวา นโยบายไดถูก บังคับใช และยืนยันประสิทธิผลของนโยบาย นั้นๆ ได

เปนขอบังคับทีร่ ะบุใหหลีกเลีย่ งการใชรหัสผาน (Password) ที่เปนคา Default ที่กำหนด มาใหจากโรงงาน หรือผูผลิตกำหนดใหเมื่อ ติดตั้งระบบ ซึ่งมักเปนคาที่รูกันโดยทั่วไป ทำใหผไู มประสงคดสี ามารถเขาถึงระบบได โดยไมตองเดารหัสผาน นอกเหนือจากนี้ คื อ การกำหนดให ร หั ส ผ า นต อ งมี ค วาม ซับซอน (Complexity) เชน มีอักขระพิเศษ ผสมกับตัวอักษรเล็กและใหญ มีความยาว ไมต่ำกวา 8 ตัวอักษร เปลี่ยนทุก 60 วัน และหามใชรหัสผานซ้ำกับทีเ่ คยใชยอ นหลัง 1 ป เปนตน รวมถึงมีการกำหนด Security Configuration ทีอ่ า งอิงจาก Best Practice เชน สถาบัน CIS, NIST และอื่นๆ

ปลอดภัยเพียงพอ เปนตน หรือการเขารหัส สำหรั บ สื่ อ อื่ น ๆ ควรเลื อ กใช ก ารเข า รหั ส มาตรฐาน AES ที่ ค วามยาวกุ ญ แจรหั ส ไมนอยกวา 128bit เปนตน Solution : SSL-VPN, IPSec VPN, WPA2, L2TP, Public Key Infrastructure, Digital Right Management (DRM) เปนตน

Requirement # 5 : Use and regularly update anti-virus ขอบังคับนี้ระบุใหมีการใชซอฟตแวรเพื่อ ปองกันไวรัสอยางเพียงพอ กลาวคือ ควรมี ระบบในการตรวจจับและคัดกรองโปรแกรม ไมพึงประสงคที่ไมเพียงแตแคไวรัสเทานั้น Solution : Security Configuration แตควรรวมถึงโปรแกรมทีอ่ าจสงผลใหขอ มูล Management, Integrity Monitoring, รั่ ว ไหล เช น กลุ ม ของสปายแวร เป น ต น Password Management/ Token/ 2-Factor นอกจากนี้ ต อ งมี ร ายงานและหลั ก ฐาน ทีต่ รวจสอบไดวา มีซอฟตแวรทำงานตลอด Authentication เวลา และมีการอัพเดตใหซอฟตแวรมคี วาม Requirement # 3 : ทันสมัย สามารถตรวจจับภัยคุกคามใหมๆ โซลูชั่นสำหรับตอบแตละ Protect stored cardholder data ไดอยางสม่ำเสมอ ขอบังคับนี้ระบุใหมีการปกปองขอมูลของ Requirement Requirement # 1 : ผู ถื อ บั ต ร ทั้ ง ที่ ป ระมวลผล ส ง ผ า น และ Solution : Anti-virus Management Install and maintain a firewall จัดเก็บไว ใหมกี ารรักษาความปลอดภัยอยาง Console, SIEM, GRC Dashboard เปนตน การมีไฟรวอลลใช และถูกปรับแตง รวมถึง เพียงพอ Requirement # 6 : ตรวจสอบประสิทธิภาพอยางสม่ำเสมอ เปน Requirement ทีส่ ำคัญ เพือ่ ใหองคกรมีการ Solution : File / Folder / Drive Encryption, Develop and Maintain secure systems แบงแยกระบบเครือขายระหวางภายนอก Database Encryption, Data Loss and applications และภายในอยางชัดเจน และแยกเครือขายที่ Prevention (DLP), Database Activity ขอบังคับนี้ระบุใหมีการพัฒนาซอฟตแวร อยางปลอดภัย และปรับปรุงแกไขขอผิดพลาด มีขอมูลผูถือบัตรออกจากเครือขายภายใน Monitoring อยางสม่ำเสมอ ในกรณีใชซอฟตแวรสำเร็จรูป ปกติ พรอมทั้งมีการรักษาความปลอดภัยที่ Requirement # 4 : ต อ งมี ก ารติ ด ตั้ ง แพตช ห รื อ ฮอตฟ ก ซ ที่ เพียงพอ โดยยึดหลัก least to know (รูห รือ เขาถึงไดเฉพาะที่จำเปนจริงๆ เทานั้น) Encrypt transmission of credit card data เกีย่ วของกับความปลอดภัยของระบบอยาง ขอบังคับนี้ระบุใหมีการเขารหัสระหวางการ ทั น ท ว งที และสม่ ำ เสมอ พร อ มทั้ ง มี ก าร Solution : Firewall Configuration สื่อสารขอมูลของผูถือบัตร เพื่อปองกันการ วางแผนตอบรั บ เหตุ ก ารณ ที่ อ าจเกิ ด Management, SIEM, Vulnerability แอบดักจับขอมูล โดยการเขารหัสผานสื่อ ผลกระทบจากป ญ หาของระบบและ Assessment บางประเภท เชน เครือขายไรสาย (Wi-Fi) แอพพลิเคชัน่ ทีเ่ กิดจากการโจมตีผา นเครือขาย ระบุ ถึ ง ประเภทการเข า รหั ส ว า ต อ งเป น ภายนอก โดยเฉพาะเว็บแอพพลิเคชั่น Requirement # 2 : มาตรฐาน WPA v1 หรือ WPA v2 เทานั้น Do not use vendor passwords การใชมาตรฐานเกาแบบ WEP ถือวาไม Solution : Patch Management, Desktop

Bay Computing Newsletter l 13th Issue

Bay Newsletter_issue 13-1.indd 10

3/28/2012 3:25:39 PM

SOLUTION UPDATE Management, Software Lifecycle Management, Software Source-code Scanner, Web Application Firewall, Web Application Vulnerability Scanner เปนตน Requirement # 7 : Restrict access to cardholder data by business need to know ข อ กำหนดนี้ ร ะบุ ใ ห อ งค ก ร มี ก ารบริ ห าร จั ด การสิ ท ธิ์ ใ นการเข า ถึ ง ข อ มู ล ในแต ล ะ ระบบงานอย า งจำกั ด และเฉพาะเท า ที่ จำเปนจริงๆ เทานั้น พรอมสามารถแสดง กระบวนการ หรื อ เอกสารประกอบการ ปฏิบัติงาน หรือหลักฐานที่แสดงใหเห็นวา การเปลี่ยนแปลงตำแหนงหรือการเขาออก ของเจ า หน า ที่ ได ถู ก บั น ทึ ก /ปรั บ ปรุ ง ให ถูกตองอยางสม่ำเสมอ Solution : Identity Management, 2-Factor Authentication, Security Configuration Management, Directory Service Requirement # 8 : Assign a unique ID to each person with computer access ข อ กำหนดนี้ ร ะบุ ใ ห ก ารเข า ถึ ง ระบบ คอมพิวเตอร ไมวาระบบใดๆ ตองมีรหัส ผู ใ ช เ ฉพาะบุ ค คล ไม มี ก ารแบ ง ป น กั น ใช หรือใชงานรวมกันเด็ดขาด ในระบบทีม่ ขี อ มูล ผูถือบัตรเครดิตในระบบ Solution : Identity Management, 2-Factor Authentication, Directory Service, RADIUS เปนตน Requirement # 9 : Restrict physical access to cardholder data ข อ กำหนดนี้ ร ะบุ ใ ห ก ารเข า ถึ ง เครื่ อ งหรื อ ระบบที่ เ ก็ บ ข อ มู ล ผู ถื อ บั ต รทางกายภาพ

ตองถูกควบคุมและปองกันอยางเหมาะสม ทั้งการมีประตู ระบบควบคุมการเขาออก การลงเวลา และกลองวงจรปด (CCTV) รวมถึงกระบวนการในการจัดเก็บ ใชงาน และทำลาย ของสือ่ ขอมูล (Media) ทีม่ ขี อ มูล อยูภายใน Solution : Media Library, Physical Data Center Control, CCTV, Card Access Control, Physical Security Control Center เปนตน

ภายในทุก 3 เดือน และคนหาชองโหวจาก ภายนอก (External Scan) โดยผู ไ ด รั บ อนุญาต (Application Scanning Vendor) จาก PCI-SSC ทุก 3 เดือนเชนกัน Solution : Vulnerability Assessment, Web Application Vulnerability Scanner, Wireless IPS, Network IPS, File Integrity Monitoring, Security Configuration Management เปนตน

Requirement # 12 : Requirement # 10 : Maintain a policy that addresses Regularly monitor and test network information security for all personnel ขอกำหนดนีร้ ะบุใหการใชงานระบบเครือขาย ขอกำหนดนี้ระบุใหองคกร ตองมีการจัดทำ ภายใน ตองมีกระบวนการและระบบในการ นโยบายในการรั ก ษาความปลอดภั ย ที่ ตรวจสอบสถานะความปลอดภัย รวมถึง ครอบคลุมทุกสวนขององคกร ทีม่ กี ารเขาถึง ทดสอบหาปญหาทีม่ ใี นระบบเครือขายอยาง ข อ มู ล ผู ถื อ บั ต รได และมี ก ารตรวจสอบ สม่ำเสมอ โดยระบบเครือขายตองสามารถ ประสิทธิผลและปรับปรุงอยางสม่ำเสมอ ทำ Audit Trail ของการใชงานเครือขาย ให ถู ก ต อ งและเป น ไปตามสถานการณ ที่ การเขาถึงระบบตางๆ ที่สามารถสืบยอน เปลี่ยนแปลงไปขององคกรและภัยคุกคาม ไปยังตนตอหรือผูกระทำได การดูแลระบบ พรอมระบุผูรับผิดชอบในการดำเนินการ ใหมวี นั และเวลาทีถ่ กู ตองตรงกันทัง้ เครือขาย และตรวจสอบอยางเปนระบบ นอกจากนี้ Audit Trail ทั้ ง หมดต อ งถู ก จัดเก็บไวไมนอยกวา 1 ป Solution : Centralized Log Management, SIEM, RADIUS, Directory Server, Identity Management, Network Monitoring System (NMS) เปนตน

ซึ่งจากขอกำหนดทั้งหมดที่กลาวมา จะ เห็นไดวา มาตรฐาน PCI-DSS ในทางหนึง่ เปนการยกระดับการรักษาความปลอดภัย ที่ ถื อ ว า เข ม ข น มากกว า มาตรฐานที่ ไดรับการยอมรับกันทั่วไป เชน ISO/ Requirement # 11 : IEC 27001:2005 ซึ่ง PCI-DSS ลงลึก Regularly test security systems and ในรายละเอียด และมีขอหามชัดเจน processes ในหลายๆ แงมมุ ดังนัน้ การเตรียมการ ข อ กำหนดนี้ ร ะบุ ใ ห มี ก ารทดสอบความ ทีเ่ หมาะสม และมีทป่ี รึกษาทีต่ อบสนอง ปลอดภัย และหาความผิดปกติที่เกี่ยวกับ ต อ สภาพการใช ง านแต ล ะองค ก รจึ ง ความปลอดภัยของระบบและเครือขายอยาง เปนสิง่ ทีส่ ำคัญ เพือ่ ใหการผานการตรวจ สม่ำเสมอ เชน ตรวจหาแอ็กเซสพอยนต มาตรฐาน PCI-DSS v2.0 เปนไปดวยดี เถือ่ น และความปลอดภัยของระบบเครือขาย และสำเร็จตอไป ไรสาย (Wireless / Wi-Fi) อยางนอยทุก 3 เดือน ตองคนหาชองโหวในระบบเครือขาย Bay Computing Newsletter l 13th Issue

Bay Newsletter_issue 13-1.indd 11

11 3/28/2012 3:25:40 PM

“SonicWALL Tops the NSS Chart”

Best Perform Next Generation Firewall 2012

Security Value Map ของ NGFS (Next Generation Firewall Security) ในป 2012 จากรายงานการวิ เ คราะห ผ ลิ ต ภั ณ ฑ หรื อ Product Analysis Reports (PAR) และ รายงานการวิเคราะหเชิงเปรียบเทียบ หรือ Comparative Analysis Reports (CAR) ถูกนำมาใชสราง Security Value Map (SVM) เอกสารระดั บ สู ง นี้ จ ะแสดงภาพ เปรียบเทียบคุณคาทีส่ มั พันธกนั ของทางเลือก ต า งๆ ในการลงทุ น เทคโนโลยี ด า นความ ปลอดภัยของคุณที่เขาใจไดงายๆ โดยการ เปรียบเทียบประสิทธิภาพดานความปลอดภัย กั บ ความคุ ม ค า (ราคาต อ อั ต ราเร็ ว ในการ ปกปอง หรือ Price Per Protected Mbps) ของผลิตภัณฑที่ทำการทดสอบ สรุปผลไดวา SonicWALL Next Generation Firewall มีประสิทธิภาพสูงสุด เหนือกวา ผลิตภัณฑอื่นๆ ในตระกูลเดียวกัน

สิ่งที่ “คานี้” บงบอก

ราคาตออัตราความเร็วในการปกปอง (Price Per Protected Mbps) ในแกน X ของชารต เปนคาที่นำตนทุนรวมในการเปนเจาของ (TCO) ในระยะเวลาตอเนื่อง 3 ป มาประเมิน รวมกับการวัดประสิทธิภาพและประสิทธิผลดานความปลอดภัย เพื่อไดตัวเลขที่สามารถ ใชเปรียบเทียบตนทุนแทจริงของแตละอุปกรณที่เรานำมาทดสอบ โดยอุปกรณยิ่งอยู ทางดานขวามากเทาไร (ตนทุนต่ำสุด) ก็ยิ่งดีมากเทานั้น สวนแกน Y จะเปนอัตราการสกัดกั้นภัยคุกคามที่ไดผล (Effective Block Rate) ตามการ วัดคาของการทดสอบประสิทธิภาพดานความปลอดภัยจาก NSS Labs ซึ่งโดยทั่วไปแลว สำหรับผลิตภัณฑ NGFW (Next Generation Firewall) นั้น เราจะทดสอบดวยการใช คากำหนดเริ่มตน (default settings) เปนหลัก โดยอุปกรณที่มีตัวเลขปรากฏดานบนสุด จะเปนอุปกรณที่ดีที่สุด สนใจขอมูลเพิ่มเติม หรือตองการทดสอบประสิทธิภาพของ SonicWALL ติดตอไดที่ : บริษัท เบย คอมพิวติ้ง จำกัด โทร. 0-2962-2223 www.baycoms.com

Bay Computing Newsletter l 13th Issue

Bay Newsletter_issue 13-1.indd 12

3/28/2012 3:25:41 PM

TECHNOLOGY UPDATE เน็ทวิทเนส ถือเปนการเปลีย่ นแปลงแพลตฟอรมทางดานการดูแลระบบเน็ตเวิรก ครัง้ ยิง่ ใหญในวงการ ทีช่ ว ยใหองคกรสามารถลวงรูแ ละเขาใจ กับสิง่ ตางๆ ทัง้ หมดทีเ่ กิดขึน้ ในเน็ตเวิรก ขององคกรไดอยางแมนยำทีส่ ดุ โดยโซลูชนั่ ของเน็ทวิทเนสถูกนำมาใชอยางกวางขวางในสภาพแวดลอม ทัง้ หมดขององคกร เพือ่ แกปญ  หาการคุกคามทางอิเล็กทรอนิกส รวมถึงตรวจสอบ ดูแลทางดานความปลอดภัยในเน็ตเวิรก การแกไขและปองกัน การคุกคามที่มาจากทั้งภายในและนอกองคกร, zero-day exploits and targeted malware, advanced persistent threats, fraud, espionage และปองกันการรั่วไหลของขอมูลที่มีคา (data leakage) ออกนอกองคกร สิง่ ทีอ่ งคกรสวนใหญประสบปญหา

• โครงสรางระบบความปลอดภัยทางเน็ตเวิรกที่มีอยู ไม สามารถตรวจจับการคุกคามไดหมด ไมวาจะเปน A/V, IDS/IPS เปนตน • เหตุการณที่เกิดขึ้นอันเปนภัยตอระบบขององคกร ตอง ใชเวลาคอนขางนานในการตรวจสอบ และไมมีระบบการ ตรวจเช็กความสัมพันธของเหตุการณที่เกิดขึ้นกับแหลง ขอมูลอื่นโดยอัตโนมัติ • ทรัพยสินทางปญญาหรือขอมูลความลับของลูกคาถูก สำเนาและขโมยออกนอกองคกร • ภัยคุกคามที่เกิดขึ้นถูกเปดเผยสูสาธารณะ สงผลใหเกิด ความเสียหายตอมูลคาขององคกร • เกิดการสูญเสียทางชื่อเสียงและคาใชจายตางๆ มากมาย ตามมา อันเกิดมาจากการคุกคาม เน็ทวิทเนส ประกอบดวย แอพพลิเคชัน่ หลักๆ ทัง้ สิน้ 4 สวน ดวยกัน

Spectrum

• ทำงานเลียนแบบเทคนิคของนักวิเคราะหโปรแกรมมัลแวร ชั้นนำ โดยจะถามคำถามมากมายเกี่ยวกับวัตถุ ที่ไมมีลายเซ็น (signature) หรือพฤติกรรม “รายๆ” ใหเห็น • ยกระดับความสามารถของโปรแกรม NetWitness Live ดวย การรวมขอมูลขาวสารจากบริการเฝาระวังและตรวจสอบ ประวั ติ ภั ย คุ ก คามชั้ น นำ (threat intelligence and reputation services) เพื่ อ ประเมิ น ให ค ะแนน และ จัดลำดับความสำคัญของความเสี่ยงตางๆ • ใช ป ระโยชน จ ากความสามารถในการตรวจตราระบบ เครื อ ข า ยที่ ค รอบคลุ ม ของเน็ ท วิ ท เนส เพื่ อ ทำให เ ห็ น ภาพรวมของทั้งระบบเครือขายไดชัดเจน และแยกประเภท ขอมูลจากโพรโตคอลและแอพพลิเคชั่นไดทุกตัว • สรางประสิทธิภาพและความกระจางชัดใหกับกระบวนการ วิเคราะหโปรแกรมมัลแวร โดยจะสงผลตรวจสอบที่ได แบบสมบูรณใหกับผูเชี่ยวชาญดานความปลอดภัยระบบ

Informer

• แสดงผล Dashboard, แผนภาพ และขอมูลสรุปอยาง ยืดหยุน เพื่อการมองภาพรวมทิศทางของภัยคุกคาม • ไดรับคำตอบอัตโนมัติสำหรับทุกคำถาม ที่เกี่ยวกับ • ความปลอดภัยของระบบเครือขาย • ฝายรักษาความปลอดภัย / ฝายบุคคล • ฝายกฎหมาย / ฝายวิจัยและพัฒนา (R&D) / เจาหนาที่ Compliance • ฝายปฏิบัติงานดานไอที • มีรายงานทั้งแบบไฟล HTML, CSV และ PDF • รองรับการ Push ขอมูลแบบ CEF, SNMP, syslog, SMTP เพื่อรวมเขากับระบบ SIEM และระบบบริหาร จัดการเหตุการณบนเครือขายอื่นๆ อยางสมบูรณ

Investigator

• วิเคราะห Session การขับเคลื่อนขอมูลโตตอบของเนื้อหาในเลเยอรที่ 2-7 • วิเคราะห Session ของพอรต ซึ่งเปนเทคโนโลยีที่ไดรับรางวัลและมีสิทธิบัตร • สรางเสนทางการวิเคราะหและจุดการตรวจสอบเนื้อหา/สภาพแวดลอม (content/context) แบบไมจำกัด • ขอมูลถูกนำเสนอในรูปแบบที่ผูใชงานคุนเคย (ไดแก เว็บไซต, ไฟลเสียง, ไฟลขอมูล, อีเมล, โปรแกรมแชท และอื่นๆ) • รองรับชุดขอมูลขนาดใหญ • สามารถตรวจสอบขอมูลระดับเทราไบตไดในชั่วอึดใจ • มีการวิเคราะหที่รวดเร็ว ทำใหการวิเคราะหที่เคยใชเวลาเปนวัน บัดนี้ใชเวลาเพียงแคไมกี่นาที • มีรุนที่เปนฟรีแวร ซึ่งถูกใชโดยผูเชี่ยวชาญดานระบบปลอดภัยกวา 45,000 คนทั่วโลก

Visualize

• ปฏิวัติอินเทอรเฟซแบบภาพเพื่อแสดงเนื้อหาบนเครือขาย • แยกประเภทและนำเสนอภาพ ไฟล ออปเจ็กต เสียง และออดิโอ แบบโตตอบ เพื่อการวิเคราะห • รองรับการใชงานแบบมัลติทัช การเจาะขอมูล ขอมูลไทมไลน และการแสดงขอมูลอัตโนมัติ เมื่อบราวซหาขอมูล • รีวิวและจัดเรียงขอมูลอยางรวดเร็ว

WHY NETWITNESS?

Netwitness NextGen เปนแพลตฟอรมที่ชวยรักษาความปลอดภัยใหกับระบบเครือขาย และได ผสมผสานเทคโนโลยีโครงสรางพื้นฐานที่ไดรับการยอมรับและมีสิทธิบัตร เขากับเครื่องมือวิเคราะห ขัน้ สูง ซึง่ จะทำใหองคกรสามารถแกปญ  หาดานความปลอดภัยอันซับซอนไดอยางเฉียบขาด พรอมกับ คนหาคำตอบทีแ่ จกแจงรายละเอียดและมีความชัดเจน ทัง้ ยังเสริมขอมูลความรูใ หกบั สังคมผูเ ชีย่ วชาญ ดานระบบปลอดภัยทัว่ โลก โปรแกรมเน็ทวิทเนสนี้ ไดรบั การออกแบบมาใหเปนแพลตฟอรมทีช่ ว ยให รักษาความปลอดภัยใหกบั ระบบเครือขายแบบถึงแกน เพราะในปจจุบนั เน็ทวิทเนสเปนเพียงโซลูชนั่ เดียว ในทองตลาดที่สามารถทำงานไดอยางรวดเร็ว ยืดหยุน และมีประสิทธิภาพพอที่จะปรับตัวและ เผชิญหนาตอสูกับภัยคุกคามที่พัฒนาความรุนแรงเพิ่มขึ้นทุกวัน และสามารถตอบสนองตอ จุดประสงคดานการบริหารจัดการความเสี่ยงระดับองคกรได สนใจขอมูลเพิ่มเติม ติดตอไดที่

บริษัท เบย คอมพิวติ้ง จำกัด อีเมล info@baycoms.com Bay Computing Newsletter l 13th Issue

Bay Newsletter_issue 13-1.indd 13

13 3/28/2012 3:25:42 PM

ISMS STANDARD

เสริมมาตรการความปลอดภัยไอที ดวย ISO 27001: 2005 ตอนที่ 11

“Annex A”

(ตอนจบ)

โดย ภัคณัฏฐ โพธิ์ทองบวรภัค Security Manager บริษัท เบย คอมพิวติ้ง จำกัด

สวัสดีครับทานผูอ า น ในทีส่ ดุ เราก็ไดเดินทาง มาถึงตอนจบกันแลวสำหรับในสวนของ Annex A ซึง่ ทีผ่ า นมาเราทำความเขาใจในหัวขอตางๆ ดังนี้ A. 5 นโยบายความมัน่ คงปลอดภัย (Security policy) A. 6 โครงสรางทางดานความมั่นคงปลอดภัยสำหรับ องคกร (Organization of information security) A. 7 การบริหารจัดการทรัพยสินขององคกร (Asset management) A. 8 ความมั่ น คงปลอดภั ย ที่ เ กี่ ย วข อ งกั บ บุ ค ลากร (Human resources security) A. 9 การสรางความมั่นคงปลอดภัยทางกายภาพและ สิง่ แวดลอม (Physical and environmental security) A.10 การบริหารจัดการทางดานการสื่อสารและการ ดำเนิ น งานของเครื อ ข า ยสารสนเทศขององค ก ร (Communications and operations management) A.11 การควบคุมการเขาถึง (Access control) A.12 การจัดหา การพัฒนา และการบำรุงรักษาระบบ สารสนเทศ (Information systems acquisition, development and maintenance) สำหรับในฉบับนีเ้ ราจะมาทำความเขาใจ Annex A กันตอ ในหัวขอ A.12 (สวนทีเ่ หลือ) ถึง A.15 ซึง่ เปนหัวขอสุดทาย นะครับ

A.12.6 การบริหารจัดการ ชองโหวในฮารดแวรและซอฟตแวร (Technical Vulnerability Management)

วัตถุประสงค : เพื่อลดความเสี่ยงจากการโจมตีโดย อาศัยชองโหวทางเทคนิค ทีม่ กี ารเผยแพรหรือตีพมิ พใน สถานทีต่ า งๆ

A.12.6.1 มาตรการควบคุมชองโหวทางเทคนิค (Control of technical vulnerabilities)

ตัวควบคุม : ตองกำหนดใหมกี ารติดตามขอมูลขาวสาร ที่เกี่ยวของกับชองโหวในระบบตางๆ ที่ใชงาน ประเมิน ความเสีย่ งของชองโหวเหลานัน้ รวมทัง้ กำหนดมาตรการ รองรับเพือ่ ลดความเสีย่ งดังกลาว

A.13 การบริหารจัดการ เหตุการณทเี่ กีย ่ วของกับความ มัน่ คงปลอดภัยขององคกร (Information security incident management) A.13.1 การรายงานเหตุการณ และจุดออนทีเ่ กีย ่ วของกับความ มัน่ คงปลอดภัย (Reporting information security events and weaknesses)

วัตถุประสงค : เพือ่ ใหเหตุการณและจุดออนทีเ่ กีย่ วของ กับความมัน่ คงปลอดภัยตอระบบสารสนเทศขององคกร ไดรบั การดำเนินการทีถ่ กู ตองในชวงระยะเวลาทีเ่ หมาะสม A.13.1.1 การรายงานเหตุการณทเ่ี กีย่ วของกับความ มัน่ คงปลอดภัย (Reporting information security events) ตัวควบคุม : ตองรายงานเหตุการณทเ่ี กีย่ วของกับความ มัน่ คงปลอดภัยขององคกร โดยผานชองทางการรายงาน ที่กำหนดไว และจะตองดำเนินการอยางรวดเร็วที่สุด เทาทีจ่ ะทำได A.13.1.2 การรายงานจุดออนที่เกี่ยวของกับความ มัน่ คงปลอดภัยขององคกร (Reporting security weaknesses) ตัวควบคุม : ตองบันทึกและรายงานจุดออนทีเ่ กีย่ วของ กับความมัน่ คงปลอดภัยขององคกรทีส่ งั เกตพบหรือเกิด ความสงสัยในระบบหรือบริการทีใ่ ชงานอยู

A.13.2 การบริหารจัดการ และ การปรับปรุงแกไขตอเหตุการณที่ เกีย ่ วของกับความมัน่ คงปลอดภัย (Management of information security incidents and improvements)

วัตถุประสงค : เพื่อใหมีวิธีการที่สอดคลองและไดผล ในการบริหารจัดการเหตุการณทเ่ี กีย่ วของกับความมัน่ คง ปลอดภัยสำหรับสารสนเทศขององคกร A.13.2.1 หนาทีค่ วามรับผิดชอบและขัน้ ตอนปฏิบตั ิ

(Responsibilities and procedures) ตัวควบคุม : ตองกำหนดหนาที่ความรับผิดชอบและ ขั้นตอนปฏิบัติ เพื่อรับมือกับเหตุการณที่เกี่ยวของกับ ความมัน่ คงปลอดภัยขององคกร และขัน้ ตอนดังกลาวตอง มีความรวดเร็ว ไดผล และมีความเปนระบบระเบียบทีด่ ี A.13.2.2 การเรียนรูจากเหตุการณที่เกี่ยวของกับ ความมัน่ คงปลอดภัย (Learning from security incidents) ตัวควบคุม : ตองบันทึกเหตุการณละเมิดความมั่นคง ปลอดภัย โดยอยางนอยจะตองพิจารณาถึงประเภทของ เหตุการณ ปริมาณที่เกิดขึ้น และคาใชจายเกิดขึ้นจาก ความเสียหาย เพื่อจะไดเรียนรูจากเหตุการณที่เกิดขึ้น แลว และเตรียมการปองกันทีจ่ ำเปนไวลว งหนา A.13.2.3 การเก็บรวบรวมหลักฐาน (Collection of evidence) ตัวควบคุม : ตองรวบรวมและจัดเก็บหลักฐานตามกฎ หรื อ หลั ก เกณฑ ส ำหรั บ การเก็ บ หลั ก ฐานอ า งอิ ง ใน กระบวนการทางศาลทีเ่ กีย่ วของ เมือ่ พบวาเหตุการณที่ เกิ ด ขึ้ น นั้ น มี ค วามเกี่ ย วข อ งกั บ การดำเนิ น การทาง กฎหมายแพงหรืออาญา

A.14 การบริหารความ ตอเนือ ่ งในการดำเนินงาน ขององคกร (Business continuity management) A.14.1 หัวขอพืน้ ฐานสำหรับ การบริหารความตอเนือ ่ งในการ ดำเนินงานขององคกร (Information security aspects of business continuity management)

วัตถุประสงค : เพือ่ ปองกันการติดขัดหรือการหยุดชะงัก ของกิจกรรมตางๆ ทางธุรกิจ เพื่อปองกันกระบวนการ ทางธุรกิจที่สำคัญอันเปนผลมาจากการลมเหลวหรือ หายนะที่มีตอระบบสารสนเทศ และเพื่อใหสามารถกู ระบบกลับคืนมาไดภายในระยะเวลาอันเหมาะสม A.14.1.1 กระบวนการในการสรางความตอเนือ่ งให กับธุรกิจ (Including information security in the business continuity management process) ตัวควบคุม : ตองกำหนดใหมกี ระบวนการในการสราง ความตอเนื่องใหกับธุรกิจ การบริหารจัดการและการ ปรับปรุงกระบวนการดังกลาวอยางสม่ำเสมอ กระบวนการนี้

Bay Computing Newsletter l 13th Issue

Bay Newsletter_issue 13-1.indd 14

3/28/2012 3:25:42 PM

ISMS STANDARD จะตองระบุขอ กำหนดทีเ่ กีย่ วของกับความมัน่ คงปลอดภัยที่ จำเปนสำหรับการสรางความตอเนือ่ งใหกบั ธุรกิจ

วัตถุประสงค : เพื่อใหระบบเปนไปตามนโยบายและ มาตรฐานความมัน่ คงปลอดภัยขององคกร

A.14.1.2 การประเมินความเสีย่ งในการสรางความ ตอเนือ่ งใหกบั ธุรกิจ (Business continuity and risk assessment) ตัวควบคุม : ตองระบุเหตุการณที่สามารถทำใหธุรกิจ ขององคกรเกิดการติดขัดหรือหยุดชะงัก โอกาสที่จะเกิด ขึ้น ผลกระทบที่เปนไปได รวมทั้งผลที่เกิดขึ้นตอความ มัน่ คงปลอดภัยสำหรับสารสนเทศขององคกร

A.15.2.1 การปฏิบัติตามนโยบาย และมาตรฐาน ความมัน่ คงปลอดภัย (Compliance with security policies and standards) ตัวควบคุม : ตองกำหนดใหผูบังคับบัญชาคอยกำกับ ดู แ ล และควบคุ ม การปฏิ บั ติ ง านของผู ที่ อ ยู ใ ต ก าร บังคับบัญชาของตน ใหปฏิบตั ติ ามขัน้ ตอนปฏิบตั ทิ างดาน ความมัน่ คงปลอดภัยตามหนาทีค่ วามรับผิดชอบของตน ทัง้ นี้ เพือ่ ใหการปฏิบตั เิ ปนไปตามนโยบายและมาตรฐาน ความมัน่ คงปลอดภัยขององคกร

A.14.1.3 การจั ด ทำและใช ง านแผนสร า งความ ตอเนือ่ งใหกบั ธุรกิจ (Developing and implementing continuity plans including information security) ตัวควบคุม : ตองจัดทำและใชงานแผนสรางความ ตอเนือ่ งใหกบั ธุรกิจและการดำเนินงานตางๆ ใหสามารถ ดำเนินตอไปไดในระดับและชวงเวลาทีก่ ำหนดไวภายหลัง จากทีม่ เี หตุการณทที่ ำใหธรุ กิจเกิดการติดขัด หยุดชะงัก หรือลมเหลว A.14.1.4 การกำหนดกรอบสำหรับการวางแผนเพือ่ สรางความตอเนือ่ งใหกบั ธุรกิจ (Business continuity planning framework) ตัวควบคุม : ตองกำหนดกรอบสำหรับการวางแผนเพือ่ สรางความตอเนือ่ งใหกบั ธุรกิจ เพือ่ ใหแผนงานทีเ่ กีย่ วของ ทัง้ หมดมีความสอดคลองกัน ครอบคลุมขอกำหนดทาง ดานความมัน่ คงปลอดภัยทีก่ ำหนดไว และจัดลำดับความ สำคัญของงานตางๆ ทีต่ อ งดำเนินการ A.14.1.5 การทดสอบและการปรับปรุงแผนสราง ความตอเนื่องใหกับธุรกิจ (Testing, maintaining and re-assessing business continuity plans) ตัวควบคุม : ตองกำหนดใหมกี ารทดสอบและปรับปรุง แผนสรางความตอเนือ่ งใหกบั ธุรกิจอยางสม่ำเสมอ เพือ่ ใหแผนมีความทันสมัยและไดผลเปนอยางดี

A.15 การปฏิบต ั ต ิ าม ขอกำหนด (Compliance) A.15.1 การปฏิบต ั ต ิ ามขอกำหนด ทางกฎหมาย (Compliance with legal requirements)

วัตถุประสงค : เพื่อหลีกเลี่ยงการละเมิดขอกำหนด ทางกฎหมาย ระเบียบปฏิบตั ขิ อ กำหนดในสัญญา และ ขอกำหนดทางดานความมัน่ คงปลอดภัยอืน่ ๆ

A.15.1.1 การระบุ ข อ กำหนดต า งๆ ที่ มี ผ ลทาง กฎหมาย (Identification of applicable legislation) ตัวควบคุม : ตองระบุขอ กำหนดทางดานกฎหมาย ดาน ระเบียบปฏิบตั ิ และทีป่ รากฏในสัญญา (ระหวางองคกร และบุคคลหรือหนวยงานภายนอกอื่น) ที่เกี่ยวของกับ การดำเนินงานหรือธุรกิจขององคกร ตองบันทึกขอกำหนด ดังกลาวไวเปนลายลักษณอกั ษร และปรับปรุงขอกำหนด เหลานัน้ ใหทนั สมัยอยูเ สมอ รวมทัง้ กำหนดแนวทางการ ปฏิบตั เิ พือ่ ใหสอดคลองกับขอกำหนดดังกลาว

A.15.1.2 การปองกันสิทธิและทรัพยสนิ ทางปญญา (Intellectual property rights (IRP)) ตัวควบคุม : ตองกำหนดขัน้ ตอนปฏิบตั เิ พือ่ ปองกันการ ละเมิดสิทธิหรือทรัพยสินทางปญญา ขั้นตอนปฏิบัติ ดังกลาวตองกำหนดหรือควบคุมใหปฏิบตั ติ ามขอกำหนด ทางดานกฎหมาย ทางดานระเบียบปฏิบตั ิ และทีป่ รากฏ ในสัญญา (ระหวางองคกร และบุคคลหรือหนวยงาน ภายนอกอืน่ ) รวมทัง้ ขอกำหนดในการใชงานผลิตภัณฑ ซอฟตแวรจากผูข ายดวย A.15.1.3 การปองกันขอมูลสำคัญที่เกี่ยวของกับ องคกร (Protection of organizational records) ตัวควบคุม : ตองกำหนดใหมกี ารปองกันขอมูลทีเ่ กีย่ วของ กับขอกำหนดทางกฎหมายและระเบียบปฏิบตั ิ ขอกำหนด ที่ปรากฏในสัญญา และขอกำหนดทางธุรกิจ จากการ สูญหาย การถูกทำลายใหเสียหาย และการปลอมแปลง A.15.1.4 การปองกันขอมูลสวนตัว (Data protection and privacy of personal information) ตัวควบคุม : ตองกำหนดใหมกี ารปองกันขอมูลสวนตัว ตามทีร่ ะบุหรือกำหนดไวในกฎหมาย ระเบียบปฏิบตั ิ และ ขอสัญญาทีเ่ กีย่ วของ A.15.1.5 การปองกันการใชงานอุปกรณประมวลผล สารสนเทศผิดวัตถุประสงค (Prevention of misuse of information processing facilities) ตั ว ควบคุ ม : ต อ งป อ งกั น ไม ใ ห ผู ใ ช ง านใช อุ ป กรณ ประมวลผลสารสนเทศขององคกรผิดวัตถุประสงคหรือ โดยไมไดรบั อนุญาต A.15.1.6 การใชงานมาตรการการเขารหัสขอมูล ตามขอกำหนด (Regulation of cryptographic controls) ตัวควบคุม : ตองกำหนดใหใชมาตรการการเขารหัส ขอมูล โดยใหยดึ ถึอตามหรือตองสอดคลองกับขอตกลง กฎหมายและระเบียบปฏิบตั ทิ เี่ กีย่ วของ

A.15.2 การปฏิบต ั ต ิ ามนโยบาย มาตรฐานความมัน่ คงปลอดภัย และขอกำหนดทางเทคนิค (Compliance with security policies and standards, and technical compliance)

A.15.2.2 การตรวจสอบการปฏิบัติตามมาตรฐาน ทางเทคนิคขององคกร (Technical compliance checking) ตั ว ควบคุ ม : ตองกำหนดใหมีการตรวจสอบระบบ สารสนเทศอยางสม่ำเสมอ เพื่อควบคุมใหเปนไปตาม มาตรฐานความมัน่ คงปลอดภัยทางเทคนิคขององคกร

A.15.3 การตรวจประเมินระบบ สารสนเทศ (Information systems audit considerations)

วัตถุประสงค : เพือ่ ใหการตรวจประเมินระบบสารสนเทศ ไดประสิทธิภาพสูงสุด และมีการแทรกแซงหรือทำให หยุดชะงักตอกระบวนการทางธุรกิจนอยทีส่ ดุ A.15.3.1 มาตรการการตรวจประเมิ น ระบบ สารสนเทศ (Information systems audit controls) ตัวควบคุม : ตองระบุขอ กำหนดและกิจกรรมทีเ่ กีย่ วของ กับการตรวจประเมินระบบสารสนเทศขององคกร เพื่อ ใหมีผลกระทบนอยที่สุดตอกระบวนการทางธุรกิจ เชน การหยุดชะงักของกระบวนการทางธุรกิจในระหวาง ทีท่ ำการตรวจประเมิน A.15.3.2 การปองกันเครื่องมือสำหรับการตรวจ ประเมินระบบสารสนเทศ (Protection of information systems audit tools) ตั ว ควบคุ ม : ตองกำหนดใหมีการจำกัดการเขาถึง เครื่องมือสำหรับการตรวจประเมินระบบสารสนเทศ (เชน ซอฟตแวรที่ใชในการตรวจประเมิน) เพื่อปองกัน การใชงานผิดวัตถุประสงค หรือการเปดเผยขอมูลการ ตรวจประเมินโดยไมไดรบั อนุญาต ณ ตอนนี้ ทานผูอานทุกทานก็ไดทำความรูจักกับ มาตรฐานความปลอดภัยขอมูลสารสนเทศ ISO 27001:2005 กันไปเปนทีเ่ รียบรอยแลว ดวยเนือ้ หา ที่เขมขน ตั้งแตตอนที่ 1 ถึงตอนที่ 11 คงชวยให ทุกทานสามารถทำความเขาใจและเริม่ นำมาตรฐาน ความปลอดภัยขอมูลสารสนเทศ ISO 27001:2005 ไปปฏิบตั ภิ ายในองคกรหรือบริษทั ได และในตอน สุดทายนี้ ผูเ ขียนก็ขอขอบคุณทานผูอ า นทุกทานที่ สนใจในมาตรฐานความปลอดภัยขอมูลสารสนเทศ มา ณ ทีน่ ี้ แลวพบกันใหมในโอกาสตอไปครับ Bay Computing Newsletter l 13th Issue

Bay Newsletter_issue 13-1.indd 15

15 3/28/2012 3:25:43 PM

Lumension Endpoint ®

Next Generation Endpoint Security เพือ ่ การดูแลบริหารจัดการ เครือ ่ งปลายทางอยางมีประสิทธิภาพ โซลูชั่นสำหรับบริหารจัดการเครื่องปลายทาง ภายใตสถาปตยกรรมแบบ คอนโซลเดียว เซิรฟเวอรเดียว และ เอเจนตเดียว เพื่อการระบุความเสี่ยงและการบริหารจัดการระบบไอทีทั่วทั้งองคกรไดอยางมีประสิทธิภาพมากขึ้น และเปนระบบเดียวกัน ทุกวันนี้ การเปลี่ยนแปลงอยางรวดเร็วของระบบเครือขายไอที จะเปนแบบกระจายศูนยและทำงานบนระบบเสมือนมากขึ้น สงผลใหมีขอมูล จำนวนมากถู ก จั ด เก็ บ อยู บ นอุ ป กรณ ป ลายทางที่ ห า งไกล อย า งเครื่ อ งแลปทอปและสมาร ต โฟน และมี ก ารเข า ถึ ง ข อ มู ล เหล า นี้ ผ า น แอพพลิเคชัน่ ในรูปแบบคลาวดมากขึน้ โปรแกรมมุง รายหรือมัลแวรทมี่ คี วามซับซอนขึน้ ก็จอ งเลนงานแอพพลิเคชัน่ เหลานี้ เพือ่ พยายามหาทาง เขาถึงขอมูลสำคัญๆ ขององคกร แรงกดดันดานงบประมาณที่รุมเราก็ทำใหองคกรตางๆ เริ่มมองหาโซลูชั่นดานความปลอดภัยที่รองรับการ ประมวลผลแบบกระจาย ที่ทำงานไดหลายระบบ และเปนระบบเสมือนมากขึ้น เพื่อตอบสนองความตองการทางธุรกิจไดอยางคุมคา Lumension® Endpoint Management and Security Suite เปนโซลูชั่นที่มีความยืดหยุนและรองรับการเปลี่ยนแปลงไดอยางรวดเร็ว โดย ชวยลดความซับซอนในการทำงานของทัง้ ทีมปฏิบตั งิ านดานไอทีและทีมรักษาความปลอดภัยดานไอที ลดตนทุนการเปนเจาของ (TCO) มองเห็น ภาพการทำงานเดนชัดขึ้น และมอบอำนาจการควบคุมกลับไปสูทีมไอทีอีกครั้ง

อุปกรณปลายทางมีความปลอดภัยมากขึ้น มองเห็นภาพโดยรวมไดชัดเจน และมีการจัดการนโยบายระหวาง ทีมปฏิบัติงานไอทีและทีมรักษาความปลอดภัยระบบไอที บริหารจัดการและจัดทำรายงานไดจากระบบควบคุมกลาง ไลเซนสผลิตภัณฑแบบโมดูล มีสถาปตยกรรมที่สามารถขยายระบบได มีความยืดหยุน และรองรับการเปลี่ยนแปลงไดอยางรวดเร็ว

Endpoint ®Operations Product Modules Lumension Patch and Remediation:

เปดใชงานการบังคับใชนโยบายการใชงานแอพพลิเคชั่น เพื่อใหแนใจวา ซอฟตแวรที่ไดรับอนุญาตหรือเชื่อถือไดเทานั้นที่ไดรับสิทธใหทำงานได

ชวยลดความเสี่ยงองคกรและเพิ่มประสิทธิภาพในการปฏิบัติงานดาน ไอที ผานการขจัดชองโหวตางๆ ของระบบปฏิบัติการและแอพพลิเคชั่น ทั้งระบบและเซิรฟเวอรทั้งหมดในเวลาที่เหมาะสมแบบเชิงรุก

Lumension® AntiVirus :

Lumension® Security Configuration Management :

Lumension® Device Control :

ชวยใหมั่นใจวาอุปกรณปลายทางไดรับการกำหนดคาอยางปลอดภัย และเปนไปตามวิธีปฏิบัติที่ดีที่สุดของอุตสาหกรรมและขอบังคับตางๆ

ระบุอุปกรณที่เคลื่อนยายไดทั้งหมดที่มีในขณะนี้หรือเคยไดเชื่อมตอกับ อุปกรณปลายทางของคุณ พรอมบังคับใชนโยบายการเขาถึงอุปกรณ/ พอร ต และการเข า รหั ส ข อ มู ล เพื่ อ ป อ งกั น ข อ มู ล เสี ย หาย และ/หรื อ ถูกโจรกรรม

Lumension® Enterprise Reporting : ชวยใหเห็นภาพรวมที่ชัดเจนจากศูนยกลาง เกี่ยวกับสินทรัพยดานไอที และขอมูลชองโหวและการกำหนดคาระบบทั้งหมดในองคกร

Endpoint Security and IT Risk Management Product Modules ® Lumension Application Control :

Bay Newsletter_issue 13-1.indd 16

ใหการปกปองทีค่ รอบคลุมมัลแวรทงั้ หมด รวมทัง้ ไวรัส สปายแวร โทรจัน และแอดแวร

Lumension® Risk Manager : ควบคุมการปฏิบัติตามกฎขอบังคับและเวิรกโฟลวการบริหารจัดการ ความเสี่ ย งด า นไอที ด ว ยขบวนการอั ต โนมั ติ พร อ มให ก ารมองเห็ น ภาพรวมระบบที่สำคัญเกี่ยวกับคน กระบวนการ และเทคโนโลยีทั่วทั้ง องคกร

3/28/2012 3:25:43 PM