ความปลอดภัยไซเบอร์สำหรับ SME: 8 มาตรการพื้นฐานที่เริ่มได้ทันที
ธุรกิจขนาดเล็กมักคิดว่าตนเองไม่ใช่เป้าหมายของผู้โจมตี แต่ในความเป็นจริง ระบบที่ป้องกันน้อยคือเป้าหมายที่ง่ายที่สุด ทั้งแรนซัมแวร์ที่เข้ารหัสไฟล์เพื่อเรียกค่าไถ่ และอีเมลหลอกให้โอนเงินโดยปลอมเป็นคู่ค้า ข่าวดีคือมาตรการพื้นฐานเพียงไม่กี่ข้อช่วยลดความเสี่ยงได้มาก
1. เปิดใช้การยืนยันตัวตนหลายขั้น (MFA)
เปิดใช้กับอีเมล ระบบบัญชี ระบบธนาคารออนไลน์ และบริการคลาวด์ทุกตัวที่รองรับ แม้รหัสผ่านรั่วไหล ผู้โจมตีก็ยังเข้าระบบได้ยาก
2. ใช้รหัสผ่านที่ไม่ซ้ำกันและตัวจัดการรหัสผ่าน
รหัสผ่านที่ใช้ซ้ำหลายระบบเป็นจุดอ่อนใหญ่ เมื่อระบบหนึ่งรั่ว ระบบอื่นก็เสี่ยงตามไปด้วย ตัวจัดการรหัสผ่านสำหรับองค์กรช่วยให้ใช้รหัสผ่านยาวและไม่ซ้ำได้โดยไม่ต้องจำเอง
3. อัปเดตระบบและอุปกรณ์เป็นประจำ
ติดตั้งแพตช์ความปลอดภัยของระบบปฏิบัติการ โปรแกรม และอุปกรณ์เครือข่าย เช่น เราเตอร์และไฟร์วอลล์ อุปกรณ์ที่หมดระยะการสนับสนุนจากผู้ผลิตควรวางแผนเปลี่ยน
4. สำรองข้อมูลและทดสอบกู้คืน
สำรองข้อมูลสำคัญตามหลัก 3-2-1 และเก็บสำเนาอย่างน้อยหนึ่งชุดที่แรนซัมแวร์เข้าถึงไม่ได้ ที่สำคัญคือทดสอบกู้คืนจริงเป็นระยะ เพราะข้อมูลสำรองที่กู้คืนไม่ได้ก็เท่ากับไม่มี
5. ให้สิทธิ์เท่าที่จำเป็น
พนักงานควรเข้าถึงได้เฉพาะระบบและข้อมูลที่ใช้ทำงาน บัญชีผู้ดูแลระบบใช้เฉพาะเมื่อจำเป็น และเมื่อพนักงานลาออกต้องปิดบัญชีและเปลี่ยนรหัสผ่านที่ใช้ร่วมกันทันที
6. ไฟร์วอลล์และแยกเครือข่าย
ตั้งค่าไฟร์วอลล์ให้เปิดเฉพาะบริการที่จำเป็น และแยก Wi-Fi สำหรับแขกออกจากเครือข่ายที่ใช้ทำงาน เพื่อไม่ให้อุปกรณ์ภายนอกเข้าถึงเครื่องและไฟล์ของกิจการได้
7. ป้องกันอีเมลหลอกลวง
- ตั้งค่า SPF DKIM และ DMARC ของโดเมนอีเมล เพื่อลดการปลอมแปลงอีเมลในนามบริษัท
- อบรมพนักงานให้สังเกตลิงก์และไฟล์แนบที่น่าสงสัย
- กำหนดว่าการเปลี่ยนเลขบัญชีรับเงินของคู่ค้าต้องยืนยันทางโทรศัพท์กับเบอร์ที่รู้จักอยู่แล้วเสมอ ไม่ใช่เบอร์ในอีเมล
8. มีแผนรับมือเหตุการณ์
เตรียมไว้ล่วงหน้าว่าเมื่อเกิดเหตุ ใครต้องทำอะไร ติดต่อใคร และแยกเครื่องที่ติดมัลแวร์ออกจากเครือข่ายอย่างไร พร้อมเก็บบันทึกการใช้งานของระบบสำคัญไว้ใช้ตรวจสอบ
เชื่อมโยงกับกฎหมายคุ้มครองข้อมูลส่วนบุคคล
หากเหตุละเมิดความปลอดภัยทำให้ข้อมูลส่วนบุคคลรั่วไหลและมีความเสี่ยงต่อสิทธิของเจ้าของข้อมูล กิจการมีหน้าที่แจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมงนับแต่ทราบเหตุ มาตรการพื้นฐานข้างต้นจึงช่วยทั้งการป้องกันและการแสดงว่ากิจการดูแลข้อมูลอย่างเหมาะสม
คำถามที่พบบ่อย
ธุรกิจขนาดเล็กต้องมีทีมไอทีของตัวเองหรือไม่
ไม่จำเป็น หลายกิจการใช้ที่ปรึกษาหรือผู้ให้บริการภายนอกดูแลระบบ แต่ควรมีผู้รับผิดชอบภายในที่รู้ว่าระบบสำคัญมีอะไรบ้างและติดต่อผู้ให้บริการได้ทันที
โปรแกรมป้องกันไวรัสอย่างเดียวพอหรือไม่
ไม่พอ โปรแกรมป้องกันเป็นเพียงชั้นหนึ่ง การโจมตีส่วนใหญ่เริ่มจากรหัสผ่านที่รั่วหรือการหลอกผู้ใช้ จึงต้องใช้ร่วมกับ MFA การอัปเดต และการอบรม
ควรประเมินความเสี่ยงบ่อยแค่ไหน
อย่างน้อยปีละครั้ง และทุกครั้งที่มีการเปลี่ยนแปลงสำคัญ เช่น ย้ายระบบขึ้นคลาวด์ เปิดสาขาใหม่ หรือเริ่มให้พนักงานทำงานจากภายนอก
ให้เราช่วยประเมินความปลอดภัยของระบบ
Kerwin & Vance ประเมินความเสี่ยง วางระบบไฟร์วอลล์ จัดการสิทธิ์การเข้าถึงข้อมูล และป้องกันการโจมตีทางไซเบอร์ตามมาตรฐาน ดูรายละเอียดบริการเทคโนโลยีสารสนเทศ หรือนัดหมายปรึกษากับเรา