យើងកំពុងនិយាយអំពីសុវត្ថិភាពនៅក្នុងពពក
លើសពីការបង្ហាញ
ទុកបែបនេះ តើអ្នកបារម្ភរឿងអ្វីដែលត្រូវលាតត្រដាង? តើអ្វីជាទ្រព្យសម្បត្តិដ៏មានតម្លៃបំផុតរបស់អ្នក? លេខសន្តិសុខសង្គមរបស់អ្នក? ព័ត៌មានគណនីធនាគាររបស់អ្នក? ឯកសារឯកជន ឬរូបថត? ឃ្លា Crypto Seed របស់អ្នក? ប្រសិនបើអ្នកគ្រប់គ្រងក្រុមហ៊ុន ឬទទួលខុសត្រូវលើការរក្សាសុវត្ថិភាពទិន្នន័យ អ្នកអាចព្រួយបារម្ភអំពីប្រភេទព័ត៌មានដូចគ្នាដែលត្រូវបានសម្របសម្រួល ប៉ុន្តែនៅលើ abroader ខ្នាត។ អ្នកត្រូវបានអតិថិជនទុកចិត្តឱ្យការពារទិន្នន័យរបស់ពួកគេ។
ក្នុងនាមជាអ្នកប្រើប្រាស់ យើងទទួលយកសុវត្ថិភាពនៃទិន្នន័យរបស់យើងសម្រាប់ការអនុញ្ញាត។ សព្វថ្ងៃនេះកាន់តែច្រើនឡើងៗ ដែលទិន្នន័យត្រូវបានរក្សាទុកក្នុងពពក។ អ្នកលក់មួយចំនួនផ្តល់ជូននូវសេវាកម្មដែលអនុញ្ញាតឱ្យអតិថិជនបម្រុងទុកទិន្នន័យពីកុំព្យូទ័រក្នុងតំបន់របស់ពួកគេទៅកាន់ពពក។ គិតថាវាជាថាសរឹងនិម្មិតនៅលើមេឃ។ នេះត្រូវបានផ្សាយថាជាមធ្យោបាយសុវត្ថិភាព និងងាយស្រួលដើម្បីការពារទិន្នន័យរបស់អ្នក។ ងាយស្រួល បាទ។ អ្នកអាចសង្គ្រោះឯកសារដែលអ្នកបានលុបដោយចៃដន្យ។ អ្នកអាចស្ដារថាសរឹងទាំងមូលដែលទិន្នន័យរបស់ពួកគេត្រូវបានខូច។
ប៉ុន្តែតើវាមានសុវត្ថិភាពទេ? អ្នកត្រូវបានផ្តល់ឱ្យនូវសោ និងសោ។ ជាធម្មតា គន្លឹះគឺឈ្មោះអ្នកប្រើប្រាស់ និងពាក្យសម្ងាត់។ វាត្រូវបានអ៊ិនគ្រីប និងស្គាល់តែអ្នកប៉ុណ្ណោះ។ នោះហើយជាមូលហេតុដែលអ្នកជំនាញសុវត្ថិភាពណែនាំឱ្យរក្សាពាក្យសម្ងាត់របស់អ្នកឱ្យមានសុវត្ថិភាព។ ប្រសិនបើនរណាម្នាក់ចូលប្រើពាក្យសម្ងាត់របស់អ្នក ពួកគេមានសោនិម្មិតទៅកាន់ផ្ទះនិម្មិតរបស់អ្នក។
អ្នកដឹងទាំងអស់នេះ។ ពាក្យសម្ងាត់របស់អ្នកចំពោះសេវាកម្មពពកបម្រុងទុកមានប្រវែង 16 តួអក្សរ មានអក្សរធំ និងអក្សរតូច លេខ និងតួអក្សរពិសេសមួយចំនួន។ អ្នកផ្លាស់ប្តូរវារៀងរាល់ប្រាំមួយខែម្តង ព្រោះអ្នកដឹងថាវាកាន់តែពិបាកសម្រាប់ពួក Hacker ។ វាខុសពីពាក្យសម្ងាត់ផ្សេងទៀតរបស់អ្នក – អ្នកមិនប្រើពាក្យសម្ងាត់ដូចគ្នាសម្រាប់គេហទំព័រច្រើនទេ។ តើមានអ្វីអាចទៅខុស?
ក្រុមហ៊ុនមួយចំនួនផ្តល់ជូននូវអ្វីដែលពួកគេបានដាក់ឈ្មោះថា "Personal Cloud"។ លោកខាងលិច Digital គឺជាក្រុមហ៊ុនមួយក្នុងចំណោមក្រុមហ៊ុនទាំងនោះដែលផ្តល់នូវវិធីងាយស្រួលក្នុងការបម្រុងទុកទិន្នន័យរបស់អ្នកទៅកាន់កន្លែងផ្ទាល់ខ្លួនរបស់អ្នកនៅក្នុងពពក។ វាជាទំហំផ្ទុកតាមបណ្តាញដែលមាននៅលើអ៊ីនធឺណិត។ វាដោតចូលទៅក្នុងរ៉ោតទ័រ Wi-Fi របស់អ្នក ដូច្នេះអ្នកអាចចូលប្រើវាបានពីគ្រប់ទីកន្លែងនៅក្នុងបណ្តាញរបស់អ្នក។ ងាយស្រួល ដោយសារវាភ្ជាប់ទៅអ៊ីនធឺណិតផងដែរ អ្នកអាចចូលប្រើទិន្នន័យផ្ទាល់ខ្លួនរបស់អ្នកពីគ្រប់ទីកន្លែងនៅលើអ៊ីនធឺណិត។ ជាមួយនឹងភាពងាយស្រួលមកហានិភ័យ។
ទីតាំងសម្របសម្រួល
កាលពីដើមឆ្នាំនេះ ពួក Hacker បានលួចចូលទៅក្នុងលោកខាងលិច Digitalប្រព័ន្ធរបស់ និងអាចទាញយកទិន្នន័យប្រហែល 10 Tb ។ បន្ទាប់មក អ្នកផ្ញើសំបុត្រខ្មៅបានរក្សាទុកទិន្នន័យសម្រាប់តម្លៃលោះ ហើយបានព្យាយាមចរចារកិច្ចព្រមព្រៀងភាគខាងជើងចំនួន 10,000,000 ដុល្លារអាមេរិកសម្រាប់ការត្រឡប់មកវិញដោយសុវត្ថិភាពនៃទិន្នន័យ។ ទិន្នន័យគឺដូចជាប្រេង។ ឬប្រហែលជាមាសគឺជាការប្រៀបធៀបល្អជាង។ ម្នាក់ក្នុងចំណោមពួក Hacker បាននិយាយក្នុងលក្ខខណ្ឌមិនបញ្ចេញឈ្មោះ។ ហា! TechCrunch បាន បានសម្ភាសគាត់ខណៈពេលដែលគាត់កំពុងស្ថិតក្នុងដំណើរការនៃកិច្ចព្រមព្រៀងពាណិជ្ជកម្មនេះ។ អ្វីដែលគួរឱ្យចាប់អារម្មណ៍នោះគឺថាទិន្នន័យដែលត្រូវបានគេសម្របសម្រួលរួមមានលោកខាងលិច Digitalវិញ្ញាបនបត្រចុះហត្ថលេខាលើកូដរបស់ នេះជាសមមូលបច្ចេកវិទ្យានៃការស្កែនរីទីណា។ វិញ្ញាបនបត្រនេះមានគោលបំណងដើម្បីកំណត់អត្តសញ្ញាណម្ចាស់ ឬអ្នកកាន់ជាវិជ្ជមាន។ ជាមួយនឹងការស្កែនរីទីណានិម្មិតនេះ មិនចាំបាច់មានពាក្យសម្ងាត់សម្រាប់ការចូលប្រើទិន្នន័យ "សុវត្ថិភាព" នោះទេ។ ម្យ៉ាងវិញទៀត ជាមួយនឹងវិញ្ញាបនបត្រនេះ អ្នកជំនួញមួកខ្មៅនេះអាចដើរបានត្រឹមត្រូវនៅមាត់ទ្វារខាងមុខ digital វាំង។
លោកខាងលិច Digital បានបដិសេធមិនធ្វើអត្ថាធិប្បាយក្នុងការឆ្លើយតបទៅនឹងការអះអាងរបស់អ្នកលួចចូលដែលថាពួកគេនៅតែស្ថិតក្នុងបណ្តាញរបស់ WD ។ Hacker ដែលមិនបញ្ចេញឈ្មោះបានសម្ដែងការខកចិត្តចំពោះអ្នកតំណាងនៅ Western Digital នឹងមិនត្រឡប់ការហៅរបស់គាត់ទេ។ ជាផ្លូវការនៅក្នុង ក សេចក្តីប្រកាសព័ត៌មាន, លោកខាងលិច Digital បានប្រកាសថា "ផ្អែកលើការស៊ើបអង្កេតរហូតមកដល់បច្ចុប្បន្ន ក្រុមហ៊ុនជឿជាក់ថាភាគីដែលគ្មានការអនុញ្ញាតទទួលបានទិន្នន័យជាក់លាក់ពីប្រព័ន្ធរបស់ខ្លួន ហើយកំពុងធ្វើការដើម្បីយល់ពីលក្ខណៈ និងវិសាលភាពនៃទិន្នន័យនោះ។" ដូច្នេះលោកខាងលិច Digital គឺជាម្តាយ ប៉ុន្តែអ្នកលួចចូលវាយប្រហារ។ ចំពោះរបៀបដែលពួកគេបានធ្វើវា អ្នកលួចបន្លំពិពណ៌នាអំពីរបៀបដែលពួកគេកេងប្រវ័ញ្ចភាពងាយរងគ្រោះដែលគេស្គាល់ ហើយអាចទទួលបានសិទ្ធិចូលប្រើទិន្នន័យនៅក្នុងពពកក្នុងនាមជាអ្នកគ្រប់គ្រងសកល។
អ្នកគ្រប់គ្រងសកល តាមលក្ខណៈនៃតួនាទី មានសិទ្ធិចូលប្រើអ្វីៗគ្រប់យ៉ាង។ គាត់មិនត្រូវការពាក្យសម្ងាត់របស់អ្នកទេ។ គាត់មានសោមេ។
លោកខាងលិច Digital គឺមិនមែនតែម្នាក់ឯងទេ។
A ការស្ទង់មតិមួយ កាលពីឆ្នាំមុនបានរកឃើញថា 83% នៃក្រុមហ៊ុនដែលបានស្ទង់មតិមាន លើសពីមួយ ការបំពានទិន្នន័យ 45% នៃនោះមានមូលដ្ឋានលើពពក។ នេះ។ ជាមធ្យម តម្លៃនៃការបំពានទិន្នន័យនៅសហរដ្ឋអាមេរិកមានចំនួន 9.44 លានដុល្លារ។ ការចំណាយត្រូវបានបែងចែកទៅជា 9 ប្រភេទការចំណាយ — ការបាត់បង់អាជីវកម្ម ការរកឃើញ និងការកើនឡើង ការជូនដំណឹង និងការឆ្លើយតបក្រោយការបំពាន។ (ខ្ញុំមិនប្រាកដថាតម្លៃលោះទិន្នន័យស្ថិតក្នុងប្រភេទណាទេ។ វាមិនច្បាស់ទេថាតើអ្នកឆ្លើយតបណាមួយបានបង់ប្រាក់លោះតាមការទាមទារ។) ពេលវេលាជាមធ្យមដែលអង្គការត្រូវចំណាយពេលដើម្បីកំណត់អត្តសញ្ញាណនិងឆ្លើយតបនឹងការបំពានទិន្នន័យគឺប្រហែល XNUMX ខែ។ វាមិនមែនជារឿងភ្ញាក់ផ្អើលនោះទេ ដែលប៉ុន្មានខែបន្ទាប់ពីលោកខាងលិច Digital ដំបូងគេទទួលស្គាល់ការបំពានទិន្នន័យ ពួកគេកំពុងតែស៊ើបអង្កេត។
វាពិបាកក្នុងការនិយាយឱ្យច្បាស់ថាតើមានក្រុមហ៊ុនប៉ុន្មានដែលបានរំលោភទិន្នន័យ។ ខ្ញុំស្គាល់ក្រុមហ៊ុនឯកជនដ៏ធំមួយដែលត្រូវបានវាយប្រហារដោយ ransomware ។ ម្ចាស់មិនព្រមចរចាមិនព្រមបង់។ នោះមានន័យថា បាត់អ៊ីមែល និងឯកសារទិន្នន័យ។ ពួកគេបានជ្រើសរើសបង្កើតឡើងវិញនូវអ្វីៗទាំងអស់ពីការបម្រុងទុកដែលគ្មានមេរោគ និងដំឡើងកម្មវិធីឡើងវិញ។ មានពេលវេលាធ្លាក់ចុះគួរឱ្យកត់សម្គាល់ និងបាត់បង់ផលិតភាព។ ព្រឹត្តិការណ៍នេះមិនដែលមាននៅក្នុងប្រព័ន្ធផ្សព្វផ្សាយទេ។ ក្រុមហ៊ុននោះសំណាងណាស់ព្រោះ 66% នៃក្រុមហ៊ុនខ្នាតតូច និងមធ្យម ដែលត្រូវបានវាយប្រហារដោយ ransomware បញ្ចប់អាជីវកម្មក្នុងរយៈពេល 6 ខែ។
- គេហទំព័រ 30,000 hacked ជារៀងរាល់ថ្ងៃ
- ៤ លានឯកសារ លួច ជារៀងរាល់ថ្ងៃ
- កំណត់ត្រា 22 ពាន់លានគឺ រំលោភ ក្នុង 2021
ប្រសិនបើអ្នកធ្លាប់ធ្វើអាជីវកម្មជាមួយ ឬប្រើប្រាស់សេវាកម្មរបស់ Capital One, Marriott, Equifax, Target ឬ Uber នោះ វាអាចថាពាក្យសម្ងាត់របស់អ្នកត្រូវបានសម្របសម្រួល។ ក្រុមហ៊ុនធំៗទាំងនេះនីមួយៗទទួលរងការបំពានទិន្នន័យយ៉ាងសំខាន់។
- រាជធានីទីមួយ៖ ហេកឃ័រម្នាក់បានចូលប្រើប្រាស់អតិថិជន និងអ្នកដាក់ពាក្យចំនួន 100 លាននាក់ដោយទាញយកភាពងាយរងគ្រោះនៅក្នុងហេដ្ឋារចនាសម្ព័ន្ធពពករបស់ក្រុមហ៊ុន។
- Marriott៖ ការរំលោភលើទិន្នន័យបានលាតត្រដាងព័ត៌មានលើអតិថិជន 500 លាននាក់ (ការរំលោភនេះមិនអាចរកឃើញក្នុងរយៈពេល 4 ឆ្នាំ)។
- Equifax៖ ព័ត៌មានផ្ទាល់ខ្លួននៅក្នុងពពកលើអតិថិជន 147 លាននាក់ត្រូវបានលាតត្រដាង។
- គោលដៅ៖ ឧក្រិដ្ឋជនតាមអ៊ីនធឺណិតបានចូលប្រើលេខកាតឥណទាន 40 លាន។
- Uber៖ ពួក Hacker បានសម្រុះសម្រួលកុំព្យូទ័រយួរដៃរបស់អ្នកអភិវឌ្ឍន៍ ហើយទទួលបានអ្នកប្រើប្រាស់ 57 លាននាក់ និងអ្នកបើកបរ 600,000 ។
- LastPass[1]៖ ពួក Hacker បានលួចទិន្នន័យតុដេករបស់អតិថិជនចំនួន 33 លាននាក់នៅក្នុងការរំលោភលើការផ្ទុកពពកសម្រាប់ក្រុមហ៊ុនគ្រប់គ្រងពាក្យសម្ងាត់នេះ។ អ្នកវាយប្រហារទទួលបានសិទ្ធិចូលប្រើ Cloud Storage របស់ Lastpass ដោយប្រើ "សោចូលប្រើកន្លែងផ្ទុកពពក និងសោឌិគ្រីបកុងតឺន័រពីរ" ដែលលួចចេញពីបរិស្ថានអ្នកអភិវឌ្ឍន៍របស់វា។
អ្នកអាចពិនិត្យមើលថាតើអ្នកត្រូវបានលាតត្រដាងនៅក្នុងការបំពានទិន្នន័យនៅលើគេហទំព័រនេះដែរឬទេ៖ ខ្ញុំត្រូវបានគេដេក? វាយបញ្ចូលអាសយដ្ឋានអ៊ីមែលរបស់អ្នក នោះវានឹងបង្ហាញអ្នកពីចំនួនការបំពានទិន្នន័យដែលអាសយដ្ឋានអ៊ីមែលត្រូវបានរកឃើញ។ ឧទាហរណ៍ ខ្ញុំបានវាយបញ្ចូលអាសយដ្ឋានអ៊ីមែលផ្ទាល់ខ្លួនរបស់ខ្ញុំមួយ ហើយបានរកឃើញថាវាជាផ្នែកមួយនៃការបំពានទិន្នន័យចំនួន 25 ផ្សេងៗគ្នា រួមទាំង Evite ផងដែរ។ , Dropbox, Adobe, LinkedIn និង Twitter ។
រារាំងអ្នកប្តឹងដែលមិនចង់បាន
ប្រហែលជាមិនមានការទទួលស្គាល់ជាសាធារណៈដោយលោកខាងលិចទេ។ Digital អំពីអ្វីដែលបានកើតឡើង។ ឧបទ្ទវហេតុនេះបង្ហាញពីរឿងពីរ៖ ទិន្នន័យនៅក្នុងពពកគឺមានសុវត្ថិភាពដូចអ្នករក្សារបស់វា និងអ្នករក្សាសោត្រូវប្រុងប្រយ័ត្នជាពិសេស។ ដើម្បីបកស្រាយគោលការណ៍ Peter Parker ជាមួយនឹងការចូលប្រើជា root មានទំនួលខុសត្រូវដ៏អស្ចារ្យ។
ដើម្បីឱ្យកាន់តែច្បាស់លាស់ អ្នកប្រើប្រាស់ root និងអ្នកគ្រប់គ្រងសកលគឺមិនដូចគ្នាទេ។ ទាំងពីរមានអំណាចច្រើន ប៉ុន្តែគួរតែជាគណនីដាច់ដោយឡែក។ អ្នកប្រើប្រាស់ជា root ជាម្ចាស់ និងមានសិទ្ធិចូលប្រើគណនីពពកសាជីវកម្មនៅកម្រិតទាបបំផុត។ ដូច្នេះ គណនីនេះអាចលុបទិន្នន័យទាំងអស់ VMs ព័ត៌មានអតិថិជន — អ្វីគ្រប់យ៉ាងដែលអាជីវកម្មបានធានានៅក្នុងពពក។ នៅក្នុង AWS មានតែ កិច្ចការ 10រួមទាំងការដំឡើង និងបិទគណនី AWS របស់អ្នក ដែលពិតជាទាមទារសិទ្ធិជា root ។
គណនីអ្នកគ្រប់គ្រងគួរតែត្រូវបានបង្កើតដើម្បីអនុវត្តការងាររដ្ឋបាល (duh) ។ ជាធម្មតាមានគណនីអ្នកគ្រប់គ្រងច្រើន ដែលជាធម្មតាផ្អែកលើបុគ្គល មិនដូចគណនីឫសតែមួយទេ។ ដោយសារតែគណនីអ្នកគ្រប់គ្រងត្រូវបានភ្ជាប់ជាមួយបុគ្គលម្នាក់ អ្នកអាចតាមដានយ៉ាងងាយស្រួលថាតើអ្នកណាបានធ្វើការផ្លាស់ប្តូរអ្វីខ្លះនៅក្នុងបរិស្ថាន។
ឯកសិទ្ធិតិចតួចបំផុតសម្រាប់សុវត្ថិភាពអតិបរមា
ការស្ទង់មតិលើការបំពានទិន្នន័យបានសិក្សាពីផលប៉ះពាល់នៃកត្តាចំនួន 28 លើភាពធ្ងន់ធ្ងរនៃការរំលោភបំពានទិន្នន័យ។ ការប្រើប្រាស់សន្តិសុខ AI វិធីសាស្រ្ត DevSecOps ការបណ្តុះបណ្តាលបុគ្គលិក ការគ្រប់គ្រងអត្តសញ្ញាណ និងការចូលប្រើ MFA ការវិភាគសុវត្ថិភាពទាំងអស់មានផលប៉ះពាល់ជាវិជ្ជមានក្នុងការកាត់បន្ថយចំនួនប្រាក់ដុល្លារជាមធ្យមដែលបាត់បង់ក្នុងឧប្បត្តិហេតុមួយ។ ចំណែកឯការបរាជ័យនៃការអនុលោមភាព ភាពស្មុគស្មាញនៃប្រព័ន្ធសុវត្ថិភាព កង្វះជំនាញសុវត្ថិភាព និងការផ្ទេរទិន្នន័យតាមពពក គឺជាកត្តាដែលរួមចំណែកដល់ការកើនឡើងខ្ពស់នៃការចំណាយជាមធ្យមនៃការបំពានទិន្នន័យ។ 
នៅពេលដែលអ្នកធ្វើចំណាកស្រុកទៅកាន់ពពក អ្នកត្រូវប្រុងប្រយ័ត្នជាងមុនក្នុងការការពារទិន្នន័យរបស់អ្នក។ នេះគឺជាវិធីបន្ថែមមួយចំនួនដើម្បីកាត់បន្ថយហានិភ័យរបស់អ្នក និងដំណើរការបរិយាកាសដែលមានសុវត្ថិភាពជាងមុនពី ក សន្ដិសុខ ទស្សនៈ៖
1. ការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវនៃកត្តា Muli៖ អនុវត្ត MFA សម្រាប់ root និងគណនីអ្នកគ្រប់គ្រងទាំងអស់។ កាន់តែល្អ ប្រើឧបករណ៍ MFA ផ្នែករឹង។ Hacker ដ៏មានសក្តានុពលនឹងត្រូវការមិនត្រឹមតែឈ្មោះគណនី និងពាក្យសម្ងាត់ប៉ុណ្ណោះទេ ប៉ុន្តែក៏មាន MFA រាងកាយដែលបង្កើតកូដដែលធ្វើសមកាលកម្មផងដែរ។
2. ថាមពលក្នុងចំនួនតូច៖ កំណត់អ្នកដែលមានសិទ្ធិចូលប្រើជា root ។ អ្នកជំនាញផ្នែកសុវត្ថិភាពមួយចំនួនណែនាំអ្នកប្រើប្រាស់មិនលើសពី 3 នាក់។ គ្រប់គ្រងការចូលប្រើអ្នកប្រើប្រាស់ជា root យ៉ាងយកចិត្តទុកដាក់។ ប្រសិនបើអ្នកអនុវត្តការគ្រប់គ្រងអត្តសញ្ញាណ និងការចាកចេញទៅកន្លែងផ្សេង សូមធ្វើវានៅទីនេះ។ ប្រសិនបើមនុស្សម្នាក់នៅក្នុងរង្វង់នៃការទុកចិត្តចាកចេញពីអង្គការ សូមប្តូរពាក្យសម្ងាត់ root ។ ស្តារឧបករណ៍ MFA ។
3. សិទ្ធិគណនីលំនាំដើម៖ នៅពេលផ្តល់គណនីអ្នកប្រើប្រាស់ថ្មី ឬតួនាទី ត្រូវប្រាកដថាពួកគេត្រូវបានផ្តល់សិទ្ធិតិចតួចបំផុតតាមលំនាំដើម។ ចាប់ផ្តើមជាមួយនឹងគោលការណ៍ចូលប្រើតិចតួចបំផុត ហើយបន្ទាប់មកផ្តល់ការអនុញ្ញាតបន្ថែមតាមតម្រូវការ។ គោលការណ៍នៃការផ្តល់សុវត្ថិភាពតិចបំផុតដើម្បីសម្រេចកិច្ចការមួយគឺជាគំរូដែលនឹងឆ្លងកាត់ស្តង់ដារការអនុលោមតាមសុវត្ថិភាព SOC2 ។ គោលគំនិតគឺថាអ្នកប្រើប្រាស់ ឬកម្មវិធីណាមួយគួរតែមានសុវត្ថិភាពអប្បបរមាដែលត្រូវការដើម្បីអនុវត្តមុខងារដែលត្រូវការ។ ឯកសិទ្ធិដែលត្រូវបានសម្របសម្រួលកាន់តែខ្ពស់ ហានិភ័យកាន់តែធំ។ ផ្ទុយទៅវិញ សិទ្ធិដែលបង្ហាញឱ្យឃើញកាន់តែទាប ហានិភ័យកាន់តែទាប។
4. សិទ្ធិសវនកម្ម៖ ធ្វើសវនកម្ម និងពិនិត្យមើលឡើងវិញជាទៀងទាត់នូវសិទ្ធិដែលផ្តល់ដល់អ្នកប្រើប្រាស់ តួនាទី និងគណនីនៅក្នុងបរិយាកាសពពករបស់អ្នក។ នេះធានាថាបុគ្គលម្នាក់ៗមានការអនុញ្ញាតចាំបាច់ដើម្បីអនុវត្តភារកិច្ចដែលបានកំណត់របស់ពួកគេ។
5. ការគ្រប់គ្រងអត្តសញ្ញាណ និងសិទ្ធិក្នុងពេលវេលា៖ កំណត់អត្តសញ្ញាណ និងដកហូតសិទ្ធិហួសហេតុ ឬមិនបានប្រើ ដើម្បីកាត់បន្ថយហានិភ័យនៃការចូលប្រើប្រាស់ដោយគ្មានការអនុញ្ញាត។ ផ្តល់សិទ្ធិចូលប្រើដល់អ្នកប្រើប្រាស់តែនៅពេលដែលពួកគេតម្រូវឱ្យពួកគេសម្រាប់កិច្ចការជាក់លាក់ ឬរយៈពេលកំណត់។ វាកាត់បន្ថយផ្ទៃនៃការវាយប្រហារ និងកាត់បន្ថយឱកាសនៃការគំរាមកំហែងផ្នែកសុវត្ថិភាពដែលអាចកើតមាន។ 
6. ឯកសារបញ្ជាក់អត្តសញ្ញាណដែលបានបង្កប់៖ ហាមឃាត់ការសរសេរកូដរឹងនៃការផ្ទៀងផ្ទាត់ដែលមិនបានអ៊ិនគ្រីប (ឈ្មោះអ្នកប្រើប្រាស់ ពាក្យសម្ងាត់ សោចូលប្រើប្រាស់) នៅក្នុងស្គ្រីប ការងារ ឬកូដផ្សេងទៀត។ ផ្ទុយទៅវិញមើលទៅ ក អ្នកគ្រប់គ្រងសម្ងាត់ ដែលអ្នកអាចប្រើដើម្បីទាញយកព័ត៌មានសម្ងាត់តាមកម្មវិធី។
7. ការកំណត់រចនាសម្ព័ន្ធជាកូដ (IaC)៖ ប្រកាន់ខ្ជាប់នូវការអនុវត្តល្អបំផុតផ្នែកសុវត្ថិភាព នៅពេលកំណត់រចនាសម្ព័ន្ធហេដ្ឋារចនាសម្ព័ន្ធពពករបស់អ្នកដោយប្រើឧបករណ៍ IaC ដូចជា AWS CloudFormation ឬ Terraform ។ ជៀសវាងការផ្តល់សិទ្ធិចូលប្រើជាសាធារណៈតាមលំនាំដើម និងដាក់កម្រិតការចូលប្រើធនធានចំពោះតែបណ្តាញដែលជឿទុកចិត្ត អ្នកប្រើប្រាស់ ឬអាសយដ្ឋាន IP ប៉ុណ្ណោះ។ ប្រើប្រាស់ការអនុញ្ញាតដែលមានលក្ខណៈល្អិតល្អន់ និងយន្តការត្រួតពិនិត្យការចូលប្រើ ដើម្បីអនុវត្តគោលការណ៍នៃសិទ្ធិតិចតួចបំផុត។
8. ការកត់ត្រាសកម្មភាព៖ បើកដំណើរការការកត់ត្រា និងការត្រួតពិនិត្យយ៉ាងទូលំទូលាយនៃសកម្មភាព និងព្រឹត្តិការណ៍នៅក្នុងបរិយាកាសពពករបស់អ្នក។ ចាប់យក និងវិភាគកំណត់ហេតុសម្រាប់សកម្មភាពមិនប្រក្រតី ឬអាចបង្កគ្រោះថ្នាក់។ អនុវត្តដំណោះស្រាយការគ្រប់គ្រងកំណត់ហេតុ និងព័ត៌មានសុវត្ថិភាព និងការគ្រប់គ្រងព្រឹត្តិការណ៍ (SIEM) ដ៏រឹងមាំ ដើម្បីស្វែងរក និងឆ្លើយតបចំពោះឧប្បត្តិហេតុសុវត្ថិភាពភ្លាមៗ។
9. ការវាយតម្លៃភាពងាយរងគ្រោះជាប្រចាំ៖ អនុវត្តការវាយតម្លៃភាពងាយរងគ្រោះជាទៀងទាត់ និងការធ្វើតេស្តការជ្រៀតចូលដើម្បីកំណត់អត្តសញ្ញាណភាពទន់ខ្សោយផ្នែកសុវត្ថិភាពនៅក្នុងបរិយាកាសពពករបស់អ្នក។ ជួសជុល និងជួសជុលភាពងាយរងគ្រោះដែលបានកំណត់អត្តសញ្ញាណភ្លាមៗ។ តាមដានការអាប់ដេតសុវត្ថិភាព និងបំណះដែលចេញផ្សាយដោយអ្នកផ្តល់សេវាពពករបស់អ្នក ហើយធានាថាពួកវាត្រូវបានអនុវត្តភ្លាមៗដើម្បីការពារប្រឆាំងនឹងការគំរាមកំហែងដែលគេស្គាល់។
10. អប់រំនិងបណ្តុះបណ្តាល៖ លើកកម្ពស់វប្បធម៌នៃការយល់ដឹងអំពីសុវត្ថិភាព និងផ្តល់ការបណ្តុះបណ្តាលជាប្រចាំដល់បុគ្គលិកទាក់ទងនឹងសារៈសំខាន់នៃគោលការណ៍នៃសិទ្ធិតិចតួចបំផុត។ អប់រំពួកគេអំពីហានិភ័យដែលអាចកើតមានទាក់ទងនឹងសិទ្ធិហួសហេតុ និងការអនុវត្តល្អបំផុតដែលត្រូវអនុវត្តតាម នៅពេលចូលប្រើ និងគ្រប់គ្រងធនធាននៅក្នុងបរិយាកាសពពក។
11. បំណះ និងការអាប់ដេត៖ កាត់បន្ថយភាពងាយរងគ្រោះដោយធ្វើបច្ចុប្បន្នភាពកម្មវិធីម៉ាស៊ីនមេទាំងអស់ឱ្យបានទៀងទាត់។ រក្សាហេដ្ឋារចនាសម្ព័ន្ធ Cloud របស់អ្នក និងកម្មវិធីដែលពាក់ព័ន្ធឱ្យទាន់សម័យ ដើម្បីការពារប្រឆាំងនឹងភាពងាយរងគ្រោះដែលគេស្គាល់។ អ្នកផ្តល់សេវា Cloud តែងតែបញ្ចេញបំណះសុវត្ថិភាព និងការអាប់ដេត ដូច្នេះការបន្តនូវការណែនាំរបស់ពួកគេគឺមានសារៈសំខាន់ណាស់។
ការជឿទុកចិត្ត
វាមកលើការជឿទុកចិត្ត – ផ្តល់តែអ្នកដែលនៅក្នុងស្ថាប័នរបស់អ្នកនូវការជឿទុកចិត្តដើម្បីសម្រេចកិច្ចការដែលពួកគេត្រូវធ្វើ ដើម្បីសម្រេចការងាររបស់ពួកគេ។ អ្នកជំនាញសន្តិសុខណែនាំ សូន្យទុកចិត្ត. គំរូសុវត្ថិភាព Zero Trust គឺផ្អែកលើគោលការណ៍សំខាន់ៗចំនួនបី៖
- ផ្ទៀងផ្ទាត់ឱ្យបានច្បាស់លាស់ – ប្រើចំណុចទិន្នន័យដែលមានទាំងអស់ ដើម្បីធ្វើសុពលភាពអត្តសញ្ញាណ និងការចូលប្រើរបស់អ្នកប្រើប្រាស់។
- ប្រើការចូលប្រើដែលមានសិទ្ធិតិចបំផុត - ទាន់ពេល និងសុវត្ថិភាពគ្រប់គ្រាន់។
- សន្មត់ថាបំពាន - អ៊ិនគ្រីបអ្វីៗគ្រប់យ៉ាង ប្រើការវិភាគសកម្ម និងមានការឆ្លើយតបបន្ទាន់។
ក្នុងនាមជាអ្នកប្រើប្រាស់សេវាពពក និងពពក វាក៏មានការជឿទុកចិត្តផងដែរ។ អ្នកត្រូវសួរខ្លួនឯងថា "តើខ្ញុំជឿជាក់លើអ្នកលក់របស់ខ្ញុំក្នុងការរក្សាទុកទិន្នន័យដ៏មានតម្លៃរបស់ខ្ញុំនៅក្នុងពពកទេ?" ការជឿទុកចិត្ត ក្នុងករណីនេះមានន័យថា អ្នកពឹងផ្អែកលើក្រុមហ៊ុននោះ ឬក្រុមហ៊ុនណាមួយដែលចូលចិត្តវា ដើម្បីគ្រប់គ្រងសុវត្ថិភាព ដូចដែលយើងបានពណ៌នាខាងលើ។ ម្យ៉ាងវិញទៀត ប្រសិនបើអ្នកឆ្លើយក្នុងភាពអវិជ្ជមាន តើអ្នកបានត្រៀមលក្ខណៈដើម្បីអនុវត្តប្រភេទដូចគ្នានៃសកម្មភាពគ្រប់គ្រងសុវត្ថិភាពនៅក្នុងបរិយាកាសផ្ទះរបស់អ្នក។ តើអ្នកជឿជាក់លើខ្លួនឯងទេ?
ក្នុងនាមជាក្រុមហ៊ុនដែលផ្តល់សេវាកម្មនៅក្នុងពពក អតិថិជនបានដាក់ការជឿជាក់លើអ្នកដើម្បីការពារទិន្នន័យរបស់ពួកគេនៅក្នុងហេដ្ឋារចនាសម្ព័ន្ធពពករបស់អ្នក។ វាជាដំណើរការដែលកំពុងដំណើរការ។ ទទួលបានព័ត៌មានអំពីការគំរាមកំហែងដែលកំពុងកើតមាន សម្របវិធានការសុវត្ថិភាពរបស់អ្នកឱ្យសមស្រប និងសហការជាមួយអ្នកជំនាញដែលមានបទពិសោធន៍ ឬអ្នកប្រឹក្សាសន្តិសុខ ដើម្បីធានាបាននូវការការពារខ្ពស់បំផុតសម្រាប់អាជីវកម្មរបស់អ្នកនៅក្នុងទិដ្ឋភាពពពកដែលកំពុងវិវឌ្ឍជានិច្ច។
- https://www.bleepingcomputer.com/news/security/lastpass-hackers-stole-customer-vault-data-in-cloud-storage-breach/ ↑
