ພວກເຮົາເວົ້າກ່ຽວກັບຄວາມປອດໄພໃນຄລາວ
ການຮັບແສງເກີນ
ໃຫ້ມັນມາທາງນີ້, ເຈົ້າກັງວົນຫຍັງກ່ຽວກັບການເປີດເຜີຍ? ຊັບສິນທີ່ມີຄຸນຄ່າທີ່ສຸດຂອງເຈົ້າແມ່ນຫຍັງ? ໝາຍເລກປະກັນສັງຄົມຂອງເຈົ້າບໍ? ຂໍ້ມູນບັນຊີທະນາຄານຂອງເຈົ້າ? ເອກະສານສ່ວນຕົວ, ຫຼືຮູບຖ່າຍ? ປະໂຫຍກ crypto ແກ່ນຂອງທ່ານ? ຖ້າຫາກວ່າທ່ານຄຸ້ມຄອງບໍລິສັດ, ຫຼືມີຄວາມຮັບຜິດຊອບສໍາລັບການເກັບຮັກສາຂໍ້ມູນ, ທ່ານອາດຈະກັງວົນກ່ຽວກັບການປະເພດດຽວກັນຂອງຂໍ້ມູນທີ່ຖືກຫຼຸດຫນ້ອຍລົງ, ແຕ່ກ່ຽວກັບ abroader ຂະຫນາດ. ທ່ານໄດ້ຮັບຄວາມໄວ້ວາງໃຈຈາກລູກຄ້າຂອງທ່ານໃນການປົກປ້ອງຂໍ້ມູນຂອງເຂົາເຈົ້າ.
ໃນຖານະຜູ້ບໍລິໂພກ, ພວກເຮົາເອົາຄວາມປອດໄພຂອງຂໍ້ມູນຂອງພວກເຮົາສໍາລັບການອະນຸຍາດ. ເລື້ອຍໆໃນທຸກມື້ນີ້ທີ່ຂໍ້ມູນຖືກເກັບໄວ້ໃນຄລາວ. ຜູ້ຂາຍຈໍານວນຫນຶ່ງສະເຫນີບໍລິການທີ່ອະນຸຍາດໃຫ້ລູກຄ້າສາມາດສໍາຮອງຂໍ້ມູນຂໍ້ມູນຈາກຄອມພິວເຕີທ້ອງຖິ່ນຂອງເຂົາເຈົ້າກັບຄລາວ. ຄິດວ່າມັນເປັນຮາດໄດ virtual ໃນທ້ອງຟ້າ. ອັນນີ້ຖືກໂຄສະນາວ່າເປັນວິທີທີ່ປອດໄພ ແລະສະດວກໃນການປົກປ້ອງຂໍ້ມູນຂອງທ່ານ. ສະດວກ, ແມ່ນແລ້ວ. ທ່ານສາມາດຟື້ນຕົວໄຟລ໌ທີ່ທ່ານໄດ້ລຶບໂດຍບັງເອີນ. ທ່ານສາມາດຟື້ນຟູຮາດດິດທັງຫມົດທີ່ມີຂໍ້ມູນເສຍຫາຍ.
ແຕ່ມັນປອດໄພບໍ? ທ່ານໄດ້ຖືກສະຫນອງໃຫ້ມີ lock ແລະກະແຈ. ທີ່ສໍາຄັນແມ່ນ, ໂດຍປົກກະຕິ, ຊື່ຜູ້ໃຊ້ແລະລະຫັດຜ່ານ. ມັນໄດ້ຖືກເຂົ້າລະຫັດໄວ້ ແລະຮູ້ຈັກກັບເຈົ້າເທົ່ານັ້ນ. ນັ້ນແມ່ນເຫດຜົນທີ່ຜູ້ຊ່ຽວຊານດ້ານຄວາມປອດໄພແນະນໍາໃຫ້ຮັກສາລະຫັດຜ່ານຂອງທ່ານໃຫ້ປອດໄພ. ຖ້າໃຜຜູ້ຫນຶ່ງເຂົ້າເຖິງລະຫັດຜ່ານຂອງເຈົ້າ, ເຂົາເຈົ້າມີກະແຈ virtual ກັບເຮືອນ virtual ຂອງທ່ານ.
ທ່ານຮູ້ທັງຫມົດນີ້. ລະຫັດຜ່ານຂອງທ່ານໃນການບໍລິການຄລາວສຳຮອງມີຄວາມຍາວ 16 ຕົວອັກສອນ, ມີຕົວອັກສອນຕົວພິມໃຫຍ່ ແລະ ຕົວພິມນ້ອຍ, ຕົວເລກ ແລະ ຕົວອັກສອນພິເສດສອງສາມຕົວ. ທ່ານປ່ຽນມັນທຸກໆຫົກເດືອນເພາະວ່າທ່ານຮູ້ວ່າມັນເຮັດໃຫ້ມັນຍາກສໍາລັບແຮກເກີ. ມັນແຕກຕ່າງຈາກລະຫັດຜ່ານອື່ນຂອງທ່ານ – ທ່ານບໍ່ໄດ້ໃຊ້ລະຫັດຜ່ານດຽວກັນສໍາລັບຫຼາຍເວັບໄຊທ໌. ສິ່ງທີ່ອາດຈະຜິດພາດ?
ບາງບໍລິສັດສະເໜີສິ່ງທີ່ເຂົາເຈົ້າໃສ່ຊື່ເປັນ “Personal Cloud.” ຕາເວັນຕົກ Digital ແມ່ນຫນຶ່ງໃນບັນດາບໍລິສັດທີ່ສະຫນອງວິທີທີ່ງ່າຍໃນການສໍາຮອງຂໍ້ມູນຂໍ້ມູນຂອງທ່ານກັບພື້ນທີ່ສ່ວນຕົວຂອງທ່ານໃນເມຄ. ມັນເປັນການເກັບຮັກສາເຄືອຂ່າຍທີ່ມີຢູ່ໃນອິນເຕີເນັດ. ມັນສຽບໃສ່ເຣົາເຕີ Wi-Fi ຂອງເຈົ້າເພື່ອໃຫ້ເຈົ້າສາມາດເຂົ້າເຖິງມັນໄດ້ຈາກທຸກບ່ອນໃນເຄືອຂ່າຍຂອງເຈົ້າ. ສະດວກ, ເນື່ອງຈາກວ່າມັນຍັງເຊື່ອມຕໍ່ກັບອິນເຕີເນັດ, ທ່ານສາມາດເຂົ້າເຖິງຂໍ້ມູນສ່ວນຕົວຂອງທ່ານຈາກທຸກບ່ອນໃນອິນເຕີເນັດ. ດ້ວຍຄວາມສະດວກສະບາຍມາຄວາມສ່ຽງ.
ຕໍາແໜ່ງການປະນີປະນອມ
ໃນຕົ້ນປີນີ້, ແຮກເກີໄດ້ບຸກເຂົ້າໄປໃນຕາເວັນຕົກ Digitalລະບົບຂອງ ແລະສາມາດດາວໂຫຼດຂໍ້ມູນປະມານ 10 Tb. ຫຼັງຈາກນັ້ນ, ຜູ້ສົ່ງຈົດໝາຍສີດຳໄດ້ເກັບຂໍ້ມູນເພື່ອຄ່າໄຖ່ ແລະພະຍາຍາມເຈລະຈາຂໍ້ຕົກລົງທາງພາກເໜືອຂອງ 10,000,000 ໂດລາສະຫະລັດ ເພື່ອເອົາຂໍ້ມູນຄືນມາຢ່າງປອດໄພ. ຂໍ້ມູນແມ່ນຄ້າຍຄືນ້ໍາມັນ. ຫຼືບາງທີທອງແມ່ນເປັນການປຽບທຽບທີ່ດີກວ່າ. ຫນຶ່ງໃນແຮກເກີໄດ້ກ່າວເຖິງເງື່ອນໄຂຂອງການປິດບັງຊື່. ຮາ! TechCrunch ສໍາພາດລາວໃນຂະນະທີ່ລາວຢູ່ໃນຂະບວນການຂອງສັນຍາທຸລະກິດນີ້. ສິ່ງທີ່ໜ້າສົນໃຈແມ່ນຂໍ້ມູນທີ່ຖືກປະນີປະນອມລວມທັງຝ່າຍຕາເວັນຕົກ Digitalໃບຢັ້ງຢືນການເຊັນລະຫັດຂອງ. ນີ້ແມ່ນທຽບເທົ່າເຕັກໂນໂລຢີຂອງການສະແກນ retina. ໃບຢັ້ງຢືນມີຈຸດປະສົງເພື່ອລະບຸເຈົ້າຂອງ ຫຼືຜູ້ຖືໃນແງ່ບວກ. ດ້ວຍການສະແກນ retina virtual ນີ້, ບໍ່ຈໍາເປັນຕ້ອງມີລະຫັດຜ່ານສໍາລັບການເຂົ້າເຖິງຂໍ້ມູນ "ປອດໄພ". ໃນຄໍາສັບຕ່າງໆອື່ນໆ, ດ້ວຍໃບຢັ້ງຢືນນີ້ນັກທຸລະກິດຫມວກສີດໍາສາມາດຍ່າງຢູ່ໃນປະຕູທາງຫນ້າຂອງ digital ພະລາຊະວັງ.
ຕາເວັນຕົກ Digital ປະຕິເສດທີ່ຈະສະແດງຄວາມຄິດເຫັນໃນການຕອບໂຕ້ການອ້າງຂອງແຮກເກີວ່າພວກເຂົາຍັງຢູ່ໃນເຄືອຂ່າຍຂອງ WD. ແຮກເກີທີ່ບໍ່ມີຊື່ໄດ້ສະແດງຄວາມຜິດຫວັງຕໍ່ຜູ້ຕາງຫນ້າຂອງຝ່າຍຕາເວັນຕົກ Digital ຈະບໍ່ກັບຄືນການໂທຂອງລາວ. ຢ່າງເປັນທາງການ, ໃນ A ປະຊາສໍາພັນ, ຕາເວັນຕົກ Digital ປະກາດວ່າ, "ອີງໃສ່ການສືບສວນຈົນເຖິງປະຈຸບັນ, ບໍລິສັດເຊື່ອວ່າພາກສ່ວນທີ່ບໍ່ໄດ້ຮັບອະນຸຍາດໄດ້ຮັບຂໍ້ມູນບາງຢ່າງຈາກລະບົບຂອງຕົນແລະກໍາລັງເຮັດວຽກເພື່ອເຂົ້າໃຈລັກສະນະແລະຂອບເຂດຂອງຂໍ້ມູນນັ້ນ." ດັ່ງນັ້ນ, ຕາເວັນຕົກ Digital ແມ່ນແມ່, ແຕ່ແຮກເກີກໍາລັງ blabbing. ກ່ຽວກັບວິທີທີ່ພວກເຂົາເຮັດມັນ, ແຮກເກີອະທິບາຍວ່າພວກເຂົາໃຊ້ຊ່ອງໂຫວ່ທີ່ຮູ້ຈັກແລະສາມາດເຂົ້າເຖິງຂໍ້ມູນໃນ cloud ໃນຖານະຜູ້ບໍລິຫານທົ່ວໂລກ.
ຜູ້ບໍລິຫານທົ່ວໂລກ, ໂດຍລັກສະນະຂອງບົດບາດ, ມີການເຂົ້າເຖິງທຸກສິ່ງທຸກຢ່າງ. ລາວບໍ່ຕ້ອງການລະຫັດຜ່ານຂອງເຈົ້າ. ລາວມີລະຫັດຫຼັກ.
ຕາເວັນຕົກ Digital ບໍ່ແມ່ນຄົນດຽວ
A ການສໍາຫຼວດ ໃນປີກາຍນີ້ພົບວ່າ 83% ຂອງບໍລິສັດທີ່ໄດ້ສໍາຫຼວດມີ ຫຼາຍກວ່າຫນຶ່ງ ການລະເມີດຂໍ້ມູນ, 45% ແມ່ນອີງໃສ່ເມຄ. ໄດ້ ໂດຍສະເລ່ຍ ຄ່າໃຊ້ຈ່າຍຂອງການລະເມີດຂໍ້ມູນໃນສະຫະລັດແມ່ນ 9.44 ລ້ານໂດລາສະຫະລັດ. ຄ່າໃຊ້ຈ່າຍໄດ້ຖືກແບ່ງອອກເປັນສີ່ປະເພດຕົ້ນທຶນ — ການສູນເສຍທຸລະກິດ, ການຊອກຫາແລະການເພີ່ມຂຶ້ນ, ການແຈ້ງການແລະການຕອບສະຫນອງການລະເມີດ. (ຂ້ອຍບໍ່ແນ່ໃຈວ່າຄ່າໄຖ່ຂໍ້ມູນຢູ່ໃນປະເພດໃດ. ມັນບໍ່ຊັດເຈນວ່າມີຜູ້ຕອບແບບສອບຖາມໃດນຶ່ງໄດ້ຈ່າຍຄ່າໄຖ່ຕາມຄວາມຕ້ອງການ.) ເວລາສະເລ່ຍທີ່ອົງກອນຕ້ອງໃຊ້ເພື່ອລະບຸ ແລະຕອບສະໜອງຕໍ່ການລະເມີດຂໍ້ມູນແມ່ນປະມານ 9 ເດືອນ. ສະນັ້ນ, ມັນບໍ່ແປກໃຈຫຼາຍເດືອນຫຼັງຈາກຕາເວັນຕົກ Digital ທໍາອິດຮັບຮູ້ການລະເມີດຂໍ້ມູນ, ພວກເຂົາຍັງສືບສວນ.
ມັນເປັນການຍາກທີ່ຈະເວົ້າຢ່າງແນ່ນອນວ່າມີບໍລິສັດຈໍານວນຫຼາຍທີ່ມີການລະເມີດຂໍ້ມູນ. ຂ້ອຍຮູ້ວ່າບໍລິສັດເອກະຊົນຂະຫນາດໃຫຍ່ຫນຶ່ງທີ່ຖືກໂຈມຕີໂດຍ ransomware. ເຈົ້າຂອງປະຕິເສດການເຈລະຈາແລະບໍ່ໄດ້ຈ່າຍເງິນ. ນັ້ນຫມາຍຄວາມວ່າ, ແທນທີ່ຈະ, ສູນເສຍອີເມລ໌ແລະໄຟລ໌ຂໍ້ມູນ. ພວກເຂົາເຈົ້າເລືອກທີ່ຈະສ້າງຄືນໃຫມ່ທຸກສິ່ງທຸກຢ່າງຈາກການສໍາຮອງຂໍ້ມູນທີ່ບໍ່ມີການຕິດເຊື້ອແລະຕິດຕັ້ງຊອບແວໃຫມ່. ມີເວລາຫຼຸດລົງຢ່າງຫຼວງຫຼາຍແລະການສູນເສຍຜົນຜະລິດ. ເຫດການນີ້ບໍ່ເຄີຍຢູ່ໃນສື່ມວນຊົນ. ບໍລິສັດນັ້ນໂຊກດີເພາະວ່າ 66% ຂອງບໍລິສັດຂະຫນາດນ້ອຍເຖິງຂະຫນາດກາງທີ່ຖືກໂຈມຕີໂດຍ ransomware ສິ້ນສຸດລົງເຖິງການອອກຈາກທຸລະກິດພາຍໃນ 6 ເດືອນ.
- 30,000 ເວັບໄຊທ໌ແມ່ນ hacked ປະຈໍາວັນ
- 4 ລ້ານໄຟລ໌ແມ່ນ ຖືກລັກ ທຸກໆມື້
- 22 ພັນລ້ານບັນທຶກໄດ້ ລະເມີດ ໃນ 2021
ຖ້າທ່ານເຄີຍເຮັດທຸລະກິດກັບ, ຫຼືໃຊ້ບໍລິການຂອງ Capital One, Marriott, Equifax, Target ຫຼື Uber, ມັນເປັນໄປໄດ້ວ່າລະຫັດຜ່ານຂອງທ່ານຖືກລະເມີດ. ແຕ່ລະບໍລິສັດໃຫຍ່ເຫຼົ່ານີ້ປະສົບກັບການລະເມີດຂໍ້ມູນທີ່ສໍາຄັນ.
- Capital One: ແຮກເກີໄດ້ຮັບການເຂົ້າເຖິງ 100 ລ້ານລູກຄ້າ ແລະຜູ້ສະໝັກໂດຍການໃຊ້ຊ່ອງໂຫວ່ໃນໂຄງສ້າງພື້ນຖານຄລາວຂອງບໍລິສັດ.
- Marriott: ການລະເມີດຂໍ້ມູນເປີດເຜີຍຂໍ້ມູນຂອງລູກຄ້າ 500 ລ້ານຄົນ (ການລະເມີດນີ້ບໍ່ໄດ້ກວດພົບເປັນເວລາ 4 ປີ).
- Equifax: ຂໍ້ມູນສ່ວນຕົວຢູ່ໃນຄລາວກ່ຽວກັບລູກຄ້າ 147 ລ້ານຄົນໄດ້ຖືກເປີດເຜີຍ.
- ເປົ້າໝາຍ: ການໂຈມຕີທາງອິນເຕີເນັດໄດ້ເຂົ້າເຖິງຕົວເລກບັດເຄຣດິດ 40 ລ້ານເລກໝາຍ.
- Uber: ແຮກເກີໄດ້ບຸກລຸກແລັບທັອບຂອງຜູ້ພັດທະນາ ແລະເຂົ້າເຖິງຜູ້ໃຊ້ 57 ລ້ານຄົນ ແລະ 600,000 ຄົນຂັບ.
- LastPass[1]: ແຮກເກີໄດ້ລັກເອົາຂໍ້ມູນຫ້ອງໂຖງຂອງລູກຄ້າ 33 ລ້ານຄົນໃນການລະເມີດການເກັບຮັກສາຟັງຄລາວຂອງບໍລິສັດຜູ້ຈັດການລະຫັດຜ່ານນີ້. ຜູ້ໂຈມຕີໄດ້ເຂົ້າເຖິງບ່ອນເກັບຂໍ້ມູນຄລາວຂອງ Lastpass ໂດຍໃຊ້ “ກະແຈການເຂົ້າເຖິງບ່ອນເກັບຂໍ້ມູນຄລາວ ແລະກະແຈຖອດລະຫັດບ່ອນເກັບຂໍ້ມູນຄູ່” ຖືກລັກມາຈາກສະພາບແວດລ້ອມຂອງຜູ້ພັດທະນາຂອງມັນ.
ທ່ານສາມາດກວດເບິ່ງວ່າທ່ານໄດ້ຖືກເປີດເຜີຍໃນການລະເມີດຂໍ້ມູນຢູ່ໃນເວັບໄຊທ໌ນີ້: ຂ້ອຍໄດ້ນອນແລ້ວບໍ? ພິມທີ່ຢູ່ອີເມວຂອງເຈົ້າແລະມັນຈະສະແດງໃຫ້ທ່ານຮູ້ວ່າມີການລະເມີດຂໍ້ມູນຫຼາຍປານໃດທີ່ທີ່ຢູ່ອີເມວໄດ້ຖືກພົບເຫັນ. ຕົວຢ່າງ, ຂ້ອຍພິມທີ່ຢູ່ອີເມວສ່ວນຕົວຂອງຂ້ອຍແລະພົບວ່າມັນເປັນສ່ວນຫນຶ່ງຂອງ 25 ການລະເມີດຂໍ້ມູນທີ່ແຕກຕ່າງກັນ, ລວມທັງ Evite. , Dropbox, Adobe, LinkedIn ແລະ Twitter.
ຂັດຂວາງຜູ້ເຫມາະສົມທີ່ບໍ່ຕ້ອງການ
ຕາເວັນຕົກອາດຈະບໍ່ໄດ້ຮັບການຍອມຮັບຈາກສາທາລະນະ Digital ຂອງແທ້ສິ່ງທີ່ເກີດຂຶ້ນ. ເຫດການດັ່ງກ່າວສະແດງໃຫ້ເຫັນສອງຢ່າງ: ຂໍ້ມູນຢູ່ໃນເມຄແມ່ນປອດໄພເທົ່າທີ່ຜູ້ຮັກສາແລະຜູ້ຮັກສາກະແຈຕ້ອງລະມັດລະວັງເປັນພິເສດ. ເພື່ອອະທິບາຍຫຼັກການ Peter Parker, ດ້ວຍການເຂົ້າເຖິງຮາກແມ່ນຄວາມຮັບຜິດຊອບອັນໃຫຍ່ຫຼວງ.
ເພື່ອໃຫ້ມີຄວາມຊັດເຈນຫຼາຍຂຶ້ນ, ຜູ້ໃຊ້ຮາກແລະຜູ້ບໍລິຫານທົ່ວໂລກແມ່ນບໍ່ຄືກັນ. ທັງສອງມີອໍານາດຫຼາຍແຕ່ຄວນຈະເປັນບັນຊີແຍກຕ່າງຫາກ. ຜູ້ໃຊ້ຮາກເປັນເຈົ້າຂອງແລະມີການເຂົ້າເຖິງບັນຊີຄລາວຂອງບໍລິສັດໃນລະດັບຕໍ່າສຸດ. ດັ່ງນັ້ນ, ບັນຊີນີ້ສາມາດລຶບຂໍ້ມູນທັງໝົດ, VMs, ຂໍ້ມູນລູກຄ້າ — ທຸກຢ່າງທີ່ທຸລະກິດໄດ້ຮັບປະກັນໄວ້ໃນຄລາວ. ໃນ AWS, ມີພຽງແຕ່ ວຽກງານ 10, ລວມທັງການຕັ້ງຄ່າແລະປິດບັນຊີ AWS ຂອງທ່ານ, ທີ່ຮຽກຮ້ອງໃຫ້ມີການເຂົ້າເຖິງຮາກຢ່າງແທ້ຈິງ.
ບັນຊີຜູ້ເບິ່ງແຍງຄວນຈະຖືກສ້າງຂື້ນເພື່ອປະຕິບັດວຽກງານບໍລິຫານ (duh). ປົກກະຕິແລ້ວມີຫຼາຍບັນຊີ Administrator ເຊິ່ງປົກກະຕິແລ້ວແມ່ນອີງໃສ່ບຸກຄົນ, ບໍ່ເຫມືອນກັບບັນຊີຮາກດຽວ. ເນື່ອງຈາກວ່າບັນຊີ Administrator ຖືກຜູກມັດກັບບຸກຄົນ, ທ່ານສາມາດຕິດຕາມໄດ້ງ່າຍວ່າໃຜສ້າງສິ່ງທີ່ປ່ຽນແປງໃນສະພາບແວດລ້ອມ.
ສິດທິພິເສດຫນ້ອຍທີ່ສຸດສໍາລັບຄວາມປອດໄພສູງສຸດ
ການສໍາຫຼວດການລະເມີດຂໍ້ມູນໄດ້ສຶກສາຜົນກະທົບຂອງ 28 ປັດໃຈຕໍ່ຄວາມຮຸນແຮງຂອງການລະເມີດຂໍ້ມູນ. ການນໍາໃຊ້ຄວາມປອດໄພຂອງ AI, ວິທີການ DevSecOps, ການຝຶກອົບຮົມພະນັກງານ, ຕົວຕົນແລະການຄຸ້ມຄອງການເຂົ້າເຖິງ, MFA, ການວິເຄາະຄວາມປອດໄພທັງຫມົດມີຜົນກະທົບທາງບວກໃນການຫຼຸດຜ່ອນຈໍານວນເງິນໂດລາສະເລ່ຍທີ່ສູນເສຍໃນເຫດການ. ໃນຂະນະທີ່, ຄວາມລົ້ມເຫຼວຂອງການປະຕິບັດຕາມ, ຄວາມຊັບຊ້ອນຂອງລະບົບຄວາມປອດໄພ, ການຂາດແຄນທັກສະຄວາມປອດໄພ, ແລະການເຄື່ອນຍ້າຍໃນຄລາວແມ່ນປັດໃຈທີ່ເຮັດໃຫ້ຄ່າໃຊ້ຈ່າຍສະເລ່ຍຂອງການລະເມີດຂໍ້ມູນເພີ່ມຂຶ້ນ. 
ໃນຂະນະທີ່ທ່ານເຄື່ອນຍ້າຍໄປສູ່ຄລາວ, ທ່ານ ຈຳ ເປັນຕ້ອງລະມັດລະວັງຫຼາຍກວ່າທີ່ເຄີຍເປັນໃນການປົກປ້ອງຂໍ້ມູນຂອງທ່ານ. ນີ້ແມ່ນບາງວິທີເພີ່ມເຕີມເພື່ອຫຼຸດຜ່ອນຄວາມສ່ຽງຂອງທ່ານແລະດໍາເນີນການສະພາບແວດລ້ອມທີ່ປອດໄພກວ່າຈາກ a ຄວາມປອດໄພ ຈຸດຢືນ:
1. Muli-factor Authentication: ບັງຄັບໃຊ້ MFA ສໍາລັບ root ແລະບັນຊີ Administrator ທັງຫມົດ. ດີກວ່າ, ໃຊ້ອຸປະກອນຮາດແວ MFA. ແຮກເກີທີ່ມີທ່າແຮງຕ້ອງການບໍ່ພຽງແຕ່ຊື່ບັນຊີແລະລະຫັດຜ່ານ, ແຕ່ຍັງ MFA ທາງດ້ານຮ່າງກາຍທີ່ສ້າງລະຫັດ synchronized.
2. ພະລັງງານໃນຈໍານວນຂະຫນາດນ້ອຍ: ຈໍາກັດຜູ້ທີ່ມີການເຂົ້າເຖິງຮາກ. ຜູ້ຊ່ຽວຊານດ້ານຄວາມປອດໄພບາງຄົນແນະນໍາບໍ່ໃຫ້ເກີນ 3 ຜູ້ໃຊ້. ຈັດການການເຂົ້າເຖິງຜູ້ໃຊ້ຮາກຢ່າງຕັ້ງໃຈ. ຖ້າທ່ານປະຕິບັດການຈັດການຕົວຕົນ ແລະການອອກເດີນທາງນອກບ່ອນອື່ນ, ເຮັດມັນຢູ່ບ່ອນນີ້. ຖ້າຫນຶ່ງໃນວົງຂອງຄວາມໄວ້ວາງໃຈອອກຈາກອົງການຈັດຕັ້ງ, ປ່ຽນລະຫັດຜ່ານຮາກ. ກູ້ຄືນອຸປະກອນ MFA.
3. ສິດທິພິເສດຂອງບັນຊີເລີ່ມຕົ້ນ: ໃນເວລາທີ່ການສະຫນອງບັນຊີຜູ້ໃຊ້ໃຫມ່ຫຼືບົດບາດ, ໃຫ້ແນ່ໃຈວ່າພວກເຂົາໄດ້ຮັບສິດທິພິເສດຫນ້ອຍທີ່ສຸດຕາມຄ່າເລີ່ມຕົ້ນ. ເລີ່ມຕົ້ນດ້ວຍນະໂຍບາຍການເຂົ້າເຖິງຫນ້ອຍທີ່ສຸດແລະຫຼັງຈາກນັ້ນໃຫ້ສິດອະນຸຍາດເພີ່ມເຕີມຕາມຄວາມຕ້ອງການ. ຫຼັກການຂອງການສະຫນອງຄວາມປອດໄພຫນ້ອຍທີ່ສຸດເພື່ອເຮັດສໍາເລັດວຽກງານແມ່ນຮູບແບບທີ່ຈະຜ່ານມາດຕະຖານການປະຕິບັດຕາມຄວາມປອດໄພ SOC2. ແນວຄວາມຄິດແມ່ນວ່າຜູ້ໃຊ້ຫຼືຄໍາຮ້ອງສະຫມັກໃດໆຄວນຈະມີຄວາມປອດໄພຂັ້ນຕ່ໍາທີ່ຕ້ອງການເພື່ອປະຕິບັດຫນ້າທີ່ທີ່ກໍານົດໄວ້. ສິດທິພິເສດທີ່ຖືກປະນີປະນອມສູງຂື້ນ, ຄວາມສ່ຽງຫຼາຍຂື້ນ. ໃນທາງກົງກັນຂ້າມ, ສິດທິພິເສດທີ່ຖືກເປີດເຜີຍ, ຄວາມສ່ຽງຕໍ່າລົງ.
4. ສິດທິພິເສດໃນການກວດສອບ: ກວດສອບແລະທົບທວນຄືນເປັນປົກກະຕິສິດທິທີ່ໄດ້ຮັບມອບໃຫ້ຜູ້ໃຊ້, ພາລະບົດບາດ, ແລະບັນຊີພາຍໃນສະພາບແວດລ້ອມຄລາວຂອງທ່ານ. ນີ້ຮັບປະກັນວ່າບຸກຄົນມີພຽງແຕ່ການອະນຸຍາດທີ່ຈໍາເປັນເພື່ອປະຕິບັດຫນ້າທີ່ກໍານົດຂອງເຂົາເຈົ້າ.
5. ການຄຸ້ມຄອງການລະບຸຕົວຕົນ ແລະສິດທິພິເສດໃນເວລາດຽວ: ກໍານົດແລະຖອນສິດທິພິເສດຫຼາຍເກີນໄປຫຼືບໍ່ໄດ້ນໍາໃຊ້ເພື່ອຫຼຸດຜ່ອນຄວາມສ່ຽງຕໍ່ການເຂົ້າເຖິງທີ່ບໍ່ໄດ້ຮັບອະນຸຍາດ. ພຽງແຕ່ໃຫ້ສິດການເຂົ້າເຖິງຜູ້ໃຊ້ໃນເວລາທີ່ເຂົາເຈົ້າຕ້ອງການໃຫ້ເຂົາເຈົ້າສໍາລັບວຽກງານສະເພາະໃດຫນຶ່ງຫຼືໄລຍະເວລາຈໍາກັດ. ອັນນີ້ເຮັດໃຫ້ພື້ນຜິວການໂຈມຕີໜ້ອຍລົງ ແລະ ຫຼຸດຜ່ອນໂອກາດຂອງໄພຂົ່ມຂູ່ດ້ານຄວາມປອດໄພທີ່ອາດຈະເກີດຂຶ້ນ. 
6. ຝັງຂໍ້ມູນປະຈໍາຕົວ: ຫ້າມ hard-coding ຂອງ unencrypted authentication (ຊື່ຜູ້ໃຊ້, ລະຫັດຜ່ານ, ກະແຈການເຂົ້າເຖິງ) ໃນ scripts, ວຽກ, ຫຼືລະຫັດອື່ນໆ. ແທນທີ່ຈະເບິ່ງເປັນ ຜູ້ຈັດການລັບ ທີ່ທ່ານສາມາດນໍາໃຊ້ເພື່ອດຶງຂໍ້ມູນປະຈໍາຕົວຂອງໂປຼແກຼມ.
7. ການຕັ້ງຄ່າພື້ນຖານໂຄງລ່າງເປັນລະຫັດ (IaC).: ປະຕິບັດຕາມການປະຕິບັດທີ່ດີທີ່ສຸດດ້ານຄວາມປອດໄພໃນເວລາທີ່ກໍານົດໂຄງສ້າງພື້ນຖານຄລາວຂອງທ່ານໂດຍໃຊ້ເຄື່ອງມື IaC ເຊັ່ນ AWS CloudFormation ຫຼື Terraform. ຫຼີກເວັ້ນການໃຫ້ການເຂົ້າເຖິງສາທາລະນະໂດຍຄ່າເລີ່ມຕົ້ນແລະຈໍາກັດການເຂົ້າເຖິງຊັບພະຍາກອນໃຫ້ພຽງແຕ່ເຄືອຂ່າຍທີ່ເຊື່ອຖືໄດ້, ຜູ້ໃຊ້, ຫຼືທີ່ຢູ່ IP. ນໍາໃຊ້ການອະນຸຍາດທີ່ລະອຽດອ່ອນແລະກົນໄກການຄວບຄຸມການເຂົ້າເຖິງເພື່ອບັງຄັບໃຊ້ຫຼັກການຂອງສິດທິພິເສດຫນ້ອຍ.
8. ການບັນທຶກການປະຕິບັດ: ເປີດໃຊ້ການບັນທຶກ ແລະການຕິດຕາມການກະທຳ ແລະເຫດການທີ່ສົມບູນພາຍໃນສະພາບແວດລ້ອມຄລາວຂອງທ່ານ. ບັນທຶກ ແລະວິເຄາະບັນທຶກສໍາລັບກິດຈະກໍາທີ່ຜິດປົກກະຕິ ຫຼືອາດເປັນອັນຕະລາຍ. ປະຕິບັດການຈັດການຂໍ້ມູນບັນທຶກຂໍ້ມູນຄວາມປອດໄພ ແລະການຈັດການເຫດການ (SIEM) ທີ່ເຂັ້ມແຂງເພື່ອກວດຫາ ແລະຕອບສະໜອງຕໍ່ເຫດການຄວາມປອດໄພໄດ້ທັນທີ.
9. ການປະເມີນຄວາມສ່ຽງປົກກະຕິ: ປະຕິບັດການປະເມີນຄວາມສ່ຽງປົກກະຕິແລະການທົດສອບການເຈາະເພື່ອກໍານົດຈຸດອ່ອນດ້ານຄວາມປອດໄພໃນສະພາບແວດລ້ອມຄລາວຂອງທ່ານ. ແກ້ໄຂແລະແກ້ໄຂຊ່ອງໂຫວ່ໃດຫນຶ່ງທີ່ກໍານົດໄດ້ທັນທີ. ຕິດຕາມການອັບເດດຄວາມປອດໄພ ແລະແພັກເກັດທີ່ປ່ອຍອອກມາໂດຍຜູ້ໃຫ້ບໍລິການຄລາວຂອງທ່ານ ແລະໃຫ້ແນ່ໃຈວ່າພວກມັນຖືກນຳໃຊ້ໃນທັນທີເພື່ອປ້ອງກັນໄພຂົ່ມຂູ່ທີ່ຮູ້ຈັກ.
10. ການສຶກສາແລະການຝຶກອົບຮົມ: ສົ່ງເສີມວັດທະນະທໍາຂອງຄວາມຮັບຮູ້ກ່ຽວກັບຄວາມປອດໄພແລະໃຫ້ການຝຶກອົບຮົມເປັນປົກກະຕິໃຫ້ແກ່ພະນັກງານກ່ຽວກັບຄວາມສໍາຄັນຂອງຫຼັກການສິດທິພິເສດຫນ້ອຍ. ສຶກສາໃຫ້ເຂົາເຈົ້າກ່ຽວກັບຄວາມສ່ຽງທີ່ເປັນໄປໄດ້ທີ່ກ່ຽວຂ້ອງກັບສິດທິພິເສດຫຼາຍເກີນໄປແລະການປະຕິບັດທີ່ດີທີ່ສຸດທີ່ຈະປະຕິບັດຕາມໃນເວລາທີ່ການເຂົ້າເຖິງແລະການຄຸ້ມຄອງຊັບພະຍາກອນພາຍໃນສະພາບແວດລ້ອມຟັງ.
11. Patches ແລະການປັບປຸງ: ຫຼຸດຜ່ອນຊ່ອງໂຫວ່ໂດຍການອັບເດດຊອບແວເຊີບເວີທັງໝົດເປັນປະຈຳ. ຮັກສາພື້ນຖານໂຄງລ່າງຄລາວຂອງທ່ານ ແລະແອັບພລິເຄຊັນທີ່ກ່ຽວຂ້ອງໃຫ້ທັນສະໄໝເພື່ອປ້ອງກັນຊ່ອງໂຫວ່ທີ່ຮູ້ຈັກ. ຜູ້ໃຫ້ບໍລິການຄລາວມັກຈະປ່ອຍຕົວແກ້ໄຂຄວາມປອດໄພ ແລະອັບເດດ, ສະນັ້ນການຢູ່ກັບຄຳແນະນຳຂອງເຂົາເຈົ້າແມ່ນສຳຄັນຫຼາຍ.
ຄວາມໄວ້ວາງໃຈ
ມັນມາຈາກຄວາມໄວ້ວາງໃຈ – ໃຫ້ພຽງແຕ່ຜູ້ທີ່ຢູ່ໃນອົງການຈັດຕັ້ງຂອງທ່ານຄວາມໄວ້ວາງໃຈເພື່ອເຮັດສໍາເລັດຫນ້າວຽກທີ່ເຂົາເຈົ້າຈໍາເປັນຕ້ອງເຮັດເພື່ອເຮັດໃຫ້ວຽກເຮັດງານທໍາຂອງເຂົາເຈົ້າສໍາເລັດ. ຜູ້ຊ່ຽວຊານດ້ານຄວາມປອດໄພແນະນໍາ ສູນຄວາມໄວ້ວາງໃຈ. ຮູບແບບຄວາມປອດໄພ Zero Trust ແມ່ນອີງໃສ່ສາມຫຼັກການສໍາຄັນ:
- ຢືນຢັນຢ່າງຈະແຈ້ງ – ໃຊ້ຈຸດຂໍ້ມູນທີ່ມີຢູ່ທັງໝົດເພື່ອຢັ້ງຢືນຕົວຕົນ ແລະການເຂົ້າເຖິງຂອງຜູ້ໃຊ້.
- ໃຊ້ການເຂົ້າເຖິງສິດທິພິເສດໜ້ອຍທີ່ສຸດ – ໃນເວລາ ແລະຄວາມປອດໄພພຽງພໍ.
- ສົມມຸດວ່າລະເມີດ - ເຂົ້າລະຫັດທຸກຢ່າງ, ນຳໃຊ້ການວິເຄາະແບບເຊີງບຸກ ແລະ ມີການຕອບໂຕ້ສຸກເສີນ.
ໃນຖານະເປັນຜູ້ບໍລິໂພກຂອງການບໍລິການຄລາວແລະຄລາວ, ມັນຍັງລົງມາໄວ້ວາງໃຈ. ເຈົ້າຕ້ອງຖາມຕົວເອງວ່າ, "ຂ້ອຍໄວ້ວາງໃຈຜູ້ຂາຍຂອງຂ້ອຍທີ່ຈະເກັບຂໍ້ມູນທີ່ມີຄ່າຂອງຂ້ອຍຢູ່ໃນຄລາວບໍ?" ຄວາມໄວ້ວາງໃຈ, ໃນກໍລະນີນີ້, ຫມາຍຄວາມວ່າທ່ານອີງໃສ່ບໍລິສັດນັ້ນ, ຫຼືຫນຶ່ງທີ່ມັກມັນ, ເພື່ອຈັດການຄວາມປອດໄພດັ່ງທີ່ພວກເຮົາໄດ້ອະທິບາຍຂ້າງເທິງ. ອີກທາງເລືອກ, ຖ້າທ່ານຕອບໃນແງ່ລົບ, ທ່ານກຽມພ້ອມທີ່ຈະປະຕິບັດກິດຈະກໍາການຄຸ້ມຄອງຄວາມປອດໄພໃນສະພາບແວດລ້ອມໃນເຮືອນຂອງທ່ານ. ເຈົ້າເຊື່ອຕົວເອງບໍ?
ໃນຖານະບໍລິສັດທີ່ໃຫ້ບໍລິການໃນຄລາວ, ລູກຄ້າໄດ້ວາງຄວາມເຊື່ອໝັ້ນໃນຕົວທ່ານເພື່ອປົກປ້ອງຂໍ້ມູນຂອງເຂົາເຈົ້າໃນໂຄງລ່າງຄລາວຂອງທ່ານ. ມັນເປັນຂະບວນການຢ່າງຕໍ່ເນື່ອງ. ຮັບຮູ້ເຖິງໄພຂົ່ມຂູ່ທີ່ເກີດຂື້ນ, ປັບມາດຕະການຄວາມປອດໄພຂອງທ່ານຕາມຄວາມເຫມາະສົມ, ແລະຮ່ວມມືກັບຜູ້ຊ່ຽວຊານທີ່ມີປະສົບການຫຼືທີ່ປຶກສາດ້ານຄວາມປອດໄພເພື່ອຮັບປະກັນການປົກປ້ອງສູງສຸດສໍາລັບທຸລະກິດຂອງທ່ານໃນພູມສັນຖານຄລາວທີ່ມີການພັດທະນາຢ່າງຕໍ່ເນື່ອງ.
- https://www.bleepingcomputer.com/news/security/lastpass-hackers-stole-customer-vault-data-in-cloud-storage-breach/ ↑
