ประเมินระดับความปลอดภัยของข้อมูล
ประเมินระดับความปลอดภัยในปัจจุบัน พร้อมระบุประเด็นที่ควรปรับปรุงและจัดลำดับความสำคัญ
ประเมินสภาพปัจจุบันและกำหนดประเด็นปรับปรุงให้ชัดเจน
ทบทวนมาตรการควบคุมด้านการบริหาร กายภาพ และเทคนิคของโครงสร้างพื้นฐานสารสนเทศที่สำคัญและระบบงาน โดยกำหนดขอบเขตและเกณฑ์จากกฎหมาย แนวทาง และวัตถุประสงค์การประเมินที่เกี่ยวข้อง
สรุปข้อบกพร่องและหลักฐานจากการทบทวนเอกสาร การสัมภาษณ์ และการตรวจการตั้งค่า แล้วจัดลำดับการปรับปรุงและแผนดำเนินการเป็นระยะโดยคำนึงถึงผลกระทบ ความเร่งด่วน และสภาพการดำเนินงาน
ขอบเขตบริการ
ให้บริการประเมินที่ผ่านการปฏิบัติงานจริง ตั้งแต่ทบทวนนโยบายการบริหารจนถึงตรวจสอบด้านเทคนิคของโครงสร้างพื้นฐานสำคัญ
ประเมินความปลอดภัยด้านการบริหาร
ทบทวนความเหมาะสมในการปฏิบัติงานของระเบียบความปลอดภัย โครงสร้างองค์กร และการจัดการบุคลากร ตามเป้าหมายและขอบเขตที่ตกลง
- ทบทวนระเบียบและแนวทางปฏิบัติด้านความปลอดภัยให้สอดคล้องกับกฎหมายปัจจุบันที่เกี่ยวข้อง
- ตรวจสอบข้อตกลงด้านความปลอดภัยและขั้นตอนเมื่อพนักงานหรือบุคลากรภายนอกพ้นหน้าที่
- ตรวจสอบการจัดการความปลอดภัยของงานจ้างภายนอกและการใช้บริการคลาวด์
ประเมินช่องโหว่ด้านเทคนิคของระบบ
วิเคราะห์การตั้งค่าความปลอดภัยของเซิร์ฟเวอร์ ฐานข้อมูล และโครงสร้างพื้นฐานเครือข่าย
- ตรวจสอบบัญชี สิทธิ์ และการติดตั้งแพตช์ของระบบ OS (Linux/Windows) และ DBMS
- ทบทวนความสอดคล้องของนโยบายไฟร์วอลล์ IPS เราเตอร์ และอุปกรณ์เครือข่ายหรือความปลอดภัย
- ลด Attack Surface โดยระบุพอร์ตและบริการที่เปิดโดยไม่จำเป็น
ตรวจสอบมาตรการกายภาพและความปลอดภัยด้านสภาพแวดล้อม
ทบทวนการควบคุมการเข้าถึงทางกายภาพและความพร้อมรับภัยพิบัติของห้องคอมพิวเตอร์ พื้นที่ควบคุม และระบบสำรอง
- ตรวจสอบระบบควบคุมการเข้าออกและบันทึกผู้มาติดต่อของห้องคอมพิวเตอร์และพื้นที่ควบคุม
- ตรวจสอบความพร้อมด้านอัคคีภัย ไฟฟ้า ระบบปรับอากาศ และการทำงานของไฟสำรอง (UPS)
- ทบทวนการเก็บรักษาสื่อบันทึกข้อมูล การนำเข้าออก และขั้นตอนทำลายอย่างปลอดภัย
วิเคราะห์และประเมินช่องโหว่ของโครงสร้างพื้นฐานสารสนเทศสำคัญ
วิเคราะห์ช่องโหว่ด้านเทคนิคและการบริหารตามมาตรา 9 ของกฎหมายคุ้มครองโครงสร้างพื้นฐานสารสนเทศและการสื่อสารของเกาหลี
- ใช้เกณฑ์ประเมินตามกฎหมายสำหรับบริษัทบริการความปลอดภัยเฉพาะทางที่กระทรวงวิทยาศาสตร์และ ICT ของเกาหลีแต่งตั้ง
- ประเมินระดับภัยคุกคามและความเสี่ยงเชิงปริมาณของทรัพย์สินที่กำหนดเป็นโครงสร้างพื้นฐานสำคัญ
- สนับสนุนแผนดำเนินมาตรการคุ้มครองและให้คำปรึกษาการตรวจสอบหรือรายงานต่อหน่วยงานกำกับ
ขั้นตอนและวิธีการประเมิน
ตกลงเป้าหมายและเกณฑ์ ตรวจสภาพปัจจุบัน และจัดทำแผนปรับปรุงตามลำดับ
01
เตรียมการและยืนยันขอบเขต
ระบุรายการทรัพย์สินและกำหนดเกณฑ์ประเมินกับตารางตรวจหน้างาน โดยพิจารณาผลกระทบต่อธุรกิจและข้อกำหนดทางกฎหมาย
02
ตรวจหน้างานและวิเคราะห์ช่องโหว่
เปรียบเทียบการสัมภาษณ์ผู้รับผิดชอบด้านการบริหารและกายภาพกับหลักฐาน พร้อมใช้สคริปต์ตรวจการตั้งค่าและการตรวจสอบด้วยตนเองเพื่อระบุช่องโหว่ด้านเทคนิค
03
ประเมินความเสี่ยงและวางแผนปรับปรุง
ประเมินความเสี่ยงที่พบเชิงปริมาณ แล้วกำหนดมาตรการที่ทำได้จริง ครอบคลุมงาน Quick-Win ที่ต้องแก้ทันทีและงานปรับปรุงรายปี
คำถามที่พบบ่อย
การประเมินระดับความมั่นคงปลอดภัยต่างจากการทดสอบเจาะระบบอย่างไร
การประเมินระดับความมั่นคงปลอดภัยทบทวนมาตรการป้องกันขององค์กรและระบบตามเกณฑ์ที่กำหนด ส่วนการทดสอบเจาะระบบเน้นตรวจสอบโอกาสใช้ประโยชน์จากช่องโหว่และผลกระทบผ่านสถานการณ์โจมตี
กำหนดขอบเขตและเกณฑ์การประเมินอย่างไร
กำหนดเป้าหมายและเกณฑ์จากสถานะทรัพย์สิน ความสำคัญ ข้อกำหนดที่เกี่ยวข้อง และวัตถุประสงค์การประเมิน โดยเลือกวิธีที่เหมาะสม เช่น ทบทวนเอกสาร สัมภาษณ์ และตรวจการตั้งค่า
นำผลการประเมินไปใช้ปรับปรุงได้อย่างไร
สรุปข้อบกพร่องที่พบ หลักฐาน และลำดับความสำคัญในการปรับปรุง เพื่อนำมากำหนดรายการที่ควรแก้ไขก่อนและงานปรับปรุงที่จะดำเนินการเป็นระยะ
ขอบเขตงานและสิ่งส่งมอบกำหนดตามสภาพแวดล้อมของระบบเป้าหมายและข้อตกลงในการดำเนินงาน
เริ่มประเมินความปลอดภัยอย่างเป็นกลางและรอบด้าน
ใช้ประสบการณ์ของบริษัทบริการความปลอดภัยเฉพาะทางที่รัฐบาลแต่งตั้ง เพื่อวิเคราะห์ช่องโหว่ของระบบและกำหนดแนวทางแก้ไขที่ทำได้จริง