เทรนด์ที่เปลี่ยนไป

ดร.ชาลี วรกุลพิพัฒน์

การป้องกันภัยคุกคามทางคอมพิวเตอร์ หรือระบบสารสนเทศมีหลากหลายวิธี เมื่อเวลาผ่านไปภัยคุกคามต่างๆ ก็มีหลายรูปแบบมากขึ้น วิธีป้องกันก็ต้องเข้มข้นขึ้นเรื่อยๆ และต้องสัมพันธ์กับความ "ง่าย" ต่อการใช้ ทำให้บางครั้งวิธีป้องกันอาจจะดูผ่อนคลายลง

สิ่งที่ผู้พัฒนาระบบป้องกันภัยคุกคามจะต้องคำนึงอยู่เสมอคือ มีระบบป้องกันภัยเพื่อให้ธุรกิจดำเนินต่อไปได้อย่างราบรื่นมีความมั่นคงปลอดภัย จากประโยคนี้ก็บ่งบอกได้ว่าคำสำคัญคือคำว่า ธุรกิจและราบรื่น ส่วนคำว่าความมั่นคงปลอดภัยคือเงื่อนไขที่ต้องมี ดังนั้น หากเราไปมุ่งเน้นแต่คำว่ามั่นคงปลอดภัยโดยไม่สนใจคำว่าธุรกิจและราบรื่นแล้ว ก็จะส่งผลเสียต่อองค์กรหรือธุรกิจเสียมากกว่า

เมื่อพัฒนาระบบไประยะหนึ่งจะต้องพิจารณาด้วยว่าธุรกิจราบรื่นดีหรือไม่ โดยดูที่ผลผลิต ความพึงพอใจของลูกค้า รวมถึงความง่ายในการใช้งาน ดังนั้นเทรนด์การป้องกันก็จะเข้มข้นและผ่อนคลายสลับกันไปขึ้นอยู่กับบริบทธุรกิจขณะนั้น

สมัยก่อนการใช้งานเว็บบอร์ดชื่อดังแห่งหนึ่ง จะโพสต์ข้อความก็ไม่จำเป็นต้องมี Login และ Password ต่อมาก็ต้องมีเพื่อจะได้ยืนยันตัวตน ต่อมาก็ต้องทำให้เข้มข้นด้วยการลงทะเบียนด้วยบัตรประชาชน แต่เวลาผ่านไปก็ผ่อนคลายโดยการไม่ต้องใช้บัตรประชาชนลงทะเบียน ในมุมมองของผู้ใช้ อาจมองว่าวิธีการลงทะเบียนแบบใช้บัตรประชาชนดูจะเครียดเกินไปสำหรับการแสดงความเห็นผ่านช่องทางเว็บบอร์ดนี้

ธนาคารบางแห่ง เมื่อจะใช้งาน Internet Banking จะต้องใช้ One-Time Password (OTP) เพื่อรับ Password ทาง SMS ในโทรศัพท์มือถือเพื่อยืนยันตัวตน ต่อมาก็ผ่อนคลายลงเหลือแต่ Password ปกติ เข้าใจว่าแม้ว่าจะปลอดภัยเพราะเป็นวิธี Two-Factor Authentication แต่ผู้ใช้งานมีความยากลำบาก

แต่ก่อนเราเคยได้ยินว่า Password ให้จดจำใส่สมองเท่านั้น ห้ามจดใส่กระดาษใดๆ ก็เพราะแต่ก่อนมันมีไม่กี่ระบบให้ใช้ (หรือให้เล่น) เดี๋ยวนี้มีเป็นสิบๆ ไม่ว่าจะอีเมล โซเชียล เกม และระบบงานต่างๆ แถมแต่ละที่ก็มีเงื่อนไขการตั้ง Password ต่างกัน

ปัจจุบัน หลายที่ได้หักล้างคำแนะนำเก่าๆ แล้ว คือแนะนำให้จด Password ได้แล้ว จะจดในสมุดโน้ตก็ได้ แต่สมุดเล่มนั้นต้องอยู่ในที่ที่ปลอดภัย หรือจะให้ดี Password ที่จดไว้ เราก็อาจจะเข้ารหัสมันอีกครั้งก็ได้ เผื่อมีคนขโมยสมุดเล่มนั้นไป ขโมยจะได้ไม่เข้าใจ

ตอนที่มีคลาวด์มาใหม่ๆ หลายคนกังวัลเรื่องความลับรั่วไหล ตอนนี้แทบไม่มีใครยกประเด็นนี้มาแล้ว ขอเพียงแต่ผู้ให้บริการคลาวด์นั้นมีความน่าเชื่อถือพอหรือมาตรฐานสากลรองรับ เพราะแท้จริง หากจะยกประเด็นเรื่องคลาวด์มาถกเถียง มันมีอีกหลายประเด็น

นอกเหนือจากเรื่องความลับรั่วไหล เช่น เรื่องค่าใช้จ่ายที่ลดลง เรื่องความเชื่อมั่นที่ผู้ใช้บริการมั่นใจผู้ดูระบบของผู้ให้บริการคลาวด์มากกว่าผู้ดูแลระบบของตนเอง เรื่องการลดภาระการดูแล หรือความสบายที่มากขึ้น จะได้เอาเวลาไปทำอย่างอื่นที่มีคุณค่ากว่า แต่ต้องผ่านการวิเคราะห์แล้วว่าอะไรดีกว่า

จะเห็นว่าวิธีการป้องกันภัยคุกคามนั้น ไม่ได้มีเพียงแนวทางเดียวสำหรับใช้ได้ทุกองค์กรหรือใช้ได้ตลอดไป แต่มันจำเป็นต้องยืดหยุ่นตามสถานการณ์ด้วย n