7 วิธีที่ข้อผิดพลาดของมนุษย์สามารถทำให้เกิดการละเมิดความปลอดภัยทางไซเบอร์

ตามรายงานความปลอดภัยทางไซเบอร์ที่เผยแพร่โดย Verizon ในปี 2564 “85% ของการละเมิดข้อมูลเกิดจากความผิดพลาดของมนุษย์” ในการรักษาความปลอดภัยทางไซเบอร์และการปกป้องข้อมูล ข้อผิดพลาดของมนุษย์ถูกกำหนดให้เป็นการกระทำโดยไม่ได้ตั้งใจของพนักงานซึ่งอาจทำให้เกิดการละเมิดความปลอดภัยที่มักนำไปสู่การรั่วไหลของข้อมูล

ข้อผิดพลาดเพียงครั้งเดียวอาจถึงแก่ชีวิตได้สำหรับบริษัทต่างๆ และมีค่าใช้จ่ายหลายล้านดอลลาร์ ตัวอย่างเช่น Target มีการละเมิดข้อมูลครั้งใหญ่ในปี 2556 ซึ่งทำให้บริษัทมีมูลค่า 90 ล้านดอลลาร์ หลังเหตุการณ์ดังกล่าวทำให้ชื่อเสียงของบริษัทเสียหายและใช้เวลานานกว่าจะได้รับความไว้วางใจจากลูกค้ากลับคืนมา

บริษัทสามารถคาดการณ์ได้ว่าการละเมิดความปลอดภัยอาจเกิดขึ้นและป้องกันได้หรือไม่ มาพูดถึงข้อผิดพลาดที่พบบ่อยที่สุดของมนุษย์และวิธีป้องกัน

7 ข้อผิดพลาดร้ายแรงของมนุษย์ที่ทำให้เกิดการละเมิดความปลอดภัยทางไซเบอร์

ธรรมชาติที่ไม่ได้ตั้งใจของข้อผิดพลาดของมนุษย์ไม่ได้หมายความว่าจะหลีกเลี่ยงไม่ได้ อย่างไรก็ตาม บริษัทต่างๆ สามารถระบุช่องโหว่ในนโยบายความปลอดภัยและใช้มาตรการเพื่อลดความเสี่ยงได้ ต่อไปนี้คือข้อผิดพลาดของมนุษย์ที่พบบ่อยที่สุด 7 ข้อที่อาจทำให้เกิดการละเมิดความปลอดภัย

แนะนำสำหรับคุณ: 17 เคล็ดลับความปลอดภัยทางไซเบอร์ที่ดีที่สุดเพื่อให้ได้รับการปกป้องทางออนไลน์ในปี 2022

1. สุขอนามัยรหัสผ่าน

การวิจัยในปี 2564 ที่ดำเนินการโดย NordPass ใน 50 ประเทศเปิดเผยว่าชุดค่าผสม “123456” นั้นถูกใช้เพื่อวัตถุประสงค์ในการเข้าสู่ระบบโดยผู้คน 130 ล้านคน รหัสผ่านที่ใช้บ่อยอันดับสองและสามคือ “123456789” และ “qwerty” 46 ล้านคนและ 22.3 ล้านคนใช้ตามลำดับ แฮ็กเกอร์ที่มีทักษะสามารถถอดรหัสรหัสผ่านที่ไม่รัดกุมได้ในเวลาไม่ถึงวินาที

นอกจากการตั้งรหัสผ่านที่ไม่ดีแล้ว คนส่วนใหญ่ยังใช้อีเมลส่วนตัวและอีเมลของบริษัท บัญชีโซเชียลมีเดีย และบริการอื่นๆ ที่เหมือนกัน บางคนไม่เปลี่ยนรหัสผ่านเป็นเวลาหลายปีและแชร์กับเพื่อนร่วมงานหรือจดบันทึกย่อแล้ววางลงบนจอภาพ ทัศนคติที่ไม่ระมัดระวังต่อรหัสผ่านดังกล่าวทำให้เกิดการละเมิดความปลอดภัยถึง 61% Verizon กล่าว

2. การควบคุมการเข้าถึงข้อมูลไม่เพียงพอ

การกำหนดสิทธิ์การเข้าถึงให้กับผู้อื่นไม่เพียงพอเป็นข้อผิดพลาดของมนุษย์อีกประการหนึ่งที่อาจทำให้เกิดการละเมิดความปลอดภัย ในบางองค์กร คนไร้ความสามารถได้รับอนุญาตให้เข้าถึงข้อมูลที่ละเอียดอ่อนได้ อย่างไรก็ตาม ในกรณีส่วนใหญ่ สิทธิ์การเข้าถึงแบบกว้างดังกล่าวให้กับพนักงานโดยค่าเริ่มต้น เว้นแต่จะมีคำขอเฉพาะเพื่อจำกัดพวกเขา

ต่อไปนี้คือข้อผิดพลาดทั่วไปที่เกิดจากการควบคุมการเข้าถึงที่ไม่เพียงพอ:

• การลบข้อมูลที่ละเอียดอ่อนโดยไม่ได้ตั้งใจหรือโดยเจตนา
• ทำการกำหนดค่าระบบที่อาจทำให้เกิดการละเมิดข้อมูลและการรั่วไหลของข้อมูล
• ดำเนินการเปลี่ยนแปลงระบบโดยไม่ได้รับอนุญาต
• การส่งอีเมลพร้อมข้อมูลอันมีค่าไปยังผู้รับที่ไม่ถูกต้อง

3. สปายแวร์

ในขณะที่พนักงานกำลังค้นหาข้อมูลเพื่อทำภารกิจในมือทางออนไลน์ พวกเขาอาจดาวน์โหลดไฟล์จากแหล่งที่ไม่ได้รับอนุญาต คลิกลิงก์ที่ไม่รู้จัก หรือกด "ใช่" บนป๊อปอัปแบบสุ่ม การกระทำดังกล่าวสามารถได้รับสปายแวร์บนอุปกรณ์ของคุณโดยที่คุณไม่รู้ตัว คุณจะไม่สงสัยด้วยซ้ำว่าในขณะที่คุณทำงานประจำวัน มันจะบันทึกกิจกรรมออนไลน์ของคุณ และรับข้อมูลรับรองการเข้าสู่ระบบและข้อมูลส่วนบุคคลของคุณ จากนั้นมัลแวร์ที่เป็นอันตรายนี้จะถ่ายโอนข้อมูลที่รวบรวมไปยังบุคคลที่สามซึ่งใช้งานโดยไม่ได้รับความยินยอมจากคุณ

ส่วนที่แย่ที่สุดคือสปายแวร์สามารถแพร่กระจายจากคอมพิวเตอร์เครื่องหนึ่งและแพร่ระบาดไปทั่วทั้งเครือข่ายของบริษัท หากตรวจไม่ตรงเวลา จะทำให้ธุรกิจเสียหายหลายล้านดอลลาร์

4. ขาดความตระหนักในความปลอดภัยทางไซเบอร์

ในกรณีส่วนใหญ่ ข้อผิดพลาดของมนุษย์ที่ทำให้เกิดการละเมิดความปลอดภัยนั้นเกิดขึ้นโดยไม่ได้ตั้งใจหรือเนื่องจากขาดความรู้ น่าเสียดายที่บางองค์กรมุ่งความสนใจไปที่การได้ผลลัพธ์โดยไม่สนใจความจำเป็นในการให้ความรู้พนักงานเกี่ยวกับความปลอดภัยทางไซเบอร์ ต่อไปนี้คือข้อผิดพลาดทั่วไปหลายประการที่ผู้คนสามารถทำได้เนื่องจากขาดความรู้:

• การดาวน์โหลดซอฟต์แวร์จากแหล่งที่น่าสงสัยและได้รับอนุญาต
• การเชื่อมต่อกับ Wi-Fi สาธารณะที่ร้านอาหารหรือโรงแรมโดยไม่มีการเข้ารหัส VPN
• อุปกรณ์เสียบปลั๊ก เช่น ที่เก็บข้อมูล USD ที่ไม่ทราบที่มา

5. อีเมลฟิชชิ่ง

จากการสอบสวนที่ดำเนินการโดย Verizon ในปี 2020 พบว่า 20% ของการละเมิดความปลอดภัยทางไซเบอร์เกิดขึ้นเนื่องจากอีเมลฟิชชิ่ง การคลิกลิงก์ที่เป็นอันตรายภายในอีเมลดังกล่าวถือเป็นข้อผิดพลาดของมนุษย์ที่มีค่าใช้จ่ายสูงที่สุดอย่างหนึ่ง ตามรายงาน ต้นทุนเฉลี่ยของบันทึกที่ถูกขโมยเพียงรายการเดียวคือ $133 ลองนึกภาพว่ามันสามารถสร้างความเสียหายให้กับองค์กรได้มากเพียงใดหากเครือข่ายทั้งหมดติดไวรัสนอกเหนือจากคอมพิวเตอร์ของผู้ใช้ปลายทาง!

6. ความปลอดภัยของซอฟต์แวร์ไม่เพียงพอ

เมื่อพนักงานทำงานซ้ำๆ ในแต่ละวัน พวกเขาจะประมาทและเพิกเฉยต่อขั้นตอนการรักษาความปลอดภัยเมื่อเวลาผ่านไป พวกเขาคิดว่าถ้างานของพวกเขาราบรื่นเมื่อวานนี้ ไม่มีอะไรจะมาคุกคามพวกเขาในวันนี้ได้ ทัศนคติที่ไม่ระมัดระวังต่อกระบวนการรักษาความปลอดภัยอาจทำให้ระบบรักษาความปลอดภัยของทั้งบริษัทเสียหายได้ในบางครั้ง นี่คือขั้นตอนการรักษาความปลอดภัยที่พนักงานละเว้น:

• การอัปเดตซอฟต์แวร์: พนักงานส่วนใหญ่ข้ามการอัปเดตซอฟต์แวร์เนื่องจากใช้เวลานานเกินไปหรือปรากฏในเวลาที่ไม่สะดวกที่สุด
• บางครั้งพนักงานสามารถปิดโปรแกรมป้องกันไวรัสหรือคุณลักษณะด้านความปลอดภัยได้เนื่องจากขัดขวางการทำงาน การปล่อยคอมพิวเตอร์ไว้โดยไม่มีการป้องกันแม้เพียงนาทีเดียวในขณะที่ใช้งานอินเทอร์เน็ตอย่างแข็งขันเป็นสิ่งที่อันตราย

7. การแก้ไขล่าช้า

การแพตช์ที่ล่าช้านั้นเชื่อมโยงอย่างใกล้ชิดกับจุดก่อนหน้า แต่เน้นที่การอัปเดตซอฟต์แวร์มากกว่า อาชญากรไซเบอร์มักมองหาช่องโหว่ในความปลอดภัยของซอฟต์แวร์อยู่เสมอ แต่นักพัฒนาซอฟต์แวร์ก็ทำเช่นนั้นเช่นกัน เมื่อพบช่องโหว่ดังกล่าวแล้ว พวกเขาจะแก้ไขทันที และส่งแพตช์ที่รู้จักกันดีในชื่อการอัปเดตซอฟต์แวร์ ผู้ที่ติดตั้งการอัปเดตตรงเวลาจะปกป้องอุปกรณ์ของตนจากการละเมิดความปลอดภัย ในขณะที่ทุกนาทีที่ล่าช้าจะเพิ่มความเสี่ยงที่จะถูกบุกรุก

กรณีของหน่วยงานรายงานเครดิต Equifax เป็นตัวอย่างที่ดีเยี่ยมว่าทำไมจึงไม่ควรละเลยการอัปเดตซอฟต์แวร์ ในปี 2560 ซอฟต์แวร์ของพวกเขามีช่องโหว่ด้านความปลอดภัย บริษัทรู้เรื่องนี้แต่ทำให้กระบวนการแพตช์ล่าช้า ด้วยเหตุนี้ ระบบของพวกเขาจึงถูกแฮ็ก และข้อมูลส่วนบุคคลของลูกค้าชาวอเมริกันกว่า 140 ล้านคนและลูกค้าชาวแคนาดา 8,000 รายถูกบุกรุก

คุณอาจชอบ: เอกสารและโปรโตคอลที่ธุรกิจของคุณต้องการสำหรับการรักษาความปลอดภัยทางไซเบอร์

วิธีลดความเสี่ยงจากข้อผิดพลาดของมนุษย์และป้องกันการละเมิดความปลอดภัยทางไซเบอร์

เมื่อบริษัทต่างๆ ระบุช่องว่างในนโยบายความปลอดภัยแล้ว ก็สามารถดำเนินมาตรการป้องกันได้ การทำผิดพลาดเป็นเรื่องของมนุษย์ นั่นเป็นเหตุผลว่าทำไมจึงเป็นไปไม่ได้ที่จะขจัดความเสี่ยงทั้งหมด แต่สามารถลดความเสี่ยงได้ ตรวจสอบเจ็ดมาตรการต่อไปนี้

1. ปรับปรุงการจัดการรหัสผ่าน

เนื่องจากการละเมิดความปลอดภัยทางไซเบอร์ส่วนใหญ่เกิดจากสุขอนามัยของรหัสผ่านที่ไม่ดี บริษัทต่างๆ ควรให้ความสนใจเป็นพิเศษกับการจัดการรหัสผ่าน องค์กรควรกำหนดนโยบายที่ชัดเจนเกี่ยวกับการใช้รหัสผ่านอย่างง่าย หรือตั้งค่าชุดเดียวสำหรับบัญชีทั้งหมด เครื่องมือสร้างรหัสผ่านสามารถช่วยสร้างรหัสผ่านที่รัดกุมและเชื่อถือได้ซึ่งประกอบด้วยตัวอักษร ตัวเลข และสัญลักษณ์

นอกจากนี้ ควรเป็นส่วนบังคับของนโยบายเพื่อเปิดใช้งานการตรวจสอบสิทธิ์แบบสองปัจจัยในบัญชีองค์กรทั้งหมด มันจะเพิ่มการปกป้องบัญชีของคุณและทำให้แฮกเกอร์ไม่สามารถถอดรหัสได้

2. ควบคุมการเข้าถึงข้อมูลที่ละเอียดอ่อน

การให้สิทธิ์เข้าถึงข้อมูลสำคัญอย่างไม่จำกัดแก่พนักงานทุกคนถือเป็นความผิดพลาดครั้งใหญ่ของบริษัท โดยค่าเริ่มต้น พนักงานทุกคนควรปฏิเสธการเข้าถึง จากนั้น ผู้จัดการควรกำหนดสิทธิ์ในขณะเดินทางเมื่อใดก็ตามที่พนักงานต้องการเข้าถึงข้อมูลเพื่อการปฏิบัติงาน ระบบส่วนใหญ่มีระดับการอนุญาตของผู้ใช้ที่แตกต่างกันขึ้นอยู่กับบทบาทของพวกเขา ตัวอย่างเช่น ผู้เชี่ยวชาญระดับจูเนียร์สามารถดูเอกสารได้ในขณะที่ผู้จัดการมีสิทธิ์แก้ไขหรือลบออก การแบ่งสิทธิ์ผู้ใช้ดังกล่าวปกป้องข้อมูลที่ละเอียดอ่อนจากการถูกแก้ไขหรือลบโดยไม่ตั้งใจ

3. ติดตั้งซอฟต์แวร์ป้องกันไวรัสและสปายแวร์

ไวรัสและสปายแวร์สามารถทำลายอุปกรณ์และเครือข่ายของคุณได้ ดังนั้นจึงควรได้รับการปกป้องมากกว่าต่อสู้กับผลร้ายที่ตามมา การป้องกันไวรัสและสปายแวร์ที่ดีที่สุดคือซอฟต์แวร์ป้องกันไวรัสและสปายแวร์ McAfee Total Protection, Norton 360 และ Bitdefender Total Security เป็นสามโซลูชั่นป้องกันสปายแวร์ชั้นนำที่คุ้มค่าในการใช้งาน ซอฟต์แวร์นี้มี VPN สำหรับการใช้งานอินเทอร์เน็ตที่เข้ารหัสและไฟร์วอลล์เพื่อปกป้องอุปกรณ์จากภัยคุกคามภายนอก

4. ให้ความรู้พนักงานเกี่ยวกับความปลอดภัยทางไซเบอร์

ข้อผิดพลาดของมนุษย์ส่วนใหญ่เกิดขึ้นเนื่องจากขาดความรู้เกี่ยวกับความปลอดภัยในโลกไซเบอร์ และวิธีที่ดีที่สุดในการลดความเสี่ยงของข้อผิดพลาดดังกล่าวคือการให้ความรู้และเพิ่มความตระหนักของพนักงานเกี่ยวกับความปลอดภัยของข้อมูล บริษัทควรจัดการฝึกอบรมและสอนพนักงานเกี่ยวกับการโจมตีทางไซเบอร์ ประเภท และขั้นตอนการป้องกัน พวกเขาควรรู้วิธีแยกแยะอีเมลฟิชชิ่งจากอีเมลจริง วิธีรายงาน และสิ่งที่ต้องทำในกรณีที่ตรวจพบการละเมิดความปลอดภัย หากบริษัทของคุณมีนโยบายด้านความปลอดภัยเฉพาะ ตรวจสอบให้แน่ใจว่าพนักงานของคุณทราบเรื่องนี้

5. กรองอีเมลขาเข้า

วิธีหนึ่งในการป้องกันตัวเองจากอีเมลฟิชชิ่งคือการตั้งค่าสถานะข้อความที่ได้รับจากภายนอกบริษัทของคุณ แต่ไม่ใช่วิธีแก้ปัญหา 100% เนื่องจากอีเมลขยะบางฉบับสามารถเลียนแบบโดเมนอีเมลของบริษัทคุณได้ ดังนั้น การใช้ซอฟต์แวร์รักษาความปลอดภัยที่ตรวจจับอีเมลที่น่าสงสัยจึงเป็นอีกทางเลือกหนึ่ง

ไม่ว่าคุณจะตัดสินใจที่จะต่อสู้กับฟิชชิ่งอย่างไร ให้สร้างกฎง่ายๆ ที่จะไม่ดาวน์โหลดไฟล์หรือคลิกลิงก์ในอีเมลที่น่าสงสัย

6. อัปเดตนโยบายความปลอดภัยของคุณ

บริษัทของคุณไม่ควรพึ่งพาทัศนคติที่ดีของพนักงานต่อการปฏิบัติตามขั้นตอนการรักษาความปลอดภัยทางไซเบอร์ คุณควรมีนโยบายการรักษาความปลอดภัยขององค์กรที่อธิบายไว้อย่างชัดเจน ซึ่งอธิบายวิธีจัดการกับข้อมูลที่ละเอียดอ่อน วิธีและเวลาในการอัปเดตรหัสผ่านและกฎความปลอดภัยอื่นๆ อย่างไรก็ตาม คู่มือนี้ไม่ควรล้าสมัย ตรวจสอบให้แน่ใจว่าได้อัปเดตเป็นประจำและแจ้งให้พนักงานของคุณทราบเพื่อทำความคุ้นเคยกับขั้นตอนการรักษาความปลอดภัยใหม่

คุณอาจชอบ: การเรียนรู้ของเครื่องใช้ในความปลอดภัยทางไซเบอร์เป็นอย่างไร?

7. อัปเดตซอฟต์แวร์เป็นประจำ

นักพัฒนาซอฟต์แวร์ออกแพตช์เนื่องจากพบช่องโหว่และต้องการช่วยให้คุณได้รับการปกป้องจากช่องโหว่เหล่านี้ ดังนั้น การละเลยและข้ามการอัปเดตซอฟต์แวร์จะเพิ่มความเสี่ยงที่อุปกรณ์ของคุณจะถูกบุกรุก ดังนั้น ขอแนะนำให้ติดตั้งโปรแกรมแก้ไขทันทีหลังจากที่พร้อมใช้งาน