ความปลอดภัยของคอมพิวเตอร์

จากวิกิพีเดีย สารานุกรมเสรี
ข้ามไปที่การนำทาง ข้ามไปที่การค้นหา

แม้ว่าการรักษาความปลอดภัยคอมพิวเตอร์ส่วนใหญ่จะเกี่ยวข้องกับมาตรการดิจิทัล เช่น รหัสผ่านอิเล็กทรอนิกส์และการเข้ารหัส มาตรการรักษาความปลอดภัยทางกายภาพ เช่น ตัวล็อคโลหะ ยังคงใช้เพื่อป้องกันการปลอมแปลงโดยไม่ได้รับอนุญาต

การรักษาความปลอดภัยคอมพิวเตอร์ , โลกไซเบอร์,หรือเทคโนโลยีรักษาความปลอดภัยข้อมูล ( รักษาความปลอดภัยไอที ) คือการป้องกันของระบบคอมพิวเตอร์และเครือข่ายจากการเปิดเผยข้อมูลการโจรกรรมหรือความเสียหายของพวกเขาฮาร์ดแวร์ , ซอฟแวร์หรือข้อมูลทางอิเล็กทรอนิกส์เช่นเดียวกับจากการหยุดชะงักหรือผิดในการให้บริการ พวกเขาให้[1]

ข้อมูลจะกลายเนื่องจากมีนัยสำคัญมากขึ้นกับความเชื่อมั่นในการขยายอย่างต่อเนื่องในระบบคอมพิวเตอร์ที่เชื่อมต่ออินเทอร์เน็ต[2]และเครือข่ายไร้สายมาตรฐานเช่นบลูทู ธและWi-Fiและเนื่องจากการเติบโตของอุปกรณ์ "สมาร์ท"รวมทั้งมาร์ทโฟน , โทรทัศน์และ อุปกรณ์ต่างๆ ที่ประกอบเป็น " อินเทอร์เน็ตของสรรพสิ่ง " ความปลอดภัยทางไซเบอร์เป็นหนึ่งในความท้าทายที่สำคัญในโลกร่วมสมัย เนื่องจากความซับซ้อนทั้งในแง่ของการใช้ทางการเมืองและเทคโนโลยี [3]

ประวัติ

นับตั้งแต่การมาถึงของอินเทอร์เน็ตและการเปลี่ยนแปลงทางดิจิทัลที่เริ่มต้นขึ้นในช่วงไม่กี่ปีที่ผ่านมา แนวคิดเรื่องความปลอดภัยทางไซเบอร์ได้กลายเป็นหัวข้อที่คุ้นเคยทั้งในชีวิตการทำงานและชีวิตส่วนตัวของเรา ความปลอดภัยทางไซเบอร์และภัยคุกคามทางไซเบอร์เกิดขึ้นอย่างต่อเนื่องตลอด 50 ปีที่ผ่านมาของการเปลี่ยนแปลงทางเทคโนโลยี ในช่วงทศวรรษ 1970 และ 1980 ความปลอดภัยของคอมพิวเตอร์ส่วนใหญ่จำกัดอยู่ที่สถาบันการศึกษา จนกระทั่งมีแนวคิดเกี่ยวกับอินเทอร์เน็ต ซึ่งด้วยการเชื่อมต่อที่เพิ่มขึ้น ไวรัสคอมพิวเตอร์และการบุกรุกเครือข่ายเริ่มมีขึ้น หลังการแพร่ระบาดของไวรัสในทศวรรษ 1990 ทศวรรษ 2000 เป็นจุดเริ่มต้นของการคุกคามทางไซเบอร์และการรักษาความปลอดภัยทางไซเบอร์

ในที่สุด ตั้งแต่ปี 2010 การโจมตีขนาดใหญ่และกฎระเบียบของรัฐบาลก็เกิดขึ้น

เซสชั่นเมษายน 1967จัดโดยวิลลิสแวร์ที่การประชุมฤดูใบไม้ผลิคอมพิวเตอร์ร่วมและสิ่งพิมพ์ต่อมาของพัสดุรายงานเป็นช่วงเวลาที่พื้นฐานที่สุดในประวัติศาสตร์ของเขตรักษาความปลอดภัยคอมพิวเตอร์ [4]งานของ Ware คร่อมจุดตัดของข้อกังวลด้านวัตถุ วัฒนธรรม การเมือง และสังคม [4]

สิ่งพิมพ์NISTปี 1977 [5] ได้แนะนำ "CIA triad" ของ Confidentiality, Integrity และ Availability ให้เป็นวิธีที่ชัดเจนและเรียบง่ายในการอธิบายเป้าหมายด้านความปลอดภัยที่สำคัญ [6]ในขณะที่ยังคงมีความเกี่ยวข้อง ได้มีการเสนอกรอบงานที่ซับซ้อนมากขึ้นนับแต่นั้นมา [7] [8]

อย่างไรก็ตาม ในช่วงทศวรรษ 1970 และ 1980 ไม่ได้มีภัยคุกคามทางคอมพิวเตอร์ร้ายแรงใดๆ เนื่องจากคอมพิวเตอร์และอินเทอร์เน็ตยังคงพัฒนาอยู่ และภัยคุกคามด้านความปลอดภัยสามารถระบุได้ง่าย ภัยคุกคามส่วนใหญ่มาจากบุคคลภายในที่เป็นอันตรายซึ่งได้รับการเข้าถึงเอกสารและไฟล์ที่มีความละเอียดอ่อนโดยไม่ได้รับอนุญาต แม้ว่ามัลแวร์และการละเมิดเครือข่ายจะเกิดขึ้นในช่วงปีแรกๆ แต่ก็ไม่ได้ใช้เพื่อผลประโยชน์ทางการเงิน อย่างไรก็ตาม ในช่วงครึ่งหลังของปี 1970 บริษัทคอมพิวเตอร์ที่จัดตั้งขึ้น เช่น IBM เริ่มเสนอระบบควบคุมการเข้าออกเชิงพาณิชย์และผลิตภัณฑ์ซอฟต์แวร์รักษาความปลอดภัยคอมพิวเตอร์ [9]

มันเริ่มต้นด้วยไม้เลื้อยในปี 1971 ลดาเป็นโปรแกรมคอมพิวเตอร์ทดลองเขียนโดยบ๊อบโทมัสที่BBN ถือเป็นเวิร์มคอมพิวเตอร์ตัวแรก

ในปี 1972 ซอฟแวร์ป้องกันไวรัสที่ถูกสร้างขึ้นเป็นครั้งแรกเรียกว่าReaper มันถูกสร้างขึ้นโดยRay Tomlinsonเพื่อย้ายข้าม ARPANET และลบเวิร์ม Creeper

ระหว่างเดือนกันยายน พ.ศ. 2529 ถึงมิถุนายน 2530 กลุ่มแฮ็กเกอร์ชาวเยอรมันได้ดำเนินการกรณีการจารกรรมทางไซเบอร์ครั้งแรกที่มีการจัดทำเป็นเอกสาร กลุ่มแฮ็กเข้าไปในเครือข่ายผู้รับเหมาป้องกันประเทศ มหาวิทยาลัย และฐานทัพทหารของอเมริกา และขายข้อมูลที่รวบรวมไปยัง KGB ของสหภาพโซเวียต กลุ่มนี้นำโดยMarkus Hessซึ่งถูกจับกุมเมื่อวันที่ 29 มิถุนายน พ.ศ. 2530 เขาถูกตัดสินว่ามีความผิดฐานจารกรรม (พร้อมกับผู้สมรู้ร่วมคิดอีกสองคน) เมื่อวันที่ 15 กุมภาพันธ์ พ.ศ. 2533

ในปี 1988 ซึ่งเป็นหนึ่งในคนแรกที่หนอนคอมพิวเตอร์ที่เรียกว่ามอร์ริสหนอนถูกเผยแพร่ผ่านทางอินเทอร์เน็ต ได้รับความสนใจจากสื่อกระแสหลักอย่างมาก

ในปี 1993 Netscapeเริ่มพัฒนาโปรโตคอลSSLไม่นานหลังจากที่ National Center for Supercomputing Applications (NCSA) เปิดตัว Mosaic 1.0 ซึ่งเป็นเว็บเบราว์เซอร์ตัวแรกในปี 1993 Netscape มี SSL เวอร์ชัน 1.0 พร้อมในปี 1994 แต่ไม่เคยเผยแพร่สู่สาธารณะ เนื่องจากช่องโหว่ด้านความปลอดภัยที่ร้ายแรงมากมาย จุดอ่อนเหล่านี้รวมถึงการโจมตีซ้ำและช่องโหว่ที่อนุญาตให้แฮ็กเกอร์แก้ไขการสื่อสารที่ไม่ได้เข้ารหัสที่ส่งโดยผู้ใช้ อย่างไรก็ตาม ในเดือนกุมภาพันธ์ 1995 Netscape ได้เปิดตัวเวอร์ชัน 2.0

กลยุทธ์รุกล้มเหลว

สภาความมั่นคงแห่งชาติ (เอ็นเอสเอ) เป็นผู้รับผิดชอบในการป้องกันของระบบสารสนเทศสหรัฐอเมริกาและยังสำหรับการเก็บรวบรวมข่าวกรองแห่งชาติ[10] หน้าที่ทั้งสองนี้ขัดแย้งกัน การปกป้องระบบข้อมูลรวมถึงการประเมินซอฟต์แวร์ การระบุข้อบกพร่องด้านความปลอดภัย และการดำเนินการแก้ไขข้อบกพร่อง ซึ่งเป็นมาตรการป้องกัน การรวบรวมข่าวกรองรวมถึงการใช้ประโยชน์จากข้อบกพร่องด้านความปลอดภัยเพื่อดึงข้อมูลซึ่งเป็นการกระทำที่ไม่เหมาะสม การแก้ไขข้อบกพร่องด้านความปลอดภัยทำให้ข้อบกพร่องไม่พร้อมใช้งานสำหรับการใช้ประโยชน์จาก NSA

หน่วยงานวิเคราะห์ซอฟต์แวร์ที่ใช้กันทั่วไปเพื่อค้นหาข้อบกพร่องด้านความปลอดภัย ซึ่งสงวนไว้สำหรับวัตถุประสงค์เชิงรุกกับคู่แข่งในสหรัฐอเมริกา หน่วยงานไม่ค่อยดำเนินการป้องกันโดยรายงานข้อบกพร่องให้ผู้ผลิตซอฟต์แวร์ทราบ เพื่อให้สามารถขจัดข้อบกพร่องด้านความปลอดภัยได้(11)

กลยุทธ์ที่น่ารังเกียจทำงานในขณะที่ประเทศอื่น ๆ แต่ในที่สุดรวมทั้งรัสเซีย , อิหร่าน , เกาหลีเหนือและจีนได้รับความสามารถที่น่ารังเกียจของตัวเองและมีแนวโน้มที่จะใช้มันกับสหรัฐอเมริกา ผู้รับเหมาของ NSA ได้สร้างและขายเครื่องมือโจมตีแบบ "คลิกแล้วยิง" ให้กับหน่วยงานของสหรัฐฯ และพันธมิตรที่ใกล้ชิด แต่ในที่สุดเครื่องมือดังกล่าวก็เข้าถึงฝ่ายตรงข้ามจากต่างประเทศ ในปี 2559 เครื่องมือแฮ็กของ NSA เองถูกแฮ็กและถูกใช้โดยรัสเซียและเกาหลีเหนือ พนักงาน NSAs และผู้รับเหมาที่ได้รับการคัดเลือกที่เงินเดือนสูงโดยฝ่ายตรงข้ามกังวลที่จะแข่งขันในcyberwarfare (11)

ตัวอย่างเช่น ในปี 2550 สหรัฐอเมริกาและอิสราเอลเริ่มใช้ประโยชน์จากข้อบกพร่องด้านความปลอดภัยในระบบปฏิบัติการ Microsoft Windows เพื่อโจมตีและสร้างความเสียหายให้กับอุปกรณ์ที่ใช้ในอิหร่านเพื่อปรับแต่งวัสดุนิวเคลียร์ อิหร่านตอบโต้ด้วยการลงทุนอย่างหนักในความสามารถด้านสงครามไซเบอร์ซึ่งพวกเขาเริ่มใช้กับสหรัฐอเมริกา (11)

ช่องโหว่และการโจมตี

จุดอ่อนคือจุดอ่อนในการออกแบบ การนำไปใช้งาน การปฏิบัติการ หรือการควบคุมภายใน ช่องโหว่ส่วนใหญ่ที่ถูกค้นพบได้รับการบันทึกไว้ในฐานข้อมูลช่องโหว่ทั่วไปและการเปิดเผย (CVE) [ ต้องการอ้างอิง ] โหว่ช่องโหว่เป็นหนึ่งในที่อย่างน้อยหนึ่งโจมตีการทำงานหรือ " ใช้ประโยชน์จาก"ที่มีอยู่[12]ช่องโหว่สามารถวิจัย ทำวิศวกรรมย้อนกลับ ค้นหา หรือใช้ประโยชน์จากเครื่องมืออัตโนมัติหรือสคริปต์ที่ปรับแต่งได้[13] [14]ในการรักษาความปลอดภัยระบบคอมพิวเตอร์ สิ่งสำคัญคือต้องเข้าใจการโจมตีที่สามารถโจมตีได้ และภัยคุกคามเหล่านี้ โดยทั่วไปสามารถจำแนกได้เป็นประเภทใดประเภทหนึ่งดังต่อไปนี้:

ประตูหลัง

ลับๆในระบบคอมพิวเตอร์, cryptosystemหรืออัลกอริทึมเป็นวิธีการที่เป็นความลับใด ๆ ของอ้อมปกติการตรวจสอบหรือการรักษาความปลอดภัยการควบคุม อาจมีสาเหตุหลายประการ รวมถึงจากการออกแบบดั้งเดิมหรือจากการกำหนดค่าที่ไม่ดี พวกเขาอาจถูกเพิ่มโดยบุคคลที่ได้รับอนุญาตเพื่ออนุญาตการเข้าถึงที่ถูกต้องตามกฎหมาย หรือโดยผู้โจมตีด้วยเหตุผลที่เป็นอันตราย แต่โดยไม่คำนึงถึงแรงจูงใจในการดำรงอยู่ของพวกเขา พวกเขาสร้างช่องโหว่ แบ็คดอร์สามารถตรวจจับได้ยากมาก และการตรวจจับแบ็คดอร์มักจะถูกค้นพบโดยผู้ที่สามารถเข้าถึงซอร์สโค้ดของแอปพลิเคชันหรือมีความรู้เกี่ยวกับระบบปฏิบัติการของคอมพิวเตอร์อย่างใกล้ชิด

การโจมตีแบบปฏิเสธการให้บริการ

การปฏิเสธการโจมตีบริการ (DoS) ได้รับการออกแบบมาเพื่อทำให้เครื่องหรือทรัพยากรเครือข่ายไม่พร้อมใช้งานสำหรับผู้ใช้ที่ต้องการ[15]ผู้โจมตีสามารถปฏิเสธการให้บริการแก่เหยื่อแต่ละราย เช่น โดยจงใจป้อนรหัสผ่านผิดติดต่อกันจนทำให้บัญชีของเหยื่อถูกล็อค หรือพวกเขาอาจใช้งานเครื่องหรือเครือข่ายมากเกินไป และบล็อกผู้ใช้ทั้งหมดในคราวเดียว แม้ว่าการโจมตีเครือข่ายจากที่อยู่ IPเดียวสามารถบล็อกได้โดยการเพิ่มกฎไฟร์วอลล์ใหม่การโจมตีแบบปฏิเสธบริการแบบกระจาย (DDoS) หลายรูปแบบก็เป็นไปได้ โดยที่การโจมตีมาจากจุดจำนวนมาก – และการป้องกันนั้นยากกว่ามาก . การโจมตีดังกล่าวสามารถเกิดขึ้นได้จากคอมพิวเตอร์ซอมบี้ของบ็อตเน็ตหรือจากเทคนิคอื่นๆ ที่เป็นไปได้ รวมทั้งการโจมตีแบบสะท้อนและขยายเสียงซึ่งระบบที่ไร้เดียงสาถูกหลอกให้ส่งการจราจรไปยังเหยื่อ

การโจมตีโดยตรง

ผู้ใช้ที่ไม่ได้รับอนุญาตที่เข้าถึงคอมพิวเตอร์ทางกายภาพมักจะสามารถคัดลอกข้อมูลจากคอมพิวเตอร์ได้โดยตรง พวกเขาอาจจะยังรักษาความปลอดภัยการประนีประนอมโดยการทำให้ระบบปฏิบัติการการปรับเปลี่ยนการติดตั้งซอฟแวร์เวิร์ม , keyloggers , อุปกรณ์แอบแฝงฟังหรือใช้ไมโครโฟนไร้สาย แม้ว่าระบบจะได้รับการปกป้องด้วยมาตรการรักษาความปลอดภัยมาตรฐาน สิ่งเหล่านี้อาจถูกข้ามได้โดยการบูตระบบปฏิบัติการหรือเครื่องมืออื่นจากซีดีรอมหรือสื่อสำหรับบูตอื่น ๆ การเข้ารหัสดิสก์และTrusted Platform Moduleได้รับการออกแบบมาเพื่อป้องกันการโจมตีเหล่านี้

การดักฟัง

กำลังดักคือการกระทำของแอบฟังการสนทนา "" ส่วนตัวคอมพิวเตอร์ (การสื่อสาร) โดยทั่วไประหว่างโฮสต์บนเครือข่าย ยกตัวอย่างเช่นโปรแกรมเช่นแมลงและNarusInSightได้ถูกนำมาใช้โดยเอฟบีไอและเอ็นเอสเอดักฟังในระบบของผู้ให้บริการอินเทอร์เน็ต แม้แต่เครื่องจักรที่ทำงานเป็นระบบปิด (เช่น ไม่มีการสัมผัสกับโลกภายนอก) ก็สามารถดักฟังได้ผ่านการตรวจสอบการส่งสัญญาณแม่เหล็กไฟฟ้าจางๆ ที่เกิดจากฮาร์ดแวร์ TEMPESTเป็นข้อกำหนดโดยNSA ที่อ้างถึงการโจมตีเหล่านี้

การโจมตีแบบเวกเตอร์หลายรูปแบบ

ในปีพ.ศ. 2560 ภัยคุกคามทางไซเบอร์ชนิดใหม่ของเวกเตอร์[16] polymorphic [17] ได้รวมการโจมตีหลายประเภทและรูปแบบที่เปลี่ยนไปเพื่อหลีกเลี่ยงการควบคุมความปลอดภัยทางไซเบอร์ขณะแพร่กระจาย

ฟิชชิง

ตัวอย่างของอีเมลฟิชชิ่งที่ปลอมแปลงเป็นอีเมลอย่างเป็นทางการจากธนาคาร (สมมติ) ผู้ส่งพยายามหลอกให้ผู้รับเปิดเผยข้อมูลที่เป็นความลับโดย "ยืนยัน" ที่เว็บไซต์ของฟิชเชอร์ หมายเหตุการสะกดคำผิดของคำที่ได้รับและความแตกต่างในฐานะที่ได้รับและdiscrepencyตามลำดับ แม้ว่าURLของหน้าเว็บของธนาคารจะดูเหมือนถูกต้องตามกฎหมาย แต่ไฮเปอร์ลิงก์จะชี้ไปที่หน้าเว็บของฟิชเชอร์

ฟิชชิงคือความพยายามในการรับข้อมูลที่ละเอียดอ่อน เช่น ชื่อผู้ใช้ รหัสผ่าน และรายละเอียดบัตรเครดิตจากผู้ใช้โดยตรงด้วยการหลอกลวงผู้ใช้[18]ฟิชชิ่งมักดำเนินการโดยการปลอมแปลงอีเมลหรือข้อความโต้ตอบแบบทันทีและมักจะแนะนำให้ผู้ใช้ป้อนรายละเอียดในเว็บไซต์ปลอมซึ่ง "รูปลักษณ์" และ "ความรู้สึก" เกือบจะเหมือนกันกับเว็บไซต์ที่ถูกต้อง เว็บไซต์ปลอมมักขอข้อมูลส่วนบุคคล เช่น รายละเอียดการเข้าสู่ระบบและรหัสผ่าน ข้อมูลนี้สามารถใช้เพื่อเข้าถึงบัญชีจริงของบุคคลบนเว็บไซต์จริงได้ ฟิชชิ่งสามารถจำแนกได้เป็นรูปแบบหนึ่งของวิศวกรรมสังคม. ผู้โจมตีใช้วิธีการที่สร้างสรรค์ในการเข้าถึงบัญชีจริง กลโกงทั่วไปคือให้ผู้โจมตีส่งใบแจ้งหนี้อิเล็กทรอนิกส์ปลอม[19]ให้กับบุคคลที่แสดงว่าเพิ่งซื้อเพลง แอป หรืออื่นๆ และแนะนำให้คลิกลิงก์หากการซื้อไม่ได้รับอนุญาต

การยกระดับสิทธิ์

การเพิ่มระดับสิทธิ์อธิบายสถานการณ์ที่ผู้โจมตีที่มีระดับการเข้าถึงที่จำกัดบางระดับสามารถยกระดับสิทธิ์หรือระดับการเข้าถึงของตนได้โดยไม่ได้รับอนุญาต ตัวอย่างเช่นผู้ใช้คอมพิวเตอร์มาตรฐานอาจจะสามารถใช้ประโยชน์จากช่องโหว่ในระบบเพื่อให้เข้าถึงข้อมูลที่ จำกัด ; หรือแม้แต่กลายเป็น " รูท " และมีสิทธิ์เข้าถึงระบบได้อย่างเต็มที่

วิศวกรรมย้อนกลับ

วิศวกรรมย้อนกลับเป็นกระบวนการที่วัตถุที่มนุษย์สร้างขึ้นถูกแยกโครงสร้างเพื่อแสดงการออกแบบ รหัส สถาปัตยกรรม หรือเพื่อดึงความรู้ออกจากวัตถุ คล้ายกับการวิจัยทางวิทยาศาสตร์ ความแตกต่างเพียงอย่างเดียวคือการวิจัยทางวิทยาศาสตร์เกี่ยวกับปรากฏการณ์ทางธรรมชาติ (20) : 3 

การโจมตีช่องด้านข้าง

ระบบการคำนวณใดๆ ก็ตามมีผลกระทบต่อสภาพแวดล้อมในบางรูปแบบ ผลกระทบนี้มีต่อสภาพแวดล้อม รวมถึงเกณฑ์ที่หลากหลาย ซึ่งอาจครอบคลุมตั้งแต่การแผ่รังสีแม่เหล็กไฟฟ้า ไปจนถึงผลกระทบที่ตกค้างในเซลล์ RAM ซึ่งทำให้การโจมตีแบบCold boot เกิดขึ้นได้ ไปจนถึงข้อผิดพลาดในการใช้งานฮาร์ดแวร์ที่อนุญาตให้เข้าถึงและหรือคาดเดาได้ ของค่าอื่นๆ ที่ปกติแล้วไม่สามารถเข้าถึงได้ ในสถานการณ์การโจมตีแบบช่องสัญญาณด้านข้าง ผู้โจมตีจะรวบรวมข้อมูลดังกล่าวเกี่ยวกับระบบหรือเครือข่ายเพื่อคาดเดาสถานะภายใน และด้วยเหตุนี้จึงทำให้เข้าถึงข้อมูลที่เหยื่อสันนิษฐานว่ามีความปลอดภัย

วิศวกรรมสังคม

วิศวกรรมสังคมในบริบทของการรักษาความปลอดภัยคอมพิวเตอร์ มีจุดมุ่งหมายเพื่อโน้มน้าวให้ผู้ใช้เปิดเผยความลับ เช่น รหัสผ่าน หมายเลขบัตร ฯลฯ หรือให้สิทธิ์การเข้าถึงทางกายภาพ เช่น การแอบอ้างเป็นผู้บริหารระดับสูง ธนาคาร ผู้รับเหมา หรือลูกค้า[21]ซึ่งมักจะเกี่ยวข้องกับการใช้ประโยชน์จากประชาชนไว้วางใจและการพึ่งพาของพวกเขาอคติทางปัญญากลโกงทั่วไปเกี่ยวข้องกับอีเมลที่ส่งถึงเจ้าหน้าที่แผนกบัญชีและการเงิน แอบอ้างเป็น CEO และขอให้ดำเนินการอย่างเร่งด่วน ในต้นปี 2559 FBIรายงานว่ากลโกง" อีเมลธุรกิจประนีประนอม " (BEC) ดังกล่าวทำให้ธุรกิจในสหรัฐฯ เสียค่าใช้จ่ายมากกว่า 2 พันล้านดอลลาร์ในเวลาประมาณ 2 ปี[22]

ในเดือนพฤษภาคม 2016 ทีมNBAของMilwaukee Bucks ตกเป็นเหยื่อของการหลอกลวงทางไซเบอร์ประเภทนี้ โดยมีผู้กระทำผิดแอบอ้างเป็นประธานของทีมPeter Feiginส่งผลให้มีการส่งมอบแบบฟอร์มภาษีW-2ประจำปี 2558 ของพนักงานทุกคนในทีม [23]

การปลอมแปลง

การปลอมแปลงเป็นการกระทำที่ปลอมแปลงเป็นนิติบุคคลที่ถูกต้องผ่านการปลอมแปลงข้อมูล (เช่นที่อยู่ IPหรือชื่อผู้ใช้) เพื่อเข้าถึงข้อมูลหรือทรัพยากรที่ไม่ได้รับอนุญาต [24] [25]การปลอมแปลงมีหลายประเภท ได้แก่:

งัดแงะ

การปลอมแปลงจะอธิบายการดัดแปลงหรือแก้ไขข้อมูลที่เป็นอันตราย ตัวอย่างการโจมตีที่เรียกว่าEvil Maidและบริการรักษาความปลอดภัยที่ปลูกฝังความสามารถในการเฝ้าระวังในเราเตอร์ [27]

มัลแวร์

ซอฟต์แวร์ที่เป็นอันตราย ( มัลแวร์ ) ที่ติดตั้งบนคอมพิวเตอร์สามารถรั่วไหลของข้อมูลส่วนบุคคล สามารถควบคุมระบบให้กับผู้โจมตี และสามารถลบข้อมูลได้อย่างถาวร (28)

วัฒนธรรมการรักษาความปลอดภัยของข้อมูล

พฤติกรรมของพนักงานอาจมีผลกระทบอย่างมากต่อความปลอดภัยของข้อมูลในองค์กร แนวคิดทางวัฒนธรรมสามารถช่วยให้ส่วนต่างๆ ขององค์กรทำงานได้อย่างมีประสิทธิผลหรือขัดต่อประสิทธิผลต่อความปลอดภัยของข้อมูลภายในองค์กร วัฒนธรรมการรักษาความปลอดภัยของข้อมูลคือ "...รูปแบบพฤติกรรมทั้งหมดในองค์กรที่มีส่วนช่วยในการปกป้องข้อมูลทุกประเภท" [29]

Andersson and Reimers (2014) พบว่าพนักงานมักไม่มองว่าตนเองเป็นส่วนหนึ่งของความพยายามในการรักษาความปลอดภัยข้อมูลขององค์กร และมักดำเนินการที่ขัดขวางการเปลี่ยนแปลงขององค์กร [30]อันที่จริง รายงาน Verizon Data Breach Investigations Report ปี 2020 ซึ่งตรวจสอบการละเมิดความปลอดภัย 3,950 รายการ พบว่า 30% ของเหตุการณ์ความปลอดภัยทางไซเบอร์เกี่ยวข้องกับผู้ดำเนินการภายในบริษัท [31] การวิจัยแสดงให้เห็นว่าวัฒนธรรมการรักษาความปลอดภัยของข้อมูลจำเป็นต้องได้รับการปรับปรุงอย่างต่อเนื่อง ใน "วัฒนธรรมการรักษาความปลอดภัยข้อมูลจากการวิเคราะห์สู่การเปลี่ยนแปลง" ผู้เขียนให้ความเห็นว่า "มันเป็นกระบวนการที่ไม่สิ้นสุด วงจรของการประเมินและการเปลี่ยนแปลงหรือการบำรุงรักษา" ในการจัดการวัฒนธรรมการรักษาความปลอดภัยของข้อมูล ควรมีห้าขั้นตอน: การประเมินล่วงหน้า กลยุทธ์ การวางแผน การวางแผนปฏิบัติการ การนำไปปฏิบัติ และหลังการประเมิน(32)

  • การประเมินล่วงหน้า: เพื่อระบุความตระหนักในความปลอดภัยของข้อมูลภายในพนักงานและเพื่อวิเคราะห์นโยบายความปลอดภัยปัจจุบัน
  • การวางแผนเชิงกลยุทธ์: ในการจัดทำโปรแกรมการรับรู้ที่ดีขึ้น จำเป็นต้องกำหนดเป้าหมายที่ชัดเจน การรวมทีมผู้เชี่ยวชาญที่มีทักษะจะช่วยให้บรรลุเป้าหมายได้
  • การวางแผนปฏิบัติการ: วัฒนธรรมการรักษาความปลอดภัยที่ดีสามารถสร้างขึ้นได้จากการสื่อสารภายใน การจัดการซื้อ ความตระหนักด้านความปลอดภัย และโปรแกรมการฝึกอบรม (32)
  • การนำไปใช้: สี่ขั้นตอนควรใช้เพื่อนำวัฒนธรรมการรักษาความปลอดภัยข้อมูลไปใช้ พวกเขาคือ:
  1. ความมุ่งมั่นของผู้บริหาร
  2. การสื่อสารกับสมาชิกในองค์กร
  3. หลักสูตรสำหรับสมาชิกในองค์กรทุกคน
  4. ความมุ่งมั่นของพนักงาน[32]
  • หลังการประเมิน: เพื่อประเมินความสำเร็จของการวางแผนและการดำเนินการ และเพื่อระบุประเด็นที่น่ากังวลที่ยังไม่ได้แก้ไข

ระบบที่มีความเสี่ยง

การเติบโตของจำนวนระบบคอมพิวเตอร์และการพึ่งพาที่เพิ่มขึ้นโดยบุคคล ธุรกิจ อุตสาหกรรม และรัฐบาล หมายความว่ามีจำนวนระบบที่มีความเสี่ยงเพิ่มขึ้น

ระบบการเงิน

ระบบคอมพิวเตอร์ของหน่วยงานกำกับดูแลด้านการเงินและสถาบันการเงิน เช่นสำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์แห่งสหรัฐอเมริกา SWIFT ธนาคารเพื่อการลงทุน และธนาคารพาณิชย์เป็นเป้าหมายการแฮ็กที่โดดเด่นสำหรับอาชญากรไซเบอร์ที่สนใจในการจัดการตลาดและแสวงหาผลกำไรที่ผิดกฎหมาย[33]เว็บไซต์และแอพที่รับหรือจัดเก็บหมายเลขบัตรเครดิตบัญชีนายหน้า และข้อมูลบัญชีธนาคารก็เป็นเป้าหมายการแฮ็กที่โดดเด่นเช่นกัน เนื่องจากมีโอกาสได้รับผลกำไรทางการเงินทันทีจากการโอนเงิน การซื้อ หรือการขายข้อมูลในตลาดมืด . [34]ระบบการชำระเงินภายในร้านและตู้เอทีเอ็มยังได้รับการดัดแปลงด้วยเพื่อที่จะรวบรวมข้อมูลบัญชีของลูกค้าและPIN ของ

สาธารณูปโภคและอุปกรณ์อุตสาหกรรม

คอมพิวเตอร์ควบคุมการทำงานที่สาธารณูปโภคจำนวนมากรวมทั้งการประสานงานของการสื่อสารโทรคมนาคมที่ตารางอำนาจ , โรงไฟฟ้านิวเคลียร์และวาล์วเปิดและปิดในน้ำและก๊าซเครือข่าย อินเทอร์เน็ตเป็นเวกเตอร์การโจมตีที่อาจเกิดขึ้นสำหรับเครื่องดังกล่าวหากเชื่อมต่อ แต่เวิร์มStuxnetแสดงให้เห็นว่าแม้แต่อุปกรณ์ที่ควบคุมโดยคอมพิวเตอร์ที่ไม่ได้เชื่อมต่อกับอินเทอร์เน็ตก็มีความเสี่ยง ในปี 2014 ทีมComputer Emergency Readinessซึ่งเป็นหน่วยงานหนึ่งของDepartment of Homeland Securityได้ตรวจสอบ 79 เหตุการณ์การแฮ็กที่บริษัทพลังงาน [35]

การบิน

บินอุตสาหกรรมมีการพึ่งพามากในชุดของระบบที่ซับซ้อนซึ่งสามารถโจมตี[36]ไฟฟ้าดับอย่างง่ายที่สนามบินแห่งหนึ่งสามารถทำให้เกิดผลกระทบทั่วโลก[37]ระบบส่วนใหญ่อาศัยการส่งสัญญาณวิทยุซึ่งอาจหยุดชะงัก[38]และการควบคุมเครื่องบินเหนือมหาสมุทรนั้นอันตรายอย่างยิ่งเนื่องจากการเฝ้าระวังเรดาร์ขยายเพียง 175 ถึง 225 ไมล์นอกชายฝั่ง[39]นอกจากนี้ยังมีศักยภาพสำหรับการโจมตีจากภายในเครื่องบิน[40]

ในยุโรป ด้วย ( Pan-European Network Service ) [41]และ NewPENS [42]และในสหรัฐอเมริกาที่มีโปรแกรม NextGen [43] ผู้ให้บริการระบบนำทางทางอากาศกำลังสร้างเครือข่ายเฉพาะของตนเอง

ผลที่ตามมาของการโจมตีที่ประสบความสำเร็จมีตั้งแต่การสูญเสียการรักษาความลับไปจนถึงการสูญเสียความสมบูรณ์ของระบบการปิดการควบคุมการจราจรทางอากาศ การสูญเสียเครื่องบิน และแม้กระทั่งการสูญเสียชีวิต

อุปกรณ์สำหรับผู้บริโภค

คอมพิวเตอร์เดสก์ท็อปและแล็ปท็อปมักมีเป้าหมายเพื่อรวบรวมรหัสผ่านหรือข้อมูลบัญชีการเงิน หรือเพื่อสร้างบ็อตเน็ตเพื่อโจมตีเป้าหมายอื่น มาร์ทโฟน , คอมพิวเตอร์แท็บเล็ต , นาฬิกาสมาร์ทและอื่น ๆโทรศัพท์มือถือเช่นตนเองปริมาณอุปกรณ์เช่นติดตามกิจกรรมมีเซ็นเซอร์เช่นกล้อง, ไมโครโฟน, รับ GPS, เข็มทิศและaccelerometersซึ่งสามารถนำมาใช้ประโยชน์และอาจเก็บรวบรวมข้อมูลส่วนบุคคลรวมทั้งข้อมูลด้านสุขภาพที่มีความละเอียดอ่อน . เครือข่าย WiFi, Bluetooth และโทรศัพท์มือถือในอุปกรณ์เหล่านี้สามารถใช้เป็นเวกเตอร์โจมตีได้ และเซ็นเซอร์อาจถูกเปิดใช้งานจากระยะไกลหลังจากการละเมิดสำเร็จ[44]

จำนวนอุปกรณ์อัตโนมัติในบ้านที่เพิ่มขึ้นเช่นNest thermostatก็เป็นเป้าหมายที่เป็นไปได้เช่นกัน [44]

บริษัทขนาดใหญ่

บริษัทขนาดใหญ่เป็นเป้าหมายร่วมกัน ในหลายกรณีการโจมตีมีจุดมุ่งหมายเพื่อผลประโยชน์ทางการเงินผ่านการโจรกรรมและเกี่ยวข้องกับการละเมิดข้อมูล ตัวอย่างเช่นการสูญเสียของล้านรายละเอียดบัตรเครดิตของลูกค้าโดยHome Depot , [45] สเตเปิล , [46] เป้าหมาย บริษัท , [47]และการละเมิดล่าสุดEquifax [48]

เวชระเบียนได้รับการกำหนดเป้าหมายโดยทั่วไปเพื่อระบุการโจรกรรม การฉ้อโกงประกันสุขภาพ และการแอบอ้างเป็นผู้ป่วยเพื่อขอรับยาที่ต้องสั่งโดยแพทย์เพื่อจุดประสงค์ด้านสันทนาการหรือการขายต่อ[49]แม้ว่าภัยคุกคามทางไซเบอร์ยังคงเพิ่มขึ้นอย่างต่อเนื่อง แต่ 62% ขององค์กรทั้งหมดไม่ได้เพิ่มการฝึกอบรมด้านความปลอดภัยสำหรับธุรกิจของตนในปี 2558 [50]

ไม่ใช่การโจมตีทั้งหมดที่มีแรงจูงใจทางการเงิน อย่างไรก็ตาม บริษัทรักษาความปลอดภัยHBGary Federalประสบกับการโจมตีหลายครั้งในปี 2011 จากกลุ่มแฮ็กทิวิสต์Anonymousในการตอบโต้สำหรับ CEO ของบริษัทที่อ้างว่าได้แทรกซึมกลุ่มของพวกเขา[51] [52]และSony Picturesถูกแฮ็ก ปี 2014โดยมีแรงจูงใจสองประการที่ชัดเจนในการทำให้บริษัทอับอายผ่านการรั่วไหลของข้อมูลและทำให้บริษัทพิการด้วยการเช็ดเวิร์กสเตชันและเซิร์ฟเวอร์ [53] [54]

รถยนต์

ยานพาหนะที่มีการใช้คอมพิวเตอร์มากขึ้นกับระยะเวลาที่เครื่องยนต์ควบคุมการล่องเรือ , ป้องกันการล็อคเบรก , tensioners เข็มขัดนิรภัย, ล็อคประตู, ถุงลมนิรภัยและระบบขับความช่วยเหลือขั้นสูงในหลายรูปแบบ นอกจากนี้รถยนต์ที่เชื่อมต่ออาจใช้ WiFi และ Bluetooth เพื่อสื่อสารกับอุปกรณ์ผู้บริโภคบนเครื่องบินและเครือข่ายโทรศัพท์มือถือ[55] คาดว่ารถยนต์ที่ขับเคลื่อนด้วยตนเองจะมีความซับซ้อนมากขึ้น ระบบทั้งหมดเหล่านี้มีความเสี่ยงด้านความปลอดภัย และปัญหาดังกล่าวได้รับความสนใจอย่างกว้างขวาง[56] [57] [58]

ตัวอย่างง่ายๆ ของความเสี่ยง ได้แก่คอมแพคดิสก์ที่เป็นอันตรายซึ่งถูกใช้เป็นเวกเตอร์โจมตี[59]และไมโครโฟนในรถที่ใช้ในการดักฟัง อย่างไรก็ตาม หากเข้าถึงเครือข่ายพื้นที่ควบคุมภายในของรถยนต์ได้อันตรายจะยิ่งมากขึ้น[55] – และในการทดสอบที่เผยแพร่อย่างกว้างขวางในปี 2015 แฮกเกอร์ได้ขโมยรถจากระยะไกล 10 ไมล์และขับมันเข้าไปในคูน้ำ[60] [61]

ผู้ผลิตต่างตอบโต้ในหลาย ๆ ด้าน โดยในปี 2559 เทสลาได้ผลักดันการแก้ไขด้านความปลอดภัย "ทางอากาศ" ในระบบคอมพิวเตอร์ของรถยนต์ของตน [62]ในส่วนของยานยนต์ไร้คนขับ ในเดือนกันยายน พ.ศ. 2559 กระทรวงคมนาคมของสหรัฐอเมริกาได้ประกาศมาตรฐานความปลอดภัยเบื้องต้นบางประการ และเรียกร้องให้รัฐต่างๆ จัดทำนโยบายที่เหมือนกัน [63] [64]

รัฐบาล

ระบบคอมพิวเตอร์ของรัฐบาลและทหารมักถูกโจมตีโดยนักเคลื่อนไหว[65] [66] [67]และมหาอำนาจจากต่างประเทศ[68] [69] [70] [71]โครงสร้างพื้นฐานของรัฐบาลท้องถิ่นและระดับภูมิภาค เช่นการควบคุมสัญญาณไฟจราจรการสื่อสารของตำรวจและหน่วยข่าวกรองบันทึกบุคลากร บันทึกนักศึกษา[72]และระบบการเงินก็เป็นเป้าหมายที่เป็นไปได้เช่นกัน คอมพิวเตอร์ส่วนใหญ่หนังสือเดินทางและรัฐบาลบัตรประจำตัวประชาชนที่ควบคุมการเข้าถึงสิ่งอำนวยความสะดวกที่ใช้RFIDสามารถจะเสี่ยงต่อการโคลน

Internet of Things และช่องโหว่ทางกายภาพ

Internet สิ่ง (IOT) เป็นเครือข่ายของวัตถุทางกายภาพเช่นอุปกรณ์ยานพาหนะและอาคารที่มีการฝังตัวกับอุปกรณ์อิเล็กทรอนิกส์ , ซอฟแวร์ , เซ็นเซอร์และการเชื่อมต่อเครือข่ายที่ช่วยให้พวกเขาในการเก็บรวบรวมและแลกเปลี่ยนข้อมูล [73]มีข้อกังวลว่าสิ่งนี้กำลังได้รับการพัฒนาโดยไม่มีการพิจารณาอย่างเหมาะสมเกี่ยวกับความท้าทายด้านความปลอดภัยที่เกี่ยวข้อง [74] [75]

ในขณะที่ IoT สร้างโอกาสในการรวมโลกทางกายภาพเข้ากับระบบที่ใช้คอมพิวเตอร์โดยตรง[76] [77] ยังให้โอกาสในการใช้ในทางที่ผิด โดยเฉพาะอย่างยิ่ง เนื่องจาก Internet of Things แพร่กระจายอย่างกว้างขวาง การโจมตีทางไซเบอร์จึงมีแนวโน้มที่จะกลายเป็นภัยคุกคามทางกายภาพ (แทนที่จะเป็นแบบเสมือน) ที่เพิ่มมากขึ้น[78]หากล็อคประตูหน้าเชื่อมต่อกับอินเทอร์เน็ตและสามารถล็อค/ปลดล็อคจากโทรศัพท์ได้ อาชญากรสามารถเข้าไปในบ้านได้ด้วยการกดปุ่มจากโทรศัพท์ที่ถูกขโมยหรือถูกแฮ็ก ผู้คนอาจสูญเสียมากกว่าหมายเลขบัตรเครดิตในโลกที่ควบคุมโดยอุปกรณ์ที่เปิดใช้งาน IoT โจรยังใช้วิธีอิเล็กทรอนิกส์เพื่อหลีกเลี่ยงการล็อกประตูโรงแรมที่ไม่เชื่อมต่ออินเทอร์เน็ต[79]

การโจมตีที่เป้าหมายโครงสร้างพื้นฐานทางกายภาพและ / หรือชีวิตมนุษย์บางครั้งจะเรียกว่าการโจมตีไซเบอร์เกี่ยวกับการเคลื่อนไหว เนื่องจากอุปกรณ์และเครื่องใช้ IoT ได้รับสกุลเงิน การโจมตีทางจลนศาสตร์ทางไซเบอร์อาจแพร่หลายและสร้างความเสียหายอย่างมาก

ระบบการแพทย์

อุปกรณ์ทางการแพทย์ที่ได้รับการอย่างใดอย่างหนึ่งโจมตีประสบความสำเร็จหรือมีช่องโหว่ร้ายแรงอาจเกิดขึ้นแสดงให้เห็นรวมทั้งอุปกรณ์ในโรงพยาบาลวินิจฉัย[80]และอุปกรณ์รวมทั้งฝังเครื่องกระตุ้นหัวใจ[81]และเครื่องปั๊มอินซูลิน [82]มีรายงานจำนวนมากเกี่ยวกับโรงพยาบาลและองค์กรโรงพยาบาลที่ถูกแฮ็ก รวมถึงการโจมตีด้วยแรนซัมแวร์[83] [84] [85] [86] Windows XP Explosives, [87] [88]ไวรัส, [89] [90]และการละเมิดข้อมูลของข้อมูลที่ละเอียดอ่อนที่จัดเก็บไว้ในเซิร์ฟเวอร์ของโรงพยาบาล[91] [84][92] [93]เมื่อวันที่ 28 ธันวาคม พ.ศ. 2559สำนักงานคณะกรรมการอาหารและยาแห่งสหรัฐอเมริกาได้ออกคำแนะนำว่าผู้ผลิตอุปกรณ์ทางการแพทย์ควรรักษาความปลอดภัยของอุปกรณ์ที่เชื่อมต่ออินเทอร์เน็ตอย่างไร แต่ไม่มีโครงสร้างสำหรับการบังคับใช้ [94] [95]

ภาคพลังงาน

ในระบบการผลิตการกระจายความเสี่ยงของการโจมตีในโลกไซเบอร์ที่เป็นจริงตามInsider พลังงานประจำวันการโจมตีอาจทำให้สูญเสียพลังงานในพื้นที่ขนาดใหญ่เป็นเวลานาน และการโจมตีดังกล่าวอาจมีผลร้ายแรงพอๆ กับภัยธรรมชาติ District of Columbia กำลังพิจารณาที่จะสร้างหน่วยงานด้านทรัพยากรพลังงานแบบกระจาย (DER) ภายในเมือง โดยมีเป้าหมายเพื่อให้ลูกค้าได้รับข้อมูลเชิงลึกเกี่ยวกับการใช้พลังงานของตนเองมากขึ้น และให้Pepcoซึ่งเป็นผู้ให้การไฟฟ้าในท้องถิ่นมีโอกาสประเมินความต้องการพลังงานได้ดีขึ้น . อย่างไรก็ตาม ข้อเสนอของ DC จะ "อนุญาตให้ผู้ค้าที่เป็นบุคคลที่สามสร้างจุดกระจายพลังงานจำนวนมาก ซึ่งอาจสร้างโอกาสมากขึ้นสำหรับผู้โจมตีทางไซเบอร์ในการคุกคามกริดไฟฟ้า" [96]

ผลกระทบของการละเมิดความปลอดภัย

ความเสียหายทางการเงินที่ร้ายแรงเกิดจากการละเมิดความปลอดภัยแต่เนื่องจากไม่มีรูปแบบมาตรฐานสำหรับการประเมินค่าใช้จ่ายของเหตุการณ์ ข้อมูลที่มีอยู่เพียงอย่างเดียวคือข้อมูลที่องค์กรที่เกี่ยวข้องเปิดเผยต่อสาธารณะ “บริษัทที่ปรึกษาด้านความปลอดภัยคอมพิวเตอร์หลายแห่งสร้างค่าประมาณของการสูญเสียทั่วโลกทั้งหมดอันเนื่องมาจากการโจมตีของไวรัสและเวิร์มและการกระทำทางดิจิทัลที่ไม่เป็นมิตรโดยทั่วไป ประมาณการการสูญเสียในปี 2546 โดยบริษัทเหล่านี้มีตั้งแต่ 13 พันล้านดอลลาร์ (เวิร์มและไวรัสเท่านั้น) ถึง 226 พันล้านดอลลาร์ (สำหรับทุกรูปแบบ ของการโจมตีแอบแฝง) ความน่าเชื่อถือของการประมาณการเหล่านี้มักถูกท้าทาย วิธีการพื้นฐานนั้นโดยทั่วไปแล้วเป็นเรื่องเล็กน้อย" [97]

อย่างไรก็ตาม การประมาณการอย่างสมเหตุสมผลของต้นทุนทางการเงินของการละเมิดความปลอดภัยสามารถช่วยให้องค์กรตัดสินใจลงทุนอย่างมีเหตุผลได้ จากแบบจำลองคลาสสิกของGordon-Loeb ที่วิเคราะห์ระดับการลงทุนที่เหมาะสมที่สุดในการรักษาความปลอดภัยข้อมูล เราสามารถสรุปได้ว่าจำนวนเงินที่บริษัทใช้จ่ายเพื่อปกป้องข้อมูลโดยทั่วไปควรเป็นเพียงเศษเสี้ยวของการสูญเสียที่คาดหวัง (เช่นมูลค่าที่คาดหวังของการสูญเสียที่จะเกิดขึ้น จากการละเมิดความปลอดภัยทางไซเบอร์/ข้อมูล) [98]

แรงจูงใจของผู้โจมตี

เช่นเดียวกับการรักษาความปลอดภัยทางกายภาพแรงจูงใจในการละเมิดความปลอดภัยของคอมพิวเตอร์นั้นแตกต่างกันไปตามผู้โจมตี บางคนเป็นผู้แสวงหาความตื่นเต้นหรือป่าเถื่อนบางคนเป็นนักเคลื่อนไหว บางคนเป็นอาชญากรที่แสวงหาผลประโยชน์ทางการเงิน โจมตีรัฐสนับสนุนอยู่ในขณะนี้ที่พบบ่อยและทรัพยากรได้ดี แต่เริ่มต้นกับมือสมัครเล่นเช่นมาร์คัสเฮสส์ที่ถูกแฮ็กสำหรับเดสขณะที่เล่าโดยClifford Stollในไข่นกกาเหว่าของ

นอกจากนี้ แรงจูงใจของผู้โจมตีล่าสุดสามารถสืบย้อนไปถึงองค์กรหัวรุนแรงที่แสวงหาผลประโยชน์ทางการเมืองหรือขัดขวางวาระทางสังคม[99]การเติบโตของอินเทอร์เน็ต เทคโนโลยีมือถือ และอุปกรณ์คอมพิวเตอร์ราคาถูก ได้นำไปสู่ความสามารถที่เพิ่มขึ้น แต่ยังรวมถึงความเสี่ยงต่อสภาพแวดล้อมที่ถือว่ามีความสำคัญต่อการดำเนินงาน สภาพแวดล้อมเป้าหมายที่สำคัญทั้งหมดมีความเสี่ยงที่จะถูกประนีประนอม และสิ่งนี้นำไปสู่การศึกษาเชิงรุกเกี่ยวกับวิธีการย้ายความเสี่ยงโดยคำนึงถึงแรงจูงใจของผู้ดำเนินการประเภทนี้ มีความแตกต่างอย่างมากระหว่างแรงจูงใจของแฮ็กเกอร์และของนักแสดงระดับชาติที่ต้องการโจมตีตามความชอบในอุดมคติ[100]

ส่วนมาตรฐานของการสร้างแบบจำลองภัยคุกคามสำหรับระบบใดระบบหนึ่งคือการระบุว่าสิ่งใดที่อาจกระตุ้นให้เกิดการโจมตีระบบนั้น และใครบ้างที่อาจมีแรงจูงใจที่จะฝ่าฝืน ระดับและรายละเอียดของข้อควรระวังจะแตกต่างกันไปขึ้นอยู่กับระบบที่จะรักษาความปลอดภัย บ้านคอมพิวเตอร์ส่วนบุคคล , ธนาคารและหมวดทหารเครือข่ายใบหน้าของภัยคุกคามที่แตกต่างกันมากแม้ในขณะที่เทคโนโลยีพื้นฐานในการใช้งานที่มีความคล้ายคลึง [11]

การป้องกันคอมพิวเตอร์ (มาตรการ)

ในการรักษาความปลอดภัยคอมพิวเตอร์การตอบโต้การกระทำอุปกรณ์วิธีการหรือเทคนิคที่ช่วยลดภัยคุกคามที่เป็นช่องโหว่หรือการโจมตีโดยการกำจัดหรือป้องกันมันโดยการลดอันตรายที่อาจทำให้เกิดหรือโดยการค้นพบและการรายงานเพื่อให้การดำเนินการแก้ไข สามารถนำ [102] [103] [104]

มาตรการรับมือทั่วไปบางประการระบุไว้ในส่วนต่อไปนี้:

ความปลอดภัยโดยการออกแบบ

การรักษาความปลอดภัยโดยการออกแบบหรือการรักษาความปลอดภัยโดยการออกแบบ หมายความว่าซอฟต์แวร์ได้รับการออกแบบมาตั้งแต่ต้นเพื่อให้ปลอดภัย ในกรณีนี้ การรักษาความปลอดภัยถือเป็นคุณสมบัติหลัก

เทคนิคบางอย่างในแนวทางนี้รวมถึง:

  • หลักการของสิทธิน้อยที่ส่วนหนึ่งของระบบแต่ละคนมีสิทธิพิเศษเฉพาะที่มีความจำเป็นสำหรับการทำงานของมัน ด้วยวิธีนี้ แม้ว่าผู้โจมตีจะเข้าถึงส่วนนั้นได้ พวกเขามีสิทธิ์เข้าถึงทั้งระบบอย่างจำกัด
  • ทฤษฎีบทอัตโนมัติพิสูจน์ความถูกต้องของระบบย่อยซอฟต์แวร์ที่สำคัญ
  • การตรวจสอบโค้ดและการทดสอบหน่วยแนวทางในการทำให้โมดูลมีความปลอดภัยมากขึ้นในกรณีที่ไม่สามารถพิสูจน์ความถูกต้องอย่างเป็นทางการได้
  • การป้องกันในเชิงลึกโดยที่การออกแบบนั้นจำเป็นต้องละเมิดระบบย่อยมากกว่าหนึ่งระบบเพื่อประนีประนอมความสมบูรณ์ของระบบและข้อมูลที่เก็บไว้
  • การตั้งค่าความปลอดภัยเริ่มต้น และการออกแบบให้ "ล้มเหลวในการรักษาความปลอดภัย" แทนที่จะเป็น "ล้มเหลวไม่ปลอดภัย" (ดูการไม่ปลอดภัยสำหรับสิ่งที่เทียบเท่าในวิศวกรรมความปลอดภัย ) ตามหลักการแล้ว ระบบความปลอดภัยควรต้องมีการตัดสินใจโดยเจตนา มีสติสัมปชัญญะ มีความรู้ และเป็นอิสระจากหน่วยงานที่ถูกต้องตามกฎหมาย เพื่อทำให้ระบบไม่ปลอดภัย
  • ตรวจสอบเส้นทางการติดตามกิจกรรมของระบบ เพื่อให้เมื่อมีการละเมิดความปลอดภัย กลไกและขอบเขตของการละเมิดสามารถกำหนดได้ การจัดเก็บเส้นทางการตรวจสอบจากระยะไกล โดยสามารถต่อท้ายได้เท่านั้น สามารถป้องกันไม่ให้ผู้บุกรุกปิดบังรอยทางของตน
  • การเปิดเผยช่องโหว่ทั้งหมดโดยสมบูรณ์ เพื่อให้แน่ใจว่า " หน้าต่างของช่องโหว่ " จะถูกเก็บไว้ให้สั้นที่สุดเมื่อพบจุดบกพร่อง

สถาปัตยกรรมความปลอดภัย

องค์กร Open Security Architecture กำหนดสถาปัตยกรรมความปลอดภัยไอทีเป็น " สิ่งประดิษฐ์การออกแบบที่อธิบายว่าการควบคุมความปลอดภัย (มาตรการป้องกันความปลอดภัย) อยู่ในตำแหน่งอย่างไรและเกี่ยวข้องกับสถาปัตยกรรมเทคโนโลยีสารสนเทศโดยรวมอย่างไร การควบคุมเหล่านี้มีจุดประสงค์เพื่อรักษาคุณลักษณะคุณภาพของระบบ: บริการการรักษาความลับ ความสมบูรณ์ ความพร้อม ความรับผิดชอบ และการรับประกัน " [105]

Techopedia กำหนดสถาปัตยกรรมความปลอดภัยเป็น "การออกแบบความปลอดภัยแบบรวมศูนย์ที่จัดการกับความจำเป็นและความเสี่ยงที่อาจเกิดขึ้นที่เกี่ยวข้องกับสถานการณ์หรือสภาพแวดล้อมบางอย่าง นอกจากนี้ยังระบุเวลาและตำแหน่งที่จะใช้การควบคุมความปลอดภัย กระบวนการออกแบบโดยทั่วไปสามารถทำซ้ำได้" คุณลักษณะสำคัญของสถาปัตยกรรมความปลอดภัยคือ: [106]

  • ความสัมพันธ์ขององค์ประกอบต่างๆ และการพึ่งพาซึ่งกันและกัน
  • การกำหนดการควบคุมตามการประเมินความเสี่ยง แนวปฏิบัติที่ดี การเงิน และประเด็นทางกฎหมาย
  • มาตรฐานการควบคุม

การปฏิบัติตามสถาปัตยกรรมความปลอดภัยเป็นพื้นฐานที่เหมาะสมในการจัดการปัญหาทางธุรกิจ ไอที และความปลอดภัยในองค์กรอย่างเป็นระบบ

มาตรการรักษาความปลอดภัย

สถานะของ "ความปลอดภัย" ของคอมพิวเตอร์เป็นแนวคิดในอุดมคติ ซึ่งได้มาจากการใช้สามกระบวนการ ได้แก่ การป้องกัน การตรวจจับ และการตอบสนอง กระบวนการเหล่านี้ขึ้นอยู่กับนโยบายและส่วนประกอบต่างๆ ของระบบ ซึ่งรวมถึงสิ่งต่อไปนี้:

  • การควบคุมการเข้าถึงบัญชีผู้ใช้และการเข้ารหัสสามารถป้องกันไฟล์และข้อมูลของระบบตามลำดับ
  • ไฟร์วอลล์เป็นระบบป้องกันที่พบบ่อยที่สุดในแง่ของความปลอดภัยเครือข่าย เนื่องจากสามารถป้องกันการเข้าถึงบริการเครือข่ายภายใน (หากกำหนดค่าอย่างเหมาะสม) และบล็อกการโจมตีบางประเภทผ่านการกรองแพ็กเก็ต ไฟร์วอลล์สามารถเป็นได้ทั้งแบบฮาร์ดแวร์หรือซอฟต์แวร์
  • ผลิตภัณฑ์ Intrusion Detection System (IDS) ได้รับการออกแบบมาเพื่อตรวจจับการโจมตีเครือข่ายที่กำลังดำเนินการอยู่ และช่วยในการพิสูจน์หลักฐานหลังการโจมตีในขณะที่เส้นทางการตรวจสอบและบันทึกจะทำหน้าที่คล้ายคลึงกันสำหรับแต่ละระบบ
  • "การตอบสนอง" จำเป็นต้องกำหนดโดยข้อกำหนดด้านความปลอดภัยที่ประเมินไว้ของแต่ละระบบ และอาจครอบคลุมช่วงตั้งแต่การอัพเกรดการป้องกันอย่างง่ายไปจนถึงการแจ้งเตือนของหน่วยงานทางกฎหมาย การตอบโต้การโจมตี และอื่นๆ ในทำนองเดียวกัน ในบางกรณีพิเศษ การทำลายระบบที่ถูกบุกรุกโดยสมบูรณ์เป็นที่ชื่นชอบ เนื่องจากอาจเกิดขึ้นได้ว่าจะไม่พบทรัพยากรที่ถูกบุกรุกทั้งหมด

วันนี้ความปลอดภัยของคอมพิวเตอร์ส่วนใหญ่ประกอบด้วยมาตรการ "ป้องกัน" เช่นไฟร์วอลล์หรือขั้นตอนการออกจากไฟร์วอลล์สามารถกำหนดเป็นวิธีการกรองข้อมูลเครือข่ายระหว่างโฮสต์หรือเครือข่ายกับเครือข่ายอื่น เช่นอินเทอร์เน็ตและสามารถนำไปใช้เป็นซอฟต์แวร์ที่ทำงานบนเครื่อง โดยเชื่อมต่อกับสแต็กเครือข่าย (หรือในกรณีของระบบปฏิบัติการที่ใช้UNIXส่วนใหญ่เช่นLinuxสร้างขึ้นในเคอร์เนลของระบบปฏิบัติการ) เพื่อให้การกรองและการบล็อกตามเวลาจริง การใช้งานอีกอย่างหนึ่งเรียกว่า "ไฟร์วอลล์ทางกายภาพ" ซึ่งประกอบด้วยการรับส่งข้อมูลเครือข่ายที่กรองด้วยเครื่องแยกต่างหาก ไฟร์วอลล์ที่มีความร่วมกันระหว่างเครื่องที่มีการเชื่อมต่ออย่างถาวรกับอินเทอร์เน็ต

บางองค์กรจะเปลี่ยนไปยังข้อมูลขนาดใหญ่แพลตฟอร์มเช่นApache Hadoopเพื่อขยายการเข้าถึงข้อมูลและการเรียนรู้ของเครื่องในการตรวจสอบภัยคุกคามถาวรขั้นสูง [107]

อย่างไรก็ตาม มีองค์กรเพียงไม่กี่แห่งที่ดูแลระบบคอมพิวเตอร์ด้วยระบบการตรวจจับที่มีประสิทธิภาพ และยังมีเพียงไม่กี่องค์กรเท่านั้นที่มีกลไกการตอบสนองที่เป็นระเบียบ ผลที่ได้ ดังที่ Reuters ชี้ให้เห็น: "บริษัทต่างๆ รายงานเป็นครั้งแรกว่าพวกเขาสูญเสียมากขึ้นจากการขโมยข้อมูลทางอิเล็กทรอนิกส์ มากกว่าการขโมยทรัพย์สินทางกายภาพ" [108]อุปสรรคหลักในการกำจัดอาชญากรรมทางอินเทอร์เน็ตอย่างมีประสิทธิภาพนั้น สืบเนื่องมาจากการพึ่งพาไฟร์วอลล์และระบบ "ตรวจจับ" อัตโนมัติอื่นๆ มากเกินไป ทว่ามันเป็นการรวบรวมหลักฐานพื้นฐานโดยใช้อุปกรณ์ดักจับแพ็กเก็ตที่ทำให้อาชญากรถูกคุมขัง[ ต้องการการอ้างอิง ]

เพื่อให้มั่นใจในความปลอดภัยที่เพียงพอ การรักษาความลับ ความสมบูรณ์ และความพร้อมใช้งานของเครือข่าย ซึ่งรู้จักกันดีในชื่อ CIA triad จะต้องได้รับการปกป้องและถือเป็นรากฐานของการรักษาความปลอดภัยข้อมูล [109]เพื่อให้บรรลุวัตถุประสงค์ดังกล่าว ควรใช้มาตรการรักษาความปลอดภัยด้านการบริหาร กายภาพ และทางเทคนิค จำนวนความปลอดภัยที่ให้กับสินทรัพย์สามารถกำหนดได้เมื่อทราบมูลค่าเท่านั้น [110]

การจัดการช่องโหว่

การจัดการช่องโหว่เป็นวงจรของการระบุและที่แก้ไขหรือบรรเทาช่องโหว่ , [111]โดยเฉพาะอย่างยิ่งในซอฟแวร์และเฟิร์มการจัดการช่องโหว่เป็นส่วนประกอบสำคัญในการรักษาความปลอดภัยคอมพิวเตอร์และการรักษาความปลอดภัยเครือข่าย

ช่องโหว่ที่สามารถค้นพบกับสแกนช่องโหว่ซึ่งวิเคราะห์ระบบคอมพิวเตอร์ในการค้นหาช่องโหว่ที่รู้จักกัน[112]เช่นเปิดพอร์ต , การกำหนดค่าซอฟต์แวร์ที่ไม่ปลอดภัยและความไวต่อการมัลแวร์ เพื่อให้เครื่องมือเหล่านี้มีประสิทธิภาพ เครื่องมือเหล่านี้ต้องได้รับการอัปเดตทุกครั้งที่มีการอัปเดตใหม่ ๆ ที่ผู้ขายออกให้ โดยปกติ การอัปเดตเหล่านี้จะสแกนหาช่องโหว่ใหม่ที่เพิ่งเปิดตัวไปเมื่อเร็วๆ นี้

นอกเหนือจากการสแกนหาช่องโหว่แล้ว หลายองค์กรยังทำสัญญากับผู้ตรวจสอบความปลอดภัยภายนอกเพื่อทำการทดสอบการเจาะระบบกับระบบของตนเป็นประจำเพื่อระบุช่องโหว่ ในบางภาคส่วน นี่เป็นข้อกำหนดตามสัญญา [113]

การลดจุดอ่อน

แม้ว่าการตรวจสอบความถูกต้องของระบบคอมพิวเตอร์อย่างเป็นทางการจะเป็นไปได้ แต่[114] [115]ยังไม่พบเห็นได้ทั่วไป ระบบปฏิบัติการที่ได้รับการตรวจสอบอย่างเป็นทางการ ได้แก่seL4 , [116]และPikeOSของSYSGO [117] [118] – แต่สิ่งเหล่านี้คิดเป็นเปอร์เซ็นต์ที่น้อยมากของตลาด

การรับรองความถูกต้องด้วยสองปัจจัยคือวิธีการลดการเข้าถึงระบบหรือข้อมูลที่ละเอียดอ่อนโดยไม่ได้รับอนุญาต มันต้องการ "สิ่งที่คุณรู้"; รหัสผ่านหรือ PIN และ "สิ่งที่คุณมี"; การ์ด ดองเกิล โทรศัพท์มือถือ หรือฮาร์ดแวร์อื่นๆ สิ่งนี้จะเพิ่มความปลอดภัยเนื่องจากบุคคลที่ไม่ได้รับอนุญาตต้องการทั้งสองสิ่งนี้เพื่อเข้าถึง

วิศวกรรมสังคมและการโจมตีทางคอมพิวเตอร์โดยตรง (ทางกายภาพ) สามารถป้องกันได้โดยวิธีที่ไม่ใช่คอมพิวเตอร์เท่านั้น ซึ่งอาจบังคับได้ยากเมื่อเทียบกับความละเอียดอ่อนของข้อมูล การฝึกอบรมมักเกี่ยวข้องเพื่อช่วยบรรเทาความเสี่ยงนี้ แต่แม้ในสภาพแวดล้อมที่มีระเบียบวินัยสูง (เช่น องค์กรทางทหาร) การโจมตีทางวิศวกรรมทางสังคมยังคงเป็นเรื่องยากที่จะคาดการณ์และป้องกันได้

การฉีดวัคซีน ซึ่งมาจากทฤษฎีการฉีดวัคซีนพยายามที่จะป้องกันวิศวกรรมสังคมและกลอุบายหรือกับดักหลอกลวงอื่นๆ โดยปลูกฝังการต่อต้านความพยายามโน้มน้าวใจผ่านการสัมผัสกับความพยายามที่คล้ายคลึงกันหรือที่เกี่ยวข้อง [19]

เป็นไปได้ที่จะลดโอกาสของผู้โจมตีโดยทำให้ระบบทันสมัยด้วยแพตช์ความปลอดภัยและการอัปเดต โดยใช้เครื่องสแกนความปลอดภัย[ ต้องการคำจำกัดความ ]และ/หรือจ้างผู้ที่มีความเชี่ยวชาญด้านความปลอดภัย แม้ว่าสิ่งเหล่านี้จะไม่รับประกันการป้องกันการโจมตีก็ตาม ผลกระทบจากการสูญเสียข้อมูล / ความเสียหายจะลดลงโดยระมัดระวังการสำรองและการประกัน

กลไกการป้องกันฮาร์ดแวร์

แม้ว่าฮาร์ดแวร์อาจเป็นสาเหตุของความไม่ปลอดภัย เช่น ช่องโหว่ของไมโครชิปที่นำมาใช้อย่างมีเจตนาร้ายในระหว่างกระบวนการผลิต[120] [121]ความปลอดภัยของคอมพิวเตอร์ที่ใช้ฮาร์ดแวร์หรือแบบช่วยเหลือก็เป็นทางเลือกแทนการรักษาความปลอดภัยคอมพิวเตอร์เฉพาะซอฟต์แวร์ การใช้อุปกรณ์และวิธีการต่างๆ เช่นดองเกิโมดูลแพลตฟอร์มที่เชื่อถือได้กรณีที่ทราบการบุกรุก การล็อกไดรฟ์ การปิดใช้งานพอร์ต USB และการเข้าถึงที่เปิดใช้งานมือถืออาจได้รับการพิจารณาว่ามีความปลอดภัยมากขึ้นเนื่องจากการเข้าถึงทางกายภาพ (หรือการเข้าถึงแบ็คดอร์ที่ซับซ้อน) จำเป็น ประนีประนอม แต่ละรายการมีรายละเอียดเพิ่มเติมด้านล่าง

  • USB ดองเกิลมักจะใช้ในการออกใบอนุญาตซอฟแวร์รูปแบบความสามารถของซอฟต์แวร์ปลดล็อค[ ต้องการอ้างอิง ]แต่พวกเขายังสามารถมองเห็นได้เป็นวิธีที่จะป้องกันการเข้าถึงคอมพิวเตอร์หรือซอฟต์แวร์ของอุปกรณ์อื่น ๆ ของ ดองเกิลหรือคีย์จะสร้างอุโมงค์เข้ารหัสที่ปลอดภัยระหว่างแอปพลิเคชันซอฟต์แวร์และคีย์ หลักการคือรูปแบบการเข้ารหัสบนดองเกิล เช่นมาตรฐานการเข้ารหัสขั้นสูง (AES) ให้มาตรการรักษาความปลอดภัยที่แข็งแกร่งขึ้น เนื่องจากยากต่อการแฮ็กและจำลองดองเกิลมากกว่าเพียงแค่คัดลอกซอฟต์แวร์ดั้งเดิมไปยังเครื่องอื่นและใช้งาน แอปพลิเคชั่นความปลอดภัยอีกตัวสำหรับดองเกิลคือใช้เพื่อเข้าถึงเนื้อหาบนเว็บ เช่น ซอฟต์แวร์คลาวด์หรือเครือข่ายส่วนตัวเสมือน (VPN) [122]นอกจากนี้ ยังสามารถกำหนดค่าดองเกิล USB เพื่อล็อคหรือปลดล็อคคอมพิวเตอร์ [123]
  • โมดูลแพลตฟอร์มที่เชื่อถือได้ (TPM) รักษาความปลอดภัยอุปกรณ์โดยการรวมความสามารถในการเข้ารหัสเข้ากับอุปกรณ์ที่เข้าถึง ผ่านการใช้ไมโครโปรเซสเซอร์ หรือที่เรียกว่าคอมพิวเตอร์บนชิป TPM ที่ใช้ร่วมกับซอฟต์แวร์ฝั่งเซิร์ฟเวอร์มีวิธีการตรวจจับและรับรองความถูกต้องของอุปกรณ์ฮาร์ดแวร์ ป้องกันการเข้าถึงเครือข่ายและข้อมูลที่ไม่ได้รับอนุญาต [124]
  • การตรวจจับการบุกรุกเคสคอมพิวเตอร์หมายถึงอุปกรณ์ โดยทั่วไปแล้วจะเป็นสวิตช์ปุ่มกด ซึ่งจะตรวจจับเมื่อเคสคอมพิวเตอร์ถูกเปิด เฟิร์มแวร์หรือ BIOS ได้รับการตั้งโปรแกรมให้แสดงการแจ้งเตือนแก่ผู้ปฏิบัติงานเมื่อคอมพิวเตอร์เริ่มทำงานในครั้งต่อไป
  • ล็อคไดรฟ์เป็นเครื่องมือซอฟต์แวร์หลักในการเข้ารหัสฮาร์ดไดรฟ์ ทำให้ไม่สามารถเข้าถึงโจรได้ [125]มีเครื่องมือสำหรับการเข้ารหัสไดรฟ์ภายนอกโดยเฉพาะเช่นกัน [126]
  • การปิดใช้งานพอร์ต USB เป็นตัวเลือกการรักษาความปลอดภัยสำหรับการป้องกันการเข้าถึงคอมพิวเตอร์ที่ไม่ได้รับอนุญาตและเป็นอันตราย ดองเกิล USB ที่ติดไวรัสที่เชื่อมต่อกับเครือข่ายจากคอมพิวเตอร์ภายในไฟร์วอลล์ได้รับการพิจารณาโดย Network World ว่าเป็นภัยคุกคามฮาร์ดแวร์ที่พบบ่อยที่สุดที่เครือข่ายคอมพิวเตอร์เผชิญ
  • การยกเลิกการเชื่อมต่อหรือปิดใช้งานอุปกรณ์ต่อพ่วง (เช่น กล้อง, GPS, ที่เก็บข้อมูลแบบถอดได้ ฯลฯ) ที่ไม่ได้ใช้งาน [127]
  • อุปกรณ์การเข้าถึงที่เปิดใช้งานมือถือกำลังได้รับความนิยมเพิ่มขึ้นเนื่องจากลักษณะที่แพร่หลายของโทรศัพท์มือถือ Built-in สามารถเช่นบลูทู ธ , ใหม่บลูทู ธ ที่ใช้พลังงานต่ำ (LE) ใกล้สาขาการสื่อสาร (NFC) บนไม่ใช่อุปกรณ์ iOS และชีวการตรวจสอบเช่นผู้อ่านพิมพ์นิ้วหัวแม่มือเช่นเดียวกับรหัส QRซอฟต์แวร์ผู้อ่านได้รับการออกแบบสำหรับอุปกรณ์มือถือข้อเสนอ วิธีใหม่ที่ปลอดภัยสำหรับโทรศัพท์มือถือในการเชื่อมต่อกับระบบควบคุมการเข้าออก ระบบควบคุมเหล่านี้ช่วยให้คอมพิวเตอร์มีความปลอดภัย และยังสามารถใช้ควบคุมการเข้าถึงอาคารที่ปลอดภัยได้อีกด้วย [128]

ระบบปฏิบัติการที่ปลอดภัย

หนึ่งใช้คำว่า "การรักษาความปลอดภัยคอมพิวเตอร์" หมายถึงเทคโนโลยีที่ถูกนำมาใช้ในการดำเนินการที่เชื่อถือได้ของระบบปฏิบัติการในช่วงปี 1980 ที่สหรัฐอเมริกากรมกลาโหม (dod) ใช้"Orange Book" [129]มาตรฐาน แต่ในปัจจุบันระหว่างประเทศมาตรฐาน ISO / IEC 15408 " ของ Common Criteria " กำหนดจำนวนของความก้าวหน้าที่เข้มงวดมากขึ้นระดับการประเมินผลการประกันระบบปฏิบัติการทั่วไปจำนวนมากมีคุณสมบัติตรงตามมาตรฐาน EAL4 ว่า "ได้รับการออกแบบ ทดสอบและตรวจทานอย่างมีระเบียบวิธี" แต่การตรวจสอบอย่างเป็นทางการที่จำเป็นสำหรับระดับสูงสุดหมายความว่าระบบเหล่านี้ไม่ธรรมดา ตัวอย่างของ EAL6 ("Semiformally Verified Design and Tested") ระบบคือ INTEGRITY-178Bซึ่งใช้ในเครื่องบินแอร์บัส A380 [130] และเครื่องบินไอพ่นทางทหารหลายลำ [131]

การเข้ารหัสที่ปลอดภัย

ในด้านวิศวกรรมซอฟต์แวร์การเข้ารหัสที่ปลอดภัยมีจุดมุ่งหมายเพื่อป้องกันการแนะนำช่องโหว่ด้านความปลอดภัยโดยไม่ได้ตั้งใจ นอกจากนี้ยังสามารถสร้างซอฟต์แวร์ที่ออกแบบใหม่ทั้งหมดเพื่อความปลอดภัย ระบบดังกล่าวมี " ความปลอดภัยจากการออกแบบ " นอกเหนือจากนี้การตรวจสอบอย่างเป็นทางการมีจุดมุ่งหมายเพื่อพิสูจน์ความถูกต้องของอัลกอริธึมที่อยู่ภายใต้ระบบ [132] สำคัญสำหรับโปรโตคอลการเข้ารหัสเช่น

ความสามารถและรายการควบคุมการเข้าถึง

ภายในระบบคอมพิวเตอร์โมเดลความปลอดภัยหลักสองแบบที่สามารถบังคับใช้การแยกสิทธิ์ ได้แก่รายการควบคุมการเข้าถึง (ACL) และการควบคุมการเข้าถึงตามบทบาท (RBAC)

รายการควบคุมการเข้าถึง (ACL) ในส่วนที่เกี่ยวกับระบบไฟล์ของคอมพิวเตอร์ คือรายการของสิทธิ์ที่เกี่ยวข้องกับอ็อบเจ็กต์ ACL ระบุผู้ใช้หรือกระบวนการของระบบที่ได้รับสิทธิ์ในการเข้าถึงออบเจ็กต์ รวมถึงการดำเนินการใดบ้างที่ได้รับอนุญาตบนอ็อบเจ็กต์ที่กำหนด

การควบคุมการเข้าถึงตามบทบาทเป็นแนวทางในการจำกัดการเข้าถึงระบบให้กับผู้ใช้ที่ได้รับอนุญาต[133] [134] [135] ใช้โดยองค์กรส่วนใหญ่ที่มีพนักงานมากกว่า 500 คน[136]และสามารถใช้การควบคุมการเข้าใช้บังคับ (MAC) หรือการควบคุมการเข้าถึงตามดุลยพินิจ (DAC)

วิธีการเพิ่มเติมการรักษาความปลอดภัยตามความสามารถในการได้รับการ จำกัด ส่วนใหญ่เพื่อการวิจัยระบบปฏิบัติการ อย่างไรก็ตาม ความสามารถสามารถนำไปใช้ในระดับภาษาได้เช่นกัน ซึ่งนำไปสู่รูปแบบการเขียนโปรแกรมที่เป็นการปรับปรุงการออกแบบเชิงวัตถุมาตรฐานเป็นหลัก โครงการโอเพนซอร์สในพื้นที่เป็นภาษา E

การฝึกอบรมด้านความปลอดภัยของผู้ใช้ปลายทาง

ผู้ใช้ปลายทางได้รับการยอมรับอย่างกว้างขวางว่าเป็นลิงก์ที่อ่อนแอที่สุดในห่วงโซ่การรักษาความปลอดภัย[137]และคาดว่ามากกว่า 90% ของเหตุการณ์ด้านความปลอดภัยและการละเมิดเกี่ยวข้องกับความผิดพลาดของมนุษย์[138] [139]รูปแบบข้อผิดพลาดและการตัดสินที่ผิดพลาดที่บันทึกไว้โดยทั่วไป ได้แก่ การจัดการรหัสผ่านที่ไม่ดี การส่งอีเมลที่มีข้อมูลที่ละเอียดอ่อนและไฟล์แนบไปยังผู้รับที่ไม่ถูกต้อง การไม่สามารถรับรู้ URL ที่ทำให้เข้าใจผิด และระบุเว็บไซต์ปลอมและไฟล์แนบอีเมลที่เป็นอันตราย ข้อผิดพลาดทั่วไปที่ผู้ใช้ทำคือการบันทึก ID ผู้ใช้/รหัสผ่านในเบราว์เซอร์เพื่อให้ลงชื่อเข้าใช้เว็บไซต์ธนาคารได้ง่ายขึ้น นี่เป็นของขวัญสำหรับผู้โจมตีที่ได้รับการเข้าถึงเครื่องด้วยวิธีการบางอย่าง ความเสี่ยงอาจบรรเทาลงได้ด้วยการใช้การรับรองความถูกต้องด้วยสองปัจจัย[140]

เนื่องจากองค์ประกอบของมนุษย์ของความเสี่ยงในโลกไซเบอร์มีความเกี่ยวข้องเป็นพิเศษในการพิจารณาความเสี่ยงทางไซเบอร์ทั่วโลก[141]ที่องค์กรกำลังเผชิญอยู่ การฝึกอบรมการรับรู้ด้านความปลอดภัยในทุกระดับ ไม่เพียงแต่ให้การปฏิบัติตามกฎระเบียบและข้อบังคับของอุตสาหกรรมอย่างเป็นทางการเท่านั้น แต่ยังถือว่าจำเป็น[142]ใน ลดความเสี่ยงทางไซเบอร์และปกป้องบุคคลและบริษัทจากภัยคุกคามทางไซเบอร์ส่วนใหญ่

การมุ่งเน้นที่ผู้ใช้ปลายทางแสดงถึงการเปลี่ยนแปลงทางวัฒนธรรมที่ลึกซึ้งสำหรับผู้ปฏิบัติงานด้านความปลอดภัยหลายคน ซึ่งเคยเข้าถึงการรักษาความปลอดภัยทางไซเบอร์จากมุมมองทางเทคนิคเท่านั้น และดำเนินไปตามแนวทางที่แนะนำโดยศูนย์ความปลอดภัยหลัก[143]เพื่อพัฒนาวัฒนธรรมของการตระหนักรู้ในโลกไซเบอร์ภายใน องค์กร โดยตระหนักว่าผู้ใช้ที่ตระหนักถึงความปลอดภัยให้แนวป้องกันที่สำคัญต่อการโจมตีทางไซเบอร์

สุขอนามัยแบบดิจิทัล

ที่เกี่ยวข้องกับการฝึกอบรมผู้ใช้ปลายทางสุขอนามัยดิจิทัลหรือสุขอนามัยในโลกไซเบอร์เป็นหลักการพื้นฐานที่เกี่ยวข้องกับความปลอดภัยของข้อมูลและเมื่อเปรียบเทียบกับสุขอนามัยส่วนบุคคลเทียบเท่ากับการกำหนดมาตรการตามปกติง่ายๆ เพื่อลดความเสี่ยงจากภัยคุกคามทางไซเบอร์ ข้อสันนิษฐานคือแนวทางปฏิบัติด้านสุขอนามัยทางไซเบอร์ที่ดีสามารถให้การปกป้องแก่ผู้ใช้ในเครือข่ายได้อีกชั้นหนึ่ง ซึ่งจะช่วยลดความเสี่ยงที่โหนดที่มีช่องโหว่หนึ่งโหนดจะถูกใช้เพื่อเมาต์โจมตีหรือประนีประนอมกับโหนดหรือเครือข่ายอื่น โดยเฉพาะอย่างยิ่งจากการโจมตีทางไซเบอร์ทั่วไป[144]สุขอนามัยทางไซเบอร์ไม่ควรถูกเข้าใจผิดว่าเป็นการป้องกันทางไซเบอร์เชิงรุกซึ่งเป็นศัพท์ทางการทหาร[145]

ในทางตรงกันข้ามกับการป้องกันภัยคุกคามที่ใช้เทคโนโลยีล้วนๆ สุขอนามัยในโลกไซเบอร์ส่วนใหญ่เกี่ยวข้องกับมาตรการประจำที่ง่ายต่อการนำไปใช้ในทางเทคนิคและส่วนใหญ่ขึ้นอยู่กับระเบียบวินัย[146]หรือการศึกษา[147]ถือได้ว่าเป็นรายการนามธรรมของเคล็ดลับหรือมาตรการที่ได้รับการพิสูจน์แล้วว่ามีผลดีต่อความปลอดภัยส่วนบุคคลและ/หรือทางดิจิทัลโดยรวม ด้วยเหตุนี้ มาตรการเหล่านี้จึงสามารถทำได้โดยคนธรรมดา ไม่ใช่แค่ผู้เชี่ยวชาญด้านความปลอดภัยเท่านั้น

สุขอนามัยทางไซเบอร์เกี่ยวข้องกับสุขอนามัยส่วนบุคคลเนื่องจากไวรัสคอมพิวเตอร์เกี่ยวข้องกับไวรัสชีวภาพ (หรือเชื้อโรค) อย่างไรก็ตามในขณะที่คำว่าไวรัสคอมพิวเตอร์ได้รับการประกาศเกียรติคุณเกือบจะพร้อมกันด้วยการสร้างไวรัสคอมพิวเตอร์ทำงานแรก[148]ระยะสุขอนามัยในโลกไซเบอร์เป็นสิ่งประดิษฐ์ต่อมามากบางทีอาจจะเป็นช่วงปลายปี 2000 [149]โดยอินเทอร์เน็ตบุกเบิกVint Cerf มันได้ถูกนำไปใช้โดยสภาคองเกรส[150]และวุฒิสภาของสหรัฐอเมริกา[151]เอฟบีไอ , [152] สหภาพยุโรปสถาบัน[144]และประมุขแห่งรัฐ[145]

การตอบสนองต่อการละเมิด

การตอบสนองต่อความพยายามในการละเมิดความปลอดภัยมักจะเป็นเรื่องยากมากด้วยเหตุผลหลายประการ รวมถึง:

  • ระบุการโจมตีเป็นเรื่องยากที่พวกเขาอาจจะดำเนินการผ่านการมอบฉันทะบัญชี Dial-Up ที่ไม่ระบุชื่อชั่วคราวเชื่อมต่อไร้สายและขั้นตอนอื่น ๆ ที่ไม่เปิดเผยที่ทำให้กลับมาติดตามเรื่องยาก - และมักจะอยู่ในอีกเขตอำนาจ หากฝ่าฝืนการรักษาความปลอดภัยได้สำเร็จ พวกเขามักจะได้รับสิทธิ์การเข้าถึงระดับผู้ดูแลระบบเพียงพอที่จะช่วยให้ลบบันทึกเพื่อปกปิดร่องรอยของตนได้
  • จำนวนครั้งของการพยายามโจมตีที่พยายามโจมตี ซึ่งมักเกิดจากเครื่องสแกนช่องโหว่อัตโนมัติและเวิร์มคอมพิวเตอร์นั้นมีขนาดใหญ่มากจนองค์กรไม่สามารถใช้เวลาไล่ตามแต่ละอย่างได้
  • เจ้าหน้าที่บังคับใช้กฎหมายมักขาดทักษะ ความสนใจ หรืองบประมาณในการไล่ตามผู้โจมตี นอกจากนี้ การระบุผู้โจมตีผ่านเครือข่ายอาจต้องใช้บันทึกจากจุดต่างๆ ในเครือข่ายและในหลายประเทศ ซึ่งอาจเป็นเรื่องยากหรือใช้เวลานานในการรับ

ในกรณีที่มีการโจมตีที่ประสบความสำเร็จและมีการละเมิดเกิดขึ้นหลายเขตอำนาจศาลในขณะนี้มีผลบังคับใช้ในสถานที่การรักษาความปลอดภัยการแจ้งเตือนการละเมิดกฎหมาย

ประเภทของความปลอดภัยและความเป็นส่วนตัว

การวางแผนรับมือเหตุการณ์

การตอบสนองต่อเหตุการณ์เป็นวิธีที่มีการจัดการเพื่อจัดการและจัดการผลที่ตามมาของเหตุการณ์ด้านความปลอดภัยของคอมพิวเตอร์หรือการประนีประนอมโดยมีเป้าหมายในการป้องกันการละเมิดหรือขัดขวางการโจมตีทางไซเบอร์ เหตุการณ์ที่ไม่ได้ระบุและจัดการในขณะที่มีการบุกรุกมักจะส่งต่อไปยังเหตุการณ์ที่สร้างความเสียหายมากกว่า เช่น การละเมิดข้อมูลหรือความล้มเหลวของระบบ ผลลัพธ์ที่ตั้งใจไว้ของแผนการตอบสนองต่อเหตุการณ์ด้านความปลอดภัยของคอมพิวเตอร์คือการจำกัดเหตุการณ์นั้น จำกัดความเสียหาย และช่วยเหลือการกู้คืนให้กับธุรกิจตามปกติ การตอบสนองต่อการประนีประนอมอย่างรวดเร็วสามารถบรรเทาช่องโหว่ที่ถูกโจมตี กู้คืนบริการและกระบวนการ และลดการสูญเสียให้เหลือน้อยที่สุด[153] การวางแผนรับมือเหตุการณ์ช่วยให้องค์กรสร้างชุดแนวทางปฏิบัติที่ดีที่สุดเพื่อหยุดการบุกรุกก่อนที่จะสร้างความเสียหาย แผนการตอบสนองต่อเหตุการณ์โดยทั่วไปประกอบด้วยชุดคำสั่งที่เป็นลายลักษณ์อักษรซึ่งระบุถึงการตอบสนองขององค์กรต่อการโจมตีทางไซเบอร์ หากไม่มีแผนงานที่จัดทำเป็นเอกสาร องค์กรอาจไม่ประสบความสำเร็จในการตรวจจับการบุกรุกหรือการประนีประนอม และผู้มีส่วนได้ส่วนเสียอาจไม่เข้าใจบทบาท กระบวนการ และขั้นตอนของพวกเขาในระหว่างการยกระดับ ทำให้การตอบสนองและการแก้ปัญหาขององค์กรช้าลง

มีองค์ประกอบหลักสี่ประการของแผนตอบสนองต่อเหตุการณ์ด้านความปลอดภัยของคอมพิวเตอร์:

  1. การเตรียมการ: การเตรียมผู้มีส่วนได้ส่วนเสียเกี่ยวกับขั้นตอนการจัดการเหตุการณ์ด้านความปลอดภัยของคอมพิวเตอร์หรือการประนีประนอม
  2. การตรวจจับและวิเคราะห์: ระบุและตรวจสอบกิจกรรมที่น่าสงสัยเพื่อยืนยันเหตุการณ์ด้านความปลอดภัย จัดลำดับความสำคัญของการตอบสนองตามผลกระทบและประสานงานการแจ้งเตือนเหตุการณ์
  3. การกักกัน การกำจัด และการกู้คืน: การแยกระบบที่ได้รับผลกระทบเพื่อป้องกันการเพิ่มระดับและจำกัดผลกระทบ ระบุแหล่งกำเนิดของเหตุการณ์ การลบมัลแวร์ ระบบที่ได้รับผลกระทบ และผู้กระทำความผิดออกจากสภาพแวดล้อม และกู้คืนระบบและข้อมูลเมื่อไม่มีภัยคุกคามเหลืออยู่อีกต่อไป
  4. กิจกรรมหลังเหตุการณ์: การวิเคราะห์ชันสูตรพลิกศพของเหตุการณ์ สาเหตุ และการตอบสนองขององค์กรโดยมีเจตนาที่จะปรับปรุงแผนเผชิญเหตุและความพยายามในการเผชิญเหตุในอนาคต [154]

การโจมตีและการละเมิดที่โดดเด่น

ตัวอย่างของการละเมิดความปลอดภัยของคอมพิวเตอร์ประเภทต่างๆ แสดงไว้ด้านล่าง

Robert Morris และเวิร์มคอมพิวเตอร์ตัวแรก

ในปี 1988 มีคอมพิวเตอร์ 60,000 เครื่องเชื่อมต่อกับอินเทอร์เน็ต และส่วนใหญ่เป็นเมนเฟรม มินิคอมพิวเตอร์ และเวิร์กสเตชันระดับมืออาชีพ เมื่อวันที่ 2 พฤศจิกายน พ.ศ. 2531 หลายคนเริ่มชะลอตัวลง เนื่องจากพวกเขากำลังเรียกใช้โค้ดที่เป็นอันตรายซึ่งต้องการเวลาของตัวประมวลผลและแพร่กระจายไปยังคอมพิวเตอร์เครื่องอื่น ซึ่งเป็นอินเทอร์เน็ตตัวแรก " เวิร์มคอมพิวเตอร์ " [155]ซอฟต์แวร์ถูกสืบย้อนไปถึงRobert Tappan Morrisนักศึกษาระดับบัณฑิตศึกษาวัย 23 ปีของCornell Universityผู้ซึ่งกล่าวว่า "เขาต้องการนับจำนวนเครื่องที่เชื่อมต่อกับอินเทอร์เน็ต" [155]

ห้องปฏิบัติการโรม

ในปี 1994 มีการบุกรุกมากกว่าร้อยครั้งโดยแครกเกอร์ที่ไม่สามารถระบุตัวตนได้ในห้องทดลองโรมซึ่งเป็นศูนย์บัญชาการหลักและศูนย์วิจัยของกองทัพอากาศสหรัฐฯ การใช้ม้าโทรจันแฮกเกอร์สามารถเข้าถึงระบบเครือข่ายของกรุงโรมได้ไม่จำกัด และลบร่องรอยของกิจกรรมของพวกเขา ผู้บุกรุกสามารถรับไฟล์ที่เป็นความลับได้ เช่น ข้อมูลระบบสั่งงานทางอากาศ และสามารถเจาะเครือข่ายที่เชื่อมต่อกันของศูนย์การบินอวกาศก็อดดาร์ดขององค์การการบินและอวกาศแห่งชาติฐานทัพอากาศไรท์-แพตเตอร์สัน ผู้รับเหมาด้านการป้องกันบางส่วน และเอกชนอื่นๆ องค์กรภาคส่วน โดยวางตัวเป็นผู้ใช้ศูนย์โรมที่เชื่อถือได้ [16]

รายละเอียดบัตรเครดิตของลูกค้า TJX

ในช่วงต้นปี 2007 ชาวอเมริกันเครื่องแต่งกายและสินค้าบ้าน บริษัทTJXประกาศว่าจะเป็นเหยื่อของนั้นการบุกรุกระบบคอมพิวเตอร์ไม่ได้รับอนุญาต[157]และบอกว่าแฮกเกอร์ได้เข้าถึงระบบที่เก็บไว้ข้อมูลบนบัตรเครดิต , บัตรเดบิต , การตรวจสอบและการทำธุรกรรมการกลับมาสินค้า . [158]

การโจมตี Stuxnet

ในปี 2010, หนอนคอมพิวเตอร์ที่เรียกว่าStuxnetข่าวเจ๊งเกือบหนึ่งในห้าของอิหร่านcentrifuges นิวเคลียร์ [159]ทำได้โดยขัดขวางตัวควบคุมลอจิกเชิงโปรแกรมอุตสาหกรรม(PLC) ในการโจมตีแบบกำหนดเป้าหมาย โดยทั่วไปเชื่อว่ามีการเปิดตัวโดยอิสราเอลและสหรัฐอเมริกาเพื่อขัดขวางโครงการนิวเคลียร์ของอิหร่าน[160] [161] [162] [163] – แม้ว่าทั้งคู่จะไม่ยอมรับเรื่องนี้อย่างเปิดเผย

การเปิดเผยการเฝ้าระวังทั่วโลก

ในช่วงต้นปี 2013 เอกสารที่เอ็ดเวิร์ด สโนว์เดนจัดเตรียมให้ได้รับการตีพิมพ์โดยเดอะวอชิงตันโพสต์และเดอะการ์เดียน[164] [165]เผยให้เห็นการเฝ้าระวังทั่วโลกของNSA จำนวนมาก นอกจากนี้ยังมีข้อบ่งชี้ว่า NSA อาจใส่แบ็คดอร์ในมาตรฐานNISTสำหรับการเข้ารหัส [166]มาตรฐานนี้ถูกถอนออกในภายหลังเนื่องจากการวิพากษ์วิจารณ์อย่างกว้างขวาง [167]นอกจากนี้ NSA ยังเปิดเผยว่าได้แตะลิงก์ระหว่างศูนย์ข้อมูลของGoogle [168]

การละเมิดเป้าหมายและโฮมดีโป

ในปี 2556 และ 2557 แฮ็กเกอร์ชาวยูเครนที่รู้จักกันในชื่อRescatorบุกเข้าไปในคอมพิวเตอร์ของTarget Corporationในปี 2556 โดยขโมยบัตรเครดิตประมาณ 40 ล้านใบ[169]และจากนั้นก็คอมพิวเตอร์ของHome Depotในปี 2557 โดยขโมยหมายเลขบัตรเครดิตระหว่าง 53 ถึง 56 ล้านหมายเลข[170]คำเตือนถูกส่งไปที่ทั้งสองบริษัท แต่เพิกเฉย; เชื่อว่าการละเมิดความปลอดภัยทางกายภาพโดยใช้เครื่องชำระเงินด้วยตนเองมีบทบาทสำคัญ “มัลแวร์ที่ใช้นั้นไม่ซับซ้อนและไม่น่าสนใจอย่างยิ่ง” จิม วอลเตอร์ ผู้อำนวยการฝ่ายปฏิบัติการข่าวกรองภัยคุกคามของบริษัทเทคโนโลยีความปลอดภัย McAfee กล่าว ซึ่งหมายความว่าซอฟต์แวร์แอนตี้ไวรัสที่มีอยู่สามารถหยุดการโจรกรรมได้อย่างง่ายดายให้ผู้ดูแลระบบตอบสนองต่อคำเตือน ขนาดของโจรกรรมได้รับความสนใจอย่างมากจากหน่วยงานของรัฐและรัฐบาลกลางของสหรัฐอเมริกา และการสอบสวนยังดำเนินอยู่

การละเมิดข้อมูลสำนักงานบริหารงานบุคคล

ในเดือนเมษายน 2558 สำนักงานบริหารงานบุคคล พบว่าถูกแฮ็กมานานกว่าหนึ่งปีก่อนหน้าในการละเมิดข้อมูล ส่งผลให้มีการขโมยข้อมูลบุคลากรประมาณ 21.5 ล้านรายการซึ่งจัดการโดยสำนักงาน[171]เจ้าหน้าที่รัฐบาลกลางได้อธิบายการแฮ็กสำนักงานการบริหารงานบุคคลว่าเป็นหนึ่งในการละเมิดข้อมูลของรัฐบาลที่ใหญ่ที่สุดในประวัติศาสตร์ของสหรัฐอเมริกา[172]ข้อมูลที่กำหนดเป้าหมายในการละเมิดนั้นรวมถึงข้อมูลส่วนบุคคลที่สามารถระบุตัวตนได้เช่นหมายเลขประกันสังคมชื่อ วันเดือนปีเกิด ที่อยู่ และลายนิ้วมือของพนักงานรัฐบาลปัจจุบันและอดีต ตลอดจนผู้ใดก็ตามที่ได้รับการตรวจสอบภูมิหลังของรัฐบาล[173][174]เชื่อกันว่าแฮ็คนี้ถูกแฮ็กโดยแฮ็กเกอร์ชาวจีน [175]

แอชลีย์ เมดิสัน ฝ่าฝืน

ในเดือนกรกฎาคม 2015 กลุ่มแฮ็กเกอร์ที่รู้จักกันในชื่อ "The Impact Team" ประสบความสำเร็จในการละเมิดเว็บไซต์ความสัมพันธ์นอกใจ Ashley Madison ซึ่งสร้างโดย Avid Life Media กลุ่มอ้างว่าพวกเขาไม่ได้เอาเฉพาะข้อมูลบริษัทแต่ข้อมูลผู้ใช้ด้วย หลังจากการฝ่าฝืน The Impact Team ได้ทิ้งอีเมลจาก CEO ของบริษัท เพื่อพิสูจน์ประเด็นของพวกเขา และขู่ว่าจะทิ้งข้อมูลลูกค้าเว้นแต่เว็บไซต์จะถูกลบอย่างถาวร" [176]เมื่อ Avid Life Media ไม่ได้ทำให้ไซต์ออฟไลน์กลุ่มก็ปล่อย ไฟล์บีบอัดอีกสองไฟล์ 9.7GB หนึ่งไฟล์และไฟล์ที่สอง 20GB หลังจากการดัมพ์ข้อมูลครั้งที่สอง Noel Biderman CEO ของ Avid Life Media ลาออก แต่เว็บไซต์ยังคงทำงานอยู่

โคโลเนียลไปป์ไลน์แรนซัมแวร์โจมตี

ในเดือนมิถุนายน พ.ศ. 2564 การโจมตีทางไซเบอร์ได้ทำลายท่อส่งน้ำมันที่ใหญ่ที่สุดในสหรัฐอเมริกา และนำไปสู่การขาดแคลนทั่วทั้งชายฝั่งตะวันออก [177]

ประเด็นทางกฎหมายและระเบียบข้อบังคับทั่วโลก

ประเด็นทางกฎหมายระหว่างประเทศของการโจมตีทางไซเบอร์นั้นซับซ้อนโดยธรรมชาติ ไม่มีฐานสากลแห่งกฎเกณฑ์ทั่วไปที่จะตัดสิน และในที่สุดก็ลงโทษอาชญากรไซเบอร์และอาชญากรไซเบอร์ - และที่ซึ่งบริษัทรักษาความปลอดภัยหรือหน่วยงานค้นหาตัวอาชญากรไซเบอร์ที่อยู่เบื้องหลังการสร้างมัลแวร์หรือรูปแบบการโจมตีทางไซเบอร์โดยเฉพาะซึ่งบ่อยครั้งหน่วยงานท้องถิ่นไม่สามารถดำเนินการได้ การกระทำเนื่องจากขาดกฎหมายที่จะดำเนินคดี[178] [179] การพิสูจน์การระบุแหล่งที่มาของอาชญากรรมทางอินเทอร์เน็ตและการโจมตีทางอินเทอร์เน็ตก็เป็นปัญหาสำคัญสำหรับหน่วยงานบังคับใช้กฎหมายทั้งหมด " ไวรัสคอมพิวเตอร์เปลี่ยนจากประเทศหนึ่งไปอีกประเทศหนึ่ง จากเขตอำนาจศาลหนึ่งไปยังอีกเขตหนึ่ง – เคลื่อนที่ไปทั่วโลกโดยใช้ข้อเท็จจริงที่ว่าเราไม่มีความสามารถในการปฏิบัติการของตำรวจทั่วโลกเช่นนี้ ดังนั้นอินเทอร์เน็ตเป็นถ้าคน [เคย] ได้รับตั๋วเครื่องบินฟรีทุกอาชญากรออนไลน์ของโลก." [178]การใช้เทคนิคเช่นDNS แบบไดนามิก , ฟลักซ์ได้อย่างรวดเร็วและเซิร์ฟเวอร์พิสูจน์กระสุนเพิ่มความยากลำบากในการตรวจสอบและการบังคับใช้ .

บทบาทของรัฐบาล

บทบาทของรัฐบาลคือการทำให้กฎระเบียบให้กับ บริษัท และองค์กรที่มีผลบังคับใช้ในการปกป้องระบบของพวกเขา, โครงสร้างพื้นฐานและข้อมูลจาก cyberattacks ใด ๆ แต่ยังเพื่อปกป้องโครงสร้างพื้นฐานของชาติของตัวเองเช่นชาติพลังงานตาราง [180]

บทบาทการกำกับดูแลของรัฐบาลในโลกไซเบอร์นั้นซับซ้อน สำหรับบางคน ไซเบอร์สเปซถูกมองว่าเป็นพื้นที่เสมือนที่ยังคงปราศจากการแทรกแซงของรัฐบาล ดังจะเห็นได้จากการอภิปรายเกี่ยวกับบล็อคเชนและbitcoin แบบเสรีนิยมในปัจจุบัน [181]

เจ้าหน้าที่ของรัฐและผู้เชี่ยวชาญหลายคนคิดว่ารัฐบาลควรดำเนินการมากกว่านี้ และมีความจำเป็นอย่างยิ่งที่จะต้องปรับปรุงกฎระเบียบ สาเหตุหลักมาจากความล้มเหลวของภาคเอกชนในการแก้ไขปัญหาความปลอดภัยทางไซเบอร์อย่างมีประสิทธิภาพR. Clarkeกล่าวในระหว่างการอภิปรายในที่ประชุม RSA Security Conferenceในซานฟรานซิสโกเขาเชื่อว่า "อุตสาหกรรมจะตอบสนองก็ต่อเมื่อคุณคุกคามกฎระเบียบเท่านั้น หากอุตสาหกรรมไม่ตอบสนอง (ต่อภัยคุกคาม) คุณต้องปฏิบัติตาม" [182]ในทางกลับกัน ผู้บริหารจากภาคเอกชนเห็นพ้องต้องกันว่าการปรับปรุงเป็นสิ่งจำเป็น แต่คิดว่าการแทรกแซงของรัฐบาลจะส่งผลต่อความสามารถในการสร้างสรรค์สิ่งใหม่ ๆ อย่างมีประสิทธิภาพ Daniel R. McCarthy วิเคราะห์ความเป็นหุ้นส่วนระหว่างภาครัฐและเอกชนในการรักษาความปลอดภัยทางไซเบอร์และสะท้อนถึงบทบาทของความปลอดภัยทางไซเบอร์ในรัฐธรรมนูญในวงกว้างของระเบียบทางการเมือง [183]

วันที่ 22 พฤษภาคม 2020 คณะมนตรีความมั่นคงจัดขึ้นสองเท่าที่เคยมีการประชุมอย่างไม่เป็นทางการในโลกไซเบอร์มุ่งเน้นไปที่ความท้าทายในโลกไซเบอร์เพื่อสันติภาพระหว่างประเทศ ตามที่เลขาธิการสหประชาชาติAntónio Guterresเทคโนโลยีใหม่ ๆ มักถูกใช้เพื่อละเมิดสิทธิ [184]

การดำเนินการระหว่างประเทศ

มีทีมและองค์กรต่างๆ มากมาย รวมถึง:

ยุโรป

เมื่อวันที่ 14 เมษายน พ.ศ. 2559 รัฐสภาและคณะมนตรีแห่งสหภาพยุโรปได้ประกาศใช้ระเบียบว่าด้วยการคุ้มครองข้อมูลทั่วไป (GDPR) (EU) 2016/679 GDPR ซึ่งมีผลบังคับใช้ตั้งแต่วันที่ 25 พฤษภาคม 2018 เป็นต้นไป ให้การปกป้องข้อมูลและความเป็นส่วนตัวสำหรับทุกคนในสหภาพยุโรป (EU) และเขตเศรษฐกิจยุโรป (EEA) GDPR กำหนดให้กระบวนการทางธุรกิจที่จัดการข้อมูลส่วนบุคคลถูกสร้างขึ้นด้วยการปกป้องข้อมูลตามการออกแบบและโดยค่าเริ่มต้น GDPR ยังกำหนดให้บางองค์กรแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูล (DPO)

ปฏิบัติการระดับชาติ

ทีมรับมือเหตุฉุกเฉินทางคอมพิวเตอร์

ประเทศส่วนใหญ่มีทีมรับมือเหตุฉุกเฉินทางคอมพิวเตอร์ของตนเองเพื่อปกป้องความปลอดภัยของเครือข่าย

แคนาดา

ตั้งแต่ปี 2010 แคนาดามีกลยุทธ์ด้านความปลอดภัยทางไซเบอร์ [190] [191] เอกสารนี้ทำหน้าที่เป็นเอกสารประกอบกับแผนยุทธศาสตร์และปฏิบัติการแห่งชาติเพื่อโครงสร้างพื้นฐานที่สำคัญ [192]กลยุทธ์นี้มีสามเสาหลัก: การรักษาความปลอดภัยระบบของรัฐบาล การรักษาความปลอดภัยระบบไซเบอร์ส่วนตัวที่สำคัญ และการช่วยเหลือชาวแคนาดาให้ปลอดภัยทางออนไลน์ [191] [192]นอกจากนี้ยังมีกรอบการจัดการเหตุการณ์ทางไซเบอร์เพื่อให้การตอบสนองที่ประสานกันในกรณีที่เกิดเหตุการณ์ทางไซเบอร์ [193] [194]

แคนาดา Cyber ตอบสนองต่อเหตุการณ์ศูนย์ (CCIRC) เป็นผู้รับผิดชอบในการบรรเทาและตอบสนองต่อภัยคุกคามของแคนาดาที่สำคัญโครงสร้างพื้นฐานและระบบไซเบอร์ ให้การสนับสนุนเพื่อบรรเทาภัยคุกคามทางไซเบอร์ การสนับสนุนด้านเทคนิคเพื่อตอบสนองและกู้คืนจากการโจมตีทางไซเบอร์ที่เป็นเป้าหมาย และจัดเตรียมเครื่องมือออนไลน์สำหรับสมาชิกของภาคโครงสร้างพื้นฐานที่สำคัญของแคนาดา[195]มันโพสต์กระดานข่าวความปลอดภัยทางไซเบอร์เป็นประจำ[196] & ดำเนินการเครื่องมือการรายงานออนไลน์ที่บุคคลและองค์กรสามารถรายงานเหตุการณ์ทางไซเบอร์ได้[197]

เพื่อแจ้งให้ประชาชนทั่วไปทราบเกี่ยวกับวิธีการป้องกันตนเองทางออนไลน์ Public Safety Canada ได้ร่วมมือกับ STOP.THINK.CONNECT ซึ่งเป็นกลุ่มพันธมิตรขององค์กรไม่แสวงหาผลกำไร ภาคเอกชน และหน่วยงานภาครัฐ[198]และเปิดตัวโครงการ Cyber ​​Security Cooperation Program [19] [20]พวกเขายังเปิดพอร์ทัล GetCyberSafe สำหรับพลเมืองแคนาดาและเดือนการรับรู้ความปลอดภัยทางไซเบอร์ในช่วงเดือนตุลาคม [21]

ความปลอดภัยสาธารณะของแคนาดาตั้งเป้าที่จะเริ่มการประเมินกลยุทธ์ความปลอดภัยทางไซเบอร์ของแคนาดาในต้นปี 2558 [192]

ประเทศจีน

ของจีนกลุ่มเซ็นทรัลชั้นนำสำหรับ Internet Security และ Informatization ( จีน :中央网络安全和信息化领导小组) ก่อตั้งขึ้นเมื่อวันที่ 27 ปี 2014 นี้ชั้นนำกลุ่มเล็ก (LSG) ของพรรคคอมมิวนิสต์จีนเป็นหัวหน้าโดยเลขาธิการ คมในฝักตนเองและมีพนักงานประจำกับผู้มีอำนาจตัดสินใจของพรรคและรัฐที่เกี่ยวข้อง LSG ถูกสร้างขึ้นเพื่อเอาชนะนโยบายที่ไม่ต่อเนื่องกันและความรับผิดชอบที่ทับซ้อนกันซึ่งเป็นลักษณะเฉพาะของกลไกการตัดสินใจในโลกไซเบอร์ในอดีตของจีน LSG กำกับดูแลการกำหนดนโยบายในด้านเศรษฐกิจ การเมือง วัฒนธรรม สังคม และการทหาร เนื่องจากเกี่ยวข้องกับการรักษาความปลอดภัยเครือข่ายและกลยุทธ์ด้านไอที LSG นี้ยังประสานงานการริเริ่มนโยบายที่สำคัญในเวทีระหว่างประเทศที่ส่งเสริมบรรทัดฐานและมาตรฐานที่รัฐบาลจีนชื่นชอบและเน้นหลักการของอธิปไตยของชาติในโลกไซเบอร์ [22]

เยอรมนี

กรุงเบอร์ลินเริ่มโครงการริเริ่มการป้องกันทางไซเบอร์แห่งชาติ: เมื่อวันที่ 16 มิถุนายน 2554 รัฐมนตรีว่าการกระทรวงมหาดไทยของเยอรมนี ได้เปิด NCAZ (ศูนย์ป้องกันภัยไซเบอร์แห่งชาติ ) แห่งใหม่อย่างเป็นทางการที่เมืองบอนน์ NCAZ อย่างใกล้ชิดร่วมกับ BSI (แห่งชาติสำนักงานความปลอดภัยของข้อมูล) Bundesamt für Sicherheit in der Informationstechnik , BKA (องค์การตำรวจของรัฐบาลกลาง) Bundeskriminalamt (เยอรมนี) , BND (สหพันธ์หน่วยสืบราชการลับ) Bundesnachrichtendienst , MAD (หน่วยสืบราชการลับทางทหาร) จำนวนfürรังMilitärischen Abschirmdienstและองค์กรระดับชาติอื่น ๆ ในเยอรมนีที่ดูแลด้านความมั่นคงของชาติ ตามที่รัฐมนตรีว่าการกระทรวงการงานหลักขององค์กรใหม่ที่ก่อตั้งเมื่อวันที่ 23 เดือนกุมภาพันธ์ 2011 คือการตรวจสอบและป้องกันการโจมตีโครงสร้างพื้นฐานระดับชาติและเหตุการณ์ที่กล่าวถึงเช่นStuxnet เยอรมนียังได้มีการจัดตั้งสถาบันการศึกษาวิจัยที่ใหญ่ที่สุดสำหรับการรักษาความปลอดภัยด้านไอทีในยุโรปศูนย์เพื่อการวิจัยในการรักษาความปลอดภัยและความเป็นส่วนตัว (CRISP) ในDarmstadt

อินเดีย

บทบัญญัติบางประการสำหรับการรักษาความปลอดภัยทางไซเบอร์ได้รวมอยู่ในกฎที่อยู่ภายใต้พระราชบัญญัติเทคโนโลยีสารสนเทศ พ.ศ. 2543 [203]

นโยบายแห่งชาติ Cyber Security 2013เป็นกรอบนโยบายจากกระทรวงอิเล็กทรอนิกส์และเทคโนโลยีสารสนเทศ (Meity) ซึ่งมีวัตถุประสงค์เพื่อปกป้องประชาชนและโครงสร้างพื้นฐานจากภาคเอกชน cyberattacks และป้องกัน "ข้อมูลเช่นข้อมูลส่วนบุคคล (ของผู้ใช้เว็บ), การเงินและการธนาคาร ข้อมูลและข้อมูลอธิปไตย". CERT- Inเป็นหน่วยงานหลักที่คอยตรวจสอบภัยคุกคามทางไซเบอร์ในประเทศ โพสต์ของผู้ประสานงานแห่งชาติ Cyber Securityยังได้รับการสร้างขึ้นในสำนักนายกรัฐมนตรี (สปน)

พระราชบัญญัติบริษัทอินเดีย พ.ศ. 2556 ยังได้แนะนำกฎหมายไซเบอร์และภาระผูกพันด้านความปลอดภัยทางไซเบอร์ในส่วนของกรรมการชาวอินเดีย บทบัญญัติบางประการสำหรับการรักษาความปลอดภัยทางไซเบอร์ได้รวมอยู่ในกฎที่อยู่ภายใต้การปรับปรุงพระราชบัญญัติเทคโนโลยีสารสนเทศ พ.ศ. 2543 ในปี พ.ศ. 2556 [204]

เกาหลีใต้

หลังการโจมตีทางไซเบอร์ในช่วงครึ่งแรกของปี 2556 เมื่อรัฐบาล สื่อข่าว สถานีโทรทัศน์ และเว็บไซต์ธนาคารถูกบุกรุก รัฐบาลแห่งชาติให้คำมั่นที่จะฝึกอบรมผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์รายใหม่ 5,000 คนภายในปี 2560 รัฐบาลเกาหลีใต้ตำหนิคู่หูทางเหนือว่า การโจมตีเหล่านี้ เช่นเดียวกับเหตุการณ์ที่เกิดขึ้นในปี 2552, 2554, [205]และ 2555 แต่เปียงยางปฏิเสธข้อกล่าวหา [26]

สหรัฐอเมริกา

กฎหมาย

1986 18 USC  § 1030 พระราชบัญญัติการฉ้อโกงทางคอมพิวเตอร์และการละเมิดคือกฎหมายที่สำคัญ มันห้ามไม่ได้รับอนุญาตหรือความเสียหายของ "การป้องกันเครื่องคอมพิวเตอร์" ตามที่กำหนดไว้ใน18 USC  § 1030 (จ) (2) แม้ว่าจะมีการเสนอมาตรการอื่น ๆ มากมาย[207] [ 28 ] - ไม่มีใครประสบความสำเร็จ

ในปี 2013 คำสั่งผู้บริหาร 13636 การปรับปรุงโครงสร้างพื้นฐานที่สำคัญ Cybersecurityลงนามซึ่งทำให้การสร้างของNIST Cybersecurity กรอบ

เพื่อตอบสนองต่อการโจมตีของแรนซัมแวร์Colonial Pipeline [209]ประธานาธิบดีโจ ไบเดนลงนามคำสั่งผู้บริหาร 14028 [210]เมื่อวันที่ 12 พฤษภาคม พ.ศ. 2564 เพื่อเพิ่มมาตรฐานความปลอดภัยซอฟต์แวร์สำหรับการขายให้กับรัฐบาล การตรวจจับและความปลอดภัยในระบบที่มีอยู่ให้เข้มงวดยิ่งขึ้น ปรับปรุงการแบ่งปันข้อมูลและ ฝึกอบรม จัดตั้งคณะกรรมการตรวจสอบความปลอดภัยทางไซเบอร์ และปรับปรุงการตอบสนองต่อเหตุการณ์

บริการทดสอบมาตรฐานของรัฐบาล

บริหารบริการทั่วไป (GSA) มี[ เมื่อ? ]กำหนดมาตรฐานบริการ "การทดสอบการรุก" เป็นบริการสนับสนุนที่ได้รับการตรวจสอบล่วงหน้า เพื่อจัดการกับช่องโหว่ที่อาจเกิดขึ้นอย่างรวดเร็ว และหยุดปฏิปักษ์ก่อนที่จะส่งผลกระทบต่อรัฐบาลกลาง มลรัฐ และท้องถิ่นของสหรัฐฯ บริการเหล่านี้มักเรียกว่าบริการความปลอดภัยทางไซเบอร์ที่ปรับเปลี่ยนได้สูง (HACS)

เอเจนซี่

กระทรวงความมั่นคงมีส่วนเฉพาะผู้รับผิดชอบในการตอบสนองของระบบการบริหารความเสี่ยงของโปรแกรมและข้อกำหนดสำหรับโลกไซเบอร์ในประเทศสหรัฐอเมริกาที่เรียกว่ากองรักษาความปลอดภัยไซเบอร์แห่งชาติ [211] [212]แผนกนี้เป็นที่ตั้งของหน่วยปฏิบัติการ US-CERT และระบบเตือนภัยทางไซเบอร์แห่งชาติ[212]ศูนย์บูรณาการความปลอดภัยทางไซเบอร์และการสื่อสารแห่งชาติรวบรวมองค์กรภาครัฐที่รับผิดชอบในการปกป้องเครือข่ายคอมพิวเตอร์และโครงสร้างพื้นฐานเครือข่าย[213]

ลำดับความสำคัญที่สามของสำนักงานสืบสวนกลางแห่งสหรัฐอเมริกา (FBI) คือ: "ปกป้องสหรัฐอเมริกาจากการโจมตีทางไซเบอร์และอาชญากรรมทางเทคโนโลยีขั้นสูง" [214]และพวกเขาพร้อมกับNational White Collar Crime Center (NW3C) และสำนักความช่วยเหลือด้านความยุติธรรม (BJA) เป็นส่วนหนึ่งของคณะทำงานเฉพาะกิจหลายหน่วยงาน นั่นคือศูนย์รับเรื่องร้องเรียนอาชญากรรมทางอินเทอร์เน็ตหรือที่เรียกว่า IC3 [215]

นอกจากจะทำหน้าที่ของตนเองโดยเฉพาะเอฟบีไอมีส่วนร่วมควบคู่ไปกับองค์กรที่ไม่แสวงหาผลกำไรเช่นInfraGard [216] [217]

อาชญากรรมคอมพิวเตอร์และปัญญามาตราทรัพย์สิน (CCIPS) ดำเนินงานในสหรัฐอเมริกากรมยุติธรรมแผนกคดีอาญา CCIPS อยู่ในความดูแลของการสืบสวนอาชญากรรมทางคอมพิวเตอร์และทรัพย์สินทางปัญญาอาชญากรรมและมีความเชี่ยวชาญในการค้นหาและการยึดหลักฐานดิจิตอลในคอมพิวเตอร์และเครือข่าย [218]ในปี 2560 CCIPS ได้เผยแพร่กรอบงานสำหรับโปรแกรมการเปิดเผยช่องโหว่สำหรับระบบออนไลน์ เพื่อช่วยองค์กร "อธิบายการเปิดเผยช่องโหว่ที่ได้รับอนุญาตและการดำเนินการค้นพบได้อย่างชัดเจน ซึ่งจะช่วยลดโอกาสที่กิจกรรมที่อธิบายไว้ดังกล่าวจะส่งผลให้เกิดการละเมิดกฎหมายทางแพ่งหรือทางอาญาภายใต้คอมพิวเตอร์ พระราชบัญญัติการฉ้อโกงและการละเมิด (18 USC § 1030)" [219]

สหรัฐอเมริกา Cyber Commandยังเป็นที่รู้จัก USCYBERCOM "มีภารกิจโดยตรงให้ตรงกันและประสานงานการวางแผนและการดำเนินงานไซเบอร์สเปซเพื่อปกป้องและรักษาผลประโยชน์ของชาติในการทำงานร่วมกันกับคู่ค้าในประเทศและต่างประเทศ." [220]มันไม่มีบทบาทในการปกป้องเครือข่ายพลเรือน [221] [222]

บทบาทของคณะกรรมการกลางกำกับดูแลกิจการสื่อสารแห่งสหรัฐอเมริกา (US Federal Communications Commission ) ในการรักษาความปลอดภัยทางไซเบอร์คือการเสริมสร้างการป้องกันโครงสร้างพื้นฐานด้านการสื่อสารที่สำคัญ เพื่อช่วยในการรักษาความน่าเชื่อถือของเครือข่ายระหว่างเกิดภัยพิบัติ เพื่อช่วยในการกู้คืนอย่างรวดเร็วหลังจากนั้น และเพื่อให้แน่ใจว่าผู้เผชิญเหตุคนแรกสามารถเข้าถึงบริการสื่อสารที่มีประสิทธิภาพ . [223]

สำนักงานคณะกรรมการอาหารและยาได้ออกคำแนะนำสำหรับอุปกรณ์ทางการแพทย์[224]และทางหลวงแห่งชาติบริหารความปลอดภัยการจราจร[225]ที่เกี่ยวข้องกับยานยนต์โลกไซเบอร์ หลังจากได้รับการวิพากษ์วิจารณ์จากรัฐบาลรับผิดชอบสำนักงาน , [226]และหลังจากการโจมตีที่ประสบความสำเร็จในสนามบินและการโจมตีอ้างว่าบนเครื่องบินที่Federal Aviation Administrationมีการระดมทุนเพื่อรองรับการรักษาความปลอดภัยระบบบนเรือเครื่องบินของผู้ผลิตเอกชนและอากาศยานการสื่อสารที่อยู่และระบบการรายงาน . [227]ยังมีความกังวลเกี่ยวกับระบบขนส่งทางอากาศแห่งอนาคตอีกด้วย. [228]

ทีมงานเตรียมความพร้อมฉุกเฉินคอมพิวเตอร์

" ทีมรับมือเหตุฉุกเฉินของคอมพิวเตอร์ " เป็นชื่อที่มอบให้กับกลุ่มผู้เชี่ยวชาญที่จัดการเหตุการณ์ด้านความปลอดภัยของคอมพิวเตอร์ ในสหรัฐอเมริกา มีองค์กรที่แตกต่างกันสององค์กร แม้ว่าพวกเขาจะทำงานร่วมกันอย่างใกล้ชิด

สงครามสมัยใหม่

มีความกังวลเพิ่มขึ้นว่าไซเบอร์สเปซจะกลายเป็นโรงละครแห่งสงครามต่อไป ดังที่ Mark Clayton จากThe Christian Science Monitorเขียนไว้ในบทความปี 2015 เรื่อง "The New Cyber ​​Arms Race":

ในอนาคต สงครามจะไม่เพียงแค่ต่อสู้กับทหารด้วยปืนหรือเครื่องบินที่ทิ้งระเบิด พวกเขายังจะต่อสู้ด้วยการคลิกเมาส์ในอีกครึ่งโลกที่ปล่อยโปรแกรมคอมพิวเตอร์ที่มีอาวุธอย่างระมัดระวัง ซึ่งจะทำลายหรือทำลายอุตสาหกรรมที่สำคัญ เช่น สาธารณูปโภค การคมนาคมขนส่ง การสื่อสาร และพลังงาน การโจมตีดังกล่าวอาจทำให้เครือข่ายทหารที่ควบคุมการเคลื่อนที่ของทหารหมดไป แนวทางของเครื่องบินขับไล่ไอพ่น การบังคับบัญชาและการควบคุมเรือรบ [230]

สิ่งนี้นำไปสู่คำศัพท์ใหม่ เช่นสงครามไซเบอร์และการก่อการร้ายทางอินเทอร์เน็ต สหรัฐอเมริกา Cyber คำสั่งที่ถูกสร้างขึ้นในปี 2009 [231]และประเทศอื่น ๆ อีกมากมายมีกองกำลังที่คล้ายกัน

มีเสียงวิจารณ์บางส่วนที่ตั้งคำถามว่าการรักษาความปลอดภัยทางไซเบอร์เป็นภัยคุกคามที่มีนัยสำคัญพอๆ กับที่เป็นจริงหรือไม่ [232] [233] [234]

อาชีพ

การรักษาความปลอดภัยทางไซเบอร์เป็นสาขาไอทีที่เติบโตอย่างรวดเร็วซึ่งเกี่ยวข้องกับการลดความเสี่ยงขององค์กรจากการถูกแฮ็กหรือข้อมูลรั่วไหล[235]จากการวิจัยของ Enterprise Strategy Group 46% ระบุว่าพวกเขามี "ปัญหาการขาดแคลน" ด้านทักษะความปลอดภัยทางไซเบอร์ในปี 2559 เพิ่มขึ้นจาก 28% ในปี 2558 [236] องค์กรการค้า ภาครัฐ และเอกชนทั้งหมด จ้างผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์ ความต้องการพนักงานรักษาความปลอดภัยทางไซเบอร์ที่เพิ่มขึ้นเร็วที่สุดนั้นอยู่ในอุตสาหกรรมที่จัดการปริมาณข้อมูลผู้บริโภคที่เพิ่มขึ้น เช่น การเงิน การดูแลสุขภาพ และการค้าปลีก[237]อย่างไรก็ตาม การใช้คำว่า "ความมั่นคงปลอดภัยทางไซเบอร์" เป็นที่แพร่หลายมากขึ้นในรายละเอียดงานของรัฐบาล[238]

ตำแหน่งงานและคำอธิบายด้านความปลอดภัยทางไซเบอร์โดยทั่วไป ได้แก่: [239]

นักวิเคราะห์ความปลอดภัย

วิเคราะห์และประเมินช่องโหว่ในโครงสร้างพื้นฐาน (ซอฟต์แวร์ ฮาร์ดแวร์ เครือข่าย) ตรวจสอบโดยใช้เครื่องมือที่มีอยู่และมาตรการแก้ไขเพื่อแก้ไขจุดอ่อนที่ตรวจพบ และแนะนำโซลูชันและแนวทางปฏิบัติที่ดีที่สุด วิเคราะห์และประเมินความเสียหายต่อข้อมูล/โครงสร้างพื้นฐานอันเป็นผลมาจากเหตุการณ์ด้านความปลอดภัย ตรวจสอบเครื่องมือและกระบวนการกู้คืนที่มีอยู่ และแนะนำวิธีแก้ปัญหา การทดสอบการปฏิบัติตามนโยบายและขั้นตอนความปลอดภัย อาจช่วยในการสร้าง ดำเนินการ หรือจัดการโซลูชันด้านความปลอดภัย

วิศวกรรักษาความปลอดภัย

ดำเนินการตรวจสอบความปลอดภัย ความปลอดภัยและการวิเคราะห์ข้อมูล/บันทึก และการวิเคราะห์ทางนิติวิทยาศาสตร์ เพื่อตรวจจับเหตุการณ์ด้านความปลอดภัย และติดตั้งการตอบสนองต่อเหตุการณ์ ตรวจสอบและใช้เทคโนโลยีและกระบวนการใหม่ๆ เพื่อเพิ่มขีดความสามารถด้านความปลอดภัยและดำเนินการปรับปรุง อาจตรวจสอบโค้ดหรือดำเนินการตามวิธีวิศวกรรมความปลอดภัยอื่นๆ

สถาปนิกด้านความปลอดภัย

ออกแบบระบบรักษาความปลอดภัยหรือส่วนประกอบหลักของระบบรักษาความปลอดภัย และอาจหัวหน้าทีมออกแบบความปลอดภัยที่สร้างระบบรักษาความปลอดภัยใหม่

เจ้าหน้าที่รักษาความปลอดภัย

ติดตั้งและจัดการระบบรักษาความปลอดภัยทั่วทั้งองค์กร ตำแหน่งนี้อาจรวมถึงการทำงานบางอย่างของนักวิเคราะห์ความปลอดภัยในองค์กรขนาดเล็ก

หัวหน้าเจ้าหน้าที่รักษาความปลอดภัยข้อมูล (CISO)

ตำแหน่งผู้บริหารระดับสูงที่รับผิดชอบแผนก/เจ้าหน้าที่รักษาความปลอดภัยข้อมูลทั้งหมด ตำแหน่งอาจรวมถึงงานด้านเทคนิคที่ลงมือปฏิบัติ

หัวหน้าเจ้าหน้าที่รักษาความปลอดภัย (CSO)

ตำแหน่งผู้บริหารระดับสูงที่รับผิดชอบแผนก/พนักงานรักษาความปลอดภัยทั้งหมด ตำแหน่งใหม่ตอนนี้ถือว่าจำเป็นเมื่อความเสี่ยงด้านความปลอดภัยเพิ่มขึ้น

เจ้าหน้าที่คุ้มครองข้อมูล (อ.ส.ค.)

DPO มีหน้าที่ตรวจสอบการปฏิบัติตาม GDPR ของสหราชอาณาจักรและกฎหมายคุ้มครองข้อมูลอื่นๆ นโยบายการปกป้องข้อมูลของเรา การเพิ่มความตระหนักรู้ การฝึกอบรม และการตรวจสอบ [240]

ที่ปรึกษาด้านความปลอดภัย/ผู้เชี่ยวชาญ/ข่าวกรอง

ชื่อแบบกว้าง ๆ ที่ครอบคลุมบทบาทหรือชื่ออื่นใดหรือทั้งหมดที่ได้รับมอบหมายให้ปกป้องคอมพิวเตอร์ เครือข่าย ซอฟต์แวร์ ข้อมูลหรือระบบสารสนเทศจากไวรัส เวิร์ม สปายแวร์ มัลแวร์ การตรวจจับการบุกรุก การเข้าถึงโดยไม่ได้รับอนุญาต การโจมตีแบบปฏิเสธบริการ และ รายการการโจมตีที่เพิ่มขึ้นเรื่อย ๆ โดยแฮ็กเกอร์ที่ทำหน้าที่เป็นบุคคลหรือเป็นส่วนหนึ่งขององค์กรอาชญากรรมหรือรัฐบาลต่างประเทศ

โปรแกรมนักศึกษายังมีให้สำหรับผู้ที่สนใจในการเริ่มต้นอาชีพด้านความปลอดภัยในโลกไซเบอร์ [241] [242]ในขณะเดียวกัน ตัวเลือกที่ยืดหยุ่นและมีประสิทธิภาพสำหรับมืออาชีพด้านการรักษาความปลอดภัยข้อมูลทุกระดับประสบการณ์ในการศึกษาต่อคือการฝึกอบรมความปลอดภัยออนไลน์ ซึ่งรวมถึงเว็บคาสต์ [243] [244]นอกจากนี้ยังมีหลักสูตรที่ผ่านการรับรองมากมาย [245]

ในสหราชอาณาจักร ฟอรัมความปลอดภัยทางไซเบอร์ทั่วประเทศ ที่รู้จักกันในชื่อUK Cyber ​​Security Forumได้รับการจัดตั้งขึ้นโดยได้รับการสนับสนุนจากกลยุทธ์ความปลอดภัยทางไซเบอร์ของรัฐบาล[246]เพื่อส่งเสริมการเริ่มต้นและนวัตกรรมและเพื่อจัดการกับช่องว่างทักษะ[247]ระบุ โดยรัฐบาลสหราชอาณาจักร

ในสิงคโปร์Cyber ​​Security Agencyได้ออก Singapore Operational Technology (OT) Cybersecurity Competency Framework (OTCCF) กรอบงานกำหนดบทบาทความปลอดภัยทางไซเบอร์ที่เกิดขึ้นใหม่ในเทคโนโลยีการปฏิบัติงาน OTCCF ได้รับการรับรองโดยInfocomm Media Development Authority (IMDA) โดยจะสรุปตำแหน่งงานด้านความปลอดภัยทางไซเบอร์ของ OT ต่างๆ ตลอดจนทักษะทางเทคนิคและความสามารถหลักที่จำเป็น นอกจากนี้ยังแสดงให้เห็นเส้นทางอาชีพที่มีอยู่มากมาย รวมถึงโอกาสในการก้าวหน้าในแนวดิ่งและด้านข้าง [248]

คำศัพท์

คำศัพท์ต่อไปนี้ที่ใช้เกี่ยวกับความปลอดภัยของคอมพิวเตอร์ได้อธิบายไว้ด้านล่าง:

  • การอนุญาตการเข้าถึงจำกัดการเข้าถึงคอมพิวเตอร์ให้กับกลุ่มผู้ใช้ผ่านการใช้ระบบการตรวจสอบสิทธิ์ ระบบเหล่านี้สามารถปกป้องคอมพิวเตอร์ทั้งเครื่องได้ เช่น ผ่านหน้าจอเข้าสู่ระบบแบบโต้ตอบหรือบริการส่วนบุคคล เช่นเซิร์ฟเวอร์FTP มีหลายวิธีในการระบุและตรวจสอบผู้ใช้เช่นรหัสผ่าน , บัตรประจำตัว , บัตรสมาร์ทและไบโอเมตริกซ์ระบบ
  • ซอฟต์แวร์ป้องกันไวรัสประกอบด้วยโปรแกรมคอมพิวเตอร์ที่พยายามระบุ ขัดขวาง และกำจัดไวรัสคอมพิวเตอร์และซอฟต์แวร์ที่เป็นอันตรายอื่นๆ ( มัลแวร์ )
  • แอปพลิเคชันเป็นโค้ดที่เรียกใช้งานได้ ดังนั้นแนวทางปฏิบัติทั่วไปคือการไม่อนุญาตให้ผู้ใช้ติดตั้งโปรแกรมได้ เพื่อติดตั้งเฉพาะสิ่งที่เป็นที่รู้จัก และเพื่อลดพื้นผิวการโจมตีโดยการติดตั้งให้น้อยที่สุด โดยทั่วไปแล้วจะเรียกใช้โดยมีสิทธิ์น้อยที่สุดโดยมีกระบวนการที่แข็งแกร่งในการระบุ ทดสอบ และติดตั้งแพตช์ความปลอดภัยหรือการอัปเดตที่เผยแพร่สำหรับพวกเขา
  • เทคนิคการพิสูจน์ตัวตนสามารถใช้เพื่อให้แน่ใจว่าปลายทางการสื่อสารคือสิ่งที่พวกเขากล่าวว่าเป็น
  • สามารถใช้การพิสูจน์ทฤษฎีบทอัตโนมัติและเครื่องมือตรวจสอบอื่น ๆ เพื่อให้อัลกอริทึมและรหัสที่สำคัญที่ใช้ในระบบรักษาความปลอดภัยได้รับการพิสูจน์ทางคณิตศาสตร์ว่าตรงตามข้อกำหนด
  • การสำรองข้อมูลคือหนึ่งสำเนาขึ้นไปที่เก็บไฟล์คอมพิวเตอร์ที่สำคัญ โดยปกติ สำเนาหลายชุดจะถูกเก็บไว้ที่สถานที่ต่างกัน ดังนั้นหากสำเนาถูกขโมยหรือเสียหาย สำเนาอื่นๆ จะยังคงอยู่
  • สามารถใช้เทคนิคความสามารถและรายการควบคุมการเข้าถึงเพื่อให้แน่ใจว่ามีการแยกสิทธิ์และการควบคุมการเข้าถึงที่จำเป็น ความสามารถเทียบกับ ACLกล่าวถึงการใช้งาน
  • สามารถใช้เทคนิคChain of trustเพื่อพยายามทำให้แน่ใจว่าซอฟต์แวร์ที่โหลดทั้งหมดได้รับการรับรองว่าเป็นของแท้โดยผู้ออกแบบระบบ
  • การรักษาความลับคือการไม่เปิดเผยข้อมูล ยกเว้นกับผู้มีอำนาจอื่น [249]
  • เทคนิคการเข้ารหัสสามารถใช้เพื่อปกป้องข้อมูลระหว่างการส่งผ่านระหว่างระบบ ลดความน่าจะเป็นที่การแลกเปลี่ยนข้อมูลระหว่างระบบสามารถสกัดกั้นหรือแก้ไขได้
  • สงครามไซเบอร์เป็นความขัดแย้งทางอินเทอร์เน็ตที่เกี่ยวข้องกับการโจมตีที่มีแรงจูงใจทางการเมืองต่อระบบข้อมูลและสารสนเทศ การโจมตีดังกล่าวสามารถปิดการใช้งานเว็บไซต์และเครือข่ายอย่างเป็นทางการ ขัดขวางหรือปิดใช้งานบริการที่จำเป็น ขโมยหรือแก้ไขข้อมูลที่เป็นความลับ และทำให้ระบบการเงินเสียหาย
  • ความสมบูรณ์ของข้อมูลคือความถูกต้องและความสม่ำเสมอของข้อมูลที่จัดเก็บ โดยบ่งชี้ว่าไม่มีการเปลี่ยนแปลงใดๆ ในข้อมูลระหว่างการอัปเดตบันทึกข้อมูลสองครั้ง [250]
เทคนิคการเข้ารหัสลับเกี่ยวข้องกับการแปลงข้อมูล การรบกวนข้อมูล ดังนั้นจึงไม่สามารถอ่านได้ในระหว่างการส่ง ผู้รับที่ต้องการสามารถถอดรหัสข้อความได้ ตามหลักการแล้วผู้ดักฟังไม่สามารถทำได้
  • การเข้ารหัสใช้เพื่อปกป้องความลับของข้อความ Cryptographicallyที่เชื่อถือยันต์ได้รับการออกแบบเพื่อให้ความพยายามในทางปฏิบัติใด ๆที่จะหมดพวกเขาไปไม่ได้ รหัสสมมาตรคีย์เหมาะสำหรับการเข้ารหัสจำนวนมากโดยใช้คีย์ที่ใช้ร่วมกันและการเข้ารหัสคีย์สาธารณะโดยใช้ใบรับรองดิจิทัลสามารถให้โซลูชันที่ใช้งานได้จริงสำหรับปัญหาในการสื่อสารอย่างปลอดภัยเมื่อไม่มีการแชร์คีย์ล่วงหน้า
  • ซอฟต์แวร์รักษาความปลอดภัยปลายทางช่วยเครือข่ายในการป้องกันการติดเชื้อมัลแวร์และการโจรกรรมข้อมูลที่จุดเข้าใช้งานเครือข่าย ซึ่งทำให้เสี่ยงต่ออุปกรณ์ที่อาจติดไวรัส เช่น แล็ปท็อป อุปกรณ์พกพา และไดรฟ์ USB [251]
  • ไฟร์วอลล์ทำหน้าที่เป็นระบบเฝ้าประตูระหว่างเครือข่าย อนุญาตเฉพาะการรับส่งข้อมูลที่ตรงกับกฎที่กำหนดไว้เท่านั้น พวกเขามักจะรวมถึงรายละเอียดของการเข้าสู่ระบบและอาจรวมถึงการตรวจสอบการบุกรุกและการป้องกันการบุกรุกคุณสมบัติ พวกมันเกือบจะเป็นสากลระหว่างเครือข่ายท้องถิ่นของบริษัทและอินเทอร์เน็ต แต่ยังสามารถใช้ภายในเพื่อกำหนดกฎการรับส่งข้อมูลระหว่างเครือข่ายหากมีการกำหนดค่าการแบ่งส่วนเครือข่าย
  • แฮ็กเกอร์เป็นคนที่พยายามที่จะป้องกันการละเมิดและใช้ประโยชน์จากจุดอ่อนในระบบคอมพิวเตอร์หรือเครือข่าย
  • หม้อน้ำผึ้งคือคอมพิวเตอร์ที่ตั้งใจปล่อยให้แครกเกอร์โจมตี สามารถใช้จับแครกเกอร์และระบุเทคนิคได้
  • ระบบตรวจจับการบุกรุกเป็นอุปกรณ์หรือแอปพลิเคชันซอฟต์แวร์ที่ตรวจสอบเครือข่ายหรือระบบสำหรับกิจกรรมที่เป็นอันตรายหรือการละเมิดนโยบาย
  • microkernelเป็นแนวทางในการออกแบบระบบปฏิบัติการซึ่งมีเพียงจำนวนเงินที่ใกล้ขั้นต่ำของรหัสที่ทำงานในระดับที่มีสิทธิพิเศษมากที่สุด - และทำงานองค์ประกอบอื่น ๆ ของระบบปฏิบัติการเช่นไดรเวอร์อุปกรณ์โปรโตคอลและระบบไฟล์ในที่ปลอดภัยน้อย ได้รับการยกเว้นพื้นที่ของผู้ใช้
  • ปิง . แอปพลิเคชัน "ping" มาตรฐานสามารถใช้เพื่อทดสอบว่ามีการใช้ที่อยู่ IP หรือไม่ หากเป็นเช่นนั้น ผู้โจมตีอาจลองสแกนพอร์ตเพื่อตรวจหาบริการที่ถูกเปิดเผย
  • การสแกนพอร์ตจะใช้เพื่อตรวจสอบที่อยู่ IP สำหรับพอร์ตที่เปิดอยู่เพื่อระบุบริการเครือข่ายและแอปพลิเคชันที่สามารถเข้าถึงได้
  • ตัวบันทึกคีย์คือสปายแวร์ที่ดักจับและจัดเก็บการกดแป้นแต่ละครั้งที่ผู้ใช้พิมพ์บนแป้นพิมพ์ของคอมพิวเตอร์อย่างเงียบๆ
  • วิศวกรรมสังคมคือการใช้การหลอกลวงเพื่อจัดการบุคคลให้ละเมิดความปลอดภัย
  • Logic Bombsเป็นมัลแวร์ประเภทหนึ่งที่เพิ่มลงในโปรแกรมที่ถูกต้องตามกฎหมายซึ่งอยู่เฉยๆ จนกว่าจะถูกทริกเกอร์โดยเหตุการณ์เฉพาะ
  • การรักษาความปลอดภัยเป็นศูนย์หมายความว่าไม่มีใครเชื่อถือโดยค่าเริ่มต้นจากภายในหรือภายนอกเครือข่าย และจำเป็นต้องมีการตรวจสอบจากทุกคนที่พยายามเข้าถึงทรัพยากรบนเครือข่าย

นักวิชาการที่มีชื่อเสียง

ดูเพิ่มเติม

อ้างอิง

  1. ^ Schatz, ดาเนียล แบชรุส, ราบีห์; วอลล์, จูลี่ (2017). "มุ่งสู่นิยามที่เป็นตัวแทนมากขึ้นของการรักษาความปลอดภัยทางไซเบอร์" . วารสารนิติดิจิทัล ความปลอดภัย และกฎหมาย . 12 (2). ISSN  1558-7215 .
  2. ^ "Reliance คาถา end of road for ICT amateurs" , 7 พฤษภาคม 2013, The Australian
  3. สตีเวนส์, ทิม (11 มิถุนายน 2018). "ทั่วโลก Cybersecurity: ทิศทางใหม่ในทฤษฎีและวิธีการ" (PDF) การเมืองและการปกครอง . 6 (2): 1-4. ดอย : 10.17645/pag.v6i2.1569 .
  4. ^ a b Misa, Thomas J. (2016). "วาทกรรมความปลอดภัยคอมพิวเตอร์ที่ RAND, SDC และ NSA (1958-1970)" . IEEE พงศาวดารประวัติศาสตร์ของคอมพิวเตอร์ 38 (4): 12–25. ดอย : 10.1109/MAHC.2016.48 . S2CID 17609542 . 
  5. ^ AJ นอยมันน์เอ็น Statland และ RD เวบบ์ (1977) "เครื่องมือและเทคนิคการตรวจสอบหลังการประมวลผล" (PDF) . กระทรวงพาณิชย์สหรัฐ สำนักงานมาตรฐานแห่งชาติ น. 11-3–11-4.
  6. ^ เออร์วิน ลุค (5 เมษายน 2018) "วิธี NIST สามารถปกป้องซีไอเอ Triad รวมทั้งมักจะมองข้าม 'ฉัน' - สมบูรณ์" สืบค้นเมื่อ16 มกราคม 2021 .
  7. ^ เพอร์ริน, ชาด. "กลุ่มซีไอเอ" . สืบค้นเมื่อ31 พฤษภาคม 2555 .
  8. ^ ส โตนเบิร์นเนอร์ จี.; เฮย์เดน, C.; Feringa, A. (2004). "หลักวิศวกรรมเพื่อความปลอดภัยของเทคโนโลยีสารสนเทศ" (PDF) . csrc.nist.gov. ดอย : 10.6028/NIST.SP.800-27rA . Cite journal requires |journal= (help)
  9. ^ Yost, Jeffrey R. (เมษายน 2015). "ต้นกำเนิดและประวัติความเป็นมาของอุตสาหกรรมผลิตภัณฑ์ซอฟต์แวร์รักษาความปลอดภัยคอมพิวเตอร์" . IEEE พงศาวดารประวัติศาสตร์ของคอมพิวเตอร์ 37 (2): 46–58. ดอย : 10.1109/MAHC.2015.21 . ISSN 1934-1547 S2CID 18929482 .  
  10. ^ เอลเลน นากาชิมะ (26 มกราคม 2551) "การตรวจสอบบุชสั่งซื้อขยายเครือข่าย: หน่วยงานข่าวกรองเพื่อติดตามการบุกรุก" เดอะวอชิงตันโพสต์. สืบค้นเมื่อ8 กุมภาพันธ์ 2021 .
  11. ^ นิโคล Perlroth (7 กุมภาพันธ์ 2021) "สหรัฐฯ แพ้แฮ็กเกอร์อย่างไร" . เดอะนิวยอร์กไทม์ส . สืบค้นเมื่อ9 กุมภาพันธ์ 2021 .
  12. ^ "ความท้าทายด้านความปลอดภัยของคอมพิวเตอร์และมือถือ" . Researchgate.net . 3 ธันวาคม 2558 เก็บถาวรจากต้นฉบับเมื่อ 12 ตุลาคม 2559 . สืบค้นเมื่อ4 สิงหาคม 2559 .
  13. ^ "กิทรา" .
  14. ^ "Syzbot: Google อย่างต่อเนื่อง fuzzing ลินุกซ์เคอร์เนล"
  15. ^ "การปฏิเสธการให้บริการแบบกระจาย" . csa.gov.sg เก็บถาวรจากต้นฉบับเมื่อ 6 สิงหาคม 2016 . สืบค้นเมื่อ12 พฤศจิกายน 2557 .
  16. ^ "การโจมตีหลายเวกเตอร์ต้องการมีหลายเวกเตอร์คุ้มครอง" MSSP การแจ้งเตือน 24 กรกฎาคม 2561.
  17. ^ Millman เรนี (15 ธันวาคม 2017) "New Evades มัลแวร์ polymorphic สามในสี่ของสแกนเนอร์ AV" นิตยสาร SC สหราชอาณาจักร
  18. ^ "การระบุความพยายามในการฟิชชิ่ง" . กรณี. เก็บถาวรจากต้นฉบับเมื่อ 13 กันยายน 2558 . สืบค้นเมื่อ4 กรกฎาคม 2559 .
  19. ^ "ฟิชเชอร์ส่งใบแจ้งหนี้ปลอม" . ข้อมูลผู้บริโภค 23 กุมภาพันธ์ 2561 . สืบค้นเมื่อ17 กุมภาพันธ์ 2020 .
  20. ^ ไอแลม, เอลแดด (2005). ย้อนกลับ: ความลับของวิศวกรรมผันกลับ จอห์น ไวลีย์ แอนด์ ซันส์. ISBN 978-0-7645-7481-8.
  21. ^ Arcos เซร์คิโอ "วิศวกรรมสังคม" (PDF) . เก็บถาวร(PDF)จากต้นฉบับเมื่อ 3 ธันวาคม 2556
  22. ^ Scannell, Kara (24 กุมภาพันธ์ 2559). "อีเมลหลอกลวงซีอีโอ บริษัท มีค่าใช้จ่าย $ 2bn" ไฟแนนเชียลไทมส์ (25 กุมภาพันธ์ 2559). เก็บถาวรจากต้นฉบับเมื่อ 23 มิถุนายน 2559 . สืบค้นเมื่อ7 พฤษภาคม 2559 .
  23. ^ "บัคส์รั่วข้อมูลภาษีของผู้เล่น พนักงาน อันเป็นผลมาจากอีเมลหลอกลวง" . ข่าวที่เกี่ยวข้อง. 20 พฤษภาคม 2559 เก็บถาวรจากต้นฉบับเมื่อ 20 พฤษภาคม 2559 . สืบค้นเมื่อ20 พฤษภาคม 2559 .
  24. ^ "การปลอมแปลงคืออะไร? – คำจำกัดความจาก Techopedia" . เก็บจากต้นฉบับเมื่อ 30 มิถุนายน 2559
  25. ^ บัตเตอร์ฟิลด์ แอนดรูว์; กอนดี, เจอราร์ด เอเคมเบ, สหพันธ์. (21 มกราคม 2559). การปลอมแปลง ฟอร์ดอ้างอิง สำนักพิมพ์มหาวิทยาลัยอ็อกซ์ฟอร์ด. ดอย : 10.1093/เอเคอร์/9780199688975.001.0001 . ISBN 9780199688975. สืบค้นเมื่อ8 ตุลาคม 2017 .
  26. ^ คลื่นSébastien; นิกสัน, มาร์ค; ลี, สแตน, สหพันธ์. (2014). คู่มือการต่อต้านการปลอมแปลงด้วยไบโอเมตริกซ์: ไบโอเมตริกที่เชื่อถือได้ภายใต้การโจมตีด้วยการปลอมแปลง ความก้าวหน้าทางคอมพิวเตอร์วิทัศน์และการจดจำรูปแบบ ลอนดอน: สปริงเกอร์. ดอย : 10.1007/978-1-4471-6524-8 . ISBN 978-1-4471-6524-8. ISSN  2191-6594 . LCCN  2014942635 . S2CID  27594864 .
  27. ^ กัลลาเกอร์, ฌอน (14 พฤษภาคม 2014). "ภาพถ่ายของเอ็นเอสเอ 'อัพเกรด' โรงงานการแสดงของซิสโก้เราเตอร์ได้รับเทียม" อาส เทคนิค . เก็บถาวรจากต้นฉบับเมื่อ 4 สิงหาคม 2014 . สืบค้นเมื่อ3 สิงหาคม 2014 .
  28. ^ Bendovschi, Andreea (2015). "การโจมตีไซเบอร์ - แนวโน้มรูปแบบและการรักษาความปลอดภัยตอบโต้" Procedia เศรษฐศาสตร์และการเงิน 28 : 24–31. ดอย : 10.1016/S2212-5671(15)01077-1 .
  29. ^ Lim, Joo S. และคณะ "สำรวจความสัมพันธ์ระหว่างวัฒนธรรมองค์กรและวัฒนธรรมความมั่นคงของข้อมูล" การประชุมการจัดการความปลอดภัยของข้อมูลของออสเตรเลีย
  30. ^ K. Reimers, D. Andersson (2017)การรักษาความปลอดภัยเครือข่ายหลังการศึกษาระดับมัธยมศึกษาตอนปลาย: ความท้าทายสำหรับผู้ใช้ปลายทางและการคุกคาม , ICERI2017 Proceedings, pp. 1787-1796.
  31. ^ "Verizon ละเมิดข้อมูลการสืบสวนรายงานในปี 2020" (PDF) เวริซอน .
  32. อรรถเป็น c ช เลียนเกอร์ โธมัส; ทอยเฟล, สเตฟานี (2003). "วัฒนธรรมความมั่นคงสารสนเทศ จากการวิเคราะห์สู่การเปลี่ยนแปลง" วารสารคอมพิวเตอร์แอฟริกาใต้ . 31 : 46–52.
  33. ^ Lin, Tom CW (3 กรกฎาคม 2017). "การจัดการตลาดใหม่". วารสารกฎหมายเอมอรี . 66 : 1253. SSRN 2996896 . 
  34. ^ หลิน, ทอม ซีดับเบิลยู (2016). "อาวุธสงครามการเงิน". ทบทวนกฎหมายมินนิโซตา SSRN 2765010 . 
  35. ^ Pagliery, Jose (18 พฤศจิกายน 2014). "แฮกเกอร์โจมตีตารางพลังงานสหรัฐ 79 ครั้งในปีนี้" เงินซีเอ็นเอ็น . เครือข่ายข่าวเคเบิล เก็บข้อมูลจากต้นฉบับเมื่อ 18 กุมภาพันธ์ 2558 . สืบค้นเมื่อ16 เมษายน 2558 .
  36. ^ PG นอยมันน์ "รักษาความปลอดภัยคอมพิวเตอร์ในการบิน" ที่นำเสนอในการประชุมระหว่างประเทศเกี่ยวกับความปลอดภัยการบินและความมั่นคงในศตวรรษที่ 21 คณะกรรมการทำเนียบขาวเกี่ยวกับความปลอดภัยและการรักษาความปลอดภัย 1997
  37. ^ เจ Zellan การบินการรักษาความปลอดภัย Hauppauge, NY: Nova Science, 2003, หน้า 65–70
  38. ^ "แอร์ระบบควบคุมการจราจรช่องโหว่จะทำให้ไม่เป็นมิตรท้องฟ้า [Black Hat] - SecurityWeek.Com" เก็บจากต้นฉบับเมื่อ 8 กุมภาพันธ์ 2015
  39. ^ "แฮ็กเกอร์กล่าวว่าเขาสามารถทำลายลงไปในระบบการใช้เครื่องบินในเที่ยวบิน Wi-Fi" เอ็นพีอาร์ . org 4 สิงหาคม 2557 เก็บถาวรจากต้นฉบับเมื่อ 8 กุมภาพันธ์ 2558
  40. ^ จิม ฟิงเคิล (4 สิงหาคม 2557). “แฮ็กเกอร์บอกให้โชว์เครื่องบินโดยสารเสี่ยงโดนโจมตีทางไซเบอร์” . สำนักข่าวรอยเตอร์ เก็บจากต้นฉบับเมื่อ 13 ตุลาคม 2558
  41. ^ "บริการเครือข่ายแพน-ยุโรป (PENS) - Eurocontrol.int" . เก็บจากต้นฉบับเมื่อ 12 ธันวาคม 2559
  42. ^ "บริการส่วนกลาง: NewPENS ย้ายไปข้างหน้า - Eurocontrol.int" 17 มกราคม 2559 เก็บถาวรจากต้นฉบับเมื่อ 19 มีนาคม 2560
  43. ^ "การสื่อสารข้อมูล NextGen" . เอฟเอเอ เก็บถาวรจากต้นฉบับเมื่อ 13 มีนาคม 2558 . สืบค้นเมื่อ15 มิถุนายน 2560 .
  44. ^ "ดูคุณหรือเทอร์โม Spy? บริษัท Cybersecurity อยู่ในนั้น" เอ็นพีอาร์ . org 6 สิงหาคม 2557 เก็บถาวรจากต้นฉบับเมื่อ 11 กุมภาพันธ์ 2558
  45. ^ เมลวิน Backman (18 กันยายน 2014) "โฮมดีโป แฉ 56 ล้านใบ โดนละเมิด" . ซีเอ็นเอ็นมันนี่ เก็บจากต้นฉบับเมื่อ 18 ธันวาคม 2014
  46. ^ "สเตเปิล: การละเมิดอาจได้รับผลกระทบ 1,160,000 บัตรของลูกค้า" ฟอร์จูน .คอม 19 ธันวาคม 2557. เก็บข้อมูลจากต้นฉบับเมื่อ 21 ธันวาคม 2557 . สืบค้นเมื่อ21 ธันวาคม 2557 .
  47. ^ เจ้าหน้าที่ CNNMoney (19 ธันวาคม 2556). “เป้าหมาย: บัตรเครดิต 40 ล้านถูกบุกรุก” . ซีเอ็นเอ็น . เก็บจากต้นฉบับเมื่อ 1 ธันวาคม 2560 . สืบค้นเมื่อ29 พฤศจิกายน 2560 .
  48. ^ คาวลีย์สเตซี่ (2 ตุลาคม 2017) "2.5 ล้านคนแดงที่อาจเกิดใน Equifax ละเมิด" เดอะนิวยอร์กไทม์ส . เก็บจากต้นฉบับเมื่อ 1 ธันวาคม 2560 . สืบค้นเมื่อ29 พฤศจิกายน 2560 .
  49. ^ จิม ฟิงเคิล (23 เมษายน 2557). "Exclusive: เอฟบีไอเตือนภาคการดูแลสุขภาพเสี่ยงต่อการโจมตีในโลกไซเบอร์" สำนักข่าวรอยเตอร์ เก็บถาวรจากต้นฉบับเมื่อ 4 มิถุนายน 2559 . สืบค้นเมื่อ23 พฤษภาคม 2559 .
  50. ^ ซีล ธารา (6 พฤศจิกายน 2558). "การขาดการฝึกอบรมด้านความปลอดภัยของพนักงานเป็นภัยต่อธุรกิจในสหรัฐฯ" . นิตยสาร Infosecurity เก็บถาวรจากต้นฉบับเมื่อ 9 พฤศจิกายน 2017 . สืบค้นเมื่อ8 พฤศจิกายน 2017 .
  51. ^ ไบรท์ ปีเตอร์ (15 กุมภาพันธ์ 2554). "Anonymous speaks: เรื่องในของแฮ็ค HBGary" . Arstechnica.com เก็บถาวรจากต้นฉบับเมื่อ 27 มีนาคม 2554 . สืบค้นเมื่อ29 มีนาคม 2011 .
  52. แอนเดอร์สัน, เนท (9 กุมภาพันธ์ 2554). "ชายคนหนึ่งติดตามผู้ไม่ประสงค์ออกนามได้อย่างไร - และจ่ายราคาหนัก" . Arstechnica.com เก็บถาวรจากต้นฉบับเมื่อ 29 มีนาคม 2554 . สืบค้นเมื่อ29 มีนาคม 2011 .
  53. ^ Palilery, Jose (24 ธันวาคม 2014) "สิ่งที่ทำให้ Sony แฮ็ค: สิ่งที่เรารู้ตอนนี้" . เงินซีเอ็นเอ็น . เก็บจากต้นฉบับเมื่อ 4 มกราคม 2015 . สืบค้นเมื่อ4 มกราคม 2558 .
  54. ^ เจมส์ คุก (16 ธันวาคม 2557). "โซนี่แฮกเกอร์มีกว่า 100 เทราไบต์ของเอกสาร. ปล่อยตัวเพียง 200 กิกะไบต์ So Far" ธุรกิจภายใน . เก็บถาวรจากต้นฉบับเมื่อ 17 ธันวาคม 2557 . สืบค้นเมื่อ18 ธันวาคม 2557 .
  55. อรรถa b ทิโมธี บี. ลี (18 มกราคม 2015). "ด่านต่อไปของการแฮ็ก: รถของคุณ" . วอกซ์ . เก็บถาวรจากต้นฉบับเมื่อ 17 มีนาคม 2017
  56. ^ การ ติดตามและการแฮ็ก: ช่องว่างด้านความปลอดภัยและความเป็นส่วนตัวทำให้ไดรเวอร์ของอเมริกาตกอยู่ในความเสี่ยง(PDF) (รายงาน) 6 กุมภาพันธ์ 2558 เก็บถาวร(PDF)จากต้นฉบับเมื่อ 9 พฤศจิกายน 2559 . สืบค้นเมื่อ4 พฤศจิกายน 2559 .
  57. ^ เจ้าหน้าที่ AOL "ผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์ : ต้องใช้ 'งานสำคัญ' ให้บริษัทดำเนินการเรื่องนี้อย่างจริงจัง" . เอโอแอล .คอม เก็บถาวรจากต้นฉบับเมื่อ 20 มกราคม 2017 . สืบค้นเมื่อ22 มกราคม 2017 .
  58. ^ "ปัญหารถไร้คนขับ ใครเป็นคนคุมรหัส" . เดอะการ์เดียน . 23 ธันวาคม 2558 เก็บถาวรจากต้นฉบับเมื่อ 16 มีนาคม 2560 . สืบค้นเมื่อ22 มกราคม 2017 .
  59. ^ สตีเฟ่น Checkoway; เดมอน แมคคอย; ไบรอัน คันทอร์ ; แดนนี่ แอนเดอร์สัน; โฮวาฟ ชาชัม; สเตฟาน ซาเวจ ; คาร์ล คอชเชอร์; อเล็กซี่ เชสคิส; ฟรานซิสกา โรสเนอร์; ทาดาโยชิ โคโนะ (2011). ครอบคลุมการทดลองการวิเคราะห์ยานยนต์โจมตีพื้นผิว (PDF) SEC'11 การดำเนินการของการประชุม USENIX ครั้งที่ 20 ด้านความปลอดภัย เบิร์กลีย์ แคลิฟอร์เนีย สหรัฐอเมริกา: USENIX Association NS. 6. เก็บถาวร(PDF)จากต้นฉบับ เมื่อวันที่ 21 กุมภาพันธ์ 2558
  60. ^ กรีนเบิร์ก, แอนดี้ (21 กรกฎาคม 2558). "แฮกเกอร์ระยะไกลฆ่ารถจี๊ปบนทางหลวง - กับฉันอยู่ในนั้น" อินเทอร์เน็ตแบบใช้สาย เก็บถาวรจากต้นฉบับเมื่อ 19 มกราคม 2017 . สืบค้นเมื่อ22 มกราคม 2017 .
  61. ^ "แฮกเกอร์ยึดรถ ขับมันทิ้ง" . อิสระ . 22 กรกฎาคม 2558 เก็บถาวรจากต้นฉบับเมื่อ 2 กุมภาพันธ์ 2560 . สืบค้นเมื่อ22 มกราคม 2017 .
  62. ^ Staff, Our Foreign (21 กันยายน 2559). "เทสลาข้อผิดพลาดซอฟแวร์การแก้ไขที่ได้รับอนุญาตให้แฮกเกอร์จีนไปที่รถควบคุมระยะไกล" โทรเลข . เก็บถาวรจากต้นฉบับเมื่อ 2 กุมภาพันธ์ 2017 . สืบค้นเมื่อ22 มกราคม 2017 .
  63. คัง, เซซิเลีย (19 กันยายน 2016). "รถยนต์ไร้คนขับได้พันธมิตรที่ทรงพลัง: รัฐบาล" . เดอะนิวยอร์กไทม์ส . เก็บถาวรจากต้นฉบับเมื่อ 14 กุมภาพันธ์ 2017 . สืบค้นเมื่อ22 มกราคม 2017 .
  64. ^ "สหพันธ์นโยบายยานพาหนะอัตโนมัติ" (PDF) เก็บถาวร(PDF)จากต้นฉบับเมื่อ 21 มกราคม 2017 . สืบค้นเมื่อ22 มกราคม 2017 .
  65. ^ "แกรี่ McKinnon รายละเอียด: ออทิสติก 'แฮ็กเกอร์' ที่เริ่มต้นการเขียนโปรแกรมคอมพิวเตอร์ที่ 14" เดลี่เทเลกราฟ . ลอนดอน. 23 มกราคม 2552 เก็บถาวรจากต้นฉบับเมื่อ 2 มิถุนายน 2553
  66. ^ "ส่งผู้ร้ายข้ามแดนแกรี่ McKinnon ปกครองเนื่องจากโดย 16 ตุลาคม" ข่าวบีบีซี 6 กันยายน 2555. เก็บถาวรจากต้นฉบับเมื่อ 6 กันยายน 2555 . สืบค้นเมื่อ25 กันยายน 2555 .
  67. ^ ฝ่าย กฎหมาย (30 กรกฎาคม 2551). "สภาขุนนาง – รัฐบาล Mckinnon V แห่งสหรัฐอเมริกาและอีกประเทศหนึ่ง" . Publications.parliament.uk. เก็บถาวรจากต้นฉบับเมื่อ 7 มีนาคม 2552 . สืบค้นเมื่อ30 มกราคม 2010 . 15. … ถูกกล่าวหาว่ามีมูลค่ารวมกว่า $700,000
  68. "NSA Accessed Mexican President's Email" เก็บถาวรเมื่อ 6 พฤศจิกายน 2015 ที่ Wayback Machine , 20 ตุลาคม 2013, Jens Glüsing, Laura Poitras, Marcel Rosenbach และ Holger Stark, spiegel.de
  69. ^ แซนเดอร์ส, แซม (4 มิถุนายน 2558). "Massive ข้อมูลทำให้การละเมิด 4 ล้านสหภาพพนักงานประวัติที่มีความเสี่ยง" เอ็นพีอาร์ เก็บถาวรจากต้นฉบับเมื่อ 5 มิถุนายน 2558 . สืบค้นเมื่อ5 มิถุนายน 2558 .
  70. ^ ลิป ตัก, เควิน (4 มิถุนายน 2558). "รัฐบาลสหรัฐ hacked; เอฟบีไอคิดว่าประเทศจีนเป็นผู้ร้าย" ซีเอ็นเอ็น . เก็บถาวรจากต้นฉบับเมื่อ 6 มิถุนายน 2558 . สืบค้นเมื่อ5 มิถุนายน 2558 .
  71. ฌอน กัลลาเกอร์. "เข้ารหัส 'จะไม่ได้ช่วย' ที่ OPM, DHS กล่าวอย่างเป็นทางการ" เก็บถาวรจากต้นฉบับเมื่อ 24 มิถุนายน 2560
  72. เดวิส มิเชล อาร์. (19 ตุลาคม 2558). "โรงเรียนเรียนรู้บทเรียนจากการละเมิดความปลอดภัย" . สัปดาห์การศึกษา . เก็บถาวรจากต้นฉบับเมื่อ 10 มิถุนายน 2559 . สืบค้นเมื่อ23 พฤษภาคม 2559 .
  73. ^ "อินเทอร์เน็ตของสิ่งทั่วโลกมาตรฐานการริเริ่ม" ไอทียู . เก็บถาวรจากต้นฉบับเมื่อ 26 มิถุนายน 2558 . สืบค้นเมื่อ26 มิถุนายน 2558 .
  74. ^ ซิงห์ จาทินเดอร์; Pasquier, โทมัส; เบคอน ฌอง; โค ฮาจุน; อายเออร์, เดวิด (2015). "ข้อควรพิจารณาด้านความปลอดภัยบนคลาวด์ 20 ข้อสำหรับการสนับสนุนอินเทอร์เน็ตของสรรพสิ่ง" . IEEE อินเทอร์เน็ตของสิ่งวารสาร 3 (3): 269–284. ดอย : 10.1109/JIOT.2015.2460333 . S2CID 4732406 . 
  75. ^ คริสเคลียร์ "ทำไม FTC ถึงควบคุม Internet Of Things ไม่ได้" . ฟอร์บส์ . เก็บถาวรจากต้นฉบับเมื่อ 27 มิถุนายน 2558 . สืบค้นเมื่อ26 มิถุนายน 2558 .
  76. ^ "อินเทอร์เน็ตของสรรพสิ่ง: นิยายวิทยาศาสตร์หรือข้อเท็จจริงทางธุรกิจ?" (PDF) . รีวิวธุรกิจฮาร์วาร์ด. สืบค้นเมื่อ4 พฤศจิกายน 2559 .
  77. ^ Ovidiu Vermesan; ปีเตอร์ ฟรายส์. "Internet of Things: Converging Technologies for Smart Environment and Integrated Ecosystems" (PDF) . สำนักพิมพ์แม่น้ำ. เก็บถาวร(PDF)จากต้นฉบับเมื่อ 12 ตุลาคม 2559 . สืบค้นเมื่อ4 พฤศจิกายน 2559 .
  78. ^ Christopher Clearfield "Rethinking Security for the Internet of Things" บล็อก Harvard Business Review, 26 มิถุนายน 2013 เก็บถาวร 20 กันยายน 2013 ที่ Wayback Machine /
  79. ^ "ขโมยห้องพักในโรงแรมใช้ประโยชน์จากข้อบกพร่องที่สำคัญในล็อคประตูอิเล็กทรอนิกส์" . อาส เทคนิค . 26 พฤศจิกายน 2555. เก็บถาวรจากต้นฉบับเมื่อ 14 พฤษภาคม 2559 . สืบค้นเมื่อ23 พฤษภาคม 2559 .
  80. ^ "โรงพยาบาลอุปกรณ์ทางการแพทย์ใช้เป็นอาวุธใน Cyberattacks" อ่านเข้ม 6 สิงหาคม 2558 เก็บถาวรจากต้นฉบับเมื่อ 29 พฤษภาคม 2559 . สืบค้นเมื่อ23 พฤษภาคม 2559 .
  81. เจเรมี เคิร์ก (17 ตุลาคม 2555). "แฮ็กเครื่องกระตุ้นหัวใจ ส่งแรงสั่นสะเทือนถึง 830 โวลต์" . คอมพิวเตอร์เวิลด์ . เก็บถาวรจากต้นฉบับเมื่อ 4 มิถุนายน 2559 . สืบค้นเมื่อ23 พฤษภาคม 2559 .
  82. ^ ข่าว, Kaiser Health (17 พฤศจิกายน 2014). "เครื่องกระตุ้นหัวใจของคุณจะโดนแฮ็กได้อย่างไร" . สัตว์เดรัจฉาน . เก็บถาวรจากต้นฉบับเมื่อ 20 พฤษภาคม 2559 . สืบค้นเมื่อ23 พฤษภาคม 2559 .
  83. ^ ลีตารู, คาเลฟ. "แฮ็คโรงพยาบาลและจับตัวประกัน: ความปลอดภัยทางไซเบอร์ในปี 2559" . ฟอร์บส์ . เก็บจากต้นฉบับเมื่อ 29 ธันวาคม 2559 . สืบค้นเมื่อ29 ธันวาคม 2559 .
  84. อรรถเป็น "ไซเบอร์-แองกริฟฟ์: Krankenhäuser rücken ins Visier der Hacker" . เวิร์ทชาฟท์ วอช. เก็บจากต้นฉบับเมื่อ 29 ธันวาคม 2559 . สืบค้นเมื่อ29 ธันวาคม 2559 .
  85. ^ "โรงพยาบาลให้ได้รับการโจมตีโดย ransomware - ที่นี่ทำไม" ธุรกิจภายใน . เก็บจากต้นฉบับเมื่อ 29 ธันวาคม 2559 . สืบค้นเมื่อ29 ธันวาคม 2559 .
  86. ^ "MedStar โรงพยาบาลกู้คืนหลังจาก 'Ransomware' สับ" ข่าวเอ็นบีซี . เก็บจากต้นฉบับเมื่อ 29 ธันวาคม 2559 . สืบค้นเมื่อ29 ธันวาคม 2559 .
  87. ^ เปาลี, ดาร์เรน. "โรงพยาบาลในสหรัฐฯ ถูกแฮ็กด้วยช่องโหว่ในสมัยโบราณ" . ทะเบียน . เก็บจากต้นฉบับเมื่อ 16 พฤศจิกายน 2559 . สืบค้นเมื่อ29 ธันวาคม 2559 .
  88. ^ เปาลี, ดาร์เรน. “Zombie OS เล็ดลอดผ่านโรงพยาบาล Royal Melbourne แพร่ไวรัส” . ทะเบียน . เก็บจากต้นฉบับเมื่อ 29 ธันวาคม 2559 . สืบค้นเมื่อ29 ธันวาคม 2559 .
  89. ^ " 'กลับขึ้น Hacked ลิงคอล์นระบบคอมพิวเตอร์โรงพยาบาล' " ข่าวบีบีซี 2 พฤศจิกายน 2559 เก็บถาวรจากต้นฉบับเมื่อ 29 ธันวาคม 2559 . สืบค้นเมื่อ29 ธันวาคม 2559 .
  90. ^ "การดำเนินงานของลิงคอล์นยกเลิกหลังจากการโจมตีเครือข่าย" ข่าวบีบีซี 31 ตุลาคม 2559 เก็บถาวรจากต้นฉบับเมื่อ 29 ธันวาคม 2559 . สืบค้นเมื่อ29 ธันวาคม 2559 .
  91. ^ "Legion cyber-attack: Next dump is sansad.nic.in, say hackers" . อินเดียน เอกซ์เพรส . 12 ธันวาคม 2559 เก็บถาวรจากต้นฉบับเมื่อ 29 ธันวาคม 2559 . สืบค้นเมื่อ29 ธันวาคม 2559 .
  92. ^ "อดีตผู้ป่วยนิวแฮมป์เชียร์โรงพยาบาลจิตเวชที่ถูกกล่าวหาว่าละเมิดข้อมูล" ซีบีเอส บอสตัน. 27 ธันวาคม 2559 เก็บถาวรจากต้นฉบับเมื่อ 29 กันยายน 2560 . สืบค้นเมื่อ29 ธันวาคม 2559 .
  93. ^ "โรงพยาบาลเท็กซัสถูกแฮ็ก ส่งผลกระทบต่อประวัติผู้ป่วยเกือบ 30,000 ราย" . ข่าวไอทีการดูแลสุขภาพ 4 พฤศจิกายน 2559 เก็บถาวรจากต้นฉบับเมื่อ 29 ธันวาคม 2559 . สืบค้นเมื่อ29 ธันวาคม 2559 .
  94. เบกเกอร์, ราเชล (27 ธันวาคม 2559). "แนวทางความปลอดภัยทางไซเบอร์ใหม่สำหรับอุปกรณ์การแพทย์รับมือกับภัยคุกคามที่กำลังพัฒนา" . เดอะเวิร์จ เก็บจากต้นฉบับเมื่อ 28 ธันวาคม 2559 . สืบค้นเมื่อ29 ธันวาคม 2559 .
  95. ^ "การบริหารจัดการของ postmarket Cybersecurity ในอุปกรณ์การแพทย์" (PDF) 28 ธันวาคม 2559 เก็บถาวร(PDF)จากต้นฉบับเมื่อ 29 ธันวาคม 2559 . สืบค้นเมื่อ29 ธันวาคม 2559 .
  96. ^ Brandt, Jaclyn (18 มิถุนายน 2018). "DC กระจายข้อเสนอดึงพลังงานความกังวลของความเสี่ยงทางโลกไซเบอร์ที่เพิ่มขึ้น" Insider พลังงานในชีวิตประจำวัน สืบค้นเมื่อ4 กรกฎาคม 2018 .
  97. ^ Cashell, B. , Jackson, WD, Jickling, M. , & Webel, B. (2004) ผลกระทบทางเศรษฐกิจจากการโจมตีทางไซเบอร์ ฝ่ายบริการวิจัยรัฐสภา ฝ่ายรัฐบาล และการเงิน วอชิงตัน ดี.ซี.: หอสมุดรัฐสภา.
  98. กอร์ดอน ลอว์เรนซ์; Loeb, มาร์ติน (พฤศจิกายน 2545) "เศรษฐศาสตร์การลงทุนความมั่นคงสารสนเทศ". ธุรกรรม ACM สารสนเทศและระบบรักษาความปลอดภัย 5 (4): 438–457. ดอย : 10.1145/581271.581274 . S2CID 1500788 . 
  99. ^ ฮั่น เฉิน; Dongre, Rituja (2014). "ถาม-ตอบ อะไรเป็นแรงจูงใจให้ผู้โจมตีทางไซเบอร์" . รีวิวเทคโนโลยีการจัดการนวัตกรรม 4 (10): 40–42. ดอย : 10.22215/timreview/838 . ISSN 1927-0321 . 
  100. ^ Chermick สตีเว่น; Freilich, โจชัว; Holt, Thomas (เมษายน 2017). "สำรวจวัฒนธรรมย่อยของผู้โจมตีทางไซเบอร์ที่มีแรงจูงใจทางอุดมการณ์" วารสารยุติธรรมทางอาญาร่วมสมัย . 33 (3): 212–233. ดอย : 10.1177/1043986217699100 . S2CID 152277480 . 
  101. แอนเดอร์สัน, รอสส์ (2020). วิศวกรรมความปลอดภัย : คู่มือการสร้างระบบกระจายที่เชื่อถือได้ (ฉบับที่สาม) อินเดียแนโพลิส IN ISBN 978-1-119-64281-7. OCLC  1224516855
  102. ^ RFC 2828อภิธานศัพท์ความปลอดภัยทางอินเทอร์เน็ต 
  103. ^ CNSS Instruction No. 4009 Archived 27 February 2012 at the Wayback Machineลงวันที่ 26 เมษายน 2010
  104. ^ "InfosecToday คำศัพท์" (PDF) เก็บถาวร(PDF)จากต้นฉบับเมื่อ 20 พฤศจิกายน 2014
  105. ^ นิยาม: ความปลอดภัยไอทีสถาปัตยกรรม ที่จัดเก็บ 15 มีนาคม 2014 ที่เครื่อง Wayback SecurityArchitecture.org, ม.ค. 2549
  106. ^ แจนเซ่น, คอรี. "สถาปัตยกรรมความปลอดภัย" . เทคโคเปีย . Janalta อินเตอร์แอคทีอิงค์ที่จัดเก็บจากเดิมในวันที่ 3 ตุลาคม 2014 สืบค้นเมื่อ9 ตุลาคม 2557 .
  107. ^ Woodie อเล็กซ์ (9 พฤษภาคม 2016) "ทำไม ONI ของเราอาจจะเป็นความหวังที่ดีที่สุดสำหรับการรักษาความปลอดภัยไซเบอร์ตอนนี้" เก็บถาวรจากต้นฉบับเมื่อ 20 สิงหาคม 2016 . สืบค้นเมื่อ13 กรกฎาคม 2559 .
  108. ^ "บริษัทสูญเสียอิเล็กทรอนิกส์มากกว่าการขโมยทางกายภาพ" . สำนักข่าวรอยเตอร์ 18 ตุลาคม 2553 เก็บถาวรจากต้นฉบับเมื่อ 25 กันยายน 2558
  109. ^ Walkowski เด๊บบี้ (9 กรกฎาคม 2019) “ CIA Triad คืออะไร” . F5 Labs สืบค้นเมื่อ25 กุมภาพันธ์ 2020 .
  110. ^ "รู้มูลค่าของสินทรัพย์ที่ข้อมูลเป็นสิ่งสำคัญในการบริหารความเสี่ยง Cybersecurity | SecurityWeek.Com" www.securityweek.com . สืบค้นเมื่อ25 กุมภาพันธ์ 2020 .
  111. ^ Foreman, P: Vulnerability Management , หน้า 1 Taylor & Francis Group, 2010. ISBN 978-1-4398-0150-5 
  112. ^ Academy, Cisco Networking (17 มิถุนายน 2018). คู่มือ Companion CCNA Cybersecurity การดำเนินงาน ซิสโก้ เพรส ISBN 978-0-13-516624-6.
  113. อลัน คาลเดอร์และเกเรนต์ วิลเลียมส์ (2014) PCI DSS: คู่มือการท่องเที่ยว, 3rd Edition ISBN 978-1-84928-554-4. ช่องโหว่ของเครือข่ายจะสแกนอย่างน้อยทุกไตรมาสและหลังจากการเปลี่ยนแปลงที่สำคัญในเครือข่าย
  114. ^ แฮร์ริสัน เจ. (2003). "การตรวจสอบอย่างเป็นทางการที่ Intel" การประชุมวิชาการเชิงตรรกะ IEEE ประจำปีครั้งที่ 18 ในสาขาวิทยาการคอมพิวเตอร์ พ.ศ. 2546 . น. 45–54. ดอย : 10.1109/LICS.2003.1210044 . ISBN 978-0-7695-1884-8. S2CID  44585546 .
  115. ^ Umrigar, Zerksis D .; พิชญ์มณี, วิชัย (1983). "การตรวจสอบอย่างเป็นทางการของการออกแบบฮาร์ดแวร์แบบเรียลไทม์" . ดำเนินการ DAC '83 ของการประชุม Design Automation Conference ครั้งที่ 20 สำนักพิมพ์ IEEE น. 221–7. ISBN 978-0-8186-0026-5.
  116. ^ "สเปคอย่างเป็นทางการบทคัดย่อ seL4 / ARMv6 API" (PDF) เก็บถาวรจากต้นฉบับ(PDF)เมื่อ 21 พฤษภาคม 2558 . สืบค้นเมื่อ19 พฤษภาคม 2558 .
  117. ^ คริสมันน์แบร์นฮาร์ด Beckert, โฮล Blasum และ Thorsten Bormerส่วนผสมของระบบปฏิบัติการถูกต้อง? บทเรียนจากการตรวจสอบอย่างเป็นทางการของ PikeOS ที่ เก็บถาวร 19 กรกฎาคม 2011 ที่เครื่อง Wayback
  118. ^ "Getting it Right" ถูก เก็บถาวร 4 พฤษภาคม 2013 ที่ Wayback Machineโดย Jack Ganssle
  119. ^ Treglia, J. , & Delia, M. (2017). การฉีดวัคซีนความปลอดภัยทางไซเบอร์ นำเสนอที่ NYS Cyber ​​Security Conference, Empire State Plaza Convention Center, Albany, NY, 3-4 มิถุนายน
  120. ^ Villasenor จอห์น (2010) "แฮ็กเกอร์ในฮาร์ดแวร์ของคุณ: ภัยคุกคามด้านความปลอดภัยครั้งต่อไป" นักวิทยาศาสตร์อเมริกัน . 303 (2): 82–88. Bibcode : 2010SciAm.303b..82V . ดอย : 10.1038/scientificamerican0810-82 . PMID 20684377 . 
  121. ^ Waksman อดัม; Sethumadhavan, Simha (2010), "Tamper Evident Microprocessors" (PDF) , Proceedings of the IEEE Symposium on Security and Privacy , Oakland, California, archived from the original (PDF) on 21 กันยายน 2013 , ดึงข้อมูล27 สิงหาคม 2019
  122. ^ "การตรวจสอบ Token ตาม" เซฟเน็ต.คอม เก็บถาวรจากต้นฉบับเมื่อ 20 มีนาคม 2557 . สืบค้นเมื่อ20 มีนาคม 2557 .
  123. ^ "ล็อคและปกป้องพีซี Windows ของคุณ" . วินโดวส์คลับ.com 10 กุมภาพันธ์ 2553 เก็บถาวรจากต้นฉบับเมื่อ 20 มีนาคม 2557 . สืบค้นเมื่อ20 มีนาคม 2557 .
  124. ^ เจมส์ กรีน (2012). "Intel Trusted Execution Technology: กระดาษสีขาว" (PDF) อินเทล คอร์ปอเรชั่น เก็บถาวร(PDF)จากต้นฉบับ เมื่อวันที่ 11 มิถุนายน 2557 . สืบค้นเมื่อ18 ธันวาคม 2556 .
  125. ^ "SafeNet ProtectDrive 8.4" . สมอ. 4 ตุลาคม 2551. เก็บถาวรจากต้นฉบับเมื่อ 20 มีนาคม 2557 . สืบค้นเมื่อ20 มีนาคม 2557 .
  126. ^ "การรักษาความปลอดภัยฮาร์ดไดรฟ์: ลงล็อคข้อมูลของคุณ" PCMag.com 11 พฤษภาคม 2552 เก็บถาวรจากต้นฉบับเมื่อ 21 มิถุนายน 2560
  127. ^ Souppaya, Murugiah P .; สการ์โฟน, คาเรน (2013). "แนวทางการจัดการความปลอดภัยของอุปกรณ์เคลื่อนที่ในองค์กร" . สถาบันมาตรฐานและเทคโนโลยีแห่งชาติ . สิ่งพิมพ์พิเศษ (NIST SP) เกนเธอร์สเบิร์ก แพทยศาสตรบัณฑิต ดอย : 10.6028/NIST.SP.800-124r1 .
  128. ^ "ลืมรหัส ใช้โทรศัพท์ของคุณเป็นข้อมูลประจำตัว" . เครือข่ายธุรกิจฟ็อกซ์ . 4 พฤศจิกายน 2556. เก็บถาวรจากต้นฉบับเมื่อ 20 มีนาคม 2557 . สืบค้นเมื่อ20 มีนาคม 2557 .
  129. ^ ลิปเนอร์, สตีฟ (2015). "การกำเนิดและความตายของหนังสือสีส้ม". IEEE พงศาวดารประวัติศาสตร์ของคอมพิวเตอร์ 37 (2): 19–31. ดอย : 10.1109/MAHC.2015.27 . S2CID 16625319 . 
  130. เคลลี แจ็กสัน ฮิกกินส์ (18 พฤศจิกายน 2551) "การรักษาความปลอดภัยของระบบปฏิบัติการที่ได้รับการจัดอันดับสูงสุด NSA, Goes เชิงพาณิชย์" การอ่านที่มืด เก็บจากต้นฉบับเมื่อ 3 ธันวาคม 2556 . สืบค้นเมื่อ1 ธันวาคม 2556 .
  131. ^ "คณะกรรมการหรือเบื่อ? Lockheed Martin ได้รับในระยะยาว COTS ฮาร์ดแวร์" นิตยสาร VITA เทคโนโลยี 10 ธันวาคม 2553 เก็บถาวรจากต้นฉบับเมื่อ 2 พฤษภาคม 2555 . สืบค้นเมื่อ9 มีนาคม 2555 .
  132. ^ Sanghavi, Alok (21 พฤษภาคม 2010) "อะไรคือการตรวจสอบอย่างเป็นทางการ?". EE Times_Asia
  133. ^ Ferraiolo, DF & Kuhn, DR (ตุลาคม 1992) "ตามบทบาทการควบคุมการเข้าถึง" (PDF) การประชุมความมั่นคงคอมพิวเตอร์แห่งชาติ ครั้งที่ 15 : 554–563.
  134. ^ Sandhu, R., Coyne, EJ, Feinstein, HL and Youman, CE (สิงหาคม 2539) "ตามบทบาทรุ่นการควบคุมการเข้าถึง" (PDF) คอมพิวเตอร์อีอีอี . 29 (2): 38–47. CiteSeerX 10.1.1.50.7649 . ดอย : 10.1109/2.485845 .  CS1 maint: multiple names: authors list (link)
  135. ^ อาเบรอู, วิลมาร์; Santin, Altair O.; วีเอกัส, เอดูอาร์โด เค.; STIHLER, ไมคอน (2017). รูปแบบการเปิดใช้งานบทบาทหลายโดเมน (PDF) ICC 2017 2017 การประชุมนานาชาติ IEEE ด้านการสื่อสาร . สำนักพิมพ์ IEEE หน้า 1–6. ดอย : 10.1109/ICC.2017.7997247 . ISBN  978-1-4673-8999-0. S2CID  6185138 .
  136. เอซี โอคอนเนอร์ & อาร์เจ ลูมิส (มีนาคม 2545) การวิเคราะห์เศรษฐกิจการตามบทบาทการควบคุมการเข้าถึง (PDF) สถาบันวิจัยสามเหลี่ยม. NS. 145.
  137. ^ "การศึกษาพิสูจน์อีกครั้งว่าผู้ใช้จะกำจัดจุดอ่อนในห่วงโซ่การรักษาความปลอดภัย" คสช . ออนไลน์ . 22 มกราคม 2557 . สืบค้นเมื่อ8 ตุลาคม 2018 .
  138. ^ "บทบาทของความผิดพลาดของมนุษย์ในการโจมตีด้านความปลอดภัยที่ประสบความสำเร็จ" . ไอบีเอ็ม ซีเคียวริตี้ อินเทลลิเจนซ์ 2 กันยายน 2557 . สืบค้นเมื่อ8 ตุลาคม 2018 .
  139. ^ "90% ของเหตุการณ์ความปลอดภัยตรวจสอบย้อนกลับไปยัง PEBKAC และ ID10T ข้อผิดพลาด" คอมพิวเตอร์เวิลด์ . 15 เมษายน 2558 . สืบค้นเมื่อ8 ตุลาคม 2018 .<