การละเมิดข้อมูลไม่ได้เกิดขึ้นแค่ในโลกดิจิทัล

ความปลอดภัยของอุปกรณ์และเอกสารทางกายภาพเป็นส่วนสำคัญของแผนการป้องกันข้อมูลของบริษัท

หนึ่งในเหตุการณ์ละเมิดข้อมูลครั้งใหญ่ที่สุดในประวัติศาสตร์เกิดจากการรักษาความปลอดภัยของข้อมูลทางกายภาพที่ไม่รัดกุม เหตุการณ์ดังกล่าวเกิดขึ้นที่บ้านของนักวิเคราะห์ข้อมูลรายหนึ่ง โดยข้อมูลส่วนตัวของทหารผ่านศึกชาวอเมริกันกว่า 26 ล้านราย ถูกโจรกรรมจากฐานข้อมูลที่ไม่มีการป้องกันด้วยการเข้ารหัสซึ่งจัดเก็บอยู่ในอุปกรณ์จัดเก็บข้อมูลสำรองแบบพกพา โชคร้ายที่พนักงานหลายคนมักมองว่าความปลอดภัยของข้อมูลเป็นเรื่องที่ไม่เกี่ยวข้องกับพวกเขา ราวกับว่าทั้งหมดเป็นปัญหาที่เกี่ยวกับไอที เครือข่ายและโค้ด ซึ่งเป็นเรื่องดิจิทัลล้วนๆ

ในทุกๆวัน อุปกรณ์พกพาหรือแล็ปท็อปมักถูกทิ้งไว้ในรถยนต์หรือบนโต๊ะสำนักงานโดยไม่ได้มีการล็อค ทำให้ข้อมูลสามารถถูกเข้าถึงได้ง่ายจากคนที่เดินผ่านไปมา บ่อยครั้งที่อุปกรณ์เหล่านี้ถูกขโมย และเมื่อเกิดเหตุการณ์ขึ้น การนำอุปกรณ์นั้นคืนมากลับไม่ใช่สิ่งที่น่ากังวลที่สุด หากแต่เป็นข้อมูลบนอุปกรณ์เหล่านั้น ที่มักจะมีมูลค่ามากกว่า ในกรณีนี้ สิ่งที่เราทำได้คือหวังว่าคนร้ายจะต้องการแค่ตัวอุปกรณ์และไม่สนใจข้อมูล

ขนาดของภัยคุกคาม

ในเดือนตุลาคม 2014 มีรายงานจากรัฐแคลิฟอร์เนียว่า การโจรกรรมอุปกรณ์ทางกายภาพและการสูญหายเป็นสาเหตุของการรั่วไหลของข้อมูลถึง 26% ของข้อมูลทั้งหมดที่ถูกรายงาน แม้ว่าการแฮ็กและมัลแวร์จะเป็นสาเหตุหลักของการละเมิดข้อมูล แต่การขโมยแล็ปท็อป, แฟลชไดรฟ์ หรือเอกสารซึ่งถูกทิ้งไว้โดยไม่ได้รับการดูแล หรือการละเลยการจัดเก็บในที่ปลอดภัย ยังคงเป็นหนึ่งในวิธีที่ง่ายที่สุดที่ข้อมูลละเอียดอ่อนจะตกไปอยู่ในมือของผู้ไม่หวังดี

ช่องโหว่ของอุปกรณ์

สิ่งที่น่ากังวลมากกว่าอุปกรณ์สูญหาย คือความเป็นไปได้ที่อุปกรณ์อาจถูกแทรกแซงโดยที่พนักงานไม่รู้ตัว หากอุปกรณ์ถูกทิ้งไว้โดยไม่มีการดูแล อาจมีการติดตั้งมัลแวร์ และใช้อุปกรณ์เพื่อเข้าถึงระบบ IT ทำการขโมยข้อมูล หรือสร้างช่องทางที่สามารถเข้าถึงในภายหลังได้ ไม่ใช่เรื่องแปลกเลยที่นักธุรกิจชาวอเมริกันที่เดินทางไปต่างประเทศจะพบในภายหลังว่าแล็ปท็อปของพวกเขาถูกแทรกแซงด้วยซอฟต์แวร์สอดแนม แม้ว่าจะทิ้งอุปกรณ์ไว้ในห้องพักโรงแรมที่ล็อคไว้แล้วก็ตาม

ช่องโหว่ของเอกสาร

ในโลกดิจิทัล เอกสารกระดาษอาจดูเหมือนไม่สำคัญหรือถูกลดทอนคุณค่าลง แต่เอกสารฉบับจริงก็ยังต้องได้รับการปกป้องและควบคุมอย่างระมัดระวังเช่นเดียวกับข้อมูลดิจิทัล

การละเมิดข้อมูลที่เกิดขึ้นในกรมกิจการทหารผ่านศึก (VA) เป็นตัวอย่างหนึ่งที่ช่วยเตือนสติได้เป็นอย่างดี นอกจากการละเมิดข้อมูลครั้งใหญ่ที่กล่าวถึงไปแล้ว พวกเขาประมาณการว่า 96-98% ของเหตุการณ์การละเมิดข้อมูลทั้งหมดนั้นเกิดจากเอกสารกระดาษที่ไม่ได้มีการป้องกันและเก็บรักษาอย่างถูกต้อง

ปฏิเสธไม่ได้ว่าในบางกรณีเจตนาร้ายอาจมีส่วนในเหตุการณ์ข้อมูลรั่วไหล แต่ส่วนใหญ่เกิดจากความประมาทเลินเล่อของพนักงาน โดยอาจเป็นความผิดพลาดที่ไม่ได้ตั้งใจ เช่น การส่งจดหมายที่มีข้อมูลสำคัญไปยังผู้รับที่ไม่ถูกต้อง หรือการทิ้งเอกสารไว้ในห้องน้ำ ซึ่งอาจเกิดผลกระทบร้ายแรง

การสูญเสียหรือการรั่วไหลของข้อมูลสำคัญไม่ว่าจะเกิดจากความผิดพลาดหรือเจตนาร้ายล้วนเป็นภัยคุกคามที่ร้ายแรง ดังนั้น นอกจากความตระหนักรู้ที่พนักงานควรมีเกี่ยวกับภัยคุกคามเหล่านี้ การพยายามปกป้องเอกสารกระดาษที่สำคัญก็เป็นเรื่องจำเป็นเช่นกัน

แนวทางปฏิบัติที่ดีที่สุดสำหรับความปลอดภัยของข้อมูลทางกายภาพ

แนวทางป้องกันแรกคือพนักงานของคุณเอง แต่ IT และการบริหารจัดการก็มีบทบาทในความปลอดภัยทางกายภาพเช่นกัน

ความรับผิดชอบของพนักงาน:

• เมื่อออกจากสำนักงาน ควรเก็บอุปกรณ์ที่เกี่ยวข้องกับงานไว้ใกล้ตัวเสมอ อาจมีช่วงเวลาที่คุณอยากจะขอให้ลูกค้าคนอื่นในร้านกาแฟหรือผู้เข้าร่วมการประชุมคนอื่น "ช่วยเฝ้าของให้" ในขณะที่คุณไปเข้าห้องน้ำหรือรับโทรศัพท์ข้างนอก แต่การกระทำเช่นนี้ไม่ถือเป็นการให้ความสำคัญกับความปลอดภัยอย่างจริงจัง หากเอกสารหรืออุปกรณ์มีข้อมูลของบริษัท พนักงานต้องไม่ปล่อยให้มันอยู่นอกสายตาโดยเด็ดขาด
• เมื่ออยู่ที่สำนักงาน ควรเก็บอุปกรณ์พกพาและฮาร์ดไดรฟ์ที่ไม่ได้ใช้งานไว้ในลิ้นชักที่ล็อคอยู่เสมอ และแล็ปท็อปควรถูกยึดติดกับโต๊ะหรืออยู่ในห้องที่ล็อคประตูเช่นกัน อาจฟังดูเป็นวิธีที่สุดโต่ง แต่จากสถิติแล้วเกือบครึ่งของอุปกรณ์ที่ถูกขโมย มักถูกนำออกมาจากพื้นที่ทำงานส่วนตัว

ความรับผิดชอบของ IT:

• ควรบังคับให้พนักงานเปิดใช้งานระบบป้องกันด้วยรหัสผ่านหรือ PIN ในอุปกรณ์ต่างๆ ภายใต้การกำหนดนโยบาย BYOD (Bring Your Own Device หรือ นโยบายที่กำหนดให้พนักงานสามารถนำอุปกรณ์ส่วนตัวมาทำงานบนเครือข่ายของบริษัทและเข้าถึงข้อมูลเพื่อปฏิบัติงานได้)
• ควรมีความสามารถในการล้างข้อมูลจากทางไกล เพื่อให้สามารถลบข้อมูลจากอุปกรณ์ได้หากสูญหายหรือถูกขโมย และปกป้องบริษัทจากการรั่วไหลของข้อมูลและการเข้าถึงเครือข่ายขององค์กร
• การเข้ารหัสฮาร์ดดิสก์ (HDD) เป็นวิธีการปกป้องแล็ปท็อปที่ทำให้ข้อมูลซึ่งจัดเก็บไว้ในอุปกรณ์ไม่สามารถอ่านได้ หากไม่มีการเข้ารหัสหรือใช้รหัสผ่านที่ถูกต้อง ข้อมูลนั้นจะไม่สามารถกู้คืนได้ ปัจจุบันมีวิธีการเข้ารหัสหลากหลายประเภทและรูปแบบ ซึ่งให้ระดับการป้องกันที่แตกต่างกัน

ความรับผิดชอบของผู้บริหาร:

• ควรค้นหาอุปกรณ์ที่ใช้ในสำนักงานที่มีมาตรการป้องกันเอกสารในรูปแบบกระดาษ เช่น เครื่องพิมพ์ที่จำกัดการเข้าถึงโดยการใช้บัตร IC หรือจำกัดการคัดลอกที่ไม่ได้รับอนุญาตด้วยการแสดงข้อความเตือนโดยอัตโนมัติเมื่อมีการทำสำเนาที่ไม่ได้รับอนุญาต โดยปกติแล้ว เอกสารควรได้รับการปกป้องในทุกขั้นตอน ตั้งแต่การสร้าง การประมวลผล การจัดการ การเก็บรักษา และการกำจัด ซึ่งผู้ให้บริการบริหารจัดการเอกสารสามารถช่วยจัดหาอุปกรณ์ ซอฟต์แวร์ และแนวทางปฏิบัติที่ดีที่สุดให้กับคุณได้