Cyber Security Academy · บทเรียน

การตรวจประเมินความปลอดภัย

ประเมินมาตรการควบคุม

การตรวจประเมินความปลอดภัย เป็นบทเรียน Cyber Security Academy ฟรีบน CoddyKit นี่คือบทเรียนที่ 2 จากทั้งหมด 4 บทเรียน คุณสามารถอ่านบทเรียนทั้งหมดด้านล่างฟรี — จากนั้นลองปฏิบัติด้วยตัวคุณเองในเบราว์เซอร์พร้อมตัวแก้ไขโค้ดในตัวและติวเตอร์ AI ตลอด 24/7 บทเรียนนี้เป็นส่วนหนึ่งของเส้นทางการเรียน Cyber Security Academy และความก้าวหน้าของคุณจะซิงค์ข้ามเว็บและแอป CoddyKit คอร์ส Cyber Security Academy มีบทเรียนทั้งหมด 4 บทเรียน

การตรวจสอบความปลอดภัยคืออะไร

การตรวจสอบความปลอดภัยคือการประเมินอย่างเป็นระบบว่าองค์กรปฏิบัติตามมาตรการควบคุมและนโยบายด้านความปลอดภัยได้ดีเพียงใด โดยเปรียบเทียบสภาพจริงกับมาตรฐานที่กำหนดไว้และจัดทำเอกสารช่องว่างที่พบ

การตรวจสอบประเมินมาตรการควบคุม แต่ไม่ได้แก้ไขปัญหาด้วยตัวมันเอง

การตรวจสอบเทียบกับการทดสอบเจาะระบบและการประเมิน

คำเหล่านี้มีความหมายทับซ้อนกัน แต่แตกต่างกันดังนี้:

การตรวจสอบ: ตรวจมาตรการควบคุมเทียบกับมาตรฐานโดยใช้หลักฐาน
การทดสอบเจาะระบบ: ใช้ประโยชน์จากจุดอ่อนจริงเพื่อพิสูจน์ผลกระทบ
การประเมินความเสี่ยง: ประเมินโอกาสเกิดและผลกระทบของภัยคุกคาม

การตรวจสอบภายในเทียบกับภายนอก

การตรวจสอบมาจากสองแหล่ง:

ภายใน: ดำเนินการโดยทีมของคุณเอง เพื่อสร้างความมั่นใจอย่างต่อเนื่องและเตรียมความพร้อม
ภายนอก: ดำเนินการโดยผู้ตรวจสอบอิสระ ซึ่งจำเป็นสำหรับการรับรองและการสร้างความมั่นใจให้ผู้มีส่วนได้เสีย

วงจรการตรวจสอบ

การตรวจสอบทั่วไปประกอบด้วยระยะที่ชัดเจน:

การวางแผน: กำหนด scope และวัตถุประสงค์
การปฏิบัติงานตรวจสอบ: รวบรวมและทดสอบหลักฐาน
การรายงาน: จัดทำเอกสารข้อค้นพบและระดับความรุนแรง
การแก้ไข: แก้ไขช่องว่างและตรวจยืนยัน

การกำหนด scope และวัตถุประสงค์

scope ช่วยให้การตรวจสอบมีจุดมุ่งหมายชัดเจนและอยู่ภายในขอบเขตที่กำหนด โปรดระบุระบบ สถานที่ กระบวนการ และช่วงเวลาที่รวมอยู่ในการตรวจสอบ

วัตถุประสงค์ที่ชัดเจน เช่น การยืนยันมาตรการควบคุมตามภาคผนวก A ของ ISO 27001 จะบอกผู้ตรวจสอบว่าต้องรวบรวมหลักฐานใดและลักษณะของสิ่งที่ถือว่าผ่านเกณฑ์เป็นอย่างไร

การรวบรวมหลักฐาน

ผู้ตรวจสอบรวบรวมหลักฐานว่ามาตรการควบคุมมีอยู่จริงและทำงานอยู่:

ไฟล์ส่งออกการตั้งค่าและภาพหน้าจอ
บันทึกและการทบทวน access
นโยบายและการอนุมัติที่มีการลงนาม
การสัมภาษณ์ผู้รับผิดชอบมาตรการควบคุม

การทดสอบมาตรการควบคุม

ผู้ตรวจสอบทดสอบในสองด้าน:

การออกแบบ: มาตรการควบคุมมีความสามารถบรรลุวัตถุประสงค์หรือไม่
ประสิทธิผลในการปฏิบัติงาน: มาตรการควบคุมทำงานได้จริงตลอดช่วงเวลานั้นหรือไม่

มักใช้การสุ่มตัวอย่าง โดยตรวจสอบระเบียนบางส่วนที่เป็นตัวแทน แทนการตรวจสอบทั้งหมด

ข้อค้นพบและระดับความรุนแรง

ช่องว่างแต่ละรายการจะกลายเป็น ข้อค้นพบ ซึ่งจัดระดับตามความเสี่ยง การใช้ระดับที่สอดคล้องกันช่วยจัดลำดับความสำคัญได้

วิกฤต / สูง: เร่งด่วน สามารถใช้โจมตีได้ หรือขัดขวางการปฏิบัติตามข้อกำหนด
ปานกลาง: ควรแก้ไขในเร็ว ๆ นี้
ต่ำ / ข้อสังเกต: เป็นเรื่องเล็กน้อยหรือข้อเสนอแนะเพื่อเสริมความแข็งแกร่ง

การแก้ไขและการติดตาม

ข้อค้นพบต้องนำไปสู่การดำเนินการ ควรติดตามแต่ละรายการด้วยการระบุผู้รับผิดชอบ แผนงาน และกำหนดส่งในทะเบียนการแก้ไข

มอบหมายความรับผิดชอบ
กำหนดเส้นตายที่เป็นจริงตามระดับความรุนแรง
ตรวจยืนยันการแก้ไข โดยทดสอบซ้ำก่อนปิดรายการ

ความเป็นอิสระของผู้ตรวจสอบ

ผู้ตรวจสอบไม่ควรประเมินงานที่ตนเองเป็นผู้ดำเนินการ เพื่อหลีกเลี่ยงผลประโยชน์ทับซ้อน ความเป็นอิสระ โดยเฉพาะในการตรวจสอบภายนอก ทำให้ผลลัพธ์น่าเชื่อถือสำหรับลูกค้าและหน่วยงานกำกับดูแล

การตรวจสอบอย่างต่อเนื่อง

แนวทางสมัยใหม่เสริมการตรวจสอบเป็นระยะด้วย การเฝ้าติดตามอย่างต่อเนื่อง ซึ่งเป็นการตรวจสอบอัตโนมัติที่แจ้งเตือนเมื่อระบบเบี่ยงเบนจากค่าพื้นฐานที่ปลอดภัยเกือบจะทันที ช่วยลดเรื่องไม่คาดคิดในการตรวจสอบอย่างเป็นทางการ

# example: a daily compliance check job
opa eval --data policy.rego --input config.json \
  'data.compliance.violations'

ตรวจสอบอย่างรวดเร็ว

แยกความแตกต่างระหว่างการตรวจสอบกับการทดสอบเจาะระบบ

สรุป

การตรวจสอบความปลอดภัยประเมินว่ามาตรการควบคุมเป็นไปตามมาตรฐานได้ดีเพียงใด:

การตรวจสอบแตกต่างจากการทดสอบเจาะระบบและการประเมินความเสี่ยง
ปฏิบัติตามวงจรการตรวจสอบ ได้แก่ วางแผน ปฏิบัติงานตรวจสอบ รายงาน และแก้ไข
รวบรวมหลักฐาน ทดสอบการออกแบบและการทำงาน และจัดระดับข้อค้นพบ
ติดตามการแก้ไขและรักษาความเป็นอิสระของผู้ตรวจสอบ

คำถามที่พบบ่อย

บทเรียน “การตรวจประเมินความปลอดภัย” ฟรีหรือไม่

ใช่ — ข้อความเต็มของ “การตรวจประเมินความปลอดภัย” ฟรีให้อ่านที่นี่บนเว็บ เพื่อปฏิบัติแบบโต้ตอบ (ตัวแก้ไขโค้ดในตัวและติวเตอร์ AI ตลอด 24/7) และปลดล็อคส่วนที่เหลือของคอร์ส Cyber Security Academy ให้อัปเกรดเป็น CoddyKit PRO คอร์ส Cyber Security Academy มีบทเรียนทั้งหมด 4 บทเรียน

คุณจะเรียนรู้อะไรในบทเรียน “การตรวจประเมินความปลอดภัย”

ประเมินมาตรการควบคุม คุณปฏิบัติ Cyber Security Academy ด้วยโค้ดที่ใช้งานได้จริงที่คุณเรียกใช้โดยตรงในเบราว์เซอร์ และติวเตอร์ AI ตลอด 24/7 ตอบคำถามของคุณขณะที่คุณไปผ่านบทเรียน

คุณต้องมีประสบการณ์ก่อนที่จะเริ่มเรียน Cyber Security Academy หรือไม่

ไม่จำเป็นต้องมีประสบการณ์มาก่อน Cyber Security Academy บน CoddyKit ออกแบบมาสำหรับผู้เริ่มต้นไปจนถึงผู้เรียนขั้นสูง คุณสามารถเริ่มต้นที่นี่หรือเริ่มจากตัวแรกและเรียนด้วยความเร็วของคุณเอง นี่คือบทเรียนที่ 2 จากทั้งหมด 4 บทเรียน

บทเรียน “การตรวจประเมินความปลอดภัย” ใช้เวลานานแค่ไหน

บทเรียน CoddyKit ส่วนใหญ่ใช้เวลาประมาณ 5–10 นาที แต่ละบทเรียนจึงสั้นและเป็นแบบโต้ตอบ คุณสามารถก้าวหน้าอย่างต่อเนื่องและกลับมาเรียนต่อจากตรงที่เพิ่งหยุดบนเว็บและแอปได้เลย

ฉันเขียนและรันโค้ดในบทเรียน Cyber Security Academy นี้ได้ไหม

ได้ บทเรียน Cyber Security Academy ทุกบทมีตัวแก้ไขโค้ดในตัว คุณจึงเขียนและรันโค้ดจริงได้เลยในเบราว์เซอร์ และได้รับข้อเสนอแนะจาก AI ในทันที — ไม่ต้องติดตั้งในเครื่องของคุณ

บทเรียนทั้งหมดในหลักสูตรนี้

← กลับไปที่ Cyber Security Academy