ภัยคุกคาม ช่องโหว่ และการโจมตี

"ภัยคุกคาม" (Threat)
      ภัยคุกคาม คือ วัตถุ สิ่งของ ตัวบุคคล หรือสิ่งอื่นใดที่เป็นตัวแทนของการทำอันตรายต่อทรัพย์สิน
ภัยคุกคามมีหลายกลุ่ม เช่น

• ภัยคุกคามที่เกิดขึ้นโดยเจตนา
• ภัยคุกคามที่เกิดขึ้นโดยไม่ได้เจตนา เช่น ภัยคุกคามจากธรรมชาติ หรือจากผู้ใช้ในองค์กรเอง
• ภัยคุกคามที่สามารถทำลายช่องโหว่ สร้างความเสียหายแก่ระบบได้

                                             ตารางสรุปประเภทของภัยคุกคาม (Threat)

1. ความผิดพลาดที่เกิดจากบุคคล

• เป็นความผิดพลาดที่เกิดจากพนักงานหรือบุคคลที่ได้รับอนุญาตให้เข้าถึงสารสนเทศขององค์กรได้
• อาจเกิดจากความไม่ตั้งใจ เนื่องจากไม่มีประสบการณ์หรือขาดการฝึกอบรม หรือคาดเดา เป็นต้น
• ป้องกันภัยคุกคามโดยการให้ความรู้ด้านความมั่นคงปลอดภัยของสารสนเทศ การฝึกอบรมอย่างสม่ำเสมอ
• มีมาตรการควบคุม

2. ภัยร้ายต่อทรัพย์สิน

• ทรัพย์สินทางปัญญา (Intellectual Property) คือทรัพย์สินที่จับต้องไม่ได้ ที่ถูกสร้างขึ้นมาโดยบุคคลหรือองค์กรใด ๆ หากต้องการนำทรัพย์สินทางปัญญาของผู้อื่นไปใช้ อาจต้องเสียค่าใช้จ่าย และจะต้องระบุแหล่งทีมาของทรัพย์สินดังกล่าวไว้อย่างชัดเจน
• ในทางกฎหมาย การให้สิทธิในความเป็นเจ้าของทรัพย์สินทางปัญญา มี 4 ประเภท คือ ลิขสิทธิ์ (Copyrights)  ความลับทางการค้า (Trade Secrets) เครื่องหมายการค้า (Trade Marks) สิิทธิบัตร (Patents)
• การละเมิดความคุ้มครองทรัพย์สินทางปัญญาที่มากที่สุดคือ การละเมิดลิขสิทธิ์ซอฟต์แวร์ (Software Piracy) สามารถหาความรู้เพิ่มเติม เรื่อง ทรัพย์สินทางปัญญาได้ที่ www.ipthailand.org

3.  การจารกรรมหรือการรุกล้ำ

• การจารกรรม (Espionage) เป็นการที่กระทำซึ่งใช้อุปกรณ์อิเลคทรอนิกส์ หรือตัวบุคคลในการจารกรรมสารสนเทศที่เป็นความลับ
• ผู้จารกรรมจะใช้วิธีการต่าง ๆ เพื่อให้ถึงซึ่งสารสนเทศที่จัดเก็บไว้ และรวบรวมสารสนเทศนั้นโดยไม่ได้รับอนุญาต
• การรุกล้ำ (Trespass) คือ การกระทำที่ทำให้ผู้อื่นสามารถเข้าสู่ระบบเพื่อรวบรวมสารสนเทศที่ต้องการโดยไม่ได้รับอนุญาต
• การควบคุม สามารถทำได้โดยการจำกัดสิทธิ์และพิสูจน์ตัวตนของผู้เข้าสู่ระบบทุกครั้งว่าเป็นบุคคลที่ได้รับอนุญาตจริง

4.  การกรรโชกสารสนเทศ

• การที่มีผู้ขโมยข้อมูลหรือสารสนเทศที่เป็นความลับจากคอมพิวเตอร์ แล้วต้องการเงินเป็นค่าตอบแทน เพื่อแลกกับการคืนสารสนเทศนั้น หรือแลกกับการไม่เปิดเผยสารสนเทศดังกล่าว เรียกว่า Blackmail

5.  การทำลายหรือทำให้เสียหาย

• เป็นการทำลายหรือก่อให้เกิดความเสียหายต่อระบบคอมพิวเตอร์เว็บไซต์ ภาพลักษณ์ ธุรกิจ และทรัพย์สินขององค์กร ซึ่งอาจเกิดจากผู้อื่นที่ไม่หวังดีหรือแม้กระทั่งจากพนักงานขององค์กรเอง
• การทำลาย เช่น การขีดเขียนทำลายหน้าเว็บไซต์

6.  การลักขโมย

• การถือเอาของผู้อื่นโดยผิดกฎหมาย
• เช่น อุปกรณ์ต่าง ๆ ทั้งแบบธรรมดาและแบบอิเล็คทรอนิค แล้วยังรวมถึงสารสนเทศขององค์กร และทรัพย์สินทางปัญญาอื่น ๆ

7.  ซอฟต์แวร์โจมตี

• เรียกว่า การโจมตีโดยซอฟต์แวร์ เกิดจากบุคคลหรือกลุ่มบุคคลออกแบบซอฟต์แวร์ให้ทำหน้าที่โจมตีระบบ เรียกว่า Malicious Code หรือ Malicious Software หรือ Malware
• มัลแวร์ (Malware) ถูกออกแบบเพื่อสร้างความเสียหาย ทำลายหรือระงับการให้บริการของระบบเป้าหมาย มีหลายชนิด เช่น virus worm, Zombie, Trojan Horse, Logic Bomb, Back door เป็นต้น

8.  ภัยธรรมชาติ

• ภัยธรรมชาติต่าง ๆ สามารถสร้างความเสียหายให้กับสารสนเทศขององค์กรได้ หากไม่มีการป้องกันหรือวางแผนรับมือกับภัยธรรมชาติ อาจก่อให้เกิดความเสียหายแก่องค์กรได้อย่างมหาศาล
• สามารถป้องกันหรือจำกัดความเสียหาย โดยการวางแผนรับสถาานการณ์ฉุกเฉินและภัยพิบัติ
• Contingency Plan ประกอบด้วย  ข้อปฏิบัติในการฟื้นฟูจากภัยพิบัติ  การดำเนินงานอย่างต่อเนื่องในสถานการณ์คับขัน การรับมือกับเหตุการณ์ไม่คาดคิด 

"ช่องโหว่" (Vulnerabilities)

     ความอ่อนแอของระบบคอมพิวเตอร์ หรือระบบเครือข่ายที่เปิดโอกาสให้สิ่งที่เป็นภัยคุกคามสามารถเข้าถึงสารสนเทศในระบบได้ ซึ่งจะนำไปสู่ความเสียหายแก่สารสนเทศ หรือแม้แต่การทำงานของระบบ

ตัวอย่างช่องโหว่ที่เกิดขึ้นในระบบ

1.  การจัดการบัญชีรายชื่อผู้ใช้ไม่มีประสิทธิภาพ 

(User Account Management Process)

• ทุกองค์กรจำเป็นต้องมี การจัดทำบัญชีรายชื่อผู้ใช้ User Account  เพื่อทำการล็อกอินเข้าสู่ระบบ ซึ่งต้องมี User Name, Password รวมถึงการควบคุมการเข้าถึง (Access Control)  และการให้ัสิทธิ์ (Authorization)  เป็นต้น

      ปัจจัยการรักษาความมั่นคงปลอดภัยของสารสนเทศให้ประสบผลสำเร็จ

1. บุคคลในองค์กร
2. กระบวนการจัดการ โดยเฉพาะการจัดการบัญชีรายชื่อผู้ใช้ระบบในองค์กร ซึ่งหากขาดระบบการจัดการที่ดี ระบบและองค์กรจะไม่สามารถทราบได้เลยว่าพนักงานคนใดมีสิทธิ์เข้าใช้สารสนเทศส่วนใดบ้างจึงเสี่ยงต่อการบุกรุกจากภัยคุกคามได้

     ตัวอย่างการจัดการบัญชีรายชื่อผู้ใช้ที่ไม่มีประสิทธิภาพ

• ความหละหลวมในการจัดการบัญชีรายชื่อผู้ใช้ที่ลาออกจากองค์กรไปแล้ว
• ไม่มีการเปลี่ยนแปลงสิทธิ์ในการเข้าใช้ระบบ
• ขาดเครื่องมือค้นหาหรือสอบถามสิทธิ์ในการเข้าใช้ระบบที่ง่ายและสะดวก

2.  ระบบปฏิบัติการไม่ได้รับการซ่อมเสริมอย่างสม่ำเสมอ

• หากองค์กรละเลยติดตามข่าวสารจากบริษัทผู้พัฒนาระบบปฏิบัติการ หรือแอลพลิเคชั่น และไม่ทำการ Download Patch มาซ่อมแซมระบบอย่างเป็นระยะ อาจทำให้ระบบปฏิบัติการมีช่องโหว่ และข้อผิดพลาดสะสมเรื่อยไป จนกลายเป็นจุดอ่อนที่เสี่ยงต่อการบุกรุก โจมตีได้มากที่สุด โดยเฉพาะระบบปฏิบัติการแบบเครือข่าย

3. ไม่มีการอัพเดทไวรัสอย่างสม่ำเสมอ

• การอัพเดทไวรัสเป็นการเพิ่มข้อมูลรายละเอียดคุณลักษณะของไวรัสชนิดใหม่ ๆ ในฐานข้อมูลของโปรแกรม ซึ่งจะช่วยให้โปรแกรมสามารถตรวจจับไวรัสชนิดใหม่ได้ แต่หากไม่การอัพเดทจะส่งผลให้โปรแกรมไม่รู้จักไวรัสชนิดใหม่ ระบบจะเสี่ยงต่อการติดไวรัสมากขึ้น

4. การปรับแต่งค่าคุณสมบัติ ระบบผิดพลาด

• การที่ผู้ดูแลระบบต้องปรับแต่งคุณสมบัติต่าง ๆ ของระบบด้วยตนเอง Manually จะเสี่ยงต่อการกำหนดค่าผิดพลาดได้สูงกว่าระบบ ทำการกำหนดให้เองอัตโนมัติ

"การโจมตี" (Attack)
       การกระทำบางอย่างที่อาศัยความได้เปรียบจากช่องโหว่ของระบบ เพื่อเข้าควบคุมการทำงานของระบบ เพื่อให้ระบบเกิดความเสียหาย หรือเพื่อโจรกรรมสารสนเทศ
       รูปแบบของการโจมตี
       1. Malicious Code หรือ  Malware
            -  โค๊ดมุ่งร้ายหรือเป็นอันตราย อันได้แก่ Virus, Worm, Trojan Horse ยังรวมถึง Web scripts
            -  รูปแบบการโจมตีของ Malicious Code
                1.  สแกนหมายเลข IP Address เพื่อหาหมายเลขช่องโหว่ แล้วทำการติดตั้งโปรแกรม Back door เพื่อเปิดช่องทางลับให้กับแฮกเกอร์
                2.  ท่องเว็บไซต์ ระบบที่มี Malicious  ฝังตัวอยู่ จะสร้างเว็บเพจชนิดต่าง ๆ เมื่อผู้ใช้เข้าไปเยี่ยมชมเว็บเพจที่มีอันตรายดังกล่าว ก็จะได้รับ Malicious Code ไปได้
                3.  Virus  โดยการคัดลอกตัวเองไปอยู่กับโปรแกรม ที่ผู้ใช้รับโปรแกรมนั้น ๆ
                4.  Email โดยการส่งอีเมล์ที่มี  Malicious Code ซึ่งทันทีที่เปิดอ่าน Malicious Code ก็จะทำงานทันที
        2.  Hoaxes
            -  การปล่อยข่าวหลอกลวง เช่น ปล่อยข่าวการแพร่ระบาดของไวรัสคอมพิวเตอร์ทางเมล์ ยังได้แนบโปรแกรมไวรัสไปด้วย เป็นต้น

        3.  Back door หรือ Trap Door
            - เส้นทางลับที่จะช่วยผู้โจมตีหรือผู้บุกรุกเข้าสู่ระบบได้โดยไม่ผ่านกระบวนการตรวจสอบ
        4.  Password  Cracking
            - การบุกรุกเข้าไปในระบบคอมพิวเตอร์ของผู้ใช้ใด ๆ โดยใช้วิธีการเจาะรหัสผ่าน เริ่มต้นด้วยการคัดลอกไฟล์ SAM (Security Account Manager) แล้วทำการถอดรหัส ด้วยอัลกอริทึ่มถอดรหัสชนิดต่าง ๆ จนกว่าจะได้รหัสผ่านที่ถูกต้อง
             หมายเหตุ
             - ระบบปฏิบัติการ windows XP ไฟล์ SAM จะอยู่ในไดเรกทอรี่ windows/System32/Config/SAM 
             - ส่วนระบบปฏิบัติการ windows รุ่นอื่น ๆ จะคล้าย ๆ กัน

         5.  Brute Force Attack
             - เป็นการพยายามคาดเดารหัสผ่าน โดยการนำคีย์ที่เป็นไปได้ทั้งหมดมาจัดหมู่ Combination
             - การคาดเดารหัสผ่านนี้จะเป็นการคำนวณซ้ำหลาย ๆ รอบ เพื่อให้ได้กลุ่มรหัสผ่านที่ถูกต้อง
             - จึงมีการพัฒนาโปรแกรมขึ้นมาเพื่อช่วยให้การคำนวณรวดเร็วขึ้น
         6.  Denial of Service
             - การปฏิเสธการให้บริการของระบบ เป็นการโจมตีโดยใช้วิธีส่งข้อมูลจำนวนมากไปยังเป้าหมาย ทำให้แบรนด์วิดธ์เต็มจนไม่สามารถให้บริการได้

อาชญกรรมคอมพิวเตอร์และอินเทอร์เน็ต

          เทคโนโลยีอินเทอร์เน็ตช่วยให้ผู้ใช้ทั่วโลกสามารถเชื่อมโยงถึงกันได้ และสามารถเข้าถึงเว็บไซต์เพื่อฝากข้อมูลส่วนตัวไว้ได้   องค์กรธุรกิจต่างหันมาพึ่งพาเทคโนโลยีสารสนเทศในทุก ๆ ด้าน โดยเฉพาะด้านบริการลูกค้า ซึ่งทำให้ลูกค้ามีความสะดวกมากขึ้น    ส่งผลให้ชีวิตประจำวันของคนทั่วไปส่วนใหญ่ต้องพึ่งพาเทคโนโลยีสารสนเทศตามไปด้วย และสิ่งทืี่แฝงตัวมากับความก้าวหน้า คือ กลุ่มมิจฉาชีพที่ต้องการหาผลประโยชน์ให้กับตัวเอง โดยอาศัยช่องโหว่ของเทคโนโลยี สารสนเทศเป็นช่องทางในการก่ออาชญากรรมหลายรูปแบบ เรียกภัยร้ายดังกล่าวว่า "อาชญากรรมคอมพิวเตอร์"  เป็นการกระทำที่ผิดกฎหมายโดยอาศัยคอมพิวเตอร์เป็นเครื่องมือ หรือกระทำที่ผิดกฎหมายที่ก่อให้เกิดความเสียหายแก่ระบบคอมพิวเตอร์ คอมพิวเตอร์นั้นสามารถเป็นได้ทั้งเครื่องมือในการกระทำผิดกฎหมาย   และเป็นเป้าหมายในการทำลายได้เช่นเดียวกัน เช่น การใช้คอมพิวเตอร์ที่เพื่อลักลอบข้อมูลของบริษัทหรือการ ที่แฮคเกอร์ (Hacker) ถอดรหัสรักษาความปลอดภัยของระบบคอมพิวเตอร์ เพื่อเข้าทำลายหรือขโมย  ข้อมุูลของระบบ เป็นต้น

           ผู้ใดกระทำผิดทางคอมพิวเตอร์ และผู้เสียหายมีการฟ้องร้องให้ดำเนินคดี ซึ่งอาจสอบสวนและมีหลักฐานพอที่จะเอาผิดได้   ผู้นั้นจะต้องรับโทษตาม   "พระราชบัญญัติว่าด้วยการกระทำผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550"  นอกจากการกระทำ ความผิดเกีี่ยวกับคอมพิวเตอร์ที่สร้างความเสียหายให้กับ   ผู้อื่นแล้ว ยังมีการกระทำอีกประเภทหนึ่ง ที่สร้างความเดือดร้อนให้กับผู้อื่นด้วย แต่อาจไม่ใช่การกระทำผิดทางกฎหมาย นั้นคือ "การใช้คอมพิวเตอร์ในทางที่ผิด"

การใช้คอมพิวเตอร์ในทางที่ผิด (Computer  Abuse)

          เป็นการกระทำผิดต่อจริยธรรม ศีลธรรม หรือจรรยาบรรณ โดยการกระทำดังกล่าวอาจไม่ผิดกฎหมายก็ได้ แต่อาจสร้างความเดือดร้อนให้ผู้อื่น เช่น การส่งอีเมล์แบบ Spam  ซึ่งเป็นการรบกวนผู้ที่ได้รับอีเมล์ดังกล่าว เป็นต้น

สาเหตุเพิ่มจำนวนของอาชญากรรมคอมพิวเตอร์

          เทคโนโลยีมีความซับซ้อนมากขึ้น เทคโนโลยีสารสนเทศด้านต่าง ๆ ไม่ว่าจะเป็นระบบเครือข่าย, เว็บไซต์, โครงสร้างคอมพิวเตอร์ ตลอดจนระบบปฏิบัติการและแอปพลิเคชั่นต่าง ๆ ในปัจจุบันมีการทำงานที่ซับซ้อนมากขึ้น จุดเชื่อมต่อที่โยงในเครือข่ายของหลายองค์กรเข้าด้วยกันมีมากขึ้น เป็นสาเหตุหนึ่งที่ทำให้ผู้โจมตีมีโอกาสเข้าถึงเครือข่ายผ่านจุดเชื่อมโยงเหล่านั้นได้มากขึ้นเช่นกัน

          ความคาดหวังของผู้ใช้คอมพิวเตอร์ที่มากขึ้น คือคาดหวังว่าคอมพิวเตอร์จะทำงานได้อย่างรวดเร็วตามที่ผู้ใช้ต้องการเนื่องจากหากคอมพิวเตอร์ทำงานได้รวดเร็วเท่าใด  ย่อมหมายถึงผู้ใช้ที่มากขึ้น ย่อมส่งผลให้ฝ่าย Computer Help Desk ต้องคอยรับสายผู้ใช้ที่เกิดปัญหาเป็นจำนวนมากขึ้นเช่นกัน ในบางครั้งฝ่าย Help Desk จึงอาจละเลยการตรวจสอบว่าผู้ใช้เป็นพนักงานจริงหรือเป็นมิจฉาชีพที่แฝงตัวมา

          การขยายตัวและการเปลี่ยนแปลงของระบบคอมพิวเตอร์ การเปลี่ยนแปลงจากระบบ Stand - alone  ไปเป็นระบบเครือข่ายคอมพิวเตอร์ทุกเครื่องในโลกนี้เชื่อมต่อกันได้ สามารถแบ่งปันข้อมูล/สารสนเทศซึ่งกันและกันได้ ธุรกิจเริ่มทำการค้าผ่านเว็บไซต์ที่เรียกว่า "E-commerce"  อีกทั้งผู้คนทั่วไปยังสามารถเข้าถึงเว็บไซต์ได้จากโทรศัพท์มือถือ การเปลี่ยนแปลงเหล่านี้เป็นผลให้องค์กรมีความเสี่ยงต่อการเผชิญหน้ากับภัยคุกคามในรูปแบบใหม่อยู่เสมอ

           การใช้ซอฟต์แวร์ที่มีช่องโหว่เพิ่มมากขึ้น ซอฟต์แวร์ที่ถูกพัฒนามาจำหน่ายมักพบว่า มีช่องโหว่ภายหลังจากการใช้งานของผู้ใช้ เช่น ช่องโหว่ที่พบในโปรแกรม Microsoft Windows Vista, Real player Media  เป็นต้น การตรวจพบว่ามีช่องโหว่หลังการใช้งานทำให้ผู้ผลิตซอฟต์แวร์สร้า.โปรแกรม (Patch) ขึ้นมาใช้งานไม่ทันการโจมตีของแฮคเกอร์ กล่าวคือ ช่วงเวลาก่อนหน้าทีี่ผู้ผลิตจะสร้างโปรแกรมซ่อมแซมขึ้นมาผู้ใช้อาจถูกโจมตีจากแฮคเกอร์ก่อนแล้ว เนื่องจากแฮคเกอร์พบช่องโหว่ก่อน (เรียกว่าการโจมตีลักษณะนี้ว่า "Zero-day Attack") ดังนั้น หากมีการให้ซอฟต์แวร์ที่มีช่องโหว่มาก ผู้ใช้ก็จะมีความเสี่ยงต่อการถูกโจมตีมากด้วยเช่นกัน

ประเภทของอาชญากรรมคอมพิวเตอร์

           อาชญากรนำเอาการสื่อสารผ่านทางคอมพิวเตอร์มาขยยความสามารถในกากระทำความผิดของตน 

           การละเมิดลิขสิทธิ์ การปลอมแปลง ไม่ว่าจะเป็นการปลอมแปลงเช็ค การปลอมแปลงรูป เสียง หรือการปลอมแปลงสื่อทางคอมพิวเตอร์ที่เรียกว่า มัลติมีเดีย หรือรวมทั้งการปลอมแปลงโปรแกรมคอมพิวเตอร์

           การฟอกเงินทางอิเล็กทรอนิกส์ ซึ่งใช้อุปกรณ์ทางคอมพิวเตอร์และการสื่อสารเป็นเครื่องมือ ทำให้สามารถกลบเกลื่อนอำพรางตัวตนของผู้กระทำความผิดได้ง่ายขึ้น

           อันธพาลทางคอมพิวเตอร์ หรือพวกก่อการร้าย  เป็นอาชญากรเท่านั้นที่ทำสิ่งเหล่านี้ขึ้นเพื่อรบกวนผู้ใช้บริการ และเข้าไปแทรกเซงระบบข้อมูลคอมพิวเตอร์ของผู้อื่น รวมไปถึงผู้ก่อการร้าย (terrorist) ที่ใช้อินเทอร์เน็ตในการเผยแพร่ข้อมูลข่มขู่ผู้อื่น

           การค้าขายหรือชวนลงทุนโดยหลอกลวงผ่านทางเครือข่ายคอมพิวเตอร์

           การเข้าแทรกแซงข้อมูลและนำเอาข้อมูลเหล่านั้นมาเป็นประโยชน์ต่อตนโดยมิชอบ

ปัญหาที่เกี่ยวกับอาชญากรรมคอมพิวเตอร์

• ปัญหาเรื่องความยากที่จะตรวจสอบว่าจะเกิดเมื่อไร ที่ไหน อย่างไร ทำให้ยากที่จะป้องกัน
• ปัญหาในเรื่องการพิสูจน์การกระทำความผิด และการตามรอยของความผิด โดยเฉพาะอย่างยิ่งความผิดที่เกิดขึ้นโดยผ่านอินเทอร์เน็ต
• ปัญหาการรับฟังพยานหลักฐาน ซึ่งจะมีลักษณะที่แตกต่างไปจากหลักฐานในอาชญากรรมธรรมดาอย่างสิ้นเชิง
• ความยากลำบากในการบังคับใช้กฎหมาย โดยเฉพาะอย่างยิ่งอาชญากรรมเหล่านี้มักเป็นอาชญากรรมข้ามชาติ
• ปัญหาความไม่รู้เกี่ยวกับเทคโนโลยีใหม่ ๆ ของเจ้าพนักงานในกระบวนการยุติธรรม
• ปัญหาการขาดกฎหมายที่เหมาะสมในการบังคับใช้ กฎหมายแต่ละฉบับบัญญัติมานาน 40 - 50 ปี
• ปัญหาความเปลี่ยนแปลงทางเทคโนโลยีสมัยใหม่ ซึ่งเปลี่ยนแปลงรวดเร็วมากจนทางราชการตามไมทัน

แนวทางการแก้ไข

• ควรมีการวางแนวทางและกฎเกณฑ์ในการรวบรวมพยานหลักฐานและดำเนินคดีอาชญากรรมคอมพิวเตอร์
• ให้มีคณะทำงานในคดีอาชญากรรมคอมพิวเตอร์ พนักงานสอบสวนและอัยการอาจมีความรู้ ความชำนาญด้านอาชญากรรมคอมพิวเตอร์น้อย
• จัดตั้งหน่วยงานเกี่ยวกับอาชญากรรมคอมพิวเตอร์
• บัญญัติกฎหมายเฉพาะเกี่ยวกับอาชญากรรมคอมพิวเตอร์ หรือแก้ไขเพิ่มเติมกฎหมายที่มีอยู่ในครอบคลุมอาชญากรรมคอมพิวเตอร์
• ส่งเสริมความร่วมมือกับต่างประเทศทั้งโดยสนธิสัญญาเกี่ยวกับความร่วมมือระหว่างประเทศทางอาญา
• เผยแพร่ความรู้เรื่องอาชญากรรมคอมพิวเตอร์แก่ผู้ใช้คอมพิวเตอร์ หน่วยงานส องค์กรต่าง ๆ ให้เข้าใจแนวคิด วิธีการของอาชญากรทางคอมพิวเตอร์
• ส่งเสริมจริยธรรมในการใช้คอมพิวเตอร์

มารยาทในการใช้เครือข่ายอินเทอร์เน็ต

• ไม่ใช้เครือข่ายเพื่อการทำร้ายหรือรบกวนผู้อื่น
• ไม่ใช้เครือข่ายเพื่อการทำผิดกฎหมาย หรือผิดศีลธรรม
• ไม่ใช้บัญชีอินเทอร์เน็ตของผู้อื่น และไม่ใช้เครือข่ายที่ไม่ได้รับอนุญาต
• ไม่คัดลอกโปรแกรม รูปภาพหรือสิ่งใดบนอินเทอร์เน็ตมาใช้ โดยมิได้ขออนุญาตจากเจ้าของลิขสิทธิ์
• ไม่ฝ่าฝืนกฎระเบียบของหน่วยงานหรือบริษัทที่ท่านใช้บริการอินเทอร์เน็ต
• ไม่เจาะระบบเครือข่ายของตนเองและผู้อื่น ไม่ท้าทายให้คนอื่นมาเจาะระบบ
• การติดต่อสื่อสารกับผู้อื่นบนอินเทอร์เน็ต ต้องกระทำด้วยความสุภาพเคารพและให้เกียรติซึ่งกันและกัน
• หากพบรูรั่วของระบบ พบเบาะแส หรือบุคคลที่มีพฤติกรรมน่าสงสัยที่อาจเป็นอันตรายต่อผู้อื่น  ให้รีบแจ้งผู้ให้บริการอินเทอร์เน็ตหรือผู้ดูแลระบบทันที
• เมื่อจะเลิกใช้ระบบอินเทอร์เน็ตอย่างถาวร ให้ลบข้อมูลและเแจ้งผู้ดูแลระบบ

การหลีกเลี่ยงและรับมือกับภัยออนไลน์

• หลีกเลี่ยงการระบุชื่อจริง เพศ หรืออายุ เมื่อใช้บริการบนอินเทอร์เน็ต
• หลีกเลี่ยงการส่งข้อมูลส่วนตัว ภาพถ่ายของตนเองหรือบุคคลในครอบครับทางอินเทอร์เน็ต
• หลีกเลี่ยงการโต้ตอบกับบุคคลหรือข้อความที่ทำให้รู้สึกอึดอัดไม่สบายใจ
• หลีกเลี่ยงการสนทนาหรือนัดหมายกับคนแปลกหน้า คนแปลกหน้า
• หลีกเลี่ยงการสั่งซื้อสินค้าหรือสมัครสมาชิกโดยมิได้อ่านเง่ื่อนไขให้ละเอียดเสียก่อน
• ไม่คัดลอกโปรแกรม ข้อมูล รูปภาพหรือสิ่งใดจากอินเทอร์เน็ต โยไม่ได้รับอนุญาตจากเจ้าของลิขสิทธิ์ และไม่ได้ผ่านการตรวจสอบไวรัสคอมพิวเตอร์

ความมั่นคงปลอดภัยของสารสนเทศ

•  ความมั่นคงปลอดภัยของสารสนเทศ มีจุดเริ่มต้นมาจากความต้องการความมั่นคงปลอดภัยของคอมพิวเตอร์ในยุคแรก ๆ
• เนื่องจากพบว่ามีภัยคุกคามต่อความมั่นคงของคอมพิวเตอร์เป็นภัยคุกคามทางกายภาพ เช่น การลักขโมยอุปกรณ์ การโจรกรรมผลผลิตต่าง ๆ ที่ได้จากระบบ หรือการก่อวินาศกรรม เป็นต้น

• ต่อมาเมื่อเทคโนโลยีมีความก้าวหน้าเพิ่มมากขึ้น ก็เกิดภัยคุกคามหลายรูปแบบ เช่น การลักลอกเข้าระบบโดยไม่ได้รับอนุญาต การโจรกรรมข้อมูลที่เป็นความลับ ตลอดจนการทำลายระบบด้วยวิธีการต่าง ๆ จึงก่อให้เกิดความเสียหายทั้งบุคคลและทรัพย์สินอย่างมาก จึงต้องมีการกำหนดขอบเขตของความมั่นคงปลอดภัยของสารสนเทศขึ้น

• ความมั่นคงปลอดภัย  (security) คือ สถานะที่มีความปลอดภัย ไร้กังวล  อยู่ในสถานะที่ไม่มีอันตรายและได้รับการป้องกันจากภัยอันตรายทั้งที่เกิดขึ้นโดยตั้งใจหรือบังเอิญ
• ความมั่นคงปลอดภัยของสารสนเทศ  (Information Security) คือ การป้องกันสารสนเทศและองค์ประกอบอื่น ๆ ที่เกี่ยวข้อง ซึ่งรวมถึงระบบฮาร์ดแวร์ที่ใช้ในการจัดเก็บและโอนสารสนเทศนั้นด้วย

แนวคิดหลักของความมั่นคงปลอดภัยของสารสนเทศ

• กลุ่มอุตสาหกรรมความมั่นคงปลอดภัยของคอมพิวเตอร์ ได้กำหนดแนวคิดขึ้นเรียกว่า C.I.A. Triangle ดังนี้

• ความมั่นคงปลอดภัยของสารสนเทศนั้นมีองค์ประกอบด้วยกัน 3 ประการ คือ

1. ความลับ (Confidentiality)
2. ความถูกต้อง ความสมบูรณ์ (Integrity)
3. ความพร้อมใช้ (Availability) 

• ทรัพย์สิน (Asset) ที่มีความมั่นคงปลอดภัยนั้นต้องประกอบด้วยองค์ประกอบทั้ง 3 อย่างครบถ้วน ไม่ว่าทรัพย์สินนั้นจะเป็นสิ่งที่จับต้องได้ เช่น เครื่องคอมพิวเตอร์ อุปกรณ์เครือข่าย หรือทรัพย์สิน ที่ีจับต้องไม่ได้ เช่น ข้อมูล เป็นต้น

     1.  Confidentiality (ความลับ)
           เป็นการรับประกันว่า  ผู้มีสิทธิ์และได้รับอนุญาตเท่านั้นที่สามารถเข้าถึงข้อมูลได้

           สารสนเทศที่ถูกเข้าถึงโดยบุคคลที่ไม่มีสิทธิ์หรือไม่ได้รับอนุญาต จะถือเป็นสารสนเทศที่เป็นความลับถูกเปิดเผย ซึ่งองค์กรต้องมีมาตรการป้องกัน เช่น

           -  การจัดประเภทของสารสนเทศ

           -  การรักษาความปลอดภัยให้กับแหล่งข้อมูล

           -  การกำหนดนโยบายความมั่นคงปลอดภัยและนำไปใช้งาน

           -  การให้การศึกษาแก่ทีมงานความมั่นคงปลอดภัยและนำไปใช้

     2.  Integrity  (ความถูกต้อง ความสมบูรณ์)

          ความครบถ้วนถูกต้อง และไม่มีสิ่งปลอมปน ดังนั้นสารสนเทศที่มีความสมบูรณ์จึงเป็นสารสนเทศที่นำไปใช้ประโยชน์ได้อย่างถูกต้องและครบถ้วน เช่น ถูกทำให้เสียหาย ไฟล์หาย เนื่องจา virus, worm หรือ Hacker ทำการปลอมปน สร้างความเสียหายให้กับข้อมูลองค์การได้ ยอดเงินในบัญชีธนาคารหรือแก้ไขราคาในการสั่งซื้อ

     3.  Availability (ความพร้อมใช้)

          สารสนเทศจะถูกเข้าใช้หรือเรียกใช้งานได้อย่างราบรื่น   โดยผู้ใช้ระบบอื่นที่ได้รับอนุญาตเท่านั้น หากเป็นผู้ใช้ระบบที่ไม่ได้รับอนุญาต การเข้าถึงก็จะล้มเหลวถูกขัดขวาง  เช่น  การป้องกันเนื้อหางาน  วิจัยในห้องสมุด เนื้อหางานวิจัยพร้อมที่ใช้ต่อผู้ใช้ที่ได้รับอนุญาต คือสมาชิกของห้องสมุดนั่นเอง ดังนั้น จึงต้องมีการระบุตัวตน (Identification)  ว่าเป็นสมาชิกห้องสมุดและพิสูจน์ได้ว่าได้รับอนุญาตจริง (Authorization)

อุปสรรคของงานความมั่นคงปลอดภัยของสารสนเทศ

         ความมั่นคงปลอดภัย คือ ความไม่สะดวก ต้องเสียเวลาป้อนรหัสผ่านพิสูจน์ตัวตน  มีความซับซ้อนบางอย่างที่ผู้ใช้ทั่วไปไม่ทราบ และไม่ได้ระวังความปลอดภัย ผู้ใช้ไม่ระวัง ไม่ชำนาญและไม่ระวังจึงตกเป็นเหยื่อของการโจมตี 

         การพัฒนาซอฟต์แวร์ไม่คำนึงถึงความปลอดภัยหรือคำนึงถึงในภายหลัง เกิดสังคมการแบ่งปันข้อมูล โดยขาดความระมัดระวัง การให้ข้อมูลส่วนบุคคล ทำให้เกิดช่องโหว่ของการโจมตีได้  มีการเข้าถึงได้ทุกสถานที่ เช่น smart phone, online storage หากผู้ใช้คนอื่นทราบชื่อผู้ใช้และรหัสผ่านก็สามารถเข้าถึงข้อมูลได้ 

มิจฉาชีพมีความเชี่ยวชาญ