on
เจ้าหน้าที่ฝ่ายไอทีกับผู้ใช้ในองค์กรคงมีปัญหากันบ่อยๆ เมื่อผู้ใช้ไม่ได้ระมัดระวังตัวเองกับความปลอดภัยต่างๆ หรือหาทางข้ามมาตรการที่องค์กรวางไว้อยู่เรื่อยๆ แต่รายงานใหม่ของ NIST ระบุว่าปัญหานี้อาจจะไม่ใช่ปัญหาของตัวผู้ใช้เองแต่เป็นระบบที่ออกแบบไม่ได้คำนึงถึงผู้ใช้
รายงาน "Security Fatigue" เป็นการสำรวจผู้ใช้ด้วยการสัมภาษณ์ผู้ใช้งาน 40 คน คนละ 45-60 นาที โดยสอบถามถึงการใช้งานระบบความปลอดภัย ตั้งแต่ไอคอน เครื่องมือ และคำศัพท์ต่างๆ ที่ผู้ใช้ต้องเจอ และวิเคราะห์ว่าอะไรเป็นสาเหตุทำให้ผู้ใช้เหนื่อยล้ากับความมั่นคงปลอดภัย และผลเมื่อผู้ใช้เหนื่อยล้ากับระบบขึ้นมา
ผู้ให้สัมภาษณ์หลายคนไม่คิดว่าตัวเองจะเป็นเป้าหมายของการโจมตีไซเบอร์ และคิดว่าข้อมูลของตัวเองไม่สำคัญพอที่จะมีใครมาแฮกเอาไป ขณะที่อีกกลุ่มหนึ่งมองว่าหน้าที่การรักษาความปลอดภัยเป็นความรับผิดชอบของหน่วยงานอื่น เช่น ธนาคารหรือผู้เชี่ยวชาญ
รายงานระบุว่าข้อมูลที่ได้จากการสำรวจครั้งนี้แสดงให้เห็นว่า ผู้ออกแบบระบบควรคำนึงถึง 3 แนวทางเพื่อป้องกันไม่ให้ผู้ใช้เหนื่อยล้ากับความมั่นคงปลอดภัย ได้แก่
- จำกัดจำนวนการตัดสินใจของผู้ใช้ไม่ให้มากเกินไป
- ทำให้ผู้ใช้เลือกทางเลือกที่ถูกต้องได้ง่ายขึ้น
- ออกแบบให้เป็นแนวทางเดียวกันเสมอเมื่อเป็นไปได้
บ้านเราคนทำระบบที่ต้องการความมั่นคงปลอดภัยสูงๆ ถ้าพิจารณารายงานนี้ได้จะดีมาก อย่าไปสลับปุ่ม ยกเลิก/ยอมรับ ไปมาเล่นๆ, อย่าไปพยายามทำปุ่ม ไม่ยอมรับ ให้เบลอๆ อ่อนๆ อย่าไปหลอกล่อผู้ใช้ไปมา
ที่มา - NIST, The Register
อืมเห็นด้วย
sukjai Sat, 08/10/2016 - 14:40
อืมเห็นด้วย
อืมกินดิ
Architec Sat, 08/10/2016 - 14:45
In reply to อืมเห็นด้วย by sukjai
อืมกินดิผมเองก็กำลังเล็งๆ ubikey ใช้กับระบบอยู่ ไม่ต้องให้ user งมหา otp ในแอพหรือโทเคนแล้วต้องกรอก (เบื่อ user ขี้บ่น)
YubiKey มันหายบ่อยนะครับ 55
hail_to_the_thief Sun, 09/10/2016 - 20:46
In reply to อืมกินดิ by Architec
YubiKey มันหายบ่อยนะครับ 55 แล้ว user ชอบคา key มันไว้ที่เครื่องนั่นแหละ อาจไม่ค่อยตรงกับวัตถุประสงค์ของ Second fac authen เท่าไหร่
ผมใช้ YubiKey ไม่กี่เดือน แล้วก้อย้ายไป google authen แทน แต่ใครถนัดใช้ YubiKeyยังใช้กันต่อไป
คิดถึงตู้ atm
secure Sat, 08/10/2016 - 14:42
คิดถึงตู้ atm กรุงเทพที่ปุ่มยอมรับพร้อมเพล์อยู่ด้านขวาเลย
ATM ธนาคารกรุงเทพ
azzendix Sat, 08/10/2016 - 16:14
In reply to คิดถึงตู้ atm by secure
ATM ธนาคารกรุงเทพ
ท่านต้องการรับใบเสร็จหรือไม่ : ต้องการ(ซ้าย) กับ ไม่ต้องการ(ขวา)
ท่านต้องการเข้าร่วมพร้อมเพย์หรือไม่ : ไม่ต้องการ(ซ้าย) กับ ต้องการ(ขวา)
คนทำระบบกล้าบอกมั้ยว่าไม่ได้ตั้งใจ?
ผมชัดจะเริ่มเกลียดพร้อมเพย์
wichate Sat, 08/10/2016 - 17:02
In reply to ATM ธนาคารกรุงเทพ by azzendix
ผมชัดจะเริ่มเกลียดพร้อมเพย์ ก็เพราะแบบนี้หมือนกัน
(เหมือนดูถูกว่าเราโง่ สลับปุ่มเดี๋ยวมันก็ต้องเผลอกดสมัคร อิอิ)
ใช้บัตรต่างธนาคารกดตู้กรุงเทพ
tk719 Sat, 08/10/2016 - 18:45
In reply to คิดถึงตู้ atm by secure
ใช้บัตรต่างธนาคารกดตู้กรุงเทพ ยังถามพร้อมเพย์เลย สงสัยอยู่ว่าถ้ากดยอมรับจะทำยังไง
จริงๆ มันควรจะเลิกถามหรือขึ้น
Polwath Sat, 08/10/2016 - 18:59
In reply to ใช้บัตรต่างธนาคารกดตู้กรุงเทพ by tk719
จริงๆ มันควรจะเลิกถามหรือขึ้น POP-UP ตั้งแต่ตอนกดไม่ยอมรับแล้วครับ และไม่ใช่เฉพาะ ATM และธนาคารกรุงเทพอย่างเดียว ธนาคารทุกเจ้าเป็นแบบนี้กันหมดเลย รวมถึงระบบ e-banking ด้วย
น่าเบื่อจริงๆ
Password
mr_tawan Sat, 08/10/2016 - 15:13
Password ที่ต้องเปลี่ยนทุกเดือน
ซึ่งจริงๆ ช่วงหลังแนวทางใหม่ๆ
lew Sat, 08/10/2016 - 18:44
In reply to Password by mr_tawan
ซึ่งจริงๆ ช่วงหลังแนวทางใหม่ๆ ก็ไม่แนะนำให้บังคับกันแล้วครับ (แต่มาตรฐานเก่าๆ ยังมีผลอยู่)
ผมเคยเสนอไปสองสามครั้งแล้วครั
mr_tawan Mon, 10/10/2016 - 02:25
In reply to ซึ่งจริงๆ ช่วงหลังแนวทางใหม่ๆ by lew
ผมเคยเสนอไปสองสามครั้งแล้วครับ และคำตอบที่ได้คือ "ไม่ได้อยู่ในฐานะที่เปลี่ยนแปลงอะไรได้" ซึ่งทำให้เซ็งมาก
ที่สำคัญคือนอกจาความถี่ในการเปลี่ยนพาสเวิร์ดแล้ว จำนวนพาสเวิร์ดที่ใช้ก็มีมากด้วย (มากกว่าสิบตัว)
ไม่แปลกครับ
lew Mon, 10/10/2016 - 11:10
In reply to ผมเคยเสนอไปสองสามครั้งแล้วครั by mr_tawan
ไม่แปลกครับ พวกนี้กว่าจะเปลี่ยนกฎกันเป็นลำดับได้ต้องใช้เวลาอีกเป็นปี
อย่างพวก ISO 27000 หรือ PCI-DSS ก็ยังมีกฎพวกนี้กันอยู่ครับ ในหน่วยงานที่ต้องทำตามจะไปชี้ว่าคำแนะนำใหม่ๆ มันเปลี่ยนแล้วจะไม่ทำตามคงไม่ได้ ก็ต้องรอให้มันปรับกฎกันอีกระยะ
และจริงๆ แล้วคำแนะนำมันเปลี่ยน ก็ต้องดูรายละเอียดดีๆ ด้วยว่าเขาพูดยังไง อย่าง GCHQ ไม่แนะนำให้บังคับเปลี่ยนรหัส แต่ก็มีคำแนะนำเรื่องการแจ้งเตือนเมื่อล็อกอินเพิ่มเข้ามา อย่างพวกเซิร์ฟเวอร์จะไปถอดกฎการบังคับเปลี่ยนรหัสออก ก็ต้องตอบให้ได้ว่าจะมีกระบวนการแจ้งเตือนกันยังไง ถ้าแจ้งเตือนไม่ได้จะทำอย่างไร ฯลฯ ไม่ใช่อยู่ๆ จะไปเลิกทำได้ตามใจชอบ
แต่แนวโน้มโดยรวมๆ ผมเชื่อว่ามาตรฐานความปลอดภัยรุ่นต่อๆ ไปก็จะไปในแนวทางนี้ครับ ระดับคนทำงานที่ต้องทำตามมาตรฐานคงต้องภาวนาให้มาตรฐานมันปรับเร็วๆ
+1
illuminator Sat, 08/10/2016 - 23:15
In reply to Password by mr_tawan
+1
เปลี่ยนกันทุกเดือน แต่รหัสที่เปลี่ยนนั้นคิดไม่ออก ได้แต่สลับตำแหน่งที่ไปมาทุกเดือน 555
Oct@2016
mr_tawan Mon, 10/10/2016 - 02:24
In reply to +1 by illuminator
่วนไปวนไปครับ
ย่อหน้าสุดท้ายนี่คนทำระบบคงคิ
bahamutkung Sat, 08/10/2016 - 16:00
ย่อหน้าสุดท้ายนี่คนทำระบบคงคิดแล้วครับ แต่รัฐคิดตรงข้าม(แล้วคนทำระบบก็ต้องยอม)
ก็ยุคก่อการร้ายโดยรัฐนี่เนอะ /ยักไหล่
บริษัทผม ใช้ lotus note
specimen Sat, 08/10/2016 - 20:11
บริษัทผม ใช้ lotus note ต้องเข้าผ่าน vpn ผ่าน laptop
พนักงานที่เคยใช้ gmail อยู่ ไม่ยอมใช้ เพราะปัจจุบัน ติดต่อผ่านลูกค้า real time ผ่านมือถือ
ระบบใหม่ คุยกะลูกค้าได้เฉพาะตอนอยู่นิ่ง ๆ เปิดคอม ต่อไวไฟในโรงแรม
สุดท้าย ความปลอดภัย กลายเป็นไร้ประโยชน์ เพราะไม่มีใครยอมใช้
Lotus on mobile ก็มีแต่ไม่ให้ใช้ บนหน้าเว็บก็มี แต่เลวร้าย เคยได้ใช้มาก่อน สมัยที่ยังทำงานกะทีมเดิม
สุดท้าย ความปลอดภัยอันสูงส่ง ก็ไร้ประโยชน์
ความสะดวกมันเห็นผลเดี๋ยวนั้นเ
wichate Mon, 10/10/2016 - 08:08
In reply to บริษัทผม ใช้ lotus note by specimen
ความสะดวกมันเห็นผลเดี๋ยวนั้นเลย
แต่ความปลอดภัย ถ้ายังไม่เกิดเหตุก็ยังไม่เห็นประโยชน์ไงครับ
(ดังนั้นคนทั่วไปยังไงก็ต้องเลือกสะดวกก่อน)