พบกับเมืองนี้

คุณจะปกป้องสิ่งที่คุณไม่รู้ว่ามีอยู่ไม่ได้ งานแรกของผู้ป้องกันคือการทำ บัญชีรายการ: รายการ ทรัพย์สิน หรือสิ่งมีค่าที่ต้องปกป้อง

ลองนึกถึงเมืองเล็ก ๆ ที่สมมติขึ้นชื่อ Acmeton ซึ่งมีโรงเรียน คลินิก ร้านค้า และสำนักงานสภาเมือง ทรัพย์สินของเมืองแบ่งได้เป็นกลุ่มต่าง ๆ ดังนี้:

• ผู้คนและบัญชี: นักเรียน เจ้าหน้าที่ กล่องจดหมายที่ใช้ร่วมกัน บัญชีผู้ดูแลระบบ
• อุปกรณ์: แล็ปท็อป แท็บเล็ต โทรศัพท์ เครื่องพิมพ์ กล้องประตู เครื่องควบคุมอุณหภูมิอัจฉริยะ
• บริการและซอฟต์แวร์: ร้านค้าบนเว็บ อีเมล ระบบจอง
• ข้อมูล: รายชื่อลูกค้า บันทึกทางการแพทย์ คะแนนสอบ บันทึกการชำระเงิน
• การเชื่อมต่อ: เราเตอร์ ไวไฟ ลิงก์ไปยังอินเทอร์เน็ต

ทรัพย์สินใดสำคัญ? ถามคำถามสองข้อนี้กับทรัพย์สินแต่ละรายการ:

• ถ้าข้อมูลถูกเปิดเผย ถูกเปลี่ยนแปลง หรือใช้งานไม่ได้ จะเกิดผลเสียร้ายแรงแค่ไหน (หลักสามประการ CIA จากบทเรียนที่ 1)
• มีสิ่งอื่นอีกกี่อย่างที่ต้องพึ่งพาสิ่งนี้

บันทึกการเข้าเรียนของโรงเรียนมีความสำคัญมากกว่าเครื่องชงกาแฟในห้องพักครู แม้ว่าทั้งสองอย่างจะเชื่อมต่อกับเครือข่ายก็ตาม ทรัพย์สินสำคัญ ต้องมีชั้นการป้องกันที่แข็งแกร่งกว่า การอัปเดตที่รอบคอบกว่า และการสำรองข้อมูลที่ดีกว่า การแบ่งความพยายามปกป้องทุกอย่างเท่า ๆ กัน มักทำให้สิ่งที่สำคัญที่สุดได้รับการปกป้องไม่เพียงพอ

บัญชีรายการที่มีประโยชน์ควรบันทึกข้อมูลของทรัพย์สินแต่ละรายการ ได้แก่ คืออะไร ใครเป็นเจ้าของ อยู่ที่ไหน (ในสถานที่ ในคลาวด์ หรือที่บ้านของใครสักคน) เก็บข้อมูลอะไรไว้ และ สำคัญแค่ไหน สเปรดชีตธรรมดาก็เป็นจุดเริ่มต้นที่ดี สิ่งของที่ซ่อนอยู่หรือถูกลืม เช่น เซิร์ฟเวอร์ทดสอบเก่าหรือกล้องที่ไม่มีใครจำได้ว่าติดตั้งไว้ เป็นสาเหตุของปัญหาที่พบได้บ่อย ทรัพย์สินที่ไม่มีใครรู้จักย่อมไม่มีใครอัปเดต

คิดแบบผู้พิทักษ์ เพื่อทำความเข้าใจความเสี่ยง ลองถามว่า "ถ้ามีใครอยากสร้างความเสียหายที่นี่ พวกเขาจะมุ่งเป้าไปที่อะไร และทางเข้าที่ง่ายที่สุดคือทางไหน" ผู้เชี่ยวชาญด้านความปลอดภัยเรียกการมองแบบนี้ว่า พื้นผิวการโจมตี: ทุกจุดที่ปัญหาอาจเข้ามาได้ เราถามคำถามนี้ เพื่อดูว่าจะเสริมความแข็งแกร่งตรงไหนเท่านั้น ไม่ใช่เพื่อวางแผนสร้างความเสียหาย บางครั้งแนวคิดนี้เรียกว่า "มุมมองของผู้โจมตี" แต่เป้าหมายมีไว้เพื่อการป้องกันโดยเฉพาะ

ในคำศัพท์ของ NIST บทเรียนนี้คือฟังก์ชัน ระบุ (Identify): รู้จักทรัพย์สินของคุณ รู้ความเสี่ยง และจัดลำดับความสำคัญ ทุกสิ่งที่จะเรียนต่อจากนี้ในคอร์สล้วนต่อยอดจากเรื่องนี้

มีกฎอีกข้อสำหรับรายการทรัพย์สินของคุณเอง: ต้องทำกับ ระบบที่คุณเป็นเจ้าของหรือรับผิดชอบเท่านั้น การดู จดรายการ หรือตรวจสอบอุปกรณ์ของผู้อื่นโดยไม่ได้รับอนุญาตอาจผิดกฎหมาย แม้ว่าคุณจะไม่ได้ตั้งใจทำร้ายใครก็ตาม บทเรียนที่ 24 จะอธิบายเหตุผล