CLASS XIII

การรักษาความปลอดภัยระบบสารสนเทศและจรรยาบรรณเบื้องต้น

        ความเสี่ยงของระบบสารสนเทศ (Information system risk) คือ เหตุการณ์หรือการกระทำใดๆ ที่ก่อให้เกิดการสูญเสียหรือทำลายฮาร์ดแวร์ (Hardware) ซอฟต์แวร์ (Software) ข้อมูล สารสนเทศ หรือความสามารถในการประมวลผลข้อมูลของระบบ

ประเภทของบุคคลที่เกี่ยวข้องกับความเสี่ยงของระบบสารสนเทศ

-      แฮกเกอร์ (Hacker) กลุ่มคนที่มีความเชี่ยวชาญในการเจาะข้อมูล ขโมยฐานข้อมูล

-      แครกเกอร์ (Cracker) กลุ่ม คนที่เจาะระบบฐานข้อมูลเช่นเดียวกัน แต่มีวัตถุประสงค์เพื่อตรวจสอบความปลอดภัยของระบบ นำไปเป็นแนวทางในการสร้างการป้องกันและพัฒนาระบบรักษาความปลอดภัยต่อไป

-      ผู้ก่อให้เกิดภัยมือใหม่ (Script Kiddies) คนรุ่นใหม่ที่พึ่งจะเริ่มเจาะระบบ หรือสร้างไวรัส

-      ผู้สอดแนม (Spies) คนที่ดักดูข้อมูลต่างๆ ระหว่างการทำงานของคนอื่น

-      เจ้าหน้าที่ขององค์กร (Employees) พนักงานขององค์กรที่อาจนำไวรัสมาสู่คอมพิวเตอร์โดยไม่ตั้งใจ

-      ผู้ก่อการร้ายทางคอมพิวเตอร์ (Cyber terrorist) คนที่สร้างกระแสเพื่อให้เกิดเรื่องราวขนาดใหญ่ โดยใช้คอมพิวเตอร์และเครือข่ายอินเทอร์เน็ตเป็นตัวแพร่กระจาย

ประเภทของความเสี่ยงของระบบสารสนเทศ
1. การโจมตีระบบเครือข่าย (Network attack)
 การโจมตีขั้นพื้นฐาน (Basic Attacks) เช่น การรื้อค้นข้อมูลจากถังขยะ(recycle bin) ในระบบ
 การโจมตีด้านคุณลักษณะ (Identity Attacks) เป็นการโจมตีในลักษณะของการปลอมแปลงตัวตน เช่น
 - DNS Spoofing และ e-mail spoofing เป็นการปลอมแปลงตัวตนผ่านเครือข่าย อาทิ อีเมลล์ เพื่อสวมรอยในการกระทำการบางอย่าง เช่น ส่งแสปมเมลล์
 - IP Spoofing เป็นการทำที่อยู่ปลอมขึ้นบนเครือข่าย จากการปลอมแปลง IP address ของเวปไซท์หรือเครื่อง อาทิ เมื่อต้องการที่จะเข้าเวปไซต์หนึ่ง อาจจะถูกดึงไปสู่อีกเวปที่ปลอมแปลง IP เวปไซท์ต้น
 การปฏิเสธการให้บริการ (Denial of Service หรือ DOS) เป็นการส่งสัญญาณแบบถี่ๆในช่วงเวลาหนึ่งๆเข้าเวปไซต์ ทำให้ระบบล่ม ไม่สามารถใช้งานได้ (เช่น การเข้าหน้าเวปไซต์หนึ่งๆ พร้อมๆกันหลายๆคน) เช่น
 - Distributed denial-of-service (DDOS)
 - DOSHTTP (HTTP Flood Denial of Service)

          การโจมตีด้วยมัลแวร์ (Malware)
โปรแกรมมุ่งร้ายที่โจมตีการปฏิบัติงานของคอมพิวเตอร์ (Computer operations) ประกอบด้วย ไวรัส (Viruses) เวิร์ม (Worms) โทรจันฮอร์ส (Trojan horse) โดยจะมาในรูปแบบของ software ซึ่งอาจจะปลอมแปลงชื่อ หรือติดมากับโปรแกรมอื่นๆ เมื่อเปิดใช้งานแล้วจะทำลายระบบของเครื่องที่เปิดใช้ และอาจรวมถึงเครือข่ายที่เชื่อมต่อกับเครื่องนั้นด้วย (อย่างไรก็ดี ขณะนี้ปรากฎว่าโปรแกรม Malware ทั้งหลายนั้น ทำงานบนระบบปฏิบัติการบางระบบ ในขณะที่บางระบบจะไม่อ่าน เนื่องจาก Malware นั้นไม่ได้สร้างขึ้นเพื่อรองรับการทำงานบนระบบปฏิบัติการนั้นๆ)

2. การเข้าถึงระบบโดยไม่ได้รับอนุญาต (Unauthorized access)
         การใช้คอมพิวเตอร์หรือระบบเครือข่ายคอมพิวเตอร์โดยไม่มีสิทธิ ซึ่งส่วนมากจะเป็นการใช้คอมพิวเตอร์หรือข้อมูลในเครื่องคอมพิวเตอร์เพื่อทำ กิจกรรมบางอย่างที่ผิดกฏระเบียบของกิจการหรือการกระทำที่ผิดกฏหมาย เช่น การเข้าหน้าเว็บไซต์อื่นขณะทำงาน ซึ่งอาจทำให้คอมพิวเตอร์ติดไวรัสได้

3. การขโมย (Theft)
      การขโมยฮาร์ดแวร์และการทำลายฮาร์ดแวร์มักอยู่รูปของการตัดสายเชื่อมต่อระบบ เครือข่ายคอมพิวเตอร์ เช่น ขโมย RAM, ขโมยจอ เป็นต้น โดยมักขโมยข้อมูลความลับส่วนบุคคล

4. ความล้มเหลวของระบบสารสนเทศ (System failure)
         อาจมาจากเสียง (Noise) เช่น มีคลื่นเสียงรบกวน ทำให้ระบบเกิดความผิดพลาดได้ หรือแรงดันไฟฟ้าต่ำ (Under voltages) เช่น ไฟตก หรือ แรงดันไฟฟ้าสูง (Over voltages)

การรักษาความปลอดภัยของระบบสารสนเทศ

1.การรักษาความปลอดภัยการโจมตีระบบเครือข่าย

-          ติดตั้งและ update ระบบโปรแกรมป้องกันไวรัส

-          ติดตั้งFirewall

-          ติดตั้งซอร์ฟแวร์ตรวจจับการบุกรุก โดยมีการตรวจสอบ IP address ของผู้ที่เข้าใช้งานระบบ

-          ติดตั้ง honey pot มีการสร้างระบบไว้ข้างนอก เป็นตัวที่เอาไว้หลอกล่อพวกแฮกเกอร์ที่ต้องการเจาะเข้าระบบ

2. การควบคุมการเข้าถึงระบบโดยไม่ได้รับอนุญาต

-          การระบุตัวตน การพิสูจน์ตัวจริง เช่น มีการใส่รหัสผ่าน  บอกข้อมูลที่ทราบเฉพาะบุคคลที่เป็นเจ้าของ ใช้บัตรผ่านที่มีลักษณะเป็นบัตรประจำตัว ลักษณะทางกายภาพ

3. การควบคุมการขโมย

-          การควบคุมการเข้าถึงทางกายภาพ การรักษาความปลอดภัยของซอฟแวร์โดยเก็บรักษาแผ่นในสถานที่ที่มีการรักษาความปลอดภัย Real time location การใช้ลักษณะทางกายภาพในการเปิดปิดคอมพิวเตอร์

4. การเข้ารหัส คือ การแปลงข้อมูลที่คนทั่วไปสามารถอ่านได้ให้อยู่ในรูปที่เฉพาะคนที่เกี่ยวข้อง เท่านั้นจึงสามารถอ่านได้ ประเภทการเข้ารหัส คือ การเข้ารหัสแบบสมมาตร และการเข้ารหัสแบบไม่สมมาตร

5. การรักษาความปลอดภัยอื่นๆ เช่น SSL: Secure sockets layer, S-HTTP, VPN

6. ควบคุมการล้มเหลวของระบบสารสนเทศ เช่น Surge protector, UPS, Disaster Recovery, Business Continuity Planning

7. การสำรองข้อมูล

8. การรักษาความปลอดภัยของ Wireless LAN

จรรยาบรรณคอมพิวเตอร์ คือหลักปฏิบัติที่แสดงให้เห็นถึงความรู้สึกผิดชอบเกี่ยวกับการใช้ระบบสารสนเทศซึ่งประกอบด้วย

·        การใช้คอมพิวเตอร์และเครือข่ายโดยไม่ได้รับอนุญาต

·        การขโมยซอฟต์แวร์ (การละเมิดลิขสิทธิ์)

·        ความถูกต้องของสารสนเทศ เช่น การตกแต่งรูปภาพ เป็นต้น

·        สิทธิ์ต่อทรัพย์สินทางปัญญา (Intellectual property rights)

·        หลักปฏิบัติ (Code of conduct)

·        ความเป็นส่วนตัวของสารสนเทศ (Information privacy)

Class XI

Business Intelligence (Cont'd)

Web mining

เป็นการ mining ผ่าน เว็บไซต์ทำให้สามารถติดตามพฤติกรรมของผู้ใช้งานในเว็บไซต์ต่างๆได้ ซึ่งช่วยทำให้วิเคราะห์ความต้องการหรือได้ข้อมูลที่น่าสนใจเกี่ยวกับ พฤติกรรมของผู้ใช้งานได้ ซึ่งเราสามารถ track รูปแบบการใช้งานเหมือนการแกะรอยเท้าซึ่งในที่นี้เราเรียกว่า “Clickstream”

-      Web content mining : ดูจากระยะเวลาที่ผู้ใช้งานใช้

-      Web structure mining : ดูจากว่าผู้ใช้งานเข้าผ่านทาง URL หรือทาง Link โดยการที่ลูกค้ามักเข้าเว็บผ่านลิงค์อื่นๆ อาจทำให้บริษัททราบว่าลูกค้าจำ URL ของบริษัทไม่ได้ หรือไม่เกิด Brand Recognition

-      Web usage mining : ดูข้อมูลการใช้งานของ visitor ซึ่งเกิดจากการเก็บข้อมูลจำนวนลูกค้าที่เข้ามาเยี่ยมชมเว็บและทำ transaction ผ่านเว็บทำให้รู้พฤติกรรมการของลูกค้าได้

Four-stage model of IS/IT planning
        เป็นพื้นฐานในการพัฒนา portfolio of application โดยเป็นการทำให้สอดคล้องกันระหว่าง เป้าหมายของบริษัท กับ การสร้างความได้เปรียบจากคู่แข่ง  โดยประกอบไปด้วยขั้นตอนดังนี้

1.   Strategic planning     คือ  การสร้างความสัมพันธ์ระหว่างแผนขององค์กร กับ แผน IT  โดยขั้นตอนนี้คือการระบุ application portfolio ของบริษัท ซึ่งอาจขยายรวมไปถึงขั้นตอนในการหา strategic information system(SIS) ที่บริษัทสามารนำไปพัฒนาเพื่อสร้างความได้เปรียบทางการแข่งขันได้   และรวมไปถึงการประเมินสภาพแวดล้อมของธุรกิจในปัจจุบัน และวัตถุประสงค์และกลยุทธ์ในอนาคตของบริษัทด้วย ซึ่งมีขั้นตอนดังนี้

o    set IS mission

o    Access environment 

o    Access organizational objectives strategies

o    Set IS policies,objectives,strategies\

2.   Organizational Information requirements analysis: ระบุข้อมูลที่ใช้ในการสร้างโครงสร้าง strategic information

o    Access organization's information requirements

o    Assemble master development plan 

3.   Resource allocation planning:แบ่งสัดส่วนระหว่าง IT application development resource กับ operational resource

o    develop  resource requirement plan

4.   Project planning : พัฒนาแผนงาน ตารางงาน และ resource ที่ต้องการ สำหรับ specific IS project

o    Evaluate project and develop project plans

The Business Systems Planning Model (BSP) การวิเคราะหข้อมูลทั่วทั้งองค์กร เพื่อให้เห็นถึงโครงสร้างการกำเนิดของข้อมูลผ่าน Business Processes (Across Functional) และ Data Classes บอกว่าแต่ละ Process ใช้และสร้าง Data อะไร ซึ่งช่วยให้ข้อมูลดำรงอยู่แม้มีการเปลี่ยนแปลงโครงสร้างองค์กรก็ตาม มีขั้นตอนโดยคร่าวดังนี้

-          Gaining Commitment ของพนักงานทั่วทั้งองค์กร

-          Defining Business Process

-          Defining Data Classes กำหนดประเภทข้อมูล ไม่ใช่ item

-          Analyzing Current Systems Support สิ่งที่มีวันนี้

-          Defining Findings and Conclusions สิ่งที่ต้องทำเพิ่ม

-          Defining Info Architecture (หลายระบบ)

-          Determining Architecture Priorities จัดลำดับความสำคัญของระบบ

-          Developing Action Plan

Critical Success Factors (CSF)

critical success factor(CSF) เป็นเครื่องมือสำคัญที่ช่วยให้องค์กรอยู่รอดและประสบความสำเร็จ ซึ่งมีความแตกต่างกันไปในแต่ละอุตสาหกรรม

ขั้นตอนการทำ CSF ได้แก่

1.        Aggregate and Analyze Individual CSFs

2.        Develop Agreement on Company CSFs

3.        Define Company CSFs หาข้อสรุปและระบุ CSF ขององค์กร

4.        Define DSS and Database

5.        Develop IS Priorities ระบุความสำคัญของระบบสารสนเทศที่ต้องการ

CLASS IX

Data Management (cont)

Data Warehouses  จะเป็นการดึงข้อมูลมาจาก Data Base เฉพาะหัวข้อที่เกี่ยวข้อง เพื่อนำมาใช้ในการวิเคราะห์ข้อมูล โดยมีการนำเสนอในรูปแบบต่างๆ ตามลักษณะของการใช้บริหาร เช่น Drill Downs เป็นการให้ข้อมูลในภาพรวมก่อน แต่สามารถเข้าถึงข้อมูลเชิงลึกได้ หากสนใจในหัวข้อนั้นๆ

ลักษณะของ Data Warehouse

                        Organization กรองข้อมูลจากแหล่งข้อมูล (Data Base ) เข้าไปสู่ระบบเดียวกัน โดยแบ่งข้อมูลต่างๆ ตามหัวข้อ

                        Consistency คัดกรองข้อมูลให้มีรูปแบบและอัพเดตที่ตรงกัน ป้องกันไม่ให้มีข้อมูลซ้ำซ้อน หรือผิดพลาดส่งต่อไปยังส่วนงานอื่นๆ

                        Time Variant ระยะเวลาในการจัดเก็บข้อมูล 5 – 10 ปี ทำให้สามารถวิเคราะห์ข้อมูลเป้ฯแนวโน้ม (Trend) ที่อาจจะเกิดขึ้นในอนาคตได้

Major Benefits of Data Warehouses

1. ข้อมูลที่ได้เป็นระบบ รวดเร็วและทันต่อการใช้งาน

2. ข้อมูลถูกรวบรวมไว้ในที่เดียวกัน ทำให้ผู้ใช้งานสามารถเข้าถึงข้อมูลได้ง่ายขึ้น

        Meta data เป็น Data ของ Data ซึ่งก็คือเป็น Data ที่ใช้อธิบาย Data ที่อยู่ใน Data Warehouse โดย Meta data จะอธิบายว่ามีการ move ข้อมูลมาจาก Database ไหน และ Summarize อะไรไปยังไงบ้าง

        The Data Mart เป็น Small scale ของ Data Warehouse เนื่องจากเดิมข้อมูลทั้งหมดจะอยู่ใน Enterprise Data Warehouse แล้วระบบอาจจะเกิดการ Overload เวลาที่มีคนใช้พร้อมกันมากๆ จึงเกิด Data Mart ขึ้น ซึ่ง Data Mart จะมี 2 แบบ คือ

        1. แบบ Replicated จะมี Enterprise Data Warehouse ก่อน แล้วค่อย Replicate บางส่วนที่ต้องการมาเป็น Data Mart

        2. แบบ Stand-alone data marts เกิดจากกรณีที่องค์กรยังไม่พร้อมทำ Enterprise Data Warehouse จึงเริ่มที่การทำ Data Mart เป็นของตัวเองไปก่อน พอถึงจุดที่ทุกฝ่ายพร้อม ค่อยเอา Data Mart มารวมกัน

       Data Cube 

คือ Multidimensional Databases เพื่อ ให้สามารถมองภาพของข้อมูลนั้นได้หลายมิติมากขึ้น โดยมีจุดเด่น คือ สามารถตัดข้อมูลเป็นแต่ละส่วน เพื่อเลือกส่วนของข้อมูลที่ต้องการวิเคราะห์ ได้ ทำให้เห็นปัญหาที่ชัดเจนขึ้น หลายมิติ หลายมุมมองมากขึ้น ซึ่งสามารถ Slice และ Dice ออกมาได้

Business Intelligence

คือ การรวมกันของโครงสร้างระบบ เครื่องมือต่างๆ ระบบฐานข้อมูลและ Application ที่ช่วยในการวิเคราะห์ข้อมูลให้มีประสิทธิภาพมากยิ่งขึ้น ประกอบไปด้วย 3 องค์ประกอบ ดังนี้

1.       Reporting and Analysis 

ส่วนออกรายงานให้แก่ผู้ใช้ ซึ่งมีตัวอย่างรูปแบบของการออกรายงานต่างๆ เช่น

Enterprise Reporting System - จัดทำรายเป็นข้อมูล ที่เตรียมให้สำหรับผู้บริหารนำไปใช้ในการวิเคราะห์ต่างๆ

งานทั้งในรูปแบบปกติ และรูปแบบที่สามารถปรับแก้เองได้

Dashboards การรายงานข้อมูล Visual Display โดยแบ่งออกเป็น 3 ระดับ ได้แก่ Operation Dashboard, Tactical Dashboard และ Strategic Dashboard 

Scorecard  เป็นรายงานสำหรับผู้บริหารในระดับ strategic ป็นกระบวนการสำหรับการตรวจสอบและควบคุม โดยนำหลักมาจาก Balance Scorecard มาใช้

หมายเหตุ Balance Scorecard (BSC) การวัดผลในมุมมองต่างๆ โดยมี KPI เสมอ ตัวอย่าง KPI เป็นตัววัดผล

2.       Analytics

                กระบวนการวิเคราะห์ข้อมูลที่ได้จากแหล่งต่างๆ เช่น Business Performance Management (BPM) Online Analytical Processing (OLTP) 

3.       Data Mining

                การแยกข้อมูลเพื่อพยากรณ์แนวโน้มที่อาจจะเกิดขึ้น หรือการค้นหาข้อมูลที่เป็นประโยชน์ในอดีตในสิ่งที่เราไม่รู้ โดยทำกับบริษัทที่มี Database ขนาดใหญ่ ข้อมูลจำนวนมาก เพื่อให้เกิดประโยชน์ในการค้นหา

                โดยกระบวนการของ Mining เริ่มต้นที่ การรวบรวมข้อมูลจากที่ต่างๆ ทั้ง Warehouse และแหล่งอื่น แล้วทำ ECTL (Extract, Clean, Transform, Load) แล้วจึงวิเคราะห์และประมวลผล จากนั้นจึงแปรผลข้อมูล เพื่อให้สามารถนำไปใช้ได้ง่ายยิ่งขึ้น 

รูปแบบของ Data Mining

                เป็นการค้นหาความรู้ใหม่ๆ เพื่อให้เกิดความเข้าใจ และนำไปปฏิบัติได้ เป็นการทำให้ข้อมูลที่มีอยู่เป็นจำนวนมากใน Databases กลายเป็นข้อมูลที่มีประโยชน์ต่อการตัดสินใจ ผ่านการใช้เครื่องมือช่วยในการวิเคราะห์ ซึ่งประกอบด้วย 5 รูปแบบ ได้แก่

·        Clustering เป็นการจัดกลุ่มข้อมูล โดยทำการ plot ข้อมูล แล้วดูจุดที่กลุ่มข้อมูลกระจุกตัวรวมกัน

·        Classification เป็นการจัดกลุ่มข้อมูลแบ่งตามเกณฑ์คุณลักษณะต่างๆ โดยมีสมมติฐานล่วงหน้า

·        Association เป็นผลสืบเนื่องที่เกิดขึ้น เช่น หากลูกค้าเปิดบัญชีออมทรัพย์ ต่อไปก็มีความเป็นไปได้ที่จะทำบัตร ATM ด้วย เป็นต้น

·        Sequence Discovery เป็นผลที่เกิดตามหลังมา

·        Prediction การ Forecast เป็นการคาดการณ์ล่วงหน้า (forecast)

Balance Scorecard (BSC)

      การวัดผลในมุมมองต่างๆโดยมี KPI ในด้าน financial, customer, internal process และ learning มาช่วยวัดผลการดำเนินงาน

Business Value of BI: คือการวัดมูลค่าการใช้ Business Intelligence ให้เกิดประโยชน์ต่อองค์กร

Online Analytical Processing (OLTP): เป็น software technology ที่ช่วยระบุปัญหา