Cyber Youth Cambodia (Channel)

⚠️ ប្រយ័ត្ន! គ្រោះថ្នាក់ដែលមើលមិនឃើញនៅពេលប្រើ Free Wi-Fi សាធារណៈ ពេលទៅហាងកាហ្វេ ព្រលានយន្តហោះ ឬសណ្ឋាគារ អ្នកណាៗក៏ចូលចិត្តភ្ជាប់ Free Wi-Fi ដែរ ប៉ុន្តែតើអ្នកដឹងទេថា Hacker ក៏ចូលចិត្តបណ្តាញ Wi-Fi ទាំងនោះដូចគ្នា? ការប្រើ Free Wi-Fi ដោយគ្មានការប្រុងប្រយ័ត្ន អាចធ្វើឱ្យអ្នកលេចធ្លាយលេខសម្ងាត់ លេខគណនីធនាគារ និងទិន្នន័យផ្ទាល់ខ្លួនបានយ៉ាងងាយ! ចំនុចសាមញ្ញៗដើម្បីសុវត្ថិភាព៖ ១. ប្រើប្រាស់ VPN៖ បើក VPN រាល់ពេលភ្ជាប់ Wi-Fi សាធារណៈ ដើម្បីការពារ/Encrypt ទិន្នន័យរបស់អ្នក។ ២. ចៀសវាងការវាយបញ្ចូលព័ត៌មានសំខាន់៖ កុំចូលប្រើ App ធនាគារ ឬទិញទំនិញអនឡាញ (វាយលេខកាត) ពេលប្រើ Free Wi-Fi។ ៣. បិទ Auto-Connect៖ កុំទុកឱ្យទូរស័ព្ទភ្ជាប់ Wi-Fi ដោយស្វ័យប្រវត្តិ។ ៤. ពិនិត្យ HTTPS៖ ប្រើតែគេហទំព័រណាដែលមានសញ្ញារូបសោរ (https://) ប៉ុណ្ណោះ។ 💡 ការរំលឹក៖ បើចាំបាច់ត្រូវធ្វើប្រតិបត្តិការធនាគារ គួរប្រើប្រាស់ 4G/5G ផ្ទាល់ខ្លួន គឺមានសុវត្ថិភាពជាង! ចូលរួម Share ព័ត៌មាននេះទៅកាន់មិត្តភក្តិរបស់អ្នក ដើម្បីការពារទិន្នន័យទាំងអស់គ្នា! #PublicWiFiSafety #CyberSecurityKhmer #OnlineSafetyTips #DigitalHygiene #សុវត្ថិភាពបច្ចេកវិទ្យា #ប្រយ័ត្នFreeWiFi @OUPNarith

🔹 Fundamentals you *understand* — networking, Linux, Windows 🔹 A free home lab — Wazuh + Sysmon + 2 VMs 🔹 Written investigations you can talk through out loud 🔹 A resume that leads with projects, not adjectives We put the whole thing into a free 68-page guide — fundamentals → SIEM → threat hunting → interview prep → a 180-day plan that takes you from zero to applying. @OUPNarith

អត្ថបទទី ៣២៖ វិធីពិនិត្យ URL ក្លែងក្លាយ និងការពារខ្លួនពី Phishing Links ព័ត៌មានលំអិត https://secudemy.com/spot-fake-links-phishing-url/ * JOIN សន្តិសុខបច្ចេកវិទ្យា * ---------------------- Cyber Aware: @OUPNarith #SecuDemy #StaySafeOnlineCambodia #CyberYouthCambodia #ISACCambodia #DigitalEconomyKH

ការយល់ខុសដ៏ធំបំផុតមួយអំពី ISO 27001:2022 គឺការគិតថាគ្រាន់តែអនុវត្តវិធានការបច្ចេកទេសគឺគ្រប់គ្រាន់ហើយ តាមពិតទៅ អ្វីដែលសវនករស្វែងរក និងមានសារៈសំខាន់ដូចគ្នានោះគឺ៖ ភស្តុតាង (Evidence) ប្រសិនបើដំណើរការមួយមិនត្រូវបានចងក្រងជាឯកសារ មិនត្រូវបានថែទាំ និងមិនត្រូវបានអនុវត្តតាមឱ្យបានជាប់លាប់នោះទេ វាពិតជាពិបាកក្នុងការបង្ហាញថាដំណើរការនោះមានពិតប្រាកដណាស់។ ហេតុដូច្នេះហើយ ទើបប្រព័ន្ធឯកសារគឺជាឆ្អឹងខ្នងនៃប្រព័ន្ធគ្រប់គ្រងសន្តិសុខព័ត៌មាន (ISMS) ដែលមានប្រសិទ្ធភាព។ ឯកសារសំខាន់ៗមួយចំនួនដែលគ្រប់ស្ថាប័នគួរតែរក្សាទុក រួមមាន៖ 📄 គោលនយោបាយសន្តិសុខព័ត៌មាន (Information Security Policy) ជាគ្រឹះដែលកំណត់ពីគោលបំណងសន្តិសុខ ការទទួលខុសត្រូវ និងការប្តេជ្ញាចិត្តរបស់ស្ថាប័ន។ 📊 វិធីសាស្ត្រវាយតម្លៃហានិភ័យ និងបញ្ជីហានិភ័យ (Risk Assessment Methodology & Risk Register) វិធីសាស្ត្រដែលមានរចនាសម្ព័ន្ធច្បាស់លាស់ក្នុងការកំណត់ វាយតម្លៃ និងចាត់វិធានការលើហានិភ័យសន្តិសុខព័ត៌មាន។ 📋 សេចក្តីថ្លែងការណ៍ស្តីពីការអនុវត្ត (Statement of Applicability - SoA) ជាឯកសារដ៏សំខាន់បំផុតមួយក្នុងអំឡុងពេលធ្វើសវនកម្ម ISO 27001 ដែលពន្យល់ពីវិធានការត្រួតពិនិត្យណាខ្លះដែលត្រូវបានអនុវត្ត និងហេតុអ្វី។ 🖥️ បញ្ជីសារពើភ័ណ្ឌទ្រព្យសកម្ម (Asset Inventory) អ្នកមិនអាចការពារប្រព័ន្ធ កម្មវិធី ឬទ្រព្យសកម្មព័ត៌មានដែលអ្នកមិនដឹងថាមាននោះឡើយ។ 🔐 គោលនយោបាយគ្រប់គ្រងការចូលប្រើប្រាស់ (Access Control Policies) ការកំណត់ឱ្យបានច្បាស់លាស់ថា តើនរណាអាចចូលប្រើប្រាស់អ្វីខ្លះ ស្ថិតនៅក្រោមលក្ខខណ្ឌណា និងរបៀបគ្រប់គ្រងសិទ្ធិអនុញ្ញាត។ 🚑 ផែនការឆ្លើយតបចំពោះឧប្បត្តិហេតុ (Incident Response Plans) នីតិវិធីដែលបានចងក្រងជាឯកសារជួយឱ្យក្រុមការងារសន្តិសុខអាចឆ្លើយតបបានយ៉ាងមានភាពស៊ីសង្វាក់គ្នា និងមានប្រសិទ្ធភាពនៅពេលមានឧប្បត្តិហេតុកើតឡើង។ 🔄 ការបន្តនិរន្តរភាពអាជីវកម្ម និងការស្តារឡើងវិញពីគ្រោះមហន្តរាយ (Business Continuity & Disaster Recovery) សន្តិសុខសាយប័រមិនមែនត្រឹមតែជាការការពារឧប្បត្តិហេតុប៉ុណ្ណោះទេ ប៉ុន្តែគឺអំពីការធានាថាអាជីវកម្មអាចស្តារឡើងវិញបាននៅពេលដែលវាសាយភាយកើតឡើង។ 🤝 ការគ្រប់គ្រងសន្តិសុខអ្នកផ្គត់ផ្គង់ (Supplier Security Management) ហានិភ័យពីភាគីទីបីនៅតែជាបញ្ហាប្រឈមដ៏ធំបំផុតមួយសម្រាប់ស្ថាប័នទំនើបៗ និងជាចំណុចផ្តោតសំខាន់ក្នុងអំឡុងពេលធ្វើសវនកម្ម។ 🛠️ ការគ្រប់គ្រងភាពងាយរងគ្រោះ និងការអាប់ដេតបំណះសន្តិសុខ (Vulnerability & Patch Management) ការបង្ហាញពីដំណើរការដែលអាចធ្វើឡើងវិញបានក្នុងការស្វែងរក កំណត់អាទិភាព និងដោះស្រាយចំណុចខ្សោយផ្នែកសន្តិសុខ។ 📈 នីតិវិធីកត់ត្រាប្រវត្តិកិច្ចការ និងការត្រួតពិនិត្យ (Logging & Monitoring Procedures) ការត្រួតពិនិត្យប្រកបដោយប្រសិទ្ធភាពជួយផ្តល់នូវភាពមើលឃើញ គណនេយ្យភាព និងភស្តុតាងដ៏មានតម្លៃក្នុងអំឡុងពេលស៊ើបអង្កេត និងការវាយតម្លៃការអនុលោមភាព។ 💡 អ្វីដែលអ្នកគួរចងចាំ! ISO 27001 មិនគួរត្រូវបានចាត់ទុកថាជាគ្រាន់តែជាគម្រោងដើម្បីទទួលបានវិញ្ញាបនបត្រនោះឡើយ។ វាគឺជាក្របខ័ណ្ឌអភិបាលកិច្ចដែលត្រូវបានបង្កើតឡើងដើម្បីកសាងការអនុវត្តសន្តិសុខដែលអាចធ្វើឡើងវិញបាន អាចវាស់វែងបាន និងមាននិរន្តរភាព។ គោលនយោបាយតែមួយមុខ មិនអាចជួយលើកកម្ពស់សន្តិសុខបានទេ។ នីតិវិធីតែមួយមុខ មិនអាចជួយលើកកម្ពស់សន្តិសុខបានទេ។ គំរូឯកសារ (Templates) តែមួយមុខ ក៏មិនអាចជួយលើកកម្ពស់សន្តិសុខបានដែរ។ *** មានតែមនុស្សដែលអនុវត្តតាមដំណើរការដែលបានកំណត់យ៉ាងច្បាស់លាស់ឱ្យបានជាប់លាប់ប៉ុណ្ណោះ ទើបអាចធ្វើទៅបាន។ @OUPNarith

2026 Data Breach Investigations Report Verizon @OUPNarith

13 YouTube Channels That Can Teach You More Than College @OUPNarith

សិស្សអាយុ ១៦ ឆ្នាំម្នាក់ នៅក្នុងខេត្តង៉ែអាន (Nghệ An) ភាគកណ្តាលនៃប្រទេសវៀតណាម ត្រូវបានចោទប្រកាន់ពីបទលួចចូល (Hack) ប្រព័ន្ធព័ត៌មានចាក់វ៉ាក់សាំងជាតិរបស់ប្រទេសវៀតណាម និងបានលក់ទិន្នន័យផ្ទាល់ខ្លួនប្រហែល ២០ លានកំណត់ត្រា ដោយរកចំណូលបានច្រើនជាង ១០០ លានដុង (VNĐ) ពីការលក់ព័ត៌មានរបស់ប្រជាពលរដ្ឋដោយខុសច្បាប់នេះ។ @OUPNarith

តើការតំឡើង Apps នៅលើឡាន EV ថ្មីៗគឺជាហានិភ័យ ឬជាការធ្វើឲ្យកាន់តែទំនើប និងងាយស្រួលដល់អ្នកបើកបរ និងរួមអ្នកដំណើរជាមួយ? សូមស្តាប់លោក ជី សុផាត បកស្រាយ! ប្រភពៈ https://youtu.be/3hfCK_cZIzc?si=ciqmWP0mSZUar_gD @OUPNarith

🚨 ក្រុម Hacker ប្រើប្រាស់ AI Bot របស់ Meta ដើម្បីកំណត់លេខសម្ងាត់ឡើងវិញ និងលួចគណនី Instagram កំហុសបច្ចេកទេសដ៏ធ្ងន់ធ្ងរមួយនៅក្នុងប្រព័ន្ធ AI Chatbot សម្រាប់ជំនួយការ (Support Chatbot) របស់ Instagram បានអនុញ្ញាតឱ្យក្រុម Hacker អាចឆ្លងកាត់ប្រព័ន្ធផ្ទៀងផ្ទាត់ពីរជំហាន (Two-Factor Authentication) បានយ៉ាងងាយស្រួល។ ពួកគេមិនបានប្រើវិធីសាស្ត្រវាយប្រហារដើម្បីបំបែកកូដនោះទេ ប៉ុន្តែពួកគេគ្រាន់តែស្នើសុំឱ្យ Chatbot ប្រគល់សិទ្ធិចូលប្រើប្រាស់គណនីឱ្យតែម្ដង។ ការវាយប្រហារនេះមិនតម្រូវឱ្យមានកម្មវិធីមេរោគ (Malware) មិនចាំបាច់ប្រើតំណភ្ជាប់ Phishing និងមិនទាមទារឱ្យមានការចូលទៅក្នុងអ៊ីមែលរបស់ជនរងគ្រោះឡើយ។ ដំបូង ក្រុម Hacker បានកំណត់គោលដៅទៅលើគណនីដែលមានតម្លៃខ្ពស់ ជាពិសេសគណនីដែលមានឈ្មោះហៅក្រៅខ្លីៗ (Short-handle/OG usernames) ដែលមានតម្លៃរាប់ពាន់ដុល្លារនៅលើទីផ្សារងងឹត។ បន្ទាប់មក ពួកគេប្រើប្រាស់ VPN ឬសេវាកម្ម Residential Proxy ដែលមានទីតាំងភូមិសាស្ត្រស្ថិតនៅក្នុងតំបន់តែមួយជាមួយម្ចាស់គណនី ដើម្បីចៀសវាងការចាប់បានពីប្រព័ន្ធត្រួតពិនិត្យការក្លែងបន្លំដោយស្វ័យប្រវត្តិរបស់ Instagram។ @OUPNarith

📢 Applications are now open — our first cohort starting soon. I am launching the first cohort of the Applied AI Engineer Three-Month Mastery program, led by me myself. This is a structured, hands-on program designed to take you from AI foundations to production deployment in 90 days: → Month 1: Python for AI, data handling, classical ML & deep learning fundamentals → Month 2: Modern AI stack — Prompt Engineering, RAG, AI Agents & evaluation → Month 3: Production systems with FastAPI, Docker, LLMOps & a capstone project Graduates leave with 4 tangible portfolio pieces ready to show employers. Cohorts are intentionally small (5–10 students) to ensure personalized instruction and strong accountability. If you're serious about building a career in AI engineering or AI research opportunities, I'd love to welcome you in the first cohort. Reach out to me for consultation : rinabuoy@gmail.com #AppliedAI #AIEngineering #CareerDevelopment #MachineLearning #TechEducation @OUPNarith

ការស្រាវជ្រាវថ្មីបានបង្ហាញថា ប្រវត្តិសារជជែករបស់ WhatsApp អាចនឹងត្រូវបានរក្សាទុកដោយមិនមានការអុីនគ្រីប (Unencrypted) នៅលើទាំងឧបករណ៍ macOS និង iOS ដែលនេះបានបង្កជាក្តីបារម្ភសារជាថ្មីអំពីការការពារទិន្នន័យនៅលើឧបករណ៍ និងការចូលប្រើប្រាស់ទិន្នន័យឆ្លងកម្មវិធី (Cross-application access) នៅក្នុងប្រព័ន្ធអេកូឡូស៊ីរបស់ Apple។ ទោះបីជា WhatsApp ប្រើប្រាស់ការអុីនគ្រីបពីចុងម្ខាងទៅចុងម្ខាង (E2EE) ដ៏រឹងមាំ ដើម្បីធានាសុវត្ថិភាពសារនៅពេលកំពុងបញ្ជូនក៏ដោយ ប៉ុន្តែការការពារនេះមិនគ្របដណ្តប់ទៅលើរបៀបដែលទិន្នន័យត្រូវបានរក្សាទុកនៅលើឧបករណ៍នោះទេ បន្ទាប់ពីអ្នកប្រើប្រាស់បានបើកចូលមើលវា។ បញ្ហានេះប៉ះពាល់ដល់ទាំងឧបករណ៍ iOS និងប្រព័ន្ធ macOS ដែលកំពុងដំណើរការកម្មវិធី WhatsApp ជាពិសេសនៅពេលដែលមានការប្រើប្រាស់កន្លែងផ្ទុកទិន្នន័យកម្មវិធីរួមគ្នា (Shared app containers)។ នៅលើប្រព័ន្ធ macOS ដែលការចូលប្រើប្រាស់ប្រព័ន្ធឯកសារមានភាពបត់បែនជាងមុន ហានិភ័យនេះអាចនឹងកាន់តែខ្ពស់ ប្រសិនបើប្រព័ន្ធត្រួតពិនិត្យសុវត្ថិភាពឧបករណ៍ (Endpoint security controls) មានភាពខ្សោយ។ @OUPNarith

អត្ថបទទី6 — អ្នកវាយប្រហារបានធ្វើកិច្ចការរបស់គេ។ ចុះអ្នកវិញ? "ហេគឃ័រ (Hackers) មិនទាយនោះទេ។ ពួកគេស្រាវជ្រាវ ហើយពួកគេដឹងពីប្រព័ន្ធរបស់អ្នកច្រើនជាងអ្វីដែលអ្នកបានគិតទៅទៀត។" ១. បរិបទទូទៅ មុនពេលឧក្រិដ្ឋជនសាយប័រចាប់ផ្តើមការវាយប្រហារពួកគេចំណាយពេលយ៉ាងច្រើនក្នុងការធ្វើការស៊ើបការណ៍ (reconnaissance) — ប្រមូលព័ត៌មានអំពីគោលដៅ។ ពួកគេប្រើប្រាស់ឧបករណ៍ដែលមានជាសាធារណៈដើម្បីស្វែងរកប្រព័ន្ធរបស់អ្នកដែលភ្ជាប់ទៅកាន់អុីនធឺណិត។ ពួកគេស្វែងរកកំណែកម្មវិធី (software versions) ចាស់ៗ។ ពួកគេពិនិត្យមើល ថាតើគេហទំព័ររបស់អ្នកបានបង្ហាញព័ត៌មានអំពីឧបករណ៍ដែលអ្នកប្រើប្រាស់ដែរឬទេ។ ពួកគេស្វែងរកនៅលើ LinkedIn ដើម្បីយល់ពីរចនាសម្ព័ន្ធស្ថាប័នរបស់អ្នក និងកំណត់ថាតើនរណាខ្លះជាក្រុមព័ត៌មានវិទ្យា។ ពួកគេថែមទាំងអាចទូរស័ព្ទទៅកាន់ផ្នែកជំនួយ (helpdesk) របស់អ្នក ដោយក្លែងបន្លំជាបុគ្គលិកដើម្បីប្រមូលព័ត៌មានសម្រាប់ការចូលប្រើប្រាស់។ នៅពេលដែលពួកគេចាប់ផ្តើមធ្វើសកម្មភាព ពួកគេដឹងច្បាស់ថាទ្វារមួយណាដែលខ្សោយជាងគេ។ ហើយក្នុងករណីភាគច្រើន ទ្វារនោះគឺជាទ្វារដែលស្ថាប័នរបស់អ្នកបានភ្លេច — ប្រព័ន្ធដែលមិនបានធ្វើបច្ចុប្បន្នភាព (unpatched system) ទំព័រចូលប្រើ (login page) ដែលគេអាចមើលឃើញ គណនីក្លោដ (cloud account) ដែលរៀបចំខុស ឬឧបករណ៍ដែលដំណើរការកម្មវិធីហួសសម័យ។ ជាមធ្យមអ្នកវាយប្រហារចំណាយពេលពី 3 ទៅ 6 សប្តាហ៍ដើម្បីសិក្សាពីគោលដៅ មុនពេលចាប់ផ្តើមការវាយប្រហារ។ ស្ថាប័នដែលពួកគេវាយប្រហារ ច្រើនតែមិនចំណាយពេលសោះក្នុងការសិក្សាពីខ្លួនឯង តាមទស្សនៈរបស់អ្នកវាយប្រហារ។ ២. ហេតុអ្វីបានជារឿងនេះមានសារៈសំខាន់ចំពោះស្ថាប័នរបស់អ្នក ភាពមិនស៊ីគ្នានេះគឺច្បាស់ណាស់៖ អ្នកវាយប្រហារវិនិយោគពេលវេលាសិក្សាពីចំណុចខ្សោយរបស់អ្នក ខណៈពេលដែលស្ថាប័នភាគច្រើនវិនិយោគពេលវេលាតិចតួចបំផុតក្នុងការយល់ដឹងពីអ្វីដែលពួកគេបានបង្ហាញទៅកាន់ពិភពខាងក្រៅ។ ការគ្រប់គ្រងទ្រព្យសកម្ម គឺជួយបិទចន្លោះប្រហោងនេះ។ នៅពេលដែលអ្នកដឹងច្បាស់ថាអ្នកមានអ្វីខ្លះ អ្វីដែលត្រូវបានលាតត្រដាង និងអ្វីដែលហួសសម័យ អ្នកអាចស្វែងរក និងជួសជុលទ្វារដែលខ្សោយទាំងនោះ មុនពេលអ្នកវាយប្រហាររកវាឃើញសម្រាប់អ្នក។ ៣. ការណែនាំ និងជំហានសម្រាប់ការអនុវត្ត ជំហានទី 1 — ស្វែងរកស្ថាប័នរបស់អ្នកនៅលើ Google ចាប់ផ្តើមជាមួយនឹងទម្រង់ដ៏សាមញ្ញបំផុតនៃការស៊ើបការណ៍ខ្លួនឯង។ ស្វែងរកឈ្មោះក្រុមហ៊ុនរបស់អ្នក ដូមេន (domain) របស់អ្នក និងឈ្មោះថ្នាក់ដឹកនាំសំខាន់ៗនៅលើអុីនធឺណិត។ តើមានព័ត៌មានអ្វីខ្លះដែលត្រូវបានបង្ហាញជាសាធារណៈ? តើមានវេទិកាបច្ចេកវិទ្យាអ្វីខ្លះដែលត្រូវបានលើកឡើងនៅលើគេហទំព័ររបស់អ្នក? តើស្ថាប័នរបស់អ្នកបានលាតត្រដាងអ្វីខ្លះដោយមិនដឹងខ្លួន? ជំហានទី 2 — ស្នើសុំការវាយតម្លៃចំណុចខ្សោយពីខាងក្រៅ ស្នើសុំឱ្យអ្នកជំនាញសន្តិសុខសាយប័រធ្វើការវាយតម្លៃផ្នែកខាងក្រៅជាមូលដ្ឋាន — សម្លឹងមើលស្ថាប័នរបស់អ្នកពីខាងក្រៅ ដូចទៅនឹងរបៀបដែលអ្នកវាយប្រហារធ្វើដែរ។ នេះមិនចាំបាច់ជាការធ្វើតេស្តជ្រៀតចូលពេញលេញ (full penetration test) នោះទេ ត្រឹមតែការស្កេនជាមូលដ្ឋានលើទ្រព្យសកម្មដែលភ្ជាប់ទៅអ៊ីនធឺណិតរបស់អ្នក នឹងបង្ហាញពីរបកគំហើញដ៏សំខាន់ជាច្រើន។ ជំហានទី 3 — ពិនិត្យមើលអ្វីដែលការប្រកាសជ្រើសរើសបុគ្គលិករបស់អ្នកបានលាតត្រដាង គួរឱ្យភ្ញាក់ផ្អើល ការប្រកាសការងារគឺជាឃ្លាំងមាសសម្រាប់អ្នកវាយប្រហារ។ ការប្រកាសដែលនិយាយថា "ត្រូវមានបទពិសោធន៍ជាមួយ SAP, Cisco ASA firewalls, និង AWS" ប្រាប់អ្នកវាយប្រហារយ៉ាងច្បាស់ពី បច្ចេកវិទ្យាដែលក្រុមហ៊ុនរបស់អ្នកកំពុងប្រើប្រាស់។ សូមពិនិត្យមើលការប្រកាសការងាររបស់អ្នកឡើងវិញដោយផ្តោតលើចំណុចនេះ។ ជំហានទី 4 — កំណត់អត្តសញ្ញាណទ្រព្យសកម្មដែលភ្ជាប់ទៅអ៊ីនធឺណិតរបស់អ្នក ធ្វើការជាមួយក្រុមព័ត៌មានវិទ្យារបស់អ្នក ដើម្បីរាយនាមរាល់សេវាកម្ម ប្រព័ន្ធឬច្រកចូល (portal) ដែលអាចចូលប្រើបានពីអុីនធឺណិត — គេហទំព័រ ម៉ាស៊ីនមេអុីមែល (email servers), ច្រកចូល VPN, ច្រកចូលសម្រាប់អតិថិជន (customer portals), និងឧបករណ៍ចូលប្រើប្រាស់ពីចម្ងាយ (remote access tools)។ ទាំងនេះគឺជាទ្រព្យសកម្មដែលងាយរងគ្រោះបំផុតរបស់អ្នក ហើយទាមទារការយកចិត្តទុកដាក់ជាអាទិភាព។ ៤. អនុសាសន៍សំខាន់សម្រាប់ថ្នាក់ដឹកនាំ ស្នើសុំការធ្វើ "ការវាយតម្លៃតាមទស្សនៈរបស់អ្នកវាយប្រហារ (Attacker's View Assessment)" ប្រចាំឆ្នាំពីក្រុមហ៊ុនសន្តិសុខសាយប័រដែលមានកេរ្តិ៍ឈ្មោះ។ ការវាយតម្លៃនេះសម្លឹងមើលស្ថាប័នរបស់អ្នកក្នុងទម្រង់ដែលអ្នកវាយប្រហារនឹងធ្វើ — កំណត់អត្តសញ្ញាណអ្វីដែលអាចមើលឃើញ អ្វីដែលខ្សោយ និងអ្វីដែលត្រូវបានលាតត្រដាង។ របកគំហើញទាំងនេះគួរតែត្រូវបានបង្ហាញជូនដល់ថ្នាក់គ្រប់គ្រង មិនមែនត្រឹមតែក្រុមព័ត៌មានវិទ្យាប៉ុណ្ណោះទេ ពីព្រោះការសម្រេចចិត្តជាច្រើនដែលត្រូវការដើម្បីជួសជុលចន្លោះប្រហោងទាំងនោះ គឺជាការសម្រេចចិត្តកម្រិតថ្នាក់គ្រប់គ្រង។ សំណួរសម្រាប់ពិភាក្សា៖ តើអ្នកធ្លាប់ប្រើ Google ដើម្បីស្វែងរកក្រុមហ៊ុនខ្លួនឯង ដើម្បីមើលថាមានព័ត៌មានអ្វីខ្លះដែលត្រូវបានបង្ហាញជាសាធារណៈដែរឬទេ? តើមានអ្វីដែលធ្វើឱ្យអ្នកភ្ញាក់ផ្អើល? @OUPNarith

GitHub ត្រូវបានហេគ! @OUPNarith

CISO មិនមែនជា "ទទួលខុសត្រូវផ្តាច់មុខលើគ្រប់កិច្ចការតាមសាយប័រ" ឬជាអ្នកដែលត្រូវគេទម្លាក់កំហុសលើដោយស្វ័យប្រវត្តិ បន្ទាប់ពីមានការបែកធ្លាយទិន្នន័យ ឬការបរាជ័យក្នុងការធ្វើសវនកម្មនោះទេ។ ការងាររបស់ CISO គឺគ្រប់គ្រង កំណត់ស្តង់ដារ កំណត់អត្តសញ្ញាណហានិភ័យ ផ្ទៀងផ្ទាត់ការត្រួតពិនិត្យ និងរាយការណ៍ពីចន្លោះប្រហោង - មិនមែនជាអ្នកប្រតិបត្តិរាល់ការត្រួតពិនិត្យទាំងអស់នៅក្នុងស្ថាប័ននោះទេ។ តួនាទីរបស់ CISO (នាយកសន្តិសុខសាយប័រ) ត្រូវបានគេយល់ខុស។ គណនេយ្យភាពគួរតែស្ថិតនៅកន្លែងដែលការងារត្រូវធ្វើ៖ ១. ថ្នាក់ដឹកនាំអាជីវកម្ម ជាម្ចាស់លើហានិភ័យអាជីវកម្ម ២. ផ្នែកព័ត៌មានវិទ្យានិងវិស្វកម្ម ជាម្ចាស់លើការអនុវត្តប្រតិបត្តិការ ៣. ម្ចាស់ទ្រព្យសកម្ម ជាម្ចាស់លើភាពត្រឹមត្រូវនៃបញ្ជីសារពើភ័ណ្ឌឌីជីថល ៤. ផ្នែកសន្តិសុខ ជួយសម្រួល គ្រប់គ្រង ផ្ទៀងផ្ទាត់ និងរាយការណ៍បន្ត ប៉ុន្តែនៅក្នុងស្ថាប័នជាច្រើន CISO តែងតែត្រូវបានគេបន្ទោសចំពោះ៖ ១. បញ្ជីសារពើភ័ណ្ឌទ្រព្យសកម្មឌីជីថលមិនពេញលេញ ដែលគ្រប់គ្រងដោយផ្នែកប្រតិបត្តិការ IT និងផ្នែកពាក់ព័ន្ធ ២. ការបរាជ័យក្នុងការជួសជុលប្រព័ន្ធ (Patching failures) ដែលគ្រប់គ្រងដោយក្រុមរចនាសម្ព័ន្ធព័ត៌មានវិទ្យា (infrastructure) ៣. ចន្លោះប្រហោងនៃ IAM (ការគ្រប់គ្រងអត្តសញ្ញាណ និងសិទ្ធិចូលប្រើប្រាស់) ដែលអាជីវកម្មបដិសេធមិនអនុវត្តតាម ៤. ការលើកលែងក្រៅផ្លូវការ ដែលក្រោយមកប្រែទៅជាឧប្បត្តិហេតុ ៥. ស្តង់ដារដែលត្រូវបានរំលងដោយក្រុមអភិវឌ្ឍន៍កម្មវិធី ដើម្បីឱ្យកាន់តែច្បាស់ - CISO មានគណនេយ្យភាពនៅពេលដែលពួកគេបរាជ័យក្នុងការកំណត់អត្តសញ្ញាណហានិភ័យ ការចូលរួមជាមួយអាជីវកម្ម ឬការរាយការណ៍បញ្ហាដែលមិនទាន់ដោះស្រាយទៅកាន់ថ្នាក់ដឹកនាំ។ នោះហើយទើបជាការងាររបស់ពួកគេ។ ប៉ុន្តែការត្រូវទទួលខុសត្រូវលើការអនុវត្តការត្រួតពិនិត្យដែលពួកគេមិនបានចាត់ចែង ឬមិនបានអនុញ្ញាត គឺមិនមែនជាការងាររបស់ពួកគេទេ។ នៅពេលដែលផ្នែកសន្តិសុខសាយប័រ "ទទួលយកភាពជាម្ចាស់" លើចន្លោះប្រហោងនៃប្រតិបត្តិការ ស្ថាប័ននឹងសន្មត់ដោយស្ងៀមស្ងាត់ថា៖ "ប្រសិនបើមានអ្វីខុសឆ្គង វាជាបញ្ហារបស់ CISO"។ កម្មវិធីដែលរឹងមាំបំផុត គឺត្រូវចែករំលែកការទទួលខុសត្ររូវរវាងផ្នែកសន្តិសុខសាយប័រ (cybersecurity) អាជីវកម្ម (business) ឌីជីថលឬព័ត៌មានវិទ្យា (IT) សវនកម្ម (Audit) និងហានិភ័យ (Risk)។ សន្តិសុខសាយប័រ (Cybersecurity) គឺជាការទទួលខុសត្រូវរបស់ស្ថាប័នទាំងមូល - មិនមែនជាមុខងាររបស់មនុស្សតែម្នាក់នោះទេ។ តើអ្នកយល់យ៉ាងដូចម្តេច? @OUPNarith

អត្ថបទី៥ — ឧបករណ៍ចាស់ គ្រោះថ្នាក់ថ្មី៖ បញ្ហាឧបករណ៍ដែលគេបំភ្លេចចោល (Ghost Device) - "ឧបករណ៍ដែលគ្រោះថ្នាក់បំផុតនៅក្នុងស្ថាប័នរបស់អ្នក គឺជាឧបករណ៍ដែលគ្មានអ្នកណាម្នាក់ កំពុងនឹកគិតដល់។" ១. បរិបទទូទៅ នៅពេលដែលក្រុមហ៊ុនបណ្តាញហាងលក់រាយដ៏ធំមួយបានធ្វើបច្ចុប្បន្នភាព (upgrade) ទៅលើម៉ាស៊ីនគិតប្រាក់ (POS) ទាំងអស់របស់ពួកគេកាលពី ៣ឆ្នាំមុន ម៉ាស៊ីនចាស់ៗត្រូវបានគេយកទៅទុកក្នុងបន្ទប់ផ្ទុកឥវ៉ាន់ — ដោយនៅតែភ្ជាប់ទៅនឹងបណ្តាញ (network) ដដែល — ដើម្បីរង់ចាំការណែនាំពីការបោះចោល ដែលមិនត្រូវបានគេប្រាប់សោះ។ ការវាយតម្លៃសុវត្ថិភាពជាប្រចាំមួយបានបង្ហាញថា ម៉ាស៊ីនដែលគេបំភ្លេចចោលទាំងនោះនៅតែមានសកម្មភាពនៅលើបណ្តាញ ដោយប្រើប្រាស់កម្មវិធីហួសសម័យដែលមានចំណុចខ្សោយ ហើយតាមការពិតវាត្រូវបានភាគីខាងក្រៅ ឬចោរព័ត៌មានវិទ្យាចូលប្រើប្រាស់រួចទៅហើយតាំងពីប៉ុន្មានខែមុនមកម៉្លេះ។ គ្មាននរណាម្នាក់គិតដល់ឧបករណ៍ចាស់ៗទាំងនោះទេ ព្រោះកាលណាបាត់ពីភ្នែក គឺពិតជាបាត់ពីការចងចាំមែន។ ប៉ុន្តែនៅក្នុងពិភពឌីជីថល "បាត់ពីការចងចាំ" មិនមែនមានន័យថា "បាត់ពីបណ្តាញតភ្ជាប់" នោះទេ។ ឧបករណ៍ខ្មោច (Ghost devices) មាននៅគ្រប់ទីកន្លែង។ អតីតបុគ្គលិកដែលធ្វើការពីផ្ទះនៅតែមានកុំព្យូទ័រយួរដៃរបស់ក្រុមហ៊ុន។ ដុំរ៉ោតទ័រ (routers) ចាស់ៗត្រូវបានជំនួសថ្មី ប៉ុន្តែមិនដែលត្រូវបានផ្តាច់ចេញពីបណ្តាញឡើយ។ ម៉ាស៊ីនមេដែលបានរៀបចំសម្រាប់គម្រោងមួយកាលពី ៥ឆ្នាំមុន នៅតែដំណើរការនៅជ្រុងមួយនៃបន្ទប់ដាក់ម៉ាស៊ីនមេ។ ថេប្លេតដែលធ្លាប់ប្រើជាប្រព័ន្ធចុះឈ្មោះភ្ញៀវត្រូវបានជំនួសថ្មី ប៉ុន្តែរបស់ចាស់ត្រូវបានគេឱ្យទៅកូនរបស់បុគ្គលិកម្នាក់បាត់ទៅហើយ។ ឧបករណ៍នីមួយៗទាំងនេះ ប្រសិនបើនៅតែតភ្ជាប់ទៅបណ្តាញរបស់អ្នក ឬនៅតែផ្ទុកទិន្នន័យក្រុមហ៊ុន គឺជាហានិភ័យសុវត្ថិភាពដ៏នៅរស់រវើក។ ២. ហេតុអ្វីបានជារឿងនេះមានសារៈសំខាន់ចំពោះស្ថាប័នរបស់អ្នក ក្រុមអ្នកវាយប្រហារតែងតែស្កេនអុីនធឺណិតយ៉ាងសកម្ម ដើម្បីស្វែងរកឧបករណ៍ដែលមិនបានធ្វើបច្ចុប្បន្នភាពសុវត្ថិភាព និងត្រូវបានគេបំភ្លេចចោល។ ឧបករណ៍ស្វ័យប្រវត្តិដែលប្រើប្រាស់ដោយឧក្រិដ្ឋជនសាយប័រ អាចកំណត់អត្តសញ្ញាណឧបករណ៍ដែលងាយរងគ្រោះ ក្នុងរយៈពេលប៉ុន្មាននាទីប៉ុណ្ណោះ បន្ទាប់ពីពួកវាត្រូវបានភ្ជាប់ទៅអុីនធឺណិត។ ឧបករណ៍កាន់តែចាស់ និងកាន់តែត្រូវបានគេបំភ្លេចចោល វាកាន់តែមិនសូវទទួលបានការធ្វើបច្ចុប្បន្នភាពសុវត្ថិភាព — ដែលធ្វើឱ្យវាក្លាយជាគោលដៅដ៏ងាយស្រួលបំផុត។ ៣. ការណែនាំ និងជំហានសម្រាប់ការអនុវត្ត ជំហានទី 1 — ធ្វើការប្រកាសប្រមូលឧបករណ៍ (Device Amnesty) ប្រកាសពីកម្មវិធី "ការប្រគល់ និងចុះបញ្ជីឧបករណ៍" នៅទូទាំងក្រុមហ៊ុន។ ស្នើឱ្យបុគ្គលិកទាំងអស់រាយការណ៍ពីឧបករណ៍របស់ក្រុមហ៊ុនដែលពួកគេកំពុងមាន — ទោះបីជានៅក្នុងការិយាល័យ នៅផ្ទះ ឬទុកនៅកន្លែងណាមួយក៏ដោយ។ កុំធ្វើការបន្ទោស គឺគ្រាន់តែទាមទារការទទួលខុសត្រូវប៉ុណ្ណោះ។ គោលដៅគឺដើម្បីឱ្យយើងមើលឃើញពីអ្វីដែលយើងមាន (visibility)។ ជំហានទី 2 — សវនកម្មលើការតភ្ជាប់បណ្តាញរបស់អ្នក ស្នើឱ្យក្រុមព័ត៌មានវិទ្យារបស់អ្នកដំណើរការការស្កេនលើគ្រប់ឧបករណ៍ ដែលកំពុងតភ្ជាប់ទៅបណ្តាញក្រុមហ៊ុនរបស់អ្នកនាពេលបច្ចុប្បន្ន។ ប្រៀបធៀបបញ្ជីនោះទៅនឹងបញ្ជីឈ្មោះទ្រព្យសកម្មដែលអ្នកបានស្គាល់។ អ្វីក៏ដោយនៅលើបណ្តាញ ដែលមិនមាននៅក្នុងបញ្ជីឈ្មោះ គឺជាឧបករណ៍ខ្មោច ហើយត្រូវតែធ្វើការស៊ើបអង្កេតជាបន្ទាន់។ ជំហានទី 3 — បង្កើតដំណើរការបោះបង់ឧបករណ៍ចាស់ៗ បង្កើតនីតិវិធីច្បាស់លាស់មួយសម្រាប់ការបោះបង់ឧបករណ៍ចាស់ៗ៖ ទិន្នន័យត្រូវតែត្រូវបានលុបចោលទាំងស្រុង (wiped) ឧបករណ៍ត្រូវតែផ្តាច់ចេញពីបណ្តាញ លុបចេញពីបញ្ជីទ្រព្យសកម្ម និងយកទៅកម្ទេចចោលផ្ទាល់តាមរយៈដំណើរការដែលមានការទទួលស្គាល់ត្រឹមត្រូវ។ មិនត្រូវមានឧបករណ៍ណាមួយត្រូវបានគេបោះបង់ចោលក្រៅផ្លូវការឡើយ។ ជំហានទី 4 — តាមដានឧបករណ៍ដែលបានប្រគល់ជូនបុគ្គលិកធ្វើការពីចម្ងាយ (Remote ឬ Hybrid) រក្សាកំណត់ត្រានៃគ្រប់ឧបករណ៍ដែលបានចេញឱ្យបុគ្គលិកដែលធ្វើការក្រៅការិយាល័យ។ បញ្ចូលប្រភេទឧបករណ៍ លេខស៊េរី (serial number) ឈ្មោះបុគ្គលិកដែលទទួល និងកាលបរិច្ឆេទត្រួតពិនិត្យចុងក្រោយ ហើយត្រួតពិនិត្យកំណត់ត្រានេះជារៀងរាល់ត្រីមាស។ ៤. អនុសាសន៍សំខាន់សម្រាប់ថ្នាក់ដឹកនាំ តម្រូវឱ្យក្រុមព័ត៌មានវិទ្យារបស់អ្នកផ្តល់ "របាយការណ៍ឧបករណ៍ខ្មោច (Ghost Device Report)" ជារៀងរាល់ត្រីមាស — ដែលជាសេចក្តីសង្ខេបនៃឧបករណ៍ណាមួយដែលបានរកឃើញនៅលើបណ្តាញ ប៉ុន្តែមិនត្រូវបានចុះបញ្ជីផ្លូវការ ក៏ដូចជាឧបករណ៍ដែលបានចុះបញ្ជីរួច ប៉ុន្តែមិនឃើញមានវត្តមាននៅលើបណ្តាញរយៈពេលជាង 90 ថ្ងៃមកហើយ។ បញ្ជីទាំងពីរនេះបញ្ចូលគ្នា នឹងបង្ហាញពីទំហំនៃបញ្ហាឧបករណ៍ខ្មោចរបស់អ្នក។ សំណួរសម្រាប់ពិភាក្សា៖ តើអ្នកដឹងទេថា រាល់ឧបករណ៍របស់ក្រុមហ៊ុនបច្ចុប្បន្នកំពុងនៅឯណាខ្លះ — រាប់បញ្ចូលទាំងឧបករណ៍ដែលត្រូវបានយកទៅផ្ទះ ដោយបុគ្គលិកធ្វើការពីចម្ងាយ ឬអតីតបុគ្គលិក? តើដំណើរការតាមដានរបស់អ្នកមានលក្ខណៈដូចម្តេចដែរ? @OUPNarith

ផលវិបាកដោយសារ AI ទៅលើការងារ ចេញរូបរាងបណ្តើរៗ ! តើអ្នកត្រូវត្រៀមខ្លួនបែបណា? ចាប់យកជំនាញណា? @OUPNarith