มาตรฐานการจัดการด้านความมั่นคงปลอดภัยสารสนเทศ

โลกในปัจจุบันนี้ เป็นยุคของข่าวสารข้อมูล โดยเป็นการใช้ข้อมูล เพื่อทำประโยชน์ด้านต่างๆ เช่น การใช้ในด้านการทำธุรกิจ หรือ ในด้านความบันเทิง ซึ่งสามารถกล่าวได้ว่า ข้อมูลต่างๆ เป็นสิ่งที่ขาดไม่ได้ในชีวิตประจำวัน ตั้งแต่เช้า มีการอ่านหนังสือพิมพ์เพื่อรับรู้ข่าวสารต่างๆ พอถึงที่ทำงาน ก็มีการดูข้อมูลที่เกี่ยวกับงานที่รับผิดชอบ เช่น แบบงานจากลูกค้า ข้อมูลการเงิน ข้อมูลพนักงาน ข้อมูลบริษัท เป็นต้น และ ในปัจจุบันนี้ มีการแข่งขันในด้านธุรกิจสูงมาก องค์กรต่างๆ มีการปรับตัว และมีการนำระบบ คอมพิวเตอร์ มาใช้ในการจัดการ เรื่องของข้อมูลอย่างแพร่หลาย ข้อมูลต่างๆ มีการจัดทำขึ้นมากมาย เพื่อใช้ในการในการดำเนินธุรกิจ แม้ข้อมูลต่างๆเหล่านี้ จะมีประโยชน์ ต่อบริษัทในการดำเนิน ธุรกิจ แต่หาก มองอีกมุมหนึ่งก็เป็น ภัยร้ายแรงต่อองค์กรได้เช่นกัน หากข้อมูลต่างๆเหล่านั้น ตกไปอยู่ในมือผู้ที่ไม่ประสงค์ดี หรือผู้ที่ไม่สมควร
ดังนั้น ในปัจจุบัน จึงมีการควบคุมข้อมูลข่าวสารต่างๆ ที่มีความสำคัญของบริษัทไว้ ไม่ว่าจะเป็น แบบสินค้า, ข้อมูลลูกค้า, ข้อมูลการเงิน, ข้อมูลพนักงาน และข้อมูลอื่นๆ ที่เกี่ยวข้อง ทั้งที่อยู่ในรูปของ สิ่งตีพิมพ์ หรือเขียนลงในกระดาษ, ข้อมูลไฟล์ที่ถูกจัดเก็บลงในระบบอิเล็กทรอนิคส์, จดหมาย, อีเมล, การพูดในที่ประชุม, แฟกซ์, รูปถ่าย, และ ผลิตภัณฑ์ต้นแบบ เป็นต้น เพื่อปกป้องการดำเนินธุรกิจให้เป็นไปอย่างต่อเนื่อง, เสริมสร้างความเชื่อมั่นของลูกค้า และตลอดจนผู้ถือหุ้นและพนักงาน

ความจำเป็นของการรักษาความมั่นคงปลอดภัยด้านไอซีที (ICT Security issues and Trends)
- การพิสูจน์ตัวตน (Authentication) เพื่อให้มั่นใจว่าทั้งผู้รับและผู้ส่งเป็นตัวจริง
- การเข้ารหัสลับ (Cryptography) เพื่อปกป้องการรักษาความลับของข้อมูล (Confidential) ไม่ให้ถูกเปิดเผยออกไป
- การให้สิทธิ (Authorization) เพื่อที่จะรับประกันว่าผู้ใช้ทุกฝ่ายมีสิทธิทำธุรกรรมได้
- การตรวจสอบความถูกต้อง (Integrity) เพื่อที่จะรับประกันได้ว่า การทำธุรกรรมไม่ได้ถูกเปลี่ยนแปลง หรือทำให้เสียหาย
- การไม่ปฏิเสธความรับผิดชอบ (Non-repudiation) เพื่อที่จะจัดให้มีหลักฐานรับรองการทำธุรกรรมแก่ผู้ใช้บริการ ทั้งสองฝ่าย
- การรักษาความมั่นคงปลอดภัยด้านไอซีที หมายถึงการบริการจัดการใน 3 ส่วน ได้แก่ C (Confidentiality), I (Integrity), A (Availability)

กระบวนการจัดการด้านความมั่นคงปลอดภัยสารสนเทศ OECD "Guidelines for security and privacy"
- ความตื่นตัว
- ความรับผิดชอบ
- การโต้ตอบเหตุ
- จริยธรรม
- ความเสมอภาค
- การประเมินความเสี่ยง
- การออกแบบความมั่นคงปลอดภัยและการนำไปปฏิบัติ
- การจัดการด้านความมั่นคงปลอดภัย
- การทบทวนการปฏิบัติงานตามระยะเวลา

ในปัจจุบันนี้ ผู้ที่มีหน้าที่ในการเริ่มต้นออกแบบติดตั้ง และดูแลระบบการรักษาความปลอดภัยขององค์กร เป็นพื้นฐานสำหรับการพัฒนามาตรฐานการรักษาความปลอดภัยขององค์กร และระเบียบปฏิบัติที่มีประสิทธิภาพเพื่อสร้างความมั่นใจให้กับองค์กร และหน่วยงานอื่นที่เกี่ยวข้อง มีการนำระบบต่างๆมาใช้เพื่อให้ มีประสิทธิภาพและเกิดความน่าเชื่อถือ ในการที่จะควบคุมข้อมูล ต่างๆ หลายระบบอย่างเป็นสากล เช่น
BSI IT Security Baselines
¨ จัดทำโดยองค์กรในประเทศเยอรมันนี เพื่อวางมาตรฐานด้าน IT Security (Bundesamt fur Sicherheit der Informationstechnik) (www.bsi.de/)
GASSP
¨ The General Accepted System Security Principles (GASSP) เพื่อกำหนดมาตรฐานตามความต้องการของรัฐบาลสหรัฐอเมริกา โดย Computer Society Institute
¨ (www.gocsi.com/ and www.mit.edu/security/www/gassp1.html)
GMITS
¨ Guidelines for the management of IT Security (GMITS) หรือ เรียกอีกชื่อหนึ่ง ว่า "ISO/IEC TR 13335 1-4" (www.iso.ch/)
COBIT
¨ The Control Objectives for IT (COBIT) (www.isaca.org) เป็นแนวคิดและแนวทางปฏิบัติของผู้บริหารระบบสารสนเทศ และขณะเดียวกันก็เป็นแนวทางปฏิบัติสำหรับผู้ตรวจสอบระบบสารสนเทศด้วย มุ่งที่จะกำหนดกรอบการทำงานเพื่อการควบคุม ผลผลิตที่สำคัญขององค์กร อาทิ เช่น Management Guide, Control Objectives เป็นต้น เผยแพร่โดย ISACA (Internal Audit Professional Representative body) กระบวนการของ CobiT แบ่งออกเป็น การวางแผนและจัดการองค์กร (PO : Planning and Organization), การจัดหาและติดตั้ง (AI : Acquisition and Implementation), การส่งมอบและบำรุงรักษา (DS : Delivery and Support), การติดตามผล (M : Monitoring)
ITIL: Information Technology Infrastructure Library BS15000 (www.itil.co.uk/)
¨ เผยแพร่โดย the Central Computer & Telecommunications Agency (CCTA) เพื่อกำหนดความรู้พื้นฐานสำหรับ การบริหารจัดการของโครงสร้างพื้นฐานด้านไอที และเพื่อการบริหารจัดการความมั่นคงปลอดภัยสารสนเทศ กำหนดเป็นมาตรฐานขั้นต่ำให้กับ Outsourcer Company ที่รับงานบริการด้านสารสนเทศไปจัดการแทนองค์กรเพื่อให้เกิดประสิทธิผลและประสิทธิภาพสูงสุดในการให้บริการ และส่งผลด้านความพึงพอใจของ User ทั่วๆ ไป มาตรฐาน ITIL ถูกจัดทำเป็นหนังสือหลายเล่าโดยแบ่งออกเป็น 2 ส่วน ได้แก่
¨ BS15000-1 Specification for Service management
¨ BS15000-2 Code of practice for service management
NIST: the U.S. National Institute of Standards and Technology
¨ Federal Information Processing Standards: FIPS 199 (Standards for Security Categorization of Federal Information and Information Systems); FIPS 201 (Personal Identity Verification for Federal Employees and Contractors)
¨ Special Publication: SP 800-53 (Feb 2005) -Recommended Security Controls for Federal Information Systems; 800-53A –Techniques and Procedures for Verifying the Effectiveness of Security Controls in Information Systems (Spring 2004)
SANS Top 20
¨ มาตรฐาน SANS TOP20 เป็นมาตรฐานในการตรวจสอบระบบสารสนเทศสำหรับระบบความปลอดภัยบนระบบปฏิบัติการ Microsoft Windows และ UNIX/Linux ที่ได้รับการยอมรับกันโดยทั่วไป
¨ SANS เป็นสถาบันที่ให้บริการฝึกอบรมด้าน Information Security การออกใบรับรอง และการค้นคว้าทางด้านความปลอดภัยที่มีชื่อเสียงและได้รับความเชื่อถือเป็นอันดับต้นๆ ของโลก โดยในแต่ละปี SANS จะทำการสรุป 20 อันดับ ของช่องโหว่ทางด้านความปลอดภัยของระบบต่างๆ ซึ่งเวอร์ชันล่าสุดคือ SANS Top-20 2007 Security Risks เวอร์ชัน 8.0
¨ SANS Top-20 2007 Security Risks นั้น จะจัดแบ่งออกเป็น 6 หัวข้อคือ Client-side Vulnerabilities, Server-side Vulnerabilities, Security Policy and Personnel, Network Devices และ Zero Day Attacks
ISMF 7 (Information Security Management Framework)
¨ ISMF 7 เป็นมาตรฐานตรวจสอบและประเมินความปลอดภัยระบบสารสนเทศที่พัฒนาโดยนักวิชาการคนไทย จุดประสงค์เพื่อให้เป็นแนวทางในการปริหารจัดการระบบรักษาความปลอดภัยข้อมูลอย่างเป็นระบบและมีประสิทธิภาพให้ทันกับสถานการณ์ปัจจุบันของการโจมตีระบบโดยแฮกเกอร์และมัลแวร์ต่างๆ
มาตรฐานที่ถูกกำหนดให้เป็นมาตรฐานการรักษาความปลอดภัยของข้อมูลระดับนานาชาติ ที่ได้รับความนิยมมากที่สุด ซึ่งเป็นมาตรฐานที่พัฒนาโดยประเทศอังกฤษ ประกอบด้วย 2 ส่วน คือ
· BS 7799-1 ซึ่งต่อมาได้เปลี่ยนเป็นมาตรฐาน ISO/IEC 17799 : Information Technology – Code of Practice for Information Security Management มาตรฐาน ISO/IEC 17799 เริ่มแรกได้ประกาศใช้เมื่อปี 2000 ซึ่งประกอบด้วย 10 โดเมน และต่อมามีการปรับปรุงอีกครั้งเมื่อปี 2005 และปรับให้มี 11 โดเมน
· BS 7799-2 ซึ่งต่อมาได้รับการยอมรับเป็นมาตรฐาน ISO 27001 : Information Security Management : Specification with Guidance for Use

ISO27000 Family
ISO 27000
- Fundamentals and Vocabulary
- มีวัตถุประสงค์เพื่อแสดง ศัพท์และนิยาม (Vocabulary and Definitions) ที่ใช้ในมาตรฐาน นั่นคือ ศัพท์บัญญัติ (Terminology) ทั้งหลายที่ใช้ในมาตรฐานการจัดการด้านความมั่นคงปลอดภัยสารสนเทศ (Information Security Management Standards- ISMS)
ISO 27001
- ISMS Requirements
- ISO 27001 กำหนดมาตรฐานที่จำเป็นของ ISMS ได้แก่ คุณลักษณะเฉพาะ (Specification) ซึ่งองค์กรทั้งหลายจะต้องขอรับ "ใบรับรอง" (Certificate) จากหน่วยงานภายนอก ว่าได้มี "การปฏิบัติตามข้อกำหนด (Compliance)" เหล่านี้แล้ว อย่างเป็นทางการ
ISO 27002
- 17799 Code of Practice
- ISO 27002 จะเป็นชื่อเรียกใหม่ของ ISO 17799 ซึ่งเดิมเรียกว่า "BS 7799 Part 1" เป็นมาตรฐานแสดง หลักปฏิบัติสำหรับ ISM (Code of practice for Information Security Management) ที่อธิบายวัตถุประสงค์ของระเบียบวิธีการควบคุมด้าน IS ทั้งหลายอย่างละเอียด และแสดงรายการวิธีปฏิบัติที่ดีที่สุด ของการควบคุมความมั่นคงปลอดภัย (Best-practice security controls)
ISO 27003
- ISMS Implementation Guidelines
- ISO 27003 จะเป็นแนวทางประยุกต์ใช้มาตรฐาน (Implementation guide)
ISO 27004
- ISM Measurements
- ISO 27004 จะเป็นมาตรฐานการวัด ISM เพื่อที่จะช่วยวัดประสิทธิภาพหรือประเมินผลที่เกิดจากการนำ ISMS ไปใช้
ISO 27005
- ISMS Risk Management
- ISO 27005 เป็นมาตรฐาน "การบริหารจัดการความเสี่ยงด้าน IS (Information Security Risk Management)" ซึ่งจะมาแทนที่มาตรฐานเดิม ได้แก่ "BS 7799 Part 3"
ISO 27006
- ISMS Accreditation Guidelines
- ISO 27006 จะเป็นแนวทางปฏิบัติสำหรับกระบวนการ ออกใบรับรอง (Certification process) หรือการลงทะเบียน (Registration process) .ให้กับหน่วยงานที่เกี่ยวข้อง (ISMS certification/registration bodies)

แต่ระบบที่เป็นที่นิยม ใช้กันแพร่หลาย ครอบคลุมข้อมูลทุกประเภท และ มีความเชื่อถือระดับสากล คือ ISO/IEC 27001 และ ISO 17799 ซึ่งทั้งสองระบบนี้ ควรจะใช้ร่วมกัน โดย ISO/IEC 27001 จะเป็นกรอบของระบบการบริหารจัดการข้อมูล และ ISO 17799 จะเป็น กรอบด้านเทคนิคของการควบคุมข้อมูล
Information Security Management System (ISMS)
• การจัดการความเสี่ยงและแผนการเตรียมพร้อม
¨ ต้องคำนึงถึงความต้องการเฉพาะของแต่ละองค์กร ทั้งนี้เนื่องจากวัตถุประสงค์ในการดำเนินงานและดำเนินกิจกรรมต่างๆ ของแต่ละองค์กรมีความแตกต่างกัน ดังนั้นการเผชิญกับปัญหาด้านความเสี่ยงต่อภัยจากอินเทอร์เน็ต หรือไอซีทีในการประกอบธุรกรรมจึงต่างกัน ในการดำเนินโครงการ ISMS จึงต้องเริ่มต้นด้วยการประเมินความเสี่ยงขององค์กร (Risk assessment) ก่อนเสมอ
• โครงการจัดทำ ISMS ในองค์กร
¨ มาตรฐาน ISO 27001 เสนอแนวทางจัดทำโครงการ ISMS ในองค์กรและระบุองค์ประกอบสำคัญในการบริหารโครงการที่จำเป็นต้องมี

ISO/IEC 27001:2005 เป็นมาตรฐานการจัดการข้อมูลที่มีความสำคัญเพื่อให้ธุรกิจดำเนินไปอย่างต่อเนื่อง ซึ่งข้อกำหนดต่างๆกำหนดขึ้นโดยองค์กรที่มีชื่อเสียงและมีความน่าเชื่อถือระหว่างประเทศ คือ ISO (The International Organization for Standardization) และ IEC (The International Electrotechnical Commission) การประยุกต์ใช้ ISMS จะช่วยให้กิจกรรมทางธุรกิจต่อเนื่องไม่สะดุด, ช่วยป้องกันกระวนการทางธุรกิจจากภัยร้ายแรงต่างๆเช่น แผ่นดินไหว, วาตภัย, อุทกภัย ฯลฯ และ ความเสียหายของระบบข้อมูล โดยครอบคุม ทุกกลุ่มอุตสาหกรรมและทุกกลุ่มธุรกิจ
หลักการของการออกแบบโครงสร้างระบบ ISO/IEC 27001:2005 จะใช้ อ้างอิง รูปแบบ PDCA Model (Plan Do Check Action) ซึ่งเป็นโครงสร้างเดียวกับ ระบบ การบริหารที่เป็นสากลที่ใช้กันทั่วโลก เช่น ระบบการจัดการคุณภาพ (ISO 9001:2000), ระบบการจัดการสิ่งแวดล้อม (ISO14001:2004), ระบบการจัดการคุณภาพสำหรับอุตสาหกรรมรถยนต์ (ISO/TS 16949), ระบบการจัดการจัดการคุณภาพสำหรับอุตสาหกรรมอาหาร (ISO 21001) ฯลฯ ซึ่งองค์ที่มีการประยุกต์ระบบการจัดการต่างๆนี้แล้ว จะสามารถต่อยอดระบบ ISO/IEC 27001:2005 ได้เร็วและง่ายขึ้น ISO/IEC 27001:2005 เป็นระบบการจัดการความปลอดภัยของข้อมูล โดย
• เป็น “International Standard” ของ “Information Security Management (ISM)”
• กำหนดคุณลักษณะเฉพาะของการบริหารจัดการความมั่นคงฯ ด้านสารสนเทศ
• กำหนดหลักปฏิบัติของ ISM (Code of Practice for Information Security Management)
• เป็นหลักสำหรับ การออกใบรับรอง (Certification) โดยองค์กรภายนอก
• สามารถใช้เพื่อการประเมินและการออกใบรับรอง โดย “Certification Bodies”
• นำไปประยุกต์ใช้ได้กับหน่วยงานทุกประเภทและหลายขนาด
• มุ่งที่จะหวังผลในเชิงป้องกัน
สำหรับระบบ ISO/IEC 17799:2005 เป็นกรอบด้านการควบคุมระบบ ความปลอดภัยข้อมูล ซึ่งแบ่งออกเป็น 11 การควบคุมหลักดังนี้
1. Security policy
2. Organization Information Security
3. Asset Management
4. Human Resource Security
5. Physical and environment security
6. Communications and operations management
7. Access control
8. Information systems acquisition, development and maintenance
9. Information security incident management
10. Business continuity management
11. Compliance
กระบวนการ “P-D-C-A”
• Plan (establish the ISMS) – จัดทำนโยบายความมั่นคงฯ มีวัตถุประสงค์ เป้าหมาย กระบวนการและขั้นตอน ที่เกี่ยวข้องกับการบริหารความเสี่ยงและการปรับปรุงการรักษาความมั่นคงฯ สารสนเทศ ที่สอดคล้องกันกับวัตถุประสงค์และนโยบายหลักขององค์กร
• Do (implement and operate the ISMS) – การดำเนินการและปฏิบัติงานตามนโยบายฯ การควบคุม กระบวนการและขั้นตอนที่กำหนด
• Check (monitor and review the ISMS) – ประเมินผลและ ถ้าเป็นไปได้ ควรวัดผลการดำเนินการตามนโยบายความมั่นคงฯ วัตถุประสงค์และประสบการณ์ที่ได้ ทำรายงานต่อผู้บริหาร เพื่อใช้ในการทบทวนนโยบายฯ ต่อไป
• Act (maintain and improve the ISMS) – ปรับปรุงเชิงป้องกันและแก้ไขข้อผิดพลาดที่เกิดขึ้น ตามที่ได้รับรายงานการประเมินจากฝ่ายบริหาร เพื่อให้เกิดการปรับปรุงอย่างต่อเนื่องในระบบการบริหารจัดการฯ
ระบบ ISMS เป็นระบบ Dynamic system ที่ใช้โครงสร้าง PDCA ดังนั้น ระบบจะมีการหมุนเพื่อปรับปรุงอย่างต่อเนื่องอยู่ตลอดเวลามี่ที่สิ้นสุด โดยโครงสร้างของข้อกำหนด จะถูกแบ่งตาม PDCA ดังนี้

โดยระบบ ISO/IEC 27001:2005 มีการแนะนำให้ประยุกต์ ข้อกำหนดของ ISO/IEC 17799:2005 มาใช้ในการควบคุมและจัดการเกี่ยวกับความเสี่ยงที่เกิดขึ้น (ตามข้อกำหนด 4.2.1g ของ ISO/IEC 27001:2005) และ หากองค์กรจะไม่เลือกประยุกต์และ/หรือใช้บางส่วน ข้อกำหนดของ ISO/IEC17799:2005 สามารถกระทำได้ แต่ต้องมีการอธิบายสาเหตุของการไม่เลือกประยุกต์ใช้ให้ชัดเจนไว้ใน SOA (ตามข้อกำหนด 4.2.1j ของ ISO/IEC 27001:2005)
โดยสรุปแล้วระบบการจัดการความปลอดภัยข้อมูล ISO/IEC 27001:2005 หรือ ISMS เป็นระบบ dynamic system ที่มีการประยุกต์หลักการ PDCA Cycle ที่สามารถประยุกต์ใช้ได้กับทุกธุรกิจ เพื่อให้ระบบข้อมูลขององค์กร มี Confidentiality ให้แน่ใจว่าข้อมูลต่างๆ สามารถเข้าถึงได้เฉพาะ ผู้ที่มีสิทธิที่จะเข้าเท่านั้น, มี Integrity ป้องกัน ให้ ข้อมูลมีความถูกต้อง และความสมบูรณ์ และ Availability แน่ใจว่า ผู้ที่มีสิทธิในการเข้าถึงข้อมูล สามารถเข้าถึงได้เมื่อมีความต้องการ โดยระบบการจัดการ ISMS นั้น จะเป็นระบบการจัดการภายใต้ความสี่ยงที่ยอมรับได้ ไม่ใช่ให้ระบบไม่มีความเสี่ยงเลยหรือไม่เกิดปัญหาเลย ทำให้เกิดประสิทธิภาพในการใช้ ทรัพยากรในการลงทุนสำหรับการจัดการความปลอดภัยของข้อมูลอย่างมีประสิทธภาพ โดยส่วนใหญ่จะมีการใช้ร่วมกับ ระบบ ISO/IEC 17799:2005 เพื่อให้เกิดประสิทธิภาพในการดำเนินงาน ในปัจจุบัน คณะอนุกรรมการด้านความมั่นคงปลอดภัยในการประกอบธุรกรรมทางอิเล็กทรอนิกส์ ได้ออกมาตรฐานการรักษาความมั่นคงปลอดภัยในการประกอบธุรกรรมทางอิเล็กทรอนิกส์ (เวอร์ชั่น 2.5) ประจำปี 2550 โดยอ้างอิงจากมาตรฐาน ISO/IEC 27001:2005 และ ISO/IEC 17799:2005 (ปัจจุบันเปลี่ยนเป็น ISO/IEC 27002 แต่เนื้อหายังคงเหมือนเดิม) เพื่อให้สอดคล้องกับมาตรฐานสากล คณะกรรมการธุรกรรมทางอิเล็กทรอนิกส์จะดำเนินการผลักดันให้มาตรฐานนี้กลายเป็นมาตรฐานของประเทศไทยที่ได้รับการรับรองโดย สำนักงานมาตรฐานผลิตภัณฑ์อุตสาหกรรม (สมอ.) และ มาตรฐานการรักษาความมั่นคงปลอดภัยในการประกอบธุรกรรมทางอิเล็กทรอนิกส์
เอกสารอ้างอิง

1. กิตติพงษ์ เกียรตินิยมรุ่ง Lead Auditor TUV Rheinland Thailand mailto:http://www.tuv.com/th/_iso_27001.html
2. ปริญญา หอมเอนก , CISSP, SSCP, CISA, CISM, SANS GIAC GCFW, Security+, ITIL Foundation ACIS Professional Center prinya@acisonline.net

3. ISO IEC 27001 2005 Translated into plain English: Introduction, http://www.praxiom.com/iso-27001-intro.htm

4. ACinfotec, Co.,Ltd., BS 7799-2:2002 and ISO 17799: 2005 ISMS Intensive Training, 2006

IT Risk Assessment and Management Service สารสนเทศเป็นทรัพยากรที่มีคุณค่าสูงสุดขององค์กร การบริหารจัดการสารสนเทศจึงมีความจำเป็นโดยพื้นฐานเพื่อสร้างความมั่นคง ปลอดภัยและความต่อเนื่องในการดำเนินงาน ก่อให้เกิดข้อได้เปรียบทางด้านการแข่งขัน สร้างความเชื่อมั่นต่อหน่วยงานภายนอกที่เกี่ยวข้อง รวมทั้งรักษาภาพพจน์และชื่อเสียงที่ดีขององค์กร
โดยทั่วไปองค์กรมีความจำเป็นที่จะต้องสร้างความมั่นคงปลอดภัยให้กับสารสนเทศขององค์กรทั้งในแง่ของความลับ ความถูกต้อง และความพร้อมใช้งานของสารสนเทศ ดังนั้นองค์กรจึงมีความจำเป็นต้องประเมินความเสี่ยงที่อาจเกิดขึ้นต่อสารสนเทศที่ใช้งาน และกำหนดแนวทางในการบริหารจัดการความเสี่ยงเหล่านั้นเพื่อให้องค์กรสามารถดำเนินงานต่อไปได้อย่างต่อเนื่องและมีประสิทธิภาพ การประเมินความเสี่ยง คือการศึกษา วิเคราะห์ และประเมินว่าทรัพย์สินสารสนเทศขององค์กรมีความเสี่ยงต่อการเกิดความเสียหายมากน้อยเพียงใด โดยพิจารณาจากระดับความสำคัญของทรัพย์สิน ภัยคุกคามที่อาจเกิดขึ้นต่อทรัพย์สิน และจุดอ่อนของทรัพย์สินเหล่านั้น ซึ่งผลลัพธ์จากการประเมินจะทำให้ทราบระดับความเสี่ยงต่อทรัพย์สินแต่ละอย่างทั้งที่ที่ยอมรับได้และยอมรับไม่ได้โดยจะต้องผ่านการอนุมัติจากผู้บริหารขององค์กร จากนั้นก็สามารถบริหารจัดการกับความเสี่ยงโดยกำหนดมาตรการอันเหมาะสมในการแก้ไขจุดอ่อน และป้องกันภัยคุกคามโดยอ้างอิงตามมาตรฐานความปลอดภัยสากล ISO17799 / BS7799

บริการนี้ประกอบด้วยการแนะนำวิธีการและการทำสัมมนาเชิงปฏิบัติการเพื่อให้ตัวแทนขององค์กรได้ฝึกปฏิบัติและเรียนรู้วิธีการบริหารจัดการความเสี่ยงที่มีต่อสารสนเทศโดยอาศัยเทคนิคการบริหารจัดการความเสี่ยงอ้างอิงตามข้อกำหนดในมาตรฐาน ISO17799 / BS7799 รวมทั้งสามารถวางแผนเพื่อบริหารความเสี่ยงที่มีต่อสารสนเทศขององค์กรต่อไปโดยผู้ให้บริการเป็นผู้เชี่ยวชาญจากทีมงาน ThaiCERT ที่ได้รับประกาศนียบัตรการผ่านการฝึกอบรมหลักสูตร Information Security Management System (ISMS) Auditor/Lead Auditor ซึ่งอ้างอิงมาตรฐานความปลอดภัยสากล ISO17799 / BS7799

Security Auditing Service การรักษาความมั่นคงปลอดภัยของระบบเครือข่ายทั้งที่ใช้งานภายในองค์กรและให้บริการแก่ลูกค้าหรือผู้ใช้บริการมีความจำเป็นและสำคัญต่อองค์กร ดังนั้นองค์กรจึงควรจัดหาหน่วยงานที่มีความเชี่ยวชาญและมีประสบการณ์สูงทางด้านการรักษาความปลอดภัยเครือข่ายคอมพิวเตอร์ เพื่อทำการศึกษาและวิเคราะห์ระบบความปลอดภัยของระบบเครือข่ายที่เกี่ยวข้องทั้งหมดขององค์กร ประเมินระดับความปลอดภัย ค้นหาจุดอ่อนที่สำคัญ พร้อมทั้งเสนอแนะมาตรการในการแก้ไขปัญหาที่พบตามความเหมาะสม บริการนี้ประกอบด้วย 3 ส่วน ได้แก่

1. Penetration Test ระบบของท่านเคยโดน Hack หรือไม่? ท่านมั่นใจได้แค่ไหนว่าระบบของท่านจะป้องกัน Hacker ได้ 100 เปอร์เซ็นต์ ? บริการนี้เป็นการให้บริการทดสอบบุกรุกระบบเพื่อตรวจสอบว่าระบบมีจุดอ่อนหรือช่องโหว่ทางด้านใดบ้าง เป็นการจำลองสถานการณ์หากมีการถูกเจาะระบบโดยแฮกเกอร์ฝีมือชั้นเยี่ยม การให้บริการทดสอบการบุกรุกระบบนี้จะดำเนินการจากภายนอกหรือภายในระบบเครือข่ายขององค์กร การทดสอบจากทั้งสองแบบนั้น ผู้เชี่ยวชาญจะทราบข้อมูลเพียงเบื้องต้นเกี่ยวกับระบบขององค์กรเท่านั้น ซึ่งจะเสมือนเป็นการบุกรุกจาก Hacker ตัวจริง ทั้งนี้เมื่อการทดสอบการบุกรุกระบบเสร็จสิ้นลง ผู้เชี่ยวชาญจะระบุจุดอ่อนของระบบที่พบและนำเสนอวิธีการแก้ไขเป็นการเฉพาะสำหรับระบบนั้นๆ

2. Vulnerability Scanning องค์กรส่วนใหญ่ไม่สามารถทราบได้ว่าระบบเครือข่าย คอมพิวเตอร์ หรือเซิร์ฟเวอร์ในองค์กรมีช่องโหว่ที่เป็นช่องทางให้แฮกเกอร์ หรือผู้บุกรุกเข้ามาจู่โจมระบบได้หรือไม่ การเฝ้าระวัง และตรวจสอบค้นหาช่องโหว่อย่างสม่ำเสมอถือเป็นวิธีการที่สำคัญเพื่อขจัดปัญหาดังกล่าวข้างต้น เพราะผู้ดูแลระบบสามารถแก้ไขและซ่อมแซมช่องโหว่ได้ทันก่อนจะเกิดการบุกรุกจากแฮกเกอร์ ทีมงาน ThaiCERT มีบริการผ่านเว็บ (Web Service) นั่นคือบริการ ThaiCERT Web-Based Vulnerability Scanner (https://webscan.thaicert.nectec.or.th/) ซึ่งมอบความสมบูรณ์แบบและลักษณะการใช้งานที่สะดวกแก่องค์กรในการค้นหาและทดสอบช่องโหว่ของเครื่องเซิร์ฟเวอร์ และระบบเครือข่าย ผลการตรวจสอบจะอยู่ในรูปแบบของรายงาน พร้อมคำแนะนำจากผู้เชี่ยวชาญด้านความมั่นคงปลอดภัยของทีมงาน ThaiCERT ซึ่งสามารถนำไปประยุกต์ใช้ หรือแก้ไขได้ตรงจุดของช่องโหว่ได้ทันที

3. Information Security Assessment (ISA) ทีมงาน ThaiCERT ซึ่งประกอบด้วยผู้เชี่ยวชาญที่ได้รับประกาศนียบัตรการผ่านการฝึกอบรมหลักสูตร Information Security Management System (ISMS) Auditor/Lead Auditor ซึ่งอ้างอิงมาตรฐานความปลอดภัยสากล ISO17799 / BS7799 ทีมงานจะดำเนินการศึกษา วิเคราะห์ และเสนอแนวทางในการปรับปรุงระดับความมั่นคงปลอดภัยของระบบเครือข่ายขององค์กรเพื่อเพิ่มประสิทธิภาพและประสิทธิผลในการดำเนินงานหรือปฏิบัติหน้าที่ของพนักงานภายในองค์กร รักษาทรัพย์สินสารสนเทศขององค์กรให้ปลอดภัยจากภัยคุกคามที่อาจเกิดขึ้น ระบบสามารถให้บริการทั้งภายในและภายนอกอย่างต่อเนื่องหรือมีการหยุดชะงักของระบบน้อยที่สุด และสร้างความเชื่อมั่นต่อลูกค้าหรือผู้ใช้บริการซึ่งใช้ระบบเครือข่ายขององค์กร

บริการวางแผนสร้างความปลอดภัยให้แก่สารสนเทศขององค์กร (IT Security Plan Development Service)

องค์กรที่ใช้ระบบสารสนเทศในการดำเนินงานหลายองค์กรประสบปัญหาภัยคุกคามและเกิดผลกระทบต่อองค์กรทั้งในแง่ของการสูญเสียชื่อเสียงและทรัพย์สินอันมีค่า ทั้งนี้เนื่องมาจากองค์กรไม่ได้ตระหนักถึงความสำคัญของการรักษาความปลอดภัยของสารสนเทศรวมถึงไม่มีการวางแผนที่ดีในการป้องกันและรักษาทรัพย์สินสารสนเทศขององค์กรให้มีความปลอดภัยและสามารถใช้งานได้อย่างมีประสิทธิภาพเพื่อให้องค์กรดำเนินงานได้อย่างต่อเนื่องและมีประสิทธิภาพ ดังนั้นทีมงาน ThaiCERT จึงได้มีบริการนี้ขึ้น โดยทีมงานจะศึกษา และวิเคราะห์สถานภาพของระบบสารสนเทศปัจจุบันขององค์กรและเสนอแนะแผนการสร้างความปลอดภัยให้กับสารสนเทศขององค์กร เพื่อให้องค์กรนำแนวทางดังกล่าวไปใช้ปกป้องทรัพย์สินสารสนเทศขององค์กรให้ปลอดภัยและสามารถใช้งานได้อย่างมีประสิทธิภาพมากขึ้น

: http://www.nectec.or.th/index.php?option=com_content&task=view&id=231&Itemid=139

Wiless Security Service

ระบบเครือข่ายแบบไร้สาย (WLAN) ในปัจจุบัน ได้รับความนิยมมากขึ้นจากผู้ใช้งานที่อยู่ใน องค์กร, offices, บ้าน หรือตามจุดให้บริการอินเทอร์เน็ตสาธารณะ (Hot Spot) เนื่องจากให้ความสะดวกสบายในการเชื่อมต่อโดยไม่ต้องอยู่ตามตำแหน่งตามจุด ที่ให้บริการการเชื่อมต่อระบบตามแบบเดิมที่เป็นระบบเครือข่ายแบบมีสาย (LAN) แต่เพราะความสะดวยสบายในการใช้งานทำให้ผู้ใช้งานระบบเครือข่ายแบบไร้สาย ส่วนใหญ่ละเลยหรือไม่ได้ตระหนักในเรื่องของความปลอดภัยในการใช้งาน ด้วยเหตุนี้เองทางศูนย์ประสานงานการรักษาความปลอดภัยคอมพิวเตอร์ ประเทศไทย (ThaiCERT) ภายใต้ศูนย์เทคโนโลยีอิเล็กทรอนิกส์และคอมพิวเตอร์แห่งชาติ (NECTEC) จึงได้ศึกษาและพัฒนาความเชี่ยวชาญในการออกแบบ ติดตั้งและดูแลระบบเครือข่ายแบบไร้สายให้ทั้งมีความสะดวก คุณภาพ ประสิทธิภาพและความปลอดภัยที่เหมาะสมกับความต้องการตามลักษณะการใช้งานของผู้ใช้ ทั้งนี้ยังได้วิจัยและพัฒนาในส่วนประกอบต่างๆ สำหรับระบบเครือข่ายแบบไร้สายที่มีความปลอดภัยสูงและใช้งานสะดวก (โดยวิจัยพัฒนาต่อยอดจากแหล่งซอฟต์แวร์ Open Source) รวมถึงการร่างนโยบายความปลอดภัยด้านการใช้งานระบบเครือข่ายแบบไร้สายในองค์กร โดยบุคลากรที่มีประสบการณ์ ความรู้ ความสามารถ และผู้เชี่ยวชาญด้านระบบเครือข่ายแบบไร้สาย ที่ได้รับประกาศนียบัตร Certified Wireless Network Administrator (CWNA) จากประเทศสหรัฐอเมริกา ThaiCERT ให้บริการด้านตรวจสอบ ให้คำแนะนำ ออกแบบและติดตั้งระบบเครือข่ายแบบไร้สาย ให้มีระดับความปลอดภัยที่ตอบสนองความต้องการของผู้ใช้งาน โดยมีบริการดังต่อไปนี้
Design & Implementation Service
- RF Site Survey ตรวจสอบพื้นที่ให้สัญญาณครอบคลุม เพื่อจัดวางตำแหน่งติดตั้งที่เหมาะสมของอุปกรณ์ Access Point

- ออกแบบและกำหนดแผนผังโครงสร้างระบบเครือข่ายแบบไร้สาย
- เลือกเทคโนโลยีของระบบเครือข่ายแบบไร้สายทั้งในส่วนของ Hardware และ Software ให้เหมาะสมต่อการใช้งานและมีความปลอดภัย
- ออกแบบและกำหนดแผนผังตำแหน่งที่ติดตั้ง Access Point
- ติดตั้งและทดสอบระบบเครือข่ายแบบไร้สายให้สอดคล้องและเป็นไปตามที่ได้กำหนดไว้
- จัดทำนโยบายด้านความปลอดภัยในการใช้งานและคู่มือการดูแลระบบเครือข่ายแบบไร้สาย
- ฝึกอบรมการใช้งานเบื้องต้นสำหรับผู้ดูแลระบบเครือข่ายแบบไร้สาย

บริการติดตั้งระบบเครื่อข่ายไร้สายสำหรับงานประชุม

ในงานประชุมที่มีความประสงค์จะเปิดให้บริการเครือข่ายไร้สายสำหรับผู้เข้าร่วมประชุม ThaiCERT ให้บริการครบวงจร ทั้งการออกแบบ วางระบบเครือข่ายไร้สายที่เหมาะสมกับสถานที่ และลักษณะงานประชุม รวมถึงระบบรักษาความปลอดภัย โดยทีมงานที่มีประสบการณ์ทั้งจากงานประชุมในประเทศและงานประชุมนานาชาติ

Wi-Fi Security Solutions

1. Wi-Fi Authentication Gateway การเชื่อมต่อนี้ ผู้ใช้จะสามารถเข้าใช้ระบบเครือข่ายแบบ ไร้สายได้ก็ต่อเมื่อได้ทำการพิสูจน์ตัวตน (Login) ผ่าน ทางหน้า web browser ซึ่งมีความสะดวกสบายในการใช้งาน แต่การส่งข้อมูลระหว่าง client กับ อินเทอเนต จะไม่มีการเข้ารหัสของข้อมูล จีงมีระดับความปลอดภัยที่ต่ำ การเชื่อมต่อรู้แบบนี้เป็นที่นิยมสำหรับการใช้งานใน รูปแบบ Wi-Fi Hot Spot โดยทั่วไป


2. Wi-Fi VPN การเชื่อมต่อนี้ client จะทำการพิสูจน์ตัวตนและสร้างเครือข่ายส่วนบุคคลกับ VPN server การส่งข้อมูลระหว่าง VPN client กับ VPN server จะมีการเข้ารหัส ซึ่งการเข้ารหัสนี้จะครอบคลุมถึงส่วนของ wireless link ด้วย เทคโนโลยี VPN ที่ใช้คือ PPTP VPN ซึ่งผู้ใช้สามารถติดตั้ง PPTP client ที่มาพร้อมกับระบบปฎิบัติการ Windows อยู่แล้วได้อย่างสะดวกสบาย ระบบนี้ช่วยเพิ่มความปลอดภัยให้กับเครือข่ายไร้สาย

3. Wi-Fi WPA & IEEE 802.11i การเชื่อมต่อนี้เป็นการนำมาตรฐานความปลอดภัยแบบใหม่ล่าสุดของ IEEE 802.11i หรือ WPA ซึ่งทาง haiCERT ได้พัฒนาระบบ Backend solution เพื่อมารองรับและใช้งานร่วมกับ WPA ได้อย่างเหมาะสม การพิสูจน์ตัวตนที่มีความยืดหยุ่น ผู้ใช้สามารถเลือกใช้งานได้หลายรูปแบบเช่น EAP-TLS หรือ PEAP การเชื่อม ต่อรูปแบบนี้เหมาะกับผู้ใช้หรือองค์กรที่ต้องการเครื่อข่าย ไร้สายที่มีความปลอดภัยสูง


4. WLAN Manager
เป็น software ที่ ThaiCERT ได้พัฒนาขึ้นเพื่อมาควบคุม และบริการจัดการ ระบบทั้งสามที่กล่าวมาข้างต้น ผู้ควบคุมระบบสามารถเรียกใช้งาน WLAN Manager ได้อย่างสะดวกสบายผ่านทาง Web User Interface Features ของ WLAN Manager เช่น การจัดการฐานข้อมูล ผู้ใช้งาน การควบคุมตั้งค่าระบบ backend นอกจากนี้ ผู้ใช้สามารถแก้ไขข้อมูลส่วนบุคคล ผ่านทาง WLAN Manager โดยตรงได้อีกด้วย
: http://www.nectec.or.th/index.php?option=com_content&task=view&id=232&Itemid=139

CIO นำธงความสำเร็จสู่องค์กร

ผลวิจัยชี้ CIO มีบทบาทต่อความสำเร็จขององค์กรสูง นอกจากภารกิจด้านการพัฒนาควบคุมและดูแลระบบสารสนเทศในองค์กรแล้ว ยังมีบทบาทด้านการวางแผนยุทธศาสตร์ด้วย
จากการจัดทำวิจัยเพื่อศึกษาถึง “บทบาทของผู้บริหารระดับสูงด้านเทคโนโลยีสารสนเทศที่มีผลต่อความสำเร็จขององค์กร” ซึ่งจัดทำโดย eENTERPRISE ร่วมกับศิลปศาสตรมหาบัณฑิต สาขาผู้นำสังคม ธุรกิจ และการเมือง (ระบบการศึกษาทางไกลทางอินเทอร์เน็ต) วิทยาลัยนวัตกรรมสังคม มหาวิทยาลัยรังสิต เมื่อช่วงเดือนกันยายนที่ผ่านมา พบว่าผู้บริหารระดับสูงด้านเทคโนโลยีสารสนเทศในองค์กร (ซีไอโอ) มีบทบาทในระดับมากในองค์กร ซึ่งนอกจากบทบาทในหน้าที่แล้วยังมีบทบาทในด้านการวางแผนยุทธ์ศาสตร์ในองค์กรอีกด้วย
โดยการทำวิจัยในครั้งนี้ใช้การวิเคราะห์จากการตอบแบบสอบถามของบรรดาซีไอโอที่อยู่ภายใต้สภาอุตสาหกรรมแห่งประเทศไทย และ International Academy of CIO สถาบันผู้บริหารระดับสูงด้านเทคโนโลยีสารสนเทศของภาครัฐ ในเขตกรุงเทพมหานครฯ และปริมณฑล จำนวน 364 คน ซึ่งได้ข้อสรุปเป็นค่าเฉลี่ยดังจะได้กล่าวต่อจากนี้
จากการสำรวจพบว่าเพศชาย คิดเป็นร้อยละ 84.3 มีอายุระหว่าง 31-40 ปี คิดเป็นร้อยละ 43.7 รองลงมามีอายุมากกว่า 50 ปีขึ้นไป โดยมีรายได้เฉลี่ยต่อเดือน มากกว่า 40,000 บาท คิดเป็นร้อยละ 90.9 มีอายุงานปัจจุบัน 15 ปี คิดเป็นร้อยละ 50.0 ส่วนใหญ่มีการศึกษาในระดับปริญญาโท คิดเป็นร้อยละ 64.0 และมีประสบการณ์ทำงานมากกว่า 15 ปี คิดเป็นร้อยละ 53.6 ตามตารางประกอบ 1 (ข้อมูลผู้ตอบแบบสอบถาม)

CIO บทบาทที่มากกว่าหน้าที่หลัก

โดยการสำรวจความคิดเห็นเกี่ยวกับบทบาทของซีไอโอต่อความสำเร็จขององค์กรนั้นพบว่า หน้าที่หลักมีผลต่อความสำเร็จต่อองค์กรอยู่ในระดับมากตามลำดับ ดังนี้ ด้านการควบคุมดูแลระบบงาน ด้านการพัฒนาระบบงาน ด้านการตระหนักถึงลูกค้าและการให้บริการ ส่วนบทบาทต่อการวางแผนยุทธศาสตร์ขององค์กรซึ่งไม่ได้เป็นหน้าที่โดยตรงแต่มีผลต่อความสำเร็จขององค์กรเป็นลำดับที่สี่ ขณะที่ด้านการพัฒนาบุคลากรนั้นมีนัยสำคัญอยู่แต่องค์กรไม่ได้ให้ความสำคัญเรื่องนี้มากนัก โดยสรุปคือองค์กรจึงควรพัฒนาบทบาทของซีไอโอเพื่อให้องค์กรมีความสำเร็จมากขึ้น


แต่อย่างไรก็ตามการสำรวจในครั้งนี้ประเด็นที่น่าสังเกตุ คือเมื่อเปรียบเทียบบทบาทกับเพศ ปรากฎว่า เพศมีผลต่อความสำเร็จในองค์กรด้านการวางแผนยุทธศาสตร์ แต่ไม่มีผลต่อด้านอื่นๆ ได้แก่ด้านการควบคุมดูแลระบบงาน ด้านการพัฒนาระบบงาน ด้านการตระหนักถึงลูกค้าและการให้บริการ และด้านการพัฒนาบุคลากร ดังนั้นอธิบายได้ว่า ในสังคมไทยเพศหญิงยังไม่เป็นที่ยอมรับอย่างชัดเจน โดยเฉพาะเรื่องที่สำคัญ โดยจะเห็นได้ว่าเพศมีผลเฉพาะด้านการวางแผนยุทธศาสตร์ซึ่งเป็นหัวใจของการดำเนินธุรกิจขององค์กร


โดยผลสำรวจดังกล่าวเป็นไปในทิศทางเดียวกันกับการสำรวจบทบาทของซีไอโอในระดับอาเซียน ซึ่งพบว่า 94% ของประธานเจ้าหน้าที่ฝ่ายสารสนเทศ (ซีไอโอ) ในอาเซียนระบุว่า บทบาทของซีไอโอในอาเซียนมีความสำคัญเพิ่มมากขึ้นในภาคธุรกิจ โดยหากวัดความเป็นผู้นำขององค์กรจากความสามารถของบุคลากรและทักษะความเป็นผู้นำแล้ว พบว่า ยังคงตามหลังการจัดการและทักษะทางเทคโนโลยีของประเทศต่างๆ ในอาเซียน
นอกจากนี้ผลสำรวจซีไอโอในอาเซียนนั้ง ซีไอโอยังตระหนักถึงความสำคัญในการพัฒนาบทบาทของตนเองจากผู้นำทางด้านไอที ไปสู่บทบาทผู้นำทางด้านธุรกิจ ซึ่งมีความชำนาญในการบริหารจัดการ การกำหนดกลยุทธ์ และการปกครองผู้ใต้บังคับบัญชา(อ่านข้อมูลผลการสำรวจเพิ่มเติมใน โพลล์อาเซียนชี้ CIO สำคัญต่อภาคธุรกิจ)


จากผลการสำรวจบทบาทของซีไอโอต่อความสำเร็จขององค์กรของ eENTERPRISE และวิทยาลัยนวัตกรรมสังคม มหาวิทยาลัยรังสิต ในครั้งนี้ ยังได้รับความเห็นจากข้อเสนอแนะต่างๆ ที่กล่าวถึงบทบาทของซีไอโอที่มีผลต่อความสำเร็จขององค์กรจากผู้ตอบแบบสอบถามอีกด้วย โดยข้อมูลระบุว่า “ซีไอโอต้องรู้เรื่องธุรกิจมากขึ้นไม่ได้เน้นเรื่องเทคนิคด้านเดียว” ขณะที่ข้อเสนอแนะของซีไอโอผู้ตอบแบบสอบถามอีกท่านกล่าวว่า “ซีไอโอเป็นหน้าที่ที่ยากมาก ต้องอยู่เบื้องหลังความสำเร็จ ต้องรู้จักธุรกิจ และทิศทางธุรกิจ” (อ่านข้อมูลเพิ่มเติมใน ข้อชี้แนะ CIO ต้องรู้เรื่องธุรกิจ )


นอกจากนี้ในแบบสอบถามยังได้ผลในรายละเอียดเกี่ยวกับขีดความสามารถขององค์กรต่อระดับความคิดเห็นกับผลสัมฤทธิ์ ซึ่งในแบบสอบถามให้ซีไอโอแสดงความคิดเห็นใน 5 ระดับคือ 1-5 โดย 1 = ระดับน้อยที่สุด, 2 = ระดับน้อย, 3 = ระดับปานกลาง, 4 = ระดับมาก และ 5 = ระดับมากที่สุด ซึ่งผลที่ออกมาว่า การมุ่งเน้นการบริหารจัดการด้านการพัฒนาระบบไอทีให้ประหยัดพลังงานนั้นอยู่ในระดับปานกลาง แสดงความองค์กรยังไม่ได้ให้ความสำคัญด้านนี้มากนัก
เช่นเดียวกับในประเด็นการจัดการงบประมาณในด้านการวางแผนต้นทุนการใช้งานนอกระบบ (outsourcing) ยังอยู่ในระดับปานกลาง แปลว่าองค์กรไม่ได้ให้ความสำคัญด้านดังกล่าวเท่านั้น (โปรดดูรายละเอียดในตารางประกอบ 2 ข้อมูลระดับแปลผลของผู้ตอบแบบสอบถามเกี่ยวกับขีดความสามารถขององค์กร)


จากตาราง ข้อมูลระดับแปลผลของผู้ตอบแบบสอบถามเกี่ยวกับบทบาทซีไอโอในองค์กร (ดูตารางประกอบ 3) มีนัยสำคัญด้านการพัฒนาบุคลากร ซึ่งหากองค์กรให้ความสำคัญต่อการส่งเสริมให้บุคลากรสอบใบรับรองสารสนเทศด้านต่างๆ ที่สนับสนุนความเชี่ยวชาญในระบบมากขึ้น และหากมีการกำหนดเส้นทางการเติบโตในสายงานอาชีพด้วย จะช่วยยกระดับบุคลากรในสายงานไอทีนั่นเอง


ข้อชี้แนะ CIO ต้องรู้เรื่องธุรกิจ
จากข้อเสนอแนะในตอนท้ายของแบบสอบถามของการสำรวจบทบาทซีไอโอพบความคิดเห็นที่เสนอแนะในหลายด้าน ซึ่งมีส่วนที่สอดคล้องกับบทบาทซีไอโอต่อความสำเร็จขององค์กร คือซีไอโอควรมีความรู้ด้านธุรกิจควบคู่ไปกับหน้าที่หลักจะยิ่งทำให้องค์กรประสบความสำเร็จมากขึ้น ทั้งนี้ได้นำแนวคิดจากซีไอโอผู้ตอบแบบสอบถามแต่ละท่านมาถ่ายทอดดังนี้
ซีไอโอต้องรู้เรื่องธุรกิจมากขึ้นไม่ได้เน้นเรื่องเทคนิคด้านเดียว รวมถึงให้ความรู้และพัฒนาคน จัดระเบียบคนทั้งด้านการใช้งาน ผลกระทบและความสามารถ สำหรับองค์กรเป็นเรื่องสำคัญที่ต้องมีหลักคิดที่ดี มี framework ที่ดี รู้ว่าอะไรควรกำหนดในระดับนโยบาย ระดับปฏิบัติ บางเรื่องต้องมีเทคโนโลยีมาช่วยในการปฏิบัติงานมีขั้นตอนในการตรวจสอบที่ทำให้มั่นใจว่าทุกคนสามารถปฏิบัติตามได้อย่างสม่ำเสมอ หากปรุงแต่งส่วนผสมให้เหมาะสมจึงจะเป็นปัจจัยแห่งความสำเร็จขององค์กร รวมถึงการเรียนรู้อย่างต่อเนื่อง แลกเปลี่ยนและต่อยอด เพื่อลดต้นทุนและรับประกันความสำเร็จในการขับเคลื่อน
การสร้างความสำคัญให้องค์กรเห็นประโยชน์การใช้ไอทีอย่างต่อเนื่อง เพื่อพัฒนาองค์กรไปสู่การใช้งานระบบออนไลน์อย่างเต็มรูปแบบ
ซีไอโอเป็นหน้าที่ที่ยากมาก ต้องอยู่เบื้องหลังความสำเร็จ ต้องรู้จักธุรกิจ และทิศทางธุรกิจ ตลอดจนถึง chain ที่เกี่ยวเชื่อมโยง ต้องทำหน้าที่ change agent ไปพร้อมๆ กับ ต้องเก่ง communicate ; collaborate ; consolidate ; connected คน กระบวนการ และ เทคโนโลยี ให้สอดคล้องซึ่งกันและกัน โดยต้องมีวิวัฒนาการเปลี่ยนแปลง ปรับปรุง อยู่เสมอ ( continuous change & improvement ) โดยต้องสร้างและพัฒนาทายาท อย่างต่อเนื่อง ให้สู้คู่แข่ง ประเทศใกล้เคียงให้ได้
ควรเน้นแนวทางในการดำเนินงาน ด้านนวัตกรรมและร่วมมือกับหน่วยงานภายนอก เพื่อให้เกิดผลกระทบต่อเศรษฐกิจ และสังคมอย่างเท่าเทียบกัน
ควรสร้างมาตรฐานในองค์กรให้สอดคล้องกับนโยบายและขั้นตอนการดำเนินงานด้านไอที
ต้องติดตามและเอาใจใส่ต่อระบบงานสารสนเทศที่ใช้งานอยู่โดยตลอด เพื่อให้เกิดการดูแลรักษาระบบโดยทีมงานอย่างเต็มที่ เพื่อให้เกิดความพึงพอใจแก่ผู้ใช้บริการ มีการติดตามวิทยาการใหม่ๆ และให้โอกาสทีมงานได้ทดสอบวิทยาการเหล่านั้น ก่อนจะพิจารณานํามาใช้จริง
ซีไอโอต้องกําหนดนโยบายการประยุกต์ใช้ระบบสารสนเทศ ให้กับหน่วยงานภายในองค์กรอย่างทั่วถึง ศึกษากฎระเบียบของภาครัฐที่เกี่ยวกับการประยุกต์ใช้เทคโนโลยีสารสนเทศทั้งที่มีผลบังคับใช้แล้วและที่หลังจะประกาศตามมา เพื่อนํามาปรับปรุงระบบสารสนเทศที่ดูแลอยู่ ให้มีความสามารถสอดคล้องกับกฎระเบียบต่างๆ เพื่อไม่ให้เกิดการปฏิบัติผิดกฎหมายขึ้นในองค์กร
โดยผลสำรวจชี้ให้เห็นถึงแนวคิดของซีไอโอในยุคปัจจุบันที่แตกต่างจากอดีตที่ผ่านมา ซึ่งพบว่าความเปลี่ยนแปลงในบทบาทของซีไอโอที่มากขึ้นและสำคัญขึ้นนั้น ไม่ต่างไปจากการที่องค์กรจะต้องปรับเปลี่ยนแนวคิดด้านการพัฒนาระบบไอที จากที่ในอดีตมองว่าเป็นต้นทุน แต่ในยุคนี้ต้องมองเป็นการลงทุนเพื่อพัฒนาองค์กร ทั้งนี้เนื่องจากไอทีเป็นเครื่องมือสำคัญในการดำเนินธุรกิจไปแล้ว
โพลล์อาเซียนชี้ CIO สำคัญต่อภาคธุรกิจ
การสำรวจความคิดเห็นของซีไอโอในระดับอาเซี่ยนที่กล่าวข้างต้น เกิดขึ้นจากความร่วมมือระหว่างสถาบันอินซีแอด (INSEAD) และไอบีเอ็มเมื่อช่วงเดือนมกราคม-พฤษภาคมที่ผ่านมา โดยได้ทำการในการสำรวจความเป็นผู้นำของซีไอโอในอาเซียนในประเทศสมาชิกอาเซียน 6 ประเทศ ได้แก่ อินโดนีเซีย มาเลเซีย ฟิลิปปินส์ สิงคโปร์ ไทย และเวียดนาม ระบุว่า บทบาทของซีไอโอในอาเซียนมีความสำคัญเพิ่มมากขึ้นในภาคธุรกิจ
โดยด้านการจัดการความสามารถของบุคลากร ซีไอโอมองว่าบุคลากรที่มีความรู้ความสามารถเป็นปัจจัยหลักในการเสริมสร้างองค์กร ทั้งนี้ซีไอโอในอาเซียนเชื่อว่านอกเหนือจากการบริหารจัดการและดูแลพนักงานฝ่ายไอทีโดยรวมแล้ว ตนเองยังมีบทบาทในการระบุและบ่มเพาะความสามารถของบุคลากรอีกด้วย 80.4% ของผู้ตอบแบบสำรวจเห็นด้วยว่าการระบุและการพัฒนาบุคลากรฝ่ายไอทีถือเป็นส่วนสำคัญในการปฏิบัติงานในฐานะซีไอโอ
ส่วนด้านการจัดการความเปลี่ยนแปลงและลูกค้า ซีไอโอตระหนักว่าควรมีการจัดการการเปลี่ยนแปลงในฝ่ายไอทีภายในกรอบโครงสร้างที่เหมาะสมสำหรับการบริหารองค์กรและงานไอทีอย่างโปร่งใส นอกจากนี้ ผู้บริหารระดับซีไอโอในอาเซียนยังชี้ว่า การปรับปรุงประสบการณ์และความพึงพอใจของลูกค้าทั้งภายในและภายนอกองค์กรถือเป็นหนึ่งในงานสำคัญที่สุดของซีไอโอ นอกเหนือจากการพัฒนาโครงสร้างพื้นฐานไอทีที่มีเสถียรภาพและประหยัดค่าใช้จ่าย
ด้านการจัดการความหลากหลายนั้นบรรดาซีไอโอต่างยอมรับว่าไอทีเป็นเครื่องมือสำคัญ และยังต้องรับรู้ถึงความจำเป็นของระดับความเป็นผู้นำในเชิงคุณภาพ กล่าวคือ คุณสมบัติที่สำคัญอย่างยิ่งของผู้นำแบบ “e-leader” ในระบบเศรษฐกิจแห่งองค์ความรู้ (Knowledge Economy) ก็คือ ความเข้าใจที่ลึกซึ้งเกี่ยวกับผลกระทบของเครือข่ายสารสนเทศที่มีต่องค์กร สังคม และวัฒนธรรม
นอกจากนี้ซีไอโอในภูมิภาคอาเซียนยังมองว่าตนเองเป็นหนึ่งในผู้บริหารระดับสูงที่มีความสำคัญถึง 88.5% ขณะที่ความเข้าใจในระบบงานธุรกิจถือเป็นเรื่องดี ปัจจุบันซีไอโอจำเป็นที่จะต้องเข้าใจกระบวนการทางธุรกิจ ทั้งยังต้องสามารถกำหนดมาตรฐานและลดความยุ่งยากซับซ้อนในระบบงานดังกล่าว
ทั้งนี้ 76.7% ของผู้ตอบแบบสำรวจในระดับอาเซี่ยนระบุว่า ประสบการณ์ทางด้านการดำเนินธุรกิจถือเป็นเกณฑ์สำคัญในการรับสมัครซีไอโอในปัจจุบัน นอกจากนั้น 81.2% ยังชี้ว่า ความพร้อมทางด้านทรัพยากรถือเป็นจุดแข็งประการหนึ่งในแนวทางการพัฒนาความเป็นผู้นำ
ขณะที่ด้านความตระหนักรู้ (Awareness) โดยทั่วไปแล้ว ซีไอโอในอาเซียนตระหนักถึงความสำคัญในการพัฒนาบทบาทของตนเองจากผู้นำทางด้านไอที ไปสู่บทบาทผู้นำทางด้านธุรกิจ ซึ่งมีความชำนาญในการบริหารจัดการ การกำหนดกลยุทธ์ และการปกครองผู้ใต้บังคับบัญชา แต่กระนั้น บรรดาผู้บริหารคนอื่นๆ รวมถึงคู่ค้าและลูกค้าของบริษัท มักจะละเลยความสำคัญดังกล่าว รวมทั้งประเด็นเรื่องประโยชน์ที่จะได้รับจากการพัฒนาบทบาทนี้ เช่น การเพิ่มขีดความสามารถในการแข่งขัน และความสำเร็จโดยรวมขององค์กร
การที่เศรษฐกิจโลกในปัจจุบันมีวงจรการสร้างสรรค์นวัตกรรมและการผลิตที่สั้นลง ทั้งยังมีการเปลี่ยนแปลงลำดับชั้นของผู้ผลิต ผู้ขาย และผู้ซื้ออย่างต่อเนื่อง นั่นหมายความว่าองค์กรต่างๆ จำเป็นที่จะต้องตัดสินใจเรื่องที่เกี่ยวข้องภายในเวลาอันรวดเร็ว และดังนั้นจึงเพิ่มแรงกดดันให้แก่ซีไอโอมากยิ่งขึ้น การระบุโอกาสใหม่ๆ เกี่ยวกับเทคโนโลยี ตลาด รูปแบบธุรกิจ และโครงสร้างบริษัท เป็นสิ่งที่เกิดขึ้นอยู่ทุกวันในองค์กรทั่วโลกที่มีความคล่องตัวสูงและประสบความสำเร็จในการดำเนินงาน และซีไอโอก็มีบทบาทสำคัญอย่างมากในเรื่องนี้
ข้อเสนอในผลสำรวจระบุว่าวิธีหนึ่งในการพัฒนา ‘ซีไอโอที่ดี’ สำหรับภูมิภาคอาเซียนก็คือ การเสริมสร้างทักษะใหม่ๆ ให้แก่ซีไอโอ ทั้งนี้ผลการสำรวจชี้ว่า ซีไอโอในอาเซียนได้ขยายขอบเขตทักษะทางวิชาชีพและความสนใจในด้านต่างๆ ซึ่งช่วยปรับปรุงขีดความสามารถในการสื่อสารกับบุคลากรในแผนกอื่นๆ ภายในองค์กร รวมถึงคู่ค้า ลูกค้า และซัพพลายเออร์
ธันวา เลาหศิริวงศ์ กรรมการผู้จัดการใหญ่ บริษัท ไอบีเอ็ม ประเทศไทย จำกัด ได้กล่าวสรุปถึงการสำรวจความคิดเห็นในครั้งนี้ว่า หลายๆ องค์กรจำเป็นที่จะต้องเปลี่ยนแปลงทัศนคติและมุมมองในเรื่องบทบาทของไอที จากเดิมที่มองว่าไอทีเป็นแหล่งที่มาของค่าใช้จ่าย แต่ในปัจจุบัน หลายๆ ฝ่ายเริ่มตระหนักว่าไอทีคือกลจักรสำคัญในการเสริมสร้างขีดความสามารถในการแข่งขัน ทั้งยังช่วยกระตุ้นการเติบโตของธุรกิจ ไอบีเอ็มมีประวัติที่ยาวนานในเรื่องของการประสานงานร่วมกับซีไอโอจากทั่วทุกมุมโลก เพื่อปรับเปลี่ยนรูปแบบธุรกิจโดยอาศัยเทคโนโลยี และเรายังมีส่วนผลักดันบทบาทของซีไอโอให้ก้าวขึ้นสู่สถานะของผู้บริหารระดับสูงเพื่อความสำเร็จในอนาคตอีกด้วย : http://www.arip.co.th/2006/mag_list.php?g3=3&ofsy=2008&ofsm=10&id=eWEEK&g3s=3&halfmonth=0&mag_no=223&element_id=407312&mag_g=A&g3as=2&g3tmp=A

มาตรฐานสากลทางด้านความปลอดภัยระบบเทคโนโลยีสารสนเทศที่ CIO ควรรู้

มาตรฐานสากลทางด้านความปลอดภัยระบบเทคโนโลยีสารสนเทศที่ CIO ควรรู้เพื่อนำมาใช้เป็นแนวทางปฏิบัติในองค์กร และ กลยุทธ์ CIO กับการบริหารระบบความปลอดภัยเทคโนโลยีสารสนเทศในองค์กรสมัยใหม่by A.Pinya Hom-anek,GCFW, CISSP, CISA, (ISC)2 Asian Advisory BoardPresident, ACIS Professional Center E-mail: ในสถานการณ์ปัจจุบันผู้บริหารระบบเทคโนโลยีสารสนเทศระดับสูงหรือ CIO นั้น มีความจำเป็นที่จะต้องศึกษามาตรฐานสากลด้านการรักษาความมั่นคงปลอดภัยในระบบเทคโนโลยีสารสนเทศ เพื่อนำมาประยุกต์ใช้ในองค์กร เหตุผลมีหลายประการ เช่น องค์กรต้อง "Compliance" หรือ "ผ่านการตรวจสอบ" จากผู้ตรวจสอบระบบสารสนเทศ (Information System Internal / External Auditor) เพื่อให้เป็นไปตามกฎหมายของประเทศที่องค์กรนั้นตั้งสำนักงานอยู่ เช่น ในประเทศสหรัฐอเมริกา องค์กรที่จดทะเบียนในตลาดหลักทรัพย์ต้องปฎิบัติตามกฎหมาย Gramm-Leach-Bliley (GLB) กฎหมาย Health Insurance Portability and Accountability Act (HIPAA) และ ล่าสุดกฎหมาย Sarbanes-Oxley (SOX) ซึ่งทำให้อาชีพทางด้านผู้ตรวจสอบระบบสารสนเทศกำลังเป็นที่ต้องการของหลาย ๆ องค์กรโดยเฉพาะองค์กรที่ต้องเตรียมรับการตรวจสอบจากองค์กรภายนอก ขณะเดียวกัน ผู้บริหารสารสนเทศขององค์กรต้องมีการเตรียมตัวเพื่อที่จะรับการตรวจสอบจากผู้ตรวจสอบสารสนเทศภายในที่อาจมาจากต่างประเทศในกรณีที่องค์กรเป็นบริษัทข้ามชาติหรือ มาจากผู้ตรวจสอบสารสนเทศภายนอกที่มีความชำนาญและมีความเป็นกลางในการตรวจสอบ ดังนั้น ผู้บริหารระบบเทคโนโลยีสารสนเทศระดับสูงขององค์กรจึงมีความจำเป็นอย่างยิ่งยวดที่จะต้องเตรียมพร้อมและศึกษาถึงมาตรฐานสากลทางด้านการรักษาความปลอดภัยระบบสารสนเทศแล้วนำมากำหนดเป็น "กรอบแนวทางปฏิบัติ" ซึ่งมาตรฐานสากลที่นิยมใช้กันทั่วโลก ได้แก่

1. มาตรฐาน ISO/IEC17799: 2005 (Second Edition) หรือ BS7799-1 มาตรฐาน ISO/IEC17799: 2005 (Second Edition) ถูกประกาศอย่างเป็นทางการในเดือนมิถุนายน ปี 2005 ได้มีการปรับปรุงแก้ไขมาจากต้นฉบับ ISO/IEC 17799:2000 (First Edition) จากปี 2000 ในประเทศไทยคณะอนุกรรมการความมั่นคงภายใต้คณะกรรมการธุรกรรมทางอิเล็กโทรนิคส์ซึ่งจัดตั้งขึ้นตามพระราชบัญญัติการประกอบธุรกรรมทางอิเล็กโทรนิคส์ พ.ศ. 2546 (http://www.etcommission.go.th) ได้นำมาตรฐาน ISO/IEC17799 :2000 (First Edition) หรือ BS7799-1 มาเป็นแนวทางในการกำหนด มาตรฐานการรักษาความปลอดภัยในการประกอบธุรกรรมทางอิเล็กโทรนิคส์ของประเทศไทยจำนวน 144 ข้อ เพื่อให้เป็นแนวทางเสริมสร้างการรักษาความปลอดภัยให้กับองค์กรหรือหน่วยงานที่เกี่ยวข้องกับการประกอบธุรกรรมทางอิเล็กโทรนิคส์โดยกำหนดมาตรฐานออกเป็น 3 ระดับ คือ ระดับ 1 ควรปฏิบัติ 31 ข้อ, ระดับ 2 ควรปฏิบัติ 104 ข้อ และ ระดับ 3 ซึ่งเป็นระดับความปลอดภัยสูงสุด ควรปฏิบัติทั้งหมด 144 ข้อ การนำมาตรฐาน ISO/IEC17799 : 2005 มาปฏิบัติในองค์กร สามารถนำองค์กรไปสู่การ "Certified" โดย Certification Body ตามมาตรฐาน BS7799-2:2002 ขณะนี้องค์กรทั่วโลกกำลังให้ความสนใจเรื่องความปลอดภัยระบบเทคโนโลยีสารสนเทศ ตัวอย่างในประเทศญี่ปุ่นนั้นมีองค์กรได้รับการรับรองมาตรฐาน BS7799-2 ไปแล้วกว่าเก้าร้อยองค์กร แสดงให้เห็นถึงมาตรฐานด้านความปลอดภัยระบบเทคโนโลยีสารสนเทศที่พัฒนากว่าประเทศเพื่อนบ้าน ขณะนี้การรับรองมาตรฐาน BS7799-2: 2002 กำลังพัฒนาเปลี่ยนแปลงเป็น ISO/IEC 27001:2005 ที่คาดว่าจะประกาศอย่างเป็นทางการประมาณเดือน พฤศจิกายน คศ. 2005 ซึ่งจะสอดคล้องกับมาตรฐาน ISO/IEC17799:2005(BS7799-1) ที่ถูกประกาศบอกมาแล้วก่อนหน้านี้

2. มาตรฐาน CobiT (Control Objective for Information and Related Technology)มาตรฐาน CobiT ถูกพัฒนาขึ้นโดย ISACA (http://www.isaca.org) และ IT Governance Institute (http://www.itgi.org ) เพื่อ องค์กรที่ต้องการมุ่งสู่การเป็น "ไอทีภิบาล" หรือ "IT Governance" มาตรฐาน CobiT เป็นแนวคิดและแนวทางปฏิบัติของผู้บริหารระบบสารสนเทศ และขณะเดียวกันก็เป็นแนวทางปฏิบัติสำหรับผู้ตรวจสอบระบบสารสนเทศด้วย โครงสร้างของมาตรฐาน CobiT นั้นแบ่งออกเป็น 4 กระบวนการหลัก ซึ่งทั้ง 4 กระบวนการหลักจะประกอบด้วย High Level Control Objective ทั้งหมด 34หัวข้อ และ Detail Control Objective แบ่งแยกย่อยอีกทั้งหมด 318 หัวข้อย่อยในปัจจุบันมาตรฐาน CobiT เป็นมาตรฐานเปิดที่สามารถ Download ได้ที่ Web Site ของ ISACA ในประเทศไทย สมาคมผู้ตรวจสอบและควบคุมระบบสารสนเทศ ภาคพื้นกรุงเทพฯ มีโครงการในการแปลมาตรฐาน CobiT ออกมาเป็นภาษาไทย และ ทางสมาคม ISACA สหรัฐอเมริกากำลังจะออก CobiT Version 4 ซึ่งมีการปรับปรุงจาก COBIT Version 3.2 ปัจจุบันแนวคิดของมาตรฐาน CobiT กำลังเป็นที่นิยมในกลุ่มธุรกิจด้านการเงินและการธนาคาร ยกตัวอย่าง เช่น ธนาคารแห่งประเทศไทยและ สำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์ หรือ กลต. ได้ให้ความสนใจในการนำมาตรฐาน CobiT มาเป็นแนวทางในการออกข้อกำหนดและกฎข้อบังคับต่าง ๆ ที่ธนาคารพาณิชย์และบริษัทหลักทรัพย์ต่าง ๆ ควรนำมาปฏิบัติ ซึ่งขณะนี้ทางธนาคารแห่งประเทศไทย และ กลต. ได้ออกประกาศเรื่องการควบคุมการปฏิบัติงานและแนวทางปฏิบัติในการรักษาความปลอดภัยด้านเทคโนโลยีสารสนเทศและการให้บริการการเงินทางอิเล็กโทรนิคส์เพื่อเป็นแนวทางให้กับธนาคารพาณิชย์และบริษัทหลักทรัพย์ต่าง ๆ ในประเทศไทย

3. มาตรฐาน ITIL (IT Infrastructure Library)/BS15000มาตรฐาน ITIL นั้นมีต้นตอมาจากประเทศอังกฤษ ซึ่งทางรัฐบาลประเทศอังกฤษ โดย OGC (Office of Government Commerce) พัฒนาร่วมกับ BSI (British Standard Institute) มีวัตถุประสงค์ในการสร้าง Best Practice สำหรับกระบวนการบริหารงานบริการด้านสารสนเทศ (IT Service Management) มาตรฐาน ITIL กล่าวถึง "Best Practice" ในการบริหารจัดการงานให้บริการด้านระบบสารสนเทศที่ควรจะเป็นและมีประสิทธิภาพและ ประสิทธิผลชัดเจน เช่น มาตรฐานด้าน Service Support และ Service Delivery ตลอดจน การกำหนด SLA (Service Level Agreement) เป็นต้นมาตรฐาน ITIL ถูกจัดทำเป็นหนังสือหลายเล่าโดยแบ่งออกเป็น 2 ส่วนได้แก่ BS15000-1 Specfication for Service management และ BS15000-2 Code of pratice for service management ปัจจุบันแนวโน้มด้านการ "Outsource" การบริหารจัดการเทคโนโลยีสารสนเทศมีการเพิ่มขึ้นอย่างรวดเร็ว ดังนั้นมาตรฐานในการควบคุมคุณภาพของการให้บริการนั้นจึงถือเป็นเรื่องสำคัญที่องค์กรควรจะศึกษาและกำหนดเป็นมาตรฐานขั้นต่ำให้กับ Outsourcer Company ที่รับงานบริการด้านสารสนเทศไปจัดการแทนองค์กรเพื่อให้เกิดประสิทธิผลและประสิทธิภาพสูงสุดในการให้บริการ และ ส่งผลด้านความพึงพอใจของผู้ใช้คอมพิวเตอร์ (Computer Users) ทั่ว ๆ ไป และ ส่งผลต่อภาพลักษณ์ของผู้บริหารเทคโนโลยีสารสนเทศระบบสูงในทางอ้อมอีกด้วย

4. มาตรฐาน SANS TOP20 มาตรฐาน SANS TOP20 เป็น มาตรฐานในการตรวจสอบระบบสารสนเทศสำหรับระบบความปลอดภัยบนระบบปฏิบัติการ Microsoft Windows และ UNIX/Linux ที่ได้รับการยอมรับกันโดยทั่วไป มาตรฐาน SANS Top 20 มีมาตั้งแต่ปี 2000 ขณะนี้ SANS Top 20 ล่าสุดได้มีการปรับปรุงมา 4 ครั้ง และ ปรับปรุงในปี 2004 เรียกว่า SANS Top 20 2004 โดยแบ่งออกเป็นการเตือนช่องโหว่ของระบบปฏิบัติการ Windows 10 ช่องโหว่ และ การเตือนช่องโหว่ระบบปฏิบัติการ UNIX/ Linux อีก 10 ช่องโหว่ รายละเอียดดูที่ http://www.sans.org/top20 ปัจจุบัน SANS ได้ออก SANS Top 20 2005 Quarter 1 and Quarter 2 update มาเพิ่มเติมด้วย

5. มาตรฐาน ISMF 7 (Information Security Management Framework)

มาตรฐาน ISMF ทั้ง 7 ขั้นตอน เป็น มาตรฐานในการตรวจสอบและประเมินความปลอดภัยระบบสารสนเทศที่พัฒนาโดยนักวิชาการคนไทย จุดประสงค์เพื่อให้เป็นแนวทางในการปริหารจัดการระบบรักษาความปลอดภัยข้อมูลอย่างเป็นระบบและมีประสิทธิภาพให้ทันกับสถานการณ์ปัจจุบันของการโจมตีระบบโดย Hacker และ MalWare ต่างๆกลยุทธ์ CIO กับการบริหารระบบความปลอดภัยเทคโนโลยีสารสนเทศในองค์กรสมัยใหม่ตำแหน่งผู้บริหารเทคโนโลยีสารสนเทศระดับสูง หรือ CIO (Chief Information Officer) นั้นเป็นตำแหน่งสำคัญที่ทุกองค์กรทั้ง ภาครัฐ และ เอกชนต้องมีบุคลากรที่รับผิดชอบในเรื่องนี้โดยตรง โดยเฉพาะในองค์กรขนาดใหญ่ CIO ควรมีหน้าที่ในการกำหนดยุทธศาสตร์ (Strategy) ทิศทางด้านเทคโนโลยีสารสนเทศขององค์กร ตลอดจนมาตรการในการรักษาความปลอดภัยเทคโนโลยีสารสนเทศขององค์กร ในกรณีที่ยังไม่มีตำแหน่ง CSO (Chief Security Office) หรือ CISO (Chief Information Security Officer) มารับผิดชอบด้านความปลอดภัยสารสนเทศ โดยตรง CIO ก็ต้องรับผิดชอบเรื่องความปลอดภัยไปด้วยในตัว ซึ่งนับว่าเป็นภาวะความรับผิดชอบที่ค่อนข้างสูง เพราะ เรื่องความปลอดภัยเทคโนโลยีระบบสารสนเทศนั้นมีการเปลี่ยนแปลงอยู่เสมอ CIO ต้องคอยติดตามความเคลื่อนไหวและปรับปรุงความรู้ความสามารถให้สอดคล้องกับสถานการณ์ปัจจุบัน และยังต้องตัดสินใจเรื่องการเลือกใชเทคโนโลยีด้านความปลอดภัยที่เหมาะสมแก่องค์กรทั้งในเรื่องของ TCO (Total Cost of Ownership) และ ROI (Return On Investment) จากข้อมูลของ Gartner เรื่อง Hype Cycle for Information Security 2004 ปัญหาด้านความปลอดภัยระบบเทคโนโลยีสารสนเทศยังเป็นประเด็นสำคัญที่ CIO ต้องให้ความสนใจและจัดการอย่างเป็นระบบ

รูปที่ 1 แสดงให้เห็นถึง Cyber Threat ต่าง ๆ ที่ กำลังเป็นปัญหาอยู่ในปัจจุบัน ปัญหาใหญ่ของ CIO ในวันนี้ก็คือ เรื่อง Spyware, Phishing, SPAM และ Peer-to-Peer Exploit ขณะเดียวกัน

ดูรูปที่ 2 แสดงถึงเทคโนโลยีและบริการที่ CIO ควรนำใช้ในการแก้ปัญหาดังกล่าว บางเทคโนโลยีเช่น IDS นั้น ล้าสมัยไปแล้ว ขณะนี้เทคโนโลยีใหม่เข้ามาแทนที่ เช่น IPS, Vulnerability Management และ Patch Management เป็นต้น การให้บริการเผ้าระวังระบบรักษาความปลอดภัยจากบริษัทที่รับดูแลด้านความปลอดภัยโดยตรงที่เรียกตัวเองว่า MSSP (Managed Security Service Provider) ก็กำลังได้รับความนิยมจาก CIO เพิ่มขึ้นเช่นกัน ดังนั้น CIO ควรมีกลยุทธ์ในการบริหารจัดการเทคโนโลยีสารสนเทศที่ดีและเตรียมพร้อมกับสถานการณ์ปัจจุบัน และอนาคตโดยสรุปได้ 6 ข้อดังนี้

1. CIO ต้องมีกลยุทธ์ในการรับผิดชอบดูแลเรื่องการประหยัดงบประมาณ การใช้จ่ายทางด้านเทคโนโลยีสารสนเทศ การจัดซื้อจัดจ้างระบบเทคโนโลยีสารสนเทศนั้นจำเป็นต้องใช้งบประมาณค่อนข้างสูง การตัดสินใจเลือกใช้เทคโนโลยีใหม่ ๆ จึงเป็นความท้าทายของ CIO เพราะหากตัดสินใจผิดก็อาจส่งผลเสียในระยะยาวให้แก่องค์กรได้ ขณะที่งบประมาณด้านการรักษาความปลอดภัยนั้นมีแนวโน้มที่จะลดลงตามสภาวะเศรษฐกิจโลกที่ถดถอย แต่การโจมตีจากแฮกเกอร์ และ ไวรัสกลับมีแนวโน้มที่เพิ่มขึ้นอย่างมาก ดังนั้น CIO จึงจำเป็นต้อง "Balance" ปรับสมดุล ระหว่างความปลอดภัยขั้นต่ำที่องค์กรควรมี และ งบประมาณที่จะถูกใช้จ่ายออกไปเพื่อให้ได้มาซึ่งอุปกรณ์ฮาร์ดแวร์และซอฟท์แวร์ ตลอดจนการบริการจาก IT Auditor, IT Consultant, System Integrator และ IT Outsourcer รวมถึง งบประมาณการฝึกอบรม Information Security Awareness Training และ Information Security Technical Training จาก IT Training Center ต่าง ๆ อีกด้วย

2. CIO ควรกำหนดแผนยุทธ์ศาสตร์ ด้านความปลอดภัยระบบสารสนเทศ (Information Security Strategic Planning) ให้ชัดเจนและนำไปปฏิบัติจริงได้แผนยุทธ์ศาสตร์ในระยะยาวควรกำหนดออกมาให้ชัดเจน เพื่อเป็นแนวทางในการดำเนินการด้านสารสนเทศและการรักษาความปลอดภัยข้อมูลสารสนเทศ จากนั้น แผนระยะกลางและแผนระยะสั้น ก็ควรถูกกำหนดออกมาเช่นกัน ยกตัวอย่าง เช่น องค์กรควรมีการจัดทำการประเมินความเสี่ยงระบบสารสนเทศ (IT Risk Assessment) เป็นประจำทุกปี และควรมีการจัดทำแผนฝึกอบรม Information Security Awareness Training ในทุกๆ 3 - 6 เดือน เป็นต้น

3. CIO ควรเพิ่มความรู้และมีความรอบรู้เพียงพอเพื่อใช้ประกอบการตัดสินใจเลือกใช้เทคโนโลยีที่เหมาะสมและไม่ล้าสมัยให้แก่องค์กรยกตัวอย่างการเลือกใช้ Platform ว่าจะใช้ Windows Server 2003 Platform หรือ UNIX/LINUX Platform การเลือกใช้เทคโนโลยี J2EE (Jave 2 Enterpirse Edition) หรือ เลือกใช้เทคโนโลยี Dot NET ของ Microsoft เป็นต้น การหมั่นเข้าร่วมฟังงานสัมมนาเทคโนโลยีใหม่ ๆ ก็เป็นเรื่องจำเป็นของ CIO เช่นเดียวกัน ซึ่งก็คงต้องปลีกเวลาการทำงานบ้างเพื่อเพิ่มพูนความรู้ใหม่ ๆ ที่เป็นประโยชน์ในการตัดสินใจในอนาคต การเดินทางไปชมงาน ICT Expo ในต่างประเทศ ก็ควรอยู่ในโปรแกรมของ CIO ด้วย

4. CIO ควรนำองค์กรเข้าสู่มาตรฐานกำหนดความปลอดภัยสารสนเทศที่สากลให้การยอมรับและเตรียมพร้อมสำหรับในการตรวจสอบจากผู้ตรวจสอบระบบสารสนเทศ การนำมาตรฐานสากลด้านความปลอดภัยระบบสารสนเทศเช่น ISO/IEC17799 หรือ CobiT มาประยุกต์ใช้บางส่วน ถือเป็นเรื่องจำเป็น CIO ต้องให้ความสำคัญเช่นกัน โดยองค์กรอาจจะไม่จำเป็นต้องได้รับใบรับรองมาตรฐาน BS7799-2 ในกรณีที่องค์กรมองว่าประโยชน์ที่ได้รับจากการได้รับใบรับรองมาตรฐานด้านความปลอดภัยนั้นยังไม่ชัดเจน แต่องค์กรก็ควรนำมาตรฐานสากลที่เป็น "Best Practice" ต่าง ๆ มาประยุกต์ใช้ เพื่อความปลอดภัยขององค์กรเอง และ เพื่อให้สอดคล้องกับยุคของ IT Governance การตรวจสอบระบบสารสนเทศโดยผู้ตรวจสอบภายนอกหรือผู้ตรวจสอบภายในเป็นเรื่องจำเป็นที่ต้องทำเป็นประจำทุกปีเพื่อให้แน่ใจถึงระดับของความเสี่ยงที่ผู้บริหารยอมรับได้ และ ไม่ส่งผลกระทบต่อองค์กร

5. CIO ควรรักษาความสัมพันธ์ที่ดีกับผู้ร่วมงานและพัฒนาการสื่อสารกับผู้ร่วมงานให้มีความชัดเจนและความเข้าใจในทิศทางเดียวกันปัญหาของ CIO ในหลาย ๆ องค์ก คือ CIO ไม่สามารถอธิบายการทำงานด้านสารสนเทศต่าง ๆ ให้แก่ ผู้บริหารระดับสูง เช่น CEO หรือ CFO เพื่อให้เกิดความเข้าใจ และ ให้การสนับสนุนได้อย่างมากพอ ทำให้หลายๆ โครงการด้านสารสนเทศ ไม่ประสบความสำเร็จ ดังนั้น CIO ควรต้องมี Communication Skill หรือ ทักษะในการพูดคุย การติดต่อ ตลอดจน การนำเสนอในรูปแบบมืออาชีพ ที่มีความชัดเจน และ ง่ายต่อการเข้าใจของผู้บริหารระดับสูงที่ไม่ใช่ "คนไอที" ตลอดจน CIO ควรรักษาความสัมพันธ์กับ System Integrator, Consultant, Supplier และ Outsourcer เพื่อให้บริษัทเหล่านี้มาช่วยแบ่งเบาภาระของ CIO และ เป็นการ Transfer Risk ไปในตัว ความสัมพันธ์ที่ดีกับหน่วยงานต่าง ๆ ดังกล่าวจะส่งผลช่วย CIO ในทางอ้อมต่อประสิทธิภาพในการปฏิบัติงานและภาพลักษณ์ของตัว CIO เอง

6. CIO ควรเตรียมรับสถานการณ์ฉุกเฉินด้านความปลอดภัยสารสนเทศที่อาจเกิดขี้นได้แผน BCP (Business Continuity Planning) และ DRP (Disaster Recovery Planning) ควรถูกจัดทำขึ้นเพื่อให้องค์กรพร้อมกับการเตรียมรับเหตุการณ์ฉุกเฉิน หรือ Incident Response Management ที่อาจเกิดขึ้นและส่งผลกระทบต่อการทำงานโดยรวมขององค์กรได้ โดย CIO ต้องช่วยสนับสนุนและเป็นแกนหลักในการจัดทำแผนดังกล่าวด้วยกล่าวโดยสรุป ตำแหน่ง CIO นั้นเป็นตำแหน่งที่มีความสำคัญต่อองค์กรอย่างสูงในยุคที่เทคโนโลยีระบบสารสนเทศ และ การสื่อสาร เข้ามามีบทบาทสำคัญต่อการดำเนินงานขององค์กรในปัจจุบัน การกำหนดกลยุทธ์ในการบริหารจัดการเทคโนโลยีสารสนเทศและการรักษาความปลอดภัยสารสนเทศเป็นเรื่องสำคัญที่ CIO ทุกท่านต้องจัดทำขึ้น และ CIO จะต้องมีความรับผิดชอบในเรื่องดังกล่าวโดยปริยาย เพราะ ในอนาคตกฏหมายต่าง ๆ ที่กำลังจะถูกประกาศใช้ เช่น กฏหมายการกระทำผิดเกี่ยวกับคอมพิวเตอร์ หรือ ประกาศกฏข้อบังคับต่าง ๆ ขององค์กรที่มีหน้าที่ในการควบคุม เช่น สตง. ธนาคารแห่งประเทศไทย หรือ กลต. มีแนวโน้มที่จะเข้มงวด เรื่องการรักษาความปลอดภัยข้อมูลระบบสารสนเทศมากขึ้น CIO ก็ควรจะปรับตัวให้เข้ากับยุคสมัยทศวรรษแห่งดิจิตอลเพื่อนำองค์กรเข้าสู่ IT Governance หรือ "ไอทีภิบาล" เพื่อจุดมุงหมายปลายทาง คือ Corporate Governance หรือ "บรรษัทภิบาล" ในที่สุด
จาก : http://www.acisonline.net/article_prinya_eleader_0948.htm

หลักการทำงานเบื้องต้นของ RFID

หลักการทำงานเบื้องต้นของ RFID

การทำงานของระบบ เมื่อตัว Reader จะทำการส่งสัญญาณวิทยุอย่างต่อเนื่อง และรอคอยรับสัญญาณตอบจาก Tag ต่างๆ ที่อยู่ในระยะการอ่าน ที่ตัว Tag มีขดลวดที่รอบตัวทำหน้าที่เป็นสายอากาศ (Antenna) เมื่อได้รับคลื่นสัญญาณแล้ว จะทำหน้าที่แปลงความถี่ มาเป็นสัญญาณไฟฟ้าเพื่อใช้เลี้ยงวงจรของตัว Tag กระตุ้นให้แท็กทำงาน เพื่ออ่านหรือบันทึกข้อมูลในหน่วยความจำใน Tag ข้อมูลจากแท็กก็จะถูกส่งให้กับวงจรของสายอากาศ (Antenna) ซึ่งจะทำการมอดูเลตข้อมูล Reader จะสามารถรับสัญญาณการเปลี่ยนแปลงของแอมปลิจูดจากแท็กได้จากนั้นแปลงออกมาเป็นข้อมูลแล้วทำการถอดรหัสเพื่อนำข้อมูลไปใช้งานต่อไป ดังภาพ

1. 
   


2. ระบบการชี้เฉพาะด้วยคลื่นความถี่วิทยุ RFID (Radio Frequency Identification)
   RFID คืออะไร
   RFID ย่อมาจาก Radio Frequency Identification เป็นระบบระบุลักษณะของวัตถุ หรือแสดงตำแหน่ง ด้วยการอ่านรหัสคลื่นวิทยุ ซึ่งได้ถูกพัฒนามาตั้งแต่ปี ค.ศ.1980 วัตถุประสงค์หลักเพื่อนำไปใช้งานแทนระบบรหัสแท่ง หรือบาร์โค้ด (Bar code) ที่มีใช้อยู่แล้ว แต่เก็บข้อมูลได้น้อย และกระบวนการที่เกี่ยวข้องก็ยังต้องใช้แรงงานค่อนข้างมาก เป็นเทคโนโลยีการส่งข้อมูลผ่านคลื่นวิทยุ โดยนำเอาคลื่นวิทยุมาเป็นคลื่นพาหะเพื่อใช้ในการสื่อสารข้อมูลระหว่างอุปกรณ์สองชนิดที่เรียกว่า แท็ก ( Tag ) และตัวอ่านข้อมูล ( Reader ) ซึ่งเป็นการสื่อสารแบบไร้สาย ( Wireless)
   ด้วยความรวดเร็วในการรับส่งข้อมูล ข้อมูลมีความถูกต้องแม่นยำ สามารถนำข้อมูลที่ได้มาประมวลผลอย่างรวดเร็วไม่ต้องทำเป็น Manual เหมือน Bar Code ซึ่งต้องทำการอ่านทีละครั้งช่วยให้ประหยัดเวลาไปอย่างมากปัจจุบัน RFID กำลังกลายเป็นกระแสโลกเมื่อมีการประยุกต์ใช้ในการค้าระหว่างประเทศ เพื่อเพิ่มประสิทธิภาพและความมั่นคงปลอดภัย และ ต้นทุนที่กำลังต่ำลง ราคา RFID ถูกพอที่จะใช้กับวัตถุต่างๆได้ง่าย เป็นที่มาของแนวคิดระบบห่วงโซ่อุปทาน (Supply chain) แบบใหม่ ที่สามารถเพิ่มประสิทธิภาพระบบการจัดซื้อ การกระจายสินค้า และกระบวนการผลิต ระบบนี้จะทำให้หน่วยงานที่เกี่ยวข้องสามารถที่จะควบคุมติดตาม วิเคราะห์การเคลื่อนที่ของสินค้าและวัตถุดิบได้ดีขึ้น
   จุดเด่นของ RFID
   · สามารถอ่านค่าข้อมูลจากป้ายหรือแท็ก (Transponder/Tag) ได้หลายๆ แท็ก พร้อมๆ กัน แบบไร้สัมผัส
   · สามารถอ่านค่าได้แม้ในสภาพที่ทัศนวิสัยไม่ดี (มองไม่เห็น)
   · สามารถอ่านค่าได้แม้ไม่ต้องอยู่ในแนวเส้นตรง (Non-Line of Sight) เดียวกับเครื่องอ่าน (RFID Reader)
   · ทนต่อความเปียกชื้น แรงสั่นสะเทือน การกระทบกระแทก
   · สามารถอ่านค่าข้อมูลได้ระยะไกล
   · สามารถอ่านค่าข้อมูลได้ด้วยความเร็วสูง
   องค์ประกอบหลักของระบบ RFID
   อาร์เอฟไอดี ประกอบด้วยส่วนสำคัญ 2 ส่วน คือ แท็ก ( Tag ) และตัวอ่านข้อมูล ( Reader )
   1. ตัว Tag ศัพท์เทคนิคเรียกว่า Transponder แผ่นป้ายอิเล็กทรอนิกส์ (RFID Tag) มีทั้งที่เป็นแผ่นป้าย (เหมือนป้าย bar code) หรือแท่งเล็กๆ ซึ่งนำไปฝังไว้ในหรือติดอยู่กับวัตถุต่างๆ เช่น กล่องผลิตภัณฑ์ สิ่งของ หรือสิ่งมีชีวิตใดๆ แผ่นเหล่านี้จะบรรจุข้อมูลได้มากพอที่จะบันทึกข้อมูลเกี่ยวกับผลิตภัณฑ์ได้และสามารถบ่งบอกทั้งราคา ยี่ห้อ ชนิดของสินค้าและข้อมูลอื่นๆ ตามความต้องการ แท็กก็จะทำหน้าที่ส่งสัญญาณหรือข้อมูลที่บันทึกอยู่ในแท็กตอบสน องไปที่ตัวอ่านข้อมูล การสื่อสารระหว่างแท็กและตัวอ่านข้อมูลจะเป็นแบบไร้สาย ภายในแท็กจะประกอบไปด้วย วงจรไอซี (microchip) ซึ่งเชื่อมต่ออยู่กับลวดทองแดง (coupling element) ที่ทำหน้าที่เป็นเสาอากาศ ซึ่งจะถูกติดตั้งร่วมกันบนแผ่นพลาสติกเล็กๆ บางๆ
   RFID Tag มี 2 ชนิดคือ
   Active Tag : มีแบตเตอรี่ขนาดเล็กอยู่ภายใน เพื่อป้อนพลังงานไฟฟ้าให้แท็กทำงานโดยปกติ ทำให้สามารถรับ-ส่งสัญญาณข้อมูลกับ RFID Reader ได้ในระยะไกล สามารถทำงานในบริเวณที่มีสัญญาณรบกวนได้ดี และสามารถอ่านและเขียนข้อมูลลงใน Tag ชนิดนี้ได้ มีหน่วยความจำภายใจขนาดใหญ่ได้ถึง 1 เมกะไบต์ แต่มีข้อเสียคือ มีอายุการใช้งานจำกัดตามอายุของแบตเตอรี่ เมื่อแบตเตอรี่หมดก็ต้องนำแท็กไปทิ้งไม่สามารถนำกลับมาใช้ใหม่ได้ เนื่องจากจะมีการ seal ที่ตัวแท็ก มีขนาดค่อนข้างใหญ่ และมีราคาแพง
   Passive Tag : ไม่มีแบตเตอรี่ในตัวเอง น้ำหนักเบา อายุการใช้งานไม่จำกัด มีน้ำหนักเบาและราคาถูกกว่าแบบ Active Tag มีหน่วยความจำขนาดเล็ก (ทั่วไปประมาณ 32 - 128 บิต) ลักษณะการทำงานคือ เมื่อได้รับสัญญาณที่ RFID Reader ส่งมาจะทำการแปลงสัญญาณนั้นเป็นพลังงาน (Beam Powered) เพื่อใช้ในการส่งข้อมูลของตัวเองกลับไปยัง Reader โดยใช้เทคนิคที่เรียกว่า Backscatter แต่ข้อเสียคือ ระยะการรับส่งข้อมูลใกล้ (รัศมีไม่เกิน 3 เมตร) ตัวอ่านข้อมูลต้องมีความไวสูง และจะถูกรบกวนด้วยคลื่นแม่เหล็กไฟฟ้าได้ง่าย
   microchip ที่อยู่ในแท็กจะมีหน่วยความจำซึ่งอาจเป็นแบบอ่านได้อย่างเดียว (ROM) หรือทั้งอ่านทั้งเขียน (RAM) ทั้งนี้ขึ้นอยู่กับความต้องการในการใช้งาน นอกจากนี้อาจมีการนำหน่วยความจำแบบ EEPROM มาใช้ในกรณีต้องการเก็บข้อมูลในระหว่างที่แท็กและตัวอ่านข้อมูล ทำการสื่อสาร และข้อมูลยังคงอยู่ถึงแม้จะไม่มีพลังงานไฟฟ้าป้อนให้แก่แท็ก แท็กอาจมีรูปร่างได้หลายแบบขึ้นอยู่กับการนำไปใช้งาน อาทิเช่น
   o Glass Housing
   o Disk and Coin
   o Nail Tag
   o Plastic Housing
   o Smart Label
   o ID-1 Format ( Credit Card )
   o Coin on Chip
   o Smart Card
   o Other Format
   

ในส่วนของ Tag ยังแบ่งออกเป็น Class ได้ 5 Class คือ
1. Class 0 - Read Only ( Factory Programmed )
2. Class 1 - Write Once Read Only
3. Class 2 - Read Write
4. Class 3 - Read Write ( With on Board Sensors )
5. Class 4 - Read Write ( Active Tag )
2. RFID Reader หรือ Interrogator คือ ตัวอ่านข้อมูล ทำหน้าที่เขียนหรืออ่านข้อมูลใน Tag ภายในเครื่องอ่านจะประกอบด้วย เสาอากาศที่ทำจากขดลวดทองแดง เพื่อใช้รับส่งสัญญาณ ภาครับและภาคส่งสัญญาณวิทยุ และวงจรควบคุมการอ่าน-เขียนข้อมูล โดยทั่วไปเครื่องอ่านจะประกอบด้วยส่วนประกอบหลักดังนี้
· ภาครับและส่งสัญญาณวิทยุ
· ภาคสร้างสัญญาณพาหะ
· ขดลวดที่ทำหน้าที่เป็นสายอากาศ
· วงจรจูนสัญญาณ
· หน่วยประมวลผลข้อมูล
· ภาคติดต่อกับคอมพิวเตอร์
Reader ทำการส่งสัญญาณคลื่นแม่เหล็กไฟฟ้าไปยังเสาอากาศบนแผ่นป้าย RFID เพื่อให้ RFID Tag ส่งข้อมูลของตัวเองกลับมายังเครื่องอ่าน RFID เมื่อรับข้อมูลที่ส่งมาจาก Tag แล้วทำการตรวจสอบความผิดพลาดของข้อมูล ถอดรหัสข้อมูล จากนั้น มันจะแปลงสัญญาณที่ได้รับให้อยู่ในรูปดิจิตอลเพื่อใช้ประมวลผลต่อไป ซึ่ง Reader ที่ดีต้องมีความสามารถในการป้องกันการอ่านข้อมูล เรียกว่าระบบ "Hands Down Polling" โดย Reader จะสั่งให้ Tag หยุดการส่งข้อมูลในกรณีเกิดเหตุการณ์ดังกล่าว หรืออาจมีบางกรณีที่มี Tag หลาย Tag อยู่ในบริเวณสนามแม่เหล็กไฟฟ้าพร้อมกัน หรือที่เรียกว่า "Batch Reading" Reader ควรมีความสามารถที่จะจัดลำดับการอ่าน Tag ทีละตัวได้


ตัวอย่างรูปร่างของเครื่องอ่านแบบต่างๆ

หลักการทำงานเบื้องต้นของ RFID ประกอบด้วย
การทำงานของระบบ เมื่อตัว Reader จะทำการส่งสัญญาณวิทยุอย่างต่อเนื่อง และรอคอยรับสัญญาณตอบจาก Tag ต่างๆ ที่อยู่ในระยะการอ่าน ที่ตัว Tag มีขดลวดที่รอบตัวทำหน้าที่เป็นสายอากาศ (Antenna) เมื่อได้รับคลื่นสัญญาณแล้ว จะทำหน้าที่แปลงความถี่ มาเป็นสัญญาณไฟฟ้าเพื่อใช้เลี้ยงวงจรของตัว Tag กระตุ้นให้แท็กทำงาน เพื่ออ่านหรือบันทึกข้อมูลในหน่วยความจำใน Tag ข้อมูลจากแท็กก็จะถูกส่งให้กับวงจรของสายอากาศ (Antenna)
ซึ่งจะทำการมอดูเลตข้อมูล Reader จะสามารถรับสัญญาณการเปลี่ยนแปลงของแอมปลิจูดจากแท็กได้จากนั้นแปลงออกมาเป็นข้อมูลแล้วทำการถอดรหัสเพื่อนำข้อมูลไปใช้งานต่อไป ดังภาพ


ในส่วนของ Tag ยังแบ่งออกเป็น Class ได้ 5 Class คือ
1. Class 0 - Read Only ( Factory Programmed )
2. Class 1 - Write Once Read Only
3. Class 2 - Read Write
4. Class 3 - Read Write ( With on Board Sensors )
5. Class 4 - Read Write ( Active Tag )
2. RFID Reader หรือ Interrogator คือ ตัวอ่านข้อมูล ทำหน้าที่เขียนหรืออ่านข้อมูลใน Tag ภายในเครื่องอ่านจะประกอบด้วย เสาอากาศที่ทำจากขดลวดทองแดง เพื่อใช้รับส่งสัญญาณ ภาครับและภาคส่งสัญญาณวิทยุ และวงจรควบคุมการอ่าน-เขียนข้อมูล โดยทั่วไปเครื่องอ่านจะประกอบด้วยส่วนประกอบหลักดังนี้
· ภาครับและส่งสัญญาณวิทยุ
· ภาคสร้างสัญญาณพาหะ
· ขดลวดที่ทำหน้าที่เป็นสายอากาศ
· วงจรจูนสัญญาณ
· หน่วยประมวลผลข้อมูล
· ภาคติดต่อกับคอมพิวเตอร์
Reader ทำการส่งสัญญาณคลื่นแม่เหล็กไฟฟ้าไปยังเสาอากาศบนแผ่นป้าย RFID เพื่อให้ RFID Tag ส่งข้อมูลของตัวเองกลับมายังเครื่องอ่าน RFID เมื่อรับข้อมูลที่ส่งมาจาก Tag แล้วทำการตรวจสอบความผิดพลาดของข้อมูล ถอดรหัสข้อมูล จากนั้น มันจะแปลงสัญญาณที่ได้รับให้อยู่ในรูปดิจิตอลเพื่อใช้ประมวลผลต่อไป ซึ่ง Reader ที่ดีต้องมีความสามารถในการป้องกันการอ่านข้อมูล เรียกว่าระบบ "Hands Down Polling" โดย Reader จะสั่งให้ Tag หยุดการส่งข้อมูลในกรณีเกิดเหตุการณ์ดังกล่าว หรืออาจมีบางกรณีที่มี Tag หลาย Tag อยู่ในบริเวณสนามแม่เหล็กไฟฟ้าพร้อมกัน หรือที่เรียกว่า "Batch Reading" Reader ควรมีความสามารถที่จะจัดลำดับการอ่าน Tag ทีละตัวได้