Overview of Information Security & Privacy (August 10, 2016)

1
Overview of Information Security
& Privacy
นพ.นวนรรน ธีระอัมพรพันธุ์
10 ส.ค. 2559
http://www.slideshare.net/nawanan

2
2546 แพทยศาสตรบัณฑิต (รามาธิบดีรุ่นที่ 33)
2554 Ph.D. (Health Informatics), Univ. of Minnesota
อาจารย์ ภาควิชาเวชศาสตร์ชุมชน
คณะแพทยศาสตร์โรงพยาบาลรามาธิบดี
ความสนใจ: Health IT, Social Media, Security & Privacy
nawanan.the@mahidol.ac.th
SlideShare.net/Nawanan
Nawanan Theera-Ampornpunt
Line ID: NawananT
แนะนำตัว

3
Outline
• ทำไมเรำต้องแคร์เรื่อง Security & Privacy?
• Security/Privacy กับข้อมูลผู้ป่วย
• แนวปฏิบัติด้ำน Privacy ของข้อมูล
• แนวปฏิบัติด้ำน Security ของระบบ

4
ทำไมเรำต้องแคร์
เรื่อง Security & Privacy?

5
เรื่องเล่ำจำกรำมำธิบดี #1: Privacy & Hoax
http://news.sanook.com/1262964/

6
ภัย Privacy กับโรงพยำบำล
http://usatoday30.usatoday.com/life/people/2007-10-10-clooney_N.htm

7
Malware
ตัวอย่ำงภัยคุกคำมด้ำน Security

8
เรื่องเล่ำจำกรำมำธิบดี #2: Malware

9
ภัย Security กับเมืองไทย
https://www.thaicert.or.th/downloads/files/ThaiCERT_Annual_Report_th_2013.pdf
ThaiCERT (2013)

10
ThaiCERT (2013)

11
ThaiCERT (2013)

12
https://www.facebook.com/longhackz

13
(Top) http://deadline.com/2014/12/sony-hack-timeline-any-pascal-the-interview-north-korea-1201325501/
(Bottom) http://www.bloomberg.com/news/articles/2014-12-07/sony-s-darkseoul-breach-stretched-from-thai-hotel-
to-hollywood

14
 Confidentiality (ข้อมูลควำมลับ)
 Integrity (กำรแก้ไข/ลบ/เพิ่มข้อมูลโดยมิชอบ)
 Availability (ระบบล่ม ใช้กำรไม่ได้)
สิ่งที่เป็นเป้ำหมำยกำรโจมตี: CIA Triad

15
 Information risks
 Unauthorized access & disclosure of confidential information
 Unauthorized addition, deletion, or modification of information
 Operational risks
 System not functional (Denial of Service - DoS)
 System wrongly operated
 Personal risks
 Identity thefts
 Financial losses
 Disclosure of information that may affect employment or other personal
aspects (e.g. health information)
 Physical/psychological harms
 Organizational risks
 Financial losses
 Damage to reputation & trust
ผลกระทบ/ควำมเสียหำย

16
ผลกระทบ/ควำมเสียหำย
• ควำมลับถูกเปิดเผย
• ควำมเสี่ยงต่อชีวิต สุขภำพ จิตใจ กำรเงิน และ
กำรงำนของบุคคล
• ระบบล่ม กำรให้บริกำรมีปัญหำ
• ภำพลักษณ์ขององค์กรเสียหำย

17
แหล่งที่มำของกำรโจมตี
• Hackers
• Viruses & Malware
• ระบบที่มีปัญหำข้อผิดพลำด/ช่องโหว่
• Insiders (บุคลำกรที่มีเจตนำร้ำย)
• กำรขำดควำมตระหนักของบุคลำกร
• ภัยพิบัติ

18
เรื่องเล่ำจำกรำมำธิบดี #3: Privacy

19
Security/Privacy
กับข้อมูลผู้ป่วย

20
Security & Privacy
http://en.wikipedia.org/wiki/A._S._Bradford_House

21
 Privacy: “The ability of an individual or group to seclude
themselves or information about themselves and thereby
reveal themselves selectively.” (Wikipedia)
 Security: “The degree of protection to safeguard ... person
against danger, damage, loss, and crime.” (Wikipedia)
 Information Security: “Protecting information and
information systems from unauthorized access, use,
disclosure, disruption, modification, perusal, inspection,
recording or destruction” (Wikipedia)
Security & Privacy

22
แนวปฏิบัติด้ำน Privacy
ของข้อมูล

23http://www.aclu.org/ordering-pizza
Privacy ของข้อมูลส่วนบุคคล

24
เรื่องเล่ำจำกรำมำธิบดี #4: Privacy
http://pantip.com/topic/35330409/

25
หลักจริยธรรมที่เกี่ยวกับ Privacy
• Autonomy (หลักเอกสิทธิ์/ควำมเป็นอิสระของผู้ป่วย)
• Beneficence (หลักกำรรักษำประโยชน์สูงสุดของผู้ป่วย)
• Non-maleficence (หลักกำรไม่ทำอันตรำยต่อผู้ป่วย)
“First, Do No Harm.”

26
Hippocratic Oath
...
What I may see or hear in the course of
treatment or even outside of the treatment
in regard to the life of men, which on no
account one must spread abroad, I will keep
myself holding such things shameful to be
spoken about.
...
http://en.wikipedia.org/wiki/Hippocratic_Oath

27
กฎหมำยที่เกี่ยวข้องกับ Privacy
• พรบ.สุขภำพแห่งชำติ พ.ศ. 2550
• มำตรำ 7 ข้อมูลด้ำนสุขภำพของบุคคล เป็นควำมลับส่วน
บุคคล ผู้ใดจะนำไปเปิดเผยในประกำรที่น่ำจะทำให้บุคคลนั้น
เสียหำยไม่ได้ เว้นแต่กำรเปิดเผยนั้นเป็นไปตำมควำมประสงค์
ของบุคคลนั้นโดยตรง หรือมีกฎหมำยเฉพำะบัญญัติให้ต้อง
เปิดเผย แต่ไม่ว่ำในกรณีใด ๆ ผู้ใดจะอำศัยอำนำจหรือสิทธิ
ตำมกฎหมำยว่ำด้วยข้อมูลข่ำวสำรของรำชกำรหรือกฎหมำย
อื่นเพื่อขอเอกสำรเกี่ยวกับข้อมูลด้ำนสุขภำพของบุคคลที่ไม่ใช่
ของตนไม่ได้

28
ประมวลกฎหมำยอำญำ
• มำตรำ 323 ผู้ใดล่วงรู้หรือได้มำซึ่งควำมลับของผู้อื่นโดยเหตุที่เป็น
เจ้ำพนักงำนผู้มีหน้ำที่ โดยเหตุที่ประกอบอำชีพเป็นแพทย์ เภสัชกร
คนจำหน่ำยยำ นำงผดุงครรภ์ ผู้พยำบำล...หรือโดยเหตุที่เป็นผู้ช่วย
ในกำรประกอบอำชีพนั้น แล้วเปิดเผยควำมลับนั้นในประกำรที่
น่ำจะเกิดควำมเสียหำยแก่ผู้หนึ่งผู้ใด ต้องระวำงโทษจำคุกไม่เกิน
หกเดือน หรือปรับไม่เกินหนึ่งพันบำท หรือทั้งจำทั้งปรับ
• ผู้รับกำรศึกษำอบรมในอำชีพดังกล่ำวในวรรคแรก เปิดเผย
ควำมลับของผู้อื่น อันตนได้ล่วงรู้หรือได้มำในกำรศึกษำอบรมนั้น
ในประกำรที่น่ำจะเกิดควำมเสียหำยแก่ผู้หนึ่งผู้ใดต้องระวำงโทษ
เช่นเดียวกัน

29
คำประกำศสิทธิและข้อพึงปฏิบัติของผู้ป่วย
7. ผู้ป่วยมีสิทธิได้รับกำรปกปิดข้อมูลของตนเอง เว้นแต่
ผู้ป่วยจะให้ควำมยินยอมหรือเป็นกำรปฏิบัติตำมหน้ำที่
ของผู้ประกอบวิชำชีพด้ำนสุขภำพเพื่อประโยชน์โดยตรง
ของผู้ป่วยหรือตำมกฎหมำย

30
ข้อควำมจริง บน
• "อาจารย์ครับ เมื่อวาน ผมออก OPD เจอ คุณ
... คนไข้... ที่อาจารย์ผ่าไปแล้ว มา ฉายรังสีต่อ
ที่... ตอนนี้ Happy ดี ไม่ค่อยปวด เดินได้สบาย
คนไข้ฝากขอบคุณอาจารย์อีกครั้ง -- อีกอย่าง
คนไข้ช่วงนี้ไม่ค่อยสะดวกเลยไม่ได้ไป กทม.
บอกว่าถ้าพร้อมจะไป Follow-up กับอาจารย์
ครับ"
ข้อมูลผู้ป่วย บน Social Media

31
แนวทำงกำรคุ้มครอง Privacy
• Informed consent
• Privacy culture
• User awareness building & education
• Organizational policy & regulations
 Enforcement
 Ongoing privacy & security assessments,
monitoring, and protection

32
เรื่องเล่ำจำกรำมำธิบดี #5: Enforcement
Uniform Enforcement:
เรื่องเล่ำเกี่ยวกับ
ควำมน่ำรัก น่ำศรัทธำของผู้บริหำร
(ท่ำน ศ. นพ.รัชตะ รัชตะนำวิน)

33
เรื่องเล่ำจำกรำมำธิบดี #6:
PR Nightmare
เหตุกำรณ์ไม่จริง ที่สร้ำงควำม
เสียหำย กลำยเป็น viral

34
เรื่องเล่ำจำกรำมำธิบดี #6: PR Nightmare & Response
http://new.khaosod.co.th.khaosod.online/dek3/win.html (อันตรำย! ไม่ควรเข้ำเว็บนี้)
ข่ำวนี้ไม่เป็นควำมจริง

35
เรื่องเล่ำจำกรำมำธิบดี #6: PR Nightmare & Response

36
แนวปฏิบัติด้ำน Security
ของระบบ

37
บทควำมใน JAMA เร็วๆ นี้
JAMA. 2015 Apr 14;313(14).

38
 Attack
An attempt to breach system security
 Threat
A scenario that can harm a system
 Vulnerability
The “hole” that is used in the attack
Common Security Terms

39
 Identify some possible means an attacker could
use to conduct a security attack
Class Exercise

40
Alice
Simplified Attack Scenarios
Server Bob
Eve/Mallory

41
Alice
Server Bob
- Physical access to client computer
- Electronic access (password)
- Tricking user into doing something
(malware, phishing & social
engineering)
Eve/Mallory

42
Alice
Server Bob
- Intercepting (eavesdropping or
“sniffing”) data in transit
- Modifying data (“Man-in-the-middle”
attacks)
- “Replay” attacks
Eve/Mallory

43
Alice
Server Bob
- Unauthorized access to servers through
- Physical means
- User accounts & privileges
- Attacks through software vulnerabilities
- Attacks using protocol weaknesses
- DoS / DDoS attacks Eve/Mallory

44
Alice
Server Bob
Other & newer forms of
attacks possible
Eve/Mallory

45
Alice
Safeguarding Against Attacks
Server Bob
Administrative Security
- Security & privacy policy
- Governance of security risk management & response
- Uniform enforcement of policy & monitoring
- Disaster recovery planning (DRP) & Business continuity
planning/management (BCP/BCM)
- Legal obligations, requirements & disclaimers

46
Alice
Server Bob
Physical Security
- Protecting physical access of clients & servers
- Locks & chains, locked rooms, security cameras
- Mobile device security
- Secure storage & secure disposition of storage devices

47
Alice
Server Bob
User Security
- User account management
- Strong p/w policy (length, complexity, expiry, no meaning)
- Principle of Least Privilege
- “Clear desk, clear screen policy”
- Audit trails
- Education, awareness building & policy enforcement
- Alerts & education about phishing & social engineering

48
Alice
Server Bob
System Security
- Antivirus, antispyware, personal firewall, intrusion
detection/prevention system (IDS/IPS), log files, monitoring
- Updates, patches, fixes of operating system vulnerabilities &
application vulnerabilities
- Redundancy (avoid “Single Point of Failure”)
- Honeypots

49
Alice
Server Bob
Software Security
- Software (clients & servers) that is secure by design
- Software testing against failures, bugs, invalid inputs,
performance issues & attacks
- Updates to patch vulnerabilities

50
Alice
Server Bob
Network Security
- Access control (physical & electronic) to network devices
- Use of secure network protocols if possible
- Data encryption during transit if possible
- Bandwidth monitoring & control

51
Alice
Server Bob
Database Security
- Access control to databases & storage devices
- Encryption of data stored in databases if necessary
- Secure destruction of data after use
- Access control to queries/reports
- Security features of database management systems (DBMS)

52
Line เสี่ยงต่อกำรละเมิด Privacy ผู้ป่วยได้อย่ำงไร?
• ข้อมูลใน Line group มีคนเห็นหลายคน
• ข้อมูลถูก capture หรือ forward ไป share ต่อได้
• ข้อมูล cache ที่เก็บใน mobile device อาจถูกอ่านได้
(เช่น ทาอุปกรณ์หาย หรือเผลอวางเอาไว้)
• ข้อมูลที่ส่งผ่าน network ไม่ได้เข้ารหัส
• ข้อมูลที่เก็บใน server ของ Line ทางบริษัทเข้าถึงได้ และ
อาจถูก hack ได้
• มีคนเดา Password ได้

53
ทำงออกสำหรับกำร Consult Case ผู้ป่วย
• ใช้ช่องทางอื่นที่ไม่มีการเก็บ record ข้อมูล ถ้าเหมาะสม
• หลีกเลี่ยงการระบุหรือ include ชื่อ, HN, เลขที่เตียง หรือ
ข้อมูลที่ระบุตัวตนผู้ป่วยได้ (รวมทั้งในภาพ image)
• ใช้ app ที่ปลอดภัยกว่า
• Limit คนที่เข้าถึง
(เช่น ไม่คุยผ่าน Line group)
• ใช้อย่างปลอดภัย (Password, ดูแลอุปกรณ์ไว้กับตัว,
เช็ค malware ฯลฯ)

54
เรื่องเล่ำจำกรำมำธิบดี #7: Passwords
Keylogger Attack:
เรื่องเล่ำจำกกิจกรรมชมรม
สมัยเป็นนักศึกษำแพทย์

55
User Account Security
So, two informaticians
walk into a bar...
The bouncer says,
"What's the password."
One says, "Password?"
The bouncer lets them
in.
Credits: @RossMartin & AMIA (2012)

56
What’s the Password?
Unknown Internet sources, via
http://pikabu.ru/story/interesno_kakoy_zhe_u_nikh_parol_4274737,
via Facebook page “สอนแฮกเว็บแบบแมวๆ”

57
 Access control
 Selective restriction of access to the system
 Role-based access control
 Access control based on the person’s role (rather than
identity)
 Audit trails
 Logs/records that provide evidence of sequence of
activities
User Security

58
 Identification
 Identifying who you are
 Usually done by user IDs or some other unique codes
 Authentication
 Confirming that you truly are who you identify
 Usually done by keys, PIN, passwords or biometrics
 Authorization
 Specifying/verifying how much you have access
 Determined based on system owner’s policy & system
configurations
 “Principle of Least Privilege”
User Security

59
 Nonrepudiation
 Proving integrity, origin, & performer of an activity without
the person’s ability to refute his actions
 Most common form: signatures
 Electronic signatures offer varying degrees of
nonrepudiation
PIN/password vs. biometrics
 Digital certificates (in public key infrastructure - PKI) often
used to ascertain nonrepudiation
User Security

60
User Account Security
https://www.thaicert.or.th/downloads/files/BROCHURE_security_awareness.png

61
 ควำมยำว 8 ตัวอักษรขึ้นไป
 ควำมซับซ้อน: 3 ใน 4 กลุ่มตัวอักษร
 Uppercase letters
 Lowercase letters
 Numbers
 Symbols
 ไม่มีควำมหมำย (ป้องกัน “Dictionary Attacks”)
 ไม่ใช่ simple patterns (12345678, 11111111)
 ไม่เกี่ยวกับข้อมูลส่วนตัวที่คนสนิทอำจรู้ (เช่น วันเกิด
ชื่อคนในครอบครัว ชื่อสัตว์เลี้ยง)
Passwords

62
เรื่องเล่ำจำกรำมำธิบดี #8: Password ท่องง่ำย (แต่ก็ Hack ง่ำย)
Dictionary Attack:
เรื่องเล่ำจำกกำรเรียน
กำร Hack ระบบ ที่ USA

63
Clear Desk, Clear Screen Policy
http://pixabay.com/en/post-it-sticky-note-note-corner-148282/

64
แล้วจะจำ Password ได้ยังไง?
คิดประโยคภำษำอังกฤษสัก 1 ประโยค
ประโยคนี้ควรมีคำ 8 คำขึ้นไป และควรมีตัวเลข
หรือสัญลักษณ์พิเศษด้วย
ใช้ตัวอักษรตัวแรกของแต่ละคำ เป็น Password

65
ตัวอย่ำงกำรตั้ง Password
http://www.thedigitalshift.com/2012/05/ebooks/amazon-offers-harry-potter-for-free-through-lending-library/

66
ตัวอย่ำงกำรตั้ง Password
ประโยค:
I love reading all 7 Harry Potter books!
Password:
Ilra7HPb!

67
Password Sharing
อย่ำแชร์ Password
กับคนอื่น

68
Password Expiration
เปลี่ยน Password
ทุกๆ 3-6 เดือน

69
เรื่องเล่ำจำกรำมำธิบดี #9: Wi-Fi
Wi-Fi Router เถื่อน:
พวกชอบสร้ำงปัญหำให้
admin และอำจเป็นจอมขโมย
Password

70
Logout After Use
อย่ำลืม Logout หลังใช้งำนเสมอ
โดยเฉพำะเครื่องสำธำรณะ
(หำกไม่อยู่ที่หน้ำจอ แม้เพียงชั่วครู่
ให้ Lock Screen เสมอ)

71
Mobile Security
https://www.thaicert.or.th/downloads/files/BROCHURE_mobile_malware.png

72
Mobile Security
ตั้ง PIN สำหรับ Lock Screen เอำไว้
ไม่เก็บข้อมูลสำคัญเอำไว้
ระวังไม่ให้สูญหำย หำกสูญหำยรีบแจ้งระงับ

73
E-mail Security
https://www.thaicert.or.th/downloads/files/info_ThaiCERT_Mail-Scam.jpg

74
E-mail Security
https://www.thaicert.or.th/downloads/files/info_ThaiCERT_Mail-Scam.jpg

75
เรื่องเล่ำจำกรำมำธิบดี #10: E-mail หลอกลวง
Phishing

81
E-mail & Online Security (Phishing)
https://www.thaicert.or.th/downloads/files/info_ThaiCERT_Phishing.jpg

82
E-mail & Online Security (Phishing)
https://www.thaicert.or.th/downloads/files/info_ThaiCERT_Phishing.jpg

83
Secure Log-in สำหรับเว็บที่สำคัญ
Microsoft Internet Explorer

84
Secure Log-in สำหรับเว็บที่สำคัญ
Mozilla Firefox
Google Chrome

85
ลักษณะสำคัญที่ควรสงสัย Phishing
Grammar ห่วยแตก
ตัวสะกดผิดเยอะ
พยำยำมอย่ำงยิ่งให้เปิดไฟล์แนบ หรือกด link
หรือตอบเมล แต่ไม่ค่อยให้รำยละเอียด
E-mail ที่มำจำกคนรู้จัก ไม่ได้ปลอดภัยเสมอไป

86
เรื่องเล่ำจำกรำมำธิบดี #11: ถูก E-mail หลอก
Phishing Attack:
เรื่องเล่ำจำกชีวิต
ประธำนนักเรียนไทยใน
Minnesota

87
 Don’t be too trusting of people
 Always be suspicious & alert
 An e-mail with your friend’s name & info doesn’t have to come from
him/her
 Look for signs of phishing attacks
 Don’t open attachments unless you expect them
 Scan for viruses before opening attachments
 Don’t click links in e-mail. Directly type in browser using known &
trusted URLs
 Especially cautioned if ask for passwords, bank accounts, credit card
numbers, social security numbers, etc.
Ways to Protect against Phishing

88
เรื่องเล่ำจำกรำมำธิบดี #12: เรียกค่ำไถ่
Ransomware

89
ประกำศเตือนภัย Ransomware ในรำมำธิบดี
ขอบคุณภำพ Screen Saver จำกฝ่ำยสำรสนเทศ คณะแพทยศำสตร์โรงพยำบำลรำมำธิบดี

90
Ransomware
https://www.thaicert.or.th/downloads/files/info_ThaiCERT_Ransomware.jpg

91
Ransomware
https://www.thaicert.or.th/downloads/files/info_ThaiCERT_Ransomware.jpg

92
เครือข่ำยด้ำน IT ในองค์กร
Ramathibodi Computer
Emergency Readiness Team
(RamaCERT)

93
PC Security, Virus & Malware
https://www.thaicert.or.th/downloads/files/info_ThaiCERT_Phishing_Malicious-Code.jpg

94
PC Security, Virus & Malware
https://www.thaicert.or.th/downloads/files/info_ThaiCERT_Phishing_Malicious-Code.jpg

95
เรื่องเล่ำจำกรำมำธิบดี #13: แชร์ไฟล์
File Sharing:
เรื่องเล่ำจำกชีวิต
นักศึกษำแพทย์รำมำธิบดี
(ที่อยำกรู้อยำกเห็น)

96
เรื่องเล่ำจำกรำมำธิบดี #14: Virus & Patch Updates
Virus/Malware Attack &
Windows Update:
เรื่องเล่ำจำกบทบำท
Chief IT Admin รำมำธิบดี
(ที่ต้องดูแลระบบล่ม)

97
เรื่องเล่ำจำกรำมำธิบดี #15: Apple
False Sense of Security
เรื่องเล่ำจำก Apple Fanboy

98
เรื่องเล่ำจำกรำมำธิบดี #16:
Back-up Your Data:
เรื่องเล่ำจำกคนงำนเยอะ

99
World Backup Day:
March 31 ของทุกปี

101
 Most common reason for security bugs is invalid
programming assumptions that attackers will look for
 Weak input checking
 Buffer overflow
 Integer overflow
 Race condition (Time of Check / Time of Use
vulnerabilities)
 Running programs in new environments
Software Security
Adapted from Nicholas Hopper’s teaching slides for UMN Computer Security Class Fall 2006 CSCI 5271

102
 Feeping creaturism (Creeping featurism)
 Log files that contain sensitive information
 Configuration bugs
 Unnecessary privileges
 Monoculture
 Security bypass
Software Security

103
 Consider a log-in form on a web page
Example of Weak Input Checking: SQL Injection
 Source code would look
something like this:
statement = "SELECT * FROM users
WHERE name = '" + userName + "';"
 Attacker would enter as username:
' or '1'='1
 Which leads to this always-true query:
 statement = "SELECT * FROM users
WHERE name = '" + "' or '1'='1" + "';"
statement = "SELECT * FROM users WHERE name = '' or '1'='1';"
http://en.wikipedia.org/wiki/SQL_injection

104
 Economy of Mechanism
 Design should be small & simple
 Fail-safe default
 Complete mediation
 Check every access to every object
 Open design
 Separation of privilege / Least Privilege
Secure Software Design Principles
Saltzer & Schroeder (1975), Viega & McGraw (2000)

105
 Least common mechanism
 Minimize complexity of shared components
 Psychological acceptability
 If users don’t buy in to security mechanism or don’t
understand how to use it, system is insecure
 Work factor
 Cost of attack should exceed resources attacker will
spend

106
 Compromise recording
 If too expensive to prevent a compromise, record it
 Tamper evident vs. tamperproof
 Log files
Image source: http://www.flickr.com/photos/goobelyga/2340650133/

107
 Defense in Depth
 Multiple layers of security defense are placed throughout
a system to provide redundancy in the event a security
control fails
 Secure the weakest link
 Promote privacy
 Trust no one
http://en.wikipedia.org/wiki/Defense_in_depth_(computing)

108
 Modular design
 Check error conditions on return values
 Validate inputs (whitelist vs. blacklist)
 Avoid infinite loops, memory leaks
 Check for integer overflows
 Language/library choices
 Development processes
Secure Software Best Practices

110
 Malicious software - Any code with intentional, undesirable
side effects
 Virus
 Worm
 Trojan
 Spyware
 Logic Bomb/Time Bomb
 Backdoor/Trapdoor
 Rootkit
 Botnet
Malware

111
 Virus
 Propagating malware that requires user action to
propagate
 Infects executable files, data files with executable
contents (e.g. Macro), boot sectors
 Worm
 Self-propagating malware
 Trojan
 A legitimate program with additional, hidden functionality
Malware

112
 Spyware
 Trojan that spies for & steals personal information
 Logic Bomb/Time Bomb
 Malware that triggers under certain conditions
 Backdoor/Trapdoor
 A hole left behind by malware for future access
Malware

113
 Rogue Antispyware
 Software that tricks or forces users to pay before fixing (real or
hoax) spyware detected
 Rootkit
 A stealth program designed to hide existence of certain processes
or programs from detection
 Botnet
 A collection of Internet-connected computers that have been
compromised (bots) which controller of the botnet can use to do
something (e.g. do DDoS attacks)
Malware

114
 Installed & updated antivirus, antispyware, & personal firewall
 Check for known signatures
 Check for improper file changes (integrity failures)
 Check for generic patterns of malware (for unknown malware):
“Heuristics scan”
 Firewall: Block certain network traffic in and out
 Sandboxing
 Network monitoring & containment
 User education
 Software patches, more secure protocols
Defense Against Malware

115
 Social media spams/scams/clickjacking
 Social media privacy issues
 User privacy settings
 Location services
 Mobile device malware & other privacy risks
 Stuxnet (advanced malware targeting certain countries)
 Advanced persistent threats (APT) by governments &
corporations against specific targets
 Crypto-Ransomware
Newer Threats

116
 US-CERT
 U.S. Computer Emergency Readiness Team
 http://www.us-cert.gov/
 Subscribe to alerts & news
 Microsoft Security Resources
 http://technet.microsoft.com/en-us/security
 http://technet.microsoft.com/en-us/security/bulletin
 Common Vulnerabilities & Exposures
 http://cve.mitre.org/
More Information

117
ติดตำมอัปเดตควำมรู้
www.facebook.com/InformaticsRound

118
Outline
• ทำไมเรำต้องแคร์เรื่อง Security & Privacy?
• Security/Privacy กับข้อมูลผู้ป่วย
• แนวปฏิบัติด้ำน Privacy ของข้อมูล
• แนวปฏิบัติด้ำน Security ของระบบ

119
Overview of Information Security
& Privacy
นพ.นวนรรน ธีระอัมพรพันธุ์
10 ส.ค. 2559
http://www.slideshare.net/nawanan

Overview of Information Security & Privacy (August 10, 2016)

Recommended

Recommended

More Related Content

What's hot

What's hot (20)

Viewers also liked

Viewers also liked (18)

Similar to Overview of Information Security & Privacy (August 10, 2016)

Similar to Overview of Information Security & Privacy (August 10, 2016) (20)

More from Nawanan Theera-Ampornpunt

More from Nawanan Theera-Ampornpunt (20)

Overview of Information Security & Privacy (August 10, 2016)