การอัปเดตความปลอดภัย

ควรอัปเดตความปลอดภัยเว็บไซต์บ่อยแค่ไหน

พื้นฐานคืออัปเดตความปลอดภัยอย่างสม่ำเสมอตามรอบที่กำหนด (เช่น เดือนละ 1 ครั้ง) และเมื่อมีประกาศช่องโหว่ร้ายแรง ให้ติดตั้งทันทีโดยไม่ต้องรอรอบ คือแยกการตรวจตามรอบกับการรับมือเร่งด่วนออกจากกัน

ช่องโหว่เร่งด่วนจะแจ้งผ่านประกาศของบริษัทผู้สร้าง หรือประกาศด้านความปลอดภัยของ KISA Boho Nara ถ้ามีบริษัทดูแล ให้กำหนดไว้ว่าใครเป็นคนดูประกาศเหล่านี้และตัดสินใจ

รอบการอัปเดตยังต่างกันไปตามว่าเว็บไซต์ทำด้วยอะไร เว็บไซต์ที่ติดปลั๊กอินเยอะมีชิ้นส่วนที่ต้องอัปเดตมาก จึงต้องตรวจบ่อยกว่า

อีกวิธีคือเปิดการอัปเดตอัตโนมัติ ถ้าแบ่งให้การแก้ไขความปลอดภัยเล็ก ๆ รับอัตโนมัติ ส่วนการเปลี่ยนเวอร์ชันใหญ่ให้ตรวจก่อนแล้วจึงติดตั้ง ก็ลดทั้งช่องโหว่และความเสี่ยงที่หน้าจอพังได้

บนเว็บไซต์มีอะไรบ้างที่ต้องอัปเดต

สิ่งที่ต้องอัปเดตแบ่งเป็นหลายชั้น ตั้งแต่เซิร์ฟเวอร์ไปจนถึงวิดเจ็ตที่ติดบนหน้าจอ ถ้าไม่กำหนดว่าใครรับผิดชอบชั้นไหน ต่างฝ่ายจะคิดว่า “อีกฝ่ายคงทำ” จนเกิดช่องโหว่

เว็บไซต์ที่เขียนขึ้นเองมักถูกมองว่าปลอดภัยเพราะไม่มีปลั๊กอิน แต่ชิ้นส่วนสาธารณะ (ไลบรารี) ที่ใช้อยู่ภายในก็มีอัปเดตออกมาเมื่อพบช่องโหว่ ลองถามบริษัทที่พัฒนาว่าได้รับการแจ้งเตือนด้านความปลอดภัยของชิ้นส่วนเหล่านี้หรือไม่

ต้องรู้ว่าใช้ชิ้นส่วนอะไรบ้างจึงจะอัปเดตได้ ถ้าขอ “รายการโปรแกรมและชิ้นส่วนที่ใช้ในเว็บไซต์ของเรา” จากบริษัทดูแลไว้ เมื่อมีประกาศด้านความปลอดภัย ก็ตัดสินได้ทันทีว่าเว็บไซต์ของเราเข้าข่ายหรือไม่

อัปเดตความปลอดภัยตามลำดับไหนจึงจะปลอดภัย

หัวใจของการอัปเดตอย่างปลอดภัยคือ “เตรียมย้อนกลับไว้ก่อน แล้วตรวจเองหลังติดตั้ง” ปัญหาที่พบบ่อยกว่าตัวการอัปเดต คือหลังอัปเดตไม่มีใครตรวจ จนหน้าจอพังถูกปล่อยไว้หลายวัน

ถ้ารวมอัปเดตที่ค้างไว้นานมาทำทีเดียว เมื่อเกิดปัญหาจะหายากว่าตัวไหนเป็นต้นเหตุ ถ้ามีอัปเดตค้างเยอะ ให้แบ่งติดตั้งทีละไม่กี่ตัว และตรวจหน้าจอทุกครั้ง

1. 01สำรองข้อมูลทั้งหมดไว้ก่อน
2. 02อ่านคำแนะนำการอัปเดต แล้วตรวจว่าเป็นการแก้ไขความปลอดภัย หรือการเปลี่ยนเวอร์ชันใหญ่
3. 03ถ้าเป็นไปได้ ให้ลองติดตั้งในพื้นที่ทดสอบที่เหมือนเว็บไซต์ที่ใช้งานอยู่ก่อน
4. 04ติดตั้งบนเว็บไซต์จริงในช่วงที่ลูกค้าน้อย
5. 05ลองกดหน้าแรก · ฟอร์มติดต่อ · การจอง · การชำระเงินเองทั้งบนมือถือและคอมพิวเตอร์
6. 06บันทึกว่าอัปเดตอะไรไปเมื่อไร
7. 07ถ้ามีปัญหา ย้อนกลับด้วยข้อมูลสำรอง ตรวจหาสาเหตุ แล้วติดตั้งใหม่

ถ้าเลื่อนการอัปเดตความปลอดภัยออกไป จะเกิดอะไรขึ้นจริง

เว็บไซต์ที่เลื่อนการอัปเดตจะกลายเป็นเป้าของโปรแกรมอัตโนมัติที่ตระเวนหาช่องโหว่ที่รู้กันอยู่แล้ว ฝ่ายโจมตีไม่ได้เล็งร้านใดร้านหนึ่ง แต่ใช้เครื่องสแกนหาที่ที่ยังมีช่องโหว่ เจอที่ไหนก็เข้าที่นั่น

ถ้าถูกเจาะ อาจมีหน้าโฆษณา · การพนันถูกสร้างขึ้นแอบ ๆ ในจุดที่ลูกค้ามองไม่เห็น หรือถูกฝังโค้ดที่ส่งลูกค้าไปเว็บไซต์อื่น ถ้าเครื่องมือค้นหาพบสภาพนี้ ผลการค้นหาหรือเบราว์เซอร์อาจขึ้นคำเตือนอันตราย

ถ้าข้อมูลส่วนบุคคลของลูกค้ารั่วไหลผ่านฟอร์มติดต่อหรือข้อมูลสมาชิก ปัญหาจะใหญ่ขึ้นอีก อาจมีหน้าที่ต้องแจ้งลูกค้าและรายงานหน่วยงานที่เกี่ยวข้อง ค่าใช้จ่ายจึงสูงกว่าเวลาที่ประหยัดได้จากการเลื่อนอัปเดตมาก

ร่องรอยการถูกแฮ็ก คุณมักสังเกตเห็นก่อนได้ยาก ถ้าเห็นโพสต์แปลก ๆ ในชื่อเว็บไซต์ของเราในผลการค้นหา หรือลูกค้าบอกว่า “เข้าไปแล้วถูกพาไปที่อื่น” ให้แจ้งบริษัทดูแลทันที ถ้าเชื่อม Google Search Console ไว้ จะได้รับแจ้งเตือนเมื่อ Google พบปัญหาความปลอดภัย

นอกจากการอัปเดต มีนิสัยด้านความปลอดภัยอะไรที่ต้องดูแลควบคู่ไปบ้าง

แม้อัปเดตดีแค่ไหน ถ้ารหัสผ่านผู้ดูแลอ่อน ก็เหมือนเปิดประตูทิ้งไว้ ควรดูแลการจัดการบัญชีควบคู่ไปกับการอัปเดต

การให้พนักงานหลายคนใช้บัญชีผู้ดูแลบัญชีเดียวร่วมกันก็เป็นความเสี่ยงที่พบบ่อย จะไม่รู้ว่าใครเปลี่ยนอะไร และเมื่อพนักงานลาออกก็เปลี่ยนรหัสผ่านได้ยาก ถ้าเป็นไปได้ ให้สร้างบัญชีแยกรายคน และให้เฉพาะสิทธิ์ที่จำเป็นจริง ๆ

Google ก็แนะนำผู้ดูแลเว็บไซต์ให้ใช้รหัสผ่านที่ดีควบคู่กับการติดตั้งอัปเดตล่าสุด นิสัยด้านล่างนี้แทบไม่มีค่าใช้จ่าย แต่ได้ผลมาก

• ตั้งรหัสผ่านผู้ดูแลให้ยาว และไม่ใช้ซ้ำกับเว็บไซต์อื่น
• เปิดการยืนยันตัวตน 2 ขั้นตอนให้บัญชีโดเมน · โฮสติ้ง · ผู้ดูแล
• ลบบัญชีของพนักงานที่ลาออก · บริษัทเดิมทันที
• ปลั๊กอินและธีมที่ไม่ได้ใช้ ให้ลบทิ้ง ไม่ใช่แค่ปิดไว้
• ไม่ทิ้งการล็อกอินผู้ดูแลไว้บนคอมพิวเตอร์ส่วนกลางของร้าน

ฝากบริษัทดูแลความปลอดภัย ควรถามอะไรบ้าง

แค่คำว่า “ดูแลความปลอดภัยให้” ไม่รู้ว่าทำอะไรบ้าง ให้ถามให้เจาะจงเรื่องรอบการทำ การรับมือเหตุเร่งด่วน การแชร์บันทึก และวิธีติดต่อเมื่อเกิดเหตุ แล้วบันทึกไว้ในสัญญาหรือใบเสนอราคา

ถ้าสงสัยว่าถูกแฮ็กแล้ว ให้แจ้งบริษัทก่อน และขอความช่วยเหลือได้จากสายปรึกษาเรื่องแฮ็ก · สแปม · การละเมิดข้อมูลส่วนบุคคลของ KISA Boho Nara ที่เบอร์ 118 (ในเกาหลี) แพ็กเกจดูแลรักษารายเดือนของ ISSYMO ติดตั้งอัปเดตความปลอดภัยและสำรองข้อมูลทุกเดือน

• อัปเดตตามรอบบ่อยแค่ไหน
• เมื่อมีประกาศความปลอดภัยเร่งด่วน จะติดตั้งภายในกี่วัน
• ขอรับบันทึกประวัติการอัปเดตได้หรือไม่
• ถ้าหน้าจอพังหลังอัปเดต มีค่ากู้คืนแยกต่างหากหรือไม่
• ถ้าสงสัยว่าถูกแฮ็ก ติดต่อใคร อย่างไร