ดําเนินรายการนะครับ episode นี้ episode ของชิลชิล security
นะครับ วันนี้จะพูดถึงเรื่องของ thailand box bouty นะครับ
อันนี้ต้องบอกว่าจริงจริงค่อนข้างหนักใจ ทางฝั่งแทนทางฝั่งของเอ็นซีเอสเอนะครับ
โอเค ขอขอ เริ่มจากที่เรื่องของข้อมูลก่อนละกันนะครับ
คือตัวของข้อมูลเนี่ย ทางฝั่งของ s c s a thailand หรือก็คือ สกมช
นะครับ เฟซบุ๊กเพจมีการแชร์ในเรื่องของการหารือกับตัวของทางไซเบอร์
เอสวาดa นะครับ เตรียมเปิดไทยแลนด์ บิ๊กอาร์บัค
ปาร์ตี้ นะครับ สนามพิสูจน์ฝีมือสายเบอร์ครั้งแรกในไทยนะครับ
ในช่วงของวันอังคารที่ 10 25กุมภาพันธ์ 2568 นะครับ
ทางฝั่งของพี่อมรนะครับ พลอากาศตรีอัมชมเชยนะครับ
เลขาธิการคณะกรรม การรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาตินะครับ
ให้การต้อนรับและหารือผู้ก่อตั้งและผู้บริหารบริษัท ไซเบอร์ เอสปราด้า
จากประเทศฟินแลนด์นะครับ เกี่ยวกับ กรอบ แนวคิด และก็
โอกาส ในการ จัด กิจกรรม บั๊ก บอ ตี้ ในไทย เพื่อ ส่งเสริม และเปิด
ประสบการ ณ ์ ให้แก่ นัก ไซเบอร์ ไทย นะ ครับ
แล้วก็หน่วยงานต่างๆได้มีโอกาสการพบช่องโหว่ก่อนแฮกเกอร์ ที่มา
กกว่าการทําแพนเทสโดยกิจกรรมนี้จาก กมช
มีความมุ่งหวังเป็นจุดเริ่มต้นการส่งเสริมและกระตุ้นการท้าทายสําหรับนักไซเบอร์ไทย ได้มีเวทีแสดงความ3ารถให้เป็นที่ประจักษ์
มีส่วนช่วยส่งเสริมความมั่นคงปลอดภัย ไซเบอร์ของหน่วยงานในประเทศ
และร่วมเป็นส่วนหนึ่งของการสร้างวัฒนธรรม ความรับผิดชอบในการรักษาความมั่นคงปลอดภัย
ไซเบอร์ขององค์กรที่มีผลต่อสังคมและประชาชนผู้ใช้บริการ ซึ่งปัจจัยแห่งความสําเร็จประการหนึ่งก็คือการให้ความรู้และการสร้างความเข้าใจแก่ทุกฝ่ายที่เกี่ยวข้องให้ตระหนักถึงประโยชน์ที่จะได้รับควบคู่ไปกับ
การความพร้อมทั้งทางด้านเทคนิคและกระบวนการควบคุมที่เหมาะสม ซึ่งส่งเวลาเชื่อว่ากิจกรรมดังกล่าวจะเป็นประโยชน์ต่อวงการไซเบอร์และดูดคนรุ่นใหม่เข้าสู่วงการบั๊กบี้นี้ได้อย่างดี
อ่ะ อันนี้คือข่าวแล้วก็ตัวของ message ของทางฝั่งเพจ สกมช
นะครับ โอเค เอิ่ม ผมจะ เรียกว่า หนัก ใจใน พาร์ท ไหนดี ผมพูด
แบบนี้ ก่อน ละกัน นะ ครับ คื อผม เคยมี ประสบการ ณ ์ แล้ว ก็ต้อง
บอกว่า เป็น ผู้ช่วย ในบาง ที่ ด้วยซ้ํา ที่ เป็น คนเขียน สโคป
อิน สโคป เอาท์ ของ ตัว บั๊ก ป๊อด โปรแกรม อ่ะ นะ ครับ
ให้กับบริษัทบางที่ทั้งในและต่างประเทศที่ที่เคยทํามา สิ่งที่ผมเจอมันไม่ใช่เรื่องของตัวแพลตฟอร์ม
หรือว่าเรื่องของตัวโพรเซส แต่เป็นเรื่องของตัวคนและเม็ดเงินที่เกี่ยวข้อง
พระนี้เป็นพระที่สําคัญครับ แล้วผมคิดว่า
เป็นเป็นจริงจริงเอาใจช่วยนะเอาใจช่วย ศกมช เพราะว่า
เป็นพาร์ทที่ค่อนข้างใหญ่แล้วก็เป็นพาร์ทที่ทําค่อนข้างยาก ต้องบอกตรงตรงครับ
ปกติโปรแกรมเป็นส่วนที่ผมคิดว่ามันต้องเป็นบริษัทที่โปรแอคทีฟ จริงๆ ถึงจะสามารถทําได้ คําว่า
โปรทีฟ จริงจริง หมายความว่าจริงจริงแล้วเนี่ย
เขามีการทําเรื่องของเพนเทสเรื่องของ มอเตอร์แอสเซสเมนท์อยู่แล้วนะครับ
แต่เค้าอยากให้มันเร็วกว่านั้นคือโดยปกติเนี่ย เวลาเราทําเพนเทสหรือตัวของทําวีเอสิ่งหนึ่งที่เราจะเป็นปัญหาเลยก็คือตัวโปรเจค
แต่ละโปรเจคการจะทําในส่วนนี้มันต้องใช้เวลาหมายความว่าอะไร หมายความว่าแบบเลสเซย์
สมมติว่าเราจะทําทีนึงใช่ไหมครับ อาจจะต้องใช้คนมาทําการทําสแกนนิ่ง
สแกนนิ่ง เสร็จแล้วมาอ่านผลอ่านผล เสร็จแล้วก็รีพอร์ตถูกไหมครับ
ซึ่งโดย ปกติ ถ้าตัวของหน่วยงานภายในเองมีตัวของคนทําวีเอเพนเทสอยู่แล้วก็ดีไปนะครับ
แต่ก็เช่นเดียวกัน ตัวของวีเอ็นเทสมันก็ไม่ใช่ทุกอย่างเนาะ
หมายถึงว่ามันไม่มีทางที่จะหาช่องโหว่ได้ร้อยเปอร์เซ็นต์ คือมันพยายามหาช่องโหว่เท่าที่สุดเท่าที่เป็นไปได้ในช่วงเวลาที่จํากัด
แต่กลับการพร็อกบอดี้โปรแกรมให้มองเหมือนสภาพว่าตัวของทางแฮกเกอร์นะครับ แต่เอ่อ
เราแทนที่จะให้เค้ามาแฮกระบบเราเราบอกว่าเฮ้ยเนี่ย ถ้าคุณเจอเหรอได้เลย
คุณมาติดต่อเราสิ แล้วเราจะให้เงินคุณแล้วคุณก็แจ้งช่องโหว่พร้อมกับ
recommend ชั่นมาให้เดี๋ยวเราจัดการต่อ
นั่นคือส่วนของมาร์เก็ตที่โปรแกรมอันนี้คือข้อตรงไปตรงมาก่อนนะ เราเราพูดกันทีละประเด็นก่อนเนอะ
ซึ่งอันนี้ประเด็นคือชัดเจนในเรื่องของตัวโปรแกรมที่ว่า ทําไมมาถึง frish all เพราะว่า
การที่มันมี block มาที่โปรแกรมแล้วเราไม่มีการทํา
we and test มาก่อนนั่นหมายความว่า โอ้โห
รีพอร์ตมันจะเต็มไปหมดเลย คําถามคือ benefit
ที่เกิดขึ้นคืออะไร องค์กรจ่ายเงินมากขึ้น
หรือองค์กรจ่ายเงินน้อยลง สําหรับในเรื่องของการเออการลงทุนในส่วนของ
assetment secondary assessment นะครับ สมมุตินะผม ผมแจ้งแบบนี้
สมมุติเราทํา v a เราใช้เวลาเราใช้เงินมา 200,000
นะครับ หรือ painted อาจจะใช้เวลาอาจจะใช้เงินซัก
300,000 หรือ 500,000 อะไรก็ว่าไปตาม scope over ที่ว่า
จะเป็นแต่ว่า เป็นบั๊ค วอเตอร์โปรแกรมนะครับ
มันคือการจ่ายตาม lang ของตามserial โดยปกติแล้วนะฮะ
จะเป็นตาม serial เช่น ถ้าเป็น low อาจจะใช่ให้ร้อยเหรียญ
ถ้าเป็น high อาจจะให้ 300 เหรียญขออภัยมีเดียมอาจจะใช่ 300
เหรียญ high ให้ 500 เหรียญ คริติคอลอาจจะให้1000เหรียญอันนี้คือยกตัวอย่างแบบน้อยน้อยเลยครับ
แล้วถ้าสมมุติลองคิดถึงภาพว่าตัวขององค์กรเองไม่มีการทําวีเอ็นเทสต์มาก่อนแล้วอยู่ดีดีมาทําเรื่องของพร็อพเพอร์ตี้โปรแกรมจะเกิดอะไรขึ้น ลองนึกถึงภาพนะพนะ ตัวเงินจาก
300,000 หรือจาก 500,000 หารด้วยจํานวน
เมื่อกี้ผมบอกประมาณสักเท่าไหร่นะ เอ่อ อัลเลเฮ500
เหรียญ500เหรียญได้กี่ชั่วโมงครับ อันนี้แค่พานเล็กๆนะ
ยังไม่รวมถึงเรื่องของส่วนอื่นอื่นที่เข้ามาเกี่ยวข้องนะครับ เช่นเรื่องของเอ่อ ตัวของบัฟตี้
โปรแกรมที่มีการรีพอร์ตเข้ามาเนี่ย ใครตรวจสอบครับ
ตัวของบริษัทที่เข้ามาเกี่ยวข้องมีทีมแนนซิลิตี้ที่เข้ามาตรวจสอบหรือไม่ ตรวจสอบแล้วใช้เวลาแค่ไหน
คือโดยปกติเนี่ย ในส่วนของถ้าเป็นแพลตฟอร์มอื่นอื่น
เช่นตัวของ black cloud ตัวของ indivity หรือตัวของเอ่อ
อิมมูนิฟาย หรือจะเป็น แพกเกอร์ one
มันจะมีเรื่องของระยะเวลาการตอบสนองครับ แล้วก็เรื่องของความน่าเชื่อถือของตัวองค์กรนะครับ
ยังไม่รวมถึงเรื่องของ ถ้าเรามีการจ่ายเงินก็จะมีเรื่องของการจ่ายเงินที่ที่เราจ่ายตรงแค่ไหนอะไรยังไงอีกด้วยนะครับ
ซึ่งทั้งหมดในส่วนเนี้ยครับ มันไม่ได้จบแค่เรื่องของตัวโปรแกรมเนาะ
มันไม่ได้จบแค่เรื่องของตัวตัวแพลตฟอร์มที่เข้ามาเกี่ยวข้องแต่มันเกี่ยวกับคนเกี่ยวกับโปรเซสการทํางานในส่วนนี้ใครเป็นคนดูแลใครเป็นคนจัดการ เออ สมมุติ เออ
ตัวของคนที่ดูแลคนจัดการที่ว่าต้องมานั่ง handle case
รีพอร์ตที่เป็นฟอลต์สมมุตินะครับ มีสัก 50 รีพอร์ตเข้ามาฟอลต์ซัก
50 ฟอลไอ 40 อีกเออเราต้องคัดหาให้ได้ว่าไอ้10
รีพอร์ตที่มันเป็น value เนี่ย มันคืออันไหนและการทดสอบที่ว่าเนี่ยทดสอบยังไง
ทดสอบได้เลยไหม หรือต้องแจ้งซักก่อน
หรือต้องทําอะไรก่อนไหม ส่วนนี่เคยดูแลใครจัดการ
ยังไม่รวมถึงรวมของ การกําหนดเรื่องของ policy
inscope outscope องค์กรจะบอกยังไงว่าอันเนี้ยคือช่องโหว่ที่เอ๊ย
โอเค ฉันยินดีที่จะจ่ายเงิน อันไหนที่ฉันรู้สึกว่าฉันไม่อยากจ่ายเงิน
ฉันรู้สึกว่าอันนี้มันไม่เกี่ยวข้องกับฉัน เราเอาจุดไหนเป็นตัววัดว่าอันนี้คือ
inscope อันนี้คือ out scope serial matrix
ในจุดไหนที่จะเรียกว่า critical ในจุดไหนที่เป็นไฮมีเดียมโลว์
แต่ละไฟแนนเชียลหมายถึงว่าแต่ละเซ็กเตอร์ของของธุรกิจที่ที่เข้ามาทําก็ให้ตัวของราคาของเซเรียลตี้เมทริกซ์ไม่เหมือนกัน บางคนเขาดูที่ตัวของผลกระทบ
บางคนที่ดูประเภทของช่องโหว่ มันสารพัดหลายอย่างเข้ามาเกี่ยวข้องใครเป็นคนกําหนด
ยังไม่รวมถึงเรื่องของทีมงานที่ซัพพอร์ต ถ้าสมมุติว่าต้องมีการติดต่อตัวประสานงานเพิ่มเติมต้องติดต่อฝ่ายไหน
ฝ่ายใครยังไงบ้างนะครับ รวมถึงเรื่องของเควายซี
จะทําเควายซีทํายังไงได้บ้าง ขําสําหรับคนที่มีการแจ้งเข้ามา
และเป็นตําบลของประเทศ สามารถโอนเงินไปที่ตัวของบุคคลที่เป็นตัวของคนต่างประเทศได้ไหม
ทํายังไงได้บ้างนะครับ กฎกติกาเขียน policy
ยังไงบ้างนะครับ หลายหลายส่วนในส่วนนี้ต้องบอกตามตรงครับ
มันเป็นส่วนที่ค่อนข้าง มีอะไรที่ต้องคิดเยอะ
ผมถึงบอกว่าเอาจริงจริงเอาใจช่วยคือมันเป็นส่วนที่ดีนะ สําหรับผม ผมอย่างที่ผมบอกบอก
active security คือในบัวในมุมของตัวมันคือ
proactive security program เลยอ่ะ
มันคือการที่เราพยายามจะเน้นเพิ่มความ security
ให้กับองค์กรมากขึ้นมากขึ้น และก็มากขึ้นนะครับ
แต่สิ่งที่มันปัญหาตามมา ถ้าไม่มีความพร้อมอะมันไม่เกิดจริงจริงนะครับ
มันไม่มี fital all จริงจริงสําหรับตัวของเรื่องของ
propotic program เพราะมันมีเรื่องของทั้งเรื่องของ
process technology แล้วก็ตัวของ people
เข้ามาเกี่ยวข้อง มันจบยากมาก ดังนั้นการที่องค์กรไหนที่ตัดสินใจที่จะทํามาที่โปรแกรม
นั่นหมายความว่าคุณมีเตรียมเงินและบุคลากรไว้เพื่อสําหรับเรื่องนี้โดยเฉพาะนั่นเอง อันนี้คือพาร์ทสําคัญนะครับ
อย่างที่ผมแจ้งมันเป็นสิ่งเรื่องที่ดีนะครับ แล้วก็ผมคิดว่า การที่ สปป
เราหยิบเรื่องนี้มาทํา ผมคิดว่า เป็นเรื่องที่ค่อนข้างน่าสนใจ
แล้วก็เป็นเรื่องที่ที่ดี แต่เช่นเดียวกัน
มันจะเหนื่อยมากมากเลยนะครับ เพราะว่ามันมีอะไรหลายหลายอย่างที่ต้องเข้ามา
เป็นส่วนร่วมเข้ามาทํางานประสานงานร่วมกับตัวของของบริษัทต่างๆ หรือว่าตัวของทางหน่วยงานต่างๆที่เกี่ยวข้อง
อันนี้ผมพูดตามตรง ถ้าสมมติว่าเกี่ยวข้องกับตัวในงานภาครัฐนะครับ
ยิ่งยากขึ้นไปใหญ่ เพราะว่าหน่วยงานภาครัฐในหลายหลายที่เองไม่มีเรื่องของทีมงานไซเบสซิเคียวตี้
การจะทําบั๊กเพอตี้โปรแกรม มันจะยิ่งเป็นปัญหาความปวดหัวและปิดเคสก็ยิ่งยากขึ้นไปอีกนะครับ
จะปิดเคสโดยที่บอกว่ารู้ช่องโหว่เฉยเฉย แล้วก็ปิดเคสไปก็คงไม่ได้
มันก็จะมีเรื่องของการฟิก มีเรื่องของ
การลดเรื่องของลิสต์ความเ 4 ยงที่เข้ามาเกี่ยวข้องด้วยหลายส่วนมากที่มันเกี่ยวข้องถึงบอกว่า
เป็นงานที่เหนื่อยครับ เป็นเป็นงานที่น่าสนใจและดี
แต่ผมบอกได้เลยว่าเหนื่อย แล้วก็จริงจริงเห็นด้วย
แล้วก็สนับสนุนที่จะทํา ถ้าองค์กรไหวนะครับ
แต่สําคัญผมคิดว่าเริ่มนอกเหนือจากเรื่องของตัวบัฟเวอร์ติโปรแกรมนะ เริ่มจากสิ่งเล็กเล็กที่ผมเคยพูดไปเมื่อ
สัก3 หรือ 4 ปีก่อนหน้านี้ก็คือเรื่องของซีเคียวริตี้
ดอตทีเอฟทีก่อนครับ ขอให้มีส่วนหนึ่งที่เป็น
การรับเรื่องการรีพอร์ตให้ได้ก่อนว่าโอเค เวลาคุณเจอรีพอร์ต เอ่อ ขออภัย
เวลาเจอคุณเจอช่องโหว่ในตัวของเว็บไซต์ หรือแอพพลิเคชั่นใดๆ
ของหน่วยงานนั้นๆอ่ะ ต้องติดต่อใครพูดตามตรงครับ
ผมคิดว่าในไทยเองเนี่ยมีองค์กรไม่ถึง 100 องค์กรหรือไม่ ผมคิดว่าไม่ถึง
50 องค์กรไหม ที่มีสิ่งรอบที่เราเท
พร้อมรับเรื่องในการแจ้งและประสานในการปิดชั่วโมงต่อ น้อยมาก และผม
ผมคิดว่าไอ้ไอ้เรื่องของมาร์เก็ตติ้งมันเป็นเรื่องที่ควรจะทํานะ ถ้าพร้อมควรจะทําจริงจริง
แต่ถ้ายังไม่พร้อมอาจจะเริ่มจากจุดเล็กเล็กก่อนก็คือเรื่องของซีเคียวริตี้ดอตเทคก่อนก็ได้ครับ เพื่อที่ว่าอย่างน้อยเราไม่มีเงินให้เค้า
เรามีช่องทางให้เขาแจ้งช่องโหว่ และถ้าสําคัญถ้าเอาแบบเล็กเล็กเลยนะประกาศเป็นฮอลล์ออฟเฟม
ในเว็บไซต์ขององค์กรหน่อยก็ได้ว่าโอเค กลุ่มนี้คือกลุ่มที่แจ้งมาให้ฉันแจ้งช่องโหว่มาให้ฉันและฉันอ่าฟิกช่องโหว่ให้
เอาจากจุดเล็กๆ แบบนี้ก่อนก็ได้นะครับ ไม่ต้องแบบ
โอ้อลังการงานสร้างก็ได้ เออ แต่จริงๆผม
ผมคิดว่าสกปรกอาจจะเริ่มแบบนี้ก่อนก็ได้ ผมก็ก็คิดว่ามันก็เป็นไปได้เหมือนกัน
แล้วก็ก็ไม่ได้ไม่ได้มีข้อจํากัดที่มากมายนักนะครับ ซึ่งซึ่งในส่วนนี้ผมคิดว่ามันเป็นส่วนที่ดี
ถ้าจะเริ่มทําในจุดนี้ก่อน ซึ่งซึ่งสุดท้ายแหละ
หรือเราคงต้องดู รอดูอีกทีหนึ่งว่า
สกปรกจะทํายังไง แล้วก็มีประสานงานหรือร่วมกับตัวของหน่วยงานไหนบ้างนะครับ
แต่อย่างที่ผมเน้นย้ําก็คือ ผมคิดว่า เป็นโปรแกรมที่ดี
แต่เหนื่อยแน่แน่และเอาใจช่วยครับ ผมมีหลายส่วนที่เข้ามาเกี่ยวข้องมากมาก
จริงจริงนะครับก็ฝากไว้เท่านี้ครับ สําหรับหัวข้อเรื่องของไทยแลนด์
บ็อกซ์บาวตี้นะครับ คิดว่า เป็นพาร์ทที่เอาใจช่วยครับผมคิดว่าก็คงเอาใจช่วยของสกมช
นะครับ พาร์ทที่สําคัญอันนึงเลยผมคิดว่า
เราเริ่มจากหน่วยงานที่พร้อมก่อนครับ เราไม่เราไม่จําเป็นต้องฟิตฟอร์ออตั้งแต่เริ่มเราเราเริ่มจาก
บริษัท ไหน ไปก่อน ประมา ณ นั้น อารม ณ ์ ประมา ณ นั้น นะ ครับ ก็
episode นี้ ประมาณนี้ นะ ครับ ก็หวัง ว่าจะ เป็น ประโยชน์ กับ
ใครหลายคน ที่ สนใจ เรื่องของ ตัว box butty program แล้วจะ เห็นว่า
มันมี bh the feen อะไรบ้าง แต่ จริงจริง ไอ้ คําว่า behind the
scene ที่ ผมพูด ถึง เนี่ย มันยัง น้อย มากมาก เลย นะ กับการ
operation จริงจริง มันยัง มีอะไร หลายหลาย อย่าง ที่ ถ้าคุณ
operate คุณจะรู้เองว่าปัญหาของคนนี่แหละคือเรื่องใหญ่สุดนะครับ
โอเค episodeone นี้ประมาณนี้นะครับ
ขอบคุณทุกท่านมาติดตามแล้วพบกันใหม่สําหรับวันนี้ ลากันไปก่อน สวัสดีครับ