สวัสดีครับ ก็ไม่ค่อยได้ครับผม สุเมธ จิตรภักดี
ประเด็นดําเนินรายการนะครับ ในส่วนนี้พิสูจน์ขอชิวชิว
security นะครับ วันนี้จะพูดถึงเรื่องของ
certificate และคนทํางานนะครับ คือจริงจริงแล้วต้องหัวข้อนี้มัน
ผมพูดบ่อยแล้วแหละ จริงจริงแล้วนะครับ
คือมันมีหลายส่วนมากเลยที่เคยพูดไปแล้วในประเด็นต่างต่างนะครับ ซึ่งมันมีไม่กี่เรื่องหรอกนะครับที่
เออ เป็นประเด็นนะครับ ไม่ว่าจะเป็นเรื่องของ
การรับคนเข้าทํางาน การทํางาน แล้วก็รวมถึงเรื่องของในโปรเจ็คนั้นๆ
มีเซอร์วิเคตจําเป็น ต้องมี certiate อันนั้นไหมนะครับ
ขอพูดเลยทีละประเด็นก่อนละกันนะครับ ในเรื่องของประเด็นเรื่องของ
การรับคนเข้าทํางานก่อนนะครับ คือโดยปกติเนี่ย
เวลาที่เรารับคนเข้าทํางานเนี่ยปกติสิ่งนึงที่ผมมักจะทําก่อนเลยก็คือจอเดสคริปชันคือผมต้องหาก่อนว่าโอเค ผมต้องการคนแบบไหนเข้ามาทํางานและให้เค้าเข้ามาทําอะไรนะครับ
ดังนั้นเนี่ย การที่มีต่างต่างนะครับ
มันอาจจะไม่ตอบโจทย์ผมเลยก็ได้ ถ้าคนคนนั้นไม่3ารถทํางานอย่างที่ผมต้องการได้นะครับ
ยกตัวอย่างเช่นนะครับ ตัวของงานที่ผมจะรับเข้ามา
มาทําไออาร์ อินเซอร์เลส เอฟ ฟอนนะครับ
ผมก็คงไม่รับคนที่เป็นซีเอสเอฟซีเข้ามา นะครับ
เพราะว่าคนที่ผมต้องการคือคนที่เป็นคนทําสิ่งได้ ไม่ใช่คนทํา strategy เออวาง my
store ให้กับลูกค้านะครับ หรือมาประเมินความเสี่ยงจากตัวของ
internet นั้นๆนะครับ เพราะว่ามันคนละประเด็นกันเนอะ c
i s p มันควรเป็นเรื่องของ การวาง criterity การทํา process ต่างๆ
ให้กับทางฝั่งของลูกค้ามากกว่านะครับ ดังนั้นเนี่ย
อันนี้มองเป็นมุมมองของของผู้ให้บริการนะครับ ไม่ได้ไปมองขององค์กรนะครับ
แต่ว่าถ้าองค์กรจะรับคนที่มีตัวของซีไอเอสพีเข้ามา หรือไม่ก็
นี่ก็แล้วแต่ครับว่าเค้าต้องการจะเอามาทําร้ายเค้าต้องการจะทําเป็นโพรเซส เค้าต้องการทําอะไรนะครับ
ในในเชิงของเออ การวางแผนระบบหรือเปล่านะครับ
งั้นผมคิดว่าเรื่องของการรับงานจริงจริง หลักหลักเลยเนี่ย
อาจจะเป็นเรื่องของ การดูส่วนของคนว่าเหมาะกับงานนั้นมั้ยนะครับ
เช่นเดียวกันในเรื่องของตัว certificate ที่เป็นลักษณะของเออ
one หรือตัวของ stock l one นะครับ ของทางฝั่ง
Try act มียกตัวอย่างนะครับ ก็ไม่ใช่ว่าจะผ่านทดลองงานของทางผมซะที
เดียวนะครับ คือฝั่งผมเองเนี่ยผมทําเป็นลักษณะของ
poble team คือต้อง attack ได้แล้วก็ทํา defensive ได้นะครับ
ดังนั้นเนี่ย มันต้องเข้าใจทั้ง 2 ฝั่งนะครับ
แต่ทางฝั่งของผู้ถือว่ากับตัวของเออสักเทียร์หนึ่งของตัว trip me อะไรก็แล้วแต่นะครับ
ก็จะเน้นไปที่เจ้าของ differentive เนาะ
ซึ่งมันอาจจะไม่ตอบโจทย์ทางทางผมก็ได้ถูกมั้ยครับ ดังนั้นเนี่ย ถ้าทราบใดก็แล้วแต่
ตัวของคนที่มีเซอร์เขียนนั้นนั้นเข้ามาทดลองงานแล้วเค้าดําเนินการทดลองแล้วมันไม่ผ่านตามมาตรฐานตามสโคปที่ผมกําหนด สุดท้ายเค้าก็ไม่ผ่านอยู่ดี
ซึ่งมันก็คงต้องบอกลากันต่อให้เค้าเค้ามี certificate
เยอะแค่ไหนก็แล้วแต่นะครับ เพราะสุดท้ายถ้าสมมติว่าฟังก์ชันงานที่อยากได้มันไม่ตรงกับที่ต้องการก็คงไม่สามารถที่จะไปต่อได้นะครับ
เด๋อแบบนี้นะครับ จริงจริงแล้วเนี่ย
ถ้าพูดตามตรงก็คือ การทําการจะผ่านตัวของการทดลองงานขององค์กร
แต่ละองค์กรก็น่าจะต้องมีเรื่องของ การประเมินการทดลองงาน
ซึ่งแต่ละองค์กรก็จะมีการประเมินการทดลองงานที่แตกต่างกันนะครับ ดังนั้นถ้าพูดดํารงในส่วนนี้ก็เป็นอีกไม้หนึ่งนะครับ
เป็นอีกขั้นตอนที่ 2 นะครับ ในการที่จะวัดคนว่าคนคนนั้นจะร่วมกับองค์กรหรือไม่
คือไอ้ตัว ส่วนที่หนึ่งก็คือเรื่องของ
cตุate นั้นเหมาะกับตัวงานนั้นหรือไม่
หรือตัวของ requirement นั้นนะครับ เหมาะกับตัวของงาน
หรือว่าคนที่เราต้องการหาหรือไม่พื้นที่2 คือการที่โอเคนอกเหนือจากแค่เค้ามีเค้าน่าจะมีความ3ารถตามที่เรากําหนดแล้วก็ต้องดูด้วยว่าเค้าทํางานจริงได้แค่ไหนเค้าทําสามารถทําในส่วนที่เราต้องการจริงๆได้มั้ย
นั่นคือสเต็ปที่2 ถูกมั้ยครับ ดังนั้นเนี่ย
ถ้าสเต็ปที่หนึ่งผ่านแต่มาตกที่สเต็ปที่ 2 มันก็เป็นไปได้เหมือนกัน
สุดท้ายแล้วขึ้นอยู่กับองค์กรว่าจะรับใครเข้ามา แล้วก็ขึ้นอยู่กับว่าองค์กรนั้นนั้นเนี่ย
ต้องการให้คนนั้นเข้าไปทําอะไรให้กับองค์กร สุดท้ายก็คือทดลองงานแล้วมันผ่านเกณฑ์ขององค์กรนั้นนั้นหรือไม่มากกว่านะครับ
ในเรื่องของการรับคนนะครับ วันที่ 2 ที่ตามมาคือคนที่มี certificate
มีความ 3 ารถและทํางานได้ดีมากมากหรือไม่นะครับ
ในหลายครั้งเองผมทํางานร่วมกับองค์กรหลายๆองค์กร เพราะด้วยความที่เป็น
เอิ่มคอนซัลอ่ะนะครับ แล้วก็เป็นทางฝั่งของซีเคียวริตี้
เอ่อ ที่เป็นสต็อกเอยด้วยนะครับ อ่า
หรือแม้กระทั่งเรื่องของเรียนว่าแฟนก็ตามนะครับ เราก็ต้องร่วมตรวจสอบในหลายหลายส่วนให้กับลูกค้านะครับ
บางพาร์ทนึงคือผมก็เจอในเรื่องของการที่ว่าคนที่สอบเซอร์นู่นนี่นั่นมาแหละ แล้วทํางานตําแหน่งต่างๆ
มันก็ไม่ได้ออกมาดีสักเท่าไหร่หรือไม่เข้าใจตัวงานจริงจริงนะครับ ยกตัวอย่างเช่นเนี่ย บางคนสอบ c h
ผ่าน plants พาดผ่านนะครับ แต่ผล pentest report ที่ส่งมาให้ว่า
เอ้ย เนี่ยตัวของของ เซิร์ฟเวอร์นั้นนั้นหรือ
application นั้นๆ ผ่านการ painted ได้รึยัง
ก่อนขึ้นขึ้นเออเป็น production นะครับ
กลับกลายเป็นว่าเค้าส่งผลวีเอรีพอร์ตมาให้ คือในตัวของของวีไอตัวดี
พอร์ตที่เค้าส่งมาโอเคมันคงไม่ใช่เป็นแบบของเน็กทรัสต์เลยของของราบิเซเว่นเลยในการที่จะสแกนออกมา นะครับ
แต่ว่ามันก็คือเป็นเป็นในฟอร์มฟอร์แมตของคล้ายกับการทํางาน เออเบนเทเอสแหละ แต่ว่า
พอเราเข้าไปอ่านเนื้อหาแล้วอ่ะ ไม่ใช่มันไม่ใช่มันไม่ใช่การ
validation ตัวของของ valuaity เลยนะครับ
ดังนั้นมันก็เลยกลายเป็นประเด็นที่ตามมาว่า เอ้ย ถ้าอ ย่างเงี้ย
ผลรีพอร์ตมันก็ไม่ถูกต้องคุณไม่ได้ทํา valuation
เลยคุณไม่ได้ดูเลยว่าผลกระทบจริงๆที่เกิดขึ้นเป็นยังไง คุณเอาผลของแพนเทสต์มาใส่เลยว่าตัวผลกระทบตรงนั้นเป็นประมาณไหนเท่าไหร่
ซึ่งจริงๆแล้วไม่ใช่นะครับ จริงๆควรจะต้องตรวจสอบลึกลงไปด้วย
ว่าแล้วการทดสอบจากระบบจริงๆแล้วเนี่ยเข้าไปได้แค่ไหน อย่างไรนะครับ
ซึ่งในจุดนี้ก็เช่นเดียวกันครับ การทํางานในพาร์ทนี้ผมมองว่ามันไม่ถูกต้องคือคุณบอกว่าคุณทําเป็นเทส
แต่คุณส่งผลวีเอมาให้เนี่ยอะ ถ้าพูดตรงตรงคือผมเอ็กเซอร์เรชั่นไปที่ตัวของรีเลเวลให้เค้าตรวจสอบเลยว่า
เฮ้ย คนคนนี้เค้าทํางานแบบนี้มาตลอดเลยหรอ
หรือเวนเดอร์ เจ้าเจ้านี้ทํางานแบบนี้จริงจริงใช่ไหม
อันนี้รีพอร์ตนี้เหมาะสมจริงจริงรึเปล่านะครับ หรืออีกส่วนหนึ่งครับ ก็คือคนผ่าน
แต่พอจะจริงจริง พอ ทําอนาซิกซ์จริงจริงกลับ
ไม่รู้เลยว่า จะต้องเริ่มที่ไหน คือไม่เข้าใจเลยว่า
จะต้องไปเริ่มเอาหลักฐานอะไร มาทํางานในสิ่งนู่นนี่นั่นนะครับ
ซึ่งอันนี้ก็จะเห็นว่าตัวของเซอร์ติเค็มมันไม่ได้ช่วยอะไรเลย คือ สุดท้าย แล้ว บางครั้ง
ขึ้นอยู่กับ เรื่องของ ประสบการ ณ ์ มากกว่า นะ ครับ ว่า
คนคนนั้น มีประสบการณ์ ในการ ทํางาน นั้นนั้น มาก น้อย แค่ไหน
และการ ทํางาน นั้นนั้น มัน ต้องใช้ สกิล อะไร นะ ครับ
สุดท้าย ก็เลย กลาย เป็น ว่า บางครั้ง บาง คนมี certificate
แต่ก็ ไม่ได้ บ่งชี้ หรือ ไม่ได้ บ่งบอกว่า เขาจะ ทํางาน ได้ดี
คนที่ไม่มี certificate อาจทํางานได้ดีกว่าหลายเท่าก็เป็นไปได้
เพราะด้วยความที่เค้ามีประสบการณ์ และเขาทราบถึงบริบทของการทํางานที่ถูกต้องจริงๆนะครับ
นี้คือเรื่องที่ 2 เรื่องที่ 3 ที่ตามมา
ก็คือแล้วการเข้าโปรเจคต่างต่างเนี่ย จําเป็นจะต้องมีเซอร์พิเครตตัวไหนอะ
ถ้าพูดตรงตรงคือถ้าสมมุติว่า เป็นเซอร์ติเคทสาย Management
นะครับ ใช่ใช่ตัวของ c s p นะครับ มันไม่จําเป็นที่จะต้องเอามาเข้าตัวของ
project ตัวที่เป็นพาส เพนเทส หรือ ซีเรส ฟอนต์เลยแต่กลับกัน
ถ้าคุณต้องการจะวางโครงสร้างวางมาตรฐาน ให้ให้เป็นไปตามมาตรฐานต่างต่าง
หรือพยายามมองเป็นการพัฒนาองค์กรในเชิงของนะครับ แบบระยะไกลเนี่ย เอ้ย
ผมว่าเหมาะในเรื่องของ c i s p นะครับ แต่กลับกัน ถ้าเรา c s f p
เนี่ยไปใส่ในตัวของ project ที่มันเป็นลักษณะของ pent test
หรือ ecoswant คําถามคือคนคนที่เค้าไปทําอะไรอะครับ
ปกติเขาไปทําอะไรในโปรเจคครับ ถ้าคนคนนี้เข้าไปในตอนท้ายสุดของโปรเจคก็คือแค่เข้าไปอ่านผลของโปรเจคนั้นๆนะครับ
ซึ่งพูดตามตรงก็คือมันมันจําเป็นหรือไม่นะครับ เพราะว่า
การที่ตัวของเพนเทสเตอร์เวลาเขาทําตัวของรีพอร์ตทรงเนี่ยจริงๆแล้ว โดยปกติมันจะมีเรื่องของเอ็กซเรย์
ซัมมาลี่มีเรื่องของการทําเรื่องไพรออริตี้นะครับในการฟิกซ์ช่องโหว่ ต่างๆ
แล้วก็รวมถึงเรื่องของวิธีการในการฟิกช่องโหว่อยู่แล้วนะครับ คําถามคือ
ซีไอเอสพีเข้าไปทําอะไรครับ เข้าไปอธิบายมุมมอง มีมีคนเถียงมา
นะครับ มีคนแย้งมาว่าโอเคเข้าเข้าไปอธิบายมุมมองของของ
เออลิสต์ ความเ 4 ยงให้กับตัวขององค์กร คําถามผมคือ
อ้าว แล้วตัวของเป็นเพลงรีพอร์ตมันไม่ได้บอกอยู่แล้วหรอกครับว่าความเ
4 ยงคืออะไร ถ้าเป็นเฮดรีพอร์ตนั้นมันไม่มีหวังความเ4
ยงอยู่แล้ว ความงั้นตัวของเพนเฮด Predictor
นั้นมันไม่มีมาตรฐานอย่างที่ควรจะเป็นอยู่แล้วรึเปล่า คุณควรจะติงกลับไปไหม
สมมุตินะครับ เป็นเวนเดอร์นะ ถ้าเป็นเวนเดอร์นะ
คุณควรจะติงกลับไปไหมว่าเออ ตัวของเวนเดอร์รบกวนช่วยทําการประเมินเป็นลักษณะของลิสต์เป็นความเ
4 ยงกลับมาแล้ว วางแผนในการช่วยแก้ไขหน่อยว่าควรจะต้องทําอะไรบ้าง
1234 ไม่ควรจะเป็นแบบนั้นมั้ยครับ
ทําไมต้องเสียผีเข้ามาในโปรเจ็คครับ เสียภาษีเข้ามาในโปรเจกต์คือเพื่อให้ให้ให้คุยในภาษาเดียวกันหรอครับ
ว่า เออ ชั้นต้องการความเ 4 ยง แล้วตัวของเพนเซ็ตเตอร์เค้าไม่เข้าใจความเ
4 ยงตรงไหนหรอกครับ ปกติมาตรฐานในเรื่องของการสอบซูซิเคท
ต่างต่าง เช่น โอเอสซีพี เช่นตัวของ เอิ่ม ซีพีเอฟ
เอหรืออะไรก็แล้วแต่ สิ่งที่มีการพูดถึงคือการประเมินความเ
4 ยง คือเรื่องเรื่องของลิสต์เมเนจเม้นท์ลิกแอฟเล่นเรียก
assetment แล้วก็รวมถึง อ่า
เรื่องของเออการใช้เครื่องมือในการคํานวนความเ 4 ยงอยู่แล้ว
ไม่ว่าจะเป็นเรื่องของ c score หรือโยนตัวของโอวาทเองก็ตาม
คําถามผมคือ ตัวของเพนเทเซอร์ ทําแตกต่างจากคนที่ถือซีเอสพียังไง
ดังนั้น c s p ไม่ใช่ certiate ที่โคฟเวอร์ทั้งจักรวาลนะครับ
เช่นเดียวกันเนาะ โปรเจคลักษณะ ของตัว interest bond นะครับ
interest front เองเนี่ยถ้าเราพูดถึงก็คือจริงจริงแล้วเนี่ย
interest front หนักกว่า fan discer นะ เพราะว่าจริงจริง
interest front คือต้องเข้าใจความเ 4
ยงจริงจริงว่า โอเค ฉันมีฉันถูกโจมตี ฉันมีความเ 4
ยงแก้ไขอะไรยังไงบ้าง จริงๆแล้วอ่ะ ถ้ามองตามตรงคือ
sayer p เนี่ย อาจจะเหมาะกับตัวของไออาร์มากกว่ามากกว่าก็ได้
แต่ก็พูดตรงตรงอีกเช่นเดียวกันว่าไม่จําเป็นครับ ก็จะมีเรื่องของมีเรื่องของการประเมินความเ
4 ยงอยู่ในนั้นเช่นเดียวกัน คําถามผมคือ
เอสเอฟพีเข้าไปทําไมในจุดนั้น ดังนั้นผมคิดว่าในการเข้าโปรเจ็คเองก็ไม่จําเป็น
เช่นเดียวกันว่าจะต้องมีเข้าไป ย้อนกลับมาในตอนแรกสุดเลยครับ
เราต้องการคนทํางานประเภทไหนครับ คือเราสร้างโปรเจคขึ้นมาโปรเจคนึง
หรือมี job description defition ขึ้นมา
เราจําเป็นจะต้องเอาคนเทสสีเข้าไปจริงๆหรอ คนเหมาะกับงานที่เราต้องการหรือไม่ลองคิดให้รอบด้านนะครับ
จะเห็นว่าจริงๆแล้วเนี่ย มันไม่จําเป็นหรอก
เพราะว่าในแต่ละ cervicate เนี่ย เขาก็จะมีความเกี่ยวโยงหรือมันจะมีเรื่องของ
overlap กันอยู่แล้วในเนื้อหาบางส่วน
ซึ่งมันจะเหมาะในเรื่องงานนั้นนั้นอยู่แล้วนะครับ ดังนั้นไม่จําเป็น ต้องเอา
surprise อื่ นมา cover ครับ มันมันไม่จําเป็น
เลยมันมันไม่มีสาระสําคัญใดใดที่จะเอามาใช้แบบนั้นนะครับ แต่เช่นเดียวกันครับ ถ้าเรามอง
องค์กรว่าองค์กรที่ชื่อว่า ประเทศไทยนะครับ ต้องการคนที่
พีเอสเอฟทีมั้ย ผมก็ต้องบอกตามตรงว่ามีจําเป็นมากมากนะครับ
แต่มันก็ไม่ใช่แค่เอสพีไง เพราะเราไม่ได้ต้องการแก้ตัวของคน
management criversecurity management
เราต้องการคนมาทําเป็นเทคให้คนเราต้องมาให้คนทํา a i r g r c implement warf
ทั้งหมดเลย ดังนั้นเนี่ย แต่ละสายงานมี certiate
ที่แตกต่างกันอยู่แล้ว ดังนั้นมันไม่ใช่แค่ตัวของ c s p
ครับที่เราต้องการเพื่อจะเพิ่มศักยภาพในเรื่องของ cyber security
ให้กับประเทศคนที่ต้องทํา i r คือตัวของผู้ bruthiver one c d s
a หรืออะไรก็แล้วแต่ โอดีเอสเอเข้าไปหรือตัวของเออเพนเทส
โอเอสซีพี เอิ่ม อีซีบีที หรืออะไรก็แล้วแต่
เราก็ต้องการเช่นเดียวกันครับไม่ไม่ใช่ว่าเราเราไม่ต้องการครับ คือ certificate
ทุกตัวมีผมพูดเสมอเนาะ การ สอดแทรก สําคัญ ไม่ใช่แค่ เรื่อง
ของการ สอบ คือ การสอบ มันคือ โอเค ถ้าคุ ณ ผ่าน ก็ดี นะ ครับ
แต่สิ่ง ที่สําคัญ มากก ว่าคือ ระหว่าง การสอบ อะ คือ หมาย
ถึง ว่า คุณได้ เรียน รู้อะไร กับการ เรียนรู้ soluct นั้นๆ
คุณได้ เรียน รู้อะไร มาแล้ว รึยัง ถ้า คุณได้ เรียน รู้แล้ว
เฮ้ย นั่นคือ จุดสําคัญ มากกว่า นั่นคือ ประสบการ ณ ์ ที่ ผมอยาก
อยาก จะได้ จากคน คนนั้น ด้วย มากกว่า นะ ครับ
คือถ้าเราต้องการคนทําเป็นเทสแต่คุณไปรับ c s p มาเป็นล้านคน
มันก็ทํางานเป็น test ออกมามันจะออกมาดีไหม
ถ้าคุณต้องการทําเรื่องของ cyber security strategy สําหรับ 6
เดือนหนึ่งปีปีครึ่ง 2 ปี มาวางแผนตั้งแต่ process
ยันเรื่องของ experition policy ต่างๆ หรือแม้กระทั่งแผนการทํางาน
process การทํางานร่วมกัน collation ต่างๆ
ถ้าคุณเอาทําเอาเอาคนมาเป็น o s c p มาทําเป็นล้านๆคนเลย Process
มันจะออกมาเป็นยังไง policy มันจะเป็นยังไง มันจะ cover
ส่วนของ business ไหมหรือยังไง ทั้งหมดตรงนี้อะครับ
มันต้องเป็นการบาลานซ์กัน เราไม่ได้มาต้องการแค่ว่าเห้ยฉันต้องมีเอ้ย
ฟรีเอสพีหนึ่งล้านล้านคนฉันต้องการโอเอสซีพีจํานวนล้านล้านคนไม่ใช่ครับ แล้วต้องการทั้งซีเอสซีพีและโอเอสซีพีครับ
แต่ในส่วนไหนมากกว่ากันขึ้นอยู่กับว่าเราต้องการคนประเภทไหนมาทํางานในเรื่องนั้นมา กกว่ากันมา กกว่านะครับ
ดังนั้นมันไม่เกี่ยวว่าจะต้องไปซีเอสพีตัวนั้นเท่านั้น ไม่ใช่เลย
ขึ้นอยู่กับว่าในวันนั้นในจุดนั้นเราต้องการคนแบบไหนเข้ามาทํางานอะไร มากกว่ากันนะครับ
ไม่ว่ายังไงก็แล้วแต่ครับ อย่างที่ผมเน้นย้ําเลยคือองค์กรที่ชื่อว่าประเทศไทยเนี่ยยังขาดคนสิ่งที่อีกมากมายในอีโคซิสเต็มส์นี้นะครับ
ไม่ว่าจะสายไหนก็ได้หมดแหละนะครับ จะเป็นเพลย์เทสก็ดี devensive
ก็ดี ออดิทเตอร์ก็ดีได้หมดเลย ขอแค่ให้เพิ่มเถอะ
นะ ดังนั้น ขอฝากไปว่าจริงๆแล้ว certifate
มันไม่ได้บ่งชี้อะไรขนาดนั้นหรอก สุดท้ายแล้วเราเราต้องการอะไรกันแน่
ต้องลองวิเคราะห์กันให้ดีนะครับ เพื่อจะได้หาสิ่งที่ตอบโจทย์ที่เราต้องการจริงๆ
ขอบคุณทุกท่านติดตามสําหรับวันนี้ลากันไปก่อน สวัสดีครับ