ທະນາຄານ ແລະ ການເງິນ
ລະບົບໄອທີທີ່ພ້ອມໃຫ້ກວດສອບ ສຳລັບທະນາຄານ, ສະຖາບັນການເງິນຈຸລະພາກ ແລະ ບໍລິສັດປະກັນໄພ: ສາຂາທີ່ບໍ່ຂາດການເຊື່ອມຕໍ່, DR ທີ່ທົດສອບແລ້ວ ແລະ ຫຼັກຖານທຸກມາດຕະການ.
ສິ່ງທີ່ເຮັດໃຫ້ວຽກໃນຂະແໜງນີ້ຍາກ
- ຜູ້ກວດສອບພາຍໃນ ແລະ ພາຍນອກ ບໍ່ພໍໃຈກັບຄຳວ່າ "ພວກເຮົາມີ firewall". ພວກເຂົາຢາກເຫັນ log, ການທົບທວນສິດ ແລະ ວັນທີທົດສອບ.
- ເມື່ອເກີດເຫດ, ຊົ່ວໂມງທຳອິດສຳຄັນທີ່ສຸດ. ຖ້າບໍ່ມີໃຜຮູ້ວ່າຕ້ອງໂທຫາໃຜ ແລະ ຕັດລະບົບໃດກ່ອນ, ຄວາມເສຍຫາຍຈະລາມໄປທຸກສາຂາ.
- ສາຂາແຂວງ ແລະ ຕູ້ ATM ຫຼາຍແຫ່ງ ມີຜູ້ໃຫ້ບໍລິການໄຟເບີພຽງເຈົ້າດຽວ. ລິ້ງທີສອງ ຕ້ອງໃຊ້ສື່ກາງທີ່ແຕກຕ່າງກັນແທ້ໆ.
- ອີເມວຟິດຊິງ ແລະ ການປອມເປັນຜູ້ບໍລິຫານ ເພື່ອສັ່ງໂອນເງິນ ເລັງໃສ່ພະນັກງານສາຂາ ແລະ ຝ່າຍການເງິນໂດຍກົງ.
- ແຜນ DR ຂອງ Core Banking ທີ່ບໍ່ເຄີຍທົດສອບ ກໍເປັນພຽງເອກະສານ. ຜູ້ກວດສອບຈະຖາມຫາວັນທີທົດສອບຄັ້ງສຸດທ້າຍ ແລະ ເວລາທີ່ໃຊ້ກູ້ຄືນແທ້.
- ກ້ອງ ແລະ ລະບົບເຂົ້າອອກ ຫ້ອງນິລະໄພ ແລະ ຫ້ອງເຊີບເວີ ຕ້ອງເກັບຫຼັກຖານທີ່ຄົບຖ້ວນ ແລະ ຊອກຫາໄດ້ໄວ ເມື່ອມີການຮ້ອງຂໍ.
ແບບລະບົບໄອທີອ້າງອີງ
ໃນທະນາຄານ ການອອກແບບທີ່ດີ ແມ່ນການອອກແບບທີ່ພິສູດໄດ້. ທຸກມາດຕະການຂ້າງລຸ່ມ ມາພ້ອມກັບຫຼັກຖານທີ່ຜູ້ກວດສອບຈະຂໍເບິ່ງ.
| ສ່ວນ | ສິ່ງທີ່ພວກເຮົາຕິດຕັ້ງ | ຫຼັກຖານທີ່ໄດ້ |
|---|---|---|
| ສາຂາ | SD-WAN ເຂົ້າລະຫັດ ເທິງສອງລິ້ງ ທີ່ໃຊ້ສື່ກາງຕ່າງກັນ (ໄຟເບີ + 4G ຫຼື ວິທະຍຸ) | ລາຍງານ uptime ແລະ failover ຂອງແຕ່ລະລິ້ງ |
| ການເຂົ້າເຄືອຂ່າຍ | Zero Trust / NAC ອະນຸຍາດສະເພາະອຸປະກອນທີ່ລົງທະບຽນແລ້ວ | ບັນທຶກອຸປະກອນທີ່ຖືກປະຕິເສດ |
| ຕົວຕົນ | MFA ທຸກບັນຊີ admin ແລະ ການເຂົ້າຈາກໄລຍະໄກ ຜ່ານ Secure Remote Access | ບັນທຶກການເຂົ້າສູ່ລະບົບ ແລະ ການທົບທວນສິດ |
| ຂອບເຄືອຂ່າຍ | Next-Generation Firewall ແບບ HA ທີ່ຂອບ ແລະ ລະຫວ່າງ zone ສຳຄັນ | ການທົບທວນກົດ firewall |
| Endpoint ແລະ ອີເມວ | EDR ທຸກເຄື່ອງ, Email Security ພ້ອມ SPF/DKIM/DMARC | ລາຍງານ DMARC ແລະ ເຫດການ EDR |
| ການກວດພົບ | SOC / SIEM ເຝົ້າລະວັງ 24/7 | ບັນທຶກເຫດການ ພ້ອມເວລາກວດພົບ ແລະ ເວລາລາຍງານ |
| ຈຸດອ່ອນ | Vulnerability Assessment ເປັນປະຈຳ ແລະ ຝຶກອົບຮົມ ພະນັກງານເລື່ອງຟິດຊິງ | ລາຍງານກວດຊ້ຳ ແລະ ບັນທຶກການຝຶກອົບຮົມ |
ສູນຂໍ້ມູນ ແລະ DR
- ສູນຂໍ້ມູນຫຼັກ ແລະ DR site ທີ່ຕັ້ງຢູ່ຄົນລະບ່ອນ. ຢ່າໃຫ້ທັງສອງບ່ອນໃຊ້ສະຖານີໄຟຟ້າຍ່ອຍ ຫຼື ເສັ້ນທາງໄຟເບີດຽວກັນ ເທົ່າທີ່ເຮັດໄດ້.
- Virtualization ຫຼື HCI, ພ້ອມ storage ທີ່ replicate ໄປ DR site.
- Immutable backup ແລະ ສຳເນົາ offline. ແຣນຊັມແວໃນປັດຈຸບັນ ຈະຊອກຫາ ແລະ ລຶບ backup ກ່ອນເຂົ້າລະຫັດ server.
- UPS ແບບ N+1, ແອຄວາມແມ່ນຍຳສູງ, ເຊັນເຊີອຸນຫະພູມ ແລະ ນ້ຳຮົ່ວ, ແລະ ລະບົບດັບເພີງ.
ທົດສອບ DR ແບບຄົບວົງຈອນ: ສະຫຼັບໄປ DR site ແລ້ວກັບຄືນ, ບັນທຶກເວລາກູ້ຄືນ (RTO) ແລະ ຂໍ້ມູນທີ່ສູນເສຍ (RPO) ທີ່ວັດໄດ້ແທ້. ການທົດສອບທີ່ "ສຳເລັດ" ແຕ່ບໍ່ມີການວັດ ແມ່ນສິ່ງທີ່ຜູ້ກວດສອບບໍ່ຍອມຮັບ.
ຄວາມປອດໄພທາງກາຍະພາບ ແລະ ການສື່ສານ
- IP CCTV ຄວາມລະອຽດສູງ ທີ່ counter, ຫ້ອງນິລະໄພ, ATM ແລະ ທາງເຂົ້າ, ເກັບພາບຕາມໄລຍະທີ່ນະໂຍບາຍກຳນົດ. ຄິດໄລ່ຄວາມຈຸ NVR ຈາກຈຳນວນມື້ທີ່ຕ້ອງເກັບ, ບໍ່ແມ່ນກົງກັນຂ້າມ.
- Access Control ສອງປັດໄຈ (ບັດ + ໃບໜ້າ ຫຼື ລາຍນິ້ວມື) ສຳລັບຫ້ອງນິລະໄພ ແລະ ຫ້ອງເຊີບເວີ, ແລະ Intrusion Alarm ທີ່ເຊື່ອມຕໍ່ສູນຄວບຄຸມ.
- IP-PBX ແລະ Contact Center ສຳລັບສາຍດ່ວນລູກຄ້າ ພ້ອມບັນທຶກສຽງ, Video Conferencing ລະຫວ່າງສຳນັກງານໃຫຍ່ ແລະ ສາຂາແຂວງ.
ລຳດັບທີ່ພວກເຮົາແນະນຳ
ຕົວຕົນກ່ອນ (MFA, ບັນຊີ admin, ການທົບທວນສິດ), ຕໍ່ມາແມ່ນຄວາມຕໍ່ເນື່ອງ (ລິ້ງສອງເສັ້ນທາງ, immutable backup, ທົດສອບ DR), ແລ້ວຈຶ່ງການກວດພົບ ແລະ ແຜນຮັບມືເຫດການ ທີ່ລະບຸຊື່ຜູ້ຮັບຜິດຊອບ ແລະ ຂັ້ນຕອນແຈ້ງເຫດພາຍໃນທີ່ຊັດເຈນ. ສຸດທ້າຍ ແມ່ນລວບລວມເອກະສານນະໂຍບາຍ ແລະ ບັນທຶກການຝຶກອົບຮົມ ໃຫ້ພ້ອມສຳລັບການກວດສອບ.
ພວກເຮົາສະໜອງມາດຕະການເຕັກນິກ ແລະ ເອກະສານທີ່ຮອງຮັບ; ນະໂຍບາຍພາຍໃນຂອງທ່ານ ເປັນຕົວກຳນົດລາຍລະອຽດ ເຊັ່ນ ໄລຍະເກັບພາບ ແລະ ຄວາມຖີ່ຂອງການທົດສອບ.
ຖ້າທ່ານມີການກວດສອບທີ່ກຳລັງຈະມາ, ສົ່ງຂໍ້ສັງເກດຈາກການກວດສອບຄັ້ງກ່ອນ ມາໃຫ້ພວກເຮົາ ແລະ ພວກເຮົາຈະຈັບຄູ່ແຕ່ລະຂໍ້ ກັບມາດຕະການເຕັກນິກທີ່ປິດມັນໄດ້.
ສົ່ງແຜນຜັງອາຄານ ຫຼື ຮູບໜ້າງານສອງສາມຮູບມາໃຫ້ເຮົາ
ເຮົາຈະຖາມລາຍລະອຽດເພີ່ມ ແລ້ວສົ່ງແບບລະບົບເບື້ອງຕົ້ນໃຫ້. ປຶກສາຄັ້ງທຳອິດຟຣີ ເປັນພາສາລາວ, ໄທ ຫຼື ອັງກິດ ທາງ WhatsApp ຫຼື ເພຈ Facebook.