บริษัทแห่งหนึ่งกำหนดให้พนักงานเปลี่ยนรหัสผ่านทุก 30 วัน ผลลัพธ์ที่ไม่พึงประสงค์ด้านความมั่นคงที่มักเกิดขึ้นจากนโยบายนี้คืออะไร

เฉลยอธิบาย

งานวิจัยจาก NIST (SP 800-63B) พบว่าการบังคับเปลี่ยนรหัสผ่านบ่อยเกินไปทำให้พนักงานสร้างรหัสผ่านที่มีรูปแบบคาดเดาได้ง่าย เช่น เพิ่มตัวเลขต่อท้าย หรือเขียนรหัสผ่านในที่ไม่ปลอดภัย NIST จึงแนะนำให้เปลี่ยนรหัสผ่านเฉพาะเมื่อพบว่าถูกเปิดเผย ตัวเลือก A ไม่ใช่ผลกระทบที่มีนัยสำคัญ ตัวเลือก C เป็นปัญหาระบบที่แก้ได้ง่าย ตัวเลือก D เป็นผลพลอยได้จริงแต่ไม่ใช่ความเสี่ยงด้านความมั่นคงหลัก การควบคุมต้องตรวจสอบได้ มีเจ้าของความเสี่ยง และทดสอบประสิทธิผลจริง รวมถึงความเสี่ยงบุคคลที่สาม; ฐานอ้างอิง NIST CSF 2.0 โดยเฉพาะ Govern และ Cybersecurity Supply Chain Risk Management พร้อมแนวทาง สกมช.