การรับมือกับการเปลี่ยนผ่าน PCI DSS: ทำไมความเร่งรีบจึงหลีกเลี่ยงไม่ได้ และจะป้องกันความล้มเหลวได้อย่างไร

มาตรฐานความปลอดภัยข้อมูลอุตสาหกรรมบัตรชำระเงิน (PCI DSS) เป็นเสาหลักพื้นฐานสำหรับองค์กรใดๆ ที่ประมวลผล จัดเก็บ หรือส่งข้อมูลผู้ถือบัตร การทำซ้ำล่าสุด ซึ่งเป็นการอัปเดตที่สำคัญของมาตรฐานนี้ ได้เปลี่ยนจากแนวทางปฏิบัติที่ดีที่สุดในอนาคตไปสู่ข้อกำหนดที่บังคับใช้อย่างเป็นทางการแล้ว การเปลี่ยนแปลงนี้ ซึ่งมีผลบังคับใช้อย่างเต็มรูปแบบเมื่อเร็วๆ นี้ ได้เผยให้เห็นช่องว่างที่สำคัญในการเตรียมความพร้อมขององค์กร ก่อให้เกิดความเร่งรีบอย่างกว้างขวางเพื่อให้เป็นไปตามข้อกำหนดและหลีกเลี่ยงผลกระทบร้ายแรง

เกิดอะไรขึ้น: วิกฤตที่หลีกเลี่ยงไม่ได้

การเปลี่ยนผ่านสู่เวอร์ชัน PCI DSS ปัจจุบันไม่ได้เกิดขึ้นอย่างกะทันหัน Payment Card Industry Security Standards Council (PCI SSC) ได้จัดเตรียมแนวทางแบบแบ่งระยะ โดยมีข้อกำหนดหลายข้อที่ถูกระบุว่าเป็น 'แนวทางปฏิบัติที่ดีที่สุด' ในตอนแรก ก่อนที่จะมีการบังคับใช้ องค์กรต่างๆ คาดว่าจะต้องจัดลำดับความสำคัญของรายการใหม่เหล่านี้ โดยจัดการกับข้อกังวลเร่งด่วน (กอง 'ตอนนี้') และวางแผนสำหรับข้อบังคับในอนาคต (กอง 'ภายหลัง') อย่างไรก็ตาม เมื่อถึงกำหนดเส้นตายการบังคับใช้ กอง 'ภายหลัง' ได้กลายเป็นกอง 'ตอนนี้' นำไปสู่วิกฤตการปฏิบัติตามข้อกำหนดสำหรับหลายองค์กร

ปัญหาหลักคือการประเมินก่อนหน้านี้ ซึ่งมักจะอิงตามเวอร์ชันก่อนหน้า ได้ล้าสมัยไปแล้ว การประเมินปัจจุบันครอบคลุมข้อกำหนดที่อัปเดตครบถ้วน โดยไม่มีการผ่อนปรนในช่วงเปลี่ยนผ่าน ซึ่งหมายความว่าองค์กรใดๆ ที่กำลังอยู่ระหว่างการประเมินในขณะนี้ จะต้องเผชิญกับน้ำหนักทั้งหมดของเวอร์ชัน PCI DSS ปัจจุบัน รวมถึงข้อกำหนดจำนวนมากที่เคยถูกกำหนดไว้ในอนาคต ซึ่งรวมถึงข้อบังคับใหม่ที่เข้มงวด เช่น การควบคุมตามความเสี่ยง และการยืนยันตัวตนที่ได้รับการปรับปรุงในจุดเข้าถึงสภาพแวดล้อมข้อมูลผู้ถือบัตรหลายแห่ง

การเปลี่ยนผ่านสู่ PCI DSS ล่าสุดไม่ใช่แค่การอัปเดต แต่เป็นการนิยามใหม่ของเกณฑ์มาตรฐานสำหรับความปลอดภัยของบัตรชำระเงิน ซึ่งต้องการความพากเพียรอย่างต่อเนื่องมากกว่าภาพรวม ณ จุดเวลาใดจุดเวลาหนึ่ง

ทำไมรูปแบบนี้จึงเกิดขึ้นซ้ำๆ: การประเมินต่ำเกินไปและการชี้นำที่ผิดพลาด

วัฏจักรของการเร่งรีบในการปฏิบัติตามข้อกำหนดที่เกิดขึ้นซ้ำๆ แม้จะมีการเตือนล่วงหน้าอย่างเพียงพอ เกิดจากปัญหาเชิงระบบหลายประการ องค์กรมักจะประเมินความซับซ้อนและความลึกของการเปลี่ยนแปลง PCI DSS ต่ำเกินไป โดยมักมองว่าเป็นงานธุรการมากกว่าการเปลี่ยนแปลงพื้นฐานในสถานะความปลอดภัย แนวทาง 'ทำเอง' (DIY) ในการปฏิบัติตามข้อกำหนด โดยเฉพาะอย่างยิ่งสำหรับแบบสอบถามการประเมินตนเอง (SAQs) เป็นข้อผิดพลาดที่พบบ่อย แม้จะดูเหมือนคุ้มค่า แต่แนวทางนี้มักนำไปสู่ข้อผิดพลาดร้ายแรง เช่น การกำหนดขอบเขตสภาพแวดล้อมข้อมูลผู้ถือบัตร (CDE) ต่ำเกินไปหรือมากเกินไป การกำหนดขอบเขตต่ำเกินไปทำให้ระบบเสี่ยงต่อการถูกโจมตี ในขณะที่การกำหนดขอบเขตมากเกินไปเป็นการเพิ่มภาระการปฏิบัติตามข้อกำหนดโดยไม่จำเป็น

ปัจจัยอีกประการหนึ่งคือการพึ่งพาการประเมินแบบคงที่ ณ จุดเวลาใดจุดเวลาหนึ่ง PCI Security Standards Council ได้อัปเดตมาตรฐานโดยเฉพาะเพื่อรับมือกับภัยคุกคามที่เปลี่ยนแปลงไป โดยตระหนักว่าการประเมินประจำปีไม่เพียงพออีกต่อไป การละเมิดข้อมูลมักเกี่ยวข้องกับบุคคลที่สาม ซึ่งเน้นย้ำถึงความจำเป็นในการตรวจสอบอย่างต่อเนื่อง หากไม่มีการตรวจสอบความถูกต้องอย่างต่อเนื่อง องค์กรต่างๆ จะประสบปัญหาในการจับภาพประสิทธิภาพการดำเนินงานของการควบคุม โดยเฉพาะอย่างยิ่งในสภาพแวดล้อมที่ไม่หยุดนิ่ง

นอกจากนี้ ทีมงานหลายทีมในตอนแรกมุ่งเน้นไปที่การเปลี่ยนแปลงที่เร่งด่วนที่สุดในมาตรฐานที่อัปเดต โดยเลื่อนข้อกำหนดที่ซับซ้อนกว่าและกำหนดไว้ในอนาคตออกไป การเลื่อนนี้สร้างความรู้สึกปลอดภัยที่ผิดพลาด นำไปสู่ความเร่งรีบในการตอบสนองเมื่อข้อกำหนดเหล่านั้นกลายเป็นข้อบังคับ ปริมาณข้อบังคับใหม่ที่มากมาย รวมถึงการนำไปใช้ที่ปรับแต่งเองและการเข้ารหัสที่ครอบคลุมมากขึ้น ต้องการแนวทางเชิงกลยุทธ์ระยะยาวที่หลายองค์กรล้มเหลวในการนำมาใช้ตั้งแต่เนิ่นๆ

กลยุทธ์ของผู้โจมตีทีละขั้นตอน: การใช้ประโยชน์จากช่องว่างในการปฏิบัติตามข้อกำหนด

ผู้โจมตีตระหนักดีถึงแรงกดดันด้านการปฏิบัติตามข้อกำหนดที่องค์กรต้องเผชิญ โดยมักใช้ประโยชน์จากช่องว่างที่เกิดจากการนำ PCI DSS ที่อัปเดตไปใช้ล่าช้า กลยุทธ์ของพวกเขาได้รับการปรับปรุงและฉวยโอกาส:

1. การสอดแนมและการระบุเป้าหมาย: ผู้โจมตีระบุองค์กรที่จัดการข้อมูลผู้ถือบัตรในปริมาณมาก พวกเขาอาจมุ่งเป้าไปที่องค์กรที่ทราบกันดีว่ามีการนำมาตรการรักษาความปลอดภัยไปใช้ช้า หรือองค์กรที่มี CDE ที่ซับซ้อนและกระจายตัว ซึ่งยากต่อการรักษาความปลอดภัยอย่างครอบคลุม

2. การใช้ประโยชน์จาก CDE ที่กำหนดขอบเขตต่ำเกินไป: องค์กรจำนวนมากกำหนดขอบเขตสภาพแวดล้อมข้อมูลผู้ถือบัตร (CDE) ต่ำเกินไป โดยพลาดระบบที่เชื่อมต่อซึ่งโต้ตอบกับข้อมูลผู้ถือบัตร ผู้โจมตีใช้ประโยชน์จากระบบที่ถูกมองข้ามเหล่านี้เป็นจุดเข้าถึง โดยข้ามการควบคุมที่ใช้กับขอบเขต CDE ที่กำหนดไว้อย่างเป็นทางการเท่านั้น ซึ่งมักเกี่ยวข้องกับการเคลื่อนที่จากเครือข่ายภายในที่ปลอดภัยน้อยกว่าไปยังระบบการชำระเงินที่สำคัญ

3. การข้ามการยืนยันตัวตนที่ไม่เพียงพอ: มาตรฐาน PCI DSS ปัจจุบันเน้นการยืนยันตัวตนที่ได้รับการปรับปรุงสำหรับการเข้าถึง CDE องค์กรที่ยังไม่ได้นำมาตรการยืนยันตัวตนดังกล่าวไปใช้อย่างเต็มที่หรือกำหนดค่าอย่างถูกต้องในทุกจุดเข้าถึง รวมถึงการเข้าถึงของบุคคลที่สาม ถือเป็นช่องโหว่ที่สำคัญ ผู้โจมตีใช้ประโยชน์จากวิธีการยืนยันตัวตนแบบปัจจัยเดียวแบบดั้งเดิมหรือการนำไปใช้ที่อ่อนแอเพื่อเข้าถึงโดยไม่ได้รับอนุญาต

4. การใช้ประโยชน์จากการควบคุมที่ไม่ผ่านการตรวจสอบ: มาตรฐานปัจจุบันเน้นการวิเคราะห์ความเสี่ยงแบบกำหนดเป้าหมายสำหรับความถี่ของการควบคุมและการนำมาตรการรักษาความปลอดภัยที่ปรับแต่งเอง หากการวิเคราะห์เหล่านี้ไม่แข็งแกร่งหรือการควบคุมไม่ได้รับการตรวจสอบประสิทธิภาพการดำเนินงานอย่างต่อเนื่อง ผู้โจมตีสามารถใช้ประโยชน์จากช่วงเวลาที่การควบคุมล้มเหลวหรือการกำหนดค่าผิดพลาด การประเมินประจำปีแบบคงที่ให้โอกาสแก่ผู้โจมตีในช่วงเวลาระหว่างรอบการตรวจสอบ

5. การกำหนดเป้าหมายจุดอ่อนของบุคคลที่สาม: ด้วยการละเมิดข้อมูลส่วนใหญ่ที่เกี่ยวข้องกับบุคคลที่สาม ผู้โจมตีมุ่งเป้าไปที่ซัพพลายเออร์ ผู้ขาย และผู้ให้บริการที่มีสิทธิ์เข้าถึง CDE ขององค์กร หากบุคคลที่สามเหล่านี้ยังไม่ได้เปลี่ยนผ่านไปสู่ข้อกำหนด PCI DSS ที่อัปเดตอย่างเพียงพอ พวกเขาก็จะกลายเป็นจุดอ่อนที่สุด ซึ่งเป็นช่องทางลับเข้าสู่ระบบการชำระเงินขององค์กรหลัก

สิ่งที่ผู้ป้องกันพลาด: การมองข้ามเชิงกลยุทธ์

ผู้ป้องกัน ในหลายกรณี พลาดการเปลี่ยนแปลงเชิงกลยุทธ์ที่ฝังอยู่ในมาตรฐาน PCI DSS ปัจจุบัน มาตรฐานนี้ก้าวข้ามแนวคิดการตรวจสอบรายการ โดยเน้นแนวทางที่อิงตามความเสี่ยงและการตรวจสอบความถูกต้องอย่างต่อเนื่อง ข้อผิดพลาดที่สำคัญ ได้แก่:

• ความล้มเหลวในการดำเนินการวิเคราะห์ความเสี่ยงแบบกำหนดเป้าหมายอย่างครอบคลุม: มาตรฐานใหม่กำหนดให้มีการวิเคราะห์ความเสี่ยงแบบกำหนดเป้าหมายที่จัดทำเป็นเอกสารเพื่อกำหนดความถี่ของการควบคุม องค์กรจำนวนมากข้ามขั้นตอนนี้หรือดำเนินการอย่างผิวเผิน ซึ่งนำไปสู่การควบคุมที่ไม่เหมาะสมกับภูมิทัศน์ภัยคุกคามเฉพาะของตน
• การนำการยืนยันตัวตนที่ได้รับการปรับปรุงไปใช้ไม่สมบูรณ์: แม้จะมีข้อกำหนดที่ชัดเจน แต่การยืนยันตัวตนที่ได้รับการปรับปรุงไม่ได้ถูกนำไปใช้หรือบังคับใช้อย่างเหมาะสมในทุกจุดเข้าถึง CDE ทำให้มีพื้นที่เสี่ยงต่อการโจมตีจำนวนมาก
• การประเมินแนวทาง 'ที่ปรับแต่งเอง' ต่ำเกินไป: PCI DSS ปัจจุบันอนุญาตให้มีการนำมาตรการรักษาความปลอดภัยที่ปรับแต่งเองไปใช้ แม้ว่าจะให้ความยืดหยุ่น แต่ก็ต้องการความเข้าใจที่ลึกซึ้งยิ่งขึ้นเกี่ยวกับวัตถุประสงค์ด้านความปลอดภัยและการตรวจสอบความถูกต้องที่แข็งแกร่ง ซึ่งหลายองค์กรประสบปัญหาในการบรรลุผลโดยปราศจากคำแนะนำจากผู้เชี่ยวชาญ
• การละเลยการตรวจสอบอย่างต่อเนื่อง: การเปลี่ยนจากการตรวจสอบ ณ จุดเวลาใดจุดเวลาหนึ่งไปสู่การตรวจสอบอย่างต่อเนื่องเป็นประเด็นหลัก องค์กรที่ยังคงพึ่งพาการตรวจสอบประจำปีเพียงอย่างเดียวพลาดประสิทธิภาพการดำเนินงานของการควบคุม โดยเฉพาะอย่างยิ่งในสภาพแวดล้อมที่ไม่หยุดนิ่ง
• การจัดการความเสี่ยงของบุคคลที่สามที่ไม่เพียงพอ: การเชื่อมโยงกันของระบบนิเวศการชำระเงินสมัยใหม่หมายความว่าความปลอดภัยของบุคคลที่สามมีความสำคัญสูงสุด องค์กรจำนวนมากล้มเหลวในการตรวจสอบให้แน่ใจว่าผู้ขายบุคคลที่สามของตนพร้อมสำหรับการเปลี่ยนผ่าน PCI DSS ที่อัปเดตเช่นกัน ทำให้รับช่วงต่อช่องโหว่ของพวกเขา

รายการตรวจสอบการป้องกันเชิงปฏิบัติ

เพื่อให้สามารถรับมือกับความซับซ้อนของมาตรฐาน PCI DSS ปัจจุบันและเสริมสร้างการป้องกัน CISO และวิศวกรความปลอดภัยควรดำเนินการดังต่อไปนี้:

• ตรวจสอบขอบเขต CDE: ดำเนินการตรวจสอบอย่างละเอียดเพื่อให้แน่ใจว่าระบบ เครือข่าย และแอปพลิเคชันทั้งหมดที่จัดเก็บ ประมวลผล หรือส่งข้อมูลผู้ถือบัตร หรืออาจส่งผลกระทบต่อความปลอดภัย ได้รับการระบุและรวมอยู่ใน CDE อย่างถูกต้อง หลีกเลี่ยงทั้งการกำหนดขอบเขตต่ำเกินไปและมากเกินไป
• บังคับใช้การยืนยันตัวตนที่ได้รับการปรับปรุงอย่างทั่วถึง: นำไปใช้และตรวจสอบการยืนยันตัวตนที่ได้รับการปรับปรุงสำหรับการเข้าถึง CDE ทั้งหมด รวมถึงการเข้าถึงของผู้ดูแลระบบ การเข้าถึงของผู้ใช้ และการเข้าถึงของบุคคลที่สาม โดยแทนที่วิธีการยืนยันตัวตนแบบปัจจัยเดียวแบบดั้งเดิม
• ดำเนินการวิเคราะห์ความเสี่ยงแบบกำหนดเป้าหมาย: จัดทำเอกสารและอัปเดตการวิเคราะห์ความเสี่ยงแบบกำหนดเป้าหมายอย่างสม่ำเสมอเพื่อกำหนดความถี่และความเข้มงวดของการควบคุมความปลอดภัยที่เหมาะสม โดยปรับให้สอดคล้องกับความเสี่ยงเฉพาะขององค์กรและข้อมูลภัยคุกคาม
• นำการตรวจสอบอย่างต่อเนื่องไปใช้: ก้าวข้ามการประเมินประจำปีโดยการรวมเครื่องมือและกระบวนการตรวจสอบอย่างต่อเนื่องเพื่อตรวจสอบประสิทธิภาพการดำเนินงานอย่างต่อเนื่องของการควบคุมความปลอดภัยแบบเรียลไทม์
• เสริมสร้างการจัดการความเสี่ยงของบุคคลที่สาม: กำหนดและตรวจสอบการปฏิบัติตามข้อกำหนด PCI DSS ที่อัปเดตจากผู้ขายบุคคลที่สามและผู้ให้บริการทั้งหมดที่มีสิทธิ์เข้าถึง CDE กำหนดภาระผูกพันตามสัญญาที่ชัดเจนและสิทธิ์ในการตรวจสอบอย่างสม่ำเสมอ
• พัฒนาระบบตอบสนองต่อเหตุการณ์สำหรับ CDE: ทบทวนและอัปเดตแผนตอบสนองต่อเหตุการณ์โดยเฉพาะสำหรับการละเมิดข้อมูลที่เกี่ยวข้องกับข้อมูลผู้ถือบัตร เพื่อให้แน่ใจว่าสอดคล้องกับข้อกำหนด PCI DSS ปัจจุบันสำหรับการตรวจจับ การควบคุม และการรายงานอย่างรวดเร็ว
• ทบทวนการควบคุมที่ปรับแต่งเองอย่างสม่ำเสมอ: หากใช้แนวทางที่ปรับแต่งเอง ให้แน่ใจว่าวัตถุประสงค์ด้านความปลอดภัยได้รับการกำหนดไว้อย่างชัดเจน การควบคุมได้รับการนำไปใช้อย่างเข้มงวด และประสิทธิภาพได้รับการตรวจสอบอย่างต่อเนื่องเทียบกับวัตถุประสงค์เหล่านั้น

การทดสอบเชิงรุกสมัยใหม่จะตรวจพบสิ่งนี้ได้อย่างไร: การตรวจสอบอัตโนมัติ

แนวทางดั้งเดิมในการตรวจสอบการปฏิบัติตามข้อกำหนดมักอาศัยการตรวจสอบเอกสารและการทดสอบด้วยตนเอง ซึ่งอาจใช้เวลานานและเสี่ยงต่อการพลาดข้อผิดพลาดในการกำหนดค่าที่ละเอียดอ่อนหรือข้อผิดพลาดเชิงตรรกะ การทดสอบเชิงรุกสมัยใหม่ โดยเฉพาะการทดสอบเชิงรุกอัตโนมัติ นำเสนอโซลูชันเชิงรุกที่สามารถระบุช่องว่างการปฏิบัติตามข้อกำหนด PCI DSS เหล่านี้ได้เร็วกว่ามาก

แพลตฟอร์มความปลอดภัยขั้นสูงที่ใช้การทดสอบเชิงรุกอัตโนมัติพร้อม PoC ที่สามารถดำเนินการได้ ให้แนวทางอัตโนมัติอย่างต่อเนื่องในการตรวจสอบการควบคุมความปลอดภัย ด้วยการจำลองกลยุทธ์ เทคนิค และขั้นตอน (TTPs) ของผู้โจมตีโดยอัตโนมัติ และสร้าง Proof-of-Concepts (PoCs) ที่สามารถดำเนินการได้ แพลตฟอร์มดังกล่าวสามารถ:

• ตรวจสอบประสิทธิภาพการยืนยันตัวตน: ทดสอบความแข็งแกร่งของการนำการยืนยันตัวตนที่ได้รับการปรับปรุงไปใช้ใน CDE โดยอัตโนมัติ โดยระบุกรณีที่กลไกการยืนยันตัวตนถูกข้าม กำหนดค่าผิดพลาด หรือไม่ได้บังคับใช้อย่างทั่วถึง
• ค้นพบช่องว่างขอบเขต CDE: จัดทำแผนผังพื้นที่การโจมตีอย่างเป็นระบบและระบุระบบที่เชื่อมต่อกับ CDE ที่อาจถูกมองข้ามระหว่างการกำหนดขอบเขตด้วยตนเอง โดยจำลองความพยายามในการเคลื่อนที่ด้านข้าง
• ทดสอบการควบคุมที่ปรับแต่งเอง: แทนที่จะอาศัยเอกสารเพียงอย่างเดียว แพลตฟอร์มเหล่านี้สามารถดำเนินการ PoC กับการควบคุมที่ปรับแต่งเองเพื่อตรวจสอบประสิทธิภาพที่แท้จริงในการป้องกันหรือตรวจจับการโจมตีที่จำลองขึ้น เพื่อให้แน่ใจว่าเป็นไปตามวัตถุประสงค์ด้านความปลอดภัยที่กำหนดไว้
• ระบุจุดอ่อนในการรวมระบบของบุคคลที่สาม: ด้วยการขยายการทดสอบไปยังระบบบุคคลที่สามที่รวมเข้าด้วยกัน พวกเขาสามารถค้นพบช่องโหว่ที่เกิดจากการเชื่อมต่อของผู้ขาย ตรวจสอบสถานะความปลอดภัยของ CDE ที่ขยายออกไป
• ให้การรับประกันอย่างต่อเนื่อง: แตกต่างจากการทดสอบเจาะระบบเป็นระยะ การทดสอบเชิงรุกอัตโนมัติทำงานอย่างต่อเนื่อง ให้ข้อเสนอแนะแบบเรียลไทม์เกี่ยวกับประสิทธิภาพของการควบคุม และเน้นย้ำถึงการเบี่ยงเบนจากข้อกำหนดการปฏิบัติตามข้อกำหนดทันทีเมื่อมีการเปลี่ยนแปลงเกิดขึ้น

การตรวจสอบเชิงรุกนี้ช่วยให้องค์กรสามารถแก้ไขปัญหาได้ก่อนที่ผู้ประเมินจะระบุ หรือที่สำคัญกว่านั้นคือ ก่อนที่ผู้โจมตีจะใช้ประโยชน์จากปัญหาเหล่านั้น มันเปลี่ยนการปฏิบัติตามข้อกำหนดจากการเร่งรีบในการตอบสนองไปสู่สถานะความปลอดภัยที่ได้รับการตรวจสอบอย่างต่อเนื่อง

สิ่งที่ต้องจับตาต่อไป: เส้นทางข้างหน้า

การบังคับใช้มาตรฐาน PCI DSS ที่อัปเดตอย่างเต็มรูปแบบถือเป็นช่วงเวลาสำคัญ แต่ไม่ใช่จุดสิ้นสุดของการเดินทาง องค์กรต่างๆ จะต้องรวมข้อกำหนดใหม่เหล่านี้เข้ากับการดำเนินงานประจำวันและวัฒนธรรมความปลอดภัยของตน การเน้นการตรวจสอบอย่างต่อเนื่องและแนวทางตามความเสี่ยงจะยิ่งเข้มข้นขึ้น คาดว่าจะมีการตรวจสอบประสิทธิภาพการดำเนินงานของการควบคุมที่เกี่ยวข้องกับการปกป้องข้อมูล การจัดการการเข้าถึง และการจัดการช่องโหว่มากขึ้น อุตสาหกรรมจะยังคงผลักดันการใช้ประโยชน์จากระบบอัตโนมัติและวิธีการทดสอบความปลอดภัยขั้นสูงเพื่อรักษาการปฏิบัติตามข้อกำหนดและความยืดหยุ่นต่อภัยคุกคามที่เปลี่ยนแปลงไป อนาคตของการปฏิบัติตามข้อกำหนด PCI DSS ไม่ได้เกี่ยวกับจุดตรวจสอบประจำปี แต่เกี่ยวกับสถานะความปลอดภัยที่เปิดใช้งานตลอดเวลา ทำให้การตรวจสอบเชิงรุกและต่อเนื่องเป็นสิ่งที่ขาดไม่ได้