Sensitive Data Exposure ถ้าแปลตรงตัวก็แปลว่าการเปิดเผยข้อมูลที่มีความอ่อนไหว ข้อมูลที่มีความอ่อนไหวในทีนี้หมายถึง ข้อมูลที่อาจจะส่งผลกระทบต่อผู้ใช้งาน หรือเว็บแอปพลิเคชันหากรั่วไหลไปสู่บุคคลไม่พึ่งประสงค์
ตัวอย่างข้อมูลที่มีความอ่อนไหวได้แก่ ข้อมูลบัตรเครดิต ข้อมูล user account ข้อมูลผู้ป่วย ข้อมูลคดี ข้อมูลยอดขาย ข้อมูลลูกค้า เป็นต้น จะเห็นได้ว่าข้อมูลอ่อนไหวเป็นข้อมูลที่สามารถสร้างความเสียหายต่อเจ้าของเมื่อตกไปอยู่ในมือของผู้ไม่หวังดี เว็บแอปพลิเคชันในปัจจุบัน เช่น เว็บไซต์ธนาคาร เว็บขายของออนไลน์ เว็บไซต์ของโรงพยาบาล อาจมีข้อมูลสำคัญเหล่านี้อยู่ หากข้อมูลเหล่านี้ไม่ได้รับการปกป้องด้วยเทคนิคต่าง ๆ อย่างถูกวิธี ก็เรียกได้ว่าเว็บแอปพลิเคชันนั้นมีช่องโหว่ประเภท Sensitive Data Exposure
ป้องกัน sensitive data exposure
ในความเป็นจริงแล้ว sensitive data exposure เป็นผลมาจากช่องโหว่ประเภทอื่น ตัวอย่างเช่น หากเว็บแอปพลิเคชันมีช่องโหว่ประเภท SQL Injection อนุญาตให้ผู้ใช้งานเรียกดูข้อมูลที่เป็นความลับได้ หรือ ช่องโหว่ประเภท XSS ที่อนุญาตให้ผู้ไม่หวังดีขโมย session id ได้ ก็ส่งผลให้เว็บแอปพลิเคชันนั้นเกิดช่องโหว่ประเภท sensitive data exposure ด้วย ทางที่ดีที่สุดในการปกป้องข้อมูลสำคัญก็คือ ความแข็งแกร่งในการทำ authentication authorization การหมั่นตรวจสอบให้มั่นใจว่าเว็บแอปพลิเคชันไม่มีช่องโหว่ด้านความปลอดภ้ยอยู่ อย่างไรก็ตาม ความผิดพลาดเกิดขึ้นได้เสมอ การปกป้องข้อมูลสำคัญหลายชั้น (defense-in-depth) เป็นสิ่งที่ควรกระทำ เพื่อให้ง่ายแก่การนำไปปฏิบัติจะขอสรุปแนวทางการปกป้องข้อมูลเป็นข้อ ๆ ดังนี้
- เข้ารหัสข้อมูลที่เป็นความลับเสมอ ทั้งข้อมูลที่เก็บอยู่ในฐานข้อมูลและข้อมูลที่ถูกส่งผ่านเครื่อข่ายคอมพิวเตอร์ ด้วย strong encrpytion algorithm
- ใช้ HTTPS แทน HTTP ถ้าเป็นไปได้ เนื่องจาก HTTPS จะช่วยปกป้องข้อมูลไม่ให้ถูกดักจับระหว่างการส่งผ่านเครือข่ายอินเทอร์เน็ต
- ไม่เก็บข้อมูลสำคัญบนเครื่องเซิร์ฟเวอร์ (ถ้าเป็นไปได้) ข้อมูลบางอย่าง เช่น credit card ไม่สมควรเก็บไว้ที่เซิร์ฟเวอร์ หากเป็นไปได้ให้ผู้ใช้งานกรอกข้อมูลใหม่ทุกครั้งจะเป็นการช่วยปกป้องข้อมูลความลับของผู้ใช้งานได้ดีกว่า
- ให้สิทธิเท่าที่จำเป็นแก่ผู้ใช้งาน โดยข้อมูลไหนที่เป็นความลับต้องถูกจำกัดให้เข้าถึงได้เฉพาะผู้ที่เกี่ยวข้อง
- แบ่งประเภทของข้อมูลอย่างชัดเจน เช่น ข้อมูล ลับ ลับมาก ลับสุดยอด เป็นต้น เพื่อให้การจัดการข้อมูลเหล่านี้เป็นไปอย่างมีประสิทธิภาพและรัดกุมยิ่งขึ้น
