การพิจารณาระบบเก็บ email log สำหรับองค์กรที่ใช้งาน Google Apps

ระบบเทคโนโลยีสารสนเทศ (Information Technology - IT) ช่วยให้ชีวิตผู้คนสะดวกขึ้นมาก ข้อมูลรูปแบบดิจิตอล ถูกสร้างขึ้นมามากมาย หากเราต้องการตรวจสอบสิ่งที่เกิดขึ้นในระบบ IT เราสามารถตรวจสอบได้จาก log ของระบบ นั่นคือจุดมุ่งหมายหนึ่งของการเก็บ log ซึ่งก็คือ ใช้ในการตรวจสอบเหตุการณ์ที่เกิดขึ้นในระบบ IT

ตัวอย่างหนังสือที่พูดถึงเรื่องการสอบสวนอาชญากรรมคอมพิวเตอร์
ภาพจาก: CRC Press

หากอ้างอิงตามหลัก computer security ข้อมูลใดๆ รวมถึงข้อมูล log ควรจะมีคุณสมบัติดังนี้

1. Confidentiality (การรักษาความลับ): มั่นใจได้ว่าข้อมูลนั้นไม่ถูกเปิดเผยให้กับผู้ที่ไม่ได้รับอนุญาติ
2. Integrity (ความสมบูรณ์ของข้อมูล): ข้อมูลถูกต้อง และไม่มีการเปลี่ยนแปลงแก้ไข
3. Availability (สภาพพร้อมให้บริการ): ข้อมูลต้องพร้อมใช้ เมื่อมีความต้องการใช้งาน

สามเหลี่ยม C-I-A  ใช้ในการประเมินความปลอดภัยของข้อมูล

ระบบอีเมล เป็นอีกระบบหนึ่งที่มีข้อกำหนดให้มีการเก็บ log การจราจรข้อมูล เพื่อให้เจ้าหน้าที่สามารถตรวจสอบเหตุการณ์ที่เกิดขึ้น กรณีมีข้อพิพาทแล้วต้องมีการสืบสวนสอบสวน

Google Apps มีการเก็บ email log ให้ admin สามารถเข้าไปดูได้ย้อนหลัง 30 วัน สามารถดูได้เฉพาะ admin เท่านั้น ใช้ดูได้อย่างเดียว ไม่สามารถแก้ไขหรือลบข้อมูลได้ ดังนั้น จึงถือว่า email log ของ Google Apps มีคุณสมบัติในข้อ Confidentiality และ Integrity แต่หากต้องเก็บข้อมูล email log ไว้นานกว่านั้น ถือว่ายังขาดส่วนของ Availability

Email log search มีให้ใช้งานใน Google Apps อยู่แล้ว แต่มีข้อจำกัดในแง่ของระยะเวลาที่เก็บข้อมูล

Google มีบริการ Google Vault สำหรับเก็บข้อมูลอีเมลเพื่อการตรวจสอบ (เป็นบริการเสริมที่มีค่าใช้จ่ายเพิ่มเติมจากปกติ) โดยจะเก็บข้อมูลอีเมลไว้ในระบบ ตามกำหนดเวลาที่ตั้งไว้ การเข้าถึงข้อมูลใน Google Vault จะเข้าได้เฉพาะ account ที่กำหนดไว้ ข้อมูลไม่สามารถถูกแก้ไขหรือลบออกจาก Google Vault ได้ ในส่วนนี้จึงถือว่า Google Vault มีคุณสมบัติครบทั้ง 3 ประการ

Google Vault เป็นบริการสำหรับทำ archiving และ eDiscovery ภาพจาก: Google Apps for Work

ในบางองค์กร มีการประยุกต์ Google Apps เพื่อใช้เก็บ email log โดยหลักการคือ สร้าง acc กลางขึ้นมา แล้วกำหนดให้อีเมลทั้งหมดที่มีการรับเข้า ส่งออก วิ่งเข้ามาเก็บที่ acc ดังกล่าวด้วย ก็จะเสมือนว่า acc ดังกล่าวทำหน้าที่เป็นตัวเก็บ email log (จากนั้นอาจจะมีกระบวนการอื่นเข้ามาจัดการกับข้อมูลใน acc นั้นอีกที)

แผนภาพอธิบายหลักการเก็บ log แบบประยุกต์ ขนาดของลูกศรแสดงถึงปริมาณข้อมูลที่เกิดขึ้น จากภาพ log account จะต้องรับข้อมูลอีเมลจาก account อื่นๆ ในจำนวนมาก ซึ่งทำให้เกิดความเสี่ยงในแง่ความครบถ้วนของข้อมูล

หากวิเคราะห์วิธีเก็บ email log ดังกล่าว ภายใต้กรอบของ computer security สามารถแจกแจงได้ดังนี้

1. Confidentiality: ข้อมูล email log ที่อยู่ใน acc กลาง ต้องมีการรักษาความปลอดภัยในการเข้าใช้งาน คือมีกระบวนการที่ทำให้เชื่อได้ว่า คนอื่นไม่สามารถเข้าใช้งาน acc กลางนั้นได้ เช่น ผู้ที่ถือ password ของ acc กลาง มีได้อย่างมากเพียงคนเดียว
2. Integrity: ข้อมูลใน acc กลาง ไม่สามารถป้องกันการแก้ไขได้ หากผู้ที่ถือ password ไว้ เข้าไปลบอีเมลบางส่วนออก ข้อมูล log ที่เกิดขึ้นจะไม่สามารถเชื่อถือได้ทันที และการแก้ไขในส่วนนี้ไม่สามารถตรวจสอบได้ว่ามีการลบอีเมลออกไปจริงหรือไม่ เมื่อเวลาใด
3. Availability: ด้วยหลักการที่ว่า เราใช้ acc กลางจำนวนหนึ่ง การเก็บอีเมลที่รับเข้า-ส่งออก จาก acc ที่มี่จำนวนมากกว่า ทำให้เกิดความเสี่ยงที่ acc กลางจะไม่สามารถรับ traffic ที่เกิดขึ้นทั้งหมดได้ทัน ข้อมูลที่เกิดขึ้นในระหว่างที่ acc กลางนั้นไม่สามารถรับได้ จะไม่ปรากฏอยุ๋ใน log ส่งผลให้ log ทั้งหมดไม่สามารถเชื่อถือได้ (เพราะข้อมูลไม่ครบ)

หากคุณใช้ Google Apps อยู่และกำลังพิจารณาระบบเก็บ email log ที่นอกเหนือจาก Google Vault แล้ว สามารถใช้กรอบของ computer security มาใช้ประกอบการพิจารณาได้ หรืออาจจะตั้งคำถามง่ายๆ ก็ได้ว่า

• ระบบ สามารถป้องกันการแก้ไข หรือลบข้อมูลออกจากระบบได้ในทุกกรณีหรือไม่ (ให้นึกถึงกรณีที่เลวร้ายที่สุด)
• ระบบ มีประสิทธิภาพมากพอที่จะทำงานเพื่อรับ และเก็บข้อมูลที่เกิดขึ้นทั้งหมด ได้ในทุกกรณีหรือไม่ (เช่นกันว่า ให้นึกถึงกรณีที่เลวร้ายที่สุด)