ความปลอดภัยข้อมูล (Information Security) เป็นชุดของแนวทางปฏิบัติที่ออกแบบมาเพื่อรักษาข้อมูลส่วนบุคคลให้ปลอดภัยจากการเข้าถึงและการเปลี่ยนแปลงโดยไม่ได้รับอนุญาต ระหว่างการจัดเก็บหรือการส่งผ่านจากที่หนึ่งไปยังอีกที่หนึ่ง มีสามเสาหลักที่จำเป็นต่อการรับประกันความปลอดภัยข้อมูลอย่างมีประสิทธิภาพ ได้แก่ ความลับ (Confidentiality) ความสมบูรณ์ (Integrity) และความพร้อมใช้งาน (Availability)
1. ความลับ (Confidentiality)
เสาแรกคือความลับ ซึ่งเกี่ยวข้องกับการรับประกันว่าข้อมูลในระดับการจัดประเภทเฉพาะจะไม่ถูกเผยแพร่ไปยังบุคคลภายนอกกลุ่มที่กำหนดไว้ ทำให้ชัดเจนว่าเฉพาะบุคคลที่มีสิทธิ์เข้าถึงเท่านั้นที่จะสามารถดูข้อมูลเฉพาะได้ กลุ่มที่ข้อมูลถูกกำหนดให้อาจเป็นองค์กรเฉพาะ แผนกเฉพาะ หรือบุคคลเฉพาะ
ความลับหมายความว่าข้อมูลละเอียดอ่อนควรห้ามไม่ให้เปิดเผยต่อบุคคลที่ไม่ได้รับอนุญาต โดยทั่วไปมี 2 วิธีหรือการผสมผสานของทั้งสองเพื่อให้ได้ความลับ วิธีหนึ่งคือการจำกัดการเข้าถึงข้อมูลที่ควรเก็บเป็นความลับ อีกวิธีหนึ่งคือการเข้ารหัส (Encrypt) ข้อมูลลับ
2. ความสมบูรณ์ (Integrity)
เสาที่สองเรียกว่าความสมบูรณ์ของข้อมูล เกี่ยวข้องกับคุณภาพและความน่าเชื่อถือของข้อมูล ซึ่งทำให้ผู้จัดการมั่นใจได้ว่าข้อมูลที่ตัดสินใจพึ่งพา ไม่ได้ถูกแก้ไขโดยเจตนาร้าย หรือเมื่อข้อมูลถูกย้าย จับคapture และสะสม
วิธีหนึ่งในการให้ความสมบูรณ์คือการเชื่อมตัวบ่งชี้เฉพาะหรือ Message Digest ไว้ท้ายข้อความที่จะส่ง หาก Digest นี้คงอยู่สมบูรณ์ระหว่างการส่ง ก็ถือว่าความสมบูรณ์ได้รับการรักษา ความสมบูรณ์หมายความว่าสินทรัพย์หรือข้อมูลสามารถถูกแก้ไขได้เฉพาะโดยฝ่ายที่ได้รับอนุญาต หรือเฉพาะในวิธีที่ได้รับอนุญาตเท่านั้น
3. ความพร้อมใช้งาน (Availability)
เสาที่สามเรียกว่าความพร้อมใช้งานของข้อมูล เมื่อระบบหรือข้อมูลไม่พร้อมใช้งาน โอกาสอาจสูญหาย กำหนดเวลาอาจพลาด หรือภาระผูกพันอาจถูกละเลย การทำงานอาจอ่อนแอลงหากข้อมูลไม่สามารถเข้าถึงได้เมื่อจำเป็น แม้ข้อมูลจะตรงตามที่ต้องการเพื่อตอบสนองความต้องการทางธุรกิจ แต่หากไม่สามารถเข้าถึงได้เมื่อต้องการเพื่อให้บริการ ก็จะกลายเป็นไร้ประโยชน์
ความลับ ความสมบูรณ์ และความพร้อมใช้งาน เป็นที่ยอมรับทั่วไปว่าเป็นสามเสาสำคัญของความปลอดภัยข้อมูล หากไม่มีมาตรการความปลอดภัยที่เพียงพอเพื่อป้องกันเหตุการณ์ที่ไม่ได้รับอนุญาต สินทรัพย์ที่สำคัญที่สุดขององค์กร โดยเฉพาะข้อมูล จะอยู่ในความเสี่ยง ดังนั้น สินทรัพย์นี้จึงสำคัญที่จะต้องถูกปกป้องและรักษาไว้โดยสามเสานี้ ยังมีโครงสร้างรองรับความปลอดหัวข้อมูลอื่นๆ ที่สามารถใช้ร่วมกับสามเสาหลักเพื่อให้สมดุล เช่น การระบุตัวตนและการยืนยันตัวตน การควบคุมการเข้าถึง และการไม่ปฏิเสธ (Non-repudiation)
