ในความปลอดภัยข้อมูล (Information Security) เป็นชุดของแนวทางปฏิบัติที่ตั้งใจจะบอกข้อมูลส่วนตัวให้ปลอดภัยจากการเข้าถึงและการแก้ไขที่ไม่ได้รับอนุญาต (Unauthorized Access and Modification) ตลอดระหว่างการจัดเก็บ (Storing) หรือการกระจาย (Broadcasting) จากที่หนึ่งไปยังอีกที่หนึ่ง
ความปลอดภัยข้อมูลถูกออกแบบและจำเป็นต้องรักษาความปลอดภัยข้อมูลพิมพ์ ดิจิทัล และข้อมูลส่วนตัว ที่ละเอียดอ่อน และเป็นความลับจากบุคคลที่ไม่ได้รับอนุญาต มันสามารถใช้เพื่อรับข้อมูลจากการถูกใช้ประโยชน์ ยืนยัน การทำลาย การแก้ไข และการรบกวน
มีเป้าหมายหลักของความปลอดภัยข้อมูลดังนี้:
1. ความลับ (Confidentiality)
เป้าหมายของความลับคือเฉพาะผู้ส่งและผู้รับที่ตั้งใจ (Intended Recipient) เท่านั้นที่ควรสามารถเข้าถึงเนื้อหาของข้อความได้ ความลับถูกเจรจา (Compromised) หากบุคคลที่ไม่ได้รับอนุญาตสามารถเข้าถึงข้อความได้
ตัวอย่างเช่น อาจเป็นอีเมลความลับที่ส่งโดยผู้ใช้ A ให้ผู้ใช้ B ซึ่งถูกเจาะโดยผู้ใช้ C โดยไม่ได้รับอนุญาตหรือความรู้ของ A และ B ประเภทการโจมตีนี้รู้จักกันในชื่อ การมือ (Interception)
2. ความสมบูรณ์ (Integrity)
เมื่อเนื้อหาของข้อความถูกเปลี่ยนแปลงหลังจากผู้ส่งส่งมัน แต่ก่อนที่จะถึงผู้รับที่ตั้งใจ และสามารถพูดได้ว่าหลักการของข้อความสูญเสียไป
ตัวอย่างเช่น พิจารณาว่าผู้ใช้ A ส่งข้อความให้ผู้ใช้ B และผู้ใช้ C ทำการแก้ไขกับข้อความที่ส่งโดยผู้ใช้ A โดยตั้งใจ ซึ่งตั้งใจสำหรับผู้ใช้ B ผู้ใช้ C ไม่ว่าจะวิธีไหน จัดการเข้าถึงได้ แก้ไขเนื้อหาและส่งข้อความที่เปลี่ยนแปลงแล้วให้ผู้ใช้ B ผู้ใช้ B ไม่มีวิธีรู้ว่าเนื้อหาของข้อความเปลี่ยนแปลงหลังจากผู้ใช้ A ส่งแล้ว ผู้ใช้ A ก็ไม่รู้เกี่ยวกับการเปลี่ยนแปลงนี้ ประเภทการโจมตีนี้รู้จักกันในชื่อ การปรับเปลี่ยน (Modification)
3. ความพร้อมใช้งาน (Availability)
เป้าหมายหลักของความปลอดภัยข้อมูลคือความพร้อมใช้งาน มันคือทรัพยากรต้องพร้อมใช้งานสำหรับฝ่ายที่ได้รับอนุญาตตลอดเวลา
ตัวอย่างเช่น เนื่องจากการกระทำโดยเจตนาของผู้ใช้ที่ไม่ได้รับอนุญาต C ผู้ใช้ที่ได้รับอนุญาต A ไม่สามารถติดต่อเซิร์ฟเวอร์ B ได้ สิ่งนี้สามารถล้มหลักการของความพร้อมใช้งานได้ การโจมตีแบบนี้รู้จักกันในชื่อ การรบกวน (Interruption)
4. การไม่ปฏิเสธข้อความ (Message Nonrepudiation)
การไม่ปฏิเสธข้อความแสดงว่าผู้ส่งไม่ควรสามารถปฏิเสธการส่งข้อความที่พวกเขาส่งได้ ภาระของการแอ็ตช์ข้อมูล (Data Avalanche) อยู่บนผู้รับ
5. การยืนยันตัวตนเอนทิตี (Entity Authentication)
ในการยืนยันตัวตนเอนทิตี เอนทิตีหรือผู้ใช้จะได้รับการยืนยันตัวตนก่อนการเข้าถึงทรัพยากรระบบ
ตัวอย่างเช่น ผู้ใช้ที่ต้องการเข้าถึงทรัพยากรของมหาวิทยาลัย จำเป็นต้องได้รับการยืนยันตัวตนระหว่างขั้นตอนการล็อกอิน (Logging Procedure) สิ่งนี้สามารถตอบสนองความสนใจของมหาวิทยาลัยและผู้ใช้
6. การควบคุมการเข้าถึง (Access Control)
เป้าหมายของการควบคุมการเข้าถึงกำหนดว่าใครควรสามารถเข้าถึงอะไรได้
ตัวอย่างเช่น ควรสามารถอธิบายได้ว่าผู้ใช้ A สามารถดูข้อมูลในฐานข้อมูลได้ แต่ไม่สามารถรีเฟรช (Refresh) พวกเขาได้ ผู้ใช้ A สามารถได้รับอนุญาตให้ทำการอัปเดตได้เช่นกัน ระบบควบคุมการเข้าถึง (Access Control System) สามารถตั้งค่าได้เพื่อสนับสนุนสิ่งนี้
