ความปลอดภัยข้อมูล (Information Security) ยังเรียกว่า InfoSec ครอบคลุมอุปกรณ์และกระบวนการที่องค์กรใช้เพื่อรักษาความปลอดภัยข้อมูล ประกอบด้วยการตั้งค่านโยบายที่ป้องกันผู้ที่ไม่ได้รับอนุญาตจากการเข้าถึงข้อมูลธุรกิจหรือข้อมูลส่วนบุคคล
ความปลอดภัยข้อมูลปกป้องข้อมูลละเอียดอ่อนจากกิจกรรมที่ไม่ได้รับอนุญาต เช่น การตรวจสอบ การแก้ไข การบันทึก และการรบกวนหรือการทำลายบางอย่าง
วัตถุประสงค์หลักของความปลอดภัยข้อมูลคือการรับประกันความปลอดภัยและความเป็นส่วนตัวของข้อมูลสำคัญ เช่น รายละเอียดบัญชีผู้ใช้ บันทึกทางการเงิน หรือทรัพย์สินทางปัญญา
ในความปลอดภัยข้อมูล องค์กรสามารถรักษาความปลอดภัยข้อมูลและเทคโนโลยีโดยการตอบสนอง ป้องกัน และรับรู้ภัยคุกคามภายในและภายนอก วิธีการความปลอดภัยข้อมูลเป็นความรับผิดชอบของทั้ง IT และผู้บริหารระดับสูง
สิ่งสำคัญสำหรับการสนับสนุนกลยุทธ์ InfoSec คือพนักงานบางส่วนในองค์กรควรคุ้นเคยกับปัญหาความปลอดภัยข้อมูลเหล่านี้พร้อมการฝึกอบรมและโครงการที่เหมาะสม
ความปลอดภัยข้อมูลเป็นการป้องกันและความปลอดภัยของทรัพยากรคอมพิวเตอร์จากการเข้าถึง การใช้งาน การเปลี่ยนแปลง การเสื่อมสภาพ การทำลาย และภัยคุกคามหลายอย่าง มี 2 ประเภทย่อยหลัก ได้แก่ ทางกายภาพและทางตรรกะ ความปลอดภัยข้อมูลทางกายภาพรวมถึงอุปกรณ์ป้องกันที่เป็นรูปธรรม ความปลอดภัยข้อมูลทางตรรกะรวมถึงการป้องกันที่ไม่ใช่ทางกายภาพ
ความปลอดภัยข้อมูลอธิบายการปกป้องข้อมูลและระบบข้อมูลจากการเข้าถึง การใช้งาน การยอมรับ การรบกวน การเปลี่ยนแปลง หรือการทำลายโดยไม่ได้รับอนุญาต รัฐบาล กองทัพ สถาบันการเงิน โรงพยาบาล และธุรกิจเอกชน สะสมข้อมูลลับจำนวนมากเกี่ยวกับพนักงาน ผู้ใช้ ผลิตภัณฑ์ การวิจัย และสถานะทางการเงิน
ความปลอดภัยข้อมูลทำงานกับหลายชั้นของการปกป้องที่ขอบและภายในเครือข่าย บางชั้นความปลอดภัยดำเนินการวิธีการบางอย่างและปฏิบัติตามนโยบายที่เฉพาะเจาะจง เฉพาะผู้ใช้ที่ได้รับอนุญาตจะได้รับการเข้าถึงทรัพยากรอินเทอร์เน็ต และผู้ใช้ที่ไม่ได้รับอนุญาตจะถูกบล็อกจากการใช้ประโยชน์จากช่องโหว่และกิจกรรมอันตราย
มีหลายชั้นที่ต้องวิเคราะห์ขณะจัดการความปลอดภัยข้อมูลสำหรับองค์กร แม้การโจมตีอาจเกิดขึ้นที่ชั้นใดชั้นหนึ่งในโมเดลความปลอดภัยเครือข่าย อุปกรณ์ระบบส่วนประกอบทั้งหมด ไม่ว่าจะเป็นฮาร์ดแวร์ ซอฟต์แวร์ และนโยบาย ควรประกอบร่วมกันในซิงค์เพื่อจัดการแต่ละส่วน
โมเดลความปลอดภัยเครือข่ายประกอบด้วย 3 การควบคุมที่แตกต่างกัน ได้แก่ ทางกายภาพ ทางเทคนิค และทางบริหาร ดังนี้:
- Physical Network Security (ความปลอดภัยเครือข่ายทางกายภาพ) - เครือข่ายความปลอดภัยทางกายภาพพัฒนาขึ้นเพื่อกำหนดผู้ใช้ที่ไม่ได้รับอนุญาตจากการเข้าถึงอุปกรณ์เครือข่ายทางกายภาพหลายอย่าง ไม่ว่าจะเป็น Routers, Cabling Cabinets ฯลฯ ทุกองค์กรยังต้องการการทดสอบการเข้าถึงที่ควบคุม ไม่ว่าจะเป็น Locks, Biometric Passwords และองค์ประกอบหลายอย่าง
- Technical Network Security (ความปลอดภัยเครือข่ายทางเทคนิค) - การควบคุมความปลอดภัยทางเทคนิค รับประกันข้อมูล สร้างขึ้นบนเครือข่ายหรือถ่ายโอนเข้า หรือออกจากเครือข่าย การปกป้องเป็น Duplex และต้องการปกป้องข้อมูลและอุปกรณ์จากทีมที่ไม่ได้รับอนุญาต และยังต้องการปกป้องจากการออกกำลังกายที่ไม่ได้รับอนุญาตจากบริษัท
- Administrative Network Security (ความปลอดภัยเครือข่ายทางบริหาร) - การควบคุมความปลอดภัยเครือข่ายทางบริหารควบคุมพฤติกรรมผู้ใช้ปลายทาง เช่น การตรวจสอบสิทธิ์ ระดับการเข้าถึง และวิธีที่ทีม IT ขององค์กรใดๆ ดำเนินการแก้ไขโครงสร้างพื้นฐานของมัน การบริหารความปลอดภัยประกอบด้วยนโยบายและกระบวนการความปลอดภัยหลายอย่างสำหรับการทำงานของมัน
