การควบคุมความปลอดภัย (Security Controls) คืออะไร?
การควบคุมความปลอดภัยคือมาตรการหรือกลไกที่นำไปใช้เพื่อลดความเสี่ยงต่อทรัพยากรสารสนเทศขององค์กร สามารถเป็นในรูปแบบของนโยบาย ขั้นตอนกระบวนการ เทคนิค วิธีการ โซลูชัน แผนการ การกระทำ หรืออุปกรณ์ ตัวอย่างเช่น ไฟร์วอลล์ ระบบกล้องวงจรปิด แอนตี้ไวรัส เป็นต้น
3 ประเภทหลักของการควบคุมความปลอดภัยไอที
- Technical Controls (การควบคุมทางเทคนิค): ใช้เทคโนโลยีในการบังคับใช้ เช่น ไฟร์วอลล์ การเข้ารหัส ระบบตรวจจับการบุกรุก (IDS/IPS) การยืนยันตัวตนหลายปัจจัย (MFA)
- Administrative Controls (การควบคุมทางการบริหาร): นโยบาย ข้อบังคับ ขั้นตอนปฏิบัติ การฝึกอบรมความตระหนักความปลอดภัย การจัดการสิทธิ์การเข้าถึง
- Physical Controls (การควบคุมทางกายภาพ): การควบคุมการเข้าถึงพื้นที่จริง เช่น บัตรผ่านประตู กล้องวงจรปิด อารมณ์นิรภัย ล็อกประตู เซิร์ฟเวอร์รูม
การจัดประเภทตามวัตถุประสงค์ (Functional Types)
- Preventive (ป้องกัน): ป้องกันเหตุการณ์ก่อนเกิด เช่น ไฟร์วอลล์ การเข้ารหัส การควบคุมการเข้าถึง
- Detective (ตรวจจับ): ตรวจจับเหตุการณ์เมื่อเกิดขึ้น เช่น ระบบ SIEM การตรวจสอบล็อก (Log Review) IDS
- Corrective (แก้ไข): แก้ไขหลังเกิดเหตุการณ์ เช่น การกู้คืนข้อมูล (Backup/Restore) แพทช์ช่องโหว่
- Deterrent (กักกัน): ขยับไม่ให้เกิดเหตุการณ์ เช่น ป้ายเตือน กฎระเบียบการลงโทษ
- Compensatory (ชดเชย): มาตรการชดเชยเมื่อการควบคุมหลักไม่ทำงาน เช่น การตรวจสอบด้วยมือเมื่อระบบอัตโนมัติล้ม
การควบคุมการเข้าถึงเครือข่าย (Network Access Control - NAC)
NAC เป็นโซลูชันที่ควบคุมไม่ให้ผู้ใช้และอุปกรณ์ที่ไม่ได้รับอนุญาต เข้าถึงเครือข่ายส่วนตัว ทำงานผ่าน Policy Server ที่ตรวจสอบการปฏิบัติตามนโยบาย (Compliance) ก่อนอนุญาตให้เข้าถึง เช่น ตรวจสอบว่าแอนตี้ไวรัสอัปเดตล่าสุดหรือไม่ ระบบปฏิบัติการแพทช์ล่าสุดหรือไม่
4 แบบจำลองการควบคุมการเข้าถึง (Access Control Models)
- Mandatory Access Control (MAC): ระบบกำหนดสิทธิ์ตามระดับความลับ (Top Secret, Secret, Confidential) ใช้ในระบบทหาร/รัฐบาล
- Discretionary Access Control (DAC): เจ้าของทรัพยากรกำหนดสิทธิ์เอง (เช่น ACL ใน Windows)
- Role-Based Access Control (RBAC): กำหนดสิทธิ์ตามบทบาท/หน้าที่ (เช่น HR เข้าถึงข้อมูลพนักงาน IT เข้าถึงเซิร์ฟเวอร์)
- Rule-Based Access Control: กำหนดสิทธิ์ตามกฎที่กำหนดไว้ล่วงหน้า (เช่น เข้าถึงได้เฉพาะเวลาทำการ)
5 การควบคุมทางกายภาพสำคัญสำหรับความปลอดภัยข้อมูล
- กล้องวงจรปิด (CCTV)
- ระบบแจ้งเตือนจากการเคลื่อนไหว/อุณหภูมิ
- เจ้าหน้าที่รักษาความปลอดภัย
- บัตรประจำตัวประกอบรูปภาพ
- ประตูเหล็กปลอดภัย พร้อมล็อกและเดดบอลท์
- ระบบยืนยันตัวตนทางชีววิทยา (Biometrics) - ลายนิ้วมือ ภาพตา เสียง ใบหน้า
หลักการ 5 สtegoของ Information Assurance (IA)
- Integrity (ความสมบูรณ์): ข้อมูลถูกต้อง ไม่ถูกเปลี่ยนแปลงโดยไม่ได้รับอนุญาต
- Availability (ความพร้อมใช้งาน): ระบบและข้อมูลพร้อมใช้งานเมื่อต้องการ
- Authentication (การยืนยันตัวตน): ยืนยันตัวตนผู้ใช้และอุปกรณ์
- Confidentiality (ความลับ): ข้อมูลเข้าถึงได้เฉพาะผู้ได้รับอนุญาต
- Non-repudiation ( عدمการปฏิเสธ): ไม่สามารถปฏิเสธการกระทำที่ทำไปแล้วได้
ตัวอย่างการควบคุมความปลอดภัยเครือข่ายทั่วไป
- Network Access Control (NAC)
- นโยบายความปลอดภัยไอที (IT Security Policies)
- Application Security
- Vulnerability Patch Management
- Network Penetration Testing
- Data Loss Prevention (DLP)
- Antivirus/Endpoint Detection and Response (EDR)
- Email Security
- Wireless Security
- IDS/IPS
- Network Segmentation
สรุป
การควบคุมความปลอดภัยเครือข่ายที่มีประสิทธิภาพต้องใช้แนวทางหลายชั้น (Defense in Depth) รวมการควบคุมทางเทคนิค การบริหาร และกายภาพ พร้อมทั้งครอบคลุมการป้องกัน การตรวจจับ การแก้ไข และการกักกัน เพื่อปกป้องความลับ ความสมบูรณ์ และความพร้อมใช้งานของข้อมูลองค์กร
