สามเป้าหมายหลักของความปลอดภัยเครือข่าย (CIA Triad)
ตามโมเดล CIA Triad องค์กรต้องปกป้องระบบ เครือข่าย และข้อมูล เพื่อให้บรรลุ 3 เป้าหมายหลัก:
| เป้าหมาย | อังกฤษ | คำอธิบาย | มาตรการตัวอย่าง |
|---|---|---|---|
| 1. ความลับ | Confidentiality | ข้อมูลเฉพาะผู้ได้รับอนุญาตเท่านั้นที่เข้าถึงได้ ป้องกันการเปิดเผยข้อมูลต่อบุคคล/หน่วยงานที่ไม่ได้รับอนุญาต | Encryption (AES, TLS), Access Control (RBAC, ABAC), DLP, Data Classification, Need-to-know basis |
| 2. ความสมบูรณ์ | Integrity | ข้อมูลถูกต้อง ครบถ้วน ไม่ถูกแก้ไข ลบ หรือทำลายโดยไม่ได้รับอนุญาต ระหว่างจัดเก็บ ส่งผ่าน หรือประมวลผล | Hashing (SHA-256), Digital Signatures, Checksums, Version Control, WORM Storage, Blockchain, Database Constraints |
| 3. ความพร้อมใช้งาน | Availability | ระบบและข้อมูลพร้อมใช้งานได้เมื่อต้องการ โดยผู้ที่ได้รับอนุญาต ไม่ถูกทำให้ล้มเหลว (DoS) หรือช้าลง | Redundancy (HA, Cluster), Backup/DR, DDoS Protection, Load Balancing, Patch Management, Monitoring/Alerting |
ความสัมพันธ์ระหว่าง 3 เป้าหมาย
- สามหลักฐานนี้ เกี่ยวข้องกัน (Interdependent) การเสียหายด้านหนึ่งมักส่งผลต่ออีกด้าน (เช่น Ransomware โจมตี Availability ผ่าน Encryption → ส่งผลต่อ Confidentiality และ Integrity)
- องค์กรต้องจัดลำดับความสำคัญตามบริบท (Context): ธนาคารเน้น Confidentiality & Integrity, E-commerce เน้น Availability, ระบบควบคุมอุตสาหกรรม (ICS/SCADA) เน้น Integrity & Availability
การขยาย: Parkerian Hexad (6 มิติ)
Donn Parker เสนอเพิ่ม 3 มิติ: Possession/Control (ครอบครอง/ควบคุม), Authenticity (ความแท้จริง), Utility (ความมีประโยชน์) แต่ CIA Triad ยังคงเป็นกรอบหลักที่ใช้ทั่วโลก
Quizlet / สอบใบรับรอง (Security+, CISSP, ฯลฯ)
คำถามบ่อย: "Three primary goals of network security?" → Confidentiality, Integrity, Availability (CIA Triad)
สรุป
CIA Triad เป็นกรอบพื้นฐานของ Information Security และ Network Security ทุกมาตรการควบคุม (Controls) ไม่ว่าจะเป็น Administrative, Technical, Physical ต้องมุ่งสู่การรักษา 3 ด้านนี้ให้สมดุล
