Stakeholders ใน Network Security มีใครบ้าง?
คำถาม "What party/parties are involved with network security?" ไม่ได้หมายถึง "พรรคการเมือง" (Political Parties) แต่หมายถึง Stakeholders (ผู้มีส่วนได้ส่วนเสีย/ฝ่ายที่เกี่ยวข้อง) ในระบบความปลอดภัยเครือข่าย
กลุ่ม Stakeholders หลัก
1. Internal Stakeholders (ภายในองค์กร)
- CISO / CIO / CTO: ผู้บริหารระดับสูง กำหนดกลยุทธ์และงบประมาณ
- Security Team / SOC Analysts: ตรวจสอบเหตุการณ์ ตอบสนองเหตุการณ์ (Incident Response)
- Network Engineers / Admins: ตั้งค่า Firewall, Switch, Router, VLAN, VPN
- System Administrators: จัดการ Server, OS, Patch Management
- Application Developers / DevSecOps: พัฒนาแอปปลอดภัย Secure SDLC
- Compliance / Legal / Audit: ตรวจสอบการปฏิบัติตามกฎหมาย (PDPA, ISO 27001)
- End Users / Employees: ปฏิบัตินโยบาย Security Awareness
- HR / Training: จัดอบรม Security Awareness
- Procurement / Vendor Management: จัดซื้อซอฟต์แวร์/ฮาร์ดแวร์ความปลอดภัย
2. External Stakeholders (ภายนอกองค์กร)
- Managed Security Service Providers (MSSP): ให้บริการ SOC แบบ Outsource
- Cloud Service Providers (AWS, Azure, GCP): Shared Responsibility Model
- Third-party Vendors / Suppliers: SaaS, Hardware, Software Vendors
- Penetration Testers / Red Teamers: ทดสอบช่องโหว่ (Authorized)
- Regulators / Auditors: ตรวจสอบ Compliance
- Customers / Partners: แชร์ข้อมูล/เชื่อมต่อ API (ต้องมี DPA/BAA)
- Law Enforcement / CERT/CSIRT: ร่วมมือจัดการ Cyber Incident
- Insurance Providers (Cyber Insurance): ประเมินความเสี่ยง กำหนดเบี้ยประกัน
Third-Party Risk Management (TPRM)
เนื่องจาก Supply Chain Attack เพิ่มขึ้น (เช่น SolarWinds, Kaseya, MoveIT) การจัดการความเสี่ยงจาก Third Party จึงสำคัญมาก:
- Vendor Assessment: Security Questionnaire, SOC 2 Report, Pen Test Report
- Contractual Controls: DPA, SLA, Right to Audit, Breach Notification
- Continuous Monitoring: Security Ratings (BitSight, SecurityScorecard)
- Offboarding: Revoke Access, Data Return/Deletion
Trusted Third Party (TTP) ใน Cryptography
ในบริบทของ Cryptography/Network Security Trusted Third Party (TTP) คือหน่วยงานที่ไว้วางใจได้ร่วมกัน (เช่น Certificate Authority - CA) ที่ออก Digital Certificate เพื่อยืนยันตัวตนในการสื่อสารแบบ Secure (PKI, TLS/SSL)
RACI Matrix ตัวอย่างสำหรับ Network Security
| Activity | CISO | Sec Team | Net Admin | Sys Admin | DevOps | Legal |
|---|---|---|---|---|---|---|
| Policy Definition | R/A | C | C | C | I | C |
| Firewall Rule Change | A | C | R | I | I | I |
| Incident Response | A | R | C | C | C | C |
| Vuln Management | A | R | C | R | R | I |
| Compliance Audit | A | C | C | C | C | R |
R=Responsible, A=Accountable, C=Consulted, I=Informed
สรุป
Network Security เป็นหน้าที่ร่วมของทุกฝ่าย (Shared Responsibility) ไม่ใช่หน้าที่ของ IT Security เพียงฝ่ายเดียว ทุก Stakeholder ต้องมีส่วนร่วมตามบทบาท
