🛡️ หลักการพื้นฐาน: CIA Triad
- Confidentiality (ความลับ) - ข้อมูลเข้าถึงได้เฉพาะผู้ได้รับอนุญาต (Encryption, Access Control)
- Integrity (ความสมบูรณ์) - ข้อมูลไม่ถูกเปลี่ยนแปลง/ทำลายโดยไม่ได้รับอนุญาต (Hashing, Digital Signature, Version Control)
- Availability (ความพร้อมใช้งาน) - ข้อมูลเข้าถึงได้เมื่อต้องการ (Backup, HA, DR, DDoS Protection)
🔐 การเข้ารหัส (Encryption) - หัวใจของการปกป้องข้อมูล
| ประเภท | ใช้เมื่อไหร่ | เทคโนโลยี/มาตรฐาน | ตัวอย่าง |
|---|
| Data at Rest (ข้อมูลจัดเก็บ) | Hard Drive, SSD, Database, Backup, S3, NAS | AES-256, BitLocker, LUKS, FileVault, TDE, S3 SSE-S3/SSE-KMS | Encrypt Disk, Encrypt Database Column, S3 Bucket Encryption |
| Data in Transit (ข้อมูลขนส่ง) | Network, Internet, API, Email, Remote Access | TLS 1.3, IPsec, MACsec, WireGuard, SSH, SFTP, HTTPS | HTTPS Website, VPN, API TLS, Encrypted Email |
| Data in Use (ข้อมูลประมวลผล) | RAM, CPU Registers, Enclaves | Intel SGX, AMD SEV, AWS Nitro Enclaves, Confidential Computing | Secure Enclave Processing, Encrypted Memory |
🌐 Network Security Controls (การควบคุมความปลอดภัยเครือข่าย)
1. Network Segmentation (การแบ่งส่วนเครือข่าย) - สำคัญที่สุด
- VLAN / Subnet แยก: Management, Server, User, Guest, IoT, OT, DMZ
- Micro-segmentation: ระดับ Workload/Pod (Calico, Cilium, NSX, ACI)
- Zero Trust Network: Identity-based, Never Trust, Always Verify
2. Perimeter & Internal Firewalls
- Next-Gen Firewall (NGFW): App-ID, User-ID, IPS, SSL Decrypt, URL Filtering, File Blocking
- Internal Segmentation Firewall: ระหว่าง Segment (East-West Traffic)
- Cloud Firewall: AWS Network Firewall, Azure Firewall, GCP Cloud Armor
3. Intrusion Prevention (IPS/IDS)
- NIPS: Network-based (Inline, Block)
- HIPS/EDR: Host-based (Process, File, Memory, Behavior)
- NDR: Network Detection & Response (Encrypted Traffic Analysis)
4. Secure Remote Access
- Zero Trust Network Access (ZTNA): Replace VPN (Cloudflare Access, Tailscale, Twingate, Zscaler ZPA)
- VPN (Legacy): IPsec, SSL VPN, WireGuard - ต้องมี MFA, Posture Check, Split Tunneling Off
- Bastion Host / Jump Server: Single Entry Point, Session Recording, MFA
5. DNS Security
- DNS Filtering: Block Malware, Phishing, C2, Ads (NextDNS, Cisco Umbrella, Quad9, Cloudflare Gateway)
- DNS over HTTPS (DoH) / DNS over TLS (DoT): ป้องกัน Eavesdropping, Spoofing
- DNSSEC: ป้องกัน DNS Cache Poisoning
👤 Identity & Access Management (IAM)
- MFA (Multi-Factor Authentication): บังคับทุกที่ (Email, VPN, Cloud, Admin, Critical Apps)
- Least Privilege / Just-in-Time (JIT) Access: ให้สิทธิ์ต่ำสุด เฉพาะเวลาที่ต้องการ
- Privileged Access Management (PAM): Vault, Session Recording, Approval Workflow (CyberArk, BeyondTrust, Thycotic)
- Identity Governance (IGA): Certification, Lifecycle, Segregation of Duties
💾 Backup & Disaster Recovery (สำรองข้อมูลและฟื้นฟูภัยพิบัติ)
กฎ 3-2-1-1-0 (Modern Backup Rule)
- 3 Copies of Data (Production + 2 Backups)
- 2 Different Media Types (Disk + Tape / Disk + Cloud / Disk + Immutable Storage)
- 1 Offsite / Offline / Air-gapped (Immutable, Ransomware-proof)
- 1 Verified Recovery Test (Test Restore ประจำเดือน/ไตรมาส)
- 0 Errors (Zero Backup Failures)
Backup Strategy
| ประเภท | RPO (Data Loss Tolerance) | RTO (Downtime Tolerance) | ใช้สำหรับ |
|---|
| Snapshot/Replication | Near Zero | Minutes | Critical DB, VM |
| Incremental/Differential | Hours | Hours | File Server, App Data |
| Full Backup (Weekly/Monthly) | Days | Days | Archive, Compliance |
| Immutable/Air-gapped | Days | Days | Ransomware Protection |
🔍 Monitoring, Detection & Response
- SIEM / Log Analytics: Centralize Logs (Firewall, AD, Cloud, App, EDR) - Splunk, Elastic, Sentinel, Datadog
- SOAR: Automation Playbooks (Phishing Triage, Malware Containment, User Lockout)
- Threat Hunting: Proactive Search (MITRE ATT&CK Framework)
- Deception: Honeypots, Canary Tokens, Breadcrumbs
🛡️ Data Loss Prevention (DLP) & Data Security Posture Management (DSPM)
- DLP: Discover, Monitor, Protect Sensitive Data (PII, PHI, PCI, IP) - Endpoint, Network, Cloud, Email
- DSPM: Discover Data in Cloud (S3, RDS, BigQuery), Classify, Risk Assessment, Remediate
- CASB: Cloud Access Security Broker - Shadow IT Discovery, Data Protection, Threat Protection
🧪 Vulnerability & Patch Management
- Continuous Scanning: Tenable, Qualys, Rapid7, Microsoft Defender Vulnerability Management
- Prioritization: CVSS + EPSS + CISA KEV + Asset Criticality + Threat Context
- SLA: Critical 72 hrs, High 30 days, Medium 90 days, Low 180 days
- Automated Patching: WSUS, SCCM/Intune, Ansible, Cloud-native (SSM, Azure Update Manager)
👥 People & Process (มนุษย์และกระบวนการ)
- Security Awareness Training: Phishing Simulation, Password Hygiene, Social Engineering, Incident Reporting
- Incident Response Plan: Playbooks, Roles, Communication, Legal, Evidence Preservation
- Tabletop Exercises / Red Teaming / Purple Teaming: ประจำปี/ไตรมาส
- Policy & Standards: Acceptable Use, Data Classification, Encryption, Access Control, Vendor Management
- Compliance: PDPA, ISO 27001, PCI-DSS, NIST CSF, CIS Controls
☁️ Cloud Data Security (เพิ่มเติมสำหรับ Cloud)
- Shared Responsibility Model: CSP = Security OF Cloud, Customer = Security IN Cloud
- CSPM (Cloud Security Posture Management): Misconfiguration Detection (Wiz, Orca, Prisma Cloud, Defender for Cloud)
- CIEM (Cloud Infrastructure Entitlement Management): Least Privilege for Identities
- Data Perimeter: Resource-based Policies, VPC Endpoints, SCPs, Boundary
❌ ข้อผิดพลาดที่พบบ่อย (Common Mistakes)
- ❌ ไม่มี Asset Inventory (ไม่รู้ว่ามีข้อมูลอะไรบ้าง ป้องกันไม่ได้)
- ❌ Flat Network (ไม่ Segment) - โดนแฮก 1 จุด = โดนทั้งเครือข่าย
- ❌ ไม่เข้ารหัส Data at Rest / In Transit
- ❌ ไม่มี MFA บังคับ
- ❌ Backup ไม่ได้ Test Restore (Backup ที่ Restore ไม่ได้ = ไม่มี Backup)
- ❌ Log ไม่รวมศูนย์ / ไม่มีคนดู / Retention สั้นเกินไป
- ❌ Patch ช้า / ไม่มี Vulnerability Management
- ❌ ไม่มี Incident Response Plan / ไม่เคย Rehearse
- ❌ Focus แค่ Perimeter ลืม Insider / Lateral Movement / Supply Chain
- ❌ Shadow IT / Unmanaged Devices / Unsanctioned SaaS
📋 Checklist: ขั้นตอนขั้นต่ำ (Minimum Viable Security)
- ☐ Asset Inventory (Hardware, Software, Data, Cloud)
- ☐ Network Segmentation (VLAN/Subnet: Mgmt, Server, User, Guest, IoT)
- ☐ Firewall (Deny by Default, Allow List)
- ☐ MFA ทุกที่ (Email, VPN, Cloud, Admin)
- ☐ Encryption (TLS 1.3 Everywhere, Disk Encryption, Database TDE)
- ☐ Backup 3-2-1-1-0 + Test Restore รายเดือน
- ☐ EDR/XDR บน Endpoint ทุกตัว
- ☐ Vulnerability Scanning + Patch SLA
- ☐ Central Logging (SIEM/Log Analytics) + Alerting
- ☐ Incident Response Plan + Tabletop Exercise
- ☐ Security Awareness Training + Phishing Simulation
- ☐ Vendor/Third-party Risk Management
สรุป
เก็บข้อมูลปลอดภัยในเครือข่าย = Defense in Depth (หลายชั้น)
Technology: Encryption + Segmentation + Firewall/IPS + IAM/MFA + EDR/NDR + Backup + DLP/DSPM
Process: Vuln Mgmt + Patch Mgmt + IR Plan + Awareness + Compliance + Vendor Risk
Principle: Zero Trust (Never Trust, Always Verify) + Least Privilege + Assume Breach
ไม่มีระบบ 100% Secure แต่ลด Risk ให้ต่ำที่สุด และ Detect/Respond/Recover ให้เร็วที่สุด
