Non-technical Security (ความปลอดภัยที่ไม่ใช่เทคนิค) คืออะไร?
มาตรการควบคุมด้านการบริหาร (Administrative Controls) นโยบาย กระบวนการ มาตรฐาน มานุษย์ และองค์กร ที่สร้างความปลอดภัยโดยไม่พึ่งเทคโนโลยีโดยตรง เป็น 50-70% ของความปลอดภัยที่มีประสิทธิภาพ (ขึ้นอยู่กับกรอบงาน)
ด้าน Non-technical ที่สำคัญที่สุดในความปลอดภัยเครือข่าย
1. Security Policies & Governance (นโยบายและการกำกับดูแล)
- Information Security Policy: นโยบายระดับสูงสุด กำหนดเป้าหมาย ขอบเขต หน้าที่
- Acceptable Use Policy (AUP): กฎการใช้งาน IT Resources ที่ยอมรับได้/ไม่ได้
- Access Control Policy: Least Privilege, Need-to-know, Segregation of Duties
- Incident Response Policy: แผนตอบสนองเหตุการณ์ ระดับการแจ้งเตือน Communication Plan
- Data Classification & Handling Policy: Public, Internal, Confidential, Restricted
- Risk Management Policy: Framework, Appetite, Assessment Methodology, Treatment
- Vendor/Third-party Risk Policy: Due Diligence, Contractual Security, Monitoring
2. People & Culture (บุคคลและวัฒนธรรม) - สำคัญที่สุด
- Security Awareness Training: พนักงานทุกระดับ ทุกปี + Phishing Simulation
- Security Culture: "Security is Everyone's Responsibility" - Tone at the Top (C-level Sponsorship)
- Human Risk Management: จัดการความเสี่ยงจากมนุษย์ (Errors, Negligence, Malicious)
- Background Checks: Pre-employment, Periodic Re-screening สำหรับตำแหน่งสำคัญ
- Onboarding/Offboarding Procedures: Access Provisioning/Revocation SLA
- Insider Threat Program: Detection, Investigation, Mitigation (Psychological + Technical)
3. Organization & Roles (โครงสร้างและบทบาท)
- CISO/CSO: ผู้นำความปลอดภัยระดับองค์กร Report to CEO/Board
- Data Owners / Data Stewards: รับผิดชอบข้อมูล ระบุ Classification, Access Rights
- System Owners / Business Process Owners: รับผิดชอบระบบ/กระบวนการ
- Privacy Officer / DPO: PDPA, GDPR Compliance
- Security Champions: ผู้แทน Security ในแต่ละทีม Dev/Business
4. Processes & Procedures (กระบวนการและขั้นตอน)
- User Access Review (Recertification): Quarterly/Annual, Manager Attestation
- Change Management: Request, Approval, Testing, Implementation, Rollback, Documentation
- Vulnerability Management: Scan, Assess, Prioritize, Remediate, Verify, Report
- Patch Management: SLA by Severity, Testing, Emergency Changes, Exceptions
- Incident Response: Preparation, Detection, Containment, Eradication, Recovery, Lessons Learned
- Business Continuity / Disaster Recovery: BIA, RTO/RPO, Plans, Testing (Tabletop, Full Drill)
- Asset Management: Lifecycle (Procure → Deploy → Maintain → Dispose), CMDB
5. Compliance & Legal (การปฏิบัติตามกฎหมายและข้อกำหนด)
- PDPA (Thailand), GDPR (EU), HIPAA (US Health), PCI-DSS (Payment), SOX (Financial)
- Industry-specific: NERC CIP (Energy), FFIEC (Banking), HITRUST (Healthcare)
- Audit & Assurance: Internal Audit, External Audit, Penetration Testing, Certifications
- Contractual Obligations: SLAs, DPAs, Security Questionnaires, Vendor Assessments
6. Physical & Environmental Security (ความปลอดภัยทางกายภาพ)
- Data Center Access Control (Biometric, Mantrap, Visitor Logs, Escorts)
- Environmental: UPS, Generators, HVAC, Fire Suppression, Water Leak Detection
- Media Handling: Classification, Storage, Transport, Sanitization (NIST SP 800-88), Destruction
- Work from Home / Remote Work Security: Policy, Equipment, VPN, MFA, Privacy Screens
Non-technical Attacks (การโจมตีที่ไม่ใช่เทคนิค) - ต้องป้องกันด้วย Non-technical Controls
| ประเภทการโจมตี | คำอธิบาย | มาตรการป้องกัน |
|---|---|---|
| Social Engineering | หลอกลวงมนุษย์ให้ทำลายความปลอดภัย (Phishing, Vishing, Smishing, Pretexting, Baiting, Tailgating) | Training, Simulation, Verification Procedures, MFA, Culture |
| Shoulder Surfing | มองดูหน้าจอ/คีย์บอร์ดเพื่อขโมย Credentials | Privacy Screens, Clean Desk Policy, Awareness |
| Dumpster Diving | หาข้อมูลลับจากขยะ/เอกสารที่ทิ้ง | Shredding, Secure Disposal, Clean Desk Policy |
| Keyboard Sniffing / Eavesdropping | ฟัง/บันทึก Keystrokes หรือการสนทนา | Encryption, Secure Areas, Awareness |
| Physical Theft | ขโมย Laptop, Phone, USB, Documents | Encryption, Cable Locks, Tracking, Remote Wipe, Policy |
| Insider Threat | พนักงาน/ผู้รับจ้าง ทำลาย/ขโมย ข้อมูลโดยตั้งใจหรือไม่ตั้งใจ | Least Privilege, Monitoring, DLP, Background Checks, Culture |
| Technical Controls | Non-technical (Administrative) Controls |
|---|---|
| Firewall, IDS/IPS, WAF | Security Policies, Standards |
| Encryption (TLS, IPsec, AES) | Risk Management Framework |
| MFA, PAM, IAM | Access Review, Recertification |
| Antivirus/EDR/XDR | Security Awareness Training |
| SIEM, SOAR, Threat Intel | Incident Response Plan/Playbooks |
| Vulnerability Scanner | Patch Management Process |
| NAC, Zero Trust Network Access | Change Management, Asset Management |
| DLP, CASB | Data Classification, Handling Procedures |
3 ประเภท Security Controls (ตามมาตรฐาน)
- Management/Administrative Controls: Policies, Procedures, Training, Risk Assessment, Compliance, Organization
- Operational/Technical Controls: Firewalls, Encryption, Access Control Systems, Monitoring, Antivirus
- Physical Controls: Locks, Guards, Cameras, Biometrics, Environmental, Media Protection
5 มิติของความปลอดภัย (5 Aspects of Security)
- Confidentiality: ความลับ - เข้าถึงได้เฉพาะผู้ได้รับอนุญาต
- Integrity: ความสมบูรณ์ - ไม่ถูกแก้ไขโดยไม่ได้รับอนุญาต
- Availability: ความพร้อมใช้งาน - ใช้งานได้เมื่อต้องการ
- Authentication: การยืนยันตัวตน - เป็นใครจริง
- Non-repudiation: ไม่สามารถปฏิเสธการกระทำที่ทำไปได้
สรุป: จุดสำคัญที่สุด
Technology Alone Cannot Solve Security Problems. แม้จะมี Firewall, EDR, SIEM, WAF, Encryption, MFA ครบครัน หากขาด:
- นโยบายที่ชัดเจนและบังคับใช้ได้
- ผู้บริหารที่สนับสนุน (Tone at the Top)
- พนักงานที่มี Security Awareness
- กระบวนการที่ทำงานจริง (ไม่ใช่แค่เอกสาร)
- วัฒนธรรมความปลอดภัย (Security Culture)
→ ความปลอดภัยจะล้มเหลว การลงทุนใน People, Process, Governance เทียบเท่าหรือสำคัญกว่า Technology
