Information Security vs Network Security: ความแตกต่างหลัก
| ด้านเปรียบเทียบ | Information Security (InfoSec) | Network Security (NetSec) |
|---|---|---|
| ขอบเขต (Scope) | กว้างครอบคลุม: ข้อมูลทุกรูปแบบ (ดิจิทัล/กระดาษ/คน/กระบวนการ) | เฉพาะเครือข่ายและการสื่อสารข้อมูลผ่านเครือข่าย |
| เป้าหมายหลัก (CIA Triad) | Confidentiality, Integrity, Availability ของ "ข้อมูล" | Confidentiality, Integrity, Availability ของ "การสื่อสาร/เครือข่าย" |
| ภัยคุกคามหลัก | Data Breach, Insider Threat, Social Engineering, Physical Theft | DDoS, MITM, Sniffing, Unauthorized Access, Malware Spread |
| Control Measures | Policies, Encryption, Access Control, DLP, Training, Physical Security | Firewall, IDS/IPS, VPN, NAC, Segmentation, WAF, DDoS Protection |
| Framework | ISO 27001, NIST CSF, COBIT, GDPR, PDPA | NIST 800-53 (SC controls), Zero Trust, SASE |
ความสัมพันธ์: Network Security เป็น Subset ของ Information Security
Network Security เป็นส่วนหนึ่ง (Subset) ของ Information Security เพราะ:
- ข้อมูลส่วนใหญ่ไหลผ่านเครือข่าย - การป้องกันเครือข่าย = การป้องกันข้อมูลขณะส่ง (Data in Transit)
- Network Security เป็น "ชั้นป้องกัน" (Layer) หนึ่งใน Defense in Depth ของ InfoSec
- InfoSec ครอบคลุม Data at Rest, Data in Use, Data in Transit - NetSec ครอบคลุม Data in Transit หลัก
การทำงานร่วมกัน (Engagement/Integration)
1. Governance & Policy
- InfoSec Team กำหนด Policy/Standard (เช่น "ข้อมูลลับต้องเข้ารหัส AES-256")
- NetSec Team นำไป Implement บนเครือข่าย (TLS 1.3, IPsec, MACsec)
2. Risk Management
- InfoSec: Risk Assessment ระดับองค์กร (Business Impact)
- NetSec: Vulnerability Scan, Pen Test, Threat Modeling ระดับเทคนิค
- ร่วมกัน: Risk Register, Treatment Plan, Reporting
3. Incident Response
- NetSec: Detect (SIEM/IDS), Contain (Block IP, Quarantine VLAN), Eradicate
- InfoSec: Assess Data Impact, Legal/Regulatory Notification, Recovery, Lessons Learned
4. Security Architecture (Zero Trust / SASE)
- ร่วมกันออกแบบ: Identity-based Access, Micro-segmentation, Encryption Everywhere
- NetSec ดูแล Infrastructure, InfoSec ดูแล Data Classification & Policy
Security Engagement / Security Awareness
Security Engagement = โปรแกรมฝึกอบรมและสร้างวัฒนธรรมความปลอดภัย ให้พนักงานทุกคน เข้าใจภัยคุกคามและรู้จักตอบสนอง
- Phishing Simulation (InfoSec นำ NetSec ช่วยสร้าง Infrastructure)
- Tabletop Exercise (ร่วมกัน)
- Security Champions Program (NetSec/DevOps/Business)
- Gamification, Red Team/Blue Team Exercise
3 หลักการสำคัญของ Information Security (CIA Triad)
- Confidentiality (ความลับ): ข้อมูลเข้าถึงได้เฉพาะผู้มีสิทธิ์
- Integrity (ความสมบูรณ์): ข้อมูลถูกต้อง ไม่ถูกแก้ไขโดยไม่ได้รับอนุญาต
- Availability (ความพร้อมใช้งาน): ข้อมูล/ระบบพร้อมใช้งานเมื่อต้องการ
เส้นทางอาชีพที่เกี่ยวข้อง
- InfoSec: Security Analyst > Senior Analyst > Security Architect > CISO
- NetSec: Network Engineer > Network Security Engineer > Sec Architect > CISO
- Convergence: ทั้งสองทางนำไปสู่ Security Architect / CISO ที่ต้องเข้าใจทั้งสองด้าน
💡 สรุป
Information Security เป็น "กลยุทธ์และกรอบการคิด" (Strategy & Governance) ส่วน Network Security เป็น "การปฏิบัติการทางเทคนิค" (Technical Implementation) บนเครือข่าย ทั้งสองต้องทำงานร่วมกันอย่างใกล้ชิดภายใต้.framework เดียวกัน (ISO 27001 / NIST CSF) เพื่อป้องกันองค์กรได้อย่างมีประสิทธิภาพ
