หลักการ 3 ประการที่สำคัญที่สุดของความปลอดปัยข้อมูล: CIA Triad
เมื่อพูดถึง "โดเมน" หรือ "ด้าน" ที่สำคัญที่สุดของความปลอดภัยข้อมูล/ไซเบอร์ซีคিউริตี้ คำตอบมาตรฐานที่ยอมรับสากลคือ CIA Triad ซึ่งประกอบด้วย 3 หลักแก่น:
| หลักการ | ความหมาย | ตัวอย่างมาตรการ |
|---|---|---|
| Confidentiality (ความลับ) | ข้อมูลเข้าถึงได้เฉพาะผู้มีสิทธิ์เท่านั้น | การเข้ารหัส (Encryption), ควบคุมการเข้าถึง (Access Control), การจัดระดับความลับข้อมูล |
| Integrity (ความสมบูรณ์) | ข้อมูลถูกต้อง ครบถ้วน ไม่ถูกเปลี่ยนแปลงโดยไม่ได้รับอนุญาต | Hashing, Digital Signature, Version Control, Write-Once Storage |
| Availability (ความพร้อมใช้งาน) | ระบบและข้อมูลพร้อมใช้งานเมื่อต้องการ | Redundancy, Backup/DR, DDoS Protection, Load Balancing, High Availability |
สรุป: ไม่มี "โดเมน" ไหนสำคัญกว่ากัน ทั้ง 3 ต้อง平衡กัน ตามบริบทขององค์กรแต่ละแห่ง
โดเมน/ด้านของความปลอดภัยไซเบอร์ ตามมาตรฐานสากล
1. ตาม (ISC)² CISSP - 8 โดเมน
- Security and Risk Management
- Asset Security
- Security Architecture and Engineering
- Communication and Network Security
- Identity and Access Management (IAM)
- Security Assessment and Testing
- Security Operations
- Software Development Security
2. ตาม NIST Cybersecurity Framework - 5 ฟังก์ชันหลัก
- Identify (ระบุ) - ทรัพยากร ความเสี่ยง นโยบาย
- Protect (ป้องกัน) - ควบคุมการเข้าถึง การฝึกอบรม การรักษาความปลอดภัยข้อมูล
- Detect (ตรวจจับ) - การเฝ้าระวัง การตรวจสอบความผิดปกติ
- Respond (ตอบสนอง) - แผนการตอบสนองเหตุการณ์ การสื่อสาร การวิเคราะห์
- Recover (กู้คืน) - แผนกู้คืน การปรับปรุง การสื่อสาร
3. ตาม ISO/IEC 27001 - โดเมนควบคุม (Annex A)
14 โดเมน/กลุ่มควบคุม (Controls) เช่น:
- A.5 นโยบายความปลอดภัยข้อมูล
- A.6 การจัดการความปลอดภัยภายในองค์กร
- A.7 ความปลอดภัยทรัพยากรมนุษย์
- A.8 จัดการทรัพยากร
- A.9 ควบคุมการเข้าถึง
- A.10 คริปโตกรाफी
- A.11 ความปลอดกายภาพ/สิ่งแวดล้อม
- A.12 ความปลอดภัยปฏิบัติการ
- A.13 ความปลอดภัยการสื่อสาร
- A.14 การได้มาซึ่ง/พัฒนา/บำรุงรักษาระบบ
- A.15 ความสัมพันธ์กับผู้จัดจำหน่าย
- A.16 จัดการเหตุการณ์ความปลอดภัย
- A.17 ความต่อเนื่องของธุรกิจ
- A.18 การปฏิบัติตามข้อกำหนด
ISO 27001 และ ISO 31000: ความสัมพันธ์และความแตกต่าง
ISO 27001 (Information Security Management System - ISMS)
- มาตรฐานเฉพาะสำหรับ จัดการความปลอดภัยข้อมูล
- มีข้อกำหนด (Requirements) ที่สามารถรับรองมาตรฐานได้ (Certifiable)
- เน้น Risk Management เป็นหัวใจ (Clause 6)
- ใช้ Annex A เป็นควบคุมอ้างอิง
ISO 31000 (Risk Management - Guidelines)
- กรอบงาน จัดการความเสี่ยงทั่วไป (Generic) ใช้ได้ทุกอุตสาหกรรม
- เป็น แนวทางปฏิบัติ (Guidelines) ไม่สามารถรับรองมาตรฐานได้
- ประกอบด้วย: Principles (หลักการ), Framework (กรอบงาน), Process (กระบวนการ)
- กระบวนการ 5 ขั้น: Establish Context > Risk Identification > Risk Analysis > Risk Evaluation > Risk Treatment
ความสัมพันธ์
ISO 27001 ปรับกระบวนการ Risk Management ให้สอดคล้องกับ ISO 31000 (Clause 6.1.2 & 6.1.3) ISO 27005 เป็นมาตรฐานเฉพาะสำหรับ Information Security Risk Management ที่เชื่อมโยงทั้งสองมาตรฐานนี้
โดเมนอื่นๆ ที่น่าสนใจ
4 โดเมนของไซเบอร์ (Collins et al.)
- Physical: ฮาร์ดแวร์ ซอฟต์แวร์ โครงสร้างพื้นฐาน
- Information: CIA Triad (ความลับ ความสมบูรณ์ ความพร้อมใช้งาน)
- Cognitive: การรับรู้ การวิเคราะห์ข้อมูล การตัดสินใจ
- Social: จริยธรรม มาตรฐานสังคม กฎหมาย กระดูกธรรม
ความสำคัญของไซเบอร์ซีคিউริตี้
ปกป้องข้อมูลทุกประเภท: ข้อมูลส่วนบุคคล (PII), ข้อมูลสุขภาพ (PHI), ลิขสิทธิ์, ข้อมูลรัฐบาล/อุตสาหกรรม ป้องกันการขโมย ความเสียหาย การรุกราน รวมถึงรักษาความเชื่อมั่นและความต่อเนื่องของธุรกิจ
สรุป: โดเมนไหนสำคัญที่สุด?
ไม่มีคำตอบเดียวจบ ขึ้นอยู่กับ:
- บริบทองค์กร: ธนาคารเน้น Confidentiality, โรงพยาบาลเน้น Integrity & Availability, อีคอมเมิร์ซเน้น Availability
- กรอบงานที่ใช้: CISSP 8 โดเมน, NIST 5 ฟังก์ชัน, ISO 27001 14 กลุ่มควบคุม
- ระดับความเสี่ยง: Risk-based approach - จัดการความเสี่ยงที่สูงที่สุดก่อน
แนวทางปฏิบัติที่ดีที่สุด: ใช้กรอบงานมาตรฐาน (NIST CSF หรือ ISO 27001) เป็นฐาน ประเมินความเสี่ยงขององค์กรเอง (ISO 31000) แล้วจัดลำดับความสำคัญของมาตรการควบคุม (Controls) ให้ครอบคลุม CIA Triad อย่างสมดุล
