Network Security Configuration vs Network Security Compliance
ทั้งสองเกี่ยวข้องกันแต่มี ความหมาย ขอบเขต และวัตถุประสงค์ ต่างกันอย่างชัดเจน
Network Security Configuration (การกำหนดค่าความปลอดภัยเครือข่าย)
นิยาม
เป็น การตั้งค่าเทคนิค (Technical Settings) บนอุปกรณ์และระบบเครือข่าย เพื่อบังคับใช้มาตรการป้องกัน ตรวจจับ และควบคุมตามนโยบายความปลอดภัยที่องค์กรกำหนด
ตัวอย่าง Configuration Items
- Firewall Rules (Allow/Deny, Port, Protocol, App, User, Zone)
- ACLs (Access Control Lists) บน Router/Switch
- VPN Parameters (Encryption, Hash, DH Group, Lifetime, Split-tunnel)
- Wireless Security (WPA2/3-Enterprise, 802.1X, RADIUS, Certificates)
- Routing Protocol Authentication (OSPF/BGP/ISIS Auth)
- Management Plane Hardening (SSHv2, HTTPS, SNMPv3, AAA, CoPP, Banner, NTP)
- Segmentation (VLAN, VRF, VXLAN, Micro-segmentation Policies)
- IDS/IPS Signatures & Policies (Enable/Disable, Threshold, Action)
- Logging/Syslog Settings (Facility, Severity, Destination, Format)
- DDoS Protection Profiles, Rate Limiting, Storm Control
- Certificate/Key Management (PKI, TLS Profiles, Certificate Pinning)
ลักษณะ
- Technical, Implementation-focused
- Concrete, Measurable, Enforceable (Config = Code/CLI/API)
- ทำโดย: Network Engineers, Security Engineers, Cloud/NetOps
- เปลี่ยนแปลงได้บ่อย (Change Management Process)
- Tools: Ansible, Terraform, Netmiko, NAPALM, Vendor APIs, IaC, GitOps
Network Security Compliance (การปฏิบัติตามมาตรฐานความปลอดภัยเครือข่าย)
นิยาม
เป็น กระบวนการรับรองและตรวจสอบ (Assurance & Verification) ว่า การกำหนดค่า (Configuration) การดำเนินงาน (Operations) และ สภาพแวดล้อมโดยรวม สอดคล้องกับข้อกำหนดภายนอก/ภายในที่บังคับใช้ ได้แก่ กฎหมาย กระทรวง/หน่วยงานกำกับดูแล มาตรฐานอุตสาหกรรม นโยบายองค์กร และสัญญาผูกพัน
ตัวอย่าง Compliance Requirements
- กฎหมาย/ระเบียบ: PDPA (ไทย), GDPR (EU), HIPAA (US Health), GLBA (US Finance), Cybersecurity Act (ไทย), คำสั่งสำนักงานปลัดกระทรวงดิจิทัล
- มาตรฐานอุตสาหกรรม: PCI-DSS (Req 1: Firewall, Req 2: No Defaults, Req 4: Encryption, Req 10: Logging), ISO 27001 (Annex A.13 Network Security), NERC CIP (Critical Infrastructure)
- กรอบมาตรฐาน: NIST CSF, NIST SP 800-53 (SC-7, SC-10, AC-4, SI-4), CIS Controls (v8 Control 12, 13), MITRE ATT&CK Coverage
- นโยบายองค์กร: Information Security Policy, Network Security Standard, Acceptable Use, Encryption Policy, Vendor Management Policy
- สัญญา/สัญญาระดับบริการ (SLA): Customer Contracts, Cyber Insurance Requirements
กิจกรรม Compliance
- Gap Assessment: เปรียบเทียบ Current State vs Requirements
- Evidence Collection: Configs, Logs, Reports, Screenshots, Diagrams, Policies, Training Records
- Audit (Internal/External): Auditor ตรวจสอบ Evidence → Findings (Compliant/Non-compliant/OFI)
- Remediation Tracking: แก้ไข Findings → Re-verify → Close
- Continuous Monitoring / Continuous Compliance: Automated Drift Detection (CSPM, CNAPP, Config Audit Tools)
- Attestation / Certification: AoC (Attestation of Compliance), RoC (Report on Compliance), ISO Certificate, SOC 2 Type II Report
ลักษณะ
- Governance, Risk, Compliance (GRC) focused
- Periodic / Point-in-time (Audit) + Continuous (Monitoring)
- ทำโดย: Compliance Officers, Internal Audit, GRC Team, External Auditors (QSA, CPA, Registrar)
- ผลลัพธ์: Audit Report, Certification, Regulatory Filing, Board Reporting
- Tools: GRC Platforms (RSA Archer, ServiceNow GRC, MetricStream, OneTrust, Vanta, Drata, Secureframe), CSPM, Config Audit Tools
ความสัมพันธ์และความแตกต่างสรุป
| มิติ | Network Security Configuration | Network Security Compliance |
|---|---|---|
| คำถามหลัก | "เราตั้งค่าอย่างไรให้ปลอดภัย?" | "เราตรงตามข้อกำหนดหรือไม่?" |
| โฟกัส | Technical Implementation (How) | Governance & Assurance (Whether) |
| ผู้รับผิดชอบหลัก | NetOps / SecOps / CloudOps | GRC / Compliance / Internal Audit |
| ความถี่ | Continuous (Change-driven) | Periodic (Audit) + Continuous (Monitoring) |
| Output | Running Config, IaC, Golden Images | Audit Report, Evidence, Attestation, Certification |
| มาตรฐานอ้างอิง | Vendor Best Practices, CIS Benchmarks, STIGs | Laws, Regulations, Standards (PCI, ISO, NIST), Policies |
| เครื่องมือ | Automation (Ansible, Terraform), CLI, APIs | GRC Platforms, CSPM, Audit Tools, Evidence Repos |
ความเชื่อมโยง: Configuration Drives Compliance
- Configuration ที่ถูกต้อง (Secure Config) เป็นเงื่อนไขจำเป็น (Necessary Condition) ของ Compliance
- แต่ Compliance อาจต้องการเพิ่ม: Documentation, Policies, Procedures, Training, Risk Assessments, Incident Response Testing, Vendor Management, Business Continuity ซึ่งไม่อาจทำได้แค่ Config เดียว
- Drift (Configuration Drift) = ความแตกต่างระหว่าง Desired Config (Compliant) กับ Actual Config → ทั้ง Security Risk และ Compliance Violation
- Policy as Code / Compliance as Code: เขียน Policy/Compliance Rules เป็น Code (OPA/Rego, Terraform Sentinel, Kyverno, Config Rules) → Enforce ทั้ง Config และ Compliance พร้อมกันใน CI/CD
สรุป
Configuration = "ทำอย่างไร" (Technical Controls Implementation)
Compliance = "พิสูจน์ว่าทำถูกต้องตามกติกา" (Governance & Assurance)
องค์กรที่โปรดเจอต้องมีทั้งคู่: Secure Configurations (Baseline + Hardening) + Continuous Compliance Monitoring (Automated Drift Detection + Periodic Audits) รองรับด้วย GRC Platform และ Culture of Security
