CIA Triad คืออะไร?
CIA Triad เป็นโมเดลหลักฐานของความปลอดภัยข้อมูล (Information Security) ประกอบด้วย 3 หลักการ:
| หลักการ | อังกฤษ | ความหมาย | เป้าหมาย |
|---|---|---|---|
| ความลับ | Confidentiality | ข้อมูลเข้าถึงได้เฉพาะผู้ได้รับอนุญาต | ป้องกันการรั่วไหลข้อมูล (Data Breach) |
| ความสมบูรณ์ | Integrity | ข้อมูลถูกต้อง ครบถ้วน ไม่ถูกแก้ไขโดยไม่ได้รับอนุญาต | ป้องกันการเปลี่ยนแปลง/ทำลายข้อมูล (Tampering) |
| ความพร้อมใช้งาน | Availability | ข้อมูลและบริการเข้าถึงได้เมื่อต้องการ | ป้องกันการ 중단บริการ (DoS, Ransomware, Hardware Failure) |
วิธีบรรลุ CIA Triad (Best Practices)
1. Confidentiality (ความลับ)
- Encryption: AES-256 (Data at Rest), TLS 1.3 (Data in Transit)
- Access Control: RBAC, ABAC, Principle of Least Privilege, Zero Trust
- MFA/2FA: บังคับใช้ Multi-Factor Authentication ทุกจุดเข้าถึง
- Data Classification & Labeling: จำแนกข้อมูล (Public, Internal, Confidential, Restricted)
- DLP (Data Loss Prevention): ตรวจจับและบล็อกการส่งข้อมูลละเอียดอ่อนออกนอก
- Network Segmentation: แยกเครือข่าย (DMZ, Internal, Secure Zone)
2. Integrity (ความสมบูรณ์)
- Hashing: SHA-256, SHA-3 ตรวจสอบความสมบูรณ์ไฟล์/ข้อความ
- Digital Signatures: RSA/ECDSA + Certificate ใช้กับ Code, Email, Document
- Version Control & Audit Logs: Git, SIEM, Immutable Logs (WORM)
- File Integrity Monitoring (FIM): Tripwire, AIDE, OSSEC ตรวจจับการเปลี่ยนแปลงไฟล์สำคัญ
- Database Constraints: Foreign Keys, Triggers, ACID Transactions
- Blockchain/Immutable Ledger: สำหรับ Audit Trail ที่สำคัญมาก
3. Availability (ความพร้อมใช้งาน)
- Redundancy & HA: Clustering, Load Balancing, Multi-AZ, Multi-Region
- Backup & Disaster Recovery: 3-2-1 Rule, RTO/RPO, Test Restore เป็นประจำ
- DDoS Protection: Cloudflare, AWS Shield, Arbor, Radware
- Monitoring & Alerting: Prometheus, Grafana, Datadog, PagerDuty
- Patch Management: อัปเดต Security Patches ทันเวลา
- Capacity Planning: ติดตาม Resource Usage, Auto-scaling
ความสำคัญของ CIA Triad
- กรอบคิด (Framework): ช่วยให้องค์กรออกแบบนโยบาย ควบคุม และการลงทุนด้านความปลอดภัยได้เป็นระบบ
- การปฏิบัติตามกฎระเบียบ (Compliance): GDPR (Confidentiality), SOX (Integrity), HIPAA (ทั้ง 3), PCI-DSS (ทั้ง 3)
- ความต่อเนื่องทางธุรกิจ (Business Continuity): Availability ให้บริการไม่หยุดชะงัก
- การจัดการความเสี่ยง (Risk Management): วัด Impact ต่อแต่ละหลักการ
- การวิเคราะห์เหตุการณ์ (Incident Analysis): ใช้ CIA วิเคราะห์ Root Cause และ Impact
CIA ในบริบทต่างๆ
HIPAA (Healthcare)
- Confidentiality: ePHI ต้องเข้าถึงได้เฉพาะผู้ได้รับอนุญาต
- Integrity: ePHI ต้องไม่ถูกเปลี่ยนแปลง/ทำลาย
- Availability: ePHI ต้องพร้อมใช้งานเมื่อแพทย์/ผู้ป่วยต้องการ
การจัดลำดับความสำคัญ (Prioritization)
ไม่มีลำดับคงที่ ขึ้นอยู่กับ บริบทธุรกิจ (Business Context):
- ธนาคาร/การเงิน: Integrity > Confidentiality > Availability (การโอนเงินต้องถูกต้อง)
- โรงพยาบาล/บริการฉุกเฉิน: Availability > Confidentiality > Integrity (ชีวิตผู้ป่วย)
- หน่วยงานข่าวกรอง/ทหาร: Confidentiality > Integrity > Availability (ความลับสูงสุด)
- E-commerce: Availability > Integrity > Confidentiality (รายได้หยุดไม่ได้)
CIA Triad ขยาย (Extended Models)
- Parkerian Hexad: เพิ่ม Possession/Control, Authenticity, Utility
- CIA + Non-repudiation: เพิ่มการปฏิเสธไม่ได้ (Digital Signature)
- CIA + Accountability: เพิ่มการรับผิดชอบ (Audit Trail)
สรุป
CIA Triad (Confidentiality, Integrity, Availability) เป็น หัวใจของกลยุทธ์ความปลอดภัยข้อมูล ทุกการลงทุน ควบคุม นโยบาย และเทคโนโลยี ควรเชื่อมโยงกลับมาสู่ 3 หลักการนี้ การทำความเข้าใจและนำไปใช้จริง จะทำให้องค์กรมีความยืดหยุ่นทางไซเบอร์ (Cyber Resilience) และปฏิบัติตามมาตรฐานได้อย่างมีประสิทธิภาพ
