ยินดีต้อนรับสู่โลกแห่งการควบคุมความปลอดภัย (Security Controls)!
สวัสดีเพื่อนๆ นักศึกษา CIMA ทุกคน! ตอนนี้เรากำลังสำรวจ ส่วนที่ D: ความเสี่ยงทางไซเบอร์ (Cyber Risk) ในหลักสูตร P3 Risk Management ของเรา บทนี้คือ การควบคุมความปลอดภัย (Security Controls) ซึ่งเปรียบเสมือนฝั่ง "กองหลัง" ในเกมการปกป้องข้อมูล ในเมื่อเราทราบแล้วว่าภัยคุกคามทางไซเบอร์มีอะไรบ้าง แล้วเราจะหยุดมันจริงๆ ได้อย่างไร?
ลองจินตนาการว่าการควบคุมความปลอดภัยก็เหมือนกับชั้นการป้องกันหลายๆ ชั้นที่ล้อมรอบห้องนิรภัยของธนาคาร บางชั้นมีไว้เพื่อขู่ให้คนกลัว บางชั้นมีไว้เพื่อกั้นไม่ให้ใครเข้ามาได้ และบางชั้นก็ช่วยบอกคุณเมื่อมีคนบุกรุกเข้ามา ถ้ารู้สึกว่าเนื้อหานี้ดูเป็นเทคนิคไปบ้างไม่ต้องกังวลนะ เราจะค่อยๆ ย่อยให้เข้าใจง่ายด้วยตัวอย่างในชีวิตประจำวันเพื่อช่วยให้จำได้แม่นยำ!
1. การควบคุมความปลอดภัยคืออะไร?
พูดง่ายๆ ก็คือ การควบคุมความปลอดภัย (Security Control) คือมาตรการใดๆ ก็ตามที่นำมาใช้เพื่อลดความเสี่ยงจากภัยคุกคามทางไซเบอร์ โดยมีเป้าหมายเพื่อปกป้อง ความลับ (Confidentiality) ความถูกต้องสมบูรณ์ (Integrity) และความพร้อมใช้งาน (Availability) หรือที่เรียกสั้นๆ ว่า CIA ของข้อมูลนั่นเอง
เรามักจะจัดกลุ่มการควบคุมเหล่านี้ออกเป็น 3 "ถัง" หลักๆ ดังนี้:
1. การควบคุมเชิงกายภาพ (Physical Controls): คือสิ่งที่คุณจับต้องได้ ซึ่งช่วยปกป้องสภาพแวดล้อมทางกายภาพ
ตัวอย่าง: แม่กุญแจล็อคประตู, กล้องวงจรปิด หรือพนักงานรักษาความปลอดภัย
2. การควบคุมเชิงตรรกะหรือเทคนิค (Logical (Technical) Controls): คือการตั้งค่าซอฟต์แวร์หรือฮาร์ดแวร์ที่ช่วยปกป้องข้อมูลที่อยู่ภายในระบบ
ตัวอย่าง: รหัสผ่าน, ไฟร์วอลล์ (Firewalls) และการเข้ารหัสข้อมูล (Encryption)
3. การควบคุมเชิงบริหารจัดการ (Administrative (Procedural) Controls): คือ "กฎระเบียบ" และนโยบายที่ฝ่ายบริหารเป็นผู้กำหนด
ตัวอย่าง: การฝึกอบรมพนักงาน, การตรวจสอบประวัติ และนโยบายด้านความปลอดภัย
กล่องทบทวนความรู้
คำถาม: "นโยบายโต๊ะทำงานสะอาด (Clear Desk Policy)" จัดเป็นการควบคุมเชิงกายภาพหรือเชิงบริหารจัดการ?
คำตอบ: เป็นการควบคุมเชิง บริหารจัดการ เพราะมันคือกฎหรือขั้นตอนที่พนักงานต้องปฏิบัติตามนั่นเอง
2. การจำแนกการควบคุมตามหน้าที่ (Function)
นี่คือหัวข้อโปรดของผู้ออกสอบเลยล่ะ! การควบคุมไม่ได้แบ่งแค่ว่ามัน คืออะไร แต่แบ่งตามว่ามัน ทำหน้าที่อะไร ในการจดจำให้ลองนึกถึงเหตุการณ์ตามลำดับเวลาของการเกิดอาชญากรรมดูนะ
A. การควบคุมเชิงยับยั้ง (Deterrent Controls)
ออกแบบมาเพื่อขัดขวางไม่ให้คนกล้าคิดจะโจมตีตั้งแต่แรก โดยเน้นไปที่จิตวิทยาของผู้โจมตี
เปรียบเทียบ: ป้ายที่เขียนว่า "ระวังหมาดุ" ถึงแม้ว่าจริงๆ แล้วจะไม่มีหมาอยู่เลย แต่มันก็ทำให้โจรต้องคิดหนักก่อนจะลงมือ!
B. การควบคุมเชิงป้องกัน (Preventive Controls)
นี่คือ "กำแพง" ที่หยุดการโจมตีไม่ให้ประสบความสำเร็จจริงๆ โดยการปิดกั้นการเข้าถึงที่ไม่ได้รับอนุญาต
เปรียบเทียบ: ลูกบิดประตูแบบล็อคสองชั้นคุณภาพสูงที่ประตูหน้าบ้านของคุณ
C. การควบคุมเชิงตรวจจับ (Detective Controls)
ช่วยระบุว่าการโจมตีกำลังเกิดขึ้นหรือเกิดขึ้นไปแล้ว แม้มันจะไม่ได้หยุดการโจมตี แต่ก็จะทำหน้าที่ส่งสัญญาณเตือน
เปรียบเทียบ: เครื่องตรวจจับควันไฟหรือสัญญาณกันขโมยที่ตรวจจับการเคลื่อนไหว
D. การควบคุมเชิงแก้ไข (Corrective Controls)
ช่วยซ่อมแซมความเสียหายหลังจากเหตุการณ์เกิดขึ้นแล้วและกู้คืนระบบให้กลับสู่สภาพปกติ
เปรียบเทียบ: ระบบสปริงเกอร์ดับเพลิงอัตโนมัติที่ช่วยดับไฟทันทีที่เริ่มไหม้
E. การควบคุมเชิงกู้คืน (Recovery Controls)
จะก้าวไปอีกขั้นกว่าการควบคุมเชิงแก้ไข โดยเน้นการกู้คืนระบบให้กลับสู่สถานะเดิมก่อนเกิดเหตุ ซึ่งมักจะใช้การสำรองข้อมูล (Backups)
เปรียบเทียบ: การนำเงินประกันที่ได้มาสร้างบ้านใหม่หลังจากเกิดเหตุไฟไหม้
ตัวช่วยจำ: "D-P-D-C-R"
ลองนึกภาพว่า: Dogs Protect Doors, Cats Run.
(Deterrent, Preventive, Detective, Corrective, Recovery)
3. การควบคุมเชิงตรรกะ (เทคนิค) ที่สำคัญ
เนื่องจากเราอยู่ในส่วนความเสี่ยงทางไซเบอร์ เราจึงต้องเน้นที่เครื่องมือทางเทคนิคที่ใช้ป้องกันแฮกเกอร์ อย่าให้ศัพท์เทคนิคทำให้คุณกลัวเชียวล่ะ!
การเข้ารหัส (Encryption)
การเข้ารหัสจะเปลี่ยนข้อมูลที่อ่านออกได้ (Plain text) ให้กลายเป็นสิ่งที่อ่านไม่รู้เรื่อง (Cipher text) ซึ่งจะอ่านได้ก็ต่อเมื่อคุณมี "กุญแจ" เท่านั้น
- การเข้ารหัสแบบสมมาตร (Symmetric Encryption): ทั้งผู้ส่งและผู้รับใช้ กุญแจดอกเดียวกัน ในการล็อคและปลดล็อคข้อมูล มันรวดเร็ว แต่คุณต้องหาวิธีส่งกุญแจให้กันอย่างปลอดภัย
- การเข้ารหัสแบบไม่สมมาตร (Asymmetric Encryption): ใช้ กุญแจสาธารณะ (Public Key) (ใครก็ใช้ล็อคข้อมูลได้) และ กุญแจส่วนตัว (Private Key) (มีแค่เจ้าของเท่านั้นที่ปลดล็อคได้) เหมือนตู้รับจดหมายที่ใครก็หย่อนจดหมายลงไปได้ แต่มีแค่เจ้าของบ้านเท่านั้นที่มีกุญแจเปิดตู้
ไฟร์วอลล์ (Firewalls)
ไฟร์วอลล์ ทำหน้าที่เป็น "การ์ด" เฝ้าประตูระหว่างเครือข่ายภายในของคุณกับอินเทอร์เน็ต โดยจะตรวจสอบข้อมูลที่เข้าและออก และตัดสินใจว่าจะอนุญาตให้ผ่านหรือไม่ตามชุดกฎที่ตั้งไว้
การควบคุมการเข้าถึง: การระบุตัวตน (Identification) vs. การยืนยันตัวตน (Authentication)
หลายคนสับสนสองคำนี้ เรามาเคลียร์กันเลย:
- การระบุตัวตน (Identification): คือการบอกว่าคุณเป็นใคร (เช่น การกรอกชื่อผู้ใช้/Username)
- การยืนยันตัวตน (Authentication): คือการพิสูจน์ว่าคุณคือคนนั้นจริงๆ (เช่น การใส่รหัสผ่าน หรือการสแกนลายนิ้วมือ)
การยืนยันตัวตนแบบหลายปัจจัย (Multi-Factor Authentication - MFA): คือการใช้สองวิธีขึ้นไปเพื่อพิสูจน์ตัวตน ซึ่งมักจะรวมเอาปัจจัยดังนี้:
1. สิ่งที่คุณ รู้ (รหัสผ่าน)
2. สิ่งที่คุณ มี (รหัสที่ส่งมาที่โทรศัพท์ของคุณ)
3. สิ่งที่คุณ เป็น (ลายนิ้วมือหรือการสแกนใบหน้า)
4. การควบคุมทั่วไป (General Controls) vs. การควบคุมระดับแอปพลิเคชัน (Application Controls)
ผู้ออกสอบ CIMA ชอบทดสอบความแตกต่างระหว่างสองหมวดหมู่นี้มาก เพราะมันสำคัญต่อการเข้าใจว่าระบบไอทีถูกตรวจสอบอย่างไร
การควบคุมไอทีทั่วไป (General IT Controls - GITCs)
สิ่งเหล่านี้ใช้กับ สภาพแวดล้อมไอทีทั้งหมด เพื่อให้แน่ใจว่า "บ้านทั้งหลัง" ปลอดภัย
ตัวอย่าง: ความปลอดภัยทางกายภาพของห้องเซิร์ฟเวอร์, นโยบายรหัสผ่านสำหรับพนักงานทุกคน และแผนกู้คืนระบบจากภัยพิบัติ
การควบคุมระดับแอปพลิเคชัน (Application Controls)
เฉพาะเจาะจงสำหรับ โปรแกรมซอฟต์แวร์ใดโปรแกรมหนึ่ง (เช่น ระบบเงินเดือนหรือโปรแกรมบัญชีของคุณ) เพื่อให้แน่ใจว่าข้อมูลที่ประมวลผลโดยโปรแกรมเฉพาะนั้นถูกต้องและครบถ้วน
ตัวอย่าง:
- Input Controls: ตรวจสอบว่าข้อมูลที่กรอกเข้ามาถูกต้อง (เช่น คุณไม่สามารถกรอกเงินเดือนพนักงานเป็นเลขติดลบได้)
- Processing Controls: ตรวจสอบว่าการคำนวณถูกต้อง (เช่น ผลรวมด้านเดบิตต้องเท่ากับด้านเครดิต)
- Output Controls: ตรวจสอบว่ารายงานต่างๆ ถูกส่งไปยังคนที่ถูกต้อง
สรุปประเด็นสำคัญ
General Controls คือเรื่องของ โครงสร้างพื้นฐาน (อาคารทั้งหลัง)
Application Controls คือเรื่องของ ข้อมูล ภายในงานเฉพาะอย่าง (ตู้เก็บเอกสารภายในห้องหนึ่งห้อง)
5. การพัฒนาแนวทางการตอบสนองต่อความเสี่ยงที่ได้รับการประเมินและ ISO 27001
ในวิชา P3 การควบคุมความปลอดภัยไม่ได้ถูกนำมาใช้แบบสุ่มสี่สุ่มห้า องค์กรต่างๆ ต้องปฏิบัติตามกระบวนการที่เป็นระบบในการพัฒนาแนวทางการตอบสนองต่อความเสี่ยงที่ได้รับการประเมิน และปรับให้สอดคล้องกับมาตรฐานสากล
กระบวนการพัฒนาแนวทางการตอบสนองต่อความเสี่ยง
1. การประเมินความเสี่ยง (Risk Assessment): ระบุข้อมูลสำคัญ ระบบ และภาพรวมของภัยคุกคามของกิจการ พร้อมประเมินช่องโหว่เทียบกับโอกาสเกิดและผลกระทบ
2. การกำหนดแนวทางการตอบสนอง (Response Formulation): กำหนดกลยุทธ์การบรรเทาความเสี่ยงที่เหมาะสม (หลีกเลี่ยง, ลด, โอน, ยอมรับ) ให้สอดคล้องกับระดับความเสี่ยงที่องค์กรยอมรับได้ (Risk Appetite)
3. การออกแบบการควบคุม (Control Design): ออกแบบการควบคุมเชิงป้องกัน เชิงตรวจจับ และเชิงแก้ไขที่เจาะจง ซึ่งตรงเป้าหมายต่อช่องโหว่ที่ระบุไว้โดยตรง
4. การนำไปปฏิบัติและการบูรณาการ (Implementation and Integration): นำการควบคุมไปปรับใช้ครอบคลุมทั้งกระบวนการปฏิบัติงานด้านกายภาพ เทคนิค และการบริหารจัดการ
5. การติดตามและทบทวน (Monitoring and Review): ทบทวนประสิทธิภาพของการควบคุมและผลลัพธ์ของระบบอย่างต่อเนื่อง เพื่อปรับปรุงการควบคุมให้ทันต่อวิวัฒนาการของภัยคุกคาม
การปรับการควบคุมให้สอดคล้องกับ ISO 27001
ISO 27001 คือมาตรฐานที่ได้รับการยอมรับในระดับสากลสำหรับระบบบริหารจัดการความมั่นคงปลอดภัยสารสนเทศ (Information Security Management Systems - ISMS) ในการสอบ CIMA P3 คุณจะต้องสามารถเสนอแนะแนวทางการตอบสนองด้านความปลอดภัยทางไซเบอร์ที่เป็นไปตามข้อกำหนดของ ISO 27001 ได้:
- แนวทางที่ขับเคลื่อนด้วยความเสี่ยง (Risk-Driven Approach): ISO 27001 กำหนดให้องค์กรเลือกและนำการควบคุมความปลอดภัยมาใช้โดยได้มาจากการประเมินความเสี่ยงอย่างเป็นทางการโดยตรง มากกว่าการใช้รายการตรวจสอบทั่วไปแบบครอบจักรวาล
- วัตถุประสงค์ด้าน CIA (CIA Objectives): การควบคุมต้องปกป้องความลับ ความถูกต้องสมบูรณ์ และความพร้อมใช้งานของสินทรัพย์สารสนเทศอย่างรอบด้าน
- ชุดการควบคุมที่ครอบคลุม (Comprehensive Control Sets): มาตรฐานกำหนดการควบคุมที่ครอบคลุมนโยบายขององค์กร ความปลอดภัยของบุคลากร ความปลอดภัยทางกายภาพ และมาตรการป้องกันทางเทคโนโลยี
- การปรับปรุงอย่างต่อเนื่อง (Continuous Improvement): การตอบสนองที่สอดคล้องกับ ISO 27001 จะรวมการตรวจสอบตามปกติ การกำกับดูแลโดยฝ่ายบริหาร และการดำเนินการแก้ไข เพื่อให้มั่นใจว่าการควบคุมสามารถปรับตัวรับมือกับช่องโหว่ทางไซเบอร์ที่เกิดขึ้นใหม่ได้
6. ข้อผิดพลาดทั่วไปที่ควรหลีกเลี่ยง
- คิดว่าเทคโนโลยีอย่างเดียวก็พอแล้ว: การละเมิดทางไซเบอร์ส่วนใหญ่เกิดขึ้นเพราะความผิดพลาดของมนุษย์ นี่คือเหตุผลว่าทำไม การควบคุมเชิงบริหารจัดการ (การฝึกอบรม) ถึงสำคัญไม่แพ้ การควบคุมเชิงตรรกะ (ไฟร์วอลล์)
- สับสนระหว่างการตรวจจับ (Detective) และการป้องกัน (Preventive): ถ้าการควบคุมนั้นหยุดเหตุการณ์ไม่ให้เกิดขึ้นได้ นั่นคือ Preventive แต่ถ้ามันแค่บอกคุณว่าเหตุการณ์กำลังเกิดขึ้น นั่นคือ Detective
- ละเลยหลัก "สิทธิ์ขั้นต่ำ" (Least Privilege): คือหลักการที่ว่าพนักงานควรเข้าถึงได้เฉพาะข้อมูลที่จำเป็นต่องานของตนอย่างแท้จริงเท่านั้น การให้ทุกคนมีสิทธิ์ "Admin" ถือเป็นความเสี่ยงที่ใหญ่หลวงมาก!
- เพิกเฉยต่อมาตรฐานเช่น ISO 27001: การนำเครื่องมือทางเทคนิคมาใช้โดยไม่มีกรอบการทำงานโดยรวมเช่น ISO 27001 จะทำให้เกิดช่องว่างในการกำกับดูแลความเสี่ยงและการออกแบบการควบคุม
รู้หรือไม่?
"จุดอ่อนที่สุด" ในระบบความปลอดภัยส่วนใหญ่ไม่ใช่บั๊กของคอมพิวเตอร์ แต่คือ วิศวกรรมสังคม (Social Engineering) ซึ่งเป็นการที่แฮกเกอร์หลอกล่อให้คนเผยรหัสผ่านหรือคลิกลิงก์ต่างๆ นี่คือเหตุผลว่าทำไม วัฒนธรรมความปลอดภัยไซเบอร์ และการฝึกอบรมพนักงานอย่างสม่ำเสมอจึงถูกจัดว่าเป็นการควบคุมความปลอดภัยที่สำคัญมากในหลักสูตร P3!
ข้อคิดทิ้งท้ายสำหรับนักศึกษา P3
ไม่ต้องกังวลถ้ารู้สึกว่าฝั่งเทคนิคของความเสี่ยงทางไซเบอร์ดูยากในตอนแรก ให้ลองถามตัวเองเสมอว่า: "การควบคุมนี้พยายามจะทำอะไร? กำลังหยุดภัยคุกคาม, กำลังตรวจจับภัยคุกคาม หรือกำลังแก้ไขความเสียหายหลังจากเกิดภัยคุกคามกันแน่? และมันสอดคล้องกับมาตรฐานที่เป็นที่ยอมรับอย่าง ISO 27001 หรือไม่?" เมื่อคุณตอบคำถามนี้ได้ คุณก็ถือว่าเข้าใจหัวใจสำคัญของบทนี้แล้ว!