การรักษาความลับของข้อมูล คืออะไร

Data security ก็คือคือ หลักการหรือเทคโนโลยีที่ช่วยในการปกป้องข้อมูลจากการทำลาย แก้ไข หรือเปิดเผยข้อมูลทั้งเจตนาและไม่เจตนา โดยการนำเทคนิคต่างๆและเทคโนโลยีที่หลากหลายมาควบคุมและจัดการความปลอดภัย

ทำไม Data Security ถึงสำคัญ เป้าหมายหลักของการรักษาความปลอดภัยข้อมูลคือ การปกป้องข้อมูลที่องค์กรรวบรวม เก็บ สร้าง รับ หรือส่ง ไม่สำคัญว่าจะต้องใช้อุปกรณ์เทคโนโลยีหรือกระบวนการใดในการจัดการแต่จะต้องได้รับการปกป้อง

การฝ่าฝืนข้อมูลอาจส่งผลให้คดีฟ้องร้องและค่าปรับจำนวนมากและส่งผลเสียต่อชื่อเสียงขององค์กร ความสำคัญของการป้องกันข้อมูลจากภัยคุกคามด้านความปลอดภัยจึงมีความสำคัญมากในปัจจุบัน

3 เสาหลักของ Data security มีอยู่ดังนี้

• Confidentiality
• Integrity
• Availability

เริ่มต้นด้วย Availability คือ ความสามารถในการใช้ข้อมูลหรือทรัพยากรที่ต้องการ ความพร้อมใช้งานเป็นสิ่งสำคัญด้านความน่าเชื่อถือเช่นเดียวกับการออกแบบระบบเนื่องจากระบบที่ใช้งานไม่ได้อย่างน้อยก็แย่เหมือนไม่มีระบบเลย ตัวอย่างเช่น

ในวันที่ 13 มี.ค. 2019 เซฟเวอร์ของ facebook เกิดล่มขึ้นมาทำให้ผู้ใช้งานจำนวนมากทั่วโลกนั้นไม่สามารถเข้าใช้งานได้ทั้ง Facebook Instagram และ Whatsapp ซึ่งกินระยะเวลานานมากกว่า 24 ชม. ซึ่งถือเป็นครั้งที่ 2 ตั้งแต่เหตุการณ์ล่มครั้งแรกในปี 2008 โดยหลาย ๆ ที่เชื่อว่าเป็นการ DDOS แต่ตัว Facebook ได้ออกมาปฎิเสธอย่างเป็นทางการผ่านบัญชี Twitter ของตนเองว่า DDoS ไม่ใช่สาเหตุแล้วในวันถัดไป Facebook ได้อัพเดทว่าปัญหานั้นเกิดจาก Server Configuration

Integrity เสาหลักที่ 2 หรือก็คือ ความน่าเชื่อถือของข้อมูลหรือทรัพยากรและมักจะเป็นประโยคในแง่ของการป้องกันการเปลี่ยนแปลงที่ไม่เหมาะสมหรือไม่ได้รับอนุญาต

เสาหลักสุดท้าย เสาที่ 3 ก็คือ Confidentiality คือการปกปิดข้อมูลหรือทรัพยากร ที่มีความจำเป็นต้องเก็บรักษาความลับของข้อมูลที่เกิดจากการใช้คอมพิวเตอร์ในด้านที่ละเอียดอ่อนเช่นรัฐบาลและอุตสาหกรรม เป็นต้น

การเข้ารหัสการคืนภาษีรายได้ จะป้องกันไม่ให้ใครก็ตามอ่านหากเจ้าของต้องการเห็นผลตอบแทนมันจะต้องถูกถอดรหัส ซึ่งมีเพียงผู้ครอบครองรหัสการเข้ารหัสเท่านั้นที่สามารถเข้าสู่โปรแกรมการถอดรหัสนี้ได้

นี้ก็เป็นส่วนหนึ่งเท่านั้นของผลกระทบหรือเหตุการณ์ที่ยกมา ถ้าใครสนใจอยากรู้ว่ามีอะไรอีก ก็ลองศึกษาดูนะครับ

1. การรักษาความลับ (Confidentiality) ให้บุคคลผู้มีสิทธิเท่านั้น เข้าถึงเรียกดูข้อมูลได้ ต้องมีการควบคุมการเข้าถึง ข้อมูลเป็นความลับต้องไม่เปิดเผยกับผู้ไม่มีสิทธิ

2. ความถูกต้องแท้จริง (Integrity) มีเกราะป้องกันความถูกต้องครบถ้วนสมบูรณ์ของข้อมูล และวิธีการประมวลผล ต้องมีการควบคุมความผิดพลาด ไม่ให้ผู้ไม่มีสิทธิมาเปลี่ยนแปลงแก้ไข

3. ความสามารถพร้อมใช้เสมอ (Availability) ให้บุคคลผู้มีสิทธิเท่านั้นเข้าถึงข้อมูลได้ทุกเมื่อที่ต้องการ ต้องมีการควบคุมไม่ให้ระบบล้มเหลว มีสมรรถภาพทำงานต่อเนื่อง ไม่ให้ผู้ไม่มีสิทธิมาทำให้ระบบหยุดการทำงาน

     ความปลอดภัยของข้อมูลสารสนเทศ (Information Security)

บริษัทฯ มีนโยบายให้ความปลอดภัยและการรักษาความลับของข้อมูล โดยบริษัทฯ ใช้ระบบรักษาความปลอดภัยที่มีมาตรฐานสูงทั้งในด้านเทคโนโลยีและกระบวนการเพื่อป้องกันการโจรกรรมข้อมูลที่เป็นความลับ บริษัทฯ ได้กำหนดให้มีระบบความปลอดภัยที่มีประสิทธิภาพ เพื่อให้มั่นใจได้ว่าเว็บไซต์และข้อมูลของบริษัทฯ มีการรักษาความปลอดภัยที่ได้มาตรฐาน รวมถึงการเลือกใช้ Firewall System, Anti-Virus System ที่มีมาตรฐานความปลอดภัยสูง รวมทั้งได้ใช้เทคโนโลยี เข้ารหัสข้อมูลที่ระดับ 128 บิท (128 Bit Encryption) ซึ่งเป็นการเข้ารหัสข้อมูลระดับสูงสำหรับการทำธุรกรรมผ่านบริการทางอินเทอร์เน็ต นอกจากนี้ บริษัทฯ ยังกำหนดให้ลูกค้าต้องลงทะเบียนก่อนจึงจะสามารถใช้บริการได้

บริษัทฯ ได้มีการเลือกใช้เทคโนโลยีระบบคอมพิวเตอร์ที่มีระบบการรักษาความปลอดภัยในขั้นพื้นฐานที่เป็นมาตรฐานสากลอยู่แล้ว และเสริมด้วยการทำงานด้านอุปกรณ์ความปลอดภัยเฉพาะอีกชั้น และโดยหลักการทั่วไปในการควบคุมและรักษาความปลอดภัยให้กับระบบข้อมูลข่าวสาร ได้แก่การควบคุมส่วนต่าง ๆ ของระบบอย่างรัดกุม วิธีการที่ใช้ในการควบคุมมีดังนี้

1.  การควบคุมรักษาความปลอดภัยโดยตัวซอฟต์แวร์ (Software Control)
โดยมีระดับวิธีการ 3 วิธีคือ

-  การควบคุมจากระบบภายในของซอฟต์แวร์ (Internal Program Control) คือการที่       โปรแกรมนั้นได้มีการควบคุมสิทธิการเข้าถึง และสิทธิในการใช้ข้อมูลภายในระบบ ซึ่งถูกจัดเก็บไว้ในระบบฐานข้อมูลภายในระบบเอง 

-  การควบคุมความปลอดภัยโดยระบบปฏิบัติการ (Operating System Control) คือการควบคุมสิทธิการเข้าถึงและการใช้ข้อมูลในส่วนต่าง ๆ ภายในระบบคอมพิวเตอร์ของผู้ใช้คนหนึ่ง และจำแนกแตกต่างจากผู้ใช้คนอื่น ๆ

-  การควบคุมและการออกแบบโปรแกรม (Development Control) คือการควบคุมตั้งแต่การออกแบบ การทดสอบก่อนการใช้งานจริง

2. การควบคุมความปลอดภัยของระบบโดยฮาร์ดแวร์ (Hardware Control)
โดยเลือกใช้เทคโนโลยีทางด้านฮาร์ดแวร์ ที่สามารถควบคุมการเข้าถึง และป้องกันการทำงานผิดพลาด ด้วยอุปกรณ์ภายในตัวเอง

3. การใช้นโยบายในการควบคุม (Policies)
โดยมีการประกาศใช้นโยบาย และการปรับปรุงนโยบายให้มีการทำงานสอดคล้องกับการดำเนินธุรกิจ และสภาพแวดล้อมที่เปลี่ยนแปลง โดยมีผลบังคับใช้ทั้งองค์กร

4. การป้องกันทางกายภาพ (Physical Control)
การมีมาตรการการเข้าถึงศูนย์คอมพิวเตอร์ และเครื่องคอมพิวเตอร์ที่สำคัญได้เฉพาะเจ้าหน้าที่ที่เกี่ยวข้องเท่านั้น รวมทั้งมีระบบสำรองข้อมูลอย่างสม่ำเสมอ

        การจัดการด้านความปลอดภัยของระบบเครือข่าย Counter Service จะประกอบด้วยองค์ประกอบ 3 ส่วนดังนี้

    1. โครงสร้างพื้นฐานด้านความปลอดภัย

a.การติดตั้งระบบ Firewall บริษัทฯ ได้ติดตั้ง Firewall ซึ่งเป็นเทคโนโลยีที่ทำการป้องกันผู้บุกรุกเข้า-ออกระบบ และกำหนดโซนการให้บริการ การเข้าถึงข้อมูล ที่เหมาะสม
- กำหนดขอบเขต และโซนการทำงานที่เหมาะสม
- กำหนดบริการ และการเข้าถึงระบบสำหรับผู้ที่ได้รับอนุญาตเท่านั้น

b.การติดตั้งระบบ Anti-Virus เพื่อทำการป้องกัน และกำจัดไวรัสที่มีการอัพเดตข้อมูลอย่างสม่ำเสมอ

c.การติดตั้งระบบ SSL บริษัทฯ เลือกใช้ SSL เวอร์ชั่นล่าสุด ซึ่งบริษัท และธนาคารชั้นนำส่วนใหญ่เลือกใช้ เนื่องจากมีประสิทธิภาพในการรักษาความปลอดภัยขั้นสูง  หน้าที่ของ SSL คือ สลับที่ข้อมูลและแปลงเป็นรหัสตัวเลขทั้งหมด ยิ่งความละเอียดในการเข้ารหัสมีมากเท่าไร ความปลอดภัยก็ยิ่งสูงขึ้นเท่านั้น ระดับความละเอียดของการเข้ารหัสมีหน่วยเป็น บิท  โดยเว็บไซท์บริษัทฯ ได้ใช้การเข้ารหัสระดับ 128 บิท ซึ่งถือว่าเป็นระดับที่บริษัท และธนาคารชั้นนำของโลกใช้อยู่

d.การติดตั้งระบบปฏิบัติการที่มีระดับความปลอดภัยที่ระดับ C2 โดยการติดตั้ง และเปิดใช้เฉพาะบริการที่เหมาะสม และจำเป็นเท่านั้น

ข้อใดหมายถึงการรักษาความลับของข้อมูล

ข้อใดหมายถึงความลับของข้อมูล

ข้อใดหมายถึงความพร้อมใช้งานของข้อมูล

การรักษาความปลอดภัยของข้อมูล หมายถึงอะไร