ยินดีต้อนรับสู่โลกแห่งการควบคุมความปลอดภัย (Security Controls)!

สวัสดีเพื่อนๆ นักศึกษา CIMA ทุกคน! ตอนนี้เรากำลังสำรวจ ส่วนที่ D: ความเสี่ยงทางไซเบอร์ (Cyber Risk) ในหลักสูตร P3 ของเรา บทนี้คือ การควบคุมความปลอดภัย (Security Controls) ซึ่งเปรียบเสมือนฝั่ง "กองหลัง" ในเกมการปกป้องข้อมูล ในเมื่อเราทราบแล้วว่าภัยคุกคามทางไซเบอร์มีอะไรบ้าง แล้วเราจะหยุดมันจริงๆ ได้อย่างไร?

ลองจินตนาการว่าการควบคุมความปลอดภัยก็เหมือนกับชั้นการป้องกันหลายๆ ชั้นที่ล้อมรอบห้องนิรภัยของธนาคาร บางชั้นมีไว้เพื่อขู่ให้คนกลัว บางชั้นมีไว้เพื่อกั้นไม่ให้ใครเข้ามาได้ และบางชั้นก็ช่วยบอกคุณเมื่อมีคนบุกรุกเข้ามา ถ้ารู้สึกว่าเนื้อหานี้ดูเป็นเทคนิคไปบ้างไม่ต้องกังวลนะ เราจะค่อยๆ ย่อยให้เข้าใจง่ายด้วยตัวอย่างในชีวิตประจำวัน!

1. การควบคุมความปลอดภัยคืออะไร?

พูดง่ายๆ ก็คือ การควบคุมความปลอดภัย (Security Control) คือมาตรการใดๆ ก็ตามที่นำมาใช้เพื่อลดความเสี่ยงจากภัยคุกคามทางไซเบอร์ โดยมีเป้าหมายเพื่อปกป้อง ความลับ (Confidentiality) ความถูกต้องสมบูรณ์ (Integrity) และความพร้อมใช้งาน (Availability) หรือที่เรียกสั้นๆ ว่า CIA ของข้อมูลนั่นเอง

เรามักจะจัดกลุ่มการควบคุมเหล่านี้ออกเป็น 3 "ถัง" หลักๆ ดังนี้:

1. การควบคุมเชิงกายภาพ (Physical Controls): คือสิ่งที่คุณจับต้องได้ ซึ่งช่วยปกป้องสภาพแวดล้อมทางกายภาพ
ตัวอย่าง: แม่กุญแจล็อคประตู, กล้องวงจรปิด หรือพนักงานรักษาความปลอดภัย

2. การควบคุมเชิงตรรกะหรือเทคนิค (Logical/Technical Controls): คือซอฟต์แวร์หรือการตั้งค่าในระบบที่ช่วยปกป้องข้อมูลที่อยู่ข้างใน
ตัวอย่าง: รหัสผ่าน, ไฟร์วอลล์ (Firewalls) และการเข้ารหัสข้อมูล (Encryption)

3. การควบคุมเชิงบริหารจัดการ (Administrative/Procedural Controls): คือ "กฎระเบียบ" และนโยบายที่ฝ่ายบริหารเป็นผู้กำหนด
ตัวอย่าง: การฝึกอบรมพนักงาน, การตรวจสอบประวัติ และนโยบายด้านความปลอดภัย

กล่องทบทวนความรู้

คำถาม: "นโยบายโต๊ะทำงานสะอาด (Clear Desk Policy)" จัดเป็นการควบคุมเชิงกายภาพหรือเชิงบริหารจัดการ?
คำตอบ: เป็นการควบคุมเชิง บริหารจัดการ เพราะมันคือกฎหรือขั้นตอนที่พนักงานต้องปฏิบัติตามนั่นเอง

2. การจำแนกการควบคุมตามหน้าที่ (Function)

นี่คือหัวข้อโปรดของผู้ออกสอบเลยล่ะ! การควบคุมไม่ได้แบ่งแค่ว่ามัน คืออะไร แต่แบ่งตามว่ามัน ทำหน้าที่อะไร ในการจดจำให้ลองนึกถึงเหตุการณ์ตามลำดับเวลาของการเกิดอาชญากรรมดูนะ

A. การควบคุมเชิงยับยั้ง (Deterrent Controls)

ออกแบบมาเพื่อขัดขวางไม่ให้คนกล้าคิดจะโจมตีตั้งแต่แรก โดยเน้นไปที่จิตวิทยาของผู้โจมตี
เปรียบเทียบ: ป้ายที่เขียนว่า "ระวังหมาดุ" ถึงแม้ว่าจริงๆ แล้วจะไม่มีหมาอยู่เลย แต่มันก็ทำให้โจรต้องคิดหนักก่อนจะลงมือ!

B. การควบคุมเชิงป้องกัน (Preventive Controls)

นี่คือ "กำแพง" ที่หยุดการโจมตีไม่ให้ประสบความสำเร็จจริงๆ โดยการปิดกั้นการเข้าถึงที่ไม่ได้รับอนุญาต
เปรียบเทียบ: ลูกบิดประตูแบบล็อคสองชั้นคุณภาพสูงที่ประตูหน้าบ้านของคุณ

C. การควบคุมเชิงตรวจจับ (Detective Controls)

ช่วยระบุว่าการโจมตีกำลังเกิดขึ้นหรือเกิดขึ้นไปแล้ว แม้มันจะไม่ได้หยุดการโจมตี แต่ก็จะทำหน้าที่ส่งสัญญาณเตือน
เปรียบเทียบ: เครื่องตรวจจับควันไฟหรือสัญญาณกันขโมยที่ตรวจจับการเคลื่อนไหว

D. การควบคุมเชิงแก้ไข (Corrective Controls)

ช่วยซ่อมแซมความเสียหายหลังจากเหตุการณ์เกิดขึ้นแล้วและกู้คืนระบบให้กลับสู่สภาพปกติ
เปรียบเทียบ: ระบบสปริงเกอร์ดับเพลิงอัตโนมัติที่ช่วยดับไฟทันทีที่เริ่มไหม้

E. การควบคุมเชิงกู้คืน (Recovery Controls)

จะก้าวไปอีกขั้นกว่าการแก้ไข โดยเน้นการกู้คืนระบบให้กลับสู่สถานะเดิมก่อนเกิดเหตุ ซึ่งมักจะใช้การสำรองข้อมูล (Backups)
เปรียบเทียบ: การนำเงินประกันที่ได้มาสร้างบ้านใหม่หลังจากเกิดเหตุไฟไหม้

ตัวช่วยจำ: "D-P-D-C-R"

ลองนึกภาพว่า: Dogs Protect Doors, Cats Run.
(Deterrent, Preventive, Detective, Corrective, Recovery)

3. การควบคุมเชิงตรรกะ (เทคนิค) ที่สำคัญ

เนื่องจากเราอยู่ในส่วนความเสี่ยงทางไซเบอร์ เราจึงต้องเน้นที่เครื่องมือทางเทคนิคที่ใช้ป้องกันแฮกเกอร์ อย่าให้ศัพท์เทคนิคทำให้คุณกลัวเชียวล่ะ!

การเข้ารหัส (Encryption)

การเข้ารหัสจะเปลี่ยนข้อมูลที่อ่านออกได้ (Plain text) ให้กลายเป็นสิ่งที่อ่านไม่รู้เรื่อง (Cipher text) ซึ่งจะอ่านได้ก็ต่อเมื่อคุณมี "กุญแจ" เท่านั้น

- การเข้ารหัสแบบสมมาตร (Symmetric Encryption): ทั้งผู้ส่งและผู้รับใช้ กุญแจดอกเดียวกัน ในการล็อคและปลดล็อคข้อมูล มันรวดเร็ว แต่คุณต้องหาวิธีส่งกุญแจให้กันอย่างปลอดภัย
- การเข้ารหัสแบบไม่สมมาตร (Asymmetric Encryption): ใช้ กุญแจสาธารณะ (Public Key) (ใครก็ใช้ล็อคข้อมูลได้) และ กุญแจส่วนตัว (Private Key) (มีแค่เจ้าของเท่านั้นที่ปลดล็อคได้) เหมือนตู้รับจดหมายที่ใครก็หย่อนจดหมายลงไปได้ แต่มีแค่เจ้าของบ้านเท่านั้นที่มีกุญแจเปิดตู้

ไฟร์วอลล์ (Firewalls)

ไฟร์วอลล์ ทำหน้าที่เป็น "การ์ด" เฝ้าประตูระหว่างเครือข่ายภายในของคุณกับอินเทอร์เน็ต โดยจะตรวจสอบข้อมูลที่เข้าและออก และตัดสินใจว่าจะอนุญาตให้ผ่านหรือไม่ตามชุดกฎที่ตั้งไว้

การควบคุมการเข้าถึง: การระบุตัวตน (Identification) vs. การยืนยันตัวตน (Authentication)

หลายคนสับสนสองคำนี้ เรามาเคลียร์กันเลย:
- การระบุตัวตน (Identification): คือการบอกว่าคุณเป็นใคร (เช่น การกรอกชื่อผู้ใช้/Username)
- การยืนยันตัวตน (Authentication): คือการพิสูจน์ว่าคุณคือคนนั้นจริงๆ (เช่น การใส่รหัสผ่าน หรือการสแกนลายนิ้วมือ)

การยืนยันตัวตนแบบหลายปัจจัย (Multi-Factor Authentication - MFA): คือการใช้สองวิธีขึ้นไปเพื่อพิสูจน์ตัวตน ซึ่งมักจะรวมเอาปัจจัยดังนี้:
1. สิ่งที่คุณ รู้ (รหัสผ่าน)
2. สิ่งที่คุณ มี (รหัส OTP ที่ส่งมาที่มือถือ)
3. สิ่งที่คุณ เป็น (ลายนิ้วมือหรือการสแกนใบหน้า)

4. การควบคุมทั่วไป (General Controls) vs. การควบคุมระดับแอปพลิเคชัน (Application Controls)

ผู้ออกสอบ CIMA ชอบทดสอบความแตกต่างระหว่างสองหมวดหมู่นี้มาก เพราะมันสำคัญต่อการเข้าใจว่าระบบไอทีถูกตรวจสอบอย่างไร

การควบคุมไอทีทั่วไป (General IT Controls - GITCs)

สิ่งเหล่านี้ใช้กับ สภาพแวดล้อมไอทีทั้งหมด เพื่อให้แน่ใจว่า "บ้านทั้งหลัง" ปลอดภัย
ตัวอย่าง: ความปลอดภัยทางกายภาพของห้องเซิร์ฟเวอร์, นโยบายรหัสผ่านสำหรับพนักงานทุกคน และแผนกู้คืนระบบจากภัยพิบัติ

การควบคุมระดับแอปพลิเคชัน (Application Controls)

เฉพาะเจาะจงสำหรับ โปรแกรมซอฟต์แวร์ใดโปรแกรมหนึ่ง (เช่น ระบบเงินเดือนหรือโปรแกรมบัญชี) เพื่อให้แน่ใจว่าข้อมูลที่ประมวลผลโดยโปรแกรมนั้นถูกต้องและครบถ้วน
ตัวอย่าง:

  • Input Controls: ตรวจสอบว่าข้อมูลที่กรอกเข้ามาถูกต้อง (เช่น คุณไม่สามารถกรอกเงินเดือนพนักงานเป็นเลขติดลบได้)
  • Processing Controls: ตรวจสอบว่าการคำนวณถูกต้อง (เช่น ผลรวมด้านเดบิตต้องเท่ากับด้านเครดิต)
  • Output Controls: ตรวจสอบว่ารายงานต่างๆ ถูกส่งไปยังคนที่ถูกต้อง

สรุปประเด็นสำคัญ

General Controls คือเรื่องของ โครงสร้างพื้นฐาน (อาคารทั้งหลัง)
Application Controls คือเรื่องของ ข้อมูล ภายในงานเฉพาะอย่าง (ตู้เก็บเอกสารภายในห้องหนึ่งห้อง)

5. ข้อผิดพลาดทั่วไปที่ควรหลีกเลี่ยง

- คิดว่าเทคโนโลยีอย่างเดียวก็พอแล้ว: การละเมิดทางไซเบอร์ส่วนใหญ่เกิดขึ้นเพราะความผิดพลาดของมนุษย์ นี่คือเหตุผลว่าทำไม การควบคุมเชิงบริหารจัดการ (การฝึกอบรม) ถึงสำคัญไม่แพ้ การควบคุมเชิงตรรกะ (ไฟร์วอลล์)
- สับสนระหว่างการตรวจจับ (Detective) และการป้องกัน (Preventive): ถ้าการควบคุมนั้นหยุดเหตุการณ์ไม่ให้เกิดขึ้นได้ นั่นคือ Preventive แต่ถ้ามันแค่บอกคุณว่าเหตุการณ์กำลังเกิดขึ้น นั่นคือ Detective
- ละเลยหลัก "สิทธิ์ขั้นต่ำ" (Least Privilege): คือหลักการที่ว่าพนักงานควรเข้าถึงได้เฉพาะข้อมูลที่จำเป็นต่องานของเขาเท่านั้น การให้ทุกคนมีสิทธิ์ "Admin" ถือเป็นความเสี่ยงที่ใหญ่หลวงมาก!

รู้หรือไม่?

"จุดอ่อนที่สุด" ในระบบความปลอดภัยส่วนใหญ่ไม่ใช่บั๊กของคอมพิวเตอร์ แต่คือ วิศวกรรมสังคม (Social Engineering) ซึ่งเป็นการที่แฮกเกอร์หลอกล่อให้คนเผยรหัสผ่านหรือคลิกลิงก์ต่างๆ นี่คือเหตุผลว่าทำไม วัฒนธรรมความปลอดภัยไซเบอร์ และการฝึกอบรมพนักงานอย่างสม่ำเสมอจึงถูกจัดว่าเป็นการควบคุมความปลอดภัยที่สำคัญมากในหลักสูตร P3!

ข้อคิดทิ้งท้ายสำหรับนักศึกษา P3

ไม่ต้องกังวลถ้ารู้สึกว่าฝั่งเทคนิคของความเสี่ยงทางไซเบอร์ดูยากในตอนแรก ให้ลองถามตัวเองเสมอว่า: "การควบคุมนี้พยายามจะทำอะไร? กำลังหยุดภัยคุกคาม, กำลังตรวจจับภัยคุกคาม หรือกำลังแก้ไขความเสียหายหลังจากเกิดภัยคุกคามกันแน่?" เมื่อคุณตอบคำถามนี้ได้ คุณก็ถือว่าเข้าใจหัวใจสำคัญของบทนี้แล้ว!