ความมั่นคงปลอดภัยของสารสนเทศ: ความมั่นคงปลอดภัยของสารสนเทศ

ความมั่นคงปลอดภัยของสารสนเทศ มีจุดเริ่มต้นมาจากความต้องการความมั่นคงปลอดภัยของคอมพิวเตอร์ในยุคแรก ๆ
เนื่องจากพบว่ามีภัยคุกคามต่อความมั่นคงของคอมพิวเตอร์เป็นภัยคุกคามทางกายภาพ เช่น การลักขโมยอุปกรณ์ การโจรกรรมผลผลิตต่าง ๆ ที่ได้จากระบบ หรือการก่อวินาศกรรม เป็นต้น

ต่อมาเมื่อเทคโนโลยีมีความก้าวหน้าเพิ่มมากขึ้น ก็เกิดภัยคุกคามหลายรูปแบบ เช่น การลักลอกเข้าระบบโดยไม่ได้รับอนุญาต การโจรกรรมข้อมูลที่เป็นความลับ ตลอดจนการทำลายระบบด้วยวิธีการต่าง ๆ จึงก่อให้เกิดความเสียหายทั้งบุคคลและทรัพย์สินอย่างมาก จึงต้องมีการกำหนดขอบเขตของความมั่นคงปลอดภัยของสารสนเทศขึ้น

ความมั่นคงปลอดภัย (security) คือ สถานะที่มีความปลอดภัย ไร้กังวล อยู่ในสถานะที่ไม่มีอันตรายและได้รับการป้องกันจากภัยอันตรายทั้งที่เกิดขึ้นโดยตั้งใจหรือบังเอิญ
ความมั่นคงปลอดภัยของสารสนเทศ (Information Security) คือ การป้องกันสารสนเทศและองค์ประกอบอื่น ๆ ที่เกี่ยวข้อง ซึ่งรวมถึงระบบฮาร์ดแวร์ที่ใช้ในการจัดเก็บและโอนสารสนเทศนั้นด้วย

แนวคิดหลักของความมั่นคงปลอดภัยของสารสนเทศ

กลุ่มอุตสาหกรรมความมั่นคงปลอดภัยของคอมพิวเตอร์ ได้กำหนดแนวคิดขึ้นเรียกว่า C.I.A. Triangle ดังนี้

ความมั่นคงปลอดภัยของสารสนเทศนั้นมีองค์ประกอบด้วยกัน 3 ประการ คือ

ความลับ (Confidentiality)
ความถูกต้อง ความสมบูรณ์ (Integrity)
ความพร้อมใช้ (Availability)

ทรัพย์สิน (Asset) ที่มีความมั่นคงปลอดภัยนั้นต้องประกอบด้วยองค์ประกอบทั้ง 3 อย่างครบถ้วน ไม่ว่าทรัพย์สินนั้นจะเป็นสิ่งที่จับต้องได้ เช่น เครื่องคอมพิวเตอร์ อุปกรณ์เครือข่าย หรือทรัพย์สิน ที่ีจับต้องไม่ได้ เช่น ข้อมูล เป็นต้น

1. Confidentiality (ความลับ)
เป็นการรับประกันว่า ผู้มีสิทธิ์และได้รับอนุญาตเท่านั้นที่สามารถเข้าถึงข้อมูลได้

สารสนเทศที่ถูกเข้าถึงโดยบุคคลที่ไม่มีสิทธิ์หรือไม่ได้รับอนุญาต จะถือเป็นสารสนเทศที่เป็นความลับถูกเปิดเผย ซึ่งองค์กรต้องมีมาตรการป้องกัน เช่น

- การจัดประเภทของสารสนเทศ

- การรักษาความปลอดภัยให้กับแหล่งข้อมูล

- การกำหนดนโยบายความมั่นคงปลอดภัยและนำไปใช้งาน

- การให้การศึกษาแก่ทีมงานความมั่นคงปลอดภัยและนำไปใช้

2. Integrity (ความถูกต้อง ความสมบูรณ์)

ความครบถ้วนถูกต้อง และไม่มีสิ่งปลอมปน ดังนั้นสารสนเทศที่มีความสมบูรณ์จึงเป็นสารสนเทศที่นำไปใช้ประโยชน์ได้อย่างถูกต้องและครบถ้วน เช่น ถูกทำให้เสียหาย ไฟล์หาย เนื่องจา virus, worm หรือ Hacker ทำการปลอมปน สร้างความเสียหายให้กับข้อมูลองค์การได้ ยอดเงินในบัญชีธนาคารหรือแก้ไขราคาในการสั่งซื้อ

3. Availability (ความพร้อมใช้)

สารสนเทศจะถูกเข้าใช้หรือเรียกใช้งานได้อย่างราบรื่น โดยผู้ใช้ระบบอื่นที่ได้รับอนุญาตเท่านั้น หากเป็นผู้ใช้ระบบที่ไม่ได้รับอนุญาต การเข้าถึงก็จะล้มเหลวถูกขัดขวาง เช่น การป้องกันเนื้อหางาน วิจัยในห้องสมุด เนื้อหางานวิจัยพร้อมที่ใช้ต่อผู้ใช้ที่ได้รับอนุญาต คือสมาชิกของห้องสมุดนั่นเอง ดังนั้น จึงต้องมีการระบุตัวตน (Identification) ว่าเป็นสมาชิกห้องสมุดและพิสูจน์ได้ว่าได้รับอนุญาตจริง (Authorization)

อุปสรรคของงานความมั่นคงปลอดภัยของสารสนเทศ

ความมั่นคงปลอดภัย คือ ความไม่สะดวก ต้องเสียเวลาป้อนรหัสผ่านพิสูจน์ตัวตน มีความซับซ้อนบางอย่างที่ผู้ใช้ทั่วไปไม่ทราบ และไม่ได้ระวังความปลอดภัย ผู้ใช้ไม่ระวัง ไม่ชำนาญและไม่ระวังจึงตกเป็นเหยื่อของการโจมตี

การพัฒนาซอฟต์แวร์ไม่คำนึงถึงความปลอดภัยหรือคำนึงถึงในภายหลัง เกิดสังคมการแบ่งปันข้อมูล โดยขาดความระมัดระวัง การให้ข้อมูลส่วนบุคคล ทำให้เกิดช่องโหว่ของการโจมตีได้ มีการเข้าถึงได้ทุกสถานที่ เช่น smart phone, online storage หากผู้ใช้คนอื่นทราบชื่อผู้ใช้และรหัสผ่านก็สามารถเข้าถึงข้อมูลได้