CIA Triad คืออะไร?

การรักษาความลับเกี่ยวข้องกับความพยายามขององค์กรเพื่อให้แน่ใจว่าข้อมูลจะถูกเก็บไว้เป็นความลับหรือเป็นส่วนตัว เพื่อให้บรรลุถึงเป้าหมายนี้ การเข้าถึงข้อมูลจะต้องได้รับการควบคุมเพื่อป้องกันการแบ่งปันข้อมูลโดยไม่ได้รับอนุญาต ไม่ว่าจะโดยตั้งใจหรือไม่ตั้งใจก็ตาม องค์ประกอบสำคัญของการรักษาความลับคือการทำให้แน่ใจว่าบุคคลที่ไม่ได้รับอนุญาตอย่างถูกต้องจะไม่สามารถเข้าถึงทรัพย์สินที่สำคัญต่อธุรกิจของคุณได้ ในทางกลับกัน ระบบที่มีประสิทธิภาพยังช่วยให้มั่นใจได้ว่าผู้ที่จำเป็นต้องเข้าถึงจะได้รับสิทธิพิเศษที่จำเป็นอีกด้วย

ตัวอย่างเช่น ผู้ที่ทำงานกับการเงินขององค์กรควรสามารถเข้าถึงสเปรดชีต บัญชีธนาคาร และข้อมูลอื่นๆ ที่เกี่ยวข้องกับการไหลเวียนของเงินได้ อย่างไรก็ตาม พนักงานส่วนใหญ่ และอาจรวมถึงผู้บริหารบางคน อาจไม่ได้รับอนุญาตให้เข้าถึงข้อมูลเหล่านี้ เพื่อให้มั่นใจว่านโยบายเหล่านี้ได้รับการปฏิบัติตาม จึงจำเป็นต้องมีข้อจำกัดที่เข้มงวดเพื่อจำกัดว่าใครสามารถดูข้อมูลอะไรได้บ้าง

มีหลายวิธีที่อาจทำให้ความลับถูกละเมิดได้ ซึ่งอาจรวมถึงการโจมตีโดยตรงเพื่อเข้าถึงระบบที่ผู้โจมตีไม่มีสิทธิ์ดู นอกจากนี้ยังอาจเกี่ยวข้องกับการที่ผู้โจมตีพยายามแทรกซึมเข้าไปในแอปพลิเคชันหรือฐานข้อมูลโดยตรงเพื่อขโมยข้อมูลหรือแก้ไขข้อมูล 

การโจมตีโดยตรงเหล่านี้อาจใช้เทคนิคต่างๆ เช่นการโจมตีแบบ man-in-the-middle (MITM)ซึ่งผู้โจมตีจะวางตำแหน่งตัวเองในกระแสข้อมูลเพื่อสกัดกั้นข้อมูล จากนั้นจึงขโมยหรือแก้ไขข้อมูล ผู้โจมตีบางรายใช้การสอดแนมเครือข่ายรูปแบบอื่นๆ เพื่อเข้าถึงข้อมูลประจำตัว ในบางกรณี ผู้โจมตีจะพยายามเพิ่มสิทธิ์ในระบบเพื่อขอสิทธิ์ในระดับถัดไป

อย่างไรก็ตาม การละเมิดความลับไม่ได้เกิดขึ้นโดยเจตนาเสมอไป ข้อผิดพลาดของมนุษย์หรือการควบคุมความปลอดภัยที่ไม่เพียงพอก็อาจเป็นสาเหตุได้เช่นกัน ตัวอย่างเช่น บางคนอาจไม่สามารถป้องกันรหัสผ่านของตนเองได้ ไม่ว่าจะเป็นการเข้าสู่ระบบเวิร์กสเตชันหรือการเข้าสู่ระบบในพื้นที่จำกัด ผู้ใช้อาจแบ่งปันข้อมูลประจำตัวของตนกับผู้อื่น หรืออาจอนุญาตให้ผู้อื่นเห็นข้อมูลเข้าสู่ระบบของตนขณะที่เข้าสู่ระบบ ในบางกรณี ผู้ใช้อาจไม่ได้เข้ารหัสการสื่อสารอย่างถูกต้อง ทำให้ผู้โจมตีสามารถดักจับข้อมูลได้ นอกจากนี้ ขโมยอาจขโมยฮาร์ดแวร์ ไม่ว่าจะเป็นคอมพิวเตอร์ทั้งเครื่องหรืออุปกรณ์ที่ใช้ในกระบวนการเข้าสู่ระบบ และนำไปใช้เพื่อเข้าถึงข้อมูลที่เป็นความลับ

เพื่อรับมือกับการละเมิดความลับ คุณสามารถจำแนกและติดป้ายกำกับข้อมูลที่ถูกจำกัด เปิดใช้งานนโยบายควบคุมการเข้าถึง เข้ารหัสข้อมูล และใช้ระบบการยืนยันตัวตนแบบหลายปัจจัย (MFA)นอกจากนี้ ควรตรวจสอบให้แน่ใจว่าทุกคนในองค์กรได้รับการฝึกอบรมและมีความรู้ที่จำเป็นในการรับรู้และหลีกเลี่ยงอันตรายเหล่านั้น

ความซื่อสัตย์หมายถึงการทำให้มั่นใจว่าข้อมูลของคุณน่าเชื่อถือและปราศจากการปลอมแปลง ความถูกต้องของข้อมูลจะคงอยู่ก็ต่อเมื่อข้อมูลนั้นเป็นของแท้ ถูกต้อง และเชื่อถือได้เท่านั้น 

ตัวอย่างเช่น หากบริษัทของคุณให้ข้อมูลเกี่ยวกับผู้บริหารระดับสูงบนเว็บไซต์ ข้อมูลดังกล่าวจะต้องมีความถูกต้อง หากข้อมูลไม่ถูกต้อง ผู้ที่เข้ามาดูเว็บไซต์เพื่อหาข้อมูลอาจรู้สึกว่าองค์กรของคุณไม่น่าเชื่อถือ ผู้ที่มีส่วนได้ส่วนเสียในการทำลายชื่อเสียงขององค์กรอาจพยายามแฮ็กเว็บไซต์ของคุณและแก้ไขคำอธิบาย รูปภาพ หรือตำแหน่งของผู้บริหารเหล่านั้นเพื่อทำลายชื่อเสียงของพวกเขาหรือของบริษัทโดยรวม

การละเมิดความสมบูรณ์ของระบบมักเกิดขึ้นโดยเจตนา ผู้โจมตีอาจข้ามระบบตรวจจับการบุกรุก (IDS)เปลี่ยนแปลงการกำหนดค่าไฟล์เพื่อให้เข้าถึงโดยไม่ได้รับอนุญาต หรือแก้ไขบันทึกที่ระบบเก็บไว้เพื่อซ่อนการโจมตี ความสมบูรณ์ของระบบอาจถูกละเมิดโดยไม่ได้ตั้งใจ บุคคลอาจป้อนรหัสผิดโดยไม่ได้ตั้งใจ หรือทำผิดพลาดโดยประมาทเลินเล่อ นอกจากนี้ หากนโยบาย การป้องกัน และขั้นตอนด้านความปลอดภัยของบริษัทไม่เพียงพอ ความสมบูรณ์ของระบบก็อาจถูกละเมิดได้โดยที่บุคคลใดบุคคลหนึ่งในองค์กรต้องรับผิดชอบต่อความผิด

เพื่อปกป้องความสมบูรณ์ของข้อมูล คุณสามารถใช้การแฮช การเข้ารหัส ใบรับรองดิจิทัล หรือลายเซ็นดิจิทัล สำหรับเว็บไซต์ คุณสามารถใช้ผู้ให้บริการออกใบรับรอง (CA) ที่เชื่อถือได้ ซึ่งตรวจสอบความถูกต้องของเว็บไซต์ของคุณ เพื่อให้ผู้เข้าชมทราบว่าพวกเขากำลังเข้าชมเว็บไซต์ที่ตั้งใจจะเข้าชม 

วิธีการหนึ่งสำหรับการตรวจสอบความถูกต้องคือ การไม่ปฏิเสธ (non-repudiation) ซึ่งหมายถึงเมื่อไม่สามารถปฏิเสธหรือปฏิเสธบางสิ่งบางอย่างได้ ตัวอย่างเช่น หากพนักงานในบริษัทของคุณใช้ลายเซ็นดิจิทัลในการส่งอีเมล ความจริงที่ว่าอีเมลนั้นมาจากพวกเขาจะไม่สามารถปฏิเสธได้ นอกจากนี้ ผู้รับไม่สามารถปฏิเสธได้ว่าตนได้รับอีเมลจากผู้ส่ง