Cloud Security คืออะไร — ความเสี่ยงและแนวทางป้องกันระบบคลาวด์

การย้ายระบบขึ้นคลาวด์ (Cloud Migration) เป็นเทรนด์ที่องค์กรทั่วโลกเร่งดำเนินการ แต่หลายองค์กรยังเข้าใจผิดว่า “ขึ้นคลาวด์แล้วปลอดภัย” ความจริงคือ Cloud Security เป็นความรับผิดชอบร่วมระหว่างผู้ให้บริการคลาวด์และองค์กร บทความนี้อธิบาย Cloud Security อย่างครบถ้วน ตั้งแต่โมเดลความรับผิดชอบ ความเสี่ยงหลัก มาตรฐานสากล จนถึงข้อกำหนดของไทย

Cloud Security คืออะไร

Cloud Security (ความมั่นคงปลอดภัยระบบคลาวด์) คือชุดนโยบาย เทคโนโลยี การควบคุม และแนวปฏิบัติที่ออกแบบมาเพื่อปกป้องข้อมูล แอปพลิเคชัน และโครงสร้างพื้นฐานที่อยู่บนระบบ Cloud Computing ครอบคลุมทั้ง Infrastructure as a Service (IaaS), Platform as a Service (PaaS) และ Software as a Service (SaaS)

Cloud Security ไม่ใช่ผลิตภัณฑ์ตัวเดียว แต่เป็นชุดมาตรการที่ต้องทำงานร่วมกัน ตั้งแต่การจัดการตัวตนและสิทธิ์ (Identity and Access Management — IAM), การเข้ารหัสข้อมูล (Encryption), การตั้งค่าความปลอดภัย (Security Configuration), การตรวจจับภัยคุกคาม (Threat Detection) ไปจนถึงการปฏิบัติตามข้อกำหนด (Compliance)

Shared Responsibility Model — ใครรับผิดชอบอะไร

หัวใจของ Cloud Security คือ Shared Responsibility Model (โมเดลความรับผิดชอบร่วม) ซึ่งผู้ให้บริการคลาวด์ทั้ง 3 รายหลักใช้หลักการเดียวกัน แต่แบ่งเส้นความรับผิดชอบต่างกันตามประเภทบริการ [1]

ผู้ให้บริการคลาวด์ (Cloud Provider) รับผิดชอบ

• ความปลอดภัย “ของ” คลาวด์ (Security “OF” the Cloud)
• โครงสร้างพื้นฐานทางกายภาพ: Data Center, เครือข่าย, ฮาร์ดแวร์
• Hypervisor และ Virtualization Layer
• Physical Security, ระบบไฟฟ้า, ระบบระบายความร้อน

ลูกค้า (Customer) รับผิดชอบ

• ความปลอดภัย “ใน” คลาวด์ (Security “IN” the Cloud)
• ข้อมูลและการเข้ารหัส (Data & Encryption)
• การจัดการตัวตนและสิทธิ์ (IAM)
• การตั้งค่าระบบปฏิบัติการ, แอปพลิเคชัน, Security Group
• การตั้งค่า Firewall และ Network Configuration

ตารางเปรียบเทียบความรับผิดชอบตามประเภทบริการ

จุดสำคัญ: ไม่ว่าจะใช้บริการประเภทใด ข้อมูลยังคงเป็นความรับผิดชอบของลูกค้าเสมอ หากข้อมูลรั่วไหลเพราะตั้งค่า S3 Bucket เป็น Public โดยไม่ตั้งใจ ผู้ให้บริการคลาวด์ไม่รับผิดชอบ

ความเสี่ยงหลักด้าน Cloud Security

Cloud Security Alliance (CSA) ซึ่งเป็นองค์กรระดับโลกด้านความปลอดภัยคลาวด์ เผยแพร่รายงาน Top Threats to Cloud Computing เป็นประจำ โดยสำรวจผู้เชี่ยวชาญด้านความปลอดภัยมากกว่า 500 คน [2]

1. Misconfiguration — การตั้งค่าผิดพลาด (อันดับ 1 ในรายงาน CSA 2024)

การตั้งค่าผิดพลาดเป็นสาเหตุอันดับ 1 ของเหตุการณ์ด้านความปลอดภัยบนคลาวด์ จากรายงานของ RSA Conference 2025 ระบุว่า 82% ของ Cloud Breach มีสาเหตุจาก Misconfiguration [3] ตัวอย่างที่พบบ่อย:

• S3 Bucket หรือ Azure Blob Storage ตั้งเป็น Public โดยไม่ตั้งใจ
• Security Group เปิด Port ทุก Port (0.0.0.0/0)
• ไม่เปิด Logging หรือ Monitoring
• ใช้ Default Password ของ Database ที่เปิดเป็น Public

2. Identity and Access Management (IAM) Failures

จากรายงาน CSA Top Threats 2025 (เผยแพร่ปี 2026) IAM ขยับขึ้นเป็นอันดับ 1 แทนที่ Misconfiguration [4] ปัญหาที่พบบ่อย:

• ให้สิทธิ์มากเกินไป (Over-Privileged Access)
• ไม่เปิด Multi-Factor Authentication (MFA)
• ใช้ Access Key แทน Role-based Access
• ไม่หมุนเวียน Credential (Credential Rotation)

3. Insecure APIs

API เป็นช่องทางหลักในการเข้าถึงบริการคลาวด์ หาก API ไม่ได้รับการป้องกันอย่างเหมาะสม ผู้โจมตีสามารถใช้เป็นช่องทางเข้าถึงข้อมูลและระบบได้

4. Data Exposure — ข้อมูลรั่วไหล

การจัดเก็บข้อมูลบนคลาวด์โดยไม่เข้ารหัส ไม่จัดการสิทธิ์ หรือไม่มี Data Loss Prevention (DLP) ทำให้ข้อมูลสำคัญถูกเข้าถึงโดยบุคคลที่ไม่ได้รับอนุญาต

5. Insecure Third-Party Resources

การพึ่งพา Third-party Library, Container Image, หรือ Cloud Marketplace AMI ที่ไม่ได้ตรวจสอบ อาจนำ Vulnerability หรือ Backdoor เข้ามาในระบบ

CSA Cloud Controls Matrix (CCM)

Cloud Controls Matrix (CCM) เป็น Cybersecurity Control Framework ที่พัฒนาโดย CSA ประกอบด้วย 207 Controls ใน 17 Security Domains (เวอร์ชัน 4.1) ออกแบบเฉพาะสำหรับสภาพแวดล้อมคลาวด์ [5]

17 Domains ของ CCM v4.1

1. Audit & Assurance (A&A) — การตรวจสอบและรับรอง
2. Application & Interface Security (AIS) — ความปลอดภัยแอปพลิเคชันและ API
3. Business Continuity (BCR) — ความต่อเนื่องทางธุรกิจ
4. Change Control & Configuration (CCC) — การจัดการเปลี่ยนแปลงและตั้งค่า
5. Cryptography, Encryption & Key Management (CEK) — การเข้ารหัสและจัดการกุญแจ
6. Datacenter Security (DCS) — ความปลอดภัย Data Center
7. Data Security & Privacy (DSP) — ความปลอดภัยข้อมูลและความเป็นส่วนตัว
8. Governance, Risk & Compliance (GRC) — ธรรมาภิบาล ความเสี่ยง และ Compliance
9. Human Resources (HRS) — ทรัพยากรบุคคล
10. Identity & Access Management (IAM) — การจัดการตัวตนและสิทธิ์
11. Interoperability & Portability (IPY) — ความสามารถทำงานร่วมและย้ายระบบ
12. Infrastructure & Virtualization Security (IVS) — ความปลอดภัยโครงสร้างพื้นฐาน
13. Logging and Monitoring (LOG) — การบันทึกและเฝ้าระวัง
14. Security Incident Management (SEF) — การจัดการเหตุการณ์ด้านความปลอดภัย
15. Supply Chain Management (STA) — การจัดการ Supply Chain
16. Threat & Vulnerability Management (TVM) — การจัดการภัยคุกคามและช่องโหว่
17. Universal Endpoint Management (UEM) — การจัดการอุปกรณ์ปลายทาง

CCM ถูกออกแบบให้ Map กับมาตรฐานอื่น เช่น ISO 27001, NIST CSF, PCI DSS, SOC 2 ทำให้องค์กรสามารถ Implement Controls ครั้งเดียวแล้วตอบโจทย์หลายมาตรฐานพร้อมกัน

มาตรฐาน Cloud Security สกมช. 2567

สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) ได้ประกาศ มาตรฐานความมั่นคงปลอดภัยด้านการใช้บริการคลาวด์ พ.ศ. 2567 ซึ่งเป็นข้อกำหนดเฉพาะสำหรับหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (Critical Information Infrastructure — CII) ของประเทศไทย [6]

สาระสำคัญ

• กำหนดให้หน่วยงาน CII ต้องประเมินความเสี่ยงก่อนใช้บริการคลาวด์
• ต้องมีสัญญาที่ระบุ SLA ด้านความปลอดภัย, สิทธิ์ในการตรวจสอบ, และข้อกำหนดเรื่องที่ตั้งข้อมูล (Data Residency)
• กำหนดให้มีการเข้ารหัสข้อมูลสำคัญทั้งที่จัดเก็บ (At Rest) และระหว่างส่ง (In Transit)
• ต้องมีแผนรับมือเหตุการณ์ (Incident Response Plan) เฉพาะสำหรับระบบคลาวด์
• มีผลบังคับ 10 กันยายน 2569 — องค์กรที่เป็น CII ต้องเริ่มเตรียมตัวตั้งแต่วันนี้

ผลกระทบต่อองค์กร

องค์กรที่ใช้ Cloud Services ในภาคการเงิน พลังงาน สาธารณสุข และโทรคมนาคม จะต้องดำเนินการให้สอดคล้องกับมาตรฐานนี้ภายในกำหนด มิฉะนั้นอาจถูกตรวจสอบและได้รับคำสั่งให้แก้ไข

ISO 27017 และ ISO 27018 สำหรับ Cloud

นอกจากมาตรฐานของ สกมช. แล้ว ยังมีมาตรฐานสากลที่เกี่ยวข้องกับ Cloud Security โดยเฉพาะ [7]

ISO/IEC 27017 — Cloud Security Controls

• เป็น ส่วนขยายของ ISO 27001 สำหรับสภาพแวดล้อมคลาวด์โดยเฉพาะ
• ให้แนวทางการ Implement 37 Controls จาก ISO 27001 Annex A ในบริบทคลาวด์
• เพิ่ม 7 Controls เฉพาะคลาวด์ เช่น การแบ่งหน้าที่ระหว่าง CSP กับลูกค้า, Virtual Machine Hardening, การจัดการ Shared Resources
• ชี้แจง Shared Responsibility อย่างชัดเจนว่าใครรับผิดชอบ Control ใด

ISO/IEC 27018 — PII Protection in Public Cloud

• เน้นการปกป้อง ข้อมูลส่วนบุคคล (Personally Identifiable Information — PII) ในคลาวด์สาธารณะ
• กำหนดให้ Cloud Service Provider ต้องมีนโยบายเรื่องการเข้าถึง PII ของพนักงาน
• ต้องแจ้ง Sub-processor ที่เข้าถึง PII
• รองรับ Data Subject Rights ตาม GDPR และ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล (PDPA)

ทั้ง ISO 27017 และ 27018 ไม่ใช่มาตรฐานที่รับรองแยก แต่ตรวจสอบพร้อมกับ ISO 27001 Audit ทำให้เป็นตัวเลือกที่คุ้มค่าสำหรับองค์กรที่มี ISO 27001 อยู่แล้ว

สิ่งที่องค์กรต้องทำเพื่อรักษาความปลอดภัยบนคลาวด์

1. Cloud Penetration Testing

ทดสอบเจาะระบบบนคลาวด์โดยเฉพาะ ครอบคลุมการตรวจสอบ:

• การตั้งค่า IAM Policies และ Role
• S3/Blob/GCS Bucket Permissions
• Network Security Group และ Firewall Rules
• Lambda/Cloud Functions Security
• Kubernetes/Container Security (หากใช้งาน)

⚠️ ข้อควรระวัง: AWS, Azure, GCP แต่ละรายมีนโยบาย Pentest ที่ต่างกัน ต้องขออนุญาตหรือแจ้งล่วงหน้าก่อนทดสอบ

2. Cloud Configuration Review

ตรวจสอบการตั้งค่าอย่างเป็นระบบโดยเทียบกับ Benchmark มาตรฐาน:

• CIS Benchmarks สำหรับ AWS, Azure, GCP
• CSA CCM สำหรับ Cloud-specific Controls
• ใช้เครื่องมือ CSPM (Cloud Security Posture Management) เช่น AWS Security Hub, Azure Defender, หรือเครื่องมือ Third-party

3. IAM Audit

• ตรวจสอบ Principle of Least Privilege — ทุก User/Role มีสิทธิ์เท่าที่จำเป็นเท่านั้น
• ตรวจสอบ Access Key ที่ไม่ได้ใช้งานและเพิกถอน
• บังคับใช้ MFA สำหรับทุก Account โดยเฉพาะ Root/Admin
• ตรวจสอบ Cross-account Access และ Federated Identity

4. Data Encryption และ Key Management

• เข้ารหัสข้อมูลทั้ง At Rest และ In Transit
• จัดการ Key อย่างเป็นระบบ ใช้ AWS KMS, Azure Key Vault, หรือ HashiCorp Vault
• หมุนเวียน Key ตามรอบที่กำหนด

5. Logging, Monitoring, และ Incident Response

• เปิด CloudTrail (AWS), Activity Log (Azure), Audit Log (GCP)
• ส่ง Log เข้า SIEM เพื่อวิเคราะห์แบบ Real-time
• มี Cloud-specific Incident Response Plan ที่ทดสอบแล้ว

Checklist ด่วน — Cloud Security สำหรับ CISO

บทสรุป

Cloud Security ไม่ใช่แค่เรื่องของผู้ให้บริการคลาวด์ แต่เป็น ความรับผิดชอบร่วม ที่องค์กรต้องเข้าใจและดำเนินการ ด้วยข้อกำหนดใหม่จาก สกมช. 2567 ที่จะมีผลบังคับใน 10 กันยายน 2569 องค์กรที่เป็น CII ต้องเริ่มเตรียมตัวตั้งแต่วันนี้

ITSL ให้บริการ Cloud Penetration Testing ที่ครอบคลุมการตรวจสอบ AWS, Azure และ GCP พร้อมทั้งบริการ ที่ปรึกษา Compliance ตามมาตรฐาน สกมช. เพื่อช่วยองค์กรปฏิบัติตามข้อกำหนดอย่างครบถ้วน

แหล่งอ้างอิง

1. AWS, “Shared Responsibility Model,” Amazon Web Services, 2024. https://aws.amazon.com/compliance/shared-responsibility-model/
2. Cloud Security Alliance, “Top Threats to Cloud Computing 2024 — Pandemic Eleven,” CSA, 2024. https://cloudsecurityalliance.org/artifacts/top-threats-to-cloud-computing-pandemic-eleven
3. RSA Conference, “Cloud Misconfigurations Still the Biggest Threat in 2025,” RSA Conference Library, 2025. https://www.rsaconference.com/library/blog/cloud-misconfigurations-still-the-biggest-threat-in-2025
4. Cloud Security Alliance, “Top Threats to Cloud Computing 2025,” CSA, 2026. https://cloudsecurityalliance.org/research/top-threats
5. Cloud Security Alliance, “Cloud Controls Matrix v4.1,” CSA, 2024. https://cloudsecurityalliance.org/artifacts/cloud-controls-matrix-v4-1
6. สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ, “มาตรฐานความมั่นคงปลอดภัยด้านการใช้บริการคลาวด์ พ.ศ. 2567,” สกมช., 2024.
7. ISO/IEC, “ISO/IEC 27017:2015 — Code of practice for information security controls based on ISO/IEC 27002 for cloud services,” ISO, 2015.
8. ISO/IEC, “ISO/IEC 27018:2019 — Code of practice for protection of personally identifiable information (PII) in public clouds,” ISO, 2019.