Security Architecture คืออะไร — ออกแบบระบบให้ปลอดภัยตั้งแต่แรก

เมื่อพูดถึงความปลอดภัยไซเบอร์ หลายองค์กรเริ่มต้นด้วยการ “ซื้อเครื่องมือ” — Firewall, Antivirus, SIEM — แล้วหวังว่าจะปลอดภัย แต่ในความเป็นจริง หากไม่มี Security Architecture ที่ดีเป็นพื้นฐาน เครื่องมือเหล่านั้นก็เป็นเพียงชิ้นส่วนที่ไม่เชื่อมต่อกัน บทความนี้จะพาคุณรู้จัก Security Architecture ตั้งแต่นิยาม กรอบมาตรฐานสากล หลักการออกแบบ ไปจนถึงการนำไปใช้งานจริง

Security Architecture คืออะไร?

Security Architecture คือ กรอบแนวคิดและแผนผังที่กำหนดว่าระบบสารสนเทศขององค์กรจะถูกออกแบบ จัดวาง และป้องกันอย่างไร เพื่อให้สอดคล้องกับเป้าหมายทางธุรกิจและระดับความเสี่ยงที่ยอมรับได้

พูดง่าย ๆ คือ “แปลนความปลอดภัย” ขององค์กร — เหมือนกับที่สถาปนิกออกแบบอาคารโดยคำนึงถึงโครงสร้าง ระบบดับเพลิง และทางหนีไฟตั้งแต่ขั้นตอนแบบแปลน Security Architect ก็ออกแบบระบบโดยคำนึงถึงความปลอดภัยตั้งแต่ Day 0

กรอบมาตรฐานสากล: SABSA, TOGAF และ NIST

SABSA (Sherwood Applied Business Security Architecture)

SABSA Institute อธิบาย SABSA ว่าเป็นวิธีพัฒนา Security Architecture ที่ขับเคลื่อนด้วยธุรกิจ คำนึงถึงทั้งความเสี่ยงและโอกาส และเชื่อมโยงกลับไปยังเป้าหมายธุรกิจได้ จึงไม่ใช่เพียงรายการเครื่องมือด้านเทคนิค.[10]

ตัวอย่างคำถามที่แนะนำให้องค์กรนำไปใช้ในการออกแบบ โดยไม่ใช่การคัดลอกชื่อชั้นของ SABSA อย่างเป็นทางการ:

• บริบทธุรกิจ — ต้องปกป้องบริการและข้อมูลใด ความเสียหายที่ยอมรับได้คืออะไร
• หลักการและนโยบาย — ใครตัดสินใจยอมรับความเสี่ยง และใช้เกณฑ์ใด
• บริการและกระบวนการ — ต้องมีการยืนยันตัวตน อนุมัติสิทธิ์ และรับมือเหตุอย่างไร
• เทคโนโลยี — เลือกวิธีควบคุมที่รองรับข้อกำหนดเหล่านั้นได้จริงหรือไม่
• การนำไปใช้ — ใครดูแล Configuration, Integration และหลักฐานการทดสอบ
• การดำเนินงาน — วัดผล ทบทวน และปรับปรุงอย่างไรเมื่อธุรกิจเปลี่ยน

TOGAF (The Open Group Architecture Framework)

TOGAF เป็น Framework สำหรับ Enterprise Architecture ไม่ใช่มาตรฐานความปลอดภัยโดยเฉพาะ The Open Group เผยแพร่แนวทาง Integrating Risk and Security within a TOGAF Enterprise Architecture และ TOGAF and SABSA Integration สำหรับเชื่อมงานสถาปัตยกรรมกับความเสี่ยงและความปลอดภัย.[11]

NIST Cybersecurity Framework

NIST Cybersecurity Framework (CSF) 2.0 ประกอบด้วย 6 ฟังก์ชัน — Govern, Identify, Protect, Detect, Respond และ Recover โดย Govern ครอบคลุมกลยุทธ์ นโยบาย และการกำกับความเสี่ยง CSF เป็นกรอบผลลัพธ์ด้านความปลอดภัย ไม่ใช่แบบ Architecture สำเร็จรูปหรือใบรับรองว่าองค์กรปลอดภัย.[17]

หลักการออกแบบ Security Architecture

1. Defense in Depth — ป้องกันหลายชั้น

Defense in Depth คือการวางมาตรการหลายชั้น เพื่อลดการพึ่งพา Control เดียว หากชั้นหนึ่งล้มเหลว ชั้นอื่นอาจช่วยจำกัดผลกระทบได้ ตารางต่อไปนี้เป็นตัวอย่างสำหรับออกแบบ ไม่ใช่สูตรที่รับประกันว่าจะหยุดการโจมตีได้ทุกกรณี

2. Zero Trust — ไม่ให้ความเชื่อถือเพียงเพราะอยู่ในเครือข่ายภายใน

Zero Trust เน้นการตัดสินใจเข้าถึงทรัพยากรจากตัวตน สถานะอุปกรณ์ และนโยบาย ไม่ให้ความเชื่อถือโดยอัตโนมัติเพียงเพราะอุปกรณ์อยู่ใน LAN หรือเป็นทรัพย์สินองค์กร ไม่ได้หมายถึงให้ผู้ใช้กรอกรหัสผ่านใหม่ทุกครั้งที่ส่งคำขอ.[18]

NIST SP 800-207 หัวข้อ 2.1 อธิบายหลักการของ Zero Trust Architecture สรุปได้ดังนี้.[18]

1. ทุก Data Source และ Service ถือเป็น Resource — ไม่แบ่งว่าอยู่ภายในหรือภายนอก
2. รักษาความปลอดภัยการสื่อสารไม่ว่าตำแหน่งเครือข่ายใด — คุ้มครองความลับ ความถูกต้อง และการยืนยันแหล่งที่มา
3. ให้สิทธิ์เข้าถึงทรัพยากรเป็น Per-Session — ใช้สิทธิ์เท่าที่จำเป็น และไม่ส่งต่อความเชื่อถือไปยังทรัพยากรอื่นโดยอัตโนมัติ
4. การตัดสินใจเข้าถึงเป็นแบบ Dynamic และ Context-Aware — พิจารณาจากหลายปัจจัย
5. ติดตามและประเมิน Integrity และ Security Posture ของ Asset
6. Authentication และ Authorization เป็นแบบ Dynamic — บังคับใช้ก่อนอนุญาตการเข้าถึง และประเมินซ้ำตามนโยบาย
7. เก็บข้อมูลสถานะ Asset เครือข่าย และการสื่อสาร — นำมาปรับปรุงนโยบายและ Security Posture.[18]

3. Least Privilege — ให้สิทธิ์น้อยที่สุดเท่าที่จำเป็น

หลักการนี้กำหนดให้ผู้ใช้ แอปพลิเคชัน หรือระบบได้รับสิทธิ์เฉพาะที่จำเป็นต่อการทำงาน โดย CSF 2.0 ข้อ PR.AA-05 ระบุทั้ง Least Privilege และ Separation of Duties เป็นส่วนหนึ่งของการกำหนด บังคับใช้ และทบทวนสิทธิ์.[17]

4. Network Segmentation — แบ่งส่วนเพื่อจำกัดความเสียหาย

การแบ่ง Network ออกเป็นส่วนย่อย (Segment/Zone) เพื่อให้หากส่วนหนึ่งถูกโจมตี ผู้โจมตีไม่สามารถเคลื่อนที่ไปยังส่วนอื่นได้ง่าย (Lateral Movement Prevention)

ตัวอย่างการ Segmentation:

• DMZ — สำหรับ Web Server ที่เปิดสู่สาธารณะ
• Internal Zone — ระบบภายในที่ไม่เปิดสู่ Internet
• Database Zone — แยก Database Server ออกจาก Application Server
• Management Zone — สำหรับ Admin Access เท่านั้น

องค์ประกอบของ Security Architecture

บทความนี้แบ่งพื้นที่ออกแบบทางเทคนิคเป็น 5 กลุ่มเพื่อให้เริ่มทบทวนได้ง่าย ไม่ใช่องค์ประกอบครบถ้วนของทุก Architecture; ต้องพิจารณาคน กระบวนการ Governance และการกู้คืนบริการร่วมด้วย.[17]

1. Identity & Access Management (IAM)

ระบบบริหารจัดการตัวตนและสิทธิ์การเข้าถึง ครอบคลุม:

• Authentication — ยืนยันตัวตน (MFA, SSO, Certificate-based)
• Authorization — กำหนดสิทธิ์ (RBAC, ABAC)
• Privileged Access Management (PAM) — ควบคุม Admin Access
• Identity Governance — ตรวจสอบและ Review สิทธิ์เป็นประจำ

2. Network Security

ป้องกันที่ระดับเครือข่าย:

• Firewall (Next-Gen) และ IPS/IDS
• Network Segmentation และ Microsegmentation
• VPN และ ZTNA (Zero Trust Network Access)
• DNS Security และ Secure Web Gateway

3. Encryption & Data Protection

กำหนดการปกป้องข้อมูลตามสถานะ At Rest, In Transit และ In Use; การเข้ารหัสบน Storage หรือเครือข่ายเพียงอย่างเดียวไม่ครอบคลุมข้อมูลขณะประมวลผล:

• TLS ที่ได้รับการรองรับและตั้งค่าอย่างเหมาะสมสำหรับ Data in Transit
• การเข้ารหัส Data at Rest ตามข้อกำหนดระบบ เช่น AES พร้อมการจัดการ Key
• Key Management System (KMS)
• Data Loss Prevention (DLP)

4. Security Monitoring & Detection

ออกแบบการรวบรวมข้อมูลและแจ้งเตือนให้ทันต่อความเสี่ยง โดยตรวจสอบความครอบคลุมและเวลาตอบสนองจริง:

• SIEM (Security Information & Event Management)
• SOC (Security Operations Center)
• EDR/XDR (Endpoint/Extended Detection & Response)
• UEBA (User & Entity Behavior Analytics)

5. Endpoint Protection

ป้องกันอุปกรณ์ปลายทาง:

• EDR/XDR Platform
• OS Hardening และ Patch Management
• Application Whitelisting
• Mobile Device Management (MDM)

Security Architecture Review ทำอะไร?

Security Architecture Review คือกระบวนการประเมินว่าสถาปัตยกรรมด้านความปลอดภัยที่มีอยู่มีจุดอ่อนตรงไหน สอดคล้องกับ Best Practice หรือไม่ และมีช่องโหว่ในการออกแบบ (Design Flaw) หรือไม่

สิ่งที่ Review:

• Network Diagram & Data Flow — ข้อมูลไหลอย่างไร มีจุดใดที่ไม่ถูกเข้ารหัส
• Access Control Matrix — ใครเข้าถึงอะไรได้บ้าง มี Over-Privilege หรือไม่
• Segmentation — Network ถูกแบ่งเป็น Zone อย่างเหมาะสมหรือไม่
• Compliance Mapping — สถาปัตยกรรมตอบโจทย์ข้อกำหนด ธปท./ก.ล.ต./PDPA หรือไม่
• Cloud Architecture — IAM Policy, Storage Encryption, API Security

เชื่อมกับ Pentest อย่างไร?

Architecture Review ประเมินเหตุผลและข้อจำกัดของการออกแบบ ส่วน Pentest ประเมินจุดอ่อนภายใต้ขอบเขตและช่วงเวลาที่ตกลงกัน ทั้งสองอย่างไม่ใช่หลักฐานยืนยันว่าระบบไม่มีช่องโหว่อื่น

ทั้งสองอย่างเสริมกัน:

1. Architecture Review ก่อน → ทบทวน Trust Boundary และเส้นทางเข้าถึง เช่น บริการใดควรติดต่อ Database ได้
2. Pentest ตามหลัง → ประเมินว่าการควบคุมบังคับใช้ตามที่ออกแบบหรือไม่ ภายในขอบเขตที่ได้รับอนุญาต การที่ Web Server ติดต่อ Database ได้ตามงานไม่ใช่ช่องโหว่โดยตัวมันเอง
3. แก้ไขและทดสอบซ้ำ → ปรับ Architecture แล้ว Retest เพื่อยืนยัน

เริ่มต้น Security Architecture อย่างไร?

สำหรับองค์กรที่ยังไม่มี Security Architecture ที่ชัดเจน แนะนำ 5 ขั้นตอน:

1. สำรวจสถานะปัจจุบัน (As-Is Assessment) — เก็บ Network Diagram, Asset Inventory, Data Flow
2. ระบุความเสี่ยง (Risk Assessment) — ใช้ Framework อย่าง ISO 27005 หรือ NIST SP 800-30
3. ออกแบบสถาปัตยกรรมเป้าหมาย (To-Be Architecture) — นำหลัก Defense in Depth, Zero Trust มาใช้
4. ทดสอบและตรวจสอบ (Validate) — ทำ Architecture Review + Pentest
5. ปรับปรุงต่อเนื่อง (Continuous Improvement) — Review ทุกปีหรือเมื่อมีการเปลี่ยนแปลงสำคัญ

สรุป

Security Architecture ไม่ใช่แค่เรื่องของ Network Diagram สวย ๆ แต่คือ กระดูกสันหลังของความปลอดภัยทั้งองค์กร ที่ต้องออกแบบให้สอดคล้องกับธุรกิจ ความเสี่ยง และข้อกำหนดกฎหมาย

หากองค์กรของคุณต้องการ ประเมิน Security Architecture หรือ Pentest เพื่อค้นหาจุดอ่อนของการนำสถาปัตยกรรมไปใช้ ITSL พร้อมให้คำปรึกษาเรื่องขอบเขตการประเมิน

• บริการ Network Penetration Testing →
• บริการ IT Audit & Compliance →
• หลักสูตร CISSP Preparation →

---

Sources

[10] Executive Summary - The SABSA Institute

[11] Security Architecture | www.opengroup.org

[17] The NIST Cybersecurity Framework (CSF) 2.0

[18] NIST SP 800-207: Zero Trust Architecture (2020)