ISO/IEC 27001 (Information Security Management)

ในยุคที่ข้อมูลคือสินทรัพย์ที่มีค่าที่สุด การบริหารจัดการความปลอดภัยของข้อมูลจึงเป็นภารกิจสำคัญที่องค์กรทุกแห่งต้องให้ความสำคัญ ISO/IEC 27001 คือมาตรฐานสากลที่กำหนดกรอบการจัดการความมั่นคงปลอดภัยของข้อมูล (Information Security Management System – ISMS) ซึ่งไม่ได้เป็นเพียงแค่การติดตั้งไฟร์วอลล์ แต่คือการสร้างกระบวนการและมาตรการที่ครอบคลุมทุกมิติของข้อมูล

สำหรับองค์กรที่ใช้ PostgreSQL เป็นระบบจัดการฐานข้อมูลหลัก การนำหลักการของ ISO 27001 มาประยุกต์ใช้หมายถึงการกำหนดมาตรการทางเทคนิค (Technical Controls) เพื่อให้มั่นใจว่าข้อมูลที่จัดเก็บมีความลับ (Confidentiality) ความสมบูรณ์ (Integrity) และความพร้อมใช้งาน (Availability) อย่างแท้จริง บทความนี้จะแสดงให้เห็นว่า PostgreSQL สามารถถูกใช้เป็นเครื่องมือในการบังคับใช้มาตรการความปลอดภัยตามมาตรฐานได้อย่างไร

การประยุกต์ใช้ ISO 27001 ด้วย PostgreSQL: การควบคุมการเข้าถึง (Access Control)

หัวใจสำคัญของ ISO 27001 คือการควบคุมการเข้าถึงข้อมูล (Access Control) ซึ่งในทางปฏิบัติหมายถึงการให้สิทธิ์เฉพาะผู้ใช้ที่จำเป็นต้องรู้ (Principle of Least Privilege) ใน PostgreSQL เราสามารถใช้ระบบ Role-Based Access Control (RBAC) เพื่อจำกัดสิทธิ์การเข้าถึงข้อมูลได้อย่างเข้มงวด

สมมติว่าเรามีตารางข้อมูลลูกค้า (customer_data) และเราต้องการให้พนักงานฝ่ายบัญชี (accounting) เห็นได้เฉพาะข้อมูลที่เกี่ยวข้องกับการเงินเท่านั้น ในขณะที่พนักงานฝ่ายขาย (sales) เห็นได้เฉพาะข้อมูลติดต่อ

SQL

-- 1. สร้าง Role สำหรับผู้ใช้แต่ละกลุ่ม (Principle of Least Privilege) <code>
CREATE ROLE sales_user LOGIN PASSWORD 'secure_pass';
CREATE ROLE accounting_user LOGIN PASSWORD 'secure_pass';

-- 2. สร้างตารางจำลอง <code>
CREATE TABLE customer_data (id INT, name VARCHAR, email VARCHAR, financial_info TEXT);

-- 3. กำหนดสิทธิ์เฉพาะกลุ่ม (RBAC Implementation) <code>
-- ให้ sales_user เห็นเฉพาะชื่อและอีเมลเท่านั้น
GRANT SELECT (id, name, email) ON customer_data TO sales_user;

-- ให้ accounting_user เห็นเฉพาะข้อมูลทางการเงิน
GRANT SELECT (id, financial_info) ON customer_data TO accounting_user;

-- ป้องกันการเข้าถึงข้อมูลทั้งหมดโดยไม่จำเป็น <code>
REVOKE ALL ON customer_data FROM PUBLIC;

การรักษาความสมบูรณ์และความลับของข้อมูล (Integrity & Confidentiality)

นอกจากการจำกัดสิทธิ์แล้ว การรักษาความสมบูรณ์ของข้อมูลยังต้องทำผ่านการตรวจสอบ (Validation) และการเข้ารหัส (Encryption) สำหรับข้อมูลที่ละเอียดอ่อน เช่น หมายเลขบัตรเครดิต ควรมีการแฮช (Hashing) หรือการเข้ารหัส (Encryption) ก่อนจัดเก็บ

นอกจากนี้ เพื่อตอบสนองข้อกำหนดด้านการตรวจสอบ (Audit Trail) ตาม ISO 27001 เราควรใช้ฟังก์ชันหรือ Trigger ใน PostgreSQL เพื่อบันทึกการเปลี่ยนแปลงข้อมูลที่สำคัญ:

SQL

-- ตัวอย่างการสร้าง Trigger เพื่อบันทึกการเปลี่ยนแปลงข้อมูล (Audit Trail) <code>
CREATE TABLE audit_log (log_id SERIAL PRIMARY KEY, table_name VARCHAR, action VARCHAR, old_data TEXT, new_data TEXT, changed_by VARCHAR);

CREATE OR REPLACE FUNCTION log_changes() RETURNS TRIGGER AS $$
BEGIN
    INSERT INTO audit_log (table_name, action, old_data, new_data, changed_by) VALUES
    ('customer_data', TG_OP, row_to_json(OLD)::TEXT, row_to_json(NEW)::TEXT, CURRENT_USER);
    RETURN NEW;
END;$$ LANGUAGE plpgsql;

-- ผูก Trigger เข้ากับตาราง <code>
CREATE TRIGGER customer_data_audit_trigger
AFTER UPDATE ON customer_data
FOR EACH ROW
EXECUTE FUNCTION log_changes();

บทสรุป

การนำ ISO/IEC 27001 มาใช้กับ PostgreSQL ไม่ใช่แค่การทำเอกสาร แต่คือการฝังมาตรการความปลอดภัยลงในสถาปัตยกรรมฐานข้อมูลอย่างแท้จริง การใช้ RBAC อย่างเคร่งครัด การจำกัดสิทธิ์การเข้าถึงข้อมูล และการสร้าง Audit Trail ผ่าน PostgreSQL Triggers เป็นตัวอย่างที่ชัดเจนว่าเทคโนโลยีฐานข้อมูลสามารถเป็นกลไกสำคัญในการบรรลุมาตรฐานความปลอดภัยระดับโลกได้อย่างไร ทำให้องค์กรของคุณไม่เพียงแต่เก็บข้อมูลได้อย่างปลอดภัย แต่ยังสามารถพิสูจน์การปฏิบัติตามมาตรฐาน (Compliance) ได้อย่างเป็นรูปธรรม