Data Classification: จัดชั้นความลับข้อมูลอย่างไร

Data classification (การจัดชั้นความลับข้อมูล) คือการแบ่งข้อมูลขององค์กรออกเป็นไม่กี่ระดับ ตามความเสียหายที่จะเกิดถ้าข้อมูลรั่ว ถูกแก้ หรือหายไป แล้วติดป้ายกำกับ (label) ระดับนั้นไว้กับข้อมูล เพื่อให้ข้อมูลแต่ละระดับได้รับการป้องกันที่เหมาะสม NIST นิยามไว้ในร่างเอกสาร NIST IR 8496 ว่าเป็นกระบวนการที่องค์กรใช้อธิบายลักษณะของข้อมูลตนเอง โดยใช้ป้ายกำกับถาวร (ติดอยู่กับข้อมูลตลอดไป) เพื่อให้จัดการข้อมูลได้เหมาะสม บทความนี้เป็นคู่กับ DLP (Data Loss Prevention) คืออะไร และความเสี่ยง Shadow AI เพราะ DLP (ระบบที่ตรวจและป้องกันไม่ให้ข้อมูลสำคัญรั่วออกนอกองค์กร) จะปกป้องข้อมูลได้ดีก็ต่อเมื่อองค์กรรู้ก่อนว่าข้อมูลชิ้นไหนสำคัญ

ทำไมต้องจัดชั้นความลับข้อมูล

ถ้าข้อมูลทุกชนิดได้รับการป้องกันแบบเดียวกัน องค์กรจะต้องเลือกระหว่างสองทางที่ไม่ดี ทางแรกคือป้องกันเข้มทุกอย่าง ซึ่งแพงและทำให้งานช้า ทางที่สองคือป้องกันหลวมทุกอย่าง ซึ่งทำให้ข้อมูลสำคัญเสี่ยง การจัดชั้นความลับช่วยให้รู้ว่าข้อมูลไหนต้องใช้มาตรการแบบไหน ร่าง NIST IR 8496 ระบุประโยชน์ไว้หลายข้อ เช่น:

• ใช้มาตรการกับข้อมูลได้ตรงจุด: ชั้นความลับของข้อมูลบอกว่าต้องใช้มาตรการด้านความปลอดภัยและความเป็นส่วนตัวแบบใด
• รู้ว่ากฎหมาย ระเบียบ และสัญญาข้อใดใช้กับข้อมูลชิ้นนั้น: ไม่ต้องไล่ตรวจใหม่ทุกครั้งที่มีคนถามหรือมีการตรวจสอบ
• แบ่งปันข้อมูลกับคู่ค้าและผู้รับเหมาได้อย่างปลอดภัย: ชั้นความลับช่วยกำหนดว่าข้อมูลใดส่งออกไปได้ และต้องดูแลอย่างไร
• จำกัดการเข้าถึงและการส่งต่อทรัพย์สินทางปัญญา: ทรัพย์สินทางปัญญา (intellectual property) เช่น ซอร์สโค้ดและแผนธุรกิจ

ข้อควรรู้คือ NIST IR 8496 เป็นร่างที่ NIST ยุติการพัฒนาแล้วเมื่อวันที่ 10 ธันวาคม 2025 และยังเปิดให้อ่านไว้เป็นเอกสารอ้างอิงทางประวัติ บทความนี้จึงยืมเฉพาะศัพท์และแนวคิดจากร่างนั้นมาประกอบ ไม่ได้ใช้เป็นมาตรฐานบังคับ ส่วนเกณฑ์ตัดสินระดับที่เป็นทางการและใช้กันมานานคือ FIPS 199 (มาตรฐานของ NIST) และ NIST SP 800-60 ซึ่งอธิบายในหัวข้อถัดไป

คำศัพท์พื้นฐานที่ต้องรู้ก่อน

สี่คำนี้ใช้ตลอดทั้งบทความ นิยามปรับมาจากส่วนอภิธานศัพท์ (glossary) ท้ายร่าง NIST IR 8496 ดังนี้:

• สินทรัพย์ข้อมูล (data asset): ทรัพยากรที่เป็นข้อมูล เช่น ไฟล์ ฐานข้อมูล อีเมล หรือเอกสารกระดาษ
• ชั้นความลับ (classification level): ระดับที่องค์กรกำหนดไว้ เช่น "ใช้ภายใน" หรือ "ลับ" ตามความเสียหายที่จะเกิดถ้าข้อมูลรั่วหรือเสียหาย
• ป้ายกำกับ (label): ข้อมูลกำกับ (metadata คือข้อมูลที่อธิบายข้อมูลอีกชิ้นหนึ่ง) ที่บอกว่าข้อมูลชิ้นนั้นอยู่ชั้นความลับใด
• เจ้าของข้อมูลฝั่งธุรกิจ (business owner): คนฝั่งธุรกิจที่เข้าใจว่าข้อมูลมาจากไหน ใช้ทำอะไร และสำคัญเพียงใด ร่าง NIST ระบุว่าบทบาทนี้เป็นกุญแจสำคัญในการตัดสินชั้นความลับ

ตัดสินชั้นความลับจากผลกระทบ

วิธีตัดสินที่เป็นที่รู้จักคือวิธีของ FIPS 199 ซึ่งเป็นมาตรฐานที่ NIST เผยแพร่ในเดือนกุมภาพันธ์ 2004 มาตรฐานนี้ใช้กับหน่วยงานรัฐบาลกลางสหรัฐฯ และระบุว่ารัฐบาลท้องถิ่นกับภาคเอกชนที่เป็นโครงสร้างพื้นฐานสำคัญของสหรัฐฯ อาจพิจารณานำไปใช้ องค์กรในไทยไม่ได้ถูกบังคับ แต่ใช้เป็นกรอบอ้างอิงได้ หลักคือถามว่า ถ้าข้อมูลนี้เสียหาย ผลกระทบต่อองค์กรและต่อบุคคลจะรุนแรงแค่ไหน โดยถามแยกกันตามเป้าหมายด้านความปลอดภัย 3 ข้อ ได้แก่:

• Confidentiality (การรักษาความลับ): ไม่ให้ผู้ที่ไม่มีสิทธิ์เห็นหรือได้ข้อมูลไป
• Integrity (ความถูกต้องครบถ้วน): ข้อมูลไม่ถูกแก้ไขหรือลบโดยไม่ได้รับอนุญาต
• Availability (ความพร้อมใช้งาน): เข้าถึงและใช้ข้อมูลได้ทันเวลาและเชื่อถือได้

FIPS 199 กำหนดระดับผลกระทบ 3 ระดับ คือ ต่ำ (low) ปานกลาง (moderate) และสูง (high) ความหมายโดยสรุปเป็นดังนี้:

• ต่ำ (low): ผลกระทบจำกัด เช่น งานหลักยังทำได้แต่ประสิทธิภาพลดลงเห็นได้ชัด หรือทรัพย์สิน เงิน หรือบุคคลเสียหายเล็กน้อย
• ปานกลาง (moderate): ผลกระทบร้ายแรง เช่น ประสิทธิภาพลดลงมาก ทรัพย์สินหรือเงินเสียหายมาก หรือบุคคลได้รับอันตรายมาก แต่ไม่ถึงขั้นเสียชีวิตหรือบาดเจ็บสาหัส
• สูง (high): ผลกระทบรุนแรงมากจนเป็นหายนะ เช่น องค์กรทำหน้าที่หลักอย่างน้อยหนึ่งอย่างไม่ได้ เสียหายหรือสูญเสียใหญ่หลวง หรือบุคคลเสียชีวิตหรือบาดเจ็บสาหัส

FIPS 199 ระบุผลของข้อมูลหนึ่งประเภทเป็นชุดสามค่า คือผลกระทบด้านการรักษาความลับ ด้านความถูกต้อง และด้านความพร้อมใช้งาน ตัวอย่างหนึ่งในมาตรฐานคือข้อมูลสาธารณะบนเว็บเซิร์ฟเวอร์ ซึ่งไม่ต้องรักษาความลับ แต่ผลกระทบเมื่อข้อมูลถูกแก้และเมื่อใช้งานไม่ได้อยู่ที่ระดับปานกลางทั้งสองด้าน อีกตัวอย่างคือข้อมูลสืบสวนที่อ่อนไหวมาก ซึ่งด้านการรักษาความลับอยู่ที่ระดับสูง ส่วนอีกสองด้านอยู่ที่ระดับปานกลาง ข้อสรุปคือการรักษาความลับเป็นเพียงหนึ่งในสามด้าน ข้อมูลที่ใครก็อ่านได้ ก็ยังอาจต้องป้องกันไม่ให้ถูกแก้ไข

NIST SP 800-60 (เล่ม 1 ฉบับแก้ไขครั้งที่ 1 เดือนสิงหาคม 2008) ต่อยอดจาก FIPS 199 โดยอธิบายวิธีจับคู่ประเภทข้อมูลกับระดับผลกระทบ ซึ่งมี 4 ขั้น ได้แก่ (1) ระบุประเภทข้อมูลที่ระบบใช้ (2) เลือกระดับผลกระทบเบื้องต้นของแต่ละประเภท (3) ทบทวนและปรับระดับให้เข้ากับบริบทขององค์กร (4) กำหนดระดับของทั้งระบบ โดยใช้ค่าสูงสุดของแต่ละเป้าหมายจากข้อมูลทุกประเภทของระบบนั้น เช่น ถ้ามีข้อมูลประเภทหนึ่งที่ด้านการรักษาความลับอยู่ระดับสูง ทั้งระบบก็ถือว่าด้านนี้อยู่ระดับสูง หลักถือค่าสูงสุดนี้เรียกว่า high water mark เอกสารนี้เขียนสำหรับรัฐบาลกลางสหรัฐฯ ส่วนฉบับแก้ไขครั้งที่ 2 (Revision 2) เป็นร่างเริ่มต้น (initial working draft) ที่ NIST เผยแพร่เมื่อเดือนมกราคม 2024 เมื่อเราตรวจหน้าเอกสารของ NIST ในเดือนตุลาคม 2026 ยังไม่เห็นร่างหรือฉบับสมบูรณ์ที่ใหม่กว่า จึงควรตรวจสถานะล่าสุดก่อนอ้างอิง

ขั้นตอนจัดชั้นความลับ 6 ขั้น

ลำดับนี้เป็นการสรุปของเราเอง โดยอิงจากหน้าที่ 5 อย่างในร่าง NIST IR 8496 (กำหนดนโยบาย ระบุข้อมูล วิเคราะห์ ติดป้าย และเฝ้าระวัง) และขั้นตอนใน SP 800-60 ขั้นตอนมีดังนี้:

• ตั้งเจ้าของข้อมูลและทีมตัดสินร่วมกัน: ให้เจ้าของข้อมูลฝั่งธุรกิจ ฝ่ายกำกับดูแลและปฏิบัติตามกฎระเบียบ (compliance) และฝ่ายเทคโนโลยี ตัดสินร่วมกัน
• กำหนดชั้นความลับไม่กี่ระดับ: เขียนความหมายและตัวอย่างข้อมูลของแต่ละระดับให้ชัด
• ค้นหาและทำบัญชีข้อมูล: รวมข้อมูลที่เพิ่งสร้าง ข้อมูลที่เพิ่งพบในระบบ และข้อมูลที่รับมาจากภายนอก
• ตัดสินระดับของข้อมูลแต่ละประเภท: พิจารณาผลกระทบด้านการรักษาความลับ ความถูกต้อง ความพร้อมใช้งาน รวมถึงกฎหมายหรือสัญญาที่เกี่ยวข้อง
• ติดป้ายกำกับ: ผูกชั้นความลับไว้กับตัวข้อมูล เพื่อให้ป้ายติดไปกับข้อมูลทุกที่
• ผูกกับมาตรการและทบทวนเป็นรอบ: กำหนดว่าแต่ละระดับต้องเข้ารหัสและจำกัดสิทธิ์อย่างไร แล้วทบทวนเมื่อข้อมูลหรือกฎหมายเปลี่ยน

ร่าง NIST ระบุว่าในกรณีส่วนใหญ่ ต้องมีคนสามกลุ่มทำงานร่วมกัน เจ้าของข้อมูลฝั่งธุรกิจรู้ที่มาและความสำคัญของข้อมูล และมีบทบาทสำคัญในการตัดสินชั้นความลับ ฝ่ายกำกับดูแลรู้ว่ากฎหมายและระเบียบข้อใดใช้กับข้อมูลแต่ละชั้น และดูแลการตรวจสอบและการรายงานผล ฝ่ายเทคโนโลยีรู้ว่าข้อมูลอยู่ที่ไหน และเป็นผู้นำมาตรการป้องกันไปใช้จริง

ร่างเดียวกันให้คำแนะนำสองข้อที่ควรทำตั้งแต่ต้น ข้อแรก ให้แยกชั้นความลับออกจากข้อกำหนดการป้องกัน เพราะวิธีป้องกันเปลี่ยนไปตามเทคโนโลยีได้บ่อย แต่ชั้นความลับของข้อมูลชนิดหนึ่งมักคงเดิม ข้อที่สอง ให้จัดชั้นให้เร็วที่สุดหลังข้อมูลถูกสร้างหรือถูกพบ เพราะ metadata ที่เก็บไว้ตั้งแต่ต้นช่วยให้ตัดสินได้แม่นขึ้น ยิ่งเก็บช้า ประโยชน์ก็ยิ่งน้อยลง

ตัวอย่างชั้นความลับ 4 ระดับ

ตัวอย่างต่อไปนี้เป็นข้อเสนอของเราเอง ไม่ได้มาจากมาตรฐานใด ปรับชื่อและจำนวนระดับให้เหมาะกับองค์กรได้ แต่ไม่ควรแบ่งหลายระดับ เพราะร่าง NIST ระบุว่าถ้าแบ่งละเอียดขึ้น การจัดชั้นข้อมูลที่เพิ่งเกิดขึ้นหรือเปลี่ยนไปจะยากและแพงขึ้น ตัวอย่างมีดังนี้:

• สาธารณะ (Public): เผยแพร่ได้อยู่แล้ว เช่น โบรชัวร์และประกาศบนเว็บไซต์ ยังต้องป้องกันไม่ให้ถูกแก้ไข
• ใช้ภายใน (Internal): ใช้ในองค์กร รั่วแล้วเสียหายไม่มาก เช่น ขั้นตอนทำงานทั่วไปและผังองค์กร
• ลับ (Confidential): รั่วแล้วเสียหายต่อธุรกิจหรือบุคคลอย่างมีนัยสำคัญ เช่น สัญญากับลูกค้า ซอร์สโค้ด และข้อมูลส่วนบุคคล เฉพาะผู้ที่ต้องใช้งานเท่านั้นที่เข้าถึงได้ และต้องเข้ารหัสเมื่อส่งออกนอกองค์กร
• ลับมาก (Restricted): รั่วแล้วเสียหายรุนแรง เช่น ข้อมูลสุขภาพ กุญแจเข้ารหัส รหัสผ่านผู้ดูแลระบบ และแผนธุรกิจที่ยังไม่เปิดเผย เฉพาะบุคคลที่ระบุชื่อไว้เท่านั้นที่เข้าถึงได้ และบันทึกทุกครั้งที่มีการเข้าถึง

ติดป้ายกำกับให้ติดไปกับข้อมูล

ป้ายกำกับคือข้อมูลกำกับที่บอกชั้นความลับ ร่าง NIST ยกตัวอย่างวิธีผูกป้ายกับข้อมูล เช่น ผูกด้วยการเข้ารหัส (cryptographic binding) หรือบันทึกคู่กันใน data catalog (ทะเบียนที่รวบรวมรายละเอียดของข้อมูลในองค์กร) ร่างระบุว่าการทำให้ป้ายติดไปกับข้อมูลเมื่อข้อมูลย้ายที่ โดยเฉพาะเมื่อส่งไปอีกองค์กร เป็นหนึ่งในความท้าทายที่ใหญ่ที่สุด และไม่มีวิธีติดป้ายแบบใดที่ใช้ได้กับทุกข้อมูลและทุกองค์กร นอกจากนี้ตัวป้ายเองต้องได้รับการปกป้อง ไม่ให้ถูกแก้หรือลบได้ง่าย รูปแบบป้ายที่ใช้กันทั่วไปมีดังนี้:

• เครื่องหมายที่มองเห็น: ข้อความหัวกระดาษหรือท้ายกระดาษ ลายน้ำ หรือคำนำหน้าหัวข้ออีเมล เพื่อให้พนักงานเห็นแล้วรู้ทันทีว่าต้องระวัง
• ป้ายใน metadata ของไฟล์หรือที่เก็บข้อมูล: ระบบอ่านได้อัตโนมัติ จึงใช้เป็นเงื่อนไขของมาตรการได้ เช่น ให้ DLP บล็อกการส่งไฟล์ชั้น "ลับ" ออกนอกองค์กร
• รายการใน data catalog หรือบัญชีรายการข้อมูล: เหมาะกับฐานข้อมูลและระบบที่ติดป้ายบนตัวข้อมูลโดยตรงไม่ได้

จัดชั้นอัตโนมัติและข้อมูลที่ไม่มีโครงสร้าง

ร่าง NIST แบ่งข้อมูลเป็น 3 แบบ แบบแรกคือข้อมูลมีโครงสร้าง (structured) เช่น ช่องข้อมูลในฐานข้อมูลที่รู้อยู่แล้วว่าช่องไหนเก็บอะไร แบบที่สองคือข้อมูลกึ่งโครงสร้าง (semi-structured) เช่น ไฟล์ JSON หรือ XML (รูปแบบไฟล์ข้อความที่ใช้แลกเปลี่ยนข้อมูล) ซึ่งบอกโครงสร้างของตัวเองไว้ในไฟล์ แบบที่สามคือข้อมูลไม่มีโครงสร้าง (unstructured) เช่น เอกสารและวิดีโอ ซึ่งจัดชั้นยากที่สุด แนวทางที่ร่างกล่าวถึงมีดังนี้:

• ใช้ metadata ช่วยตัดสิน: เช่น ชื่อไฟล์ ผู้เขียน และที่เก็บ ใช้ได้ดีเมื่อที่เก็บข้อมูลถูกควบคุมและแยกตามชั้นความลับอยู่แล้ว แต่ถ้าไฟล์อยู่ในโฟลเดอร์ร่วมที่ควบคุมหลวม ๆ ที่เก็บก็บอกอะไรไม่ได้
• วิเคราะห์เนื้อหา: ค้นหาคำสำคัญ จับรูปแบบข้อความด้วย regular expression (ตัวช่วยค้นหาข้อความตามรูปแบบ เช่น เลขบัตร เบอร์โทร อีเมล) หรือใช้ machine learning (ให้คอมพิวเตอร์เรียนรู้จากตัวอย่างที่จัดชั้นแล้ว) ร่างระบุว่า machine learning น่าจะเป็นวิธีอัตโนมัติที่ทำได้ดีที่สุด แต่ตั้งค่าและดูแลซับซ้อน
• ให้คนเลือกเอง: จำเป็นสำหรับไฟล์ที่เกิดขึ้นเป็นครั้งคราว แต่ทำให้สม่ำเสมอในวงกว้างได้ยาก และขึ้นกับความเข้าใจของแต่ละคน
• จัดชั้นใหม่เมื่อรับข้อมูลจากภายนอก: ร่างระบุว่าข้อมูลที่รับมาจากองค์กรอื่นมักควรจัดชั้นใหม่ แม้ผู้ส่งจะระบุชั้นมาแล้ว

เชื่อมกับมาตรฐานและกฎหมาย

การจัดชั้นความลับเป็นพื้นฐานของมาตรฐานด้านความปลอดภัยหลายฉบับ ข้อมูลด้านล่างเป็นภาพรวมเท่านั้น ไม่ใช่คำแนะนำทางกฎหมาย:

• ISO/IEC 27001:2022: จากสรุปของบริษัทที่ปรึกษาด้านมาตรฐาน ภาคผนวก A มีมาตรการ 5.12 การจัดชั้นข้อมูล (classification of information) และ 5.13 การติดป้ายกำกับข้อมูล (labelling of information) ข้อความมาตรฐานฉบับจริงต้องซื้อจาก ISO และเราไม่ได้อ่านจากต้นฉบับ จึงควรตรวจกับฉบับที่องค์กรถืออยู่
• NIST SP 800-53 Rev. 5: มาตรการ RA-2 (Security Categorization) ให้จัดระดับความปลอดภัยของระบบและของข้อมูลที่ระบบประมวลผล เก็บ และส่ง พร้อมบันทึกเหตุผล มาตรการ MP-3 (Media Marking) ให้ทำเครื่องหมายบนสื่อบันทึกข้อมูล เพื่อบอกข้อจำกัดการแจกจ่ายและข้อควรระวัง มาตรการ MP-6 (Media Sanitization) ให้ล้างข้อมูลในสื่อก่อนทิ้งหรือส่งต่อ โดยใช้ความเข้มที่เหมาะกับระดับความปลอดภัยหรือชั้นความลับของข้อมูลนั้น
• PDPA (พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือ ค.ศ. 2019): บทความของสำนักงานกฎหมาย Tilleke & Gibbins (พฤศจิกายน 2022) ระบุว่าข้อมูลส่วนบุคคลที่อ่อนไหว เช่น ข้อมูลสุขภาพ ข้อมูลชีวภาพ ข้อมูลพันธุกรรม ความเชื่อทางศาสนา และประวัติอาชญากรรม โดยหลักต้องได้รับความยินยอมโดยชัดแจ้งก่อนประมวลผล และผู้ควบคุมข้อมูลส่วนบุคคล (data controller) ต้องมีมาตรการรักษาความปลอดภัยที่เหมาะสม จึงควรให้ข้อมูลกลุ่มนี้มีชั้นหรือป้ายของตนเอง ก่อนนำไปใช้ ให้ตรวจรายการและข้อยกเว้นกับตัวบทกฎหมายและแนวทางของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC)

ข้อผิดพลาดที่พบบ่อย

• ตั้งหลายชั้นจนไม่มีใครจำได้: ยิ่งมีชั้นมาก พนักงานก็ยิ่งเลือกผิดหรือเลือกแบบขอไปที
• คิดแค่เรื่องความลับ: มองข้ามความถูกต้องและความพร้อมใช้งาน ทั้งที่ FIPS 199 ให้ประเมินครบสามด้าน
• เขียนวิธีป้องกันไว้ในชื่อของชั้น: พอเทคโนโลยีเปลี่ยน ก็ต้องเปลี่ยนชื่อชั้นตาม ทั้งที่ร่าง NIST แนะนำให้แยกกัน
• จัดชั้นครั้งเดียวแล้วไม่ทบทวน: ข้อมูลที่เปลี่ยนไปหรือถูกนำมารวมกัน และกฎหมายที่เปลี่ยน อาจทำให้ชั้นเดิมไม่เหมาะ
• เชื่อป้ายของคู่ค้าโดยไม่ตรวจ: ผู้ส่งอาจจัดชั้นผิด หรือองค์กรอาจมีข้อกำหนดเพิ่มที่ผู้ส่งไม่มี
• ปล่อยให้ป้ายหลุดหายระหว่างทาง: ป้ายที่ใครก็ลบได้ หรือหายเมื่อย้ายไฟล์ ทำให้มาตรการที่ผูกกับป้ายใช้ไม่ได้ผล

ขั้นแรกที่ทำได้ทันที

• ร่างชั้นความลับ 3-4 ระดับพร้อมตัวอย่าง: ใช้ตัวอย่างในบทความนี้เป็นจุดเริ่ม แล้วปรับให้เข้ากับองค์กร
• เลือกข้อมูล 5 ประเภทที่สำคัญที่สุด: เช่น ข้อมูลลูกค้า สัญญา ซอร์สโค้ด ข้อมูลพนักงาน และข้อมูลการเงิน แล้วระบุเจ้าของข้อมูลและชั้นความลับของแต่ละประเภท
• เขียนมาตรการขั้นต่ำของแต่ละชั้น: เช่น เก็บที่ไหน ส่งอย่างไร เข้ารหัสหรือไม่ และเก็บนานเท่าไร
• ทดลองติดป้ายกับหนึ่งแผนกก่อน: ดูว่าพนักงานเข้าใจและทำตามได้หรือไม่ ก่อนขยายทั้งองค์กร
• ตรวจว่าข้อมูลส่วนบุคคลที่อ่อนไหวถูกจัดชั้นแล้ว: ให้มีชั้นหรือป้ายของตัวเอง และยืนยันกับฝ่ายกฎหมายหรือผู้รับผิดชอบ PDPA

เมื่อจัดชั้นข้อมูลแล้ว ขั้นต่อไปคือให้ระบบช่วยบังคับใช้ตามชั้นนั้น อ่านเพิ่มได้ใน DLP (Data Loss Prevention) คืออะไร และความเสี่ยง Shadow AI ส่วนการนำข้อมูลไปใส่เครื่องมือ AI ที่องค์กรไม่ได้อนุมัติ ดูที่ Shadow AI คืออะไร: ความเสี่ยงที่องค์กรมองไม่เห็นและวิธีรับมือ และข้อมูลในฐานะเสาหลักหนึ่งของ zero trust (แนวคิดที่ไม่เชื่อใจใครโดยอัตโนมัติ ต้องตรวจสอบทุกครั้ง) อยู่ใน Zero Trust Architecture: องค์ประกอบและแผนเริ่มต้น

หากต้องการดูว่าการปกป้องข้อมูลขององค์กรอยู่ในระดับไหน ลองใช้ แบบประเมินตนเอง

ขอบเขตและความถูกต้องของข้อมูล

FIPS 199 และ SP 800-60 เขียนสำหรับรัฐบาลกลางสหรัฐฯ ส่วนตัวอย่างชั้นความลับ 4 ระดับและลำดับ 6 ขั้นเป็นข้อเสนอของเราเอง ข้อความของ ISO/IEC 27001 สรุปมาจากบริษัทที่ปรึกษา ไม่ใช่จากต้นฉบับ และเนื้อหา PDPA สรุปมาจากบทความของสำนักงานกฎหมาย ไม่ใช่จากตัวบท ข้อมูลทั้งหมดตรวจจากแหล่งที่เปิดอ่านเมื่อ 22 ตุลาคม 2026 ควรยืนยันกับเอกสารฉบับล่าสุดและที่ปรึกษากฎหมายก่อนนำไปใช้

แหล่งอ้างอิงและข้อมูลเพิ่มเติม

• NIST FIPS 199: มาตรฐานการจัดระดับความปลอดภัย (security categorization) ที่แบ่งผลกระทบเป็นต่ำ ปานกลาง สูง
• NIST SP 800-60 Vol. 1 Rev. 1: วิธีจับคู่ประเภทข้อมูลกับระดับผลกระทบ
• NIST SP 800-60 Rev. 2 (ร่างเริ่มต้น): ร่างฉบับแก้ไขที่วางแผนไว้ เผยแพร่เมื่อมกราคม 2024
• NIST IR 8496 ร่างเริ่มต้นสำหรับรับฟังความเห็น: แนวคิดและศัพท์ของ data classification (ร่างที่ถูกยุติการพัฒนาแล้ว)
• NIST SP 1800-39 Data Classification Practices: ร่างคู่มือปฏิบัติของ NCCoE (ศูนย์ความเป็นเลิศด้านความปลอดภัยไซเบอร์ของ NIST) ว่าด้วยการค้นหาและติดป้ายข้อมูลไม่มีโครงสร้าง (ร่างสำหรับรับฟังความเห็น กุมภาพันธ์ 2026)
• NIST SP 800-53 Rev. 5: มาตรการ RA-2, MP-3 และ MP-6
• ISO/IEC 27001:2022: หน้ามาตรฐานของ ISO (ต้องซื้อข้อความเต็ม)
• Tilleke & Gibbins: PDPA lawful basis, sensitive personal data and safeguards: บทความของสำนักงานกฎหมายเรื่องข้อมูลส่วนบุคคลที่อ่อนไหว
• PDPC (คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล): เว็บไซต์ของหน่วยงานกำกับดูแล PDPA