Zero Trust คืออะไร? เมื่อการอยู่ในเครือข่ายบริษัทไม่ได้แปลว่าปลอดภัยอีกต่อไป เพราะทุกการเข้าถึงต้องถูกตรวจสอบ ทั้งตัวตน อุปกรณ์ และสิทธิ์ ก่อนเข้าถึงข้อมูล มารู้จักแนวคิด Cybersecurity ที่กำลังเปลี่ยนวิธีป้องกันองค์กรในยุค Cloud และ Remote Work
เมื่อก่อนการรักษาความปลอดภัยขององค์กรอาจเปรียบได้กับการสร้างกำแพงรอบบริษัท ใครที่อยู่นอกกำแพงต้องผ่านการตรวจสอบ แต่เมื่อเข้ามาอยู่ “ข้างใน” แล้ว ระบบมักให้ความไว้วางใจในระดับหนึ่ง แนวคิดนี้เคยเหมาะกับยุคที่ข้อมูล แอปพลิเคชัน และพนักงานส่วนใหญ่อยู่ภายในเครือข่ายองค์กร แต่วันนี้สถานการณ์เปลี่ยนไป เมื่อพนักงานทำงานจากบ้าน ใช้สมาร์ตโฟนและโน้ตบุ๊กส่วนตัว ระบบถูกย้ายขึ้น Cloud และบริการต่าง ๆ เชื่อมต่อผ่านอินเทอร์เน็ต แนวคิดที่ว่า “อยู่ในเครือข่ายภายใน = ปลอดภัย” จึงไม่เพียงพออีกต่อไป
NIST อธิบาย Zero Trust ว่าเป็นแนวทางที่เปลี่ยนจากการป้องกันด้วยขอบเขตเครือข่าย ไปสู่การให้ความสำคัญกับ ผู้ใช้ อุปกรณ์ และทรัพยากรที่กำลังถูกเข้าถึง โดยไม่มีการให้ความไว้วางใจโดยอัตโนมัติเพียงเพราะผู้ใช้หรืออุปกรณ์อยู่ในเครือข่ายองค์กร (NIST)
ต่อไปนี้คือ 5 ประเด็นสำคัญที่จะช่วยให้เข้าใจว่า Zero Trust คืออะไร และทำไม Password อย่างเดียวจึงไม่พออีกต่อไป
Zero Trust คืออะไร?
Zero Trust คือแนวทางด้าน Cybersecurity ที่ไม่ให้ความไว้วางใจผู้ใช้ อุปกรณ์ หรือระบบโดยอัตโนมัติ แม้อยู่ภายในเครือข่ายองค์กร แต่จะตรวจสอบตัวตน อุปกรณ์ สิทธิ์ และบริบทของการเข้าถึงทุกครั้งก่อนอนุญาตให้เข้าถึงข้อมูลหรือทรัพยากร โดยมุ่งปกป้องทรัพยากรเป็นรายจุดแทนการพึ่งพา “กำแพงเครือข่าย” แบบเดิม ซึ่งเหมาะกับองค์กรยุค Cloud, Remote Work และ BYOD ที่ขอบเขตของเครือข่ายไม่ได้อยู่แค่ภายในสำนักงานอีกต่อไป
หัวใจของ Zero Trust คือระบบจะไม่มอบสิทธิ์เพียงเพราะผู้ใช้หรืออุปกรณ์อยู่ในตำแหน่งที่ระบบมองว่าปลอดภัยอีกต่อไป ตัวอย่างเช่น พนักงานคนหนึ่งเชื่อมต่อ Wi-Fi ของบริษัทและผ่านการ Login ในระบบแบบเดิมอาจถือว่าพนักงานคนนี้อยู่ภายในเครือข่ายที่เชื่อถือได้ แต่ใน Zero Trust การผ่านด่านแรกไม่ได้หมายความว่าจะได้รับสิทธิ์เข้าถึงทุกอย่าง ระบบยังต้องพิจารณาว่า ผู้ใช้คือใคร อุปกรณ์ที่ใช้มีสถานะปลอดภัยหรือไม่ กำลังขอเข้าถึงทรัพยากรอะไร และคำขอนั้นมีความเสี่ยงแค่ไหน
Zero Trust ไม่ควรมอบความไว้วางใจโดยอาศัยตำแหน่งของผู้ใช้หรืออุปกรณ์บนเครือข่ายเพียงอย่างเดียว และควรตรวจสอบ Authentication และ Authorization ก่อนการเข้าถึงทรัพยากรแต่ละครั้ง
แนวคิดนี้จึงเปลี่ยนคำถามจาก “คุณอยู่ใน Network หรือไม่?” เป็น “คุณคือใคร กำลังใช้เครื่องอะไร และมีสิทธิ์ทำสิ่งนี้หรือไม่?” ทำให้ระบบสามารถกำหนดสิทธิ์อย่างละเอียดมากขึ้น เช่น พนักงานอาจเข้าถึงระบบอีเมลได้ แต่ไม่มีสิทธิ์เข้าถึงฐานข้อมูลลูกค้า หรือสามารถดูเอกสารได้แต่ไม่สามารถดาวน์โหลดหรือแก้ไขได้ หลักคิดสำคัญคือ สิทธิ์ต้องสัมพันธ์กับสิ่งที่จำเป็นต้องทำจริง ๆ ไม่ใช่ให้สิทธิ์กว้างเพียงเพราะผ่านการเข้าสู่ระบบแล้ว
Password อย่างเดียวไม่พอ เพราะ “รู้รหัส” ไม่ได้แปลว่า “เป็นเจ้าของบัญชี”
Password เป็นเพียงหลักฐานรูปแบบหนึ่งที่ใช้ยืนยันตัวตน แต่ปัญหาคือรหัสผ่านสามารถถูกขโมย เดา หลอกให้ผู้ใช้เปิดเผย หรือถูกนำกลับมาใช้ซ้ำได้ หากผู้โจมตีได้ Username และ Password ของพนักงาน ระบบที่พึ่งพาเพียงรหัสผ่านอาจมองว่าผู้โจมตีคือเจ้าของบัญชีจริง นี่คือเหตุผลที่ Zero Trust ให้ความสำคัญกับการตรวจสอบหลายปัจจัยและบริบทของการเข้าถึง ไม่ใช่เพียงถามว่า “รู้ Password หรือไม่”
ในทางปฏิบัติ ระบบอาจพิจารณาข้อมูลหลายด้านร่วมกัน เช่น ตัวตนของผู้ใช้ อุปกรณ์ที่กำลังใช้งาน ตำแหน่งหรือสภาพแวดล้อมของการเชื่อมต่อ ช่วงเวลา และระดับความเสี่ยงของทรัพยากรที่กำลังร้องขอ หากเป็นการเข้าสู่ระบบจากอุปกรณ์ที่ไม่เป็นไปตามนโยบายหรือมีพฤติกรรมผิดปกติ ระบบอาจขอการยืนยันเพิ่มเติมหรือปฏิเสธการเข้าถึงได้ NIST อธิบายว่า Zero Trust ควรใช้การควบคุมการเข้าถึงแบบอิงความเสี่ยง และประเมินทั้งตัวผู้ร้องขอและสถานะความปลอดภัยของอุปกรณ์
ดังนั้น Multi-Factor Authentication หรือ MFA จึงเป็นส่วนสำคัญของแนวคิดนี้ เพราะช่วยลดความเสียหายเมื่อ Password ถูกขโมย แต่ Zero Trust ไม่ได้จบเพียง MFA เพราะแม้ผู้ใช้จะยืนยันตัวตนสำเร็จแล้ว ระบบก็ยังต้องพิจารณาว่า ควรให้เข้าถึงอะไร และให้สิทธิ์มากแค่ไหน
ไม่ได้ตรวจแค่ “คน” แต่ต้องตรวจ “อุปกรณ์” ด้วย
ในโลกของการทำงานแบบ Remote Work ผู้ใช้หนึ่งคนอาจเข้าถึงระบบจากคอมพิวเตอร์สำนักงาน โน้ตบุ๊กที่บ้าน สมาร์ตโฟน หรืออุปกรณ์ส่วนตัว และอุปกรณ์เหล่านี้ไม่ได้มีระดับความปลอดภัยเท่ากันทั้งหมด หากองค์กรตรวจสอบเฉพาะ Username และ Password ก็อาจเกิดสถานการณ์ที่บัญชีของพนักงานถูกต้อง แต่เครื่องที่ใช้เข้าสู่ระบบกลับติดมัลแวร์หรือไม่ได้รับการอัปเดตด้านความปลอดภัย
Zero Trust จึงมอง Device Identity และ Device Posture เป็นส่วนหนึ่งของการตัดสินใจ ตัวอย่างเช่น ระบบอาจตรวจว่าเครื่องมีการอัปเดตแพตช์ล่าสุดหรือไม่ มีระบบรักษาความปลอดภัยทำงานอยู่หรือไม่ ผ่านการจัดการโดยองค์กรหรือไม่ และมีสัญญาณว่าถูกโจมตีหรือถูกควบคุมโดยบุคคลอื่นหรือไม่ หากอุปกรณ์ไม่ผ่านเงื่อนไข ระบบสามารถจำกัดสิทธิ์หรือปฏิเสธการเข้าถึงได้ NIST ระบุว่าองค์กรควรประเมินสถานะด้านความปลอดภัยของ Asset เมื่อมีการร้องขอเข้าถึงทรัพยากร และอุปกรณ์ที่มีช่องโหว่หรือถูกบุกรุกอาจถูกปฏิเสธการเชื่อมต่อได้
จุดนี้ทำให้ Zero Trust แตกต่างจากการรักษาความปลอดภัยแบบเดิมอย่างชัดเจน เพราะไม่ได้มองว่า “พนักงานคนนี้เป็นคนของบริษัท ดังนั้นเครื่องของเขาต้องปลอดภัย” แต่จะมองว่า ทุก Access Request ต้องได้รับการประเมินตามเงื่อนไขที่กำหนด ซึ่งเหมาะกับองค์กรยุคที่มีทั้ง Cloud, BYOD, Remote Work และอุปกรณ์จำนวนมากกระจายอยู่นอกสำนักงาน
Least Privilege จำกัดสิทธิ์เท่าที่จำเป็น
หนึ่งในแนวคิดสำคัญของ Zero Trust คือ Least Privilege หรือการให้สิทธิ์เท่าที่จำเป็นต่อการทำงาน หากพนักงานต้องเข้าถึงข้อมูลเฉพาะโครงการหนึ่ง ก็ไม่ควรได้รับสิทธิ์เข้าถึงฐานข้อมูลทั้งหมดของบริษัท แนวคิดนี้มีความสำคัญอย่างมากเมื่อเกิดเหตุการณ์บัญชีหรืออุปกรณ์ถูกบุกรุก เพราะเป้าหมายของผู้โจมตีมักไม่ได้หยุดอยู่ที่การยึดบัญชีหนึ่งบัญชี แต่อาจพยายามใช้บัญชีนั้นเป็นจุดเริ่มต้นเพื่อเคลื่อนที่ไปยังระบบอื่น ๆ ภายในองค์กร
Zero Trust จึงพยายามทำให้แต่ละทรัพยากรมีการควบคุมการเข้าถึงที่ละเอียดขึ้น แทนที่จะสร้างเครือข่ายภายในขนาดใหญ่ที่เมื่อเข้ามาได้แล้วสามารถเดินทางไปยังระบบอื่นได้ง่าย NIST ระบุว่าแนวทาง Zero Trust ให้ความสำคัญกับการขยับจุดควบคุมการเข้าถึงเข้าไปใกล้ทรัพยากร และใช้หลัก Least Privilege เพื่อจำกัดทั้งการมองเห็นและการเข้าถึงทรัพยากร
แนวคิดนี้จึงช่วยลด “พื้นที่ความเสียหาย” หากเกิดเหตุการณ์ Security Breach เพราะการที่ผู้โจมตีได้สิทธิ์จากบัญชีหนึ่งไม่ได้หมายความว่าจะสามารถเข้าถึงทุกระบบต่อไปได้โดยอัตโนมัติ ยิ่งองค์กรมีระบบ Cloud และ Application จำนวนมาก การกำหนดสิทธิ์ในระดับผู้ใช้ อุปกรณ์ แอปพลิเคชัน และ Service จึงมีความสำคัญมากขึ้นเรื่อย ๆ
Zero Trust ไม่ใช่ระบบที่ซื้อมาแล้วจบ แต่คือการตรวจสอบอย่างต่อเนื่อง
สิ่งที่หลายคนเข้าใจผิดเกี่ยวกับ Zero Trust คือคิดว่าเป็น Software หรืออุปกรณ์ Security ชนิดหนึ่งที่องค์กรสามารถซื้อและติดตั้งแล้วจบ แต่จริง ๆ แล้ว Zero Trust เป็น แนวคิดด้านสถาปัตยกรรมและกระบวนการรักษาความปลอดภัย ที่ต้องทำงานร่วมกันหลายส่วน ตั้งแต่ Identity Management, Authentication, Device Security, Access Control, Network Security ไปจนถึงการ Monitoring และ Logging
เหตุผลสำคัญคือสถานะของผู้ใช้และอุปกรณ์สามารถเปลี่ยนแปลงได้ตลอดเวลา พนักงานอาจผ่านการยืนยันตัวตนตอนเช้า แต่ในเวลาต่อมาอุปกรณ์อาจถูกตรวจพบว่ามีช่องโหว่ หรือพฤติกรรมการเข้าถึงอาจเปลี่ยนไปอย่างผิดปกติ ดังนั้น Zero Trust จึงต้องสามารถประเมินและปรับการเข้าถึงตามสถานการณ์ได้ NIST ระบุว่าการนำ Zero Trust มาใช้ควรมีการตรวจสอบและบันทึกการโต้ตอบ รวมถึงใช้การควบคุมการเข้าถึงตามความเสี่ยงอย่างต่อเนื่อง
นี่จึงเป็นเหตุผลที่ Zero Trust มีความสำคัญมากขึ้นในยุคที่ “ขอบเขตขององค์กร” ไม่ได้อยู่แค่ในสำนักงานอีกต่อไป ข้อมูลอาจอยู่บน Cloud พนักงานอาจอยู่ที่บ้าน Application อาจกระจายอยู่หลายระบบ และ Service ต่าง ๆ อาจสื่อสารกันระหว่างหลาย Cloud NIST ยังชี้ว่าในสภาพแวดล้อม Cloud-native และ Multi-cloud การควบคุมการเข้าถึงต้องให้ความสำคัญกับ Identity ของผู้ใช้และ Service มากขึ้น โดยไม่ยึดติดกับตำแหน่งของระบบบนเครือข่ายเพียงอย่างเดียว
สรุป
Zero Trust ไม่ใช่แนวคิดว่า “อย่าเชื่อใจพนักงาน” แต่คือการออกแบบระบบให้ ไม่มีใครได้รับความไว้วางใจโดยอัตโนมัติ เพียงเพราะอยู่ใน Network ที่ถูกต้องหรือมี Password ที่ถูกต้อง ทุกการเข้าถึงควรถูกพิจารณาจากตัวตน อุปกรณ์ สิทธิ์ ทรัพยากร และระดับความเสี่ยงที่เกี่ยวข้อง
ในวันที่องค์กรไม่ได้มี “กำแพง” เพียงหนึ่งเดียวอีกต่อไป การรักษาความปลอดภัยจึงต้องเปลี่ยนจากการป้องกันแค่ขอบเขต ไปสู่การปกป้อง ทุก Identity, ทุก Device, ทุก Application และทุก Resource แนวคิดนี้คือแก่นสำคัญของ Zero Trust
อ้างอิง csrc.nist.gov nvlpubs.nist.gov nist.gov และ cover iT24Hrs
อ่านบทความและข่าวอื่นๆเพิ่มเติมได้ที่ it24hrs.com
Zero Trust คืออะไร เครือข่ายของบริษัทก็ไม่ได้แปลว่าปลอดภัย
อย่าลืมกดติดตามอัพเดตข่าวสาร ทิปเทคนิคดีๆกันนะคะ Please follow us
Youtube it24hrs
Twitter it24hrs
Tiktok it24hrs
facebook it24hrs
ติดต่อโฆษณา [email protected] โทร 080234502
