Zero Trust Architecture ตามกรอบ NSA 7 เสาหลักและแนวทางนำไปใช้ในองค์กร

National Security Agency (NSA) ระบุไว้อย่างชัดเจนว่า Zero Trust ไม่ใช่การซื้อหรือติดตั้งโซลูชันใดโซลูชันหนึ่ง แต่คือการเปลี่ยนแปลง แนวคิดและวิธีการบริหารความมั่นคงปลอดภัยขององค์กรทั้งระบบ ตั้งแต่ระดับนโยบาย กระบวนการ ไปจนถึงเทคโนโลยีที่ใช้งานจริง

แนวคิด Zero Trust ตั้งอยู่บนสมมติฐานว่าไม่มีผู้ใช้ อุปกรณ์ หรือระบบใดที่ควรถูกเชื่อถือโดยอัตโนมัติ ไม่ว่าจะอยู่ภายในหรือภายนอกองค์กร ทุกการเข้าถึงต้องผ่านการตรวจสอบและยืนยันอย่างเหมาะสมเสมอ

ภายใต้กรอบแนวคิดนี้ องค์กรจำเป็นต้องมีความสามารถสำคัญหลายประการเพื่อรองรับการดำเนินงานในสภาพแวดล้อมที่ภัยคุกคามเปลี่ยนแปลงตลอดเวลา

ประการแรก องค์กรต้องสามารถตรวจสอบทุก Access Request อย่างต่อเนื่อง ไม่ใช่เพียงการยืนยันตัวตนครั้งแรกเมื่อเข้าสู่ระบบ แต่ต้องมีการประเมินสิทธิ์และบริบทของการเข้าถึงตลอดช่วงเวลาการใช้งาน เพื่อให้มั่นใจว่าการเข้าถึงนั้นยังคงเหมาะสมและปลอดภัย

ประการที่สอง คือการตรวจสอบสถานะความปลอดภัยของอุปกรณ์ (Device Posture) อุปกรณ์ที่ใช้เข้าถึงระบบต้องมีสถานะที่เป็นไปตามนโยบายด้านความปลอดภัย เช่น การอัปเดตแพตช์ ระบบป้องกันมัลแวร์ และการตั้งค่าที่ปลอดภัย หากอุปกรณ์ไม่ผ่านเกณฑ์ องค์กรต้องสามารถจำกัดหรือปฏิเสธการเข้าถึงได้ทันที

นอกจากนี้ องค์กรต้องให้ความสำคัญกับการบันทึกและวิเคราะห์พฤติกรรมของผู้ใช้และระบบ เพื่อสร้างความสามารถในการมองเห็น (Visibility) อย่างรอบด้าน ข้อมูลจาก Log และการวิเคราะห์พฤติกรรมช่วยให้องค์กรสามารถตรวจจับความผิดปกติการใช้งานที่เบี่ยงเบนจากปกติ หรือสัญญาณของการโจมตีได้ตั้งแต่ระยะเริ่มต้น

สุดท้าย องค์กรต้องมีความพร้อมในการตอบสนองและฟื้นฟูระบบเมื่อเกิด Incident Zero Trust ยอมรับความจริงว่าการโจมตีอาจเกิดขึ้นได้เสมอ ดังนั้น การมีแผนรับมือ การตอบสนองที่รวดเร็ว และกระบวนการฟื้นฟูที่ชัดเจน จึงเป็นองค์ประกอบสำคัญในการลดผลกระทบและรักษาความต่อเนื่องของธุรกิจ

แนวคิดการออกแบบ Zero Trust Architecture

การออกแบบ Zero Trust Architecture ไม่ควรเริ่มจากการเลือกซื้อเครื่องมือ แต่ควรเริ่มจากการทำความเข้าใจว่าทรัพยากรใดมีความสำคัญต่อองค์กร ใครจำเป็นต้องเข้าถึง และควรกำหนดเงื่อนไขในการเข้าถึงอย่างไร โดยมีแนวทางสำคัญดังนี้

1. ระบุข้อมูลและระบบสำคัญขององค์กร

องค์กรควรเริ่มจากการระบุ Crown Jewels หรือทรัพยากรที่มีความสำคัญสูง เช่น ข้อมูลลูกค้า ข้อมูลทางการเงิน ระบบบัญชี ระบบการผลิต หรือทรัพย์สินทางปัญญา เพื่อกำหนดลำดับความสำคัญในการป้องกัน

การระบุทรัพยากรสำคัญอย่างชัดเจนช่วยให้องค์กรทราบว่าควรลงทุนด้านความปลอดภัยในจุดใด และสามารถออกแบบนโยบายการเข้าถึงให้เหมาะสมกับความเสี่ยงของแต่ละระบบ

2. ออกแบบการป้องกันจากด้านในออกด้านนอก

แทนที่จะเริ่มจากการสร้างขอบเขตเครือข่ายขนาดใหญ่แล้วป้องกันเฉพาะบริเวณรอบนอก Zero Trust ให้ความสำคัญกับการปกป้องข้อมูลและระบบสำคัญจากภายในก่อน จากนั้นจึงกำหนดผู้ใช้ อุปกรณ์ และเส้นทางที่ได้รับอนุญาตให้เข้าถึง

แนวทางนี้ช่วยลดพื้นที่ที่ผู้โจมตีสามารถเคลื่อนไหวได้ และป้องกันไม่ให้การเข้าถึงระบบหนึ่งนำไปสู่การเข้าถึงระบบอื่นโดยอัตโนมัติ

3. ใช้หลัก Least Privilege

ผู้ใช้และระบบควรได้รับสิทธิ์เท่าที่จำเป็นต่อการปฏิบัติงาน และเฉพาะในช่วงเวลาที่ต้องใช้งานเท่านั้น องค์กรควรตรวจสอบสิทธิ์เป็นระยะ และยกเลิกสิทธิ์ที่ไม่จำเป็นเมื่อบุคลากรเปลี่ยนหน้าที่หรือออกจากองค์กร

การใช้หลัก Least Privilege ช่วยลดความเสียหายหากบัญชีผู้ใช้ถูกขโมย เพราะผู้โจมตีจะสามารถเข้าถึงได้เฉพาะทรัพยากรภายใต้สิทธิ์ของบัญชีนั้น ไม่ใช่ระบบทั้งหมดขององค์กร

4. ตรวจสอบและบันทึก Traffic และกิจกรรม

การเชื่อมต่อและกิจกรรมที่เกิดขึ้นในระบบควรถูกบันทึกและนำมาวิเคราะห์อย่างต่อเนื่อง ไม่ว่าจะเป็นการเข้าถึงจากภายในหรือภายนอกองค์กร ข้อมูลดังกล่าวช่วยให้องค์กรมองเห็นเส้นทางการใช้งาน ตรวจพบพฤติกรรมผิดปกติ และสืบสวนย้อนหลังเมื่อเกิดเหตุการณ์ได้

5. ใช้บริบทหลายปัจจัยในการตัดสินใจ

การอนุญาตการเข้าถึงไม่ควรพิจารณาจากชื่อผู้ใช้และรหัสผ่านเพียงอย่างเดียว แต่ควรพิจารณาบริบทอื่นร่วมด้วย เช่น สถานะของอุปกรณ์ ตำแหน่งที่ตั้ง ช่วงเวลา รูปแบบพฤติกรรม ระดับความสำคัญของข้อมูล และความเสี่ยงของคำขอเข้าถึง

การใช้ข้อมูลหลายปัจจัยช่วยให้องค์กรตัดสินใจได้แม่นยำขึ้น และสามารถปรับระดับการควบคุมตามสถานการณ์ได้แบบไดนามิก