Zero Trust คือแนวคิดด้านความปลอดภัยที่ไม่เชื่อใจผู้ใช้หรืออุปกรณ์ใดโดยอัตโนมัติ แม้จะเชื่อมต่ออยู่ในเครือข่ายภายในองค์กรแล้วก็ตาม ทุกครั้งที่มีคำขอเข้าถึง ต้องตรวจสอบก่อนอนุญาตเสมอ

INFOGRAPHIC
Zero Trust: ตรวจสอบทุกคำขอจากทุกมิติ
ตรวจสอบทุกคำขอ
ไม่เชื่อใจใครโดยอัตโนมัติ ต้องตรวจสอบทุกครั้ง
ตัวตน
ยืนยันหลายขั้นตอน (MFA) และ login ครั้งเดียว (SSO)
อุปกรณ์
ตรวจสถานะอุปกรณ์ก่อนอนุญาต
แอปพลิเคชัน
เข้าถึงรายแอป (ZTNA) แทน VPN ทั้งเครือข่าย
เครือข่าย
แบ่งส่วนเพื่อไม่ให้ผู้โจมตีเคลื่อนที่ต่อได้ง่าย
การมองเห็น
เก็บ log และตรวจจับพฤติกรรมผิดปกติ

หลักการสำคัญของ Zero Trust

  • ตรวจสอบตัวตนของผู้ใช้และสถานะความปลอดภัยของอุปกรณ์ทุกครั้งที่เข้าถึง
  • ให้สิทธิ์เท่าที่จำเป็น (least privilege) คือให้บัญชีเข้าถึงได้เฉพาะสิ่งที่งานต้องใช้
  • สมมติไว้ก่อนว่าผู้โจมตีอาจเข้ามาในระบบได้แล้ว จึงออกแบบให้ความเสียหายจำกัดอยู่ในวงแคบ

วิธีเริ่มต้นใช้ Zero Trust โดยไม่ต้องรื้อระบบ

  • เริ่มจากตัวตน: เปิดใช้ MFA (การยืนยันตัวตนหลายขั้นตอน เช่น รหัสผ่านร่วมกับรหัสจากแอป) ดู MFA แบบไหนปลอดภัยกว่ากัน แล้วรวมการ login ไว้ที่จุดเดียวด้วย SSO (login ครั้งเดียวใช้ได้หลายระบบ)
  • เลือกแอปพลิเคชันสำคัญ 1-2 ตัว แล้วเปลี่ยนจาก VPN ที่เปิดให้เข้าถึงทั้งเครือข่าย เป็นการเข้าถึงรายแอปด้วย ZTNA (ระบบที่ให้ผู้ใช้เข้าได้เฉพาะแอปที่กำหนด ไม่ใช่ทั้งเครือข่าย)
  • แบ่งส่วนเครือข่ายระหว่างระบบสำคัญ เพื่อให้ผู้โจมตีเคลื่อนที่จากระบบหนึ่งไปอีกระบบหนึ่งได้ยากขึ้น
  • เก็บ log และตรวจจับพฤติกรรมที่ผิดปกติ

Zero Trust ไม่ใช่ผลิตภัณฑ์ที่ซื้อครั้งเดียวแล้วจบ แต่เป็นทิศทางที่องค์กรค่อยๆ ปรับปรุงไปทีละขั้น

สำหรับโรงงานและระบบควบคุมเครื่องจักร (OT) ซึ่งมีข้อจำกัดต่างจากระบบ IT ทั่วไป อ่านต่อได้ที่ Zero Trust กับระบบ OT

เมื่อเข้าใจพื้นฐานแล้ว หากต้องการดูองค์ประกอบและสถาปัตยกรรมอย่างละเอียด อ่านต่อที่ Zero Trust Architecture: องค์ประกอบและแผนเริ่มต้น

บทความนี้พูดถึงหลักสิทธิ์เท่าที่จำเป็น (least privilege) หากต้องการดูว่าหลักนี้ใช้กับผู้ดูแลระบบอย่างไรในทางปฏิบัติ อ่าน PAM คืออะไร และทำไมต้องควบคุมสิทธิ์ผู้ดูแลระบบ

ตัวตนเป็นจุดเริ่มต้นที่ทำได้จริงของ Zero Trust ดูขั้นตอนการย้ายไปใช้ passkeys (การ login แบบไม่ใช้รหัสผ่าน โดยใช้กุญแจดิจิทัลในอุปกรณ์แทน) ได้ใน วิธีนำ Passkeys ไปใช้ในองค์กรทีละขั้น

หากต้องการเปรียบเทียบการเข้าถึงรายแอปกับ VPN อย่างละเอียด อ่าน ZTNA กับ VPN: เลือกแบบไหนให้เหมาะกับองค์กร

ในคลาวด์ ส่วนที่ลูกค้าต้องดูแลเสมอคือบัญชีผู้ใช้ สิทธิ์ และข้อมูล ดู Shared Responsibility Model: ใครรับผิดชอบอะไรบนคลาวด์ ว่าส่วนไหนเป็นของลูกค้าเมื่อใช้ IaaS, PaaS หรือ SaaS

แหล่งอ้างอิงและข้อมูลเพิ่มเติม