Zero Trust Architecture (ZTA) คือวิธีที่องค์กรออกแบบเครือข่าย ตัวตน อุปกรณ์ แอปพลิเคชัน และข้อมูล ให้ตั้งอยู่บนหลัก zero trust (แนวคิดที่ไม่เชื่อใจใครโดยอัตโนมัติ ต้องตรวจสอบทุกครั้ง) NIST SP 800-207 ซึ่งเผยแพร่เมื่อเดือนสิงหาคม 2020 นิยาม ZTA ว่าเป็นแนวทางที่ไม่ให้ความเชื่อใจโดยอัตโนมัติเพียงเพราะอยู่ในเครือข่ายภายใน หรือเพียงเพราะเป็นอุปกรณ์ขององค์กร และให้ยืนยันตัวตนกับกำหนดสิทธิ์ของผู้ใช้และของอุปกรณ์แยกเป็นคนละขั้นตอน ก่อนเริ่ม session (ช่วงการเชื่อมต่อแต่ละครั้ง) ไปยังทรัพยากร พูดสั้น ๆ คือปกป้องทรัพยากรแต่ละชิ้น ไม่ใช่ปกป้องแค่ส่วนของเครือข่ายที่ทรัพยากรนั้นอยู่ หากเพิ่งเริ่มรู้จักแนวคิดนี้ ให้อ่าน Zero Trust คืออะไร และองค์กรควรเริ่มตรงไหน ก่อน แล้วกลับมาที่เรื่องสถาปัตยกรรม
แนวคิดหลักของ ZTA
NIST SP 800-207 อธิบาย zero trust ผ่านชุดหลักการที่เรียกว่า tenet สรุปเป็นภาษาง่ายได้ดังนี้
- ทุกอย่างคือทรัพยากร: แหล่งข้อมูล บริการ และอุปกรณ์ล้วนเป็นสิ่งที่ต้องปกป้อง
- รักษาความปลอดภัยการสื่อสารทั้งหมด: ทุกการเชื่อมต่อต้องปลอดภัย ไม่ว่าจะมาจากเครือข่ายตำแหน่งใด
- ให้สิทธิ์ต่อ session: อนุญาตทีละทรัพยากร ไม่เปิดให้ทั้งระบบในครั้งเดียว
- ตัดสินการเข้าถึงด้วยนโยบายแบบไดนามิก: คือนโยบายที่ปรับตามสถานการณ์ โดยพิจารณาตัวตน แอปพลิเคชัน สถานะอุปกรณ์ และพฤติกรรม
- เฝ้าดูสถานะความปลอดภัยของทุกสินทรัพย์: ทั้งที่เป็นขององค์กรและไม่ใช่ แล้วลงมือจัดการตามสิ่งที่พบ
- ยืนยันตัวตนและกำหนดสิทธิ์ทุกครั้งอย่างเข้มงวด: ต้องทำก่อนอนุญาตให้เข้าถึง
- เก็บข้อมูลให้มากที่สุด: เกี่ยวกับสินทรัพย์ ทราฟฟิก และการเข้าถึง แล้วนำไปปรับปรุงนโยบาย
องค์ประกอบหลักของ ZTA
ZTA แยกการตัดสินใจเรื่องการเข้าถึงออกจากการบังคับใช้ คือมีส่วนที่ตัดสินว่าจะให้เข้าหรือไม่ และมีอีกส่วนที่เปิดหรือปิดทางตามคำตัดสินนั้น NIST อธิบายองค์ประกอบหลักไว้สามอย่าง (เรียกว่า logical component คือส่วนประกอบที่แบ่งตามหน้าที่)
- Policy Engine (PE): ตัวตัดสินว่าจะให้หรือปฏิเสธการเข้าถึง โดยใช้นโยบายขององค์กรและสัญญาณจากแหล่งอื่นประกอบ
- Policy Administrator (PA): ตัวสั่งการตามคำตัดสินของ PE โดยสร้างหรือยกเลิกเส้นทางการสื่อสาร เช่น ออก token (ข้อมูลที่ใช้พิสูจน์ว่าได้รับอนุญาต) หรือ credential (ข้อมูลรับรองการเข้าใช้) สำหรับ session นั้น
- Policy Enforcement Point (PEP): ตัวบังคับใช้ที่อยู่หน้าทรัพยากร ทำหน้าที่เปิด เฝ้าดู และปิดการเชื่อมต่อ
PE และ PA รวมกันมักเรียกว่า Policy Decision Point (จุดตัดสินใจ) การตัดสินใจอาศัยระบบสนับสนุนหลายอย่าง ได้แก่ ระบบจัดการตัวตน ระบบเฝ้าดูสถานะความปลอดภัยของอุปกรณ์ ข้อมูลข่าวกรองภัยคุกคาม (threat intelligence) log กิจกรรม และนโยบายการเข้าถึงข้อมูล
ผลลัพธ์คือวงจรที่ทำซ้ำต่อเนื่อง ไม่ใช่การตรวจครั้งเดียว เริ่มจากคำขอผ่าน PEP จากนั้นจุดตัดสินใจประเมินตัวตน สุขภาพของอุปกรณ์ และบริบท ถ้าอนุญาตก็เปิด session เฉพาะทรัพยากรที่ขอ และระหว่างที่ session ยังเปิดอยู่ ก็ประเมินสัญญาณซ้ำอยู่เรื่อย ๆ
5 เสาหลัก (pillar) ของ Zero Trust
Zero Trust Maturity Model (โมเดลวัดระดับความก้าวหน้า) ของ CISA เวอร์ชัน 2.0 จัดงานออกเป็น 5 เสาหลัก และมีความสามารถอีก 3 อย่างที่ใช้ร่วมกันทุกเสา วิธีแบ่งนี้ใช้ได้จริงที่สุดสำหรับกำหนดเจ้าของงานและวางแผนโครงการ
- ตัวตน (Identity): การยืนยันตัวตนที่แข็งแรง SSO (login ครั้งเดียวใช้ได้หลายระบบ) การให้สิทธิ์เท่าที่จำเป็น (least privilege) และการจัดการบัญชีตลอดวงจรชีวิต ตั้งแต่สร้างจนถึงปิด ทั้งบัญชีของคนและบัญชีที่ระบบใช้ (service account)
- อุปกรณ์ (Devices): ทำบัญชีรายการอุปกรณ์ ตรวจสุขภาพและความสอดคล้องตามเกณฑ์ที่กำหนด และป้องกัน endpoint (เครื่องปลายทาง เช่น คอมพิวเตอร์ของผู้ใช้)
- เครือข่าย (Networks): แบ่งส่วนเครือข่าย เข้ารหัสทราฟฟิก และให้เข้าถึงเป็นรายแอปแทนการเปิดเข้าถึงเครือข่ายกว้าง ๆ
- แอปพลิเคชันและ workload: พัฒนาแอปอย่างปลอดภัย กำหนดสิทธิ์เป็นรายแอป และปกป้อง workload (ระบบที่รันงานบนคลาวด์ เช่น VM หรือ container)
- ข้อมูล (Data): จัดชั้นความลับของข้อมูล เข้ารหัส ควบคุมการเข้าถึง และเฝ้าดูการเคลื่อนย้ายข้อมูล
ความสามารถที่ใช้ร่วมกันทุกเสามี 3 อย่าง คือ visibility และ analytics (การมองเห็นและการวิเคราะห์ข้อมูล) automation และ orchestration (การทำงานอัตโนมัติและการประสานหลายระบบเข้าด้วยกัน) และ governance (ธรรมาภิบาล)
แนวทางติดตั้ง 3 แบบที่พบบ่อย
NIST อธิบายวิธีสร้าง ZTA ไว้หลายแบบ โปรแกรมจริงส่วนใหญ่ใช้หลายแบบผสมกัน
- Enhanced identity governance: ตัดสินการเข้าถึงโดยใช้ตัวตนและคุณสมบัติ (attribute) ของผู้ใช้เป็นหลัก เหมาะเมื่อตัวตนคือมาตรการที่แข็งแรงที่สุดขององค์กร และทรัพยากรส่วนใหญ่อยู่บนคลาวด์หรือ SaaS (บริการซอฟต์แวร์บนคลาวด์)
- Micro-segmentation: แบ่งทรัพยากรเป็นส่วนย่อย ๆ แล้วป้องกันแต่ละส่วนด้วย gateway หรือมาตรการบนตัวเครื่องโฮสต์ มีประโยชน์ในดาต้าเซ็นเตอร์และการปกป้องระบบสำคัญ
- Network-based หรือ software-defined perimeter: แนวทางที่ใช้ซอฟต์แวร์กำหนดขอบเขตการเข้าถึงรายทรัพยากร ผู้ใช้และอุปกรณ์เชื่อมต่อได้เฉพาะทรัพยากรที่ได้รับอนุมัติ มักให้บริการในรูป ZTNA (zero trust network access คือการเข้าถึงเครือข่ายแบบ zero trust) และใช้แทนการให้เข้าถึงกว้าง ๆ ผ่าน VPN ได้บ่อย
ZTNA เป็นเทคโนโลยีหนึ่งที่สนับสนุน ZTA ไม่ใช่สถาปัตยกรรมทั้งหมด การซื้อผลิตภัณฑ์ ZTNA อย่างเดียวจึงไม่ได้ทำให้องค์กรมี zero trust
ระดับความก้าวหน้าของแต่ละเสาหลัก
โมเดลของ CISA แบ่งแต่ละเสาหลักเป็น 4 ระดับ คือ traditional (แบบดั้งเดิม) initial (เริ่มต้น) advanced (ก้าวหน้า) และ optimal (ดีที่สุด) โดยหลักคร่าว ๆ ระดับต้นพึ่งการตั้งค่าด้วยมือและนโยบายคงที่ ส่วนระดับหลัง ๆ เชื่อมเสาหลักเข้าด้วยกัน ใช้ระบบอัตโนมัติมากขึ้น และตัดสินใจจากสัญญาณแบบเรียลไทม์ที่เปลี่ยนไปตามสถานการณ์ ควรใช้ระดับเหล่านี้ตั้งเป้าหมายตามความเป็นจริงของแต่ละเสาหลัก เพราะแทบไม่มีองค์กรที่อยู่ระดับเดียวกันทุกด้าน
ข้อดีและข้อจำกัด
- ข้อดี: จำกัดการเคลื่อนที่ต่อภายในเครือข่าย (lateral movement) หลังถูกบุกรุก เหมาะกับการทำงานระยะไกล คลาวด์ และการเข้าถึงของพาร์ตเนอร์มากกว่าแนวป้องกันที่ขอบเครือข่าย มองเห็นว่าใครเข้าถึงอะไรได้ชัดขึ้น และช่วยเป็นหลักฐานด้านการปฏิบัติตามกฎระเบียบ
- ข้อจำกัด: ต้องทำต่อเนื่องในระยะยาว ไม่ใช่โครงการที่จบในครั้งเดียว ระบบเก่าและระบบ OT (ระบบควบคุมในโรงงาน) อาจไม่รองรับการยืนยันตัวตนสมัยใหม่ การตรวจที่เข้มขึ้นอาจทำให้ผู้ใช้ใช้งานไม่สะดวก และต้องมีคนที่ชำนาญ รวมถึงข้อมูลสินทรัพย์และตัวตนที่ดี
- ความเสี่ยงด้านการออกแบบ: จุดตัดสินใจกลายเป็นโครงสร้างพื้นฐานสำคัญ จึงต้องวางแผน high availability (ให้ระบบพร้อมใช้งานตลอด) และกำหนดพฤติกรรมเมื่อระบบล้มเหลวให้ปลอดภัย จุดตัดสินใจที่ถูกยึดได้จะเป็นเป้าหมายมูลค่าสูง
- ความเสี่ยงจากคำโฆษณา: ไม่มีผลิตภัณฑ์ใดเป็น "zero trust ในกล่องเดียว" ควรถามว่าผลิตภัณฑ์รองรับเสาหลักและหลักการ (tenet) ข้อใดจริง
แผนเริ่มต้นที่ทำได้จริง
NCCoE (National Cybersecurity Center of Excellence) ของ NIST เผยแพร่ SP 1800-35 เมื่อเดือนมิถุนายน 2025 ซึ่งมีตัวอย่างการติดตั้ง ZTA 19 แบบที่สร้างร่วมกับผู้ร่วมงานจากภาคอุตสาหกรรม เป็นแหล่งอ้างอิงที่มีประโยชน์สำหรับการออกแบบจริง ส่วนลำดับทั่วไปที่ใช้ได้กับองค์กรส่วนใหญ่อยู่ด้านล่างนี้
- ระบุสิ่งที่ต้องปกป้อง: ทำบัญชีรายการผู้ใช้ อุปกรณ์ แอปพลิเคชัน และข้อมูล แล้วจัดลำดับตามความสำคัญ
- เสริมความแข็งแรงให้ตัวตนก่อน: ใช้ MFA (การยืนยันตัวตนหลายปัจจัย) ชนิดที่ทนฟิชชิงเมื่อทำได้ (ดู MFA แบบไหนปลอดภัยกว่ากัน) ใช้ SSO และให้สิทธิ์เท่าที่จำเป็น
- รู้จักอุปกรณ์: ทำบัญชีรายการอุปกรณ์ และตรวจสุขภาพอุปกรณ์ก่อนให้เข้าถึง
- ย้ายไปให้เข้าถึงรายแอป และแบ่งส่วนระบบสำคัญ: เริ่มจากแอปหลักไม่กี่ตัว
- ปกป้องข้อมูล: จัดชั้นความลับ เข้ารหัส และเฝ้าดูข้อมูลที่ละเอียดอ่อนที่สุด
- เฝ้าดู ทำให้อัตโนมัติ และปรับปรุง: เก็บสัญญาณ ปรับนโยบาย และทำให้การตอบสนองเป็นอัตโนมัติ
สำหรับโรงงานและระบบควบคุม ใช้แนวคิดเดียวกันได้ แต่ต้องคำนึงถึงความปลอดภัยหน้างาน (safety) และความพร้อมใช้งานของระบบ ดู Zero Trust กับระบบ OT
ขั้นแรกที่ทำได้ทันที
- ระบุ crown jewels: crown jewels คือสินทรัพย์สำคัญที่สุดขององค์กร ให้เลือกห้าระบบหรือชุดข้อมูลที่ถ้าถูกบุกรุกแล้วเสียหายมากที่สุด
- ตรวจพื้นฐานด้านตัวตน: ดูว่า MFA ครอบคลุมแค่ไหน มีบัญชีที่ไม่ได้ใช้งานค้างอยู่หรือไม่ และมีแอดมินที่มีสิทธิ์เกินจำเป็นหรือไม่
- เลือกหนึ่งแอปพลิเคชัน แล้วย้ายจากการให้เข้าถึงทั้งเครือข่ายมาเป็นการเข้าถึงรายแอป
- ให้คะแนนตัวเองรายเสาหลัก เทียบกับระดับของ CISA โดยใช้ แบบประเมินตนเอง เป็นจุดเริ่มต้น
- ซ้อมการเปลี่ยนแปลง ในห้องทดลองก่อนบังคับใช้จริง ดู Network & Cyber Security Simulator: ประเภทและการใช้งาน
ข้อควรระวัง
- มอง zero trust เป็นการซื้อผลิตภัณฑ์: zero trust เป็นทั้งสถาปัตยกรรมและโปรแกรมงานที่ต้องทำต่อเนื่อง
- พยายามเปลี่ยนทุกอย่างพร้อมกัน: ควรเลือกแอปที่มีคุณค่าสูงก่อน แล้วค่อยขยาย
- มองข้ามระบบเก่า: ควรวางมาตรการชดเชย (compensating control) เช่น การแบ่งส่วนเครือข่ายและเส้นทางเข้าถึงที่เข้มงวด
- ลืมความพร้อมใช้งานของจุดตัดสินใจ: ถ้าจุดนี้ล่ม อาจทำให้ทุกคนเข้าใช้งานไม่ได้
- ละเลยประสบการณ์ผู้ใช้: ถ้าใช้งานไม่สะดวก ผู้ใช้จะหาทางลัดมาใช้แทน
- ไม่วัดผล: ถ้าไม่มี log และตัวชี้วัด ก็ปรับนโยบายหรือแสดงความคืบหน้าไม่ได้
เสาหลักด้านตัวตนของ Zero Trust รวมหลายความสามารถที่ทำหน้าที่ต่างกัน ดูการเปรียบเทียบได้ที่ IAM, IGA, PAM และ CIEM ต่างกันอย่างไร
หากต้องการรู้ว่าแนวทาง micro-segmentation ควรเริ่มทำอย่างไรเป็นระยะ ดูที่ Network Segmentation และ Micro-segmentation: เริ่มโดยไม่ทำระบบล่ม
เสาหลักด้านตัวตนครอบคลุมบัญชีที่ระบบใช้ (service account) ด้วย อ่านเพิ่มได้ใน Service Account และ NHI: ความเสี่ยงที่มักถูกมองข้าม
การยืนยันตัวตนที่ทนฟิชชิงเป็นรากฐานของเสาหลักด้านตัวตน อ่านว่า passkeys (การล็อกอินแบบไม่ใช้รหัสผ่าน) ทำงานอย่างไรได้ใน Passkeys และ FIDO2 คืออะไร: ทางเลือกแทนรหัสผ่าน
หากต้องการเลือกบริการเครือข่ายและความปลอดภัยบนคลาวด์มาสนับสนุนเสาหลักด้านเครือข่ายและตัวตน ดู SASE และ SSE คืออะไร ใช้เมื่อไรจึงเหมาะ
การเข้าถึงรายแอปด้วย ZTNA เทียบกับ VPN เป็นอย่างไร และจะทำให้ VPN เดิมแข็งแรงขึ้นระหว่างย้ายได้อย่างไร อธิบายไว้ใน ZTNA กับ VPN: เลือกแบบไหนให้เหมาะกับองค์กร
ใบรับรองดิจิทัลเป็นส่วนหนึ่งของการยืนยันตัวตนของเครื่องและบริการ ดู Certificate Lifecycle Management เมื่อใบรับรองเหลือ 47 วัน
ข้อมูลเป็นเสาหลักหนึ่งของ Zero Trust และเริ่มจากการรู้ว่าข้อมูลชิ้นไหนสำคัญแค่ไหน ดูวิธีทำได้ใน Data Classification: จัดชั้นความลับข้อมูลอย่างไร
สถานะและการตั้งค่าของเครื่องเป็นหนึ่งในสัญญาณที่ใช้ตัดสินสิทธิ์เข้าถึง วิธีเริ่มปรับตั้งค่าเครื่องให้ปลอดภัยดู Endpoint Hardening ด้วย CIS Benchmarks เริ่มอย่างไร
ก่อนวางสถาปัตยกรรมบนคลาวด์ ควรรู้ว่าผู้ให้บริการกับองค์กรดูแลส่วนใดบ้าง ดู Shared Responsibility Model: ใครรับผิดชอบอะไรบนคลาวด์
แหล่งอ้างอิงและข้อมูลเพิ่มเติม
- NIST SP 800-207: Zero Trust Architecture
- NIST SP 1800-35: Implementing a Zero Trust Architecture: ตัวอย่างการติดตั้ง 19 แบบ
- CISA Zero Trust Maturity Model: 5 เสาหลัก 3 ความสามารถที่ใช้ร่วมกันทุกเสา และ 4 ระดับความก้าวหน้า
- OMB M-22-09: Moving the U.S. Government Toward Zero Trust Cybersecurity Principles
- NCSC: Zero trust architecture design principles