Zero Trust: จากหลักการพื้นฐานสู่มาตรฐาน NIST SP 800-207

บทนำ

ในโลกของความปลอดภัยไซเบอร์ยุคปัจจุบัน แนวคิดเรื่อง "การไว้วางใจ" กำลังถูกท้าทายอย่างหนัก องค์กรจำนวนมากยังคงยึดติดกับแนวทางความปลอดภัยแบบดั้งเดิมที่เน้นการป้องกันขอบเขตเครือข่าย (perimeter-based security) ซึ่งตั้งอยู่บนสมมติฐานว่า "สิ่งใดก็ตามที่อยู่ภายในเครือข่ายคือสิ่งที่ไว้ใจได้" แต่ในความเป็นจริง ภัยคุกคามในปัจจุบันสามารถแทรกซึมเข้ามาภายในเครือข่ายได้หลากหลายช่องทาง ไม่ว่าจะเป็นการโจมตีแบบฟิชชิ่ง มัลแวร์ หรือแม้แต่ภัยจากคนในองค์กรเอง แนวคิด Zero Trust จึงถือกำเนิดขึ้นเพื่อพลิกมุมมองด้านความปลอดภัยเสียใหม่ โดยตั้งอยู่บนหลักการง่ายๆ ว่า "อย่าไว้ใจใครทั้งนั้น ไม่ว่าจะอยู่ในหรือนอกเครือข่าย จนกว่าจะได้รับการพิสูจน์ตัวตนและตรวจสอบสิทธิ์แล้ว"

บทความนี้จะพาไปทำความเข้าใจหลักการออกแบบ Zero Trust ทั้งสี่ข้อที่ John Kindervag ผู้บุกเบิกแนวคิดนี้ได้วางไว้ ก่อนจะต่อยอดไปสู่กรอบมาตรฐานที่ได้รับการยอมรับอย่างกว้างขวางในระดับสากล นั่นคือ NIST SP 800-207 ซึ่งจัดทำโดยสถาบันมาตรฐานและเทคโนโลยีแห่งชาติของสหรัฐอเมริกา (National Institute of Standards and Technology)

หลักการออกแบบ Zero Trust ทั้งสี่ข้อ

1. ทำความเข้าใจเป้าหมายทางธุรกิจก่อนเสมอ

ก่อนที่จะเริ่มปรับเปลี่ยนโครงสร้างองค์กรหรือระบบความปลอดภัยใดๆ สิ่งแรกที่ทีมความปลอดภัยต้องทำคือการทำความเข้าใจว่าธุรกิจดำเนินงานอย่างไร คำถามสำคัญที่ต้องถามคือ "องค์กรกำลังพยายามบรรลุอะไร" การมีรากฐานความเข้าใจในเป้าหมายทางธุรกิจเป็นสิ่งจำเป็นอย่างยิ่ง เพราะมาตรการความปลอดภัยที่ดีจะต้องสอดคล้องไปในทิศทางเดียวกับเป้าหมายขององค์กร ไม่ใช่เป็นอุปสรรคที่ขัดขวางการทำกำไรหรือการเติบโตของธุรกิจ

ยิ่งไปกว่านั้น หากทีมความปลอดภัยสามารถออกแบบระบบให้กลายเป็นตัวขับเคลื่อนธุรกิจ (business enabler) ที่ช่วยสร้างรายได้เพิ่มเติมได้ ก็จะยิ่งเป็นประโยชน์ต่อองค์กรมากขึ้นไปอีก สิ่งหนึ่งที่ขาดไม่ได้ในขั้นตอนนี้คือการระบุ "ทรัพย์สินสำคัญยิ่งยวด" หรือ crown jewels ขององค์กรให้ชัดเจน นั่นคือกระบวนการทางธุรกิจใดบ้างที่เป็นแหล่งสร้างรายได้หลัก ระบบและกระบวนการเหล่านี้จำเป็นต้องได้รับการปกป้องอย่างเข้มงวดที่สุด มากกว่าทรัพยากรอื่นใดในองค์กร เพราะหากทรัพย์สินเหล่านี้ถูกโจมตีหรือสูญหาย ธุรกิจอาจไม่สามารถอยู่รอดต่อไปได้

2. ออกแบบระบบด้วยแนวคิด "จากในสู่นอก"

หลักการข้อที่สองต่อยอดจากข้อแรก โดยเริ่มต้นจากทรัพย์สินสำคัญยิ่งยวดที่จำเป็นต่อการดำเนินธุรกิจ แล้วขยายมุมมองออกไปให้ครอบคลุมภาพรวมทั้งหมดขององค์กร ทั้งข้อมูล (Data) แอปพลิเคชัน (Applications) สินทรัพย์ (Assets) และบริการ (Services) หรือที่เรียกรวมกันว่า DAAS แนวทางนี้จะช่วยให้การออกแบบสถาปัตยกรรมความปลอดภัยและมาตรการควบคุมต่างๆ ถูกสร้างขึ้นโดยมีทรัพย์สินสำคัญเป็นศูนย์กลาง

ขั้นตอนในการออกแบบมีดังนี้

การระบุพื้นที่คุ้มครอง (Protect Surfaces): แนวคิดนี้มองในมุมของกระบวนการทางธุรกิจ โดยนำกระบวนการหนึ่งๆ มาพิจารณาว่าใช้ DAAS ใดบ้างในการดำเนินงาน แล้วจัดกลุ่มสิ่งเหล่านั้นเข้าด้วยกันให้กลายเป็นพื้นที่คุ้มครองเดียว หากระบบใดระบบหนึ่งเกี่ยวข้องกับหลายกระบวนการธุรกิจพร้อมกัน แนวทางที่แนะนำคือให้แยกระบบนั้นออกมาเป็นพื้นที่คุ้มครองของตัวเองต่างหาก
การทำแผนผังปฏิสัมพันธ์ (Map Out Interactions): ต้องทำความเข้าใจว่าพื้นที่คุ้มครองแต่ละส่วนมีการติดต่อสื่อสารหรือพึ่งพากันอย่างไรบ้าง
การออกแบบมาตรการป้องกัน (Design Protective Measures): นำมาตรการควบคุมความปลอดภัยไปติดตั้ง โดยเริ่มจากพื้นที่คุ้มครองเหล่านี้แล้วขยายออกไปด้านนอกทีละชั้น เพื่อให้มั่นใจว่าการป้องกันครอบคลุมอย่างทั่วถึง

3. กำหนดว่าใครหรืออะไรที่ควรเข้าถึงได้

หลักการข้อที่สามเกี่ยวข้องกับการพิจารณาว่าใครจำเป็นต้องมีสิทธิ์เข้าถึงทรัพยากรใดบ้างเพื่อให้สามารถปฏิบัติงานได้สำเร็จ ปัญหาที่พบได้บ่อยมากในองค์กรทั่วไปคือ การให้สิทธิ์การเข้าถึงแก่ผู้ใช้งานหรือระบบมากเกินความจำเป็น ซึ่งอาจนำไปสู่การเข้าถึงข้อมูลสำคัญโดยที่ผู้ใช้งานนั้นไม่มีเหตุผลทางธุรกิจใดๆ ที่จะต้องเข้าถึงเลย

ขั้นตอนการนำไปปฏิบัติมีดังนี้

การควบคุมสิทธิ์ตามบทบาทหน้าที่ (Role-based Access Control หรือ RBAC): กำหนดบทบาทต่างๆ ที่จำเป็นภายในองค์กร แล้วมอบหมายให้ผู้ใช้งานตามความต้องการของหน้าที่งานจริง
การทบทวนอย่างต่อเนื่อง (Continuous Review): ตรวจสอบสิทธิ์การเข้าถึงเป็นประจำ เพื่อให้แน่ใจว่ายังคงสอดคล้องกับหน้าที่ปัจจุบันของพนักงานแต่ละคน
การจัดสรรสิทธิ์แบบอัตโนมัติ (Automated Provisioning): ใช้เครื่องมืออัตโนมัติเข้ามาช่วยจัดการและบังคับใช้การควบคุมสิทธิ์การเข้าถึงอย่างมีประสิทธิภาพ

4. การเฝ้าระวังและบันทึกข้อมูลอย่างต่อเนื่อง

หลักการข้อสุดท้ายคือกระบวนการเฝ้าติดตามและบันทึกกิจกรรมต่างๆ ในสภาพแวดล้อมขององค์กรอย่างต่อเนื่อง โดยมีเป้าหมายเพื่อตรวจจับและตอบสนองต่อกิจกรรมที่มีเจตนาร้ายได้อย่างทันท่วงที สิ่งสำคัญที่ต้องเน้นย้ำคือ ต่อให้ระบบเฝ้าระวังจะมีประสิทธิภาพดีเพียงใด แต่ถ้าไม่มีใครคอยติดตามดูข้อมูลเหล่านั้นเลย ระบบก็จะไม่เกิดประโยชน์อันใด

องค์ประกอบสำคัญของหลักการนี้ประกอบด้วย

การติดตั้งเครื่องมือเฝ้าระวัง (Deploy Monitoring Tools): ใช้เครื่องมือที่ช่วยให้มองเห็นสภาพการจราจรของเครือข่ายและกิจกรรมของผู้ใช้งานได้อย่างชัดเจน
การวิเคราะห์บันทึกข้อมูล (Log Analysis): วิเคราะห์บันทึกข้อมูล (log) อย่างต่อเนื่อง เพื่อตรวจจับสัญญาณของการเข้าถึงโดยไม่ได้รับอนุญาตหรือความผิดปกติอื่นๆ
การตอบสนองต่อเหตุการณ์ (Incident Response): จัดตั้งขั้นตอนปฏิบัติที่ชัดเจนสำหรับการตอบสนองต่อภัยคุกคามที่ตรวจพบจากข้อมูล log

NIST SP 800-207: กรอบมาตรฐานสถาปัตยกรรม Zero Trust

เมื่อพูดถึง Zero Trust จะไม่กล่าวถึงเอกสารมาตรฐานของ NIST เลยคงไม่ได้ เพราะ NIST SP 800-207 ถือเป็นหนึ่งในเอกสารอ้างอิงที่สำคัญที่สุดในวงการนี้ NIST ให้คำนิยามไว้ว่า Zero Trust คือชุดของแนวคิดและหลักการที่ถูกออกแบบมาเพื่อลดความไม่แน่นอนในการตัดสินใจให้สิทธิ์การเข้าถึงแบบละเอียดที่สุดในแต่ละคำขอ โดยยึดหลักสิทธิ์ขั้นต่ำที่จำเป็น (least privilege) ภายใต้สมมติฐานว่าเครือข่ายอาจถูกโจมตีหรือถูกบุกรุกไปแล้ว ส่วนสถาปัตยกรรม Zero Trust (Zero Trust Architecture หรือ ZTA) คือแผนกลยุทธ์ด้านความปลอดภัยไซเบอร์ขององค์กรที่นำแนวคิด Zero Trust มาประยุกต์ใช้ ครอบคลุมทั้งความสัมพันธ์ระหว่างองค์ประกอบต่างๆ การวางแผนกระบวนการทำงาน และนโยบายการเข้าถึง

หากจะอธิบายให้เข้าใจง่ายขึ้น อาจสรุปได้ว่า Zero Trust คือแนวทางความปลอดภัยไซเบอร์ที่ตั้งต้นด้วยการไม่ไว้วางใจใครเลยโดยปริยาย ไม่ว่าบุคคลหรือระบบนั้นจะอยู่ภายในหรือภายนอกเครือข่ายก็ตาม ระบบจะต้องตรวจสอบยืนยันตัวตนและสิทธิ์การเข้าถึงของทุกคนและทุกอุปกรณ์ทุกครั้งที่พยายามเข้าถึงทรัพยากร โดยให้สิทธิ์เพียงเท่าที่จำเป็นต่อการปฏิบัติงานเท่านั้น

เจ็ดหลักการพื้นฐาน (Tenets) ของ Zero Trust

NIST ได้วางหลักการพื้นฐานไว้เจ็ดข้อสำหรับการนำ Zero Trust ไปปฏิบัติจริง ได้แก่

แหล่งข้อมูลและบริการคอมพิวเตอร์ทั้งหมดถือเป็นทรัพยากรที่ต้องได้รับการปกป้อง
การสื่อสารทุกรูปแบบต้องได้รับการรักษาความปลอดภัย ไม่ว่าจะอยู่ในตำแหน่งเครือข่ายใดก็ตาม
การเข้าถึงทรัพยากรขององค์กรแต่ละรายการจะได้รับอนุญาตเป็นรายเซสชันเท่านั้น
การเข้าถึงทรัพยากรถูกกำหนดโดยนโยบายแบบพลวัต ซึ่งพิจารณาจากสถานะที่สังเกตได้ของอุปกรณ์ ผู้ใช้งาน แอปพลิเคชัน หรือบริการ รวมถึงทรัพยากรที่ร้องขอ และอาจรวมถึงปัจจัยด้านพฤติกรรมและสภาพแวดล้อมอื่นๆ ด้วย
องค์กรต้องเฝ้าติดตามและวัดผลความสมบูรณ์และระดับความปลอดภัยของสินทรัพย์ทั้งหมด ทั้งที่เป็นเจ้าของเองและที่เกี่ยวข้อง
การพิสูจน์ตัวตนและการให้สิทธิ์การเข้าถึงทรัพยากรทั้งหมดต้องเป็นไปแบบพลวัตและมีการบังคับใช้อย่างเคร่งครัดก่อนที่จะอนุญาตให้เข้าถึงได้
องค์กรควรเก็บรวบรวมข้อมูลให้ได้มากที่สุดเท่าที่จะทำได้ เกี่ยวกับสถานะปัจจุบันของสินทรัพย์ โครงสร้างพื้นฐานเครือข่าย และการสื่อสารต่างๆ แล้วนำข้อมูลเหล่านั้นมาใช้ปรับปรุงระดับความปลอดภัยให้ดียิ่งขึ้น

หกข้อสมมติฐานด้านเครือข่าย

นอกจากหลักการพื้นฐานเจ็ดข้อแล้ว ทุกโครงการที่จะนำ Zero Trust ไปใช้งานจริงยังจำเป็นต้องคำนึงถึงข้อสมมติฐานด้านเครือข่ายอีกหกข้อ ได้แก่

เครือข่ายส่วนตัวทั้งหมดขององค์กรไม่ถือเป็นเขตที่ไว้วางใจได้โดยปริยายอีกต่อไป
อุปกรณ์ที่เชื่อมต่อกับเครือข่ายอาจไม่ได้เป็นกรรมสิทธิ์หรืออยู่ภายใต้การควบคุมขององค์กรทั้งหมด
ไม่มีทรัพยากรใดที่ควรได้รับความไว้วางใจโดยธรรมชาติ
ทรัพยากรขององค์กรไม่ได้ตั้งอยู่บนโครงสร้างพื้นฐานที่องค์กรเป็นเจ้าของทั้งหมด
ผู้ใช้งานและสินทรัพย์ที่อยู่ห่างไกลจากองค์กรไม่สามารถไว้วางใจการเชื่อมต่อเครือข่ายในพื้นที่ของตนเองได้อย่างเต็มที่
สินทรัพย์และกระบวนการทำงานที่เคลื่อนย้ายระหว่างโครงสร้างพื้นฐานขององค์กรและนอกองค์กร ควรมีนโยบายและระดับความปลอดภัยที่สอดคล้องกันตลอด

โดยรวมแล้ว แนวคิดของ NIST ชี้ให้เห็นว่าองค์กรจำเป็นต้องเปลี่ยนจากกลยุทธ์ความปลอดภัยแบบเน้นขอบเขตเครือข่ายแบบดั้งเดิม ไปสู่แนวทางที่ละเอียดขึ้น โดยตรวจสอบทุกคำขอเข้าถึงอย่างเข้มงวด การเปลี่ยนแปลงนี้จำเป็นอย่างยิ่งเพื่อรับมือกับภูมิทัศน์ภัยคุกคามไซเบอร์ที่เปลี่ยนแปลงตลอดเวลา ซึ่งผู้โจมตีสามารถหลบเลี่ยงการป้องกันแบบดั้งเดิมและใช้ประโยชน์จากช่องโหว่ภายในเครือข่ายเพื่อเข้าควบคุมระบบได้อย่างเต็มรูปแบบ

ความท้าทายในการนำไปปฏิบัติจริง

แม้ NIST SP 800-207 จะวางกรอบแนวคิดที่ครอบคลุมและเป็นที่ยอมรับในระดับสากล แต่เมื่อถึงเวลาต้องนำไปปฏิบัติจริง หลายองค์กรมักพบกับกำแพงที่ผ่านไปได้ยาก เนื่องจากเอกสารมาตรฐานนี้ไม่ได้อ้างอิงถึงเทคโนโลยีเฉพาะเจาะจงใดๆ เลย ทุกอย่างถูกอธิบายไว้ในระดับแนวคิดที่ค่อนข้างสูง ตัวอย่างเช่น สถาปัตยกรรมอ้างอิงของ NIST ที่กล่าวถึงจุดตัดสินใจด้านนโยบาย (Policy Decision Point หรือ PDP) นั้น ในทางปฏิบัติอาจหมายถึงระบบอย่าง Microsoft Active Directory ก็ได้ แต่เอกสารกลับไม่ได้ระบุตัวอย่างที่จับต้องได้เช่นนี้ไว้เลย

การขาดตัวอย่างที่เป็นรูปธรรมเช่นนี้ทำให้วิศวกรไอทีจำนวนมากยังคงมีความสับสนว่าจะนำแนวคิด Zero Trust ไปปรับใช้กับสภาพแวดล้อมของตนเองได้อย่างไร การมีตัวอย่างการนำไปใช้งานจริงโดยอ้างอิงเทคโนโลยีที่วิศวกรไอทีส่วนใหญ่คุ้นเคยอยู่แล้ว จะช่วยลดช่องว่างระหว่างความเข้าใจเชิงทฤษฎีกับการนำไปปฏิบัติจริงได้อย่างมาก และนี่เองคือเหตุผลสำคัญที่ทำให้เกิดความพยายามในการเขียนเนื้อหาเชิงลึกเพื่อช่วยให้ผู้อ่านสามารถก้าวข้ามจากการ "รู้จัก" Zero Trust ไปสู่การ "ลงมือทำ" ได้จริงในองค์กรของตนเอง

บทสรุป

หลักการออกแบบ Zero Trust ทั้งสี่ข้อของ Kindervag ได้แก่ การทำความเข้าใจเป้าหมายทางธุรกิจ การออกแบบจากในสู่นอกโดยเริ่มจากทรัพย์สินสำคัญ การกำหนดสิทธิ์การเข้าถึงอย่างเหมาะสม และการเฝ้าระวังอย่างต่อเนื่อง ล้วนเป็นรากฐานสำคัญที่ทำให้แนวคิด Zero Trust สามารถนำไปปรับใช้ได้จริงในเชิงกลยุทธ์ ในขณะที่ NIST SP 800-207 ได้ต่อยอดแนวคิดเหล่านี้ให้เป็นกรอบมาตรฐานที่ครอบคลุมและเป็นที่ยอมรับในระดับสากล ผ่านหลักการพื้นฐานเจ็ดข้อและข้อสมมติฐานด้านเครือข่ายอีกหกข้อ

อย่างไรก็ตาม ช่องว่างสำคัญที่ยังคงอยู่คือการขาดตัวอย่างเทคโนโลยีที่เป็นรูปธรรมในเอกสารมาตรฐาน ซึ่งเป็นความท้าทายที่องค์กรและผู้เชี่ยวชาญด้านความปลอดภัยไซเบอร์จำเป็นต้องช่วยกันเติมเต็ม ด้วยการแปลงแนวคิดเชิงทฤษฎีให้กลายเป็นแนวปฏิบัติที่จับต้องได้ เพื่อให้ Zero Trust ไม่ใช่เพียงแนวคิดที่ฟังดูดีในกระดาษ แต่เป็นกลยุทธ์ความปลอดภัยที่สามารถนำไปใช้ปกป้ององค์กรได้อย่างแท้จริงในโลกที่ภัยคุกคามไซเบอร์ทวีความซับซ้อนขึ้นทุกวัน