การนำ Zero Trust มาใช้จริงในองค์กร: เข้าใจง่าย ทำได้จริง

Zero Trust คืออะไร และทำไมต้องเปลี่ยนมุมคิด

หัวใจสำคัญของ Zero Trust ไม่ใช่แค่การซื้อเทคโนโลยีใหม่มาติดตั้ง แต่คือ การเปลี่ยนมุมมอง ที่มีต่อระบบเครือข่ายทั้งหมดขององค์กร จากเดิมที่เราเชื่อว่า "ถ้าอยู่ในเครือข่ายภายในก็ปลอดภัย" มาเป็นการมองว่า ทุกการเชื่อมต่อ ทุกอุปกรณ์ และทุกผู้ใช้งาน อาจถูกโจมตีหรือถูกยึดครองไปแล้วก็ได้ ไม่มีใครหรืออะไรที่ควรได้รับความไว้วางใจแบบไม่มีเงื่อนไข แม้จะอยู่ในเครือข่ายองค์กรเองก็ตาม

การจะทำให้แนวคิดนี้เกิดขึ้นจริงได้ องค์กรต้องมีสามองค์ประกอบหลักไปพร้อมกัน คือ

1. ระบบบริหารจัดการตัวตนและสิทธิ์การเข้าถึง (IAM Governance) ที่แข็งแรงและมีธรรมาภิบาลชัดเจน
2. การเฝ้าระวังอย่างต่อเนื่อง ทั้งการตรวจสอบทราฟฟิกเครือข่ายและพฤติกรรมของผู้ใช้งานแบบเรียลไทม์
3. หลักการให้สิทธิ์น้อยที่สุดเท่าที่จำเป็น ในระยะเวลาสั้นที่สุดเท่าที่จำเป็น (Least Privilege, Just-in-Time Access) เพื่อลดโอกาสที่ผู้ไม่หวังดีจะเข้าถึงข้อมูล หรือเคลื่อนตัวไปยังส่วนอื่นของเครือข่าย (Lateral Movement) ได้สำเร็จ

พูดง่าย ๆ คือเราต้อง "ให้สิทธิ์เท่าที่จำเป็นจริง ๆ" และ "จับตาดูตลอดเวลา" ว่าใครก็ตามที่ได้รับสิทธิ์ไปแล้ว ยังคงทำตัวตามที่คาดหวังอยู่หรือไม่

5 ขั้นตอนออกแบบ Zero Trust ของ John Kindervag

John Kindervag ผู้บุกเบิกแนวคิด Zero Trust ได้เสนอวิธีคิดที่ทำให้เรื่องใหญ่และดูซับซ้อนอย่างการทำ Zero Trust ทั้งองค์กร กลายเป็นเรื่องที่จัดการได้จริง ผ่าน 5 ขั้นตอนดังนี้

1. กำหนดพื้นที่ที่ต้องปกป้อง (Define the Protected Surface) — เลือกว่าจะปกป้องอะไรก่อน แทนที่จะพยายามปกป้องทุกอย่างพร้อมกัน
2. ทำแผนที่เส้นทางการรับส่งข้อมูล (Map the Transaction Flows) — ทำความเข้าใจว่าข้อมูลไหลเข้าออกพื้นที่นั้นอย่างไร ใครหรือระบบใดต้องเข้าถึงบ้าง
3. ออกแบบสถาปัตยกรรม Zero Trust (Architect the Zero Trust Environment) — วางโครงสร้างเครือข่ายและระบบควบคุมให้รองรับหลักการ Zero Trust
4. สร้างนโยบาย Zero Trust (Create Zero Trust Policies) — กำหนดกฎเกณฑ์การเข้าถึงที่ชัดเจน ตามหลักสิทธิ์น้อยที่สุด
5. เฝ้าระวังและดูแลรักษาอย่างต่อเนื่อง (Monitor and Maintain) — ติดตามผล ปรับปรุง และพัฒนาต่อเนื่องไม่มีวันสิ้นสุด

แนวคิดสำคัญคือ ให้เลือกจัดการทีละ "พื้นที่ที่ต้องปกป้อง" (Protected Surface) จนสำเร็จ แล้วค่อยขยับไปยังพื้นที่ถัดไป ทำวนซ้ำแบบนี้ไปเรื่อย ๆ จนครอบคลุมทั้งองค์กร แล้วก็เริ่มรอบใหม่อีกครั้งเพื่อพัฒนาให้ดียิ่งขึ้น เพราะการพยายามทำทุกอย่างพร้อมกันในคราวเดียวนั้นแทบเป็นไปไม่ได้ เนื่องจากมีปัจจัยที่ต้องพิจารณามากเกินกว่าจะจัดการได้หมดในทีเดียว

เริ่มต้นตรงไหนดี: Zero Trust Implementation Curve

คำถามที่ตามมาคือ "แล้วเราควรเริ่มจากพื้นที่ไหนก่อน?" Kindervag แนะนำให้เริ่มจาก โครงการเรียนรู้ (Learning Project) คือเลือกพื้นที่ที่ไม่ได้สำคัญต่อธุรกิจมากนักมาทดลองทำก่อน เพื่อให้ทีมงานได้ฝึกฝนและสร้างความมั่นใจในสภาพแวดล้อมที่ความเสี่ยงต่ำ จากนั้นค่อย ๆ ขยับขึ้นไปสู่พื้นที่ที่สำคัญมากขึ้นเรื่อย ๆ จนถึง "มงกุฎเพชร" หรือทรัพย์สินที่สำคัญที่สุดขององค์กร

กระบวนการนี้มีลักษณะเหมือนคลื่น ซึ่ง Kindervag เรียกว่า Zero Trust Implementation Curve โดย

• แกน X แสดงถึงระดับความสำคัญหรือความอ่อนไหวของพื้นที่ที่ปกป้อง
• แกน Y แสดงถึงความก้าวหน้าของการเดินทางสู่ Zero Trust ซึ่งดำเนินต่อไปตราบเท่าที่องค์กรยังคงอยู่

ขั้นตอนการทำงานในแต่ละพื้นที่คือ เริ่มจากกำหนดเส้นทางการรับส่งข้อมูลของพื้นที่นั้น จากนั้นสร้างมาตรการควบคุมความปลอดภัยเพื่อลดพื้นที่เสี่ยงให้เหลือเท่าที่จำเป็นต่อการดำเนินธุรกิจจริง ๆ เท่านั้น จุดสูงสุดของกราฟคือทรัพย์สินสำคัญที่สุดขององค์กร ถัดลงมาคือพื้นที่สำคัญรองลงมา และไล่ระดับลงไปเรื่อย ๆ ตามลำดับความสำคัญ

การแบ่งโครงการออกเป็นเฟสแบบนี้มีข้อดีสำคัญคือ ในช่วงเริ่มต้น หากเกิดความผิดพลาดขึ้น ผลกระทบต่อองค์กรจะยังคงน้อยที่สุด เพราะเรายังไม่ได้แตะต้องส่วนที่สำคัญที่สุด

ทำไมโครงการ Zero Trust ถึงล้มเหลว

แนวคิดเรื่องการเปลี่ยนเครือข่ายแบบเดิมที่พึ่งพาแนวป้องกันรอบนอก (Perimeter) ให้กลายเป็น Zero Trust อาจดูเป็นเรื่องที่ทำไม่ได้จริงและมีค่าใช้จ่ายสูงลิบลิ่ว หลายคนเข้าใจผิดคิดว่า การจะบรรลุ Zero Trust ได้ ต้องรื้อทุกอย่างทิ้งแล้วเริ่มใหม่ทั้งหมด ต้องซื้อเทคโนโลยีที่แพงที่สุดในตลาด

ความคิดแบบนี้มักนำไปสู่ความล้มเหลว เพราะมันตั้งอยู่บนความเชื่อที่ว่า แค่ซื้อเทคโนโลยีมาติดตั้ง กดปุ่มเปิดใช้งาน ระบบก็จะจัดการตัวเองได้เลย ทั้งที่ความจริงแล้ว สิ่งที่มักขาดหายไปคือ การจัดสรรบุคลากรและกระบวนการทำงาน ที่เพียงพอสำหรับดูแลระบบใหม่เหล่านั้นต่างหาก

หลายองค์กรยังคงใช้รูปแบบการทำงานไอทีแบบ "สองคนกับหมาหนึ่งตัว" คือมีทีมเล็ก ๆ ที่ต้องดูแลทั้งเราเตอร์ ระบบรักษาความปลอดภัย เครื่องพิมพ์ และอื่น ๆ อีกมากมาย แล้วยังคาดหวังให้ทีมเดียวกันนี้มาดูแลกลยุทธ์ Zero Trust ขององค์กรทั้งหมดด้วย ซึ่งไม่ใช่เรื่องที่ควรเกิดขึ้น

ที่สำคัญคือ การตัดสินใจว่าพนักงานคนไหนควรเข้าถึงทรัพยากรอะไรได้บ้าง ไม่ควรเป็นการตัดสินใจของทีมไอทีเพียงลำพัง แต่ควรเป็นการตัดสินใจในระดับผู้บริหารระดับสูง แม้แต่ในองค์กรขนาดเล็กหรือขนาดกลาง การกำหนดนโยบายการเข้าถึงข้อมูลก็ยังถือเป็น การตัดสินใจทางธุรกิจ ไม่ใช่แค่เรื่องทางเทคนิค และควรเกิดขึ้นจากความร่วมมือระหว่างฝ่ายไอที ฝ่ายธุรกิจ และฝ่ายทรัพยากรบุคคล

Zero Trust คือการเดินทาง ไม่ใช่จุดหมายปลายทาง

แทนที่จะมอง Zero Trust เป็นโปรเจกต์ที่ทำเสร็จแล้วจบ ควรมองมันเป็น การเดินทางที่ไม่มีวันสิ้นสุด เป็นสิ่งที่ต้องพัฒนาต่อเนื่องทุกวัน มีสิ่งที่สามารถทำได้อีกมากมายนับไม่ถ้วนในเส้นทางนี้ สิ่งสำคัญคือให้เน้นทำสิ่งที่สามารถทำได้เดี๋ยวนี้ ด้วยเทคโนโลยีและบุคลากรที่มีอยู่แล้ว เพื่อปิดช่องโหว่ในเครือข่ายไปทีละจุด

แนะนำให้เริ่มจากพื้นที่ที่จะสร้างผลกระทบเชิงบวกได้มากที่สุด ในขณะที่ยังคงควบคุมค่าใช้จ่ายให้อยู่ในระดับต่ำ ตัวอย่างเช่น

• การแบ่งเครือข่ายแบบลอจิคัลและไมโครเซกเมนต์ (Logical & Micro-segmentation)
• การบริหารจัดการทรัพย์สินไอที (Asset Management)
• การบริหารจัดการตัวตนและสิทธิ์การเข้าถึง (IAM)

เวลาที่ดีที่สุดในการเริ่มต้นคือ "ตอนนี้" เริ่มจากการปรับปรุงระบบบริหารจัดการตัวตนให้ยึดหลักสิทธิ์น้อยที่สุด หากยังไม่มีการยืนยันตัวตนสองชั้น (Two-Factor Authentication) ก็ควรเพิ่มเข้าไปในแผนงานโดยเร็ว และเริ่มจำกัดสิ่งที่ระบบต่าง ๆ สามารถทำได้ให้เหลือเท่าที่จำเป็นจริง ๆ เท่านั้น

ใช้สิ่งที่มีอยู่แล้วให้เกิดประโยชน์

ข่าวดีคือ องค์กรสามารถนำหลักการ Zero Trust มาใช้กับเทคโนโลยีที่มีอยู่แล้วได้เลย โดยไม่จำเป็นต้องลงทุนซื้อของใหม่เสมอไป สิ่งที่ต้องทำคือ มองสิ่งที่มีอยู่ด้วยมุมมองที่ต่างออกไป

ตัวอย่างที่ชัดเจนคือ Windows ซึ่งมีเครื่องมือที่รองรับหลักการ Zero Trust อยู่ในตัวอยู่แล้ว โดยปกติแล้วระบบของเรามักไว้ใจให้ผู้ใช้งานสามารถรันโปรแกรมใด ๆ ก็ได้บนเครื่องของตัวเอง แต่ตามหลักการ Zero Trust นั้น เราควรอนุญาตให้รันได้เฉพาะโปรแกรมที่จำเป็นต่อการทำงานของผู้ใช้แต่ละคนเท่านั้น

เครื่องมืออย่าง AppLocker สามารถช่วยให้บรรลุเป้าหมายนี้ได้ โดยเป็นฟีเจอร์ที่ให้เราสร้างนโยบายรายการที่อนุญาต (Allowlisting) เพื่อบังคับให้ระบบรันได้เฉพาะโปรแกรมที่กำหนดไว้ล่วงหน้าเท่านั้น ซึ่งเป็นตัวอย่างที่ดีว่า เราสามารถก้าวเข้าใกล้ Zero Trust ได้ โดยไม่ต้องเสียค่าใช้จ่ายเพิ่มเติมแม้แต่บาทเดียว

สรุป

การทำ Zero Trust ให้สำเร็จ ไม่ได้อยู่ที่การซื้อเทคโนโลยีราคาแพงที่สุดมาติดตั้ง แต่อยู่ที่การเปลี่ยนมุมมองพื้นฐานที่มีต่อความไว้วางใจในระบบ การแบ่งงานใหญ่ให้เป็นชิ้นเล็กที่จัดการได้จริงตามหลัก 5 ขั้นตอนของ Kindervag การเริ่มต้นจากพื้นที่ความเสี่ยงต่ำก่อนขยับไปสู่ทรัพย์สินสำคัญ การให้ผู้บริหารระดับสูงมีส่วนร่วมในการตัดสินใจเรื่องสิทธิ์การเข้าถึง และการมองว่านี่คือการเดินทางระยะยาวที่ต้องทำอย่างต่อเนื่อง ไม่ใช่โครงการที่ทำครั้งเดียวแล้วจบ องค์กรทุกขนาดสามารถเริ่มต้นได้ตั้งแต่วันนี้ ด้วยทรัพยากรที่มีอยู่แล้วในมือ