การประยุกต์ใช้ Zero Trust กับกรณีศึกษา Juice Factory

Zero Trust ไม่ใช่แค่แนวคิดทางทฤษฎี แต่เป็นกรอบการทำงานที่ต้องลงมือออกแบบจริงโดยเริ่มจากการเข้าใจธุรกิจก่อน บทความนี้จะพาไปดูตัวอย่างการนำหลักการ Zero Trust ไปใช้กับองค์กรสมมติชื่อ "Juice Factory" โรงงานผลิตน้ำผลไม้ เพื่อให้เห็นภาพว่าในทางปฏิบัติแล้วเราควรเริ่มต้นจากตรงไหน

เริ่มต้นด้วยการเข้าใจธุรกิจ

ก่อนจะพูดถึงเทคโนโลยีหรือ Network Configuration ใด ๆ คำถามแรกที่ต้องตอบให้ได้คือ "ธุรกิจนี้พยายามจะบรรลุอะไร"

Juice Factory เป็นธุรกิจขายน้ำผลไม้ที่ผลิตเองภายในโรงงาน โดยรายได้ 90% มาจากลูกค้าแบบ B2B และอีก 10% มาจากลูกค้า B2C จากข้อมูลนี้เราสรุปได้ทันทีว่า การอยู่รอดของธุรกิจขึ้นอยู่กับความสามารถในการผลิตน้ำผลไม้เป็นหลัก หากสายการผลิตหยุดทำงาน กำไรทั้งหมดจะหายไปทันที นั่นทำให้ "ระบบการผลิต" (Production) กลายเป็นกระบวนการทางธุรกิจที่สำคัญที่สุด หรือที่เรียกว่า Crown Jewel ขององค์กร

องค์กรสามารถมี Crown Jewel ได้มากกว่าหนึ่งอย่าง สำหรับ Juice Factory ยังมีอีกสองกระบวนการที่จัดว่าสำคัญต่อธุรกิจ ได้แก่

1. กระบวนการขายและจัดส่งสินค้าให้ลูกค้า B2B
2. กระบวนการขายให้ลูกค้า B2C ผ่านหน้าร้านออนไลน์ (Web Store)

ทั้งสามกระบวนการนี้ถือเป็น Business Critical Process ซึ่งรวมถึง DAAS (Data, Applications, Assets, Services) ที่รองรับกระบวนการเหล่านั้นด้วย นี่คือสิ่งที่เราต้องปกป้องเป็นอันดับแรก

4 ขั้นตอนออกแบบ Zero Trust แบบง่าย

จากแนวคิดของ Kindervag การออกแบบ Zero Trust ให้เริ่มจากด้านในออกไปด้านนอก (Design from the Inside Out) มีขั้นตอนหลัก ๆ ดังนี้

1. กำหนดเป้าหมายทางธุรกิจ (Define Business Outcomes) Juice Factory เป็นธุรกิจการผลิต การที่โรงงานเดินเครื่องได้อย่างต่อเนื่องคือหัวใจของธุรกิจ ทำให้โรงงานเป็นหนึ่งใน Crown Jewel ที่ต้องปกป้องเป็นลำดับแรก

2. ออกแบบจากด้านในสู่ด้านนอก (Design from the Inside Out) เริ่มจาก Crown Jewel คือระบบการผลิต แล้วศึกษาว่าระบบนี้เชื่อมต่อกับส่วนอื่นขององค์กรหรือระบบภายนอกอย่างไรบ้าง ในกรณีนี้ระบบโรงงานสื่อสารเฉพาะกับอุปกรณ์ปลายทางของวิศวกรเท่านั้น เมื่อรู้ขอบเขตการเชื่อมต่อแล้ว เราจึงสามารถกำหนดมาตรการควบคุมที่จำเป็นเพื่อลดโอกาสเกิดเหตุการณ์ทางไซเบอร์ได้

3. กำหนดว่าใครควรมีสิทธิ์เข้าถึง (Determine Who Needs Access) ใช้หลักการ Need to Know กำหนดสิทธิ์การเข้าถึงตามบทบาทหน้าที่ ในกรณีของ Juice Factory มีเพียงวิศวกรประจำโรงงานเท่านั้นที่ควรเข้าถึงระบบการผลิตได้

4. ตรวจสอบและบันทึกทราฟฟิกทั้งหมด (Inspect and Log All Traffic) ติดตั้งเครื่องมือมอนิเตอร์เพื่อบันทึกการเข้าถึงระบบ พร้อมตั้งค่าแจ้งเตือนเมื่อมีการเข้าถึงที่ไม่ได้รับอนุญาต รวมถึงตรวจสอบทราฟฟิกทั้งขาเข้าและขาออกของระบบอย่างต่อเนื่อง

ตัวอย่างนี้เป็นเพียงการประยุกต์หลักการ Zero Trust กับกระบวนการทางธุรกิจเดียว ในโลกความเป็นจริงจะมีปัจจัยที่ต้องพิจารณามากกว่านี้มาก คำแนะนำคือควรเลือกกระบวนการทางธุรกิจเพียงหนึ่งอย่าง และเริ่มจากระบบที่ไม่ซับซ้อนหรือไม่วิกฤตมากนักก่อน เพื่อสร้างความคุ้นเคยกับหลักการออกแบบนี้

การกำหนด Protected Surface

หลังจากเข้าใจธุรกิจแล้ว ขั้นตอนต่อไปคือการระบุ Protected Surface ขององค์กร ซึ่งถือเป็นทั้งศาสตร์และศิลป์ เพราะต้องไม่ลงรายละเอียดลึกเกินไปจนกลายเป็นการดู Network Configuration และต้องไม่กว้างเกินไปจนไม่มีประโยชน์ในการใช้งาน

วิธีที่แนะนำคือแบ่งตามกระบวนการที่สนับสนุนองค์กร เช่น จัดให้สภาพแวดล้อม OT เป็น Protected Surface เดียว แทนที่จะแยกเป็น HMI และ PLC ต่างหากจากกัน

สำหรับ Juice Factory ได้กำหนด Protected Surface ไว้ดังนี้

รายการนี้ไม่ใช่ Protected Surface ทั้งหมดขององค์กร เป็นเพียงตัวอย่างเพื่อให้เห็นแนวคิดโดยรวมเท่านั้น

Transaction Map: แผนที่แสดงความสัมพันธ์ระหว่างระบบ

เมื่อกำหนด Protected Surface ครบแล้ว ขั้นตอนต่อไปคือการทำความเข้าใจว่าแต่ละ Protected Surface มีปฏิสัมพันธ์กันอย่างไร Kindervag เสนอให้แสดงข้อมูลนี้ด้วย Transaction Map ซึ่งเป็นตารางเมทริกซ์ที่มี Protected Surface เป็นทั้งแถวและคอลัมน์ โดยแต่ละช่องจะถูกระบายสีตามระดับความจำเป็นในการแลกเปลี่ยนข้อมูลระหว่างกัน จุดสำคัญคือ Transaction Map ไม่ได้สนใจประเภทหรือทิศทางของการเชื่อมต่อ เป้าหมายคือทำให้เรียบง่ายที่สุดเท่าที่จะทำได้

จากตาราง Transaction Map ของ Juice Factory จะเห็นความสัมพันธ์ เช่น

• CRM เชื่อมต่อกับ IAM และ Web Store
• IAM เป็นศูนย์กลางที่เชื่อมกับหลายระบบ ทั้ง CRM, OT, Physical Security, Backup, Email และ Internet เพราะแทบทุกระบบต้องยืนยันตัวตนผ่าน IAM
• Web Store เชื่อมต่อกับ Backup, Email และ Internet เนื่องจากเป็นระบบที่ให้บริการลูกค้าออนไลน์
• Wireless เชื่อมกับ IAM, Email และ Internet

จุดเด่นของทั้งสองตารางนี้คือสามารถสร้างได้ง่าย ๆ ด้วยเครื่องมืออย่าง Excel เมื่อมีทั้ง Protected Surface และ Transaction Map แล้ว หน้าที่ต่อไปคือของทีมระบบและวิศวกรเครือข่ายที่จะนำสถาปัตยกรรมนี้ไปปรับใช้จริงในระบบไอทีขององค์กร โดยใช้เอกสารนี้เป็นเกณฑ์ในการตรวจสอบว่าระบบเป็นไปตามการออกแบบที่ตกลงกันไว้หรือไม่

สรุป 3 ขั้นตอนหลัก

1. ระบุ Protected Surface — มองในมุมของกระบวนการทางธุรกิจ พิจารณาว่า DAAS ใดสำคัญที่สุดต่อการดำเนินธุรกิจ
2. ทำแผนที่ปฏิสัมพันธ์ (Map Interactions) — ทำความเข้าใจว่าระบบใดต้องเชื่อมต่อกันเพื่อให้ Protected Surface ทำงานได้
3. ออกแบบมาตรการป้องกัน (Design Protective Measures) — ติดตั้งมาตรการควบคุมความปลอดภัยโดยเริ่มจาก Protected Surface ออกไปสู่ภายนอก เพื่อให้ครอบคลุมทุกจุด

กระบวนการและขั้นตอนปฏิบัติ: หัวใจที่มักถูกมองข้าม

หนึ่งในความท้าทายที่ใหญ่ที่สุดของผู้เชี่ยวชาญด้านความปลอดภัยในการทำ Zero Trust Architecture คือการที่พวกเขามักไม่ได้ควบคุมสภาพแวดล้อมที่ต้องปกป้องได้โดยตรง แม้มาตรการทางเทคนิคจะสำคัญ แต่ลำพังมันไม่เพียงพอที่จะสร้างความปลอดภัยได้จริง

นี่คือจุดที่ กระบวนการและขั้นตอนปฏิบัติ (Processes and Procedures) ที่ชัดเจนเข้ามามีบทบาทสำคัญ มันทำหน้าที่เป็นกรอบการทำงานที่แปลง Zero Trust จากแนวคิดทางทฤษฎีให้กลายเป็นมาตรการความปลอดภัยที่ใช้งานได้จริง เปรียบเสมือน "เนื้อเยื่อเชื่อมต่อ" ของ Zero Trust Architecture ที่ทำให้การนำไปใช้สอดคล้องกันทั่วทั้งองค์กร

ตัวอย่างเช่น เมื่อพนักงานร้องขอสิทธิ์เข้าถึงทรัพยากรใดก็ตาม กระบวนการที่ออกแบบมาอย่างดีจะช่วยให้การร้องขอนั้นเป็นไปตามหลักการ "Verify Explicitly" ของ Zero Trust โดยกำหนดให้ต้องมีการอนุมัติ มีการบันทึกเหตุผลทางธุรกิจ และมีการติดตั้งมาตรการความปลอดภัยที่จำเป็น

หากขาดกระบวนการที่มีโครงสร้างชัดเจน การนำมาตรการควบคุมไปใช้จะไม่สม่ำเสมอ ส่งผลให้การดำเนินการด้านความปลอดภัยมีช่องโหว่ และเปิดโอกาสให้ผู้ไม่หวังดีหลบเลี่ยงมาตรการควบคุมได้ นอกจากนี้ กระบวนการและขั้นตอนปฏิบัติยังเป็นกรอบธรรมาภิบาลที่จำเป็นสำหรับการรักษาหลักการ Zero Trust ในระยะยาว ทั้งในแง่การตัดสินใจด้านความปลอดภัย การจัดทำเอกสาร และการทบทวนอย่างต่อเนื่อง เพื่อให้แนวคิด "Never Trust, Always Verify" ถูกนำไปใช้อย่างสม่ำเสมอทั่วทั้งองค์กร กระบวนการเหล่านี้จึงไม่ใช่แค่แนวทางเชิงบริหารทั่วไป แต่เป็นองค์ประกอบเชิงปฏิบัติการที่แปลงหลักการ Zero Trust ให้กลายเป็นการปฏิบัติงานด้านความปลอดภัยประจำวัน ตั้งแต่การบริหารจัดการสิทธิ์เข้าถึง การตั้งค่าระบบ ไปจนถึงการตอบสนองต่อเหตุการณ์และการมอนิเตอร์ความปลอดภัย

ปัญหาคือคนมักกลับไปทำแบบเดิม

การตั้งแนวปฏิบัติเพียงอย่างเดียวไม่เพียงพอ เรามักคาดหวังให้คนอ่านและเข้าใจขั้นตอนแล้วปฏิบัติตาม แต่ในความเป็นจริงต้องมีวิธีตรวจสอบว่ากระบวนการนั้นถูกปฏิบัติตามจริงหรือไม่ ซึ่งมักทำผ่านการ Audit ระบบ เช่น ตรวจสอบว่าเซิร์ฟเวอร์ถูกตั้งค่าตรงตามข้อกำหนดที่ตกลงกันไว้

การ Audit ต้องดูสองเรื่องควบคู่กัน คือ

1. กระบวนการถูกปฏิบัติตามหรือไม่
2. กระบวนการนั้นทำงานได้ตามวัตถุประสงค์ที่ตั้งไว้จริงหรือไม่

เพราะการปฏิบัติตามขั้นตอนที่ไม่บรรลุวัตถุประสงค์ ก็เป็นการเสียเวลาทั้งของผู้ตรวจสอบและผู้ปฏิบัติงาน

Automation คือกุญแจสำคัญ

การนำระบบอัตโนมัติมาใช้ช่วยลดข้อผิดพลาดจากมนุษย์ และรับประกันว่ากระบวนการจะถูกปฏิบัติตามอย่างสม่ำเสมอ แนวทางนี้เป็นมาตรฐานที่ใช้กันอยู่แล้วใน DevOps ซึ่งนักพัฒนาใช้ระบบอัตโนมัติทำงานที่ต้องทำซ้ำ ๆ เช่น การทดสอบและการปล่อยซอฟต์แวร์ การให้ระบบทำขั้นตอนต่าง ๆ เองไม่เพียงลดโอกาสความผิดพลาดจากมนุษย์ แต่ยังทำให้กระบวนการเร็วขึ้นและมีประสิทธิภาพมากขึ้นด้วย

ความท้าทายในการนำไปใช้จริง

การนำกระบวนการและขั้นตอนปฏิบัติมาใช้ไม่ใช่เรื่องง่าย ไม่ใช่แค่ความท้าทายด้านเทคนิคเท่านั้น แต่ยังมีความท้าทายเชิงองค์กรด้วย มักเกิดแรงต้านต่อการเปลี่ยนแปลงทั้งจากฝั่งวิศวกรและการขออนุมัติจากผู้บริหารระดับสูง รวมถึงความซับซ้อนทางเทคนิคและข้อจำกัดด้านทรัพยากร

ดังนั้นจึงจำเป็นต้องมีแผนรับมือกับอุปสรรคเหล่านี้ ซึ่งควรประกอบด้วยแนวทางแบบเป็นขั้นตอน การสื่อสารถึงประโยชน์อย่างชัดเจน และการสื่อสารกับทุกฝ่ายที่เกี่ยวข้องอย่างสม่ำเสมอ แม้จะมีความท้าทายเหล่านี้ แต่ประโยชน์จากกระบวนการ Zero Trust ที่นำไปใช้อย่างดีนั้นมีมูลค่ามหาศาล การมีกระบวนการและขั้นตอนปฏิบัติที่ชัดเจนคือกุญแจสำคัญในการรักษาระดับความปลอดภัยที่แข็งแกร่งขององค์กรในระยะยาว