Zero Trust เพราะความปลอดภัยไว้ใจใครไม่ได้

Zero Trust ถ้าแปลตรงตัวหลายคนคงจะแปลว่า ‘ความเชื่อมั่นเป็นศูนย์’ ซึ่งก็ถูกไม่ได้ผิด แต่เบื้องลึกเบื้องหลังมันมีอะไรมากกว่านั้น เดี๋ยวเรามาทำความเข้าใจกันว่ามันคืออะไร 

Zero Trust คืออะไร ? 

Zero Trust คือกรอบความคิดด้านความปลอดภัยที่ช่วยป้องกันการโดนแฮก ด้วยการ ‘ไม่เชื่อถืออะไรเลย ต้องตรวจสอบก่อนเสมอ’ ซึ่ง Zero Trust คือรูปแบบความปลอดภัยที่เข้มงวดมากและมักถูกใช้ในองค์กร หรือการเข้าถึงส่วนที่มีความอ่อนไหว โดยกำหนดให้บุคคลและอุปกรณ์ทุกชนิดที่พยายามเข้าถึงระบบเน็ตเวิรก์ส่วนตัวต้องผ่านการยืนยันตัวตนอย่างเข้มงวด ไม่ว่าจะเข้าถึงจากภายในหรือภายนอกก็ตาม โดยมี ZTNA (Zero Trust Network Access) เป็นเทคโนโลยีหลัก

ส่วนใหญ่เรามักจะเห็นการใช้ Zero Trust ในระดับองค์กรเพื่อลดโอกาสที่จะโดนแฮก แต่โน้ตไว้ก่อนว่าเวลาที่เราเล่นเว็บแล้วเจอกล่องข้อความเด้งขึ้นมาให้กดยินยอม (Cookie Consent) นั้นเป็นกระบวนการขอความยินยอมจากผู้ใช้เพื่อเก็บข้อมูลคุกกี้และข้อมูลส่วนตัว เพื่อให้เว็บสามารถเสิร์ฟคอนเทนต์ที่ตรงกับความต้องการของผู้ใช้ได้ นี่เป็นเรื่องของความเป็นส่วนตัวและการปฏิบัติตามกฎหมายคุ้มครองข้อมูล ไม่ใช่กระบวนการตรวจสอบด้านความปลอดภัยแบบ Zero Trust

หลักการทำงานของ Zero Trust 

ต่อไปนี้คือรูปแบบการทำงานของ Zero Trust ซึ่งหลาย ๆ คนก็ถือว่าเป็นประโยชน์ต่อองค์กรพอสมควร

1. การตรวจสอบและยืนยันอย่างต่อเนื่อง (Continuous Monitoring and Validation)

นี่คือหัวใจของ Zero Trust ทุกคำขอเข้าถึงทรัพยากร (ไม่ว่าจะมาจากผู้ใช้คนใด อุปกรณ์ใด หรือเครือข่ายใด) จะต้องถูกตรวจสอบและพิสูจน์ทราบตัวตนเสมอ การตรวจสอบนี้ไม่ได้ทำเพียงครั้งเดียว แต่จะทำอย่างต่อเนื่อง โดยอาศัยหลายปัจจัยในการตัดสินใจอนุญาต (Context-Aware Access) เช่น ต้องยืนยันตัวจนด้วยหลายปัจจัย (Multi-Factor Authentication), เช็กสถานะของอุปกรณ์ว่าเป็นขององค์กรหรือไม่ มีข้อกำหนดตรงตามที่ตั้งไว้หรือเปล่า, เช็กตำแหน่งการเชื่อมต่อมาจากสถานที่หรือเครือข่ายที่น่าเชื่อถือหรือไม่, เช็กพฤติกรรมการใช้งานว่าผิดปกติไปจากเดิมหรือไม่

2. สิทธิ์การเข้าถึงน้อยที่สุด (Least Privilege)

เป็นการให้สิทธิ์การเข้าถึงทรัพยากรแก่ผู้ใช้งาน เท่าที่จำเป็นต่อการทำงานเท่านั้น (คล้ายกับการที่นายพลให้ข้อมูลแก่ทหารแบบ ‘รู้เท่าที่จำเป็น’ หรือ Need-to-Know Basis) เพื่อจำกัดความเสี่ยงที่ผู้ใช้งานแต่ละคนจะเข้าถึงข้อมูลที่ละเอียดอ่อนในส่วนที่ไม่เกี่ยวข้อง

ข้อควรระวังคือระบบ VPN แบบดั้งเดิมไม่เหมาะกับหลักการนี้ เพราะการล็อกอินเข้าระบบ VPN ครั้งเดียวมักจะทำให้ผู้ใช้งานสามารถเข้าถึงเครือข่ายที่เชื่อมต่อทั้งหมดได้

3. การควบคุมการเข้าถึงของอุปกรณ์ (Device Access Control)

นอกเหนือจากการควบคุมสิทธิ์ผู้ใช้งานแล้ว Zero Trust ยังต้องมีการควบคุมการเข้าถึงของอุปกรณ์อย่างเข้มงวดด้วย ระบบต้องตรวจสอบจำนวนอุปกรณ์ที่พยายามเข้าถึง, ยืนยันว่าอุปกรณ์นั้นได้รับอนุญาต และประเมินว่าอุปกรณ์เหล่านั้นไม่ถูกบุกรุก (Compromised) การทำแบบนี้จะช่วยลดขอบเขตการโดนโจมตี (Attack Surface) ของเครือข่ายให้แคบลง

4. การแบ่งส่วนย่อย (Microsegmentation)

การแบ่งขอบเขตความปลอดภัยของเครือข่ายออกเป็นโซนย่อย ๆ ที่มีมาตรการความปลอดภัยแยกจากกัน สมมติว่าศูนย์ข้อมูลหนึ่งมีไฟล์อยู่หลายส่วน ระบบจะแบ่งออกเป็นหลายสิบโซนที่ปลอดภัยแยกกัน เหมือนกับเอาห้องใหญ่ ๆ มากั้นเป็นห้องเล็ก ๆ แล้วให้คนเข้าไปใช้ โดยที่ผู้ใช้งานหรือโปรแกรมที่เข้าถึงโซนหนึ่งได้ จะไม่สามารถเข้าถึงโซนอื่นได้หากไม่ได้รับการอนุญาตแยกต่างหาก

5. การป้องกันการเคลื่อนที่ภายใน (Preventing Lateral Movement)

อันนี้อิงมาจากปัญหาเดิม คือรูปแบบของการลุกลาม (Lateral Movement) ไม่ทันเวลาที่แฮกเกอร์โจมตี ซึ่งมักจะเข้าไปสร้างความเสียหายกับส่วนต่าง ๆ เช่น เข้าระบบอีเมลก่อน แล้วค่อยเจาะไฟล์เซิร์ฟเวอร์ เพื่อข้อมูลบัญชีเงินเดือน และเข้าไปถึงส่วนต่าง ๆ ซึ่งระบบเก่า ๆ จะป้องกันได้แค่ทางเข้าเท่านั้น ถ้าหลุดเข้าไปได้แฮกเกอร์ก็สามารถทำอะไรก็ได้ตามใจ 

Zero Trust เลยถูกออกแบบมาเพื่อกักกันแฮกเกอร์ไม่ให้เข้าถึงส่วนต่าง ๆ ได้แบบง่าย ๆ ด้วยการแบ่งส่วนย่อย (Segmented) และต้องมีการยืนยันซ้ำเป็นระยะ ๆ หรือก็คือหากตรวจพบการบุกรุก ระบบก็สามารถกักกัน หรือแตะแฮกเกอร์ออกจากส่วนอื่น ๆ ได้เลย 

6. การยืนยันตัวตนแบบหลายปัจจัย (Multi-factor Authentication – MFA)

นี่คือหัวใจหลักของ Zero Trust เลย กล่าวคือจะไม่เชื่อใจเลย แม้ว่าจะมีชื่อผู้ใช้ และรหัสผ่านแล้วก็ตาม แต่จะกำหนดให้ผู้ใช้ต้องแสดงหลักฐานมากกว่าหนึ่งอย่างในการยืนยันตัวตนเพื่อเข้าถึงระบบ เช่นระบบ 2FA (Two-Factor Authorization) ที่ต้องใส่รหัสก่อน แล้วค่อยใส่รหัส OTP ที่ส่งไปให้ในมือถืออีกรอบ หรือบางครั้งอาจจะมีการใช้ Passkey ที่ยืนยันตัวตนด้วยอุปกรณ์ รวมถึงรหัสไบโอเมตริกอย่างลายนิ้วมือหรือใบหน้า

เหตุผลที่หลาย ๆ องค์กรควรมี Zero Trust Security

ปัจจุบันข้อมูลขององค์กรไม่ได้อยู่แค่ที่เดียว แต่กระจายอยู่บน Cloud ทำให้การมีระบบควบคุมความปลอดภัยเดียวสำหรับเครือข่ายทั้งหมดเป็นเรื่องที่ยากขึ้น ดังนั้นแนวคิดความปลอดภัยที่การเข้าถึงจากภายนอกทำได้ยาก แต่เมื่อเข้ามาในเครือข่ายได้แล้ว ทุกคนจะถูกเชื่อใจโดยปริยาย ข้อเสียคือ หากแฮกเกอร์เข้าถึงเครือข่ายได้สำเร็จ พวกเขาก็จะมีอิสระในการเข้าถึงทุกสิ่งภายใน 

แต่การใช้ Zero Trust Security ที่ไม่ไว้ใจใครเลยทั้งภายในและนอกองค์กร ต้องมีขั้นตอนมากมายเพื่อยืนยันตัวตนอย่างเข้มงวดแบบนี้จึงเป็นแนวทางที่ปลอดภัยกว่านั่นเอง