เปิดแนวทางใหม่ ‘Zero Trust Architecture’

สถาบันมาตรฐานและเทคโนโลยีแห่งชาติของสหรัฐได้เผยแพร่แนวทาง SP 1800-35 ที่มีจุดประสงค์เพื่อต่อยอดจากมาตรฐาน NIST SP 800-207 ซึ่งมีการอธิบายเรื่องการไม่ไว้วางใจในแนวคิด

โดยมีการนำเสนอเพิ่มเติมเรื่องการสร้าง Zero Trust Architecture (ZTA) แบบครบวงจรใหม่ จำนวน 19 ตัวอย่างที่สร้างขึ้นจากการใช้เทคโนโลยีสำเร็จรูปเชิงพาณิชย์เพื่อให้องค์กรต่างๆ มีจุดเริ่มต้นในการนำระบบ Zero Trust มาใช้ปรับปรุงการป้องกันขององค์กรให้มีความปลอดภัย

ทั้งนี้ SP 1800-35 ได้รับการพัฒนาผ่านโครงการที่ National Cybersecurity Center of Excellence (NIST) ร่วมกับพันธมิตรในอุตสาหกรรมอีก 24 ราย โดยมีเป้าหมายคือ การนำ ZTA ไปใช้ทุกครั้งควรดำเนินการปรับเปลี่ยนให้เหมาะสมกับระบบขององค์กรนั้นๆ เนื่องจากสภาพแวดล้อมและความต้องการของเครือข่ายของแต่ละองค์กรนั้นแตกต่างกัน

มีการใช้ Zero Trust เพิ่มประสิทธิภาพในการป้องกันกล่าวคือ องค์กรต่างๆ ไม่สามารถไว้วางใจผู้ใช้งานหรืออุปกรณ์ใดๆ ได้โดยทันที แต่จะต้องประเมินและตรวจสอบคำขอเข้าถึงระบบอย่างต่อเนื่อง หมายรวมถึงผู้ใช้งานหรืออุปกรณ์ที่เคยได้รับความไว้วางใจและอนุญาตให้เข้าถึงระบบได้มาก่อนหน้าแล้วก็ไม่ได้หมายความว่าผู้ใช้งานหรืออุปกรณ์นั้นจะปลอดภัยและไม่ถูกบุกรุกแล้ว

นี่ถือเป็นเรื่องสำคัญที่ต้องพิจารณาเป็นพิเศษ เนื่องจากปัจจุบันมีการประมวลผลบนคลาวด์และการทำงานแบบรีโมททำให้ผู้ใช้งานสามารถเปลี่ยนอุปกรณ์ที่กำลังใช้อยู่ได้ รวมทั้งอุปกรณ์ยังสามารถย้ายตำแหน่งและเครือข่ายได้อีกด้วย

เนื่องจาก ZTA ต้องมีการประเมินอย่างต่อเนื่อง จึงมั่นใจได้ว่าแม้ว่าแฮกเกอร์จะละเมิดการควบคุมและเข้ามาในเครือข่ายแต่จะถูกจำกัดบริเวณไว้ซึ่งแตกต่างจากโครงสร้างเครือข่ายแบบเดิมคือ ผู้ใช้งานหรืออุปกรณ์ที่ได้รับสิทธิ์การเข้าถึงแล้ว จะไม่มีข้อจำกัดใดๆ ในการดำเนินการภายในเครือข่าย ด้วยเหตุนี้ ZTA จึงช่วยลดการเคลื่อนที่และการเพิ่มสิทธิ์ต่างๆ ที่ไม่จำเป็น เนื่องจากมีการตรวจสอบและยืนยันซ้ำๆ อยู่ตลอด

การปรับใช้ Zero-Trust ขององค์กร ควรคำนึงถึงการมองเห็นและการตรวจสอบซึ่งถือเป็นกุญแจสำคัญต่อกลยุทธ์ขององค์กร นอกจากนี้ควรดำเนินการทีละขั้นตอนโดยเริ่มจาก

• ค้นพบและทำรายการสภาพแวดล้อมที่มีอยู่: ระบุและจัดทำรายการสินทรัพย์ทั้งหมด ไม่ว่าจะเป็นฮาร์ดแวร์ ซอฟต์แวร์ แอปพลิเคชัน ข้อมูล และบริการ
• กำหนดนโยบายการเข้าถึงระบบและเครือข่าย: โดยอิงตามทรัพยากรที่จัดทำรายการ กำหนดว่าใครสามารถเข้าถึงทรัพยากรแต่ละรายการได้และภายใต้เงื่อนไขใด โดยยึดตามหลักการสิทธิ์ขั้นต่ำ
• ระบุความสามารถที่มีอยู่: จัดทำรายการเทคโนโลยีทางด้านความปลอดภัยในปัจจุบันเพื่อพิจารณาว่าสามารถนำเทคโนโลยีใดมาใช้ซ้ำได้เพื่อเพิ่มประสิทธิภาพในการลงทุน
• จัดการช่องว่างด้วยแนวทางตามความเสี่ยง: แบ่งสัดส่วนโครงสร้างพื้นฐานและการปกป้องทรัพยากรที่สำคัญโดยการบังคับใช้ตามนโยบายและแนวทางความเสี่ยงต่างๆ
• นำองค์ประกอบ ZTA มาใช้ทีละส่วน: เริ่มต้นด้วยองค์ประกอบพื้นฐาน ข้อมูลประจำตัว ข้อมูลรับรอง การเข้าถึงโซลูชันการจัดการ และการยืนยันตัวตนแบบหลายปัจจัย
• ตรวจสอบการใช้งาน: ตรวจสอบปริมาณการใช้งานเครือข่ายอย่างต่อเนื่องเพื่อดูว่ามีกิจกรรมที่น่าสงสัยหรือไม่ และดำเนินการทดสอบเป็นระยะเพื่อให้แน่ใจว่านโยบาย ZTA มีประสิทธิภาพ
• ปรับปรุงและพัฒนาอย่างต่อเนื่อง: ยอมรับว่า ZTA เป็นกระบวนการต่อเนื่องที่ต้องปรับตัวตามการเปลี่ยนแปลงของภูมิทัศน์ภัยคุกคาม เทคโนโลยี และข้อกำหนดขององค์กร

เราจะเห็นได้ว่าแนวทางดังกล่าวนี้ได้แสดงให้เห็นเกี่ยวกับวิธีการใช้งานของ ZTA ซึ่งถือเป็นจุดเริ่มต้นพื้นฐานสำหรับองค์กรใดๆ ก็ตามที่กำลังจัดทำ ZTA ของตนเองอยู่ และต้องอย่าลืมเรื่องการตรวจสอบ ควบคุมดูแลและความช่วยเหลือในการแก้ไขปัญหาโดยยึดตามแนวทางปฏิบัติข้างต้นเพื่อความปลอดภัยของระบบเครืองข่ายภายในองค์กรครับ