Zero Trust ในทางปฏิบัติ: อ่านแบบจำลองระดับความพร้อมของ CISA คู่กับแนวปฏิบัติของ สกมช.

จุดตั้งต้น: NIST SP 800-207

NIST เผยแพร่ SP 800-207 Zero Trust Architecture ในเดือนสิงหาคม 2563 สาระสำคัญคือการย้ายจุดป้องกันจากขอบเขตเครือข่ายกว้าง ๆ มาที่ทรัพยากรแต่ละชิ้น เพราะผู้ใช้ทำงานจากนอกสำนักงาน และระบบจำนวนมากไม่ได้อยู่ในเครือข่ายที่องค์กรเป็นเจ้าของอีกต่อไป เอกสารนี้เขียนขึ้นสำหรับสถาปนิกระบบ และไม่ผูกกับผลิตภัณฑ์ของผู้ขายรายใด

ห้าเสาหลักของแบบจำลอง CISA

แบบจำลองระดับความพร้อมฉบับ 2.0 ของ CISA เผยแพร่ในเดือนเมษายน 2566 แบ่งขอบเขตออกเป็นห้าเสาหลัก และมีความสามารถอีกสามด้านที่พาดผ่านทุกเสา ซึ่งช่วยให้องค์กรระบุได้ว่าตัวเองกำลังพัฒนาด้านใดอยู่ แทนการถกเถียงว่าองค์กร เป็น Zero Trust แล้วหรือยัง

• เสาหลัก: Identity, Devices, Networks, Applications and Workloads และ Data
• ความสามารถข้ามเสา: Visibility and Analytics, Automation and Orchestration และ Governance
• ระดับความพร้อม: Traditional, Initial, Advanced และ Optimal ซึ่งแต่ละเสามีตัวอย่างของแต่ละระดับกำกับไว้

แนวปฏิบัติฉบับไทยจาก สกมช.

สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ เผยแพร่แนวปฏิบัติการใช้ซีโร่ทรัสต์เมื่อต้นเดือนกุมภาพันธ์ 2569 ยึดหลัก อย่าเชื่อทันที จงตรวจสอบเสมอ และเขียนขึ้นเพื่อให้หน่วยงานภาครัฐและเอกชนนำหลักการไปปรับใช้ตามบริบทของตนเองอย่างเป็นขั้นตอน สำหรับองค์กรไทยที่ต้องอธิบายแผนงานต่อผู้ตรวจสอบภายในประเทศ การอ้างอิงเอกสารฉบับนี้คู่กับเอกสารสากลช่วยให้สื่อสารได้ตรงกันมากขึ้น

มุมมองของเรา: เริ่มจากเสาที่เจ็บที่สุดก่อน

แบบจำลองแบ่งเป็นห้าเสาไม่ได้แปลว่าต้องเดินหน้าทั้งห้าเสาพร้อมกัน ในทางปฏิบัติ องค์กรส่วนใหญ่ได้ผลเร็วที่สุดจากเสา Identity เพราะการยืนยันตัวตนหลายขั้นตอนและการจัดการสิทธิ์ผู้ดูแลระบบให้ผลลดความเสี่ยงสูงเมื่อเทียบกับความพยายามที่ใช้ และยังเป็นฐานที่เสาอื่นต้องพึ่งพาอยู่ดี ส่วนสิ่งที่ถูกมองข้ามบ่อยที่สุดคือความสามารถข้ามเสาอย่าง Visibility and Analytics เพราะหากองค์กรยังไม่รู้ว่าใครใช้ระบบอะไรอยู่บ้าง นโยบายที่ออกมาก็บังคับใช้ไม่ได้จริง