วางแผน Zero Trust Network สำหรับองค์กรยุคใหม่

① Zero Trust คืออะไร

Zero Trust คือแนวคิดด้าน Cybersecurity ที่เปลี่ยนจาก

Trust But Verify

มาเป็น

Never Trust
Always Verify

หรือ

ไม่เชื่อถือใครโดยอัตโนมัติ

ไม่ว่าจะเป็น

• ผู้ใช้ภายในองค์กร
• Server ภายใน Data Center
• อุปกรณ์ที่เชื่อมต่ออยู่แล้ว
• ระบบ Cloud

ทุกการเชื่อมต่อจะต้องได้รับการตรวจสอบและยืนยันตัวตนเสมอ

---

② ทำไม Zero Trust จึงสำคัญ

ในอดีต

องค์กรใช้แนวคิด

Castle and Moat

เปรียบเสมือน

• Firewall = กำแพงเมือง
• Internal Network = พื้นที่ปลอดภัย

หากผ่าน Firewall มาได้

มักได้รับความเชื่อถือทันที

แต่ปัจจุบัน

• Cloud
• Remote Work
• BYOD
• SaaS

ทำให้แนวคิดนี้ไม่เพียงพออีกต่อไป

---

③ ปัญหาของ Traditional Network

ตัวอย่าง

พนักงาน Login เข้าองค์กร

จากนั้นสามารถเข้าถึง

• File Server
• Database
• Application

ได้จำนวนมาก

แม้จะไม่จำเป็น

หาก Credential ถูกขโมย

ผู้โจมตีก็ได้รับสิทธิ์เช่นเดียวกัน

---

④ หลักการสำคัญของ Zero Trust

Zero Trust ประกอบด้วย 3 หลักการหลัก

Verify Explicitly

ตรวจสอบทุกการเข้าถึง

Least Privilege Access

ให้สิทธิ์เท่าที่จำเป็น

Assume Breach

สมมติว่าระบบถูกเจาะอยู่เสมอ

---

⑤ Identity คือหัวใจของ Zero Trust

Zero Trust เริ่มต้นจาก

Identity

ไม่ใช่ Network

ตัวอย่าง

ก่อนอนุญาตให้เข้าถึงระบบ

ต้องตรวจสอบ

✅ Username

✅ Password

✅ MFA

✅ Device

✅ Location

✅ Risk Score

---

⑥ Multi-Factor Authentication

หนึ่งในองค์ประกอบสำคัญที่สุด

คือ

MFA

เพราะ Password เพียงอย่างเดียว

ไม่เพียงพออีกต่อไป

องค์กรระดับ Enterprise

มักกำหนดให้

• Admin
• VPN
• Cloud Service

ต้องใช้ MFA เสมอ

---

⑦ Device Trust

Zero Trust ไม่ได้ตรวจเฉพาะผู้ใช้

แต่ตรวจสอบอุปกรณ์ด้วย

ตัวอย่าง

✅ Antivirus

✅ BitLocker

✅ Patch Level

✅ Compliance Status

หากอุปกรณ์ไม่ผ่านเงื่อนไข

อาจถูกปฏิเสธการเข้าถึง

ทันที

---

⑧ Least Privilege Access

ผู้ใช้ควรได้รับสิทธิ์

เฉพาะสิ่งที่จำเป็น

ตัวอย่าง

ฝ่ายบัญชี

ไม่จำเป็นต้องเข้าถึง

HR Database

ฝ่ายบุคคล

ไม่จำเป็นต้องเข้าถึง

Finance Server

แนวทางนี้ช่วยลดความเสียหายเมื่อเกิดเหตุการณ์ด้าน Security

---

⑨ Network Segmentation

Zero Trust

ไม่ได้หมายถึงการยกเลิก Network Security

แต่เพิ่ม

Segmentation

และ

Micro Segmentation

เข้าไป

เพื่อควบคุม East-West Traffic

---

⑩ Protect Tier 0 Assets

ทรัพยากรสำคัญที่สุด

เช่น

• Domain Controller
• PKI
• Entra Connect
• ADFS

ควรถูกจัดเป็น

Tier 0

และได้รับการป้องกันสูงสุด

---

⑪ Privileged Access Workstation

Admin ระดับสูง

ควรใช้

PAW

เพื่อแยกการบริหารระบบ

ออกจากการใช้งานทั่วไป

ลดความเสี่ยงจาก Credential Theft

---

⑫ Continuous Verification

Zero Trust

ไม่ใช่การตรวจสอบครั้งเดียว

แต่เป็น

Continuous Verification

ทุกการเชื่อมต่อ

ทุก Session

ทุก Device

สามารถถูกประเมินใหม่ได้ตลอดเวลา

---

⑬ Monitoring และ Analytics

สิ่งที่ควรติดตาม

✅ Login

✅ Network Flow

✅ Endpoint Activity

✅ Privilege Change

✅ Authentication Failure

เพื่อค้นหาพฤติกรรมผิดปกติ

อย่างรวดเร็ว

---

⑭ Assume Breach Mindset

หนึ่งในแนวคิดที่สำคัญที่สุด

คือ

Assume Breach

หรือ

สมมติว่าผู้โจมตีอยู่ในระบบแล้ว

จากนั้นออกแบบ Security

ให้จำกัดความเสียหาย

ให้น้อยที่สุด

---

⑮ Zero Trust กับ Active Directory

Active Directory

ยังคงเป็นหัวใจของ Identity

ดังนั้น

ควรใช้ร่วมกับ

✅ Tiered Administration

✅ MFA

✅ PAW

✅ Privileged Access Management

เพื่อยกระดับความปลอดภัย

---

⑯ Zero Trust กับ Cloud

Cloud Platform

เช่น

• Azure
• AWS
• Google Cloud

สนับสนุน Zero Trust

ผ่าน

Conditional Access

Identity Protection

Device Compliance

อย่างเต็มรูปแบบ

---

⑰ ข้อผิดพลาดที่พบบ่อย

❌ คิดว่า Zero Trust คือการซื้อ Software

❌ ไม่มี MFA

❌ ไม่มี Segmentation

❌ ใช้ Domain Admin ทุกวัน

❌ ไม่มี Monitoring

❌ ไม่มี Device Validation

❌ ไม่มี Least Privilege

Zero Trust เป็นแนวทาง

ไม่ใช่ผลิตภัณฑ์

---

⑱ Roadmap สำหรับองค์กร

ลำดับที่แนะนำ

Phase 1

MFA

Phase 2

Tiered Administration

Phase 3

PAW

Phase 4

Segmentation

Phase 5

Micro Segmentation

Phase 6

Continuous Monitoring

---

⑲ แนวทางที่องค์กรระดับโลกนิยมใช้

องค์กรระดับ Enterprise มักใช้

Identity-Centric Security

ร่วมกับ

MFA

Conditional Access

Micro Segmentation

Zero Trust

เพื่อสร้าง Security Architecture ที่ทันสมัย

---

⑳ สรุป

Zero Trust เป็นแนวคิดด้านความปลอดภัยที่ได้รับการยอมรับทั่วโลก เพราะตอบโจทย์สภาพแวดล้อม IT ยุคใหม่ที่มีทั้ง Cloud, Remote Work และภัยคุกคามที่ซับซ้อนมากขึ้น การตรวจสอบทุกการเข้าถึง การให้สิทธิ์เท่าที่จำเป็น และการสมมติว่าระบบอาจถูกเจาะอยู่เสมอ คือหัวใจของแนวทางนี้

จากประสบการณ์ของ comsiam องค์กรจำนวนมากยังคงพึ่งพาแนวคิดเครือข่ายแบบเดิม ซึ่งอาจไม่เพียงพอต่อภัยคุกคามยุคใหม่ และ comsiam มักแนะนำให้เริ่มจาก MFA, Tiered Administration และ Network Segmentation ก่อน เพราะเป็นจุดเริ่มต้นของ Zero Trust ที่ให้ผลลัพธ์ชัดเจนที่สุด

คำถามชวนคิด

หากวันนี้ Password ของพนักงานคนหนึ่งรั่วไหล คุณมั่นใจหรือไม่ว่าระบบขององค์กรยังสามารถป้องกันไม่ให้ผู้โจมตีเข้าถึงข้อมูลสำคัญได้?