จากบางส่วนในงานบรรยายหลักสูตรบัณฑิตพันธุ์ใหม่ ที่มหาวิทยาลัยศรีปทุม มีส่วนที่ผมได้พูดถึงแนวคิด Zero Trust ที่เป็นแนวทางปฏิบัติใหม่ ที่เกิดขึ้นกับการออกแบบสถาปัตยกรรมองค์กรและสถาปัตยกรรมระบบเครือข่ายคอมพิวเตอร์ในปัจจุบัน และอนาคต และหากไม่ไปในเส้นทางนี้ ปัญหาเดิมๆ ที่เราพบกันไม่ว่าเป็นการติด Ransomware มัลแวร์เรียกค่าไถ่ การระบุผู้ใช้งานไม่ได้ ว่าเป็นใคร เป็น Out source ที่เราเคยจ้าง หรือ พนักงานในองค์กร หรือ Hacker การเอาเครื่องคอมพิวเตอร์ Notebook กลับไปทำงานที่บ้านแล้วติดเชื้อ การต้อง VPN เข้าองค์กรทั้งที่อยู่นอกสถานที่และใช้งานในระบบ Network ที่ไม่ปลอดภัย ล้วนเป็นปัญหาเดิมๆ
ตาม NIST SP 800–207 จากหน่วยงาน National Institute of Standards and Technology (NIST) และ แนวคิดจาก DoD (Department of Defense) Zero trust reference architecture ของสหรัฐอเมริกา เป็นสถาปัตยกรรมที่ถูกสร้างมาเพื่อไม่ไว้วางใจในระดับพื้นฐาน และมีวัตถุประสงค์เพื่อให้คำแนะนำในการออกแบบและการดำเนินงานของระบบที่สอดคล้องกับหลักการ Zero Trust ซึ่งเป็นแนวทางในการรักษาความปลอดภัยของข้อมูลและระบบเครือข่ายคอมพิวเตอร์ อันประกอบด้วยดังนี้
(1) Never trust always verify ไม่ไว้วางใจใดๆ, ตรวจสอบทุกอย่าง แนวคิด Zero Trust หมายความว่าไม่มีการไว้วางใจโดยอัตโนมัติใดๆ ทั้งบุคคล, อุปกรณ์, เครือข่าย หรือบริการ ไม่ว่าจะอยู่ภายในหรือภายนอกองค์กร ทุกคำขอการเข้าถึงจะถูกปฏิบัติเหมือนกับว่ามาจากเครือข่ายที่ไม่ไว้วางใจ
(2) Continuous Verification การตรวจสอบอย่างต่อเนื่อง การทำ Zero Trust ต้องการให้ทุกความพยายามในการเข้าถึงระบบถูกตรวจสอบอย่างต่อเนื่อง ไม่เพียงแค่ที่จุดเข้าใช้งาน หมายความว่ามีการประเมินและประเมินค่าความเสี่ยงและระดับการไว้วางใจของคำขอการเข้าถึงอย่างต่อเนื่อง
(3) Context-Aware Security ความปลอดภัยที่ตระหนักรู้บริบท ในรูปแบบ Zero Trust การตัดสินใจด้านความปลอดภัยจะทำขึ้นตามข้อมูลบริบท เช่น ตัวตนของผู้ใช้, สถานะของอุปกรณ์, บริการหรืองาน, การจำแนกข้อมูล, และการตรวจจับความผิดปกติ บริบทนี้เป็นตัวขับเคลื่อนนโยบายการบังคับใช้และการตัดสินใจการเข้าถึง
(4) Least-Privilege Access การเข้าถึงตามหลักสิทธิ์น้อยที่สุด ส่วนสำคัญของ Zero Trust คือหลักการของการเข้าถึงตามหลักสิทธิ์น้อยที่สุด — ให้ผู้ใช้หรือระบบมีระดับการเข้าถึงน้อยที่สุดที่จำเป็นในการทำหน้าที่ของพวกเขา ซึ่งช่วยลดพื้นที่ที่อาจถูกโจมตีได้โดยการจำกัดการเคลื่อนไหวภายในเครือข่าย
(5) Micro-Segmentation การแบ่งส่วนเครือข่าย Zero Trust ใช้การแบ่งส่วนเครือข่ายเพื่อแบ่งพื้นที่ความปลอดภัยเป็นโซนเล็กๆ เพื่อรักษาการเข้าถึงแยกกันสำหรับส่วนต่างๆ ของเครือข่าย ทำให้การละเมิดในส่วนหนึ่งไม่ส่งผลกระทบต่อส่วนอื่น
(6) Multi-Factor Authentication (MFA) ภายใต้ Zero Trust, MFA เป็นองค์ประกอบสำคัญ เพราะเพิ่มชั้นความปลอดภัยเพื่อยืนยันตัวตนของผู้ใช้มากกว่าการใช้ชื่อผู้ใช้และรหัสผ่านเท่านั้น
อ่านเพิ่มได้ที่ https://medium.com/@nontawatt/%E0%B9%81%E0%B8%99%E0%B8%A7%E0%B8%84%E0%B8%B4%E0%B8%94-zero-trust-144c827d1142