"Never trust, always verify" — หลักการ Zero Trust ฟังดูง่าย แต่การ implement จริงในองค์กรที่มี network ใหญ่กับ legacy system นับสิบปีคือความท้าทายอีกระดับ บทความนี้จะแนะนำวิธีเริ่มต้นที่เป็นจริงและวัดผลได้
Zero Trust ไม่ใช่ product หรือ technology — มันคือ framework และ philosophy ที่ว่า "ไม่มี user หรือ device ใดที่ควรถูก trust โดยอัตโนมัติ แม้จะอยู่ใน network ภายใน" ทุก request ต้องผ่านการ authenticate และ authorize ก่อนเสมอ
ทำไมองค์กรไทยถึงต้องสนใจ Zero Trust ตอนนี้?
โมเดล perimeter security แบบเดิม ("ใครอยู่ใน network = เชื่อถือได้") ล้มเหลวแล้วในยุค hybrid work เพราะ:
- พนักงาน WFH เชื่อมต่อจาก network ที่ควบคุมไม่ได้
- SaaS และ cloud services อยู่นอก perimeter ทั้งหมด
- เมื่อ attacker เจาะ perimeter ได้ครั้งเดียว จะ move laterally ได้อย่างอิสระ
- Ransomware แพร่กระจายผ่าน trusted internal network
4 Phase ในการ Migrate ไป Zero Trust
Identity-First: MFA ทุก account ก่อนเลย
เริ่มจาก "Identity is the new perimeter" — บังคับ MFA สำหรับทุก account โดยเฉพาะ admin, VPN, และ SaaS สำคัญ นี่คือ ROI สูงสุดต่อเวลาที่ลงทุน ลด account takeover ได้ 99.9% ตาม Microsoft research
Micro-Segmentation: แบ่ง Network เป็น Zone
แทนที่ flat network เดิม แบ่งเป็น segment ตามความสำคัญ — ระบบ HR ไม่ควรเห็น server การเงิน, production network ไม่ควรเชื่อมกับ dev network WatchGuard Firebox รองรับ micro-segmentation และ policy-based routing ที่ทำได้ไม่ต้องเปลี่ยน infrastructure ทั้งหมด
Device Trust: ตรวจสอบสุขภาพ Device ก่อน Allow
กำหนดว่า device ที่จะเข้าถึง resource ต้องผ่านเงื่อนไข เช่น มี EDR ติดตั้ง, OS อัปเดตแล้ว, ไม่มี malware ที่ตรวจพบ — ทำได้ผ่าน NAC (Network Access Control) หรือ MDM solution
Least Privilege Access: ให้สิทธิ์เท่าที่จำเป็น
Review สิทธิ์ทุก account อย่างน้อยไตรมาสละครั้ง ลบสิทธิ์ที่ไม่ได้ใช้ ใช้ JIT (Just-in-Time) access สำหรับ privileged operation แทนการให้ admin สิทธิ์ตลอดเวลา
รับมือกับ Legacy System
ปัญหาที่พบบ่อยที่สุดคือ legacy application ที่ไม่รองรับ MFA หรือ modern authentication protocol วิธีแก้ไขที่ใช้งานได้จริง:
- Application Proxy — ใช้ proxy layer ที่ handle authentication แทน เช่น Microsoft Entra App Proxy หรือ WatchGuard AuthPoint
- Network Isolation — จำกัด legacy system ไว้ใน segment ที่แยกออกมา และ monitor traffic เข้า-ออกอย่างเข้มข้น
- PAM (Privileged Access Management) — ใช้ PAM solution เพื่อ broker access ไปยัง legacy system โดยไม่ต้อง share credential ตรง
เริ่มต้นด้วยการ audit ว่า account ใดมี admin หรือ privileged สิทธิ์บ้าง แล้วตัดสิทธิ์ที่ไม่จำเป็นออก — ทำได้ภายใน 1 วัน ไม่ต้องลงทุน technology ใดเพิ่ม แต่ลดความเสี่ยงได้มหาศาล
ออกแบบ Zero Trust Architecture ให้องค์กรคุณ
ทีมวิศวกรของเราจะ assess network ปัจจุบัน และออกแบบ migration roadmap ไป Zero Trust ที่ทำได้จริงตามงบและ timeline ขององค์กรคุณ