Zero Trust คืออะไร และควรเริ่มจากมาตรฐานไหน

เคยสงสัยมั้ยครับว่า Standard อะไรหรือ Framework อะไรที่ควรทำ หรือควร comply ดี ทำแล้วเหนื่อยน้อย ทำแล้วมั่นคงปลอดภัย จากการสังเกตมักจะมีเหตุผลประมาณ

1. จำเป็นต้องทำเพราะต้องทำตามมาตรฐาน
2. ทำเพราะว่าเกิด audit issues คือมี auditor มาตรวจแล้วเป็นประเด็น
3. โดน attacker เล่นงาน จึงอยากปรับปรุง
4. ทำตามมาตรฐานแล้วส่งผลต่อยอดกับ core business ของบริษัท หรือผู้บริหารสั่งมา

เหตุผลที่ทำ กับมาตรฐานที่เลือกทำ

สังเกตมั้ยครับที่อยากทำเพราะเหตุผลส่วนใหญ่เป็นแนว fear factor (ประหวั่นพรั่นพรึง จึงอยากปรับปรุง) ลองพิจารณาพวก Standard หรือ Framework ที่แต่ละองค์กรพยายามทำกันก็มีหลากหลายไม่ว่าจะเป็น ISO27001, NIST CSF, Cyber Resilience Assessment Framework, CIS Controls, 3LoD (Three Lines of Defense) หรือรวมไปถึง Standard ของ Industry Sector นั้น ๆ (ยังมีอีกเยอะ)

แนวคิด Zero Trust Model

วันนี้เลยมาแนะนำอีก Model ให้ผู้อ่านทุกคนได้รู้จักคือ Zero Trust Model ที่มี concept ง่าย ๆ คือให้คิดอยู่เสมอว่า ทุก ๆ จุดมีความเป็นไปได้ที่จะถูกโจมตีทั้งหมด ไม่ว่าจะเป็น internal zone หรือ secure zone ก็ตามหรือแม้แต่เครื่อง server ใน DC ขององค์กร จงคิดอยู่เสมอว่า traffic ที่วิ่งเข้ามาหา asset ของเรามาจากจุดที่มีโอกาสถูกโจมตีเสมอ (assume breach) เมื่อเราพิจารณาดังนั้นแล้ว concept ของ Zero Trust Model = "never trust, always verify"

Microsoft อธิบาย Zero Trust ว่าเป็นแนวทางด้านความมั่นคงปลอดภัยที่การให้สิทธิ์เข้าถึงเกิดขึ้นหลังจากตรวจสอบแล้วเท่านั้น และการตรวจสอบนี้ทำต่อเนื่องตลอดช่วงที่ใช้งาน โดยสร้างบนหลักการ 3 ข้อ

• Verify explicitly: ทุกคำขอเข้าถึงต้องผ่านการพิสูจน์ตัวตนและการอนุญาต โดยใช้สัญญาณทั้งหมดที่มี
• Use least privilege access: ผู้ใช้และ workload ได้รับสิทธิ์เท่าที่จำเป็น และนานเท่าที่ต้องใช้
• Assume breach: ออกแบบมาตรการควบคุมโดยคาดว่าผู้โจมตีอาจอยู่ในสภาพแวดล้อมแล้ว เน้นจำกัดผลกระทบจากการถูกบุกรุก และตรวจจับกับตอบสนองให้เร็ว

อ่านเพิ่มเติมได้จากบทความ Zero Trust as a security foundation บน Microsoft Learn ซึ่งมีแนวทางสำหรับนำ model ดังกล่าวไปใช้

NIST SP 800-207 เอกสารอ้างอิงของ Zero Trust

ถ้าต้องการเอกสารมาตรฐานที่อ้างอิงได้ ให้เริ่มจาก NIST SP 800-207 Zero Trust Architecture ซึ่งสถาบัน NIST ของสหรัฐอเมริกาเผยแพร่ฉบับ Final เมื่อวันที่ 11 สิงหาคม 2563 (ค.ศ. 2020) ตามที่หน้าเอกสารบน csrc.nist.gov ระบุ แนวคิดหลักที่เอกสารอธิบายมีดังนี้

• ไม่ให้ความไว้วางใจโดยอัตโนมัติ เพียงเพราะอยู่ในตำแหน่งใดของเครือข่าย หรือเพราะทรัพย์สินนั้นเป็นขององค์กรหรือของส่วนตัว
• การพิสูจน์ตัวตนและการอนุญาตของทั้งผู้ใช้และอุปกรณ์เป็นขั้นตอนแยกกัน และต้องเกิดขึ้นก่อนเริ่ม session เข้าถึงทรัพยากรขององค์กร
• การป้องกันมุ่งไปที่ทรัพยากร (asset, service, workflow, บัญชีเครือข่าย ฯลฯ) มากกว่าการป้องกันตาม network segment

อ่านรายละเอียดและดาวน์โหลดเอกสารได้ที่ NIST SP 800-207

เลือกมาตรฐานจากเหตุผลขององค์กรเอง

ลองตอบคำถามตัวเองหรือตอบคำถามองค์กรของผู้อ่านทุกท่านกันดูนะครับว่า เราต้องการทำให้ Security ในภาพรวมขององค์กรดีขึ้นด้วยเหตุผลอะไร แล้วจะได้เลือก Standard, Guideline หรือ Framework ได้ถูกต้องครับว่าอยากจะเดินไปในทิศทางไหน ถ้ายังไม่รู้จะเลือกอะไรดี สามารถดูบริการที่ปรึกษาด้าน Cybersecurityของเราประกอบได้ครับ

อีโมจิหน้ายิ้มขยิบตาแลบลิ้น

Security(Happiness) is a journey not a destination.