แนวปฏิบัติ Zero Trust ของ สกมช.

สรุปแนวปฏิบัติ Zero Trust (Zero Trust Guidelines) ฉบับเผยแพร่ v1.0 ของ สกมช. สำหรับผู้บริหาร ผู้กำหนดนโยบาย ทีมเทคนิค ผู้ดูแลระบบ และวิศวกรความมั่นคงปลอดภัย เพื่อวางแผนเปลี่ยนผ่านจากการป้องกันแบบอาศัยขอบเขตเครือข่ายสู่การตรวจสอบอย่างต่อเนื่องตามความเสี่ยง.

หลักคิด Zero Trust และขอบเขตการนำไปใช้

แนวปฏิบัติอธิบายการเปลี่ยนสมมติฐานจากการเชื่อถือเครือข่ายภายใน ไปสู่การตรวจสอบทุกคำขอเข้าถึงตามตัวตน สถานะอุปกรณ์ และบริบทของเซสชัน.

• ทรัพยากรทั้งหมด เช่น ข้อมูล แอปพลิเคชัน บริการ และอุปกรณ์ ควรถูกมองว่าเป็นสิ่งที่ต้องปกป้อง ไม่ว่าตั้งอยู่ที่ใด.
• การเข้าถึงต้องกำหนดเป็นรายเซสชันและปรับตามความเสี่ยง โดยใช้ข้อมูลประกอบ เช่น ตัวตน สถานะอุปกรณ์ ตำแหน่ง และพฤติกรรมที่เกี่ยวข้อง.
• หลักการ 7 ประการของ Zero Trust เน้นการยืนยันตัวตนและการอนุญาตที่เข้มงวด การตรวจสอบความมั่นคงปลอดภัยของสินทรัพย์อย่างต่อเนื่อง และการใช้ข้อมูลที่เก็บได้เพื่อปรับปรุงมาตรการ.

สถาปัตยกรรมและจุดตัดสินใจเชิงนโยบาย

เอกสารอธิบายว่า requester และอุปกรณ์ต้องผ่านจุดตัดสินใจตามนโยบายก่อนเข้าถึงทรัพยากร โดยแยกหน้าที่ตัดสินใจ จัดการเซสชัน และบังคับใช้นโยบาย.

• Policy Engine ประเมินนโยบายและข้อมูลประกอบเพื่อวินิจฉัยว่าอนุญาตการเข้าถึงได้หรือไม่.
• Policy Administrator จัดตั้งหรือยุติเส้นทางการสื่อสาร รวมถึงจัดการข้อมูลรับรองของเซสชันตามผลการตัดสินใจ.
• Policy Enforcement Point เป็นจุดที่เปิด ตรวจสอบ หรือยุติการเชื่อมต่อ และควรรับข้อมูลจาก identity, device, security telemetry และแหล่งข้อมูลที่เกี่ยวข้อง.

การเปลี่ยนผ่าน 5 ขั้นตอนตามความเสี่ยง

แนวปฏิบัติให้เริ่มจากพื้นที่ป้องกันที่ชัดเจนและขยายผลเป็นลำดับ แทนการปรับเปลี่ยนทุกระบบพร้อมกัน.

• กำหนด Protect Surface และกลยุทธ์ที่อิงตามความเสี่ยง จากนั้นจัดทำ Transaction Flows เพื่อเข้าใจการเชื่อมโยงของข้อมูล แอปพลิเคชัน สินทรัพย์ และบริการ.
• ออกแบบสถาปัตยกรรม Zero Trust สำหรับพื้นที่นั้น โดยพิจารณา identity, segmentation, microsegmentation, cloud หรือ hybrid ตามบริบทและระดับความเสี่ยง.
• กำหนดนโยบายด้วยกรอบ 5W1H คือ Who, What, When, Where, Why และ How แล้วเฝ้าระวัง บันทึกเหตุการณ์ แจ้งเตือน และทบทวนพื้นที่ป้องกันกับนโยบายอย่างต่อเนื่อง.

Gap analysis, maturity และการดำเนินงานต่อเนื่อง

การประเมินช่องว่างต้องครอบคลุมกลยุทธ์ การกำกับดูแล ข้อมูล สินทรัพย์ การดำเนินงาน และประสิทธิผลของการควบคุม ไม่ใช่เปรียบเทียบรายการเครื่องมืออย่างเดียว.

• ใช้ Risk Management Framework เป็นโครงสำหรับวิเคราะห์ช่องว่าง ตั้งแต่การเตรียมตัว จัดหมวดหมู่ เลือกมาตรการ ประเมิน อนุญาต และเฝ้าระวัง.
• ใช้ Zero Trust Maturity Model เพื่อประเมินความพร้อมใน 5 เสาหลัก ได้แก่ identity, devices, networks, applications and workloads และ data พร้อมตัวชี้วัดความเสี่ยง.
• จัดทำบทบาทและความรับผิดชอบ การสื่อสาร การฝึกอบรม และวงจรป้อนกลับ เพื่อให้ policy ปรับตามเหตุการณ์และสภาพแวดล้อมที่เปลี่ยนไป.