# แนวปฏิบัติ Zero Trust ของ สกมช.

Locale: `th`

Source: `/th/compliance/ncsa-zero-trust-guidelines/`

Summary: แนวปฏิบัติ Zero Trust v1.0 สกมช. สำหรับผู้บริหารและทีมเทคนิค เปลี่ยนผ่านจากการป้องกันขอบเขตเครือข่ายสู่การตรวจสอบต่อเนื่องตามความเสี่ยง

สารบัญ

1. [ภาพรวม](/th/compliance/ncsa-zero-trust-guidelines/#topic-overview)
2. [หลักคิด Zero Trust และขอบเขตการนำไปใช้](/th/compliance/ncsa-zero-trust-guidelines/#zero-trust-principles)
3. [สถาปัตยกรรมและจุดตัดสินใจเชิงนโยบาย](/th/compliance/ncsa-zero-trust-guidelines/#zero-trust-architecture)
4. [การเปลี่ยนผ่าน 5 ขั้นตอนตามความเสี่ยง](/th/compliance/ncsa-zero-trust-guidelines/#five-step-migration)
5. [Gap analysis, maturity และการดำเนินงานต่อเนื่อง](/th/compliance/ncsa-zero-trust-guidelines/#gap-analysis-and-maturity)
6. [ตารางเปรียบเทียบข้อกำหนด](/th/compliance/ncsa-zero-trust-guidelines/#compliance-matrix)
7. [ประเมินความพร้อม](/th/compliance/ncsa-zero-trust-guidelines/#compliance-readiness-checklist)
8. [คำถามที่พบบ่อย](/th/compliance/ncsa-zero-trust-guidelines/#compliance-faq)
9. [หัวข้อที่เกี่ยวข้อง](/th/compliance/ncsa-zero-trust-guidelines/#related-compliance-frameworks)

# แนวปฏิบัติ Zero Trust ของ สกมช.

สรุปแนวปฏิบัติ Zero Trust (Zero Trust Guidelines) ฉบับเผยแพร่ v1.0 ของ สกมช. สำหรับผู้บริหาร ผู้กำหนดนโยบาย ทีมเทคนิค ผู้ดูแลระบบ และวิศวกรความมั่นคงปลอดภัย เพื่อวางแผนเปลี่ยนผ่านจากการป้องกันแบบอาศัยขอบเขตเครือข่ายสู่การตรวจสอบอย่างต่อเนื่องตามความเสี่ยง

สรุปภาพรวมข้อกำหนด

กลุ่มเป้าหมายที่บังคับใช้

ผู้บริหาร ผู้กำหนดนโยบาย ทีมเทคนิค และวิศวกรความมั่นคงปลอดภัยที่วางแผนเปลี่ยนผ่านจาก Perimeter-based Security

ความถี่ในการทดสอบ

ทบทวน Protect Surface นโยบาย และ maturity ตามแนวปฏิบัติ ไม่ใช่ข้อบังคับ pentest รายปี

ขอบเขตการทดสอบ

ตัวตน อุปกรณ์ เครือข่าย แอปพลิเคชันและเวิร์กโหลด และข้อมูล ตาม Zero Trust Maturity Model

ความเสี่ยงหากไม่ปฏิบัติตาม

การถูกโจมตีแบบ Lateral Movement เมื่อยังเชื่อถือเครือข่ายภายในโดยปริยาย

## หลักคิด Zero Trust และขอบเขตการนำไปใช้

แนวปฏิบัติอธิบายการเปลี่ยนสมมติฐานจากการเชื่อถือเครือข่ายภายใน ไปสู่การตรวจสอบทุกคำขอเข้าถึงตามตัวตน สถานะอุปกรณ์ และบริบทของเซสชัน

[![หลักการ Zero Trust สำหรับทุกคำขอเข้าถึง: ทรัพยากรเป็นบริการ, อนุญาตเป็นรายเซสชัน, ใช้นโยบายตามบริบท, ไม่เชื่อถือจากตำแหน่ง, ตรวจสถานะสินทรัพย์, ปกป้องการสื่อสาร, ใช้ Telemetry ปรับนโยบาย](/assets/compliance/guide-ncsa-zero-trust-guidelines-zero-trust-principles-th-v1.webp)](/assets/compliance/guide-ncsa-zero-trust-guidelines-zero-trust-principles-th-v1.webp)

**หลักการ Zero Trust สำหรับทุกคำขอเข้าถึง**

ทุกคำขอต้องผ่านการตัดสินใจตามบริบทและบังคับใช้สิทธิเท่าที่จำเป็น

- **ทรัพยากรเป็นบริการ** — ปกป้องข้อมูล แอป สินทรัพย์ และบริการ
- **อนุญาตเป็นรายเซสชัน** — ให้สิทธิเท่าที่จำเป็นต่อคำขอ
- **ใช้นโยบายตามบริบท** — ประเมินตัวตน อุปกรณ์ ตำแหน่ง และพฤติกรรม
- **ไม่เชื่อถือจากตำแหน่ง** — เครือข่ายภายในไม่ทำให้คำขอน่าเชื่อถือเอง
- **ตรวจสถานะสินทรัพย์** — ประเมินอุปกรณ์และระบบอย่างต่อเนื่อง
- **ปกป้องการสื่อสาร** — ยืนยันและเข้ารหัสทุกเส้นทาง
- **ใช้ Telemetry ปรับนโยบาย** — นำข้อมูลเหตุการณ์กลับไปปรับการตัดสินใจ

- ทรัพยากรทั้งหมด เช่น ข้อมูล แอปพลิเคชัน บริการ และอุปกรณ์ ควรถูกมองว่าเป็นสิ่งที่ต้องปกป้อง ไม่ว่าตั้งอยู่ที่ใด
- การเข้าถึงต้องกำหนดเป็นรายเซสชันและปรับตามความเสี่ยง โดยใช้ข้อมูลประกอบ เช่น ตัวตน สถานะอุปกรณ์ ตำแหน่ง และพฤติกรรมที่เกี่ยวข้อง
- หลักการ 7 ประการของ Zero Trust เน้นการยืนยันตัวตนและการอนุญาตที่เข้มงวด การตรวจสอบความมั่นคงปลอดภัยของสินทรัพย์อย่างต่อเนื่อง และการใช้ข้อมูลที่เก็บได้เพื่อปรับปรุงมาตรการ

## สถาปัตยกรรมและจุดตัดสินใจเชิงนโยบาย

เอกสารอธิบายว่า requester และอุปกรณ์ต้องผ่านจุดตัดสินใจตามนโยบายก่อนเข้าถึงทรัพยากร โดยแยกหน้าที่ตัดสินใจ จัดการเซสชัน และบังคับใช้นโยบาย

[![Zero Trust: ตัดสินใจแล้วบังคับใช้: ผู้ร้องขอและอุปกรณ์, Policy Engine (PE), Policy Administrator (PA), จุดบังคับใช้ (PEP), ทรัพยากร](/assets/compliance/zero-trust-policy-th-v1.webp)](/assets/compliance/zero-trust-policy-th-v1.webp)

**Zero Trust: ตัดสินใจแล้วบังคับใช้**

PE ประเมินคำขอ ส่วน PA สั่งสร้างหรือยุติเซสชัน การเข้าถึงทรัพยากรจริงผ่าน PEP จึงต้องทดสอบทั้งการตัดสินใจและการบังคับใช้

- **ผู้ร้องขอและอุปกรณ์** — ส่งคำขอพร้อมบริบท
- **Policy Engine (PE)** — ประเมินนโยบายและความน่าเชื่อถือ
- **Policy Administrator (PA)** — สร้างหรือยุติเซสชัน
- **จุดบังคับใช้ (PEP)** — เปิด ตรวจสอบ หรือยุติการเชื่อมต่อ
- **ทรัพยากร** — เข้าถึงเท่าที่ได้รับอนุญาต

- Policy Engine ประเมินนโยบายและข้อมูลประกอบเพื่อวินิจฉัยว่าอนุญาตการเข้าถึงได้หรือไม่
- Policy Administrator จัดตั้งหรือยุติเส้นทางการสื่อสาร รวมถึงจัดการ Session Token และ Credential ตามผลการตัดสินใจ
- Policy Enforcement Point เป็นจุดที่เปิด ตรวจสอบ หรือยุติการเชื่อมต่อ และควรรับข้อมูลจาก identity, device, security telemetry และแหล่งข้อมูลที่เกี่ยวข้อง

## การเปลี่ยนผ่าน 5 ขั้นตอนตามความเสี่ยง

แนวปฏิบัติให้เริ่มจากพื้นที่ป้องกันที่ชัดเจนและขยายผลเป็นลำดับ แทนการปรับเปลี่ยนทุกระบบพร้อมกัน

[![5 ขั้นตอนเปลี่ยนผ่านสู่ Zero Trust: กำหนด Protect Surface → ทำแผนผัง Transaction Flow → ออกแบบสถาปัตยกรรม → กำหนดนโยบาย 5W1H → เฝ้าระวังและบำรุงรักษา](/assets/compliance/guide-ncsa-zero-trust-guidelines-five-step-migration-th-v1.webp)](/assets/compliance/guide-ncsa-zero-trust-guidelines-five-step-migration-th-v1.webp)

**5 ขั้นตอนเปลี่ยนผ่านสู่ Zero Trust**

เริ่มจากพื้นที่ที่ต้องปกป้องและ Flow จริง ก่อนเลือกเทคโนโลยี

1. **กำหนด Protect Surface** — ระบุ Data, Applications, Assets และ Services
2. **ทำแผนผัง Transaction Flow** — เข้าใจการสื่อสารและการพึ่งพา
3. **ออกแบบสถาปัตยกรรม** — เลือกแนวทางให้ตรงบริบทและความเสี่ยง
4. **กำหนดนโยบาย 5W1H** — ระบุ Who, What, When, Where, Why และ How
5. **เฝ้าระวังและบำรุงรักษา** — ใช้ Log, Alert และ Feedback ปรับนโยบาย

- กำหนด Protect Surface และกลยุทธ์ที่อิงตามความเสี่ยง จากนั้นจัดทำ Transaction Flows เพื่อเข้าใจการเชื่อมโยงของข้อมูล แอปพลิเคชัน สินทรัพย์ และบริการ
- ออกแบบสถาปัตยกรรม Zero Trust สำหรับพื้นที่นั้น โดยพิจารณา identity, segmentation, microsegmentation, cloud หรือ hybrid ตามบริบทและระดับความเสี่ยง
- กำหนดนโยบายด้วยกรอบ 5W1H คือ Who, What, When, Where, Why และ How แล้วเฝ้าระวัง บันทึกเหตุการณ์ แจ้งเตือน และทบทวนพื้นที่ป้องกันกับนโยบายอย่างต่อเนื่อง

## Gap analysis, maturity และการดำเนินงานต่อเนื่อง

การประเมินช่องว่างต้องครอบคลุมกลยุทธ์ การกำกับดูแล ข้อมูล สินทรัพย์ การดำเนินงาน และประสิทธิผลของการควบคุม ไม่ใช่เปรียบเทียบรายการเครื่องมืออย่างเดียว

[![วัดความพร้อม Zero Trust ผ่าน 5 เสาหลัก: ตัวตน, อุปกรณ์, เครือข่าย, แอปพลิเคชันและเวิร์กโหลด, ข้อมูล](/assets/compliance/guide-ncsa-zero-trust-guidelines-gap-analysis-and-maturity-th-v1.webp)](/assets/compliance/guide-ncsa-zero-trust-guidelines-gap-analysis-and-maturity-th-v1.webp)

**วัดความพร้อม Zero Trust ผ่าน 5 เสาหลัก**

ประเมินแต่ละเสาหลักแยกกัน ตามระดับ Traditional, Initial, Advanced และ Optimal แล้วกำหนดเป้าหมายและแผนปรับปรุง

- **ตัวตน** — ประเมินการยืนยันตัวตน สิทธิ และความเสี่ยง
- **อุปกรณ์** — ประเมินสถานะและความน่าเชื่อถือของอุปกรณ์
- **เครือข่าย** — ประเมินการแบ่งส่วน การเชื่อมต่อ และ Telemetry
- **แอปพลิเคชันและเวิร์กโหลด** — ประเมินสิทธิและการปกป้อง Workload
- **ข้อมูล** — ประเมินการจัดชั้น การเข้าถึง และการป้องกัน

- ใช้ Risk Management Framework เป็นโครงสำหรับวิเคราะห์ช่องว่าง ตั้งแต่การเตรียมตัว จัดหมวดหมู่ เลือกมาตรการ ประเมิน อนุญาต และเฝ้าระวัง
- ใช้ Zero Trust Maturity Model เพื่อประเมินความพร้อมใน 5 เสาหลัก ได้แก่ identity, devices, networks, applications and workloads และ data พร้อมตัวชี้วัดความเสี่ยง
- จัดทำบทบาทและความรับผิดชอบ การสื่อสาร การฝึกอบรม และวงจรป้อนกลับ เพื่อให้ policy ปรับตามเหตุการณ์และสภาพแวดล้อมที่เปลี่ยนไป

## ตารางเปรียบเทียบข้อกำหนดและการทดสอบความปลอดภัย

สรุปรายละเอียดประกาศ บทบัญญัติ และขอบเขตการทดสอบความปลอดภัยที่จำเป็น

| ประกาศ และข้อกำหนด | สาระสำคัญ | ขอบเขตการทดสอบ | รอบเวลาทดสอบ |
| --- | --- | --- | --- |
| **หลักการ 7 ประการ (NIST SP 800-207 ตามแนวปฏิบัติ สกมช.)** | ตรวจสอบทุกคำขอเข้าถึงตามตัวตน สถานะอุปกรณ์ และบริบทของเซสชัน | Policy Engine, Policy Administrator และ Policy Enforcement Point | ตรวจสอบแบบรายเซสชันตามแนวปฏิบัติ ไม่ใช่รอบ pentest รายปี |
| **เสาหลัก 5 ด้าน (CISA ZTMM ตามแนวปฏิบัติ สกมช.)** | ประเมิน maturity ของตัวตน อุปกรณ์ เครือข่าย แอปพลิเคชันและเวิร์กโหลด และข้อมูล | Protect Surface, Transaction Flow และนโยบาย 5W1H | ประเมินตามบริบทและขยายพื้นที่ป้องกันเป็นลำดับ |

### เครื่องมือประเมินความพร้อม

คลิกเลือกรายการที่องค์กรของท่านได้ดำเนินการแล้ว เพื่อคำนวณระดับความพร้อมเบื้องต้น

0%

กำหนด Protect Surface และจัดทำ Transaction Flow ของข้อมูล แอปพลิเคชัน สินทรัพย์ และบริการแล้ว
          
          
            
            มีจุดตัดสินใจตามนโยบายแยกหน้าที่ Policy Engine, Policy Administrator และ Policy Enforcement Point
          
          
            
            ประเมิน maturity ตามเสาหลักตัวตน อุปกรณ์ เครือข่าย แอปพลิเคชันและเวิร์กโหลด และข้อมูล
          
          
            
            กำหนดนโยบายด้วยกรอบ 5W1H และทบทวนพื้นที่ป้องกันเมื่อสภาพแวดล้อมหรือเหตุการณ์เปลี่ยน

ประเมินความพร้อม

เลือกรายการด้านบนเพื่อประเมินผล

[ปรึกษาผู้เชี่ยวชาญ และขอใบเสนอราคา](/th/#contact)

## คำถามที่พบบ่อย (FAQ)

คำถามและข้อสงสัยสำคัญเกี่ยวกับข้อกำหนดและการตรวจประเมินตามมาตรฐาน

### หลักการ Zero Trust Architecture (ZTA) แตกต่างจากแนวทางรักษาความปลอดภัยแบบเดิมอย่างไร?

แนวทางเดิมเน้นการป้องกันขอบเขตเครือข่ายภายนอก (Perimeter Security) แต่ Zero Trust ใช้หลักการ ไม่ไว้วางใจใครและต้องตรวจสอบสิทธิ์เสมอ แม้การเชื่อมต่อจะมาจากภายในเครือข่ายองค์กรก็ตาม

### การย้ายระบบไปสู่ Zero Trust ต้องเริ่มต้นจากส่วนใดก่อน?

แนวปฏิบัติให้เริ่มจาก Protect Surface และกลยุทธ์ตามความเสี่ยง จากนั้นจัดทำ Transaction Flow ออกแบบสถาปัตยกรรม และกำหนดนโยบายด้วยกรอบ 5W1H แล้วขยายพื้นที่ป้องกันเป็นลำดับ แทนการปรับทุกระบบพร้อมกัน

## หัวข้อและกฎหมายกำกับดูแลที่เกี่ยวข้อง

- [
                มาตรฐานความมั่นคงปลอดภัยไซเบอร์ระบบคลาวด์ สกมช. พ.ศ. 2567
                
              ](/th/compliance/ncsa-cloud-security-standard/)
- [
                ISO/IEC 27001:2022 ต้องทำ Penetration Testing ไหม
                
              ](/th/compliance/iso-27001/)
- [
                พ.ร.บ.ไซเบอร์ฯ 2562 กับการทดสอบเจาะระบบ
                
              ](/th/compliance/cybersecurity-act/)
- [
                แนวทางเตรียมความพร้อมสำหรับยุคควอนตัมของ สกมช.
                
              ](/th/compliance/ncsa-post-quantum-readiness/)

เปิดภาพขนาดเต็มเพื่อซูม

## เอกสารต้นทางฉบับทางการ

ไฟล์ต้นฉบับจากหน่วยงานราชการ โฮสต์ไว้บน sth.sh เพื่อความสะดวก โปรดยึดฉบับล่าสุดจากลิงก์ต้นทางเป็นสำคัญ

[
            
              
              
              ![ตัวอย่างหน้าแรกของแนวปฏิบัติ Zero Trust Guidelines](/assets/process/compliance-sources/sth-source-ncsa-zero-trust-guidelines-2569.webp)
            
          ](/assets/documents/sth-source-ncsa-zero-trust-guidelines-2569.pdf)

### แนวปฏิบัติ Zero Trust Guidelines

โดย สกมช. (NCSA)

[เปิดเอกสาร (PDF) ](/assets/documents/sth-source-ncsa-zero-trust-guidelines-2569.pdf)
              [ดาวน์โหลด ](/assets/documents/sth-source-ncsa-zero-trust-guidelines-2569.pdf)
              
              [แหล่งต้นทาง ](https://www.ncsa.or.th/standards)

## ต้องการทำ Pentest ให้สอดคล้องกับข้อกำหนดเหล่านี้?

เล่าขอบเขตระบบและข้อกำหนดที่ต้องปฏิบัติตามให้เราฟัง ทีม STH จะช่วยประเมินแนวทางและจัดทำใบเสนอราคาให้

[ขอใบเสนอราคา Pentest](/th/#contact)

## เอกสาร PDF

[เปิดในแท็บใหม่ ](/th/compliance/ncsa-zero-trust-guidelines/)
              [ดาวน์โหลด](/th/compliance/ncsa-zero-trust-guidelines/)

อัปเดตล่าสุด 16 ตุลาคม 2569