หากย้อนกลับไปสิบปีก่อน องค์กรไทยจำนวนมากลงทุนด้าน IT Security ผ่านวิธีที่คุ้นเคย เช่น Firewall, VPN, รหัสผ่านที่ซับซ้อน ระบบป้องกันมัลแวร์ และนโยบายจำกัดสิทธิ์เข้าถึงพื้นฐาน ซึ่งถือว่าเพียงพอในยุคนั้น เพราะผู้ใช้งานส่วนใหญ่อยู่ในสำนักงาน เซิร์ฟเวอร์ตั้งอยู่ใน Data Center เดียวกัน และระบบทั้งหมดถูกรวมไว้ในเครือข่ายภายในองค์กร
แต่ในวันนี้ สภาพแวดล้อมดิจิทัลขององค์กรไทยเปลี่ยนไปอย่างสิ้นเชิง การทำงานแบบ Hybrid กลายเป็นเรื่องปกติ พนักงานล็อกอินจากบ้าน คาเฟ่ หรือสนามบิน อุปกรณ์ที่เชื่อมต่อเครือข่ายองค์กรไม่ได้มีแค่คอมพิวเตอร์ แต่รวมถึงมือถือ แท็บเล็ต กล้อง IP เครื่องสแกน ใบสั่งงานออนไลน์ ไปจนถึง IoT ในโรงงาน นอกจากนี้ยังมี SaaS จำนวนมากที่เชื่อมกับข้อมูลภายใน เช่น CRM, HRM, ERP และระบบจัดการลูกค้า
ความเปลี่ยนแปลงนี้ทำให้ “เครือข่ายภายในองค์กร” ไม่ได้ปลอดภัยกว่าภายนอกเสมอไปอีกต่อไป นี่คือเหตุผลที่แนวคิด Zero Trust Architecture กลายเป็นหัวใจใหม่ในการออกแบบความปลอดภัยองค์กรยุคนี้
โมเดลความปลอดภัยเดิมตั้งอยู่บน “ความเชื่อ” มากกว่าความจริง
ลองจินตนาการถึงอาคารสำนักงาน 20 ชั้นที่มีระบบสแกนบัตรทางเข้าอย่างแน่นหนา เมื่อพนักงานหรือผู้มาติดต่อเข้ามาในตัวอาคารได้แล้ว พวกเขาแทบจะเดินไปยังพื้นที่ใดก็ได้โดยไม่มีใครถามว่าควรอยู่ตรงนั้นหรือไม่ ระบบรักษาความปลอดภัย “ตรวจสอบครั้งเดียว” แล้วถือว่าปลอดภัยตลอดการอยู่ในอาคาร
หลายองค์กรยังใช้หลักการนี้กับระบบไอที หากใครสักคนสามารถผ่าน VPN หรือ Firewall เข้ามาได้ ระบบจะถือว่าเป็นผู้ใช้ที่ได้รับอนุญาตทันที แม้จะยังไม่รู้ว่าคนนั้นเป็นใคร ใช้อุปกรณ์อะไร อยู่ที่ไหน กำลังพยายามเข้าถึงข้อมูลประเภทใด หรือมีพฤติกรรมเสี่ยงหรือไม่
การมองโลกแบบนี้เปิดโอกาสให้ผู้ไม่หวังดีใช้ช่องโหว่เล็กๆ ในการยึดระบบทั้งหมดได้ เช่น
- พนักงานลาออกแต่ยังมีบัญชีใช้งาน
- อุปกรณ์ส่วนตัวติดมัลแวร์แล้วเชื่อมต่อ Wi-Fi บริษัท
- ไฟล์แนบอีเมลที่ดูปลอดภัยแต่ฝังสคริปต์
- รหัสผ่านซ้ำกันระหว่างระบบส่วนตัวและระบบงาน
จุดเริ่มต้นเล็ก ๆ สามารถลุกลามเป็นความเสียหายมูลค่าหลายล้านบาทได้ภายในเวลาไม่กี่ชั่วโมง
Zero Trust ไม่ได้ “ไม่เชื่อใคร” แต่ “ไม่ไว้ใจโดยอัตโนมัติ”
ความเข้าใจผิดที่พบบ่อยคือ Zero Trust คือการตั้งสมมติฐานว่าทุกคนเป็นผู้ร้าย ความจริงกลับตรงกันข้าม โมเดลนี้เป็น zero trust security model ที่ออกแบบเพื่อให้ “ทุกการเข้าถึงต้องมีเหตุผลรองรับ” และต้องผ่านกระบวนการตรวจสอบทุกครั้ง
หลักคิดสำคัญมีสามประเด็นใหญ่
1. Verify Explicitly
ตรวจสอบตัวตน อุปกรณ์ ตำแหน่ง พฤติกรรม และบริบทแบบเรียลไทม์ ไม่ใช่เพียงตอนล็อกอินครั้งแรก
2. Least Privilege Access
มอบสิทธิ์เข้าถึงเฉพาะสิ่งที่จำเป็นต่อหน้าที่ เพื่อป้องกันความเสียหายลุกลาม
3. Assume Breach
ออกแบบระบบโดยตั้งสมมติฐานว่าภัยคุกคามอาจอยู่ภายในแล้ว ทำให้ network segmentation และ access control system ทำงานได้จริง
ด้วยแนวคิดนี้ แม้มีผู้บุกรุกเข้ามาได้ การกระจายความเสียหายจะถูกจำกัดอยู่ในวงเล็ก ลดโอกาสข้อมูลสำคัญรั่วไหล
เคสจริงในประเทศไทย ช่องโหว่เล็ก ๆ ที่นำไปสู่ความเสียหายใหญ่
บริษัทด้านโลจิสติกส์แห่งหนึ่งในกรุงเทพฯ ใช้ระบบจัดการเส้นทางขนส่งแบบออนไลน์ พนักงานภาคสนามจะอัปเดตสถานะผ่านมือถือองค์กรที่เชื่อมต่ออินเทอร์เน็ตตลอดเวลา ทุกอย่างดำเนินไปตามปกติจนกระทั่งวันหนึ่ง ทีมไอทีตรวจพบทราฟฟิกผิดปกติจากอุปกรณ์หนึ่ง
หลังตรวจสอบจึงพบว่าพนักงานต่อ Wi-Fi สาธารณะในร้านกาแฟ และอุปกรณ์ไม่ได้มีการตรวจสอบความปลอดภัยก่อนเชื่อมต่อข้อมูลภายใน ส่งผลให้ข้อมูลเส้นทางรถขนส่งถูกดึงออกไปโดยที่ไม่มีใครรู้
เหตุการณ์นี้ไม่ใช่การแฮกระดับ Hollywood ไม่มีมัลแวร์ซับซ้อน ไม่มีช่องโหว่ระบบปฏิบัติการ เพียงแค่ระบบ “เชื่อใจอุปกรณ์ที่ต่อเข้ามาได้” มากเกินไป
องค์กรนี้เริ่มแก้ไขโดยใช้ multi-factor authentication, identity verification, แยกเครือข่าย และบังคับให้ทุกอุปกรณ์ต้องผ่านการตรวจสอบก่อนใช้งาน ผลลัพธ์คือการลดความเสี่ยงอย่างชัดเจนโดยไม่ต้องลงทุนเปลี่ยนโครงสร้างทั้งหมด