Zero Trust Cloud เริ่มต้นจากการตัดสินใจเรื่องการเข้าถึงที่ดีกว่า

การนำคลาวด์มาใช้ทำให้การจัดการการเข้าถึงมีความซับซ้อนมากกว่าที่หลายองค์กรคาดไว้มาก พนักงานเชื่อมต่อจากหลายสถานที่ ผู้รับเหมาต้องการสิทธิ์การใช้งานที่จำกัด และข้อมูลธุรกิจก็เคลื่อนย้ายข้ามหลายแพลตฟอร์มในปัจจุบัน บัญชีที่มีสิทธิ์เกินความจำเป็นเพียงบัญชีเดียว หรือการเข้าสู่ระบบที่มีการป้องกันไม่ดีพอ อาจเปิดช่องให้เกิดเหตุการณ์ร้ายแรงได้ นี่คือจุดที่ zero trust cloud กลายเป็นกลยุทธ์ทางธุรกิจที่นำไปใช้ได้จริง ไม่ใช่แค่คำศัพท์ด้านความปลอดภัยอีกคำหนึ่ง

แนวคิดหลักนั้นเรียบง่าย: ไม่ควรไว้วางใจผู้ใช้ อุปกรณ์ หรือแอปพลิเคชันใดโดยอัตโนมัติ การเข้าถึงควรอิงตามการยืนยันตัวตน บริบท และนโยบาย ในสภาพแวดล้อมคลาวด์ เรื่องนี้มีความสำคัญเพราะการรักษาความปลอดภัยแบบอาศัยขอบเขตเครือข่ายในรูปแบบดั้งเดิมไม่สอดคล้องกับวิธีการดำเนินธุรกิจในปัจจุบันอีกต่อไป ทีมรักษาความปลอดภัยจำเป็นต้องมีโมเดลที่ติดตามผู้ใช้และเวิร์กโหลดได้ไม่ว่าพวกเขาจะอยู่ที่ใด ไม่ใช่เฉพาะภายในเครือข่ายองค์กรเท่านั้น

อะไรที่ทำให้การควบคุมการเข้าถึงคลาวด์ยากขึ้น

หลายองค์กรขยายการใช้งานบริการคลาวด์อย่างรวดเร็วเพื่อรองรับการเติบโต การทำงานทางไกล และการดำเนินงานดิจิทัล เมื่อเวลาผ่านไป สิ่งนี้มักทำให้เกิดการผสมกันของข้อมูลประจำตัว แพลตฟอร์ม และสิทธิ์ต่างๆ ที่ยากต่อการติดตามอย่างสม่ำเสมอ ผู้ใช้บางรายยังคงมีสิทธิ์เข้าถึงที่ไม่จำเป็นอีกต่อไป ขณะที่บัญชีบริการและการเชื่อมต่อของบุคคลที่สามก็มักไม่ค่อยได้รับการทบทวนอย่างมีวินัยในระดับเดียวกับบัญชีพนักงาน ดังนั้น ความเสี่ยงจึงไม่ได้มาจากการโจมตีจากภายนอกเท่านั้น แต่ยังรวมถึงการเปิดเผยความเสี่ยงภายในสภาพแวดล้อมโดยไม่จำเป็นด้วย

แนวทาง zero trust เข้ามาจัดการเรื่องนี้ด้วยการมองทุกคำขอเข้าถึงเป็นจุดสำหรับการตัดสินใจ ข้อมูลประจำตัว สถานะความพร้อมด้านความปลอดภัยของอุปกรณ์ ตำแหน่งที่ตั้ง พฤติกรรม และความอ่อนไหวของแอปพลิเคชัน ล้วนมีผลต่อการตัดสินใจนั้นได้ แทนที่จะอนุญาตการเข้าถึงแบบกว้างหลังจากเข้าสู่ระบบเพียงครั้งเดียว องค์กรสามารถจำกัดให้ผู้ใช้เข้าถึงเฉพาะระบบและข้อมูลที่จำเป็นต่อบทบาทหน้าที่ของตนเท่านั้น ซึ่งช่วยลดโอกาสที่ข้อมูลรับรองที่ถูกโจมตีเพียงชุดเดียวจะนำไปสู่การหยุดชะงักทางธุรกิจในวงกว้าง

คุณค่าทางธุรกิจที่มากกว่าถ้อยคำด้านความปลอดภัย

สำหรับผู้มีอำนาจตัดสินใจ คุณค่าของ zero trust cloud ไม่ได้มีแค่การควบคุมที่เข้มงวดขึ้นเท่านั้น แต่ยังช่วยเพิ่มความยืดหยุ่นในการดำเนินงาน สนับสนุนความพยายามด้านการปฏิบัติตามข้อกำหนด และลดต้นทุนในการจัดการสิทธิ์ที่มากเกินความจำเป็นย้อนหลังได้อีกด้วย เมื่อนโยบายการเข้าถึงถูกกำหนดไว้อย่างชัดเจนมากขึ้น ทีมรักษาความปลอดภัยก็จะใช้เวลาน้อยลงกับการจัดการข้อยกเว้น การเก็บกวาดแก้ไข และช่องโหว่ที่สามารถป้องกันได้ สิ่งนี้สร้างรากฐานที่คาดการณ์ได้มากขึ้นสำหรับการเติบโตบนคลาวด์

นอกจากนี้ยังช่วยให้องค์กรปรับตัวเข้ากับสภาพธุรกิจจริงได้ดีขึ้น การควบรวมกิจการ การให้สิทธิ์เข้าถึงแก่พาร์ทเนอร์ การทำงานแบบไฮบริด และสภาพแวดล้อมแบบ multi-cloud ล้วนเพิ่มความซับซ้อน โมเดล zero trust ช่วยนำโครงสร้างมาสู่ความซับซ้อนนั้นด้วยการกำหนดการเข้าถึงตามความจำเป็นทางธุรกิจ แทนการไว้วางใจเครือข่ายแบบกว้างๆ ในหลายกรณี สิ่งนี้นำไปสู่การมองเห็นที่ดีขึ้นว่าใครสามารถเข้าถึงระบบสำคัญได้ และภายใต้เงื่อนไขใด

กลยุทธ์ zero trust cloud ที่นำไปใช้ได้จริงควรประกอบด้วยอะไรบ้าง

องค์กรไม่จำเป็นต้องรื้อสร้างสภาพแวดล้อมทั้งหมดใหม่ในคราวเดียว โปรแกรมที่มีประสิทธิภาพที่สุดมักเริ่มจากเส้นทางการเข้าถึงที่มีความเสี่ยงสูงที่สุดและทรัพย์สินที่มีความอ่อนไหวมากที่สุด จากนั้นทีมรักษาความปลอดภัยจึงค่อยๆ ปรับปรุงการควบคุมเป็นระยะโดยรักษาระดับผลกระทบต่อการดำเนินงานให้น้อยที่สุด

• ทบทวนข้อมูลประจำตัว บทบาท และบัญชีสิทธิ์พิเศษในบริการคลาวด์ต่างๆ
• ใช้การเข้าถึงแบบ least-privilege เพื่อให้ผู้ใช้ได้รับเฉพาะสิ่งที่งานของตนจำเป็นต้องใช้
• ใช้การตรวจสอบยืนยันอย่างต่อเนื่องตามบริบท ไม่ใช่อาศัยเพียงการยืนยันตัวตนแบบครั้งเดียว
• แบ่งส่วนการเข้าถึงสำหรับแอปพลิเคชัน เวิร์กโหลด และชุดข้อมูลที่สำคัญ
• ติดตามกิจกรรมเพื่อหาพฤติกรรมที่ผิดปกติซึ่งอาจบ่งชี้ถึงการใช้งานในทางที่ผิดหรือการถูกเจาะระบบ

แนวทางแบบค่อยเป็นค่อยไปลักษณะนี้มักยั่งยืนกว่าการพยายามบังคับให้เกิดการเปลี่ยนแปลงครั้งใหญ่ทั้งหมดในคราวเดียว อีกทั้งยังช่วยให้ผู้นำธุรกิจมองเห็นความคืบหน้า การลดความเสี่ยง และช่องว่างของนโยบายที่ยังต้องได้รับการใส่ใจได้ชัดเจนยิ่งขึ้น

คำถามที่พบบ่อย

zero trust cloud มีความเกี่ยวข้องเฉพาะกับองค์กรขนาดใหญ่เท่านั้นหรือไม่?

ไม่ใช่ องค์กรขนาดกลางก็เผชิญกับความเสี่ยงด้านตัวตนดิจิทัล การตั้งค่าคลาวด์ที่ผิดพลาด และความท้าทายจากการให้สิทธิ์เข้าถึงแก่บุคคลที่สามเช่นกัน โมเดลนี้มีประโยชน์ในทุกที่ที่การเข้าถึงคลาวด์กลายเป็นสิ่งที่จัดการอย่างสม่ำเสมอได้ยาก

zero trust หมายความว่าผู้ใช้ต้องเจอกับความยุ่งยากตลอดเวลาหรือไม่?

ไม่จำเป็น แนวทางที่ออกแบบมาอย่างดีจะใช้การตรวจสอบที่เข้มงวดยิ่งขึ้นเมื่อความเสี่ยงสูงกว่า และอนุญาตให้เข้าถึงได้อย่างราบรื่นมากขึ้นเมื่อบริบทสนับสนุน เป้าหมายคือการตัดสินใจที่ดีขึ้น ไม่ใช่การสร้างอุปสรรคที่ไม่จำเป็น

เปลี่ยนกลยุทธ์ให้เป็นการเลือกเทคโนโลยีที่เหมาะสม

zero trust cloud จะมีประสิทธิภาพสูงสุดเมื่อถูกมองว่าเป็นการตัดสินใจทางธุรกิจเกี่ยวกับการเข้าถึง ความเสี่ยง และความยืดหยุ่น เทคโนโลยีมีความสำคัญ แต่คำถามที่ใหญ่กว่าคือองค์กรต้องการควบคุมความไว้วางใจอย่างไรในกระบวนการดำเนินงานสมัยใหม่ ทีมรักษาความปลอดภัยมักต้องการความช่วยเหลือในการเชื่อมโยงตัวตนดิจิทัล ความปลอดภัยบนคลาวด์ การบังคับใช้นโยบาย และการติดตามเฝ้าระวัง ให้กลายเป็นโรดแมปที่นำไปใช้ได้จริง องค์กรที่กำลังประเมินโซลูชันด้านความปลอดภัยทางไซเบอร์สามารถทำงานร่วมกับ Terrabyte เพื่อระบุเทคโนโลยีที่สอดคล้องกับกลยุทธ์คลาวด์ ลำดับความสำคัญด้านการปฏิบัติงาน และข้อกำหนดด้านความปลอดภัยระยะยาวของตน