การทำงานจากระยะไกล ระบบคลาวด์ และอุปกรณ์ส่วนตัวทำให้ขอบเขตเครือข่ายแบบเดิมไม่ใช่เส้นป้องกันที่เชื่อถือได้อีกต่อไป ผู้บุกรุกที่ขโมยบัญชีหรือเข้ามาได้ครั้งเดียวสามารถเคลื่อนตัวในระบบและเข้าถึงข้อมูลราชการได้หากหน่วยงานยัง “เชื่อโดยตำแหน่ง” ว่าใครอยู่ในเครือข่ายภายในย่อมปลอดภัย
สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) จึงเผยแพร่แนวปฏิบัติการใช้ซีโร่ทรัสต์ (Zero Trust Guidelines) ให้หน่วยงานภาครัฐ เอกชน และโครงสร้างพื้นฐานสำคัญทางสารสนเทศใช้เป็นกรอบออกแบบความมั่นคงปลอดภัย โดยยึดหลัก “อย่าเชื่อทันที จงตรวจสอบเสมอ (Never Trust, Always Verify)” สอดคล้องกับ NIST SP 800-207 และ ISO/IEC 27001
ซีโร่ทรัสต์คุ้มครองทรัพยากร ไม่ใช่เพียงเส้นรอบเครือข่าย ข้อมูลราชการ ข้อมูลส่วนบุคคล และข้อมูลชั้นความลับจึงเป็นทรัพยากรที่ต้องกำหนดสิทธิ์เข้าถึงเป็นรายครั้ง ตามบทบาทและความจำเป็น ไม่ใช่เปิดให้ผู้ที่อยู่ในสำนักงานเข้าถึงได้ทั้งหมด การจำแนกชั้นความลับ เจ้าของข้อมูล และการควบคุมสิทธิ์ตามกรอบธรรมาภิบาลข้อมูลจึงเป็นพื้นฐานที่ขาดไม่ได้
หน่วยงานไม่จำเป็นต้องจัดซื้อแพลตฟอร์มครบชุดในคราวเดียว แต่ต้องมีนโยบาย เสาหลักทั้งห้า และการตรวจสอบต่อเนื่อง หากมีเครื่องมือแต่ยังเชื่อบัญชีในเครือข่ายภายในโดยไม่ตรวจสอบซ้ำ หรือยังให้สิทธิ์กว้างเกินงานที่ได้รับ ยังไม่ถือว่าปฏิบัติตามแนวซีโร่ทรัสต์
คู่มือ 6 ขั้นตอนสำหรับหน่วยงานในการนำแนวทาง Post-Quantum Readiness ไปใช้ ตั้งแต่กำหนดผู้รับผิดชอบ สร้างความตระหนัก สำรวจสินทรัพย์เข้ารหัส ประเมินความเสี่ยง ทดลอง Hybrid/PQC ไปจนถึงการติดตามตามเป้าหมาย Quantum-Ready 2030
อ่านต่อ
ศูนย์ธรรมาภิบาลข้อมูลสรุปแนวทางการปฏิบัติการเตรียมความพร้อมสำหรับยุคควอนตัม (Guidelines for Post-Quantum Readiness) ของ สกมช. เป็น 5 ประเด็น ได้แก่ ภัย Harvest Now Decrypt Later ข้อมูลอายุยืนยาว มาตรฐาน PQC ความคล่องตัวในการเปลี่ยนรหัส และผู้รับผิดชอบด้านข้อมูล
อ่านต่อ
คู่มือ 6 ขั้นตอนสำหรับหน่วยงานในการนำแนวปฏิบัติซีโร่ทรัสต์ไปใช้ ตั้งแต่สำรวจสินทรัพย์ ยืนยันตัวตน ตรวจอุปกรณ์ ให้สิทธิ์เท่าที่จำเป็น แบ่งส่วนเครือข่าย ไปจนถึงการเฝ้าระวังต่อเนื่อง โดยยึดหลักสมมติว่าอาจถูกเจาะระบบแล้ว
อ่านต่อ