การสร้างความไว้วางใจความปลอดภัย Zero-Trust
2022.08.04
การสร้างความไว้วางใจความปลอดภัย Zero-Trust
แม้ว่าจะพยายามต่อสู้กับภัยคุกคามภายในมาหลายปี แต่พฤติกรรมที่เป็นอันตรายในบางครั้งก็ยังระบุได้ยาก ในขณะที่องค์กรต่างๆ ทำงานเพื่อสร้างวัฒนธรรมการรักษาความปลอดภัยทางไซเบอร์ หลายที่ได้เริ่มมองหาสถาปัตยกรรมที่ไม่ไว้วางใจเพื่อให้ครอบคลุมการโจมตีให้ได้มากที่สุด
การดำเนินการนี้เป็นขั้นตอนในทิศทางที่ถูกต้อง แต่ก็มีศักยภาพที่จะทำให้เกิดความกลัวและสร้างการตอบสนองเชิงลบจากพนักงาน การรักษาความปลอดภัยแบบ Zero-Trust สามารถปลูกฝังการลดระดับและความขุ่นเคืองหากถูกมองว่าเป็นสัญญาณของความเชื่อที่ไม่ดีและความไม่ไว้วางใจ เร่งอัตราการหมุนเวียนและนำการลาออกครั้งใหญ่ไปสู่จุดสูงสุด
องค์กรจะสามารถนำทาง Zero-Trust ได้อย่างมีประสิทธิภาพโดยไม่สร้างความขัดแย้งระหว่างนายจ้างและลูกจ้างได้อย่างไร? นอกจากนี้ พวกเขาจะไปถึงจุดนั้นได้อย่างไรโดยไม่ต้องจัดแบบฝึกหัดการสร้างความไว้วางใจให้เป็นส่วนหนึ่งของสภาพแวดล้อมในสำนักงาน
เหตุใดความไว้วางใจจึงมีความสำคัญในสภาพแวดล้อมทางธุรกิจสมัยใหม่
ขอบเขตการรักษาความปลอดภัยของจุดเชื่อมต่อที่แยกย้ายกันไปและส่งจากคลาวด์ นอกเหนือจากข้อมูลประจำตัวแล้ว รูปแบบการให้สิทธิ์ควรคำนึงถึงความอ่อนไหวของข้อมูล ตำแหน่งต้นทางของคำขอ ความน่าเชื่อถือของจุดปลาย ฯลฯ การใช้แพลตฟอร์มคลาวด์หลายตัวและจำนวนจุดสิ้นสุดที่เพิ่มขึ้นสามารถขยายพื้นผิวการโจมตีได้อย่างมาก
รากฐานของการรักษาความปลอดภัยแบบ Zero-Trust เริ่มต้นด้วยการกำจัดคำว่า trust อาชญากรทุกวันนี้ไม่เจาะเครือข่าย พวกเขาเข้าสู่ระบบด้วยข้อมูลประจำตัวที่ถูกขโมย จากนั้นจึงเคลื่อนข้ามเครือข่ายไปด้านข้าง เพื่อค้นหาข้อมูลที่มีค่ามากขึ้น การปกป้องเส้นทางจากข้อมูลระบุตัวตนไปยังข้อมูลเป็นสิ่งสำคัญ – ซึ่งเป็นหัวใจสำคัญของสถาปัตยกรรม Zero-Trust ที่เน้น ID ในการดำเนินการดังกล่าว ทีมรักษาความปลอดภัยควร:
– ตรวจสอบผู้ใช้
– ตรวจสอบอุปกรณ์
– จำกัดการเข้าถึงและสิทธิพิเศษ
เลเยอร์ที่เชื่อมต่อข้อมูลประจำตัวกับข้อมูลมีบทบาทสำคัญในการแชร์บริบทและสนับสนุนการบังคับใช้นโยบาย สถาปัตยกรรม Zero-Trust จะรับรู้ถึงข้อมูลประจำตัวอย่างต่อเนื่องและติดตามการเปลี่ยนแปลงในบริบท
บันทึกข้อตกลงฉบับใหม่โดยสำนักงานการจัดการและงบประมาณของรัฐบาลสหรัฐอเมริกา (OBM) ระบุว่าเหตุใดสถาปัตยกรรมที่ไม่มีการเชื่อถือจึงมีความสำคัญต่อการรักษาความปลอดภัยเว็บแอปพลิเคชันที่ต้องพึ่งพารายวัน การโจมตีของ SolarWinds เตือนเราว่าความปลอดภัยของห่วงโซ่อุปทานมีความสำคัญ และเหตุการณ์ Log4Shell ล่าสุดยังเน้นย้ำว่าการตอบสนองต่อเหตุการณ์มีประสิทธิผลมีความสำคัญเพียงใด ดังนั้นการหาวิธีปรับปรุงมาตรการรักษาความปลอดภัยจึงมีความจำเป็น
อย่างไรก็ตาม Zero-Trust ไม่ได้หมายถึงการสนับสนุนให้เกิดความไม่ไว้วางใจผ่านเครือข่ายขององค์กร และบริษัทต่างๆ ไม่ควรพึ่งพาเทคโนโลยีเพียงอย่างเดียวในการป้องกัน เมื่อเป็นความพยายามของทีม การรักษาความปลอดภัยจะถูกนำมาใช้อย่างดีที่สุด และการไว้วางใจศูนย์ที่ประสบความสำเร็จนั้นขึ้นอยู่กับวัฒนธรรมของความโปร่งใส ความสม่ำเสมอ และการสื่อสารทั่วทั้งองค์กร แต่องค์กรต่างๆ จะบรรลุเป้าหมายนี้ได้อย่างไร
หลักของการสร้าง (Zero) Trust
เมื่อสร้างความไว้วางใจ Zero-Trust ในองค์กรใด ๆ จะต้องพิจารณาเสาหลัก – วัฒนธรรมและเครื่องมือ
เมื่อบริษัทต่างๆ เริ่มใช้ Zero-Trust ก็ต้องรวมเข้ากับวัฒนธรรมด้วย แจ้งให้พนักงานทราบถึงสิ่งที่เกิดขึ้น กระบวนการของการไม่ไว้วางใจ Zero trust ผลกระทบและผลประโยชน์ต่อพวกเขาและบริษัทอย่างไร และจะสนับสนุนกระบวนการที่ไม่ไว้วางใจศูนย์ได้อย่างไร โดยการดึงดูดพนักงานและท้าทายให้พวกเขายอมรับความกังขาต่อภัยคุกคามที่อาจเกิดขึ้น ธุรกิจต่างๆ กำลังปลูกฝังเมล็ดพันธุ์แห่งการรักษาความปลอดภัยทั่วทั้งระบบนิเวศขององค์กร เมื่อพนักงานเข้าใจคุณค่าของ Zero-Trust ก็จะรู้สึกได้รับความไว้วางใจและเป็นส่วนหนึ่งของกลยุทธ์การรักษาความปลอดภัยทางไซเบอร์ในวงกว้าง
เมื่อมีการใช้ Zero-Trust ซึ่งเป็นแกนหลักของวัฒนธรรมความปลอดภัยทางไซเบอร์ขององค์กร ขั้นตอนต่อไปคือการใช้แนวทางปฏิบัติที่ดีที่สุดในการนำ Zero-Trust ไปใช้ มีหลายมาตรการที่องค์กรสามารถทำได้ ได้แก่:
– ใช้การตรวจสอบสิทธิ์ที่เข้มงวดเพื่อควบคุมการเข้าถึง
– ยกระดับการรับรองความถูกต้อง
– รวมการรับรองความถูกต้องโดยไม่ต้องใช้รหัสผ่าน
– (ไมโคร)เซ็กเมนต์เครือข่ายองค์กร
– รักษาความปลอดภัยอุปกรณ์ทั้งหมด
– แบ่งส่วนแอปพลิเคชันของคุณ
– กำหนดบทบาทและการควบคุมการเข้าถึง
แม้ว่า Zero-Trust จะไม่เชื่อเรื่องเทคโนโลยี แต่ก็มีการหยั่งรากลึกในการยืนยันตัวตน ขั้นตอนแรกอย่างหนึ่งคือการระบุข้อมูล แอปพลิเคชัน ทรัพย์สิน และบริการที่สำคัญและมีค่าที่สุดของเครือข่าย ขั้นตอนนี้จะช่วยจัดลำดับความสำคัญในการเริ่มต้นและเปิดใช้งานการสร้างนโยบายความปลอดภัยที่ไม่ไว้วางใจศูนย์ หากสามารถระบุสินทรัพย์ที่สำคัญที่สุดได้ องค์กรสามารถมุ่งเน้นความพยายามในการจัดลำดับความสำคัญและปกป้องทรัพย์สินเหล่านั้นซึ่งเป็นส่วนหนึ่งของเส้นทางที่ไม่ไว้วางใจ
การใช้การรับรองความถูกต้องแบบหลายปัจจัยเป็นสิ่งสำคัญที่นี่ ไม่ใช่กรณีของ if ที่จะใช้ แต่เมื่อใด MFA ที่ต้านทานฟิชชิ่งไม่สามารถถูกบุกรุกได้แม้จะเป็นการโจมตีแบบฟิชชิ่งที่ซับซ้อน ซึ่งหมายความว่าโซลูชัน MFA ไม่สามารถมีสิ่งใดๆ ที่สามารถใช้เป็นข้อมูลรับรองโดยผู้ที่ขโมยข้อมูลนั้นได้ ซึ่งรวมถึงรหัสผ่านแบบใช้ครั้งเดียว คำถามเพื่อความปลอดภัย และการแจ้งเตือนแบบพุชที่มองไม่เห็น
ความท้าทายของการดำเนินการ Zero-Trust
ปัญหาสำคัญประการหนึ่งที่องค์กรส่วนใหญ่กำลังเผชิญคือปัญหา IAM ที่กระจัดกระจาย ผลลัพธ์ที่ได้คือ การใช้งาน Zero-Trust จึงเต็มไปด้วยความซับซ้อน ความเสี่ยง และต้นทุนสูง
เหตุผลหลักที่อยู่เบื้องหลังปัญหานี้คือองค์กรต่างๆ ดำเนินการไซโลการรักษาความปลอดภัยข้อมูลประจำตัวหลายชุด อันที่จริง รายงานดัชนีการจัดการการเข้าถึงของ Thales 2021 ระบุว่า 33% ขององค์กรที่ทำการสำรวจได้ปรับใช้เครื่องมือ IAM สามตัวขึ้นไป การประสานงานว่าอย่างน้อยหลายระบบสามารถสร้างความซับซ้อนในการปฏิบัติงาน แต่ก็สามารถเพิ่มความเสี่ยงของนโยบายความปลอดภัยที่กระจัดกระจาย มุมมองแบบแยกส่วนของกิจกรรมของผู้ใช้ และการกักเก็บแบบแยกส่วน
วัฒนธรรม Zero-Trust ควรช่วยให้องค์กรที่มี IAM silos ก้าวไปสู่รูปแบบการรักษาความปลอดภัย Zero-Trust ที่ได้มาตรฐาน โดยมีนโยบายการรักษาความปลอดภัยที่เป็นมาตรฐานและการปรับปรุงที่ควบคุมจากแผงควบคุมส่วนกลางในไซโลพื้นฐาน กระบวนการควรให้ข้อมูลเชิงลึกเกี่ยวกับช่องว่างของนโยบายความปลอดภัยและความไม่สอดคล้องกัน และแนะนำการปรับนโยบายความปลอดภัยตามหลักการรักษาความปลอดภัยแบบ Zero-trust
บทสรุป
แนวทางการรักษาความปลอดภัยที่ไม่ไว้วางใจคือครอบคลุมทุกพื้นผิวการโจมตีและปกป้ององค์กร แต่จะไม่มีความหมายอะไรเลยหากไม่มีคนใช้อย่างเหมาะสม การปรับความสำเร็จและความปลอดภัยของบริษัทให้สอดคล้องกับความสำเร็จและความปลอดภัยของพนักงานเป็นสิ่งสำคัญ การปรับใช้โซลูชัน IAM แบบรวมศูนย์ที่ครอบคลุมพื้นผิวการโจมตีทั้งหมดช่วยให้มั่นใจได้ถึงการป้องกันที่ดีที่สุดและช่วยสร้างความมั่นใจในสภาพแวดล้อมทางธุรกิจและการประมวลผลที่ไม่ไว้วางใจ
บทความที่เกี่ยวข้อง
กฎหมาย
กรณีศึกษา
ข่าว
Google เตรียมลบบันทึกการท่องเว็บนับพันล้านรายการ ตามข้อตกลงยุติคดีความเป็นส่วนตัว ‘โหมดไม่ระบุตัวตน’
Google ได้ตกลงที่จะล้างบันทึกข้อมูลนับพันล้านรายการ ที่แสดงกิจกรรมการท่องเว็บไซต์ของผู้ใช้งาน เพื่อยุติคดีที่ถูกฟ้องร้องว่า Google ได้ทำการติดตามกิจกรรมของพวกเขา
2024.04.23
กรณีศึกษา
ข่าว
ความปลอดภัย
Top 10 Brands ที่ถูกแอบอ้างมากที่สุด เพื่อใช้ในการหลอกลวงแบบฟิชชิ่ง ในไตรมาสที่ 1 ของปี 2024
โดยรายชื่อแบรนด์ 10 อันดับแรก ที่ถูกแอบอ้างเพื่อใช้ในการหลอกลวงแบบฟิชชิ่ง ในไตรมาสที่ 1 ของปี 2024 ได้แก่
2024.04.18
ข่าว
ความปลอดภัย
ข้อควรพิจารณาสำหรับความปลอดภัยทางไซเบอร์ของปฏิบัติการเทคโนโลยี
เทคโนโลยีการดำเนินงาน (OT) หมายถึงฮาร์ดแวร์และซอฟต์แวร์ที่ใช้ในการเปลี่ยนแปลง ตรวจสอบ หรือควบคุมอุปกรณ์ กระบวนการ และเหตุการณ์ทางกายภาพขององค์กร ต่างจากระบบเทคโนโลยีสารสนเทศ (IT) แบบดั้งเดิม ระบบ OT ส่งผลโดยตรงต่อโลกทางกายภาพ คุณลักษณะเฉพาะของ OT นี้นำมาซึ่งข้อควรพิจารณาด้านความปลอดภัยทางไซเบอร์เพิ่มเติมซึ่งปกติแล้วจะไม่มีอยู่ในสถาปัตยกรรมความปลอดภัยด้านไอทีทั่วไป การบรรจบกันของ IT และ OT ในอดีต ไอทีและเทคโนโลยีการดำเนินงาน (OT) ดำเนินการแยกจากกัน โดยแต่ละแห่งมีชุดโปรโตคอล มาตรฐาน และมาตรการรักษาความปลอดภัยทางไซเบอร์ของตัวเอง อย่างไรก็ตาม โดเมนทั้งสองนี้มาบรรจบกันมากขึ้นกับการกำเนิดของ Industrial Internet of Things (IIoT) แม้ว่าประโยชน์ในแง่ของประสิทธิภาพที่เพิ่มขึ้นและการตัดสินใจที่ขับเคลื่อนด้วยข้อมูล การบรรจบกันนี้ยังทำให้ระบบ OT เผชิญกับภัยคุกคามทางไซเบอร์แบบเดียวกับที่ระบบไอทีเผชิญ
2024.04.05