แบบจำลองวุฒิภาวะ Zero Trust และการวางแผนย้ายระบบ

Zero Trust ไม่ใช่ผลิตภัณฑ์ที่ซื้อมาได้ — แต่เป็น การเดินทางของการปรับปรุงอย่างต่อเนื่อง ครอบคลุมโดเมนความปลอดภัยหลายด้าน หากไม่มี Model ความสมบูรณ์ที่มีโครงสร้าง องค์กรจะประสบปัญหาในการจัดลำดับความสำคัญของการลงทุนและวัดความก้าวหน้า CISA Zero Trust Maturity Model จัดเตรียมภาษากลางและแผนงานที่ช่วยให้ทีมเข้าใจสถานะปัจจุบันและวางแผนการปรับปรุงเป็นระยะที่ทำได้จริง

CISA Zero Trust Maturity Model กำหนดเสาหลักห้าด้าน ได้แก่ Identity, Devices, Networks, Applications and Workloads และ Data และระยะของความสมบูรณ์สามระดับ ได้แก่ Traditional, Advanced และ Optimal ในระยะ Traditional ระบบยังแยกเป็นไซโลและมักมี Trust โดยนัย ในระยะ Advanced ระบบอัตโนมัติและการผสานรวมได้รับการปรับปรุง ในระยะ Optimal policies แบบไดนามิก การตรวจสอบอย่างต่อเนื่อง และระบบอัตโนมัติถูกนำไปใช้อย่างสมบูรณ์ในทุกเสาหลัก

ใน เสาหลัก Identity องค์กรระดับ Traditional ใช้การยืนยันตัวตนด้วยชื่อผู้ใช้และรหัสผ่านพื้นฐานโดยไม่มี MFA องค์กรระดับ Advanced ใช้ MFA และการลงชื่อเข้าใช้ครั้งเดียวกับแอปพลิเคชันส่วนใหญ่ องค์กรระดับ Optimal ใช้ การยืนยันตัวตนอย่างต่อเนื่องตามความเสี่ยงร่วมกับการวิเคราะห์พฤติกรรม โดยประเมินคำขอเข้าถึงทุกครั้งแบบเรียลไทม์ด้วยคะแนนความเสี่ยงแบบไดนามิก การยกระดับสิทธิ์แบบทันเวลา และวิธีการยืนยันตัวตนโดยไม่ใช้รหัสผ่าน

ใน เสาหลัก Devices องค์กรระดับ Traditional มีรายการทรัพย์สินเพียงเล็กน้อยและบังคับใช้ข้อกำหนดได้น้อย องค์กรระดับ Advanced ติดตั้ง MDM และบังคับใช้การตรวจสอบความสอดคล้องพื้นฐาน องค์กรระดับ Optimal มี รายการทรัพย์สินครบถ้วน ตรวจสอบความสอดคล้องอย่างต่อเนื่อง แก้ไขอุปกรณ์ที่ไม่สอดคล้องโดยอัตโนมัติ รับรองความถูกต้องของฮาร์ดแวร์ (TPM) และผสานรวมสัญญาณสุขภาพของอุปกรณ์เข้ากับการตัดสินใจเกี่ยวกับการเข้าถึงทุกครั้งผ่านกลไก policies

ใน เสาหลัก Networks องค์กรระดับ Traditional พึ่งพาไฟร์วอลล์ที่ขอบเขตและมี Networks ภายในแบบราบ องค์กรระดับ Advanced ใช้การแบ่งส่วนระดับมาโครและเริ่มแทนที่ VPN ด้วย ZTNA สำหรับกรณีใช้งานบางประเภท องค์กรระดับ Optimal แบ่งส่วน Workloads ทั้งหมดในระดับไมโครอย่างสมบูรณ์ ใช้การเข้ารหัสการรับส่งข้อมูลระหว่างโหนด ใช้ขอบเขตที่กำหนดด้วยซอฟต์แวร์ และใช้การวิเคราะห์การรับส่งข้อมูลของ Networks ซึ่งส่งข้อมูลเข้าไปยังกลไกนโยบาย Zero Trust แบบเรียลไทม์

สำหรับ Applications and Workloads องค์กรระดับ Traditional ให้สิทธิ์เข้าถึงในวงกว้างต่อแอปพลิเคชันแต่ละรายการ องค์กรระดับ Optimal ใช้ การเข้าถึงแบบสิทธิ์น้อยที่สุดต่อเซสชัน พร้อมการป้องกันการสูญหายของ Data แบบแทรกในกระบวนการและการตรวจสอบระดับแอปพลิเคชัน สำหรับ เสาหลัก Data องค์กรระดับ Traditional ใช้การจัดประเภทเพียงเล็กน้อย องค์กรระดับ Optimal ค้นหา Data โดยอัตโนมัติ จัดประเภท Data ทั้งขณะจัดเก็บและขณะส่ง ใช้การเข้ารหัสในทุกส่วน และใช้การควบคุมการเข้าถึงที่มี Data เป็นศูนย์กลาง ซึ่งติดตาม Data ไปไม่ว่าจะถูกส่งไปที่ใด

ก่อนวางแผนการย้ายระบบ ให้ดำเนินการ ประเมินช่องว่าง ในเสาหลักทั้งห้า สำหรับแต่ละเสาหลัก ให้บันทึกสถานะปัจจุบัน (Traditional/Advanced/Optimal) สถานะเป้าหมาย และช่องว่างที่ต้องปิด รวบรวม Data จากบันทึกของผู้ให้บริการ Identity คอนโซล MDM แผนผังเครือข่าย รายการแอปพลิเคชัน และรายงานการจัดประเภท Data ผลลัพธ์คือ รายการ Projects ที่จัดลำดับความสำคัญแล้ว และเชื่อมโยงกับแต่ละเสาหลัก

การย้ายระบบไปสู่ Zero Trust ที่ประสบความสำเร็จควรเริ่มจาก ผลลัพธ์ที่ทำได้รวดเร็ว ซึ่งเพิ่มคุณค่าด้านความปลอดภัยโดยไม่รบกวนธุรกิจ ผลลัพธ์ทั่วไปในระยะที่ 1 ได้แก่ การติดตั้ง MFA สำหรับผู้ใช้ทั้งหมด การลงทะเบียนอุปกรณ์ใน MDM การใช้ SSO เพื่อลดการกระจายตัวของรหัสผ่าน และการเปิดใช้ Conditional Access พื้นฐาน ขั้นตอนเหล่านี้จัดการความเสี่ยงสำคัญที่สุด (ข้อมูลประจำตัวถูกโจมตีและอุปกรณ์ที่ไม่ได้รับการจัดการ) พร้อมสร้างความเชื่อมั่นให้ผู้มีส่วนได้ส่วนเสียสำหรับการลงทุนขนาดใหญ่ขึ้น

ระยะที่ 2 เป็นการผสานรวมเสาหลักต่าง ๆ และนำระบบอัตโนมัติมาใช้ คะแนนความเสี่ยงของ Identity จะถูกส่งเข้าไปยัง policies ของ Conditional Access ความสอดคล้องของอุปกรณ์ถูกบังคับใช้เป็นด่านสำหรับการเข้าถึงแอปพลิเคชัน ZTNA เข้ามาแทนที่ VPN สำหรับการเข้าถึงจากระยะไกล การจัดการการเข้าถึงที่มีสิทธิ์ (PAM) ใช้ห้องเก็บข้อมูลสำหรับข้อมูลประจำตัวที่มีสิทธิ์และหมุนเวียนข้อมูลเหล่านั้น ระบบอัตโนมัติช่วยลดการดำเนินการด้วยตนเองและทำให้ policies ถูกใช้อย่างสม่ำเสมอ จึงกำจัดข้อผิดพลาดของมนุษย์ในการตัดสินใจควบคุมการเข้าถึง

ความท้าทายทั่วไปในการย้ายระบบ Zero Trust ได้แก่ แอปพลิเคชันรุ่นเก่าที่ไม่รองรับโพรโทคอลการยืนยันตัวตนสมัยใหม่ (SAML, OIDC) การต่อต้านจากผู้มีส่วนได้ส่วนเสียของทีมที่กระบวนการทำงานถูกรบกวน และ การกระจายตัวของเครื่องมือจากการผสานรวมผลิตภัณฑ์ Identity, MDM, SIEM และ ZTNA การรับมือกับปัญหาเหล่านี้จำเป็นต้องมีแผนงานปรับปรุงแอปพลิเคชัน การสนับสนุนจากผู้บริหาร โปรแกรมบริหารการเปลี่ยนแปลง และการรวมแพลตฟอร์มเพื่อลดความซับซ้อนในการผสานรวม

ควรวัดระดับวุฒิภาวะของความเชื่อถือเป็นศูนย์ด้วย ตัวชี้วัดที่วัดปริมาณได้ ไม่ใช่การประเมินตามความรู้สึก ตัวชี้วัดสำคัญ ได้แก่ เปอร์เซ็นต์ของผู้ใช้ที่ลงทะเบียนใช้ MFA เปอร์เซ็นต์ของอุปกรณ์ที่ลงทะเบียนใน MDM และปฏิบัติตามข้อกำหนด เปอร์เซ็นต์ของแอปพลิเคชันที่เข้าถึงได้ผ่าน ZTNA เท่านั้น เวลาเฉลี่ยในการตรวจจับ (MTTD) ความพยายามทำ Lateral Movement และจำนวนโปรโตคอลรุ่นเก่าที่ปิดใช้งาน การวัดผลอย่างสม่ำเสมอเทียบกับจุดตรวจสอบของแบบจำลองวุฒิภาวะของ CISA ช่วยให้โครงการดำเนินไปตามแผนและสนับสนุนเหตุผลในการลงทุนอย่างต่อเนื่อง

ทดสอบความเข้าใจแนวคิด CompTIA Security+ (SY0-701) จากบทเรียนนี้

ในบทเรียนนี้ คุณได้เรียนรู้ว่า แบบจำลองวุฒิภาวะความเชื่อถือเป็นศูนย์ของ CISA กำหนดเสาหลักห้าประการ ครอบคลุมสามระยะของวุฒิภาวะ การประเมินช่องว่างช่วยระบุสถานะปัจจุบัน และจัดลำดับความสำคัญของโครงการปรับปรุง และ การย้ายระบบเป็นระยะโดยเริ่มจากสิ่งที่ทำได้ผลเร็ว (MFA, MDM, SSO) ช่วยสร้างคุณค่าด้านความปลอดภัยได้ตั้งแต่ระยะแรก พร้อมวางรากฐานไปสู่ความเชื่อถือเป็นศูนย์อย่างเต็มรูปแบบ บทถัดไป เราจะศึกษาแนวทางการล่าภัยคุกคามและวิธีสร้างสมมติฐานที่มีโครงสร้างเพื่อการสืบสวนเชิงรุก