ข้อมูลรั่วบ่อยขึ้น รหัสผ่านอย่างเดียวอาจไม่พอ: ทำไมองค์กรควรใช้ MFA

ในช่วงที่ข่าวการโจมตีทางไซเบอร์และเหตุการณ์ข้อมูลรั่วไหลเกิดขึ้นอย่างต่อเนื่อง องค์กรจำเป็นต้องกลับมาทบทวนว่า “การใช้ Username และ Password เพียงอย่างเดียว” ยังเพียงพอสำหรับการปกป้องบัญชีและระบบสำคัญหรือไม่

เพราะในความเป็นจริง ต่อให้ผู้ใช้งานตั้งรหัสผ่านที่มีความซับซ้อน รหัสผ่านก็ยังสามารถถูกขโมยหรือเปิดเผยได้จากหลายวิธี ไม่ว่าจะเป็น Phishing, Malware, Credential Stuffing หรือการนำรหัสผ่านชุดเดียวกันไปใช้กับหลายบริการ

และเมื่อ Username กับ Password ตกอยู่ในมือของผู้ไม่หวังดี สิ่งที่เคยเป็นเพียงข้อมูลสำหรับเข้าสู่ระบบ อาจกลายเป็นกุญแจที่เปิดทางไปสู่ข้อมูลสำคัญขององค์กรได้

นี่คือเหตุผลที่ Multi-Factor Authentication หรือ MFA กลายเป็นหนึ่งในมาตรการด้าน Cybersecurity ที่องค์กรควรให้ความสำคัญ

MFA คืออะไร?

MFA หรือ Multi-Factor Authentication คือกระบวนการยืนยันตัวตนโดยใช้ปัจจัยมากกว่าหนึ่งรูปแบบ ก่อนอนุญาตให้ผู้ใช้งานเข้าถึงบัญชีหรือระบบ

จากเดิมที่เรายืนยันตัวตนด้วยสิ่งที่ “เรารู้” เช่น Password เพียงอย่างเดียว ระบบสามารถเพิ่มการยืนยันด้วยปัจจัยอื่น เช่น

• รหัส OTP
• Authenticator Application
• Push Notification
• Security Key
• Fingerprint
• Face Recognition

แนวคิดสำคัญของ MFA คือ ต่อให้ Password ถูกขโมย ผู้โจมตีก็ยังไม่ควรสามารถเข้าสู่ระบบได้ทันที เพราะยังต้องผ่านการยืนยันตัวตนอีกชั้นหนึ่ง

ทำไม Password อย่างเดียวจึงเริ่มไม่เพียงพอ?

ปัญหาไม่ได้เกิดจากการตั้งรหัสผ่านง่ายเพียงอย่างเดียว

แม้ผู้ใช้งานจะตั้ง Password ที่มีความซับซ้อน ก็ยังมีโอกาสตกเป็นเหยื่อของเว็บไซต์ Phishing หรือ Malware ที่ถูกออกแบบมาเพื่อขโมยข้อมูล Credentials โดยเฉพาะ

อีกปัญหาที่พบได้บ่อยคือการใช้ Password ซ้ำกับหลายระบบ

หากบริการหนึ่งเกิดข้อมูล Credentials รั่ว ผู้โจมตีสามารถนำ Email และ Password ที่ได้ไปทดลองเข้าสู่ระบบอื่นแบบอัตโนมัติได้ วิธีนี้เรียกว่า Credential Stuffing

ดังนั้น เมื่อระบบป้องกันบัญชีด้วย Password เพียงชั้นเดียว การที่ Password ถูกขโมยเพียงครั้งเดียวอาจเพียงพอให้ผู้โจมตีสามารถเข้าถึงบัญชีได้

MFA ช่วยลดความเสี่ยงได้อย่างไร?

ลองสมมติว่าพนักงานในองค์กรได้รับ Email ที่ดูเหมือนถูกส่งมาจากฝ่าย IT และถูกขอให้ Login เพื่อยืนยันบัญชี

พนักงานกดเข้าไปยังเว็บไซต์ Phishing และกรอก Username กับ Password โดยไม่รู้ตัว

หากระบบขององค์กรใช้ Password เพียงอย่างเดียว ผู้โจมตีอาจสามารถนำข้อมูลนั้นเข้าสู่ระบบจริงได้ทันที

แต่หากองค์กรเปิดใช้ MFA ผู้โจมตียังต้องผ่านการยืนยันตัวตนอีกปัจจัยหนึ่ง เช่น Authenticator Application หรือ Security Key

MFA จึงช่วยเพิ่มอุปสรรคระหว่าง “Password ถูกขโมย” กับ “Account ถูกยึด”

และอุปสรรคเพียงหนึ่งชั้นนี้อาจช่วยลดโอกาสที่เหตุการณ์เล็ก ๆ อย่างการหลงกรอก Password จะขยายกลายเป็นเหตุการณ์ด้าน Cybersecurity ที่กระทบกับทั้งองค์กร

บัญชีหนึ่งบัญชี อาจเป็นประตูเข้าสู่ข้อมูลทั้งองค์กร

สิ่งที่องค์กรต้องระวังคือ บัญชีของพนักงานหนึ่งคนอาจเชื่อมโยงกับระบบมากกว่าที่คิด

ตัวอย่างเช่น

• Corporate Email
• Cloud Services
• Customer Database
• Financial Systems
• Internal Applications
• VPN
• Document Management
• Collaboration Platforms

หากบัญชีหนึ่งบัญชีถูกยึด ผู้โจมตีอาจใช้บัญชีดังกล่าวเป็นจุดเริ่มต้นในการค้นหาข้อมูลเพิ่มเติม ขยายสิทธิ์การเข้าถึง หรือเคลื่อนที่ไปยังระบบอื่นภายในองค์กร

ดังนั้น การรักษาความปลอดภัยของ Identity และ Account จึงไม่ได้เป็นเพียงเรื่องของการปกป้อง Login แต่เป็นหนึ่งในองค์ประกอบสำคัญของการปกป้องข้อมูลและระบบธุรกิจโดยรวม

แต่ MFA ไม่ได้แปลว่าองค์กรจะปลอดภัย 100%

ประเด็นนี้สำคัญมาก

MFA ไม่ใช่เครื่องมือที่สามารถป้องกัน “ข้อมูลรั่ว” ได้ทุกกรณี

หากข้อมูลรั่วจากช่องโหว่ของ Application, การตั้งค่า Cloud ผิดพลาด, Malware, Insider Threat หรือระบบฐานข้อมูลถูกโจมตี MFA เพียงอย่างเดียวอาจไม่ได้ช่วยแก้ปัญหาเหล่านั้นโดยตรง

นอกจากนี้ MFA บางรูปแบบก็ยังมีความเสี่ยงจากเทคนิคอย่าง MFA Fatigue, Social Engineering หรือ Session Hijacking ได้

ดังนั้น องค์กรไม่ควรคิดว่า

“เปิด MFA แล้ว Cybersecurity จบ”

สิ่งที่ควรทำคือใช้ MFA เป็นส่วนหนึ่งของแนวทาง Defense in Depth หรือการรักษาความปลอดภัยหลายชั้น โดยทำงานร่วมกับมาตรการอื่น เช่น

• Identity & Access Management
• Least Privilege
• Security Awareness
• Vulnerability Assessment
• Penetration Testing
• Security Monitoring
• Incident Response
• Patch Management
• Information Security Policy

เมื่อทุกส่วนทำงานร่วมกัน องค์กรจึงจะสามารถลดทั้งโอกาสเกิดเหตุและผลกระทบเมื่อเกิด Cyber Incident ได้อย่างมีประสิทธิภาพมากขึ้น

แล้ว ACIS Professional Center ช่วยองค์กรของคุณได้อย่างไร?

การทำ Cybersecurity ให้มีประสิทธิภาพไม่ได้เริ่มและจบที่การซื้อ Technology เพิ่ม

องค์กรจำเป็นต้องมองความมั่นคงปลอดภัยให้ครบทั้ง People, Process และ Technology

ACIS Professional Center ให้บริการด้าน Information Security และ Cybersecurity ครอบคลุมทั้งการพัฒนาบุคลากร การให้คำปรึกษาด้านมาตรฐานและกระบวนการ รวมถึงการประเมินและทดสอบระบบด้านความมั่นคงปลอดภัย

1. People – ทำให้ “คน” เข้าใจความเสี่ยง

ต่อให้ระบบมี MFA หรือ Security Technology ที่ดีเพียงใด หากพนักงานยังไม่สามารถแยกแยะ Phishing หรือ Social Engineering ได้ ความเสี่ยงก็ยังคงอยู่

ACIS Professional Center มีบริการด้าน Training และ Cybersecurity Awareness สำหรับองค์กร เพื่อช่วยให้บุคลากรเข้าใจภัยคุกคามและนำแนวทางด้าน Security ไปใช้ในการทำงานได้จริง โดย ACIS มีทั้งหลักสูตรสำหรับองค์กรและหลักสูตร Cybersecurity เชิงวิชาชีพ

2. Process – วางกระบวนการให้ Security เป็นระบบ

MFA จะมีประสิทธิภาพมากขึ้นเมื่ออยู่ภายใต้นโยบายและกระบวนการบริหาร Identity ที่เหมาะสม

เช่น

ใครควรเปิดใช้ MFA
ระบบใดต้องบังคับใช้
บัญชีประเภทใดมีความเสี่ยงสูง
เมื่อพนักงานลาออกควรจัดการ Account อย่างไร
สิทธิ์การเข้าถึงควรถูกทบทวนเมื่อใด

ACIS Professional Center ให้บริการ Consulting ด้าน Cybersecurity, Information Security, IT Governance และมาตรฐานที่เกี่ยวข้อง เช่น ISO, NIST, COBIT, ITIL และ PDPA เพื่อช่วยให้องค์กรสามารถนำ Security ไปเชื่อมกับ Governance และกระบวนการทำงานจริงได้อย่างเป็นระบบ

3. Technology – ประเมินว่าระบบที่มีอยู่ “ปลอดภัยจริงหรือไม่”

องค์กรอาจติดตั้ง Security Technology แล้ว แต่คำถามสำคัญกว่าคือ

ระบบเหล่านั้นสามารถป้องกันการโจมตีในสถานการณ์จริงได้แค่ไหน?

ACIS Professional Center มีบริการด้านการประเมินและทดสอบ Cybersecurity รวมถึงการวิเคราะห์ความเสี่ยง การทดสอบระบบ และการสนับสนุนด้าน Security Operation เพื่อช่วยให้องค์กรมองเห็นช่องว่างด้าน Security ก่อนที่ผู้โจมตีจะเป็นผู้ค้นพบ

Cybersecurity ไม่ควรเริ่มหลังจากเกิดเหตุ

ในวันที่ Password สามารถถูกขโมยได้จาก Phishing, Malware หรือข้อมูล Credentials ที่รั่วจากบริการอื่น การใช้ Password เพียงอย่างเดียวจึงเป็นความเสี่ยงที่องค์กรไม่ควรมองข้าม

การนำ Multi-Factor Authentication (MFA) มาใช้เป็นหนึ่งในวิธีสำคัญที่จะช่วยเพิ่มความแข็งแรงให้กับกระบวนการยืนยันตัวตน และลดโอกาสที่ Password ที่ถูกขโมยจะถูกนำไปใช้ยึดบัญชีได้ทันที

แต่ MFA เป็นเพียงหนึ่งชิ้นของภาพใหญ่

Cybersecurity ที่แข็งแรงต้องเกิดจากการทำงานร่วมกันของ People, Process และ Technology

ACIS Professional Center พร้อมช่วยให้องค์กรประเมินความเสี่ยง พัฒนาบุคลากร วางกระบวนการ และยกระดับความมั่นคงปลอดภัยทางไซเบอร์ให้เหมาะสมกับบริบทขององค์กร โดยครอบคลุมบริการด้าน Training, Consulting และ Cybersecurity Assessment ตามแนวทางที่ ACIS ให้บริการอยู่ในปัจจุบัน

อย่ารอให้ Password ที่รั่ว กลายเป็นจุดเริ่มต้นของเหตุการณ์ที่ใหญ่กว่า

เริ่มต้นทบทวนความพร้อมด้าน Cybersecurity ขององค์กร และสร้างการป้องกันที่มากกว่าแค่ Password ไปกับ ACIS Professional Center