ทำความเข้าใจระดับความน่าเชื่อถือของการยืนยันตัวตนตามมาตรฐาน NIST (NIST's Authenticator Assurance Levels)

การจัดการการเข้าถึงในยุคใหม่ไม่ได้พึ่งพาแค่การยืนยันว่าผู้ใช้คือใครเท่านั้น แต่ยังต้องประเมินด้วยว่าการพิสูจน์ตัวตนนั้นมีความปลอดภัยและน่าเชื่อถือเพียงใด กรอบการทำงานระดับความน่าเชื่อถือของการยืนยันตัวตน (Authenticator Assurance Level: AAL) ซึ่งกำหนดไว้ในเอกสาร NIST Special Publication 800-63B ใช้สำหรับจัดระดับความแข็งแกร่งของการยืนยันตัวตน เพื่อช่วยให้องค์กรสามารถเลือกมาตรการป้องกันที่เหมาะสมกับระดับความเสี่ยงได้อย่างเหมาะสม กรอบนี้ช่วยกำหนดวิธีการประเมินความน่าเชื่อถือของเหตุการณ์การยืนยันตัวตนอย่างเป็นระบบ ทำให้องค์กรสามารถใช้มาตรฐานเดียวกันได้อย่างสม่ำเสมอในทุกแอปพลิเคชัน การปฏิบัติตามแนวทาง AAL ของ NIST ช่วยให้ระดับความเชื่อมั่นเหล่านี้สามารถวัดผล ตรวจสอบย้อนหลัง และปรับเปลี่ยนให้เหมาะสมได้

Authenticator Assurance Level คืออะไร?

AAL คือการกำหนดระดับความมั่นใจที่ระบบยืนยันตัวตนสามารถใช้ในการยืนยันตัวผู้ใช้ และป้องกันการถูกโจมตีหรือถูกละเมิดได้ กรอบการทำงาน AAL ของ NIST แบ่งระดับความเชื่อมั่นนี้ออกเป็น 3 ระดับ ได้แก่ AAL1, AAL2 และ AAL3 แต่ละระดับถูกออกแบบให้พัฒนาต่อยอดจากระดับก่อนหน้า โดยเพิ่มความแข็งแกร่งในการยืนยันตัวตนและการป้องกันภัยคุกคาม โครงสร้างลักษณะนี้ช่วยให้องค์กรสามารถเลือกใช้วิธีการยืนยันตัวตนที่เหมาะสมกับแต่ละทรัพยากร แทนการใช้มาตรการรักษาความปลอดภัยแบบเดียวกันทั้งหมด

ระดับความน่าเชื่อถือของการยืนยันตัวตน 1 (AAL1):  การยืนยันตัวตนขั้นพื้นฐาน

AAL1 เป็นระดับความน่าเชื่อถือพื้นฐาน ซึ่งโดยทั่วไปจะใช้การยืนยันตัวตนเพียงปัจจัยเดียว เช่น รหัสผ่านหรือรหัสยืนยัน

กรณีที่เหมาะสมในการใช้งาน:

• สำหรับระบบที่การเข้าถึงโดยไม่ได้รับอนุญาตก่อให้เกิดผลกระทบต่อบุคคลหรือองค์กรในระดับจำกัด
• เหมาะสำหรับแอปพลิเคชันที่มีความเสี่ยงต่ำและความอ่อนไหวต่ำ เช่น เว็บไซต์ให้ข้อมูลทั่วไป พอร์ทัลภายในองค์กร หรือระบบที่ไม่ได้เปิดเผยข้อมูลส่วนบุคคลหรือข้อมูลทางการเงิน

ตัวอย่างการใช้งาน:

AAL1 อาจใช้กับฐานความรู้สาธารณะหรือเว็บไซต์ทรัพยากรพนักงาน ที่การยืนยันตัวตนมีไว้เพื่อป้องกันสแปม มากกว่าการป้องกันการละเมิดที่มีมูลค่าสูง

ข้อกำหนดหลักตาม NIST 800-63B:

อนุญาตให้ใช้การยืนยันตัวตนแบบปัจจัยเดียวได้

• ข้อมูลรับรองต้องถูกส่งผ่านช่องทางที่ปลอดภัย เช่น การเข้ารหัสด้วย TLS
• ระบบควรสามารถป้องกันการโจมตีซ้ำ (Replay Attacks) และกำหนดระยะเวลาหมดอายุของเซสชันอย่างเหมาะสม

ระดับความน่าเชื่อถือของการยืนยันตัวตนระดับ 2 (AAL2): การป้องกันแบบหลายปัจจัย (MFA)

AAL2 เพิ่มความแข็งแกร่งให้กับการยืนยันตัวตนด้วยการใช้การยืนยันตัวตนแบบหลายปัจจัย (Multi-Factor Authentication) หรือ MFA ซึ่งอาศัยปัจจัยอิสระอย่างน้อยสองประเภท ได้แก่ สิ่งที่ผู้ใช้รู้ มี หรือเป็น

กรณีที่เหมาะสมในการใช้งาน:

• สำหรับระบบที่หากถูกละเมิดจะส่งผลกระทบรุนแรงหรือเห็นได้ชัด เช่น การเข้าถึงระบบธุรกิจภายในหรือระบบการเงินโดยไม่ได้รับอนุญาต
• แนะนำสำหรับแอปพลิเคชันระดับองค์กร ภาครัฐ หรือ SaaS ที่จัดการข้อมูลส่วนบุคคล ข้อมูลทางการเงิน หรือข้อมูลด้านการปฏิบัติงาน

ตัวอย่างการใช้งาน:

AAL2 อาจใช้กับพอร์ทัลฝ่ายทรัพยากรบุคคล ระบบอีเมล แดชบอร์ดภายใน หรือฐานข้อมูลที่มีข้อมูลพนักงาน

ข้อกำหนดหลักตาม NIST 800-63B:

• ต้องใช้ MFA โดยมีปัจจัยอิสระอย่างน้อยสองประเภท
• ตัวตรวจสอบความน่าเชื่อภถือของตัวตนควรสามารถป้องกันการโจมตีที่พบบ่อย เช่น ฟิชชิ่ง (Phishing) และการคัดลอกโทเค็น

ต้องมีขั้นตอนการลงทะเบียนและการกู้คืนบัญชีที่ปลอดภัย

ระดับความน่าเชื่อถือของการยืนยันตัวตนระดับ 3 (AAL3): ความน่าเชื่อถือสูงสุดในการยืนยันตัวตน

AAL3 เป็นระดับความน่าเชื่อถือสูงสุด โดยต้องใช้ตัวตรวจสอบสิทธิ์แบบฮาร์ดแวร์ เช่น สมาร์ตการ์ด หรือกุญแจ FIDO2

กรณีที่เหมาะสมในการใช้งาน:

• สำหรับระบบที่มีความสำคัญหรือมีผลกระทบสูง หากการยืนยันตัวตนถูกละเมิด เพราะอาจก่อให้เกิดความเสียหายร้ายแรง เช่น การสูญเสียทางการเงิน การรั่วไหลของข้อมูล หรือความเสี่ยงด้านความมั่นคงของประเทศ
• เหมาะสำหรับการเข้าถึงระดับผู้ดูแลระบบ สภาพแวดล้อมที่มีการจัดชั้นความลับ หรือระบบที่อยู่ภายใต้ข้อกำหนดด้านการปฏิบัติตามกฎระเบียบอย่างเข้มงวด

ตัวอย่างการใช้งาน:

AAL3 อาจใช้กับแดชบอร์ดด้านความปลอดภัย ระบบบันทึกข้อมูลภาครัฐ แพลตฟอร์มธุรกรรมทางการเงิน หรือคอนโซลการจัดการโครงสร้างพื้นฐาน

ข้อกำหนดหลักตาม NIST 800-63B:

• ต้องใช้ตัวยืนยันตัวตนแบบฮาร์ดแวร์ที่มีการเข้ารหัส เช่น FIDO2, PIV หรือสมาร์ตการ์ด
• ต้องมีการยืนยันตัวตนแบบสองทางระหว่างไคลเอนต์และผู้ตรวจสอบ (Mutual Authentication)
• ต้องมีการพิสูจน์การครอบครอง Private Key ในทุกเซสชัน
• การยืนยันตัวตนต้องสามารถต้านทานการโจมตีแบบฟิชชิ่ง รีเพลย์ และการโจมตีแบบผู้แทรกกลาง (Manipulator-in-the-Middle: MITM)

เหตุใดระดับความน่าเชื่อถือของการยืนยันตัวตนจึงสำคัญ

การเลือกใช้ AAL ที่เหมาะสมช่วยให้การเข้าสู่ระบบแต่ละครั้งเป็นไปตามมาตรฐานความปลอดภัยที่องค์กรคาดหวัง แนวทางนี้ช่วยให้ทีมสามารถใช้กลยุทธ์ความปลอดภัยแบบหลายชั้นและอิงตามความเสี่ยง แทนการใช้ นโยบายเดียวกับทุกระบบ การปรับความแข็งแกร่งของการยืนยันตัวตนให้สอดคล้องกับมาตรฐาน AAL ของ NIST ยังช่วยลดความซับซ้อนด้านการปฏิบัติตามข้อกำหนด และรองรับการยืนยันตัวตนตามบริบทที่การตัดสินใจเข้าถึงขึ้นอยู่กับการตรวจสอบอย่างต่อเนื่อง ไม่ใช่เพียงอาศัยข้อมูลรับรองแบบคงที่

การประยุกต์ใช้ระดับความน่าเชื่อถือของการยืนยันตัวตน

การนำ AAL ไปใช้งานเริ่มต้นจากการจัดกลุ่มระบบตามระดับความอ่อนไหวของข้อมูล และกำหนดกระบวนการยืนยันตัวตนที่เหมาะสม ตัวอย่างเช่น เครื่องมือทำงานร่วมกันพื้นฐานอาจใช้ AAL1 แพลตฟอร์มภายในองค์กรอาจต้องใช้ AAL2 และบัญชีสิทธิ์พิเศษควรเป็นไปตาม AAL3 เมื่อภัยคุกคามมีการเปลี่ยนแปลง นโยบายแบบปรับตัวสามารถปรับระดับความน่าเชื่อถือโดยอัตโนมัติตามบริบท เช่น สถานะความปลอดภัยของอุปกรณ์หรือสถานที่เข้าถึง เพื่อให้สอดคล้องกับคำแนะนำ AAL ของ NIST อย่างต่อเนื่อง

เสริมความแข็งแกร่งให้การยืนยันตัวตนด้วย ManageEngine ADSelfService Plus

ManageEngine ADSelfService Plus ช่วยให้องค์กรสามารถยกระดับ AAL ได้โดยไม่เพิ่มความยุ่งยากให้กับผู้ใช้ โซลูชันนี้รองรับตัวเลือก MFA ขั้นสูง เช่น Biometric, Push Notifications และ Hardware tokens เพื่อช่วยให้องค์กรปฏิบัติตามข้อกำหนด NIST AAL2 และ AAL3 และด้วยการบังคับใช้นโยบายตามความเสี่ยงและการยืนยันตัวตนตามบริบท โซลูชันนี้ช่วยให้การยืนยันตัวตนมีความปลอดภัยและยืดหยุ่น ปรับตามพฤติกรรมผู้ใช้และสภาพแวดล้อมของอุปกรณ์ พร้อมคงไว้ซึ่งการปฏิบัติตามข้อกำหนด

ติดตามข่าวสารเพิ่มเติมได้ที่

Linkedin : https://www.linkedin.com/company/manageenginethailand

Facebook: https://www.facebook.com/manageenginethailand