การจัดการการเข้ารหัสแบบเนทีฟ

การจัดการการเข้ารหัสแบบเนทีฟหมายถึงการควบคุมฟีเจอร์การเข้ารหัสที่มีอยู่แล้วในระบบปฏิบัติการ อุปกรณ์ และแพลตฟอร์ม สำหรับองค์กรส่วนใหญ่ ซึ่งรวมถึง Windows BitLocker, macOS FileVault, การเข้ารหัสแบบอิงไฟล์ของ Android, การปกป้องข้อมูลของ iOS, คีย์การกู้คืน, นโยบายอุปกรณ์ และการรายงาน

เป้าหมายนั้นเรียบง่าย: ทำให้แน่ใจว่าข้อมูลที่ละเอียดอ่อนยังคงได้รับการปกป้องหากแล็ปท็อป โทรศัพท์ แท็บเล็ต หรือไดรฟ์แบบถอดได้สูญหาย ถูกขโมย ถูกซ่อม ปลดระวาง หรือถูกเข้าถึงโดยไม่ได้รับอนุญาต

การเข้ารหัสแบบเนทีฟมีประสิทธิภาพเพราะเป็นส่วนหนึ่งของแพลตฟอร์มอยู่แล้ว แต่ก็ยังต้องมีการจัดการ หากไม่มีนโยบายที่ชัดเจน การจัดเก็บคีย์การกู้คืน การตรวจสอบการปฏิบัติตามข้อกำหนด และคำแนะนำสำหรับผู้ใช้ การเข้ารหัสที่มีมาในตัวอาจไม่สอดคล้องกันหรือกู้คืนได้ยากเมื่อเกิดปัญหา

หน้าที่ด้านความปลอดภัยที่การเข้ารหัสแบบเนทีฟควรทำ

การเข้ารหัสแบบเนทีฟปกป้องข้อมูลขณะจัดเก็บ หมายความว่าข้อมูลที่จัดเก็บไว้ในอุปกรณ์จะยังคงอ่านไม่ได้ เว้นแต่จะมีการยืนยันตัวตน คีย์การกู้คืน หรือวิธีปลดล็อกที่ถูกต้อง

NIST อธิบายการเข้ารหัสข้อมูลจัดเก็บว่าเป็นวิธีจำกัดการเข้าถึงข้อมูลที่จัดเก็บบนอุปกรณ์ของผู้ใช้ปลายทาง เช่น แล็ปท็อป อุปกรณ์เคลื่อนที่ และสื่อแบบถอดได้ แนวทางการเข้ารหัสข้อมูลจัดเก็บ ↗ เป็นจุดเริ่มต้นที่ดีในการทำความเข้าใจการเข้ารหัสทั้งดิสก์ การเข้ารหัสโวลุ่ม และการเข้ารหัสระดับไฟล์

CISA ให้คำแนะนำเชิงปฏิบัติในลักษณะเดียวกันในหน้าเกี่ยวกับการปกป้องข้อมูลที่จัดเก็บในอุปกรณ์ ↗ โดยเฉพาะสำหรับอุปกรณ์ที่สูญหาย ไดรฟ์แบบถอดได้ และการวางแผนการกู้คืน

ในทางปฏิบัติ การเข้ารหัสแบบเนทีฟช่วยรับมือกับความเสี่ยงสี่ประการ:

• แล็ปท็อปที่สูญหายทำให้ไฟล์ธุรกิจรั่วไหล
• โทรศัพท์ที่ถูกขโมยทำให้เข้าถึงข้อมูลงานได้
• ไดรฟ์ที่ปลดระวางแล้วยังอ่านได้หลังการกำจัด
• ผู้ใช้ลืมข้อมูลรับรองและต้องการการกู้คืนอย่างปลอดภัย

การเข้ารหัสเองเป็นเพียงส่วนหนึ่งเท่านั้น ชั้นการจัดการเป็นตัวกำหนดว่าการปกป้องจะมีความสอดคล้องหรือไม่

แผนผังการควบคุมการจัดการการเข้ารหัสแบบเนทีฟ

วิธีที่ง่ายที่สุดในการมองการจัดการการเข้ารหัสแบบเนทีฟคือเป็นชุดของการควบคุม ไม่ใช่สวิตช์เพียงตัวเดียว

ตารางนี้คือความแตกต่างระหว่าง “มีการเข้ารหัสให้ใช้” กับ “มีการจัดการการเข้ารหัสจริง”

Windows: จัดการ BitLocker และการเข้ารหัสอุปกรณ์

บน Windows การเข้ารหัสแบบเนทีฟมักหมายถึง BitLocker หรือการเข้ารหัสอุปกรณ์อัตโนมัติ

ภาพรวม BitLocker ของ Microsoft ↗ อธิบายว่า BitLocker ปกป้องโวลุ่มจากการเข้าถึงแบบออฟไลน์ โดยเฉพาะเมื่ออุปกรณ์สูญหาย ถูกขโมย หรือปลดระวาง สำหรับสภาพแวดล้อมที่มีการจัดการ ส่วนสำคัญไม่ใช่เพียงการเปิด BitLocker แต่คือการทำให้แน่ใจว่ามีนโยบาย วิธีการกู้คืน และกระบวนการรายงานที่ถูกต้อง

นโยบายการเข้ารหัส Windows ที่ใช้งานได้จริงควรกำหนด:

• ไดรฟ์ใดต้องเข้ารหัส;
• การป้องกันด้วย TPM อย่างเดียวเพียงพอหรือไม่;
• จำเป็นต้องใช้ PIN สำหรับผู้ใช้ที่มีความเสี่ยงสูงกว่าหรือไม่;
• สำรองคีย์การกู้คืนไว้ที่ใด;
• ใครสามารถเรียกดูคีย์การกู้คืนได้;
• รายงานการเข้ารหัสที่ล้มเหลวหรือถูกระงับอย่างไร

การวางแผนการกู้คืนมีความสำคัญ ภาพรวมการกู้คืน BitLocker ของ Microsoft ↗ อธิบายตัวเลือกการกู้คืนต่างๆ รวมถึงรหัสผ่านการกู้คืน คีย์การกู้คืน แพ็กเกจคีย์ และเอเจนต์การกู้คืนข้อมูล ทีมงานควรจัดทำเอกสารว่าตัวเลือกใดได้รับอนุญาตก่อนที่จะเกิดการถูกล็อกออกจริง

macOS และอุปกรณ์ Apple: จัดการ FileVault และการปกป้องข้อมูล

บน macOS การเข้ารหัสแบบเนทีฟมุ่งเน้นที่ FileVault คู่มือของ Apple สำหรับการจัดการ FileVault ด้วยการจัดการอุปกรณ์ ↗ อธิบายวิธีที่องค์กรสามารถบังคับใช้ FileVault ควบคุมการเลื่อนเวลาของผู้ใช้ จัดการว่าจะแสดงคีย์การกู้คืนให้ผู้ใช้เห็นหรือไม่ และฝากเก็บคีย์การกู้คืนส่วนบุคคลผ่านการจัดการอุปกรณ์

สำหรับ iPhone, iPad และแพลตฟอร์ม Apple รุ่นใหม่ การเข้ารหัสมีความเชื่อมโยงอย่างใกล้ชิดกับ Data Protection ภาพรวมการเข้ารหัสและการปกป้องข้อมูล ↗ ของ Apple อธิบายว่าอุปกรณ์ Apple ปกป้องข้อมูลผู้ใช้และข้อมูลองค์กรอย่างไร หากอุปกรณ์สูญหาย ถูกขโมย หรือถูกบุกรุก

สำหรับสภาพแวดล้อม Apple การจัดการควรมุ่งเน้นที่:

• บังคับใช้ FileVault ระหว่างการตั้งค่าเมื่อเหมาะสม;
• ฝากเก็บคีย์การกู้คืนไว้ในระบบจัดการที่ได้รับอนุมัติ;
• หมุนเวียนคีย์การกู้คืนหลังการใช้งาน;
• ยืนยันว่าผู้ใช้ใดสามารถปลดล็อกโวลุ่มที่เข้ารหัสได้;
• จัดทำเอกสารสิ่งที่จะเกิดขึ้นระหว่างการย้ายหรือการมอบหมายอุปกรณ์ใหม่

ความเสี่ยงหลักคือการสันนิษฐานว่า “อุปกรณ์ Apple ถูกเข้ารหัส” หมายความว่าองค์กรควบคุมการกู้คืนและการรายงานได้แล้ว สิ่งเหล่านี้เป็นคนละคำถามกัน

Android: จัดการการเข้ารหัสผ่านนโยบายอุปกรณ์

อุปกรณ์ Android มีการเข้ารหัสแบบเนทีฟเช่นกัน การเข้ารหัสแบบอิงไฟล์ของ Android ทำให้ไฟล์ต่างๆ สามารถเข้ารหัสด้วยคีย์ที่ต่างกันได้ และ Android Open Source Project อธิบายโมเดลนี้ในเอกสารการเข้ารหัสแบบอิงไฟล์ ↗.

สำหรับอุปกรณ์ธุรกิจ การจัดการการเข้ารหัสมักดำเนินการผ่าน Android Enterprise คู่มือของ Google เกี่ยวกับ การจัดการ Android ↗ อธิบายว่าองค์กรสามารถบังคับใช้นโยบายความปลอดภัย เช่น การล็อกหน้าจอและการเข้ารหัสพื้นที่จัดเก็บ ผ่านโซลูชันการจัดการได้

การจัดการการเข้ารหัส Android ควรกำหนด:

• อุปกรณ์ใดได้รับอนุญาตให้ใช้ในการทำงาน;
• อุปกรณ์ได้รับการจัดการทั้งหมดหรือเป็น BYOD ที่มีโปรไฟล์งาน;
• ต้องใช้ความแข็งแกร่งของการล็อกหน้าจอระดับใด;
• ล็อกหรือล้างข้อมูลอุปกรณ์ที่สูญหายอย่างไร;
• ติดตามสถานะการปฏิบัติตามข้อกำหนดอย่างไร;
• อุปกรณ์รุ่นเก่ายังตรงตามข้อกำหนดด้านความปลอดภัยหรือไม่

การเข้ารหัส Android แข็งแกร่งที่สุดเมื่อใช้ร่วมกับการลงทะเบียนอุปกรณ์ นโยบายหน้าจอล็อก ข้อกำหนดการอัปเดต และการล้างข้อมูลระยะไกล

การจัดการคีย์คือปัญหาการจัดการที่แท้จริง

การเข้ารหัสขึ้นอยู่กับคีย์ ฟังดูชัดเจน แต่โปรแกรมการเข้ารหัสจำนวนมากล้มเหลวเพราะการจัดการคีย์อ่อนแอ

แนวทางการจัดการคีย์ ↗ ของ NIST ครอบคลุมการวางแผน การปกป้อง วงจรชีวิต และธรรมาภิบาลของวัสดุคีย์เข้ารหัส สำหรับการเข้ารหัสแบบเนทีฟ คำถามเชิงปฏิบัติมักเป็น: คีย์การกู้คืนถูกเก็บไว้ที่ใด และใครสามารถใช้ได้?

กระบวนการคีย์การกู้คืนที่ดีควรตอบว่า:

1. คีย์ถูกฝากเก็บไว้ที่ใด? 2. คีย์ถูกจัดเก็บโดยอัตโนมัติหรือด้วยตนเอง? 3. ใครสามารถเรียกดูได้? 4. มีการบันทึกการเรียกดูหรือไม่? 5. มีการหมุนเวียนคีย์หลังการใช้งานหรือไม่? 6. จะเกิดอะไรขึ้นเมื่ออุปกรณ์ถูกปลดระวาง? 7. จะเกิดอะไรขึ้นหากระบบจัดการเปลี่ยนแปลง?

อย่าทิ้งคีย์การกู้คืนไว้ในภาพหน้าจอ สเปรดชีต ไดรฟ์ที่ใช้ร่วมกัน หรือบันทึกส่วนตัว การเข้าถึงเพื่อกู้คืนควรถูกควบคุม บันทึก และจำกัด

ลำดับการนำไปใช้ที่ใช้งานได้จริง

การจัดการการเข้ารหัสแบบเนทีฟจะง่ายขึ้นเมื่อทยอยนำไปใช้เป็นระยะ

ขั้นตอนที่ 1: จัดทำบัญชีรายการอุปกรณ์

ระบุรายการแล็ปท็อป เดสก์ท็อป โทรศัพท์ แท็บเล็ต และไดรฟ์แบบถอดได้ที่อาจจัดเก็บข้อมูลธุรกิจ

ขั้นตอนที่ 2: กำหนดความครอบคลุมที่จำเป็น

ตัดสินใจว่าประเภทอุปกรณ์ใดต้องใช้การเข้ารหัสแบบเนทีฟ และอนุญาตข้อยกเว้นใดบ้าง

ขั้นตอนที่ 3: เลือกนโยบายแพลตฟอร์ม

ตั้งค่ากฎสำหรับ BitLocker, FileVault, Android และแพลตฟอร์มอื่นๆ ก่อนการปรับใช้ในวงกว้าง

ขั้นตอนที่ 4: กำหนดค่าการฝากเก็บคีย์การกู้คืน

ตรวจสอบให้แน่ใจว่าคีย์การกู้คืนถูกจัดเก็บในระบบที่ได้รับอนุมัติก่อนที่ผู้ใช้จะต้องพึ่งพาคีย์เหล่านั้น

ขั้นตอนที่ 5: ทดลองใช้กับกลุ่มขนาดเล็ก

ทดสอบการกู้คืน ความขัดแย้งของนโยบาย การย้ายอุปกรณ์ และการสื่อสารกับผู้ใช้

ขั้นตอนที่ 6: บังคับใช้ทีละน้อย

เปลี่ยนจากโหมดรายงานอย่างเดียวไปสู่การบังคับใช้หลังจากแก้ไขปัญหาจากการทดลองใช้แล้ว

ขั้นตอนที่ 7: ติดตามอย่างต่อเนื่อง

ทบทวนสถานะการเข้ารหัส การป้องกันที่ถูกระงับ การฝากเก็บที่ล้มเหลว อุปกรณ์ที่ไม่ได้รับการจัดการ และเหตุการณ์การกู้คืน

ลำดับนี้ช่วยหลีกเลี่ยงความผิดพลาดที่พบบ่อยที่สุด: เปิดใช้การเข้ารหัสในวงกว้างก่อนทดสอบการกู้คืน

สิ่งที่ควรรายงานต่อผู้บริหาร

ผู้นำด้านความปลอดภัยไม่จำเป็นต้องรู้ทุกการตั้งค่าทางเทคนิค พวกเขาต้องการมุมมองที่ชัดเจนเกี่ยวกับความครอบคลุม ความเสี่ยง และความพร้อม

รายงานการเข้ารหัสแบบเนทีฟที่มีประโยชน์ควรแสดง:

• เปอร์เซ็นต์ของอุปกรณ์ที่ได้รับการจัดการและเข้ารหัส;
• จำนวนอุปกรณ์ที่ไม่มีคีย์การกู้คืน;
• อุปกรณ์ที่การเข้ารหัสถูกระงับหรือล้มเหลว;
• ผู้ใช้หรือทีมที่มีความเสี่ยงสูงและยังไม่ครอบคลุม;
• เหตุการณ์การกู้คืนในช่วงระยะเวลาการรายงาน;
• อุปกรณ์ที่รอการปลดระวางหรือล้างข้อมูล;
• ข้อยกเว้นของนโยบายและผู้รับผิดชอบ

หากคุณต้องอธิบายความครอบคลุมของการเข้ารหัสแก่ผู้บริหารหรือลูกค้า คุณสามารถเปลี่ยนนโยบายการเข้ารหัสแบบเนทีฟของคุณให้เป็นงานนำเสนอที่พร้อมสำหรับผู้มีส่วนได้ส่วนเสียด้วย Pi ↗ ใช้เพื่อรายงานความครอบคลุม ความเสี่ยง ความพร้อมในการกู้คืน และขั้นตอนถัดไป โดยไม่ทำให้สไลด์กลายเป็นข้อมูลทางเทคนิคล้นเกิน

เมื่อการเข้ารหัสแบบเนทีฟไม่เพียงพอ

การเข้ารหัสแบบเนทีฟปกป้องข้อมูลที่จัดเก็บ แต่ไม่ได้แก้ปัญหาด้านความปลอดภัยทุกอย่าง

ไม่สามารถทดแทน:

• การจัดการตัวตนและการเข้าถึง;
• การตรวจจับและตอบสนองที่ปลายทาง;
• การสำรองข้อมูลและการกู้คืนจากภัยพิบัติ;
• การจัดการแพตช์;
• การป้องกันข้อมูลรั่วไหล;
• การป้องกันฟิชชิง;
• การควบคุมการเข้าถึงคลาวด์;
• การกำจัดอุปกรณ์อย่างปลอดภัย

นอกจากนี้ยังไม่ปกป้องข้อมูลหลังจากผู้ใช้ที่ได้รับอนุญาตปลดล็อกอุปกรณ์และเข้าถึงไฟล์ตามปกติแล้ว เมื่อระบบทำงานอยู่และผู้ใช้ได้รับการยืนยันตัวตนแล้ว ก็ยังต้องมีการควบคุมอื่นๆ

ควรมองการเข้ารหัสแบบเนทีฟเป็นการควบคุมพื้นฐาน ไม่ใช่กลยุทธ์ด้านความปลอดภัยทั้งหมด

บทสรุป

การจัดการการเข้ารหัสแบบเนทีฟคือการทำให้การเข้ารหัสที่มีมาในตัวเชื่อถือได้ การเปิดใช้ BitLocker, FileVault, การเข้ารหัส Android หรือ Apple Data Protection เป็นเพียงจุดเริ่มต้น

โปรแกรมที่มีความพร้อมกำหนดความครอบคลุม บังคับใช้นโยบาย ฝากเก็บคีย์การกู้คืน จำกัดการเข้าถึงเพื่อกู้คืน ติดตามการปฏิบัติตามข้อกำหนด และทดสอบสิ่งที่จะเกิดขึ้นเมื่ออุปกรณ์สูญหาย ถูกล็อก ย้าย หรือปลดระวาง

โปรแกรมการเข้ารหัสที่ดีที่สุดไม่ใช่โปรแกรมที่มีช่องทำเครื่องหมายที่แข็งแกร่งที่สุด แต่คือโปรแกรมที่การปกป้อง การกู้คืน และการรายงานทำงานได้ทั้งหมดเมื่อองค์กรต้องการใช้งานจริง