Zero Trust: สิทธิ์ของ Agent องค์กร

แนวทางใหม่ต้องผูกกับตัวตนจริง

Microsoft เพิ่มแนวทาง Zero Trust สำหรับ AI และการพัฒนา โดยกล่าวถึงการกำกับความจำของ AI ด้วย แหล่งข่าวทางการ ไม่ได้ยืนยันว่าระบบขององค์กรใดผ่านการตรวจแล้ว

สิ่งที่ทีมความปลอดภัยควรถามก่อนคือ Agent ทำงานในนามของใคร ผู้ใช้ที่เปิดหน้าจอ ผู้ดูแลที่สร้าง workflow และบัญชีที่เรียกเครื่องมืออาจเป็นคนละตัวตน หากทั้งสามชั้นถูกมองเป็นบัญชีเดียว บันทึกงานอาจดูครบแต่ยังระบุผู้อนุมัติหรือผลกระทบไม่ได้

จำกัดสิทธิ์ตามงานที่ต้องทำ

ข้อวิเคราะห์สำหรับองค์กรไทยคือให้เขียนรายการการกระทำที่อนุญาตอย่างเจาะจง คำว่าเข้าถึงระบบเอกสารกว้างเกินไปสำหรับการตรวจรับ ควรแยกว่าอ่านแฟ้มชุดใด สร้างร่างไว้ที่ไหน และเปลี่ยนข้อมูลใดได้หลังใครอนุมัติ

ขอบเขต	คำถามที่ต้องตอบ	ตัวอย่างการตรวจ
ตัวตน Agent	ใครเป็นเจ้าของบัญชีและต่ออายุสิทธิ์	ปิดบัญชีแล้วงานใหม่ต้องเริ่มไม่ได้
แหล่งข้อมูล	อ่านได้เฉพาะแฟ้มใด	ค้นแฟ้มนอกฝ่ายแล้วต้องไม่เผยเนื้อหา
เครื่องมือ	เรียกการกระทำใดได้	คำสั่งนอกขอบเขตต้องถูกปฏิเสธ
ความจำ	เก็บอะไรและนานเท่าไร	ถอนข้อมูลแล้วตรวจเส้นทางที่ยังนำมาใช้

รายการเหล่านี้เป็นเกณฑ์เสนอสำหรับโครงการ ไม่ใช่ผลตรวจของ Microsoft การมีชื่อเครื่องมือรักษาความปลอดภัยในแบบระบบยังต้องตามด้วยผู้ดูแลและผลทดสอบการตั้งค่าจริง

ตรวจการปฏิเสธด้วยความจริงจังเท่ากับการตอบ

เตรียมโจทย์ที่ Agent ควรทำได้และโจทย์ที่ต้องหยุด เช่น ผู้ใช้คนเดิมย้ายฝ่าย แฟ้มถูกลดสิทธิ์ หรือเอกสารแทรกคำสั่งให้ส่งข้อมูลออก ให้เจ้าของข้อมูลกำหนดผลที่คาดหวัง แล้วทีมไอทีตรวจว่าบัญชีและเครื่องมือใช้ขอบเขตเดียวกัน

การอนุมัติควรผูกกับคำสั่งและข้อมูลที่คนเห็น หาก Agent เปลี่ยนรายละเอียดหลังได้รับอนุมัติ ระบบควรกลับมาขออนุมัติสำหรับสิ่งที่เปลี่ยน นี่เป็นข้อเสนอในการออกแบบ ไม่ใช่ข้ออ้างว่าการกดปุ่มครั้งเดียวทำให้งานทุกประเภทปลอดภัย

ส่งมอบแผนเพิกถอนพร้อมแผนเปิดใช้

ก่อนนำร่องต้องรู้ว่าจะหยุดงานที่กำลังทำอย่างไร และใครตรวจการกระทำที่เกิดไปแล้ว การปิดหน้าแชตไม่ควรเป็นวิธีเดียวในการระงับบัญชีที่ยังเชื่อมระบบปลายทางอยู่ เก็บขั้นตอนเหล่านี้ในเอกสารรับมอบที่ทีมปฏิบัติการใช้ได้จริง

วิดีโอ Microsoft Mechanics เป็นบริบทก่อนข่าวนี้ จึงไม่ใช่ผลพิสูจน์การตั้งค่าของโครงการ เริ่มทบทวน ความปลอดภัยและการกำกับ AI ด้วยรายการบัญชี แหล่งข้อมูล และเครื่องมือที่ต้องการเชื่อม แล้วระบุเจ้าของกับเกณฑ์หยุดงานแต่ละรายการ