Zero Trust for Property Management: เมื่อความปลอดภัยไซเบอร์กลายเป็นส่วนหนึ่งของการบริหารอาคาร

จักรพันธ์ ภวังคะรัตน์

Head of Property Management, JLL Thailand

เลขาธิการ สมาคมบริหารทรัพย์สินแห่งประเทศไทย

9 August 2026

บทนำ

ในอดีต การรักษาความปลอดภัยของระบบคอมพิวเตอร์มีแนวคิดคล้ายกับการรักษาความปลอดภัยของอาคาร เราสร้างรั้ว กำแพง ประตู และจุดตรวจไว้รอบพื้นที่ เมื่อใครผ่านประตูเข้ามาได้แล้ว เรามักถือว่าบุคคลนั้นอยู่ในพื้นที่ที่เชื่อถือได้ โลกของ IT จึงเคยมีแนวคิดคล้ายกัน คือแบ่งระบบออกเป็น “ภายนอก” และ “ภายใน” แล้วสร้าง Firewall หรือ VPN เป็นเสมือนกำแพงรอบองค์กร หากผู้ใช้อยู่ภายใน Network ของบริษัท หรือสามารถผ่าน VPN เข้ามาได้ ระบบจำนวนมากก็จะให้ความไว้วางใจมากขึ้นโดยอัตโนมัติ

ปัญหาคือโลกดิจิทัลในปัจจุบันไม่ได้มีเส้นแบ่งที่ชัดเจนเช่นนั้นอีกแล้ว ข้อมูลอาจอยู่บน Cloud ผู้บริหารเปิด Dashboard จากโทรศัพท์ ผู้รับเหมาดูระบบจากระยะไกล วิศวกรของ Vendor เชื่อมต่อเข้ามาแก้ BMS หรือระบบลิฟต์ ข้อมูลจาก Smart Meter ถูกส่งไปยัง Cloud Platform ขณะที่ CCTV, Access Control, Visitor Management, Parking, CMMS, IoT Sensor และระบบวิเคราะห์ข้อมูลต่างเริ่มเชื่อมโยงถึงกัน อาคารจึงไม่ได้มีเพียง “Physical Perimeter” แต่มี Digital Connections จำนวนมากที่วิ่งข้ามขอบเขตขององค์กรตลอดเวลา

นี่คือเหตุผลที่แนวคิด Zero Trust มีความสำคัญมากขึ้น

NIST อธิบาย Zero Trust Architecture ว่าเป็นการเปลี่ยนจากการป้องกันแบบยึด “ขอบเขตของเครือข่าย” เป็นศูนย์กลาง ไปสู่การปกป้องผู้ใช้ ทรัพย์สิน ระบบ และทรัพยากรโดยตรง และไม่ให้ความไว้วางใจโดยอัตโนมัติเพียงเพราะผู้ใช้หรืออุปกรณ์อยู่ภายใน Network ขององค์กร

สำหรับ Property Management ความหมายของเรื่องนี้อาจสรุปได้ง่าย ๆ ว่า

การอยู่ “ในอาคาร” หรือ “ในระบบของอาคาร” ไม่ได้แปลว่าควรได้รับสิทธิ์เข้าถึงทุกอย่าง

Zero Trust จึงไม่ใช่เพียงเรื่อง Cybersecurity และไม่ใช่ Technology Product ชิ้นหนึ่ง แต่เป็น วิธีคิดในการบริหารความไว้วางใจ สิทธิ์ และความเสี่ยง ซึ่งกำลังกลายเป็นหลักการสำคัญของการบริหารอาคารในยุคที่ Property Management เชื่อมโยงกับเทคโนโลยีและข้อมูลมากขึ้นเรื่อย ๆ

1. จาก “Trust by Location” สู่ “Trust by Verification”

ลองนึกถึงอาคารสำนักงานแห่งหนึ่ง พนักงานประจำอาคาร ผู้รับเหมาระบบ วิศวกร เจ้าหน้าที่รักษาความปลอดภัย ผู้เช่า ฝ่ายบัญชี และผู้บริหาร ต่างมีเหตุผลที่ต้องเข้าถึงระบบหรือข้อมูลบางประเภท แต่การที่ทุกคนทำงานอยู่ในอาคารเดียวกันไม่ได้หมายความว่าทุกคนควรมีสิทธิ์เหมือนกัน เช่นเดียวกับการที่ Computer เครื่องหนึ่งเสียบสาย LAN อยู่ภายในสำนักงานบริหารอาคารก็ไม่ได้หมายความว่าเครื่องนั้นควรเข้าถึง BMS, CCTV, Finance System หรือ Tenant Database ได้ทั้งหมด

Zero Trust เปลี่ยนคำถามจาก “คุณอยู่ที่ไหน?” มาเป็น “คุณคือใคร กำลังใช้อุปกรณ์อะไร ต้องการเข้าถึงอะไร เพื่อวัตถุประสงค์อะไร และภายใต้เงื่อนไขใด?”

ตัวอย่างเช่น วิศวกรอาคารอาจมีสิทธิ์เข้าถึง CMMS และดูสถานะอุปกรณ์ แต่ไม่จำเป็นต้องเห็นข้อมูลเงินเดือน เจ้าหน้าที่บัญชีอาจเข้าถึงข้อมูล Billing และ Budget แต่ไม่ควรสามารถเปลี่ยน Set Point ของ Chiller ผู้รับเหมาลิฟต์อาจได้รับ Remote Access เพื่อวิเคราะห์ Fault ของระบบลิฟต์ แต่สิทธิ์นั้นควรจำกัดเฉพาะระบบลิฟต์ ในช่วงเวลาที่ได้รับอนุญาต และสิ้นสุดเมื่อการทำงานเสร็จ ไม่ควรได้รับสิทธิ์เชื่อมต่อถาวรเข้าสู่ Network ของอาคาร

แนวคิดนี้คือหัวใจของ Zero Trust เพราะ Trust ไม่ใช่สถานะถาวร แต่เป็นสิ่งที่ต้องได้รับการตรวจสอบตามบริบทของการเข้าถึงแต่ละครั้ง

2. Zero Trust ไม่ได้หมายความว่า “ไม่ไว้ใจใคร”

ชื่อ Zero Trust อาจทำให้เข้าใจผิดว่าองค์กรต้องระแวงทุกคน แต่ความหมายที่แท้จริงไม่ได้เกี่ยวกับความสัมพันธ์ระหว่างบุคคลเลย เราอาจเชื่อใจพนักงานหรือ Partner ของเราเต็มที่ในทางธุรกิจ แต่ระบบรักษาความปลอดภัยยังต้องตรวจสอบสิทธิ์อย่างเหมาะสม เพราะ Cybersecurity ไม่ได้ป้องกันเฉพาะคนที่มีเจตนาร้ายเท่านั้น

Account ของพนักงานที่ดีอาจถูกขโมย Password, Laptop อาจติด Malware, Vendor Account อาจถูก Hacker ยึด หรือพนักงานอาจส่งข้อมูลผิดคนโดยไม่ได้ตั้งใจ ดังนั้น Zero Trust จึงไม่ได้ตั้งสมมติฐานว่า “คนนี้ไม่น่าเชื่อถือ” แต่ตั้งสมมติฐานว่า Identity, Device หรือ Connection ใด ๆ อาจถูกใช้ในทางที่ผิดได้

ตรงนี้มีความคล้ายคลึงกับหลัก Safety ในการบริหารอาคาร เราไม่ได้ติดตั้ง Interlock เพราะคิดว่าวิศวกรไม่มีความรับผิดชอบ และไม่ได้กำหนด Permit to Work เพราะไม่ไว้ใจผู้รับเหมา แต่เราออกแบบระบบเพื่อไม่ให้ความผิดพลาดเพียงครั้งเดียวกลายเป็นเหตุการณ์ร้ายแรง

Cybersecurity ที่ดีมีปรัชญาเดียวกัน

3. สามหลักคิดสำคัญ: Verify Explicitly, Least Privilege และ Assume Breach

Zero Trust สามารถอธิบายในทางปฏิบัติผ่านหลักคิดสำคัญสามเรื่อง

เรื่องแรกคือ Verify Explicitly — ตรวจสอบอย่างชัดเจน ทุกครั้งที่มีการเข้าถึงระบบ เราไม่ควรพิจารณาเพียง Username และ Password แต่สามารถนำข้อมูลอื่นมาประกอบ เช่น ผู้ใช้เป็นใคร อุปกรณ์เครื่องนี้ได้รับอนุญาตหรือไม่ Software Update ล่าสุดหรือยัง ใช้งานจากสถานที่ใด เวลาใด และพฤติกรรมการใช้งานปกติหรือผิดปกติ หาก Account ของ Building Manager ซึ่งปกติเข้าระบบจากกรุงเทพในเวลาทำงาน กลับพยายาม Download ข้อมูลจำนวนมากจากอุปกรณ์ที่ไม่เคยลงทะเบียนและจากต่างประเทศตอนตีสาม ระบบควรมองเหตุการณ์นี้แตกต่างจากการ Login ตามปกติ

เรื่องที่สองคือ Least Privilege — ให้สิทธิ์เท่าที่จำเป็น พนักงานไม่ควรได้รับสิทธิ์ตามคำถามว่า “ตำแหน่งนี้สามารถเข้าถึงอะไรได้บ้าง” เพียงอย่างเดียว แต่ควรถามว่า “เพื่อทำหน้าที่นี้ เขาจำเป็นต้องเข้าถึงอะไรบ้าง” ความแตกต่างเล็กน้อยนี้มีผลอย่างมาก เพราะช่วยลดจำนวนข้อมูลและระบบที่แต่ละ Account สามารถเข้าถึงได้ หาก Account ใดถูกโจมตี ความเสียหายก็จะถูกจำกัดอยู่ในวงแคบ

เรื่องที่สามคือ Assume Breach — ออกแบบโดยสมมติว่าการเจาะระบบสามารถเกิดขึ้นได้ แนวคิดนี้ไม่ได้หมายถึงการยอมแพ้ให้ Hacker แต่เป็นการยอมรับความจริงว่าระบบรักษาความปลอดภัยไม่มีสิ่งใดรับประกันได้หนึ่งร้อยเปอร์เซ็นต์ ดังนั้นนอกจากป้องกันไม่ให้ผู้โจมตีเข้ามาแล้ว เราต้องออกแบบให้แม้เข้ามาได้ก็ไม่สามารถเดินต่อไปทั่วทั้งระบบได้ง่าย

นี่คือเหตุผลที่ Network Segmentation, Access Control, Logging, Monitoring และการจำกัดสิทธิ์มีความสำคัญ เพราะเป้าหมายไม่ใช่เพียง Prevent the Breach แต่รวมถึง Limit the Impact of the Breach

4. อาคารสมัยใหม่มีทั้ง IT และ OT และ Property Management อยู่ตรงกลาง

ประเด็นที่ทำให้ Zero Trust สำคัญกับ Property Management มากเป็นพิเศษคือ อาคารยุคใหม่ไม่ได้มีเพียงระบบ IT แต่มี Operational Technology หรือ OT จำนวนมาก

NIST ให้นิยาม OT ครอบคลุมระบบที่ตรวจจับหรือก่อให้เกิดการเปลี่ยนแปลงต่อสภาพแวดล้อมทางกายภาพ และยกตัวอย่าง Building Automation Systems, Physical Access Control Systems และระบบตรวจวัดสภาพแวดล้อมไว้โดยตรง

นั่นหมายความว่าในมุม Cybersecurity ระบบจำนวนมากที่ Property Management ดูแลอยู่ทุกวัน เช่น BMS, Access Control, Smart Meter, Building Automation และระบบควบคุมต่าง ๆ ล้วนเป็นส่วนหนึ่งของโลก OT

ความแตกต่างสำคัญคือ หากระบบสำนักงานทั่วไปถูกโจมตี ผลกระทบอาจเป็นเรื่องข้อมูลหรือ Productivity แต่หาก OT ถูกโจมตี ผลกระทบสามารถขยับจากโลก Digital มาสู่โลก Physical ได้ เช่น ระบบ Access Control ใช้งานไม่ได้ ระบบควบคุมเครื่องจักรผิดปกติ ระบบ Monitoring สูญเสียข้อมูล หรือ Operation ของอาคารหยุดชะงัก ดังนั้นใน OT เรื่อง Safety, Reliability และ Availability ต้องถูกพิจารณาควบคู่กับ Cybersecurity ไม่สามารถนำมาตรการจากโลก IT มาใช้โดยไม่เข้าใจลักษณะของระบบอาคารได้

จุดนี้ทำให้ Property Manager มีบทบาทสำคัญ เพราะฝ่าย IT อาจเข้าใจ Cybersecurity แต่ Property Management เข้าใจว่าอุปกรณ์ไหน Critical ระบบใดหยุดไม่ได้ Vendor ไหนต้องเข้าระบบเมื่อเกิด Emergency และการเปลี่ยน Configuration ใดอาจส่งผลต่อ Operation หรือ Safety ของอาคาร

Zero Trust สำหรับอาคารจึงต้องเกิดจากความร่วมมือระหว่าง Property Management + Engineering + IT/Cybersecurity + Vendors + Asset Owner มากกว่าจะเป็นโครงการของฝ่ายใดฝ่ายหนึ่ง

5. ห้าพื้นที่ที่ต้องคิดแบบ Zero Trust

CISA จัดกรอบ Zero Trust Maturity Model ออกเป็น 5 Pillars ได้แก่ Identity, Devices, Networks, Applications & Workloads และ Data พร้อมองค์ประกอบที่ครอบคลุมทุกส่วน ได้แก่ Visibility & Analytics, Automation & Orchestration และ Governance

ถ้านำกรอบนี้มามองในบริบท Property Management จะเห็นภาพชัดขึ้น

Identity — ใครกำลังเข้าถึงระบบ ไม่ว่าจะเป็นพนักงานประจำอาคาร Vendor ผู้รับเหมา Tenant หรือผู้บริหาร ทุก Account ต้องมีเจ้าของที่ชัดเจน การใช้ Shared Account เช่น “engineer01” หรือ “admin” ร่วมกันหลายคนทำให้ไม่สามารถตรวจสอบย้อนหลังได้ว่าใครเป็นผู้กระทำอะไร ระบบสำคัญควรใช้ Account รายบุคคล ใช้ Multi-Factor Authentication ตามความเสี่ยง และมีขั้นตอนยกเลิกสิทธิ์ทันทีเมื่อบุคคลเปลี่ยนหน้าที่ ย้ายงาน หรือออกจากโครงการ

Devices — ใช้อุปกรณ์อะไรเข้ามา การรู้ว่าใคร Login เข้ามายังไม่เพียงพอ เพราะ Account ที่ถูกต้องอาจถูกใช้จาก Notebook ที่ติด Malware หรือเครื่องส่วนตัวที่ไม่ได้รับการควบคุม องค์กรจึงต้องรู้ว่า Device ไหนได้รับอนุญาต มี Patch ที่เหมาะสมหรือไม่ และยังอยู่ภายใต้การดูแลขององค์กรหรือ Vendor ที่รับผิดชอบหรือไม่

Networks — ระบบสามารถคุยกับอะไรได้บ้าง Network ของ BMS ไม่จำเป็นต้องมองเห็นระบบ Finance, CCTV ไม่จำเป็นต้องเชื่อมถึง Tenant Database และ IoT Sensor ไม่ควรสามารถติดต่อระบบทั้งหมดเพียงเพราะเสียบอยู่ใน Network อาคารเดียวกัน การแบ่ง Network และจำกัดเส้นทางการสื่อสารช่วยลดโอกาสที่การถูกโจมตีในระบบหนึ่งจะลุกลามไปยังระบบอื่น

Applications & Workloads — โปรแกรมใดควรได้รับอนุญาตให้ทำอะไร Application ที่ใช้บริหาร Work Order อาจต้องอ่าน Asset Database แต่ไม่จำเป็นต้องเข้าถึง CCTV Server เช่นเดียวกับ Cloud Analytics Platform ที่ต้องรับข้อมูล Energy Consumption อาจไม่จำเป็นต้องได้รับสิทธิ์ควบคุมอุปกรณ์ใน BMS

Data — ข้อมูลใคร และใครควรทำอะไรกับข้อมูลนั้น Property Management มีข้อมูลมากกว่าที่หลายองค์กรตระหนัก ตั้งแต่ Tenant Contacts, Visitor Records, CCTV Images, Access Logs, Vehicle Registration, Lease Information, Financial Records, Employee Information, Energy Data ไปจนถึงข้อมูลพฤติกรรมการใช้พื้นที่ การรู้ว่าข้อมูลใดอยู่ที่ไหน ใครเป็นเจ้าของ ใครสามารถดู แก้ไข Download หรือส่งต่อได้ จึงเป็นหัวใจของ Data Security

Zero Trust จึงไม่ใช่การติด Firewall เพิ่มอีกหนึ่งตัว แต่เป็นการทบทวนความสัมพันธ์ทั้งหมดระหว่าง People – Devices – Networks – Applications – Data

6. จุดอ่อนสำคัญของ Property Management อาจไม่ได้อยู่ที่ Hacker แต่อยู่ที่ “สิทธิ์ที่เราลืมไปแล้ว”

ในงานบริหารอาคาร มีผู้เกี่ยวข้องจำนวนมากเข้ามาและออกไปตลอดอายุของทรัพย์สิน ตั้งแต่ผู้รับเหมางานระบบ บริษัท Maintenance, CCTV Vendor, Access Control Vendor, Lift Contractor, Energy Consultant, Software Provider ไปจนถึงทีมโครงการช่วงก่อสร้างและ Commissioning

คำถามง่าย ๆ ที่ Property Manager ควรถามคือ

เรารู้หรือไม่ว่าปัจจุบันมีใครบ้างที่ยังสามารถ Remote Access เข้าระบบอาคารของเราได้

Vendor ที่ติดตั้งระบบเมื่อห้าปีก่อนยังมี Password หรือไม่ Account ของ Engineer ที่ลาออกไปแล้วยังใช้งานได้หรือเปล่า Default Password ของ Controller ถูกเปลี่ยนแล้วหรือยัง Remote Desktop เปิดทิ้งไว้หรือไม่ ผู้รับเหมารายใดมี VPN Account แบบถาวร และใครเป็นผู้อนุมัติสิทธิ์เหล่านั้น

ความเสี่ยงเหล่านี้จำนวนมากไม่ได้เกิดจากเทคโนโลยีที่ไม่ดี แต่เกิดจาก Access Governance ที่ไม่ชัดเจน

Zero Trust จึงเชื่อมโยงกับกระบวนการบริหารคนโดยตรง ตั้งแต่ Joiner, Mover จนถึง Leaver กล่าวคือ เมื่อคนเข้ามาต้องกำหนดสิทธิ์ เมื่อหน้าที่เปลี่ยนต้องปรับสิทธิ์ และเมื่อออกไปต้องยกเลิกสิทธิ์ทันที หลักการเดียวกันควรใช้กับ Vendor และผู้รับเหมาด้วย

7. ก่อนทำ Zero Trust ต้องรู้ก่อนว่า “เรามีอะไร”

หนึ่งในความท้าทายของอาคารคือ หลายครั้งไม่มีใครมี Inventory ที่ครบถ้วนของ Digital และ OT Assets ทั้งหมด อาจทราบว่ามี BMS Server แต่ไม่ทราบว่ามี Controller กี่ตัว ใช้ Firmware Version ใด เชื่อมต่อผ่าน Protocol อะไร ติดต่อ Internet หรือ Cloud ไหน และใครเป็นผู้ดูแล Account

NIST กำลังให้ความสำคัญอย่างมากกับเรื่อง OT Asset Management โดยระบุในโครงการปี 2026 ว่าการมีข้อมูล Asset ที่ครบถ้วนเป็นพื้นฐานสำคัญสำหรับ Risk Assessment, Network Segmentation, Vulnerability Management, Incident Response และ Zero Trust Architecture

สำหรับ Property Management นี่อาจเป็นจุดเริ่มต้นที่เป็นรูปธรรมที่สุดของ Zero Trust

ก่อนถามว่า “เราจะป้องกัน Cyberattack อย่างไร” อาจต้องถามก่อนว่า

• What do we have?

• Where is it?

• Who owns it?

• Who can access it?

• What is it connected to?

• What happens if it fails?

เมื่อคำถามเหล่านี้ตอบได้ เราจึงเริ่มมองเห็น Cyber Risk ของอาคารอย่างเป็นระบบ

8. Zero Trust ต้องเปลี่ยนวิธีคิดเรื่อง Vendor และ Remote Access

อาคารสมัยใหม่ไม่สามารถดำเนินงานโดยไม่พึ่ง Vendor ได้ และการให้ Vendor Remote Access ก็มีประโยชน์อย่างมาก เพราะช่วยลด Response Time และทำให้ผู้เชี่ยวชาญสามารถวิเคราะห์ปัญหาได้รวดเร็ว แต่ Zero Trust ทำให้เราเปลี่ยนจากการคิดว่า “Vendor นี้เชื่อถือได้” มาเป็น “Vendor นี้ควรเข้าถึงอะไร ภายใต้เงื่อนไขอะไร และนานเท่าใด”

ตัวอย่างเช่น Vendor ของ Chiller อาจได้รับสิทธิ์ Remote Access เฉพาะ Chiller Plant Control System หลังจากได้รับอนุมัติจาก Building Engineer ระบบบันทึกว่าใครเข้ามา เมื่อใด และทำอะไร และสิทธิ์หมดอายุหลังจาก Maintenance Window สิ้นสุด

หลักการสำคัญคือ

Right Person – Right System – Right Access – Right Time – Right Purpose

เมื่อจบงาน สิทธิ์ก็ควรจบตามงาน

แนวทางนี้สำคัญมากขึ้นเมื่ออาคารเชื่อมต่อกับ Cloud และ Remote Services มากขึ้น เพราะ CISA เองได้เตือนถึงความเสี่ยงจาก Remote Access แบบดั้งเดิมและแนะนำให้องค์กรพิจารณาแนวทางสมัยใหม่ เช่น Zero Trust เพื่อให้สามารถควบคุมและมองเห็น Network Activity ได้ดีขึ้น

9. Visibility สำคัญพอ ๆ กับ Prevention

แนวคิด Zero Trust มีอีกเรื่องหนึ่งที่สำคัญมาก คือ ต่อให้เรากำหนดสิทธิ์ดีเพียงใด หากไม่รู้ว่าในระบบกำลังเกิดอะไรขึ้น เราก็ยังไม่สามารถบริหารความเสี่ยงได้ดี

Property Management คุ้นเคยกับแนวคิดนี้อยู่แล้ว เราติด Fire Alarm เพราะต้องการรู้ว่าไฟไหม้ที่ไหน ติด BMS Alarm เพราะต้องการรู้ว่า Chiller หรือ Pump ผิดปกติ ติด CCTV เพราะต้องการเห็นเหตุการณ์ย้อนหลัง Cybersecurity ก็ใช้หลักคิดเดียวกัน

ระบบควรสามารถตอบได้ว่า

• ใคร Login เข้ามาเข้าจากอุปกรณ์ใด

• เข้าระบบอะไรเวลาใด

• เปลี่ยน Configuration อะไร

• Download ข้อมูลอะไร

• มีพฤติกรรมที่ผิดปกติหรือไม่

CISA จึงวาง Visibility & Analytics เป็นความสามารถที่ครอบคลุมทุก Pillar ของ Zero Trust ไม่ใช่ส่วนเสริมที่ทำภายหลัง

สิ่งที่ Property Manager ต้องการในอนาคตอาจไม่ได้เป็น Dashboard ที่แสดงเพียง Energy, Work Orders และ Tenant Experience แต่รวมถึง Digital & Cyber Health ของ Property ด้วย

10. Zero Trust ไม่จำเป็นต้องเริ่มจากโครงการขนาดใหญ่

สิ่งสำคัญที่สุดคือ Zero Trust ไม่ใช่สวิตช์ที่เปิดวันนี้แล้วพรุ่งนี้องค์กรจะกลายเป็น Zero Trust Organization และไม่ได้หมายความว่าเราต้องรื้อ Network ทั้งอาคารแล้วสร้างใหม่ทั้งหมด

NIST ระบุว่า Zero Trust เป็นชุดหลักการสำหรับการวางแผนและพัฒนา Architecture และต้องอาศัยความร่วมมือของหลาย Stakeholders ขณะที่ CISA มองการพัฒนา Zero Trust เป็นระดับความพร้อมที่ค่อย ๆ พัฒนาได้จาก Traditional ไปสู่ Initial, Advanced และ Optimal

Property Management จึงสามารถเริ่มจากคำถามพื้นฐานเพียงไม่กี่เรื่อง

• เรามี Digital และ OT Assets อะไรบ้าง

• ใครมีสิทธิ์เข้าถึงแต่ละระบบ

• ยังมี Shared Account อยู่หรือไม่

• อดีตพนักงานหรือ Vendor ยังมี Account อยู่หรือเปล่า

• ระบบสำคัญใช้ Multi-Factor Authentication หรือไม่

• Network ของระบบสำคัญถูกแยกออกจากระบบทั่วไปหรือไม่

• Remote Access ของ Vendor ถูกควบคุมหรือไม่

• เรามี Log ที่สามารถตรวจสอบย้อนหลังได้หรือไม่

• ข้อมูลสำคัญของอาคารอยู่ที่ไหนและใครสามารถ Download ได้

• หากระบบหนึ่งถูกโจมตี เราสามารถจำกัดไม่ให้กระทบระบบอื่นได้หรือไม่

เพียงตอบคำถามเหล่านี้อย่างจริงจัง องค์กรก็ได้เริ่มต้นเดินเข้าสู่ Zero Trust แล้ว

บทส่งท้าย: จาก Smart Property สู่ Trusted Property

อนาคตของ Property Management จะมีข้อมูลมากขึ้น Automation มากขึ้น AI มากขึ้น และระบบต่าง ๆ เชื่อมโยงกันมากขึ้นอย่างหลีกเลี่ยงไม่ได้ ความสามารถในการเชื่อมต่อเหล่านี้สร้างประสิทธิภาพมหาศาล แต่ทุก Connection ใหม่ก็สร้าง Attack Surface ใหม่เช่นกัน

ดังนั้นคำถามสำคัญของ Property Management ในอนาคตอาจไม่ใช่เพียงว่า

“อาคารของเรา Smart แค่ไหน?”

แต่ต้องถามเพิ่มเติมว่า

“เรารู้หรือไม่ว่าใครกำลังเข้าถึงอะไร ผ่านอุปกรณ์ใด ด้วยสิทธิ์ระดับไหน และเราสามารถควบคุมความเสียหายได้หรือไม่หากสิ่งใดสิ่งหนึ่งถูกโจมตี?”

นี่คือวิธีคิดของ Zero Trust

• ไม่เชื่อถือเพียงเพราะใครอยู่ใน Network

• ไม่ให้สิทธิ์เพียงเพราะเคยได้รับสิทธิ์มาก่อน

• ไม่เปิดทางเข้าทิ้งไว้เพียงเพราะ Vendor อาจต้องใช้ในอนาคต

• ไม่คิดว่าการมี Firewall หมายความว่าทุกสิ่งที่อยู่หลัง Firewall ปลอดภัย

• และไม่คิดว่า Cybersecurity เป็นหน้าที่ของฝ่าย IT เพียงฝ่ายเดียว

สำหรับ Property Management หลักการ Zero Trust จึงไม่ควรถูกมองเป็นโครงการ Cybersecurity อีกโครงการหนึ่ง แต่ควรถูกมองเป็น หลักการบริหารทรัพย์สินในโลกที่ Physical Property และ Digital Property กำลังกลายเป็นสิ่งเดียวกัน

เมื่ออาคารมีทั้งคน เครื่องจักร Software, Cloud, IoT, AI และ Data ทำงานร่วมกัน ความปลอดภัยไม่ได้เกิดจากการสร้างกำแพงให้สูงที่สุดอีกต่อไป แต่เกิดจากการรู้ว่า ใครควรเข้าถึงอะไร เมื่อใด เพื่ออะไร และควรได้รับสิทธิ์มากเพียงใด

และนั่นอาจเป็นพื้นฐานสำคัญของ Property Management รุ่นต่อไป — จากการบริหารอาคารที่ Smart ไปสู่การบริหารอาคารที่ทั้ง Smart, Secure and Trusted.