วิธีตั้งค่า Guest WiFi สำนักงาน ให้ปลอดภัยตามมาตรฐาน Cybersecurity

เมื่อเดือนที่แล้ว ผมได้รับสายด่วนจาก IT Manager ขององค์กรแห่งหนึ่ง เสียงเขาสั่นอย่างเห็นได้ชัด เพราะบริษัทเพิ่งโดนทีม External Auditor เข้ามาสุ่มตรวจด้าน Network Security แล้วพบช่องโหว่ระดับ Critical นั่นคือสัญญาณ Guest WiFi สำหรับผู้มาติดต่อ สามารถแล่นเข้าไปแสกนเจอเครื่อง NAS เก็บเอกสารการเงินและเซิร์ฟเวอร์หลักของบริษัทได้โดยไม่มีอะไรคั้นกลางเลย ลองคิดภาพว่าถ้าผู้มาติดต่อไม่ใช่ลูกค้า แต่เป็นผู้ไม่หวังดี หรือเครื่องของแขกติด Malware อยู่ แล้วเชื่อมต่อเข้ามา ข้อมูลองค์กรคงถูกแฮกหรือโดน Ransomware ล็อคไฟล์ไปเรียบร้อยแล้ว

เหตุการณ์แบบนี้ไม่ใช่เรื่องใหม่ครับ จากประสบการณ์ที่ผมวางระบบให้สำนักงานมาหลายสิบแห่ง ปัญหาใหญ่ของหลายบริษัทคือการเปิดให้ใช้งาน Guest WiFi แบบขอไปที เสียบสาย LAN จาก Router แถมของค่ายเน็ต แล้วเปิด Password แจกทุกคนที่เดินผ่านประตูเข้ามา โดยลืมคำนึงถึงความปลอดภัยทางไซเบอร์และความเสี่ยงทางกฎหมาย วันนี้ผมเลยอยากมาแชร์แนวทางปฏิบัติจริงที่ SIAM-LOGIN ใช้ในการออกแบบเครือข่ายสำหรับผู้มาติดต่อให้ปลอดภัย 100% ครับ

ทำไม Guest WiFi แบบเปิดโล่ง ถึงเป็นฝันร้ายขององค์กร

หลายคนมักคิดว่าแค่ตั้งรหัสผ่าน WiFi แยกอีกชื่อหนึ่งก็เพียงพอแล้ว แต่ในความเป็นจริง หาก Access Point หรือ Router ของคุณไม่ได้ทำการแบ่งโซนเครือข่าย ทั้งพนักงานและแขกผู้มาติดต่อก็จะยังคงนั่งอยู่ใน Broadcast Domain เดียวกันอยู่ดี ซึ่งนำมาสู่ความเสี่ยงหลัก 3 ประการ:

• Internal Network Sniffing: แฮกเกอร์ที่เชื่อมต่อ Guest WiFi สามารถใช้เครื่องมือสแกนหา IP Address, Open Ports และช่องโหว่ของเซิร์ฟเวอร์ภายในบริษัทได้ทันที
• Malware Lateral Movement: หากโน้ตบุ๊กของผู้มาติดต่อนำมัลแวร์ติดตัวมาด้วย มัลแวร์นั้นสามารถแพร่กระจายผ่านเครือข่ายเข้าสู่เครื่องคอมพิวเตอร์ของพนักงานในออฟฟิศได้
• Bandwidth Hoggings: แขกบางท่านอาจทำการโหลดไฟล์ขนาดใหญ่ หรือ streaming วิดีโอ จนแย่ง Bandwidth การทำงานหลักของพนักงานจนเน็ตออฟฟิศอืด

4 ขั้นตอนออกแบบ Guest WiFi ให้ปลอดภัย ปิดช่องโหว่ Cybersecurity

การจัดตั้งระบบ WiFi สำหรับผู้มาติดต่อให้ได้มาตรฐานความปลอดภัย ไม่ใช่เรื่องซับซ้อนเกินไปหากเราวางโครงสร้างตั้งแต่แรกให้ถูกต้อง โดยผมสรุปขั้นตอนหลักที่ผมใช้ทำระบบให้ลูกค้าเป็นประจำดังนี้ครับ

1. แยก Network ด้วย VLAN Isolation ห้ามข้ามโซนเด็ดขาด

หัวใจสำคัญที่สุดคือการทำ VLAN Isolation ครับ ผมจะทำการแบ่ง VLAN ID แยกเด็ดขาดระหว่าง Corporate Network (สำหรับพนักงาน) และ Guest Network (สำหรับแขก) จากนั้นกำหนด Firewall Rules บน Mikrotik หรือ Core Switch เพื่อบล็อก Traffic จาก VLAN ของ Guest ไม่ให้สามารถสื่อสารไปยัง VLAN อื่นๆ ในองค์กรได้เลย โดยอนุญาตให้วิ่งออก Internet Gateway ได้เพียงอย่างเดียวเท่านั้น

2. บังคับยืนยันตัวตนด้วย Captive Portal

การปล่อยให้ Guest WiFi เข้าใช้งานได้ทันทีโดยไม่ต้องระบุตัวตน ถือเป็นความเสี่ยงอย่างยิ่งตาม พ.ร.บ.คอมพิวเตอร์ ผมแนะนำให้ตัดการเชื่อมต่อแบบ WPA2-PSK รหัสเดียวใช้ทั้งออฟฟิศ แล้วเปลี่ยนมาใช้ระบบ Captive Portal แทน เพื่อให้ผู้ใช้งานต้องลงทะเบียนผ่าน One-Time Password (OTP) ทาง SMS หรือสแกน QR Code รับบัญชีเข้าใช้งานชั่วคราว ซึ่งช่วยให้เราระบุตัวบุคคลที่แท้จริงได้เมื่อเกิดเหตุการณ์ผิดปกติ

3. จำกัด Bandwidth และบล็อก Port ที่ไม่จำเป็น

เพื่อป้องกันไม่ให้ผู้มาติดต่อดึงเน็ตองค์กรจนค้าง ผมจะทำการตั้งค่า Bandwidth Limiter (QoS) กั้นความเร็วต่ออุปกรณ์ เช่น ไม่เกิน 10/10 Mbps ต่อเครื่อง และสร้าง Rule บน Firewall บล็อก พอร์ตสุ่มเสี่ยง เช่น BitTorrent, P2P, SSH หรือ Port 135-139, 445 (SMB) เพื่อตัดช่องทางมัลแวร์เรียกใช้ไฟล์แชร์ข้ามเครื่อง

4. จัดเก็บ Traffic Log ตามมาตรฐานกฎหมาย

ตาม พ.ร.บ.ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ ระบบเครือข่ายองค์กรต้องสามารถเก็บบันทึกข้อมูลจราจรทางคอมพิวเตอร์ (Traffic Log) ย้อนหลังได้อย่างน้อย 90 วัน การมี Log Server หรือ Syslog Centralized ที่เชื่อมต่อกับระบบ Guest WiFi จะช่วยยืนยันได้ว่า IP Address ไหน Access ออกไปที่ใด เวลาเท่าไหร่ หากมีคดีความทางไซเบอร์เกิดขึ้น องค์กรจะไม่ต้องรับภาระเป็นผู้ต้องสงสัยเสียเอง

สรุปแนวทางจากประสบการณ์จริงของ SIAM-LOGIN

การตั้งค่า Guest WiFi ให้ปลอดภัย ไม่ใช่การสร้างความยุ่งยากให้ผู้มาติดต่อ แต่เป็นการล้อมรั้วป้องกันทรัพย์สินทางปัญญาและข้อมูลสำคัญของบริษัทคุณเองครับ เริ่มต้นจากการทำ VLAN Isolation กั้นโซนให้ชัดเจน ร่วมกับการใช้ Access Point ที่รองรับ Multi-SSID และมีระบบบริหารจัดการ centralize ที่ดี เพียงเท่านี้องค์กรของคุณก็ผ่านเกณฑ์ความปลอดภัยด้านเครือข่ายได้อย่างสบายใจ

หากองค์กรของคุณกำลังเจอปัญหาโครงสร้างเครือข่ายพันกันยุ่งเหยิง สัญญาณ WiFi ไม่เสถียร หรือต้องการเซ็ตอัประบบยืนยันตัวตน Guest WiFi ตามมาตรฐาน พ.ร.บ.คอมพิวเตอร์ สามารถทักมาคุยกับผมและทีมงาน SIAM-LOGIN ได้ตลอดเวลาครับ พวกเรายินดีเข้าไปช่วย Audit และวางระบบให้ตอบโจทย์ธุรกิจของคุณครับ