การย้ายอีเมลองค์กรมาใช้ Google Workspace อย่างปลอดภัย ส่วนใหญ่เป็นเรื่องการตั้งค่าและการเตรียมคน มากกว่าการย้ายข้อมูลเอง สิ่งที่ควรทำก่อนเปิดให้พนักงานใช้จริงมีสามเรื่องหลัก คือปกป้องบัญชีผู้ดูแลระบบ เปิดการยืนยันตัวตนสองขั้นตอน และตั้งค่าให้โดเมนอีเมลของบริษัทพิสูจน์ตัวเองได้ บทความนี้ไล่ทีละเรื่อง แล้วปิดด้วยการอบรมผู้ใช้และเช็คลิสต์สำหรับวันเปิดใช้
เนื้อหาเป็นข้อมูลทั่วไปสำหรับองค์กรทุกขนาด ชื่อเมนูในหน้าผู้ดูแลระบบอาจเปลี่ยนตามเวอร์ชัน ควรเทียบกับหน้าจอจริงของบัญชีที่ใช้อยู่
ทำไมการย้ายอีเมลมาที่ Google Workspace ต้องคิดเรื่องความปลอดภัยตั้งแต่แรก
อีเมลองค์กรมักเป็นประตูเข้าสู่ทุกอย่าง ใครที่เข้าบัญชีอีเมลได้ก็มักกดรีเซ็ตรหัสผ่านของระบบอื่นต่อได้ ไฟล์ใน Drive ปฏิทิน และการสนทนาก็อยู่ในบัญชีเดียวกัน ถ้าตั้งค่าหละหลวมในวันแรก ค่าเริ่มต้นนั้นจะติดไปจนมีคนกลับมาแก้ ซึ่งมักเป็นหลังเกิดเรื่อง
ช่วงย้ายระบบเป็นโอกาสที่ดีที่สุดที่จะตั้งค่าให้ถูกตั้งแต่ต้น เพราะยังไม่มีผู้ใช้ติดนิสัยเดิม และยังไม่มีไฟล์ที่ถูกแชร์ไปทั่ว จากประสบการณ์ที่ทีม TechFinder เคยช่วยองค์กรขนาดเล็กวางระบบ Google Workspace และอบรมการใช้งานให้พนักงาน งานตั้งค่ากับงานสอนคนควรไปพร้อมกัน
ขั้นที่ 1: ปกป้องบัญชีผู้ดูแลระบบก่อนบัญชีอื่น
บัญชีผู้ดูแลระบบสูงสุด (super admin) ควบคุมผู้ใช้ทั้งองค์กร ถ้าถูกยึด ผู้โจมตีอ่านอีเมลของทุกคนและลบผู้ใช้ได้ จึงควรจัดการก่อนสิ่งอื่น แนวทางที่ใช้กันทั่วไปมีดังนี้
- ใช้บัญชีผู้ดูแลแยกจากบัญชีอีเมลที่ใช้ทำงานประจำวัน
- ไม่ใช้บัญชีผู้ดูแลร่วมกันหลายคน เพื่อให้บันทึกการใช้งานบอกได้ว่าใครทำอะไร
- มีผู้ดูแลสูงสุดมากกว่าหนึ่งคน แต่ไม่มากเกินจำเป็น เพื่อไม่ให้ระบบล็อกตัวเองเมื่อคนเดียวลาออกหรือติดต่อไม่ได้
- ให้สิทธิ์ผู้ดูแลระดับย่อยกับคนที่ทำงานประจำ เช่น ฝ่ายซัพพอร์ตที่รีเซ็ตรหัสผ่านอย่างเดียว
- บังคับใช้การยืนยันตัวตนที่แข็งแรงที่สุดกับบัญชีกลุ่มนี้ (ดูขั้นถัดไป)
เก็บข้อมูลกู้บัญชีของผู้ดูแล เช่น เบอร์โทรและอีเมลสำรอง ไว้ในที่ที่ปลอดภัยและอัปเดตเมื่อมีคนเปลี่ยน
ขั้นที่ 2: เปิดการยืนยันตัวตนสองขั้นตอน และเลือกวิธีให้เหมาะ
รหัสผ่านอย่างเดียวไม่พอแล้ว เอกสารของ CISA อธิบายว่าถ้าผู้โจมตีได้ข้อมูลยืนยันตัวตนเพียงอย่างเดียวไป ก็ยังเข้าบัญชีไม่ได้เมื่อไม่มีปัจจัยที่สอง CISA แนะนำให้ใช้ MFA กับผู้ใช้ทุกคนและทุกบริการ รวมถึงอีเมลและระบบแชร์ไฟล์
แต่ MFA ไม่ได้แข็งแรงเท่ากันทุกแบบ เอกสารของ CISA จัดลำดับจากแข็งแรงที่สุดไปอ่อนที่สุด โดยวิธีที่ต้านการฟิชชิงได้ เช่น FIDO/WebAuthn อยู่บนสุด ถัดมาคือแอปสร้างรหัสหรือการแจ้งเตือนแบบจับคู่ตัวเลข ส่วนรหัสผ่าน SMS มีช่องทางโจมตีอย่างการสลับซิม (SIM swap) และ CISA ยังเตือนเรื่องการส่งการแจ้งเตือนซ้ำ ๆ จนผู้ใช้กดอนุมัติเอง (push bombing) ในทางปฏิบัติ วิธีกลุ่มบนสุดหมายถึงกุญแจความปลอดภัยแบบฮาร์ดแวร์หรือ passkey
CISA สรุปว่า MFA แบบใดก็ดีกว่าไม่มี แต่ผู้ดูแลระบบและบุคคลที่เป็นเป้าหมายมีมูลค่าสูงควรย้ายไปใช้วิธีต้านฟิชชิงให้เร็วที่สุด
| กลุ่มผู้ใช้ | วิธีที่ควรพิจารณา |
|---|---|
| ผู้ดูแลระบบ | กุญแจความปลอดภัยหรือ passkey |
| ผู้บริหารและฝ่ายการเงิน | กุญแจความปลอดภัย หรืออย่างน้อยแอปยืนยันตัวตน |
| พนักงานทั่วไป | แอปยืนยันตัวตนหรือ passkey ตามความพร้อมของอุปกรณ์ |
ก่อนเปิดบังคับ ควรประกาศล่วงหน้าและให้ช่วงเวลาลงทะเบียน ดูรายงานว่าใครยังไม่ลงทะเบียน แล้วตามเป็นรายคน มิฉะนั้นวันบังคับใช้จะกลายเป็นวันที่ฝ่ายไอทีรับสายไม่ทัน
ขั้นที่ 3: ทำให้โดเมนอีเมลของบริษัทพิสูจน์ตัวเองได้ด้วย SPF, DKIM และ DMARC
ใครก็ส่งอีเมลโดยอ้างชื่อโดเมนของคุณได้ ถ้าไม่มีกลไกตรวจสอบ ลูกค้าและคู่ค้าจะได้รับอีเมลปลอมที่ดูเหมือนมาจากฝ่ายบัญชีของคุณ CISA อธิบายสามระเบียนนี้ไว้ดังนี้
- SPF คือรายการใน DNS ที่ระบุว่าเซิร์ฟเวอร์ไหนส่งอีเมลแทนโดเมนนี้ได้
- DKIM คือลายเซ็นดิจิทัลที่แนบกับอีเมลขาออก โดยกุญแจสาธารณะอยู่ใน DNS เพื่อให้ผู้รับตรวจได้ว่าเนื้อหาไม่ถูกแก้ไข
- DMARC ต่อยอดจากสองอย่างแรก และให้เจ้าของโดเมนกำหนดได้ว่าถ้าอีเมลไม่ผ่านการตรวจให้ผู้รับทำอย่างไร
คำแนะนำของ CISA คือตั้งทั้งสามให้ทำงานด้วยกัน ไม่ใช่ตั้งแยกกัน และก่อนเริ่มควรรู้ก่อนว่ามีบริการใดบ้างที่ส่งอีเมลในนามโดเมนของคุณ เช่น ระบบใบแจ้งหนี้ ระบบจองคิว หรือเครื่องมือส่งจดหมายข่าว บริการเหล่านี้ถ้าลืมใส่ อีเมลจริงจะถูกปฏิเสธเมื่อเข้มงวดขึ้น
เข้มงวดทีละขั้น
เอกสาร BOD 18-01 ของ CISA อธิบายลำดับไว้ชัด เริ่มจากนโยบาย DMARC แบบ p=none เพื่อรับรายงานว่าใครส่งอีเมลในนามโดเมนบ้าง แก้ช่องว่างตามรายงาน แล้วค่อยขยับเป็น quarantine และ reject โดยเพิ่มสัดส่วนทีละน้อย นโยบาย reject เท่านั้นที่บล็อกอีเมลที่ไม่ผ่านการตรวจได้สมบูรณ์
มีข้อควรระวังสองข้อ ข้อแรก CISA เตือนว่าการตั้งผิดอาจทำให้อีเมลจริงถูกมองเป็นสแปม จึงควรตรวจระเบียนก่อนประกาศใช้และติดตามผลหลังจากนั้น ข้อสองคือโดเมนที่ไม่ได้ใช้ส่งอีเมลก็ถูกปลอมได้ ควรตั้ง reject ไว้ด้วย พร้อมระเบียน SPF ที่ไม่อนุญาตผู้ส่งใดเลย
ใน Google Workspace การสร้างกุญแจ DKIM ทำได้ในหน้าผู้ดูแลระบบส่วนของ Gmail แล้วนำค่าไปเพิ่มใน DNS ของโดเมน ผู้ที่ดูแล DNS อยู่ที่ผู้ให้บริการโดเมนอาจเป็นคนละฝ่ายกับผู้ดูแล Workspace ควรนัดทำพร้อมกัน
ขั้นที่ 4: ตั้งค่าการแชร์ไฟล์และข้อมูลเริ่มต้นให้เหมาะกับองค์กร
พื้นที่ Drive ที่แชร์ได้ง่ายเป็นข้อดีของการทำงานร่วมกัน แต่ถ้าค่าเริ่มต้นอนุญาตให้แชร์ลิงก์สาธารณะ ไฟล์ภายในจะหลุดออกไปได้ง่ายเท่ากัน ประเด็นที่ควรตัดสินใจก่อนเปิดใช้มีดังนี้
- อนุญาตแชร์ไฟล์กับบุคคลภายนอกหรือไม่ และกับโดเมนใดบ้าง
- ใครสร้างและจัดการไดรฟ์ร่วมของทีมได้ เพื่อไม่ให้ไฟล์สำคัญอยู่ในไดรฟ์ส่วนตัวของคนที่ลาออกไปแล้ว
- ข้อมูลประเภทไหนไม่ควรเก็บในระบบนี้เลย เช่น ข้อมูลส่วนบุคคลที่อ่อนไหว ซึ่งต้องดูร่วมกับนโยบายข้อมูลขององค์กร
- การเข้าถึงจากอุปกรณ์ส่วนตัว และการล็อกหน้าจอเมื่อเครื่องหาย
ถ้าองค์กรมีข้อมูลส่วนบุคคลของลูกค้าหรือพนักงานอยู่ในอีเมลและ Drive ควรตรวจกับผู้ดูแลเรื่อง PDPA ด้วย (ข้อมูลนี้เป็นข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย ควรปรึกษาที่ปรึกษากฎหมาย)
ขั้นที่ 5: อบรมผู้ใช้ก่อนและหลังวันเปิดใช้
ระบบที่ตั้งค่าดีที่สุดก็ยังพึ่งการตัดสินใจของคน อีเมลฟิชชิงที่ขอให้กรอกรหัสผ่านและรหัสยืนยันบนหน้าปลอมเป็นรูปแบบที่ CISA ยกเป็นตัวอย่างในเอกสารของตัวเอง และการตั้งค่าอย่างเดียวไม่อาจหยุดผู้ใช้ที่กรอกให้เองได้ทั้งหมด
เนื้อหาอบรมที่ใช้ได้จริงสำหรับการย้ายระบบมักประกอบด้วย
- วิธีลงทะเบียนยืนยันตัวตนสองขั้นตอน และทำอย่างไรถ้าทำโทรศัพท์หาย
- วิธีสังเกตอีเมลต้องสงสัยและช่องทางรายงานให้ฝ่ายไอที
- ข้อกำหนดการแชร์ไฟล์ ว่าแชร์กับใครได้ ลิงก์แบบไหนห้ามใช้
- การใช้งานประจำวัน เช่น ปฏิทิน การประชุม และไดรฟ์ร่วม เพื่อให้พนักงานรู้สึกว่าระบบใหม่ใช้ง่าย ไม่ใช่ภาระ
แนะนำให้อบรมสั้น ๆ ก่อนวันเปิดใช้ และมีช่วงถามตอบอีกครั้งหลังใช้ไปสักระยะ เพราะคำถามจริงมักเกิดหลังจากผู้ใช้ลงมือแล้ว
เช็คลิสต์ก่อนวันเปิดใช้ Google Workspace
- มีผู้ดูแลสูงสุดมากกว่าหนึ่งคน ใช้บัญชีแยกจากงานประจำ และไม่มีการใช้ร่วมกัน
- ผู้ดูแลระบบใช้กุญแจความปลอดภัยหรือ passkey
- เปิดการยืนยันตัวตนสองขั้นตอนให้ผู้ใช้ทุกคนแล้ว และมีรายชื่อคนที่ยังไม่ลงทะเบียน
- ตั้ง SPF และ DKIM แล้ว และ DMARC เริ่มที่
p=noneพร้อมกำหนดวันทบทวนรายงาน - รู้ครบว่ามีบริการอื่นใดส่งอีเมลในนามโดเมน
- กำหนดค่าเริ่มต้นการแชร์ไฟล์ภายนอกแล้ว
- มีการอบรมก่อนเปิดใช้และกำหนดวันอบรมรอบสอง
- ผู้ใช้รู้ว่าถ้าสงสัยอีเมลฟิชชิงต้องแจ้งใคร
ขั้นตอนถัดไป
ถ้าองค์กรกำลังวางแผนย้ายมาใช้ Google Workspace และอยากให้มีคนช่วยดูการตั้งค่าและอบรมผู้ใช้ ดูบริการที่ปรึกษาด้านไซเบอร์ โครงสร้างพื้นฐาน คลาวด์ และ AI ของเราได้ที่ บริการของเรา หรือคุยกับทีมที่ หน้าติดต่อ
คำถามที่พบบ่อย
ย้ายอีเมลองค์กรมาใช้ Google Workspace ต้องตั้งค่าความปลอดภัยอะไรก่อน
เริ่มจากปกป้องบัญชีผู้ดูแลระบบ เปิดการยืนยันตัวตนสองขั้นตอน และตั้งค่า SPF, DKIM, DMARC ให้โดเมนของบริษัท ทั้งหมดนี้ควรทำก่อนให้พนักงานเริ่มใช้งานจริง
การยืนยันตัวตนสองขั้นตอนแบบไหนปลอดภัยที่สุด
CISA จัดให้วิธีที่ต้านการฟิชชิงได้ เช่น FIDO/WebAuthn อยู่ระดับสูงสุด ซึ่งในทางปฏิบัติคือกุญแจความปลอดภัยหรือ passkey ส่วนรหัสทาง SMS อ่อนกว่า แต่ก็ยังดีกว่าไม่เปิดเลย
SPF, DKIM และ DMARC คืออะไร ทำไมต้องตั้ง
ทั้งสามเป็นระเบียนใน DNS ที่ช่วยให้ผู้รับตรวจได้ว่าอีเมลที่อ้างโดเมนของคุณส่งมาจากผู้ที่ได้รับอนุญาตจริงหรือไม่ ช่วยลดการปลอมอีเมลในนามบริษัท
ควรตั้งนโยบาย DMARC เป็น reject ทันทีเลยหรือไม่
ไม่ควร แนวทางของ CISA คือเริ่มที่ p=none เพื่อดูรายงานว่าใครส่งอีเมลในนามโดเมนบ้าง แก้จุดที่ยังไม่ผ่าน แล้วค่อยเพิ่มระดับทีละขั้นจนถึง reject
การอบรมผู้ใช้จำเป็นหรือไม่ถ้าตั้งค่าระบบครบแล้ว
จำเป็น เพราะการฟิชชิงและการแชร์ไฟล์ผิดคนเกิดจากการกระทำของผู้ใช้ ซึ่งการตั้งค่าอย่างเดียวกันไม่หมด ควรอบรมก่อนและหลังเปิดใช้ และมีช่องทางให้ถามเมื่อไม่แน่ใจ