เหตุผลที่หลายองค์กรลงทุนระบบ Access Control แล้วไม่ได้ผลลัพธ์อย่างที่คาดหวัง

การลงทุนในระบบ Access Control ไม่ได้การันตีว่าองค์กรจะมีระบบรักษาความปลอดภัยที่ดี หากการออกแบบระบบเริ่มต้นจากคำถามว่า "จะเปิดประตูอย่างไร" แทนที่จะถามว่า "จะป้องกันความเสี่ยงอะไร"  หลายองค์กรลงทุนติดตั้งระบบ Access Control ด้วยงบประมาณหลักแสนหรือหลักล้านบาท แต่เมื่อใช้งานจริงกลับพบว่า ระบบที่ควรเป็นหัวใจของการรักษาความปลอดภัย กลายเป็นเพียงอุปกรณ์ สำหรับแตะบัตร เปิดประตู หรือสแกนใบหน้าเพื่อปลดล็อกประตูเท่านั้น เมื่อเกิดเหตุการณ์ผิดปกติ เช่น เอกสารสำคัญสูญหาย พนักงานที่ลาออกกลับเข้าพื้นที่ได้ ผู้รับเหมาที่หมดสัญญายังมีสิทธิ์เข้าอาคาร หรือเกิดเหตุการณ์บุคคลภายนอกเดินเข้าไปในพื้นที่สำคัญโดยไม่มีใครทราบ องค์กรจำนวนไม่น้อยจึงเริ่มตั้งคำถามว่า 

"เราลงทุนระบบ Access Control ไปแล้ว ทำไมยังเกิดเหตุการณ์แบบนี้" 

คำตอบที่พบจากประสบการณ์ของทีมออกแบบระบบ ไม่ได้อยู่ที่ยี่ห้อของอุปกรณ์ หรือเทคโนโลยีสแกนใบหน้า แต่เกิดจากแนวคิดในการออกแบบระบบตั้งแต่วันแรก หลายโครงการถูกออกแบบให้ตอบโจทย์เพียงการ "เปิดประตู" โดยไม่ได้ออกแบบให้ตอบโจทย์ "การควบคุมสิทธิ์ การติดตามเหตุการณ์ และการลดความเสี่ยงขององค์กร" นี่คือจุดเริ่มต้นที่ทำให้ Access Control สูญเสียบทบาทของการเป็นระบบรักษาความปลอดภัย และเหลือเพียงระบบอำนวยความสะดวกในการเข้าออกอาคาร

เมื่อองค์กรซื้อ "เครื่อง" แทนที่จะออกแบบ "ระบบ"

ตลอดหลายปีที่ทีม Production Support เข้าไปสำรวจหน้างาน สิ่งที่พบซ้ำแล้วซ้ำอีกคือ การเริ่มต้นโครงการจากคำถามที่ผิด

ผู้ใช้งานมักถามว่า

• เครื่องสแกนใบหน้ารุ่นไหนดี
• ใช้บัตรหรือสแกนหน้าดีกว่า
• เครื่องรองรับกี่คน
• ราคาติดตั้งเท่าไร

คำถามเหล่านี้ไม่ใช่คำถามที่ผิด แต่ยังไม่ใช่คำถามที่สำคัญที่สุด

คำถามที่ควรถามก่อนเลือกอุปกรณ์คือ

• พื้นที่ใดขององค์กรมีความเสี่ยงสูงที่สุด
• ใครควรเข้าพื้นที่นั้นได้
• ใครไม่ควรเข้าพื้นที่นั้น
• สิทธิ์การเข้าออกควรเปลี่ยนตามตำแหน่งงานหรือไม่
• หากระบบเครือข่ายล่ม ประตูควรทำงานอย่างไร
• หากเกิดเหตุเพลิงไหม้ ประตูควรปลดล็อกหรือยังคงล็อก
• หากพนักงานลาออก สิทธิ์จะถูกยกเลิกอัตโนมัติหรือไม่
• หากเกิดเหตุผิดปกติ ผู้ดูแลระบบสามารถตรวจสอบย้อนหลังได้ภายในกี่นาที

ความแตกต่างระหว่าง "ซื้อเครื่อง" กับ "ออกแบบระบบ" อยู่ตรงนี้เอง องค์กรที่มอง Access Control เป็นเพียงอุปกรณ์ จะเลือกจากราคา ฟังก์ชัน และโปรโมชั่น แต่องค์กรที่มอง Access Control เป็นส่วนหนึ่งของ Security Architecture จะเริ่มจากการวิเคราะห์ความเสี่ยงของธุรกิจ แล้วจึงเลือกเทคโนโลยีที่เหมาะสม

ปัญหาที่เราเจอในหน้างานจริง ไม่ได้เกิดจากเทคโนโลยี

หลายคนเชื่อว่า หากเลือกอุปกรณ์ที่มีราคาแพง ระบบก็จะปลอดภัยมากขึ้นแต่ในความเป็นจริง เหตุการณ์ที่ทีม Production Support เข้าไปแก้ไขมักไม่เกี่ยวข้องกับคุณภาพของเครื่องอ่านบัตรหรือเครื่องสแกนใบหน้าเลยตัวอย่างที่พบได้บ่อย ได้แก่

กรณีที่ 1 : Server Room ใช้สิทธิ์ร่วมกับพื้นที่สำนักงาน

องค์กรแห่งหนึ่งแบ่งพื้นที่เป็นสำนักงานทั่วไป ห้องประชุม และห้อง Server แต่ใช้สิทธิ์เข้าออกเพียงชุดเดียว ผลลัพธ์คือ พนักงานทุกคนที่สามารถเปิดประตูสำนักงานได้ ก็สามารถเปิดประตูห้อง Server ได้เช่นกัน ในมุมของระบบ ทุกอย่างทำงานถูกต้อง แต่ในมุมของการรักษาความปลอดภัย นี่คือการออกแบบที่ผิดตั้งแต่ต้น เพราะพื้นที่ที่มีความสำคัญต่างกัน ไม่ควรใช้สิทธิ์การเข้าออกแบบเดียวกัน

กรณีที่ 2 : พนักงานลาออก แต่บัตรยังใช้งานได้

หลายองค์กรยังคงบริหารสิทธิ์เข้าออกด้วยวิธี Manual เมื่อ HR แจ้งการลาออก ผู้ดูแลระบบต้องเข้าโปรแกรม > ค้นหาพนักงาน > ลบสิทธิ์ > Sync ไปยัง Controller หากลืมทำเพียงขั้นตอนเดียวพนักงานคนนั้นอาจยังสามารถเข้าพื้นที่ได้อีกหลายวัน ปัญหานี้ไม่ได้เกิดจากเครื่องอ่านบัตร แต่เกิดจาก Workflow ขององค์กรที่ไม่ได้เชื่อมโยงระหว่าง HR และระบบ Access Control

กรณีที่ 3 : มี Log แต่ไม่มีใครใช้

หลายองค์กรมีข้อมูลการเข้าออกครบทุกเหตุการณ์ แต่เมื่อเกิดเหตุจริง กลับใช้เวลาหลายชั่วโมงในการค้นหาข้อมูล เหตุผลไม่ใช่เพราะระบบไม่มีข้อมูลแต่เป็นเพราะไม่มีการกำหนดแนวทางในการใช้งาน Audit Log ตั้งแต่เริ่มต้น ระบบจึงทำหน้าที่เพียง "เก็บข้อมูล" แต่ไม่สามารถช่วย "วิเคราะห์เหตุการณ์" ได้ 

ต้นทุนที่ซ่อนอยู่ของ Access Control ที่ออกแบบไม่ดี 

หลายองค์กรประเมินต้นทุนของโครงการจากค่าอุปกรณ์ ค่าติดตั้ง และค่าบำรุงรักษาแต่ในความเป็นจริง ต้นทุนที่สูงที่สุดมักเกิดขึ้นหลังจากระบบเปิดใช้งานไปแล้วตัวอย่างเช่น

• ต้องเดินสายและติดตั้ง Controller ใหม่เมื่อองค์กรขยายพื้นที่
• ต้องเปลี่ยนฐานข้อมูลเพราะรองรับหลายสาขาไม่ได้
• ต้องเปลี่ยนระบบใหม่ทั้งหมดเมื่อจำนวนผู้ใช้งานเพิ่มขึ้น
• ต้องเพิ่มเจ้าหน้าที่รักษาความปลอดภัย เพราะระบบไม่สามารถควบคุมสิทธิ์ได้ละเอียดพอ
• ต้องเสียเวลาตรวจสอบเหตุการณ์ย้อนหลังหลายชั่วโมง เนื่องจากข้อมูลกระจัดกระจายอยู่หลายระบบ
• ต้องหยุดการใช้งานบางพื้นที่เพื่อปรับปรุงระบบ เนื่องจากไม่ได้ออกแบบเผื่อการเติบโตขององค์กร

ต้นทุนเหล่านี้มักไม่ปรากฏอยู่ในใบเสนอราคา แต่กลับเป็นค่าใช้จ่ายที่เกิดขึ้นจริงตลอดอายุการใช้งานของระบบ ด้วยเหตุนี้ การออกแบบ Access Control จึงไม่ควรถูกมองว่าเป็นเพียงโครงการติดตั้งอุปกรณ์ แต่เป็นการวางโครงสร้างพื้นฐานด้านความปลอดภัยขององค์กรในระยะยาว 

Access Control ที่ดี ไม่ได้เริ่มต้นจากประตู แต่เริ่มต้นจาก "ความเสี่ยง"

นี่คือประเด็นที่ทีม System Integrator มักอธิบายกับลูกค้าก่อนเริ่มออกแบบระบบประตูเป็นเพียง "จุดควบคุม" (Control Point) แต่สิ่งที่ต้องออกแบบจริง ๆ คือ "นโยบายการเข้าถึง" (Access Policy) หากองค์กรยังเริ่มต้นด้วยคำถามว่า "ต้องติดเครื่องกี่ตัว?" แสดงว่าโครงการกำลังโฟกัสที่อุปกรณ์แต่หากเริ่มต้นด้วยคำถามว่า "เราต้องการป้องกันความเสี่ยงอะไร?" แนวคิดของโครงการจะเปลี่ยนไปทันที จาก

การซื้ออุปกรณ์ สู่การออกแบบระบบรักษาความปลอดภัยที่สอดคล้องกับกระบวนการทำงานของธุรกิจ และนี่คือความแตกต่างระหว่าง "ระบบเปิดประตู" กับ "ระบบ Access Control ที่ทำหน้าที่เป็น Security Solution"