แนวคิดสำคัญคือให้อุปกรณ์แต่ละกลุ่มคุยได้เท่าที่จำเป็น: โทรศัพท์เข้าดูกล้องได้ กล้องบันทึกเข้า NVR ได้เมื่อใช้ระบบนั้น และอุปกรณ์ IoT ออกอินเทอร์เน็ตเพื่อทำงานได้ตามความจำเป็น แต่กล้องไม่ควรเห็นคอมพิวเตอร์ส่วนตัวโดยอัตโนมัติ เช่นเดียวกับปลั๊กหรือหลอดไฟที่ไม่จำเป็นต้องเข้าถึงอุปกรณ์เก็บข้อมูลในบ้าน

เมื่อทุกอย่างอยู่เครือข่ายเดียว ความเสี่ยงไม่ได้หยุดที่อุปกรณ์ชิ้นเดียว

เครือข่ายบ้านแบบทั่วไปมักให้อุปกรณ์ที่ต่อ Wi-Fi หรือสาย LAN เดียวกันมองเห็นกันได้พอสมควร ความสะดวกนี้มีประโยชน์ต่อการส่งไฟล์ ตั้งเครื่องพิมพ์ หรือค้นหาอุปกรณ์ใหม่ แต่ก็หมายความว่าอุปกรณ์หนึ่งอาจพยายามติดต่ออีกเครื่องในเครือข่ายภายในได้ หากการตั้งค่าไม่ได้ปิดกั้นไว้

ความเสี่ยงของอุปกรณ์ IoT ไม่ได้แปลว่าอุปกรณ์ทุกชิ้นอันตราย และไม่ควรเหมารวมว่าของยี่ห้อใดยี่ห้อหนึ่งไม่ปลอดภัย ประเด็นคืออุปกรณ์กลุ่มนี้มักมีหน้าที่เฉพาะทางมีหน้าจอหรือเมนูจำกัด และวงจรการอัปเดตอาจต่างจากโทรศัพท์หรือคอมพิวเตอร์ ยิ่งอุปกรณ์เข้าถึงได้ตลอดเวลาและใช้รหัสผ่านเดิมหรือรหัสผ่านที่คาดเดาได้ ผลของการตั้งค่าพลาดยิ่งไม่ควรถูกปล่อยให้ลามไปถึงข้อมูลสำคัญ

ลองนึกภาพว่าแอปกล้องถูกเข้าถึงเพราะรหัสผ่านบัญชีรั่ว การแยกเครือข่ายอาจไม่ได้หยุดผู้บุกรุกจากการดูภาพผ่านบัญชีนั้นโดยตรง แต่ช่วยลดโอกาสที่กล้องจะเป็นช่องทางไปสำรวจโน้ตบุ๊ก เครื่องเก็บไฟล์ หรืออุปกรณ์อื่นในวง LAN เดียวกัน นี่คือหลักการ “จำกัดขอบเขตความเสียหาย” ที่ใช้ได้แม้ไม่มีระบบระดับองค์กร

กล้องวงจรปิดควรถูกมองเป็นโซนเฉพาะ

กล้องวงจรปิดต่างจาก IoT ทั่วไปตรงที่มีภาพ เสียง หรือข้อมูลการเคลื่อนไหว และหลายระบบส่งข้อมูลต่อเนื่อง จึงควรแยกการตัดสินใจเรื่องความเป็นส่วนตัวออกจากเรื่องความสะดวกในการติดตั้ง กล้องที่หันไปยังทางเข้า ห้องนั่งเล่น หรือพื้นที่ทำงานย่อมมีข้อมูลที่อ่อนไหวกว่าหลอดไฟหรือเซ็นเซอร์อุณหภูมิ

แนวทางที่มักเหมาะคือทำ VLAN กล้อง หรือเครือข่ายย่อยสำหรับกล้องโดยเฉพาะ แล้วกำหนดให้กล้องติดต่อได้เฉพาะสิ่งที่ต้องใช้จริง เช่น เครื่องบันทึกภาพในโซนเดียวกัน หรือบริการภายนอกที่ระบบนั้นจำเป็นต้องเชื่อมต่อ ส่วนโทรศัพท์หรือคอมพิวเตอร์ของเจ้าของบ้านจึงได้รับสิทธิ์เข้าถึงหน้าดูกล้องเป็นกรณีไป แทนที่จะเปิดให้กล้องเริ่มการเชื่อมต่อเข้าหาอุปกรณ์ส่วนตัวได้

อย่างไรก็ดี การบล็อกอินเทอร์เน็ตให้กล้องทั้งหมดอาจทำให้ฟังก์ชันบางอย่างใช้ไม่ได้ เช่น การดูภาพจากนอกบ้าน การแจ้งเตือนผ่านคลาวด์ หรือการอัปเดตเฟิร์มแวร์ควรตรวจคู่มือของระบบที่ใช้ก่อน ไม่ควรเดาว่ากล้องทุกยี่ห้อทำงานแบบเดียวกัน หากเลือกใช้ NVR ภายในบ้าน ก็ต้องทดสอบด้วยว่าหน้าดูกล้อง แอปมือถือ และการค้นหากล้องยังทำงานหลังแบ่ง VLAN แล้ว

Guest Network, VLAN และเครือข่ายหลัก ต่างกันอย่างไรในทางปฏิบัติ

การเลือกวิธีขึ้นอยู่กับอุปกรณ์เครือข่ายและระดับการควบคุมที่ต้องการ ไม่จำเป็นต้องเริ่มจากระบบซับซ้อนที่สุด

Guest Network: จุดเริ่มต้นที่ง่ายสำหรับ IoT แบบ Wi-Fi

Guest Network คือชื่อเครือข่าย Wi-Fi เพิ่มสำหรับแขกหรืออุปกรณ์อีกกลุ่มหนึ่ง เราเตอร์หลายรุ่นมีตัวเลือกแยกผู้ใช้เครือข่ายแขกออกจากเครือข่ายภายใน จึงเป็นทางเลือกที่เข้าถึงง่ายสำหรับปลั๊ก หลอดไฟ หรืออุปกรณ์ IoT ที่เชื่อมต่อ Wi-Fi โดยตรง

แต่คำว่า Guest Network ไม่ได้ให้ผลเหมือนกันทุกรุ่น บางรุ่นแยกแขกออกจาก LAN ได้จริง บางรุ่นแยกเฉพาะระหว่างเครื่องลูกข่าย Wi-Fi และบางรุ่นยังอนุญาตให้เข้าถึงอุปกรณ์ภายในได้จากการตั้งค่าบางแบบ ดังนั้นอย่าตัดสินจากชื่อเมนูเพียงอย่างเดียว ให้ตรวจตัวเลือกอย่าง “อนุญาตเข้าถึงเครือข่ายภายใน” หรือ “client isolation” และทดสอบจากโทรศัพท์หลังเชื่อมต่อแล้ว

VLAN: เหมาะเมื่ออยากกำหนดกฎระหว่างโซนอย่างชัดเจน

VLAN แบ่งเครือข่ายเดียวให้เป็นหลายเครือข่ายเชิงตรรกะใช้ได้ทั้งกับอุปกรณ์ต่อสายและ Wi-Fi หากเราเตอร์ สวิตช์ และจุดกระจายสัญญาณรองรับการส่ง VLAN ตามรูปแบบที่ต้องการ จุดแข็งคือสามารถสร้างโซนกล้อง โซน IoT โซนเครื่องใช้งานหลัก และโซนแขก พร้อมตั้งกฎไฟร์วอลล์ว่าระหว่างโซนใดอนุญาตหรือปฏิเสธการเชื่อมต่อได้

VLAN ไม่ได้ปลอดภัยเพียงเพราะแบ่งหมายเลขเครือข่ายแล้ว หากอุปกรณ์เครือข่ายอนุญาตให้ VLAN คุยกันทั้งหมด ผลด้านการจำกัดความเสี่ยงก็แทบไม่เกิดขึ้น คุณค่าจริงอยู่ที่กฎการสื่อสารระหว่าง VLAN และการจัดการอุปกรณ์เครือข่ายที่รัดกุม

เครือข่ายหลัก: เก็บไว้สำหรับอุปกรณ์ที่ต้องเชื่อใจกันมากกว่า

เครือข่ายหลักเหมาะกับคอมพิวเตอร์ โทรศัพท์ แท็บเล็ต และอุปกรณ์เก็บข้อมูลที่เจ้าของต้องใช้ร่วมกันเป็นประจำ อุปกรณ์กลุ่มนี้ยังต้องอัปเดตระบบใช้รหัสผ่านหรือการล็อกหน้าจอ และเปิดการยืนยันตัวตนหลายปัจจัยในบัญชีสำคัญ เพราะการแบ่งเครือข่ายช่วยลดการเคลื่อนที่ภายใน ไม่ได้แทนที่การป้องกันที่ปลายทาง

วางระบบเครือข่ายจาก “ความจำเป็นในการคุย” ไม่ใช่จากชนิดอุปกรณ์อย่างเดียว

ก่อนเข้าเมนูเราเตอร์ ให้จดรายชื่ออุปกรณ์และเส้นทางข้อมูลที่ใช้อยู่จริง ขั้นตอนสั้น ๆ นี้ช่วยป้องกันปัญหาพบบ่อย คือแบ่งเครือข่ายแล้วแอปใช้ไม่ได้ จึงปิดกฎทั้งหมดกลับไปเหมือนเดิม

1. แยกบัญชีรายการอุปกรณ์ ว่าอะไรเป็นโทรศัพท์หรือคอมพิวเตอร์ อะไรเป็นกล้อง อะไรเป็น IoT และอะไรเป็น NVR เครื่องพิมพ์ หรือฮับกลาง
2. ระบุปลายทางที่จำเป็น เช่น โทรศัพท์ต้องดู NVR หรือกล้องโดยตรงหรือไม่ ฮับต้องสื่อสารกับอุปกรณ์ใด และอุปกรณ์ใดต้องออกอินเทอร์เน็ต
3. เริ่มจากกฎปฏิเสธระหว่างโซน เช่น ไม่ให้ IoT และกล้องเริ่มติดต่อเข้าเครือข่ายหลัก จากนั้นค่อยเปิดข้อยกเว้นเท่าที่ทดสอบแล้วว่าจำเป็น
4. ทดสอบงานสำคัญทีละอย่าง ตรวจการดูภาพสด การบันทึก การแจ้งเตือน การสั่งงานจากแอป และการเข้าถึงจากตำแหน่งที่ใช้งานจริง
5. บันทึกชื่อโซน รหัสผ่าน และกฎที่ตั้งไว้ เพื่อให้แก้ไขได้เมื่อเปลี่ยนเราเตอร์ เพิ่มกล้อง หรือมีคนในบ้านต้องดูแลระบบต่อ

ตัวอย่างเชิงแนวคิดสำหรับบ้านหนึ่งหลังอาจมีสามโซน: โซนหลักสำหรับคอมพิวเตอร์และโทรศัพท์, โซนกล้องสำหรับกล้องกับ NVR, และโซน IoT สำหรับปลั๊ก เซ็นเซอร์ หรืออุปกรณ์เครื่องใช้ไฟฟ้า กฎพื้นฐานอาจให้โทรศัพท์ในโซนหลักเข้าถึงหน้าใช้งานของ NVR ได้ แต่ไม่ให้โซนกล้องหรือ IoT เริ่มเชื่อมต่อหาโซนหลักเอง ส่วนโซนแขกแยกออกจากทั้งสามโซน การกำหนดจริงต้องปรับตามอุปกรณ์และความสามารถของเราเตอร์

กฎที่มักช่วยลดความเสี่ยง โดยไม่ทำให้บ้านใช้งานยากเกินไป

หัวใจของ ความปลอดภัย IoT คือให้สิทธิ์น้อยเท่าที่งานต้องใช้ แนวทางต่อไปนี้ใช้เป็นรายการตรวจสอบได้ โดยบางข้ออาจต้องปรับตามระบบที่มีอยู่

• ตั้งรหัสผ่าน Wi-Fi ที่รัดกุมและไม่ใช้รหัสผ่านผู้ดูแลเราเตอร์ซ้ำกับบัญชีอื่น
• เปลี่ยนรหัสผ่านเริ่มต้นของกล้อง NVR และอุปกรณ์ที่มีหน้าจัดการทันที หากระบบรองรับ
• ใช้การยืนยันตัวตนหลายปัจจัยกับบัญชีผู้ผลิตหรือบัญชีคลาวด์เมื่อมีให้ใช้
• อัปเดตเฟิร์มแวร์เราเตอร์ กล้อง และฮับจากช่องทางของผู้ผลิต แล้วตรวจว่าการอัปเดตไม่ทำให้กฎเครือข่ายเปลี่ยนไป
• ปิดการจัดการเราเตอร์จากอินเทอร์เน็ต หากไม่ได้มีเหตุผลและความเข้าใจชัดเจนว่าต้องใช้
• หลีกเลี่ยงการเปิดพอร์ตจากอินเทอร์เน็ตเข้าสู่กล้องหรือ NVR โดยไม่จำเป็น เพราะเป็นการเพิ่มช่องทางที่ต้องดูแล
• ลบอุปกรณ์เก่าหรืออุปกรณ์ที่เลิกใช้จากแอปและเครือข่าย แทนการปล่อยไว้โดยไม่รู้ว่ายังออนไลน์หรือไม่

หากอุปกรณ์ IoT ต้องให้โทรศัพท์อยู่เครือข่ายเดียวกันเพื่อเริ่มตั้งค่าอาจเชื่อมโทรศัพท์เข้าโซน IoT ชั่วคราวเพื่อดำเนินการ แล้วกลับสู่เครือข่ายหลักภายหลัง หรือใช้วิธีเพิ่มอุปกรณ์ผ่านฮับตามที่ผู้ผลิตรองรับ ไม่ควรแก้ปัญหาด้วยการย้าย IoT ทั้งหมดกลับเข้าเครือข่ายหลักถาวรโดยไม่ตรวจทางเลือกอื่น

จุดที่มักทำให้ระบบแยกเครือข่ายล้มเหลว

ข้อผิดพลาดแรกคือใช้ชื่อ Wi-Fi คนละชื่อ แต่ไม่ได้เปิดการแยกเครือข่ายหรือไม่มีไฟร์วอลล์กั้น อุปกรณ์จึงยังติดต่อกันได้เหมือนเดิม ข้อที่สองคือสร้างกฎเข้มเกินไปโดยไม่รู้ว่าระบบใดต้องคุยกัน ส่งผลให้กล้องออนไลน์แต่บันทึกภาพไม่ได้ หรือแอปค้นหาอุปกรณ์ไม่พบ

อีกจุดหนึ่งคือการเปิดข้อยกเว้นกว้างเกินความจำเป็น เช่น อนุญาตให้ IoT เข้าถึงทุกอุปกรณ์ในเครือข่ายหลักเพียงเพราะต้องการใช้อุปกรณ์ชิ้นเดียว แทนที่จะระบุปลายทางหรือบริการที่จำเป็น วิธีนี้ค่อย ๆ ทำให้เส้นแบ่งที่สร้างไว้หมดความหมาย

สำหรับบ้านที่ใช้ระบบ Wi-Fi หลายจุดกระจายสัญญาณควรตรวจด้วยว่าชื่อเครือข่ายสำหรับ IoT หรือ VLAN ที่สร้างไว้ถูกส่งไปยังจุดที่อุปกรณ์อยู่จริง และกฎแยกผู้ใช้ทำงานสอดคล้องกันทุกจุด ประเด็นนี้เป็นเรื่องการกำหนดโซนและสิทธิ์ ไม่ใช่เรื่องเพิ่มความแรงของสัญญาณโดยตรง

เริ่มระดับไหนจึงเหมาะกับบ้านของคุณ

หากมี IoT Wi-Fi ไม่กี่ชิ้นและเราเตอร์มี Guest Network ที่ยืนยันได้ว่าแยกจาก LAN การย้ายอุปกรณ์เหล่านั้นไปโซนแขกพร้อมเปลี่ยนรหัสผ่านผู้ดูแลอาจเป็นก้าวแรกที่คุ้มค่า ส่วนบ้านที่มีกล้องหลายตัว NVR อุปกรณ์ต่อสาย หรือมีข้อมูลงานและไฟล์สำคัญในเครือข่ายเดียวกันควรพิจารณา VLAN และกฎไฟร์วอลล์ที่กำหนดความสัมพันธ์ระหว่างโซนได้ละเอียดกว่า

ไม่จำเป็นต้องรื้อระบบให้สมบูรณ์ในวันเดียว เริ่มจากกล้องและอุปกรณ์ที่เข้าถึงพื้นที่ส่วนตัวหรือควบคุมไฟฟ้าก่อน แล้วทดสอบให้ใช้งานได้จริง การวางระบบเครือข่ายที่ดีไม่ใช่การทำให้ทุกอย่างตัดขาดจากกัน แต่คือการรักษาความสะดวกที่จำเป็นไว้ พร้อมไม่ปล่อยให้อุปกรณ์ที่ไม่ควรไว้ใจเท่ากันมีสิทธิ์เท่ากันโดยปริยาย