สถาปัตยกรรมความไว้วางใจเป็นศูนย์ (Zero Trust ArchitectureหรือZTA ) เป็นกลยุทธ์การออกแบบและการใช้งานระบบไอทีหลักการคือผู้ใช้และอุปกรณ์ไม่ควรได้รับความไว้วางใจโดยค่าเริ่มต้น แม้ว่าจะเชื่อมต่อกับ เครือข่าย ที่มีสิทธิ์พิเศษเช่นLAN ขององค์กร และแม้ว่าจะได้รับการตรวจสอบก่อนหน้านี้แล้วก็ตาม หลักการนี้ยังเป็นที่รู้จักในชื่อการรักษาความปลอดภัยแบบไร้ขอบเขตหรือในอดีต เรียกว่า การลดขอบเขต^{[ 1 ]}

ZTA ดำเนินการโดยการสร้างการตรวจสอบตัวตน ตรวจสอบความสอดคล้องของอุปกรณ์ก่อนให้สิทธิ์การเข้าถึง และรับรองการเข้าถึงสิทธิ์ขั้นต่ำสุดเฉพาะทรัพยากรที่ได้รับอนุญาตอย่างชัดเจนเท่านั้น เครือข่ายองค์กรสมัยใหม่ส่วนใหญ่ประกอบด้วยโซนที่เชื่อมต่อกันหลายแห่งบริการคลาวด์และโครงสร้างพื้นฐาน การเชื่อมต่อกับสภาพแวดล้อมระยะไกลและเคลื่อนที่ และการเชื่อมต่อกับไอทีที่ไม่ใช่แบบดั้งเดิม เช่นอุปกรณ์IoT ^{[ 2 ]}

แนวทางดั้งเดิมโดยการเชื่อถือผู้ใช้และอุปกรณ์ภายใน "ขอบเขตองค์กร" สมมติหรือผ่าน การเชื่อมต่อ VPNมักจะไม่เพียงพอในสภาพแวดล้อมที่ซับซ้อนของเครือข่ายองค์กร แนวทางความไว้วางใจเป็นศูนย์สนับสนุนการตรวจสอบความถูกต้องร่วมกันซึ่งรวมถึงการตรวจสอบตัวตนและความสมบูรณ์ของผู้ใช้และอุปกรณ์โดยไม่คำนึงถึงตำแหน่ง และการให้สิทธิ์การเข้าถึงแอปพลิเคชันและบริการโดยอาศัยความเชื่อมั่นในตัวตนของผู้ใช้และอุปกรณ์และสถานะของอุปกรณ์ร่วมกับการตรวจสอบความถูกต้องของ ผู้ใช้ ^{[ 3 ]}สถาปัตยกรรมความไว้วางใจเป็นศูนย์ได้รับการเสนอให้ใช้ในพื้นที่เฉพาะ เช่น ห่วงโซ่อุปทาน^{[ 4 ] [ 5 ]}

หลักการของ Zero Trust สามารถนำไปใช้กับการเข้าถึงข้อมูลและการจัดการข้อมูลได้ ซึ่งนำไปสู่ความปลอดภัยของข้อมูล แบบ Zero Trust โดยที่ทุกคำขอในการเข้าถึงข้อมูลจะต้องได้รับการตรวจสอบสิทธิ์แบบไดนามิกและรับประกันการเข้าถึงทรัพยากรที่มีสิทธิ์น้อยที่สุด เพื่อพิจารณาว่าสามารถให้สิทธิ์การเข้าถึงได้หรือไม่ สามารถใช้นโยบายตามคุณลักษณะของข้อมูล ผู้ใช้คือใคร และประเภทของสภาพแวดล้อมโดยใช้การควบคุมการเข้าถึงตามคุณลักษณะ (ABAC)แนวทางความปลอดภัยของข้อมูลแบบ Zero Trust นี้สามารถปกป้องการเข้าถึงข้อมูลได้^{[ 6 ]}

มีการเสนอคำจำกัดความของ "ความไว้วางใจเป็นศูนย์" หลายแบบนับตั้งแต่มีการใช้คำนี้ครั้งแรกในปี 1994

ในเดือนเมษายน พ.ศ. 2537 คำว่า "zero trust" ถูกบัญญัติขึ้นโดย Stephen Paul Marsh ในวิทยานิพนธ์ปริญญาเอกของเขาเกี่ยวกับความปลอดภัยของคอมพิวเตอร์ที่มหาวิทยาลัย Stirling งานของ Marsh ศึกษาความไว้วางใจในฐานะสิ่งที่มีขอบเขตจำกัดซึ่งสามารถอธิบายได้ทางคณิตศาสตร์ โดยยืนยันว่าแนวคิดเรื่องความไว้วางใจ นั้น อยู่เหนือปัจจัย ^ของมนุษย์ เช่นศีลธรรมจริยธรรมกฎหมายความยุติธรรมและการตัดสิน [ ^{7 ]}

ปัญหาของโมเดลเครือข่ายแบบ Smartie หรือ M&M (คำอธิบายเบื้องต้นของการลดขอบเขต ) ได้รับการอธิบายโดย วิศวกรของ Sun Microsystemsใน บทความ Network Worldในเดือนพฤษภาคม พ.ศ. 2537 ซึ่งอธิบายการป้องกันขอบเขตของไฟร์วอลล์ว่าเป็นเปลือกแข็งหุ้มแกนกลางที่อ่อนนุ่ม เหมือนกับไข่ Cadbury ^{[ 8 ]}

ในปี พ.ศ. 2544 ได้มีการเผยแพร่ OSSTMM (Open Source Security Testing Methodology Manual) เวอร์ชันแรก ซึ่งเน้นเรื่องความไว้วางใจ เวอร์ชัน 3 ที่ออกมาราวปี พ.ศ. 2550 มีบททั้งบทเกี่ยวกับความไว้วางใจ โดยระบุว่า "ความไว้วางใจเป็นช่องโหว่" และพูดถึงวิธีการนำการควบคุม 10 ข้อของ OSSTMM ไปใช้โดยอิงตามระดับความไว้วางใจ^{[ 9 ]}

ในปี 2018 สถาบันมาตรฐานและเทคโนโลยีแห่งชาติ ของสหรัฐอเมริกา (NIST) และศูนย์ความเป็นเลิศด้านความปลอดภัยทางไซเบอร์แห่งชาติ (NCCoE) ได้เผยแพร่ NIST SP 800-207 – สถาปัตยกรรมความไว้วางใจเป็นศูนย์^{[ 10 ] [ 11 ]}เอกสารดังกล่าวได้กำหนดความไว้วางใจเป็นศูนย์ว่าเป็นชุดของแนวคิดและความคิดที่ออกแบบมาเพื่อลดความไม่แน่นอนในการบังคับใช้การตัดสินใจการเข้าถึงที่ถูกต้องตามคำขอในระบบสารสนเทศและบริการเมื่อเผชิญกับเครือข่ายที่ถูกมองว่าถูกบุกรุก สถาปัตยกรรมความไว้วางใจเป็นศูนย์ (ZTA) คือแผนความปลอดภัยทางไซเบอร์ขององค์กรที่ใช้แนวคิดความไว้วางใจเป็นศูนย์และครอบคลุมความสัมพันธ์ของส่วนประกอบ การวางแผนเวิร์กโฟลว์ และนโยบายการเข้าถึง ดังนั้น องค์กรความไว้วางใจเป็นศูนย์จึงเป็นโครงสร้างพื้นฐานเครือข่าย (ทางกายภาพและเสมือน) และนโยบายการดำเนินงานที่องค์กรมีอยู่ซึ่งเป็นผลมาจากแผนสถาปัตยกรรมความไว้วางใจเป็นศูนย์

มีหลายวิธีในการนำหลักการทั้งหมดของ ZT ไปใช้ โดยโซลูชัน ZTA ที่สมบูรณ์แบบจะประกอบด้วยองค์ประกอบจากทั้งสามวิธีนี้:

• โดยใช้การกำกับดูแลตัวตนที่ได้รับการปรับปรุงและการควบคุมการเข้าถึงตามนโยบาย
• การใช้การแบ่งส่วนย่อยระดับไมโคร
• การใช้เครือข่ายโอเวอร์เลย์หรือขอบเขตที่กำหนดโดยซอฟต์แวร์

ในเดือนกันยายน พ.ศ. 2568 คณะกรรมการทางเทคนิค CYBER ของสถาบันมาตรฐานโทรคมนาคมแห่งยุโรป (ETSI) (ETSI TC CYBER) ได้เผยแพร่ข้อกำหนดทางเทคนิค (TS) 104 102 ซึ่งมีรายละเอียดเกี่ยวกับระเบียบวิธี ZT-Kipling ^{[ 12 ]}ระเบียบวิธี ZT-Kipling กำหนด Zero Trust (ZT) ดังนี้:

ZT (Zero Trust) คือกลยุทธ์ (หรือแนวทาง) ด้านความปลอดภัยที่ตั้งอยู่บนพื้นฐานของการไม่ไว้วางใจโดยปริยาย (กล่าวคือ ความไว้วางใจเป็นศูนย์) ในโลกดิจิทัล และได้รับการออกแบบมาเพื่อตรวจจับและป้องกันการละเมิด ในขณะเดียวกันก็ตรวจสอบผู้ใช้ อุปกรณ์ ทุกชั้น (เช่น ข้อแนะนำแบบจำลองชั้น OSI ITU-T X.200...) แอปพลิเคชันทั้งหมด ในทุกสถานที่แบบเรียลไทม์ (รันไทม์) อย่างสม่ำเสมอ (หรือดีกว่านั้นคืออย่างต่อเนื่อง) และใช้การรักษาความปลอดภัยแบบไปป์ไลน์การบูรณาการอย่างต่อเนื่องและการส่งมอบอย่างต่อเนื่อง (CI/CD) ส่งผลให้เกิดความปลอดภัยเชิงป้องกันจากเวกเตอร์การโจมตีทั้งหมดในทุกขั้นตอนของการโจมตี ดังนั้นความไว้วางใจจึงกลายเป็นสิ่งที่ชัดเจน

ระเบียบวิธี ZT-Kipling ก้าวข้ามหลักการพื้นฐานของสถาปัตยกรรม Zero Trust (ZTA) ^{[ 11 ]}โดยกำหนดชุดขั้นตอนบังคับห้าขั้นตอนที่ทำซ้ำได้ ระเบียบวิธีนี้ถือว่า ZT เป็นกระบวนการต่อเนื่องและทำซ้ำได้^{[ 11 ] [ 12 ]}แก่นแท้ของลักษณะที่เป็นระบบของระเบียบวิธีนี้อยู่ที่การบูรณาการเกณฑ์ Kipling: อะไร ทำไม เมื่อไหร่ ที่ไหน ใคร และอย่างไร^{[ 12 ]}ชุดคำถามหกข้อนี้จะต้องนำไปใช้และตอบอย่างเป็นระบบสำหรับแต่ละขั้นตอนที่ทำซ้ำทั้งห้าขั้นตอน: ^{[ 12 ]}

• ขั้นตอนที่ 1 - กำหนดพื้นผิวที่ต้องการป้องกัน;
• ขั้นตอนที่ 2 - จัดทำแผนผังการไหลของธุรกรรม;
• ขั้นตอนที่ 3 - สร้างสถาปัตยกรรมความไว้วางใจเป็นศูนย์ (ZTA) ^{[ 11 ]} ;
• ขั้นตอนที่ 4 - สร้างนโยบาย Zero Trust; และ
• ขั้นตอนที่ 5 - ตรวจสอบและบำรุงรักษา

กระบวนการทั้งหมดนี้จะถูกทำซ้ำตลอดอายุการใช้งานของพื้นผิวที่ได้รับการปกป้อง ซึ่งจะต้องกำหนดไว้อย่างชัดเจนในขั้นตอนที่ 1 ของวิธีการ TS 104 102 กำหนดวิธีการ ZT-Kipling ให้เป็นกรอบการกำกับดูแลที่เป็นระบบและเป็นวัฏจักรสำหรับ Zero Trust ^{[ 12 ]}

ในปี 2010 คำว่า Zero Trust model ถูกใช้โดยนักวิเคราะห์ John Kindervag จากForrester Researchเพื่อบ่งบอกถึงโปรแกรมความปลอดภัยทางไซเบอร์และการควบคุมการเข้าถึงที่เข้มงวดมากขึ้นภายในองค์กร^{[ 13 ] [ 14 ] [ 15 ]}

ในปี 2003 ความท้าทายในการกำหนดขอบเขตของระบบไอทีขององค์กรได้รับการเน้นย้ำในเวทีJericho Forumโดยมีการอภิปรายถึงแนวโน้มที่ในขณะนั้นเรียกว่า " การลดขอบเขต" ( de-perimeterisation )

เพื่อตอบสนองต่อปฏิบัติการ Auroraซึ่งเป็นการโจมตี APT ของจีนตลอดปี 2009 Googleเริ่มนำสถาปัตยกรรม Zero Trust มาใช้ ซึ่งเรียกว่าBeyondCorp ซึ่งเป็น โครงการริเริ่มภายในเพื่อนำรูปแบบความปลอดภัย Zero Trust มาใช้ ซึ่งช่วยขจัดความจำเป็นในการใช้ VPN ที่มีสิทธิพิเศษ^{[ 16 ]}

ตลอดช่วงทศวรรษ 2010 สถาปัตยกรรม Zero Trust แพร่หลายมากขึ้น ซึ่งส่วนหนึ่งเป็นผลมาจากการใช้งานบริการมือถือและคลาวด์ที่เพิ่มมากขึ้น^{[ 10 ] [ 11 ] [ 17 ]}

ในปี 2019 ศูนย์ความปลอดภัยทางไซเบอร์แห่งชาติของสหราชอาณาจักร(NCSC)แนะนำให้สถาปนิกเครือข่ายพิจารณาแนวทาง Zero Trust สำหรับการใช้งาน IT ใหม่ โดยเฉพาะอย่างยิ่งในกรณีที่มีการวางแผนการใช้งานบริการคลาวด์จำนวนมาก^{[ 18 ]} NCSCใช้แนวทางอื่นแต่สอดคล้องกันโดยระบุหลักการสำคัญเบื้องหลังสถาปัตยกรรม Zero Trust ดังนี้:

• แหล่งข้อมูลยืนยันตัวตนผู้ใช้ที่แข็งแกร่งเพียงแหล่งเดียว
• การตรวจสอบสิทธิ์ผู้ใช้
• การตรวจสอบสิทธิ์เครื่องจักร
• ข้อมูลเพิ่มเติม เช่น การปฏิบัติตามนโยบายและสถานะการทำงานของอุปกรณ์
• นโยบายการอนุญาตในการเข้าถึงแอปพลิเคชัน
• นโยบายการควบคุมการเข้าถึงภายในแอปพลิเคชัน

ในเดือนกันยายน พ.ศ. 2568 คณะกรรมการทางเทคนิค CYBER ของสถาบันมาตรฐานโทรคมนาคมแห่งยุโรป (ETSI) (ETSI TC CYBER) ได้เผยแพร่ข้อกำหนดทางเทคนิค (TS) 104 102 ซึ่งมีรายละเอียดเกี่ยวกับวิธีการ ZT-Kipling ที่จะใช้เพื่อให้ บรรลุ สถานะความปลอดภัยแบบ Zero Trust ^{[ 12 ]}

ในสหรัฐอเมริกาคำสั่งบริหารหมายเลข 14028 (พฤษภาคม 2021) สั่งให้หน่วยงานของรัฐบาลกลางนำสถาปัตยกรรม Zero Trust มาใช้ และสำนักงานบริหารงบประมาณได้ออกบันทึกข้อความ M-22-09 ในเวลาต่อมา โดยกำหนดให้หน่วยงานต่างๆ ต้องบรรลุเป้าหมายด้านความปลอดภัย Zero Trust ที่เฉพาะเจาะจงภายในสิ้นปีงบประมาณ 2024 ^{[ 19 ]}

กระทรวงสาธารณสุขและบริการมนุษย์ของสหรัฐอเมริกาได้ระบุหลักการความไว้วางใจเป็นศูนย์ว่าเป็น "พื้นฐาน" ในการเสริมสร้างความมั่นคงปลอดภัยทางไซเบอร์ด้านการดูแลสุขภาพ^{[ 20 ]}ประกาศร่างกฎระเบียบ (NPRM) เดือนธันวาคม 2024 เพื่อปรับปรุง กฎความปลอดภัยของ HIPAA เสนอข้อกำหนดที่สอดคล้องกับหลักการความไว้วางใจเป็นศูนย์ รวมถึง การตรวจสอบสิทธิ์แบบหลายปัจจัย ที่บังคับ ใช้การแบ่งส่วนเครือข่ายการเข้ารหัสข้อมูลขณะจัดเก็บและขณะส่งผ่าน รายการสินทรัพย์ทางเทคโนโลยี และการกำจัดความไว้วางใจโดยปริยายผ่านการลบหมวดหมู่ข้อกำหนดการใช้งานที่ "สามารถระบุที่อยู่ได้" ^{[ 21 ]}

• เชื่อใจได้ แต่ต้องตรวจสอบด้วย  – สุภาษิตรัสเซีย
• รัศมีระเบิด
• ความเหนื่อยล้าจากรหัสผ่าน
• บริการการเข้าถึงที่ปลอดภัย Edge
• การตรวจจับและการตอบสนองต่อภัยคุกคามด้านอัตลักษณ์