Password Security Policy บน Sangfor Access Secure – บริษัท ซังฟอร์ เทคโนโลยี (ประเทศไทย) จำกัด

บทนำ

Password Security Policy บน Sangfor Access Secure ใช้กำหนดมาตรฐานความแข็งแรงของรหัสผ่าน, การห้ามใช้รหัสซ้ำ, การตรวจจับรหัสที่อ่อนแอ, การ reset รหัสผ่าน และการบังคับเปลี่ยนรหัสตามรอบเวลา เพื่อยกระดับความปลอดภัยในการ authentication ของผู้ใช้ทั้งหมดในระบบ

ข้อกำหนดเบื้องต้น (Prerequisites)

มีสิทธิ์ Administrator บน Sangfor Access Secure Console
กำหนดนโยบายรหัสผ่านขององค์กรให้ชัดเจน เช่น ความยาวขั้นต่ำ, ความซับซ้อน, อายุรหัสผ่าน
หากมี custom weak password dictionary ให้เตรียมรายการไว้ล่วงหน้า

ขั้นตอนการตั้งค่า (Configuration Steps)

เข้าสู่ Sangfor Access Secure console ผ่าน Platform-X
ไปที่ Platform Management > Identity Management > Authentication Settings > Password Security
ตั้งค่า Password Strength:
- ความยาวขั้นต่ำ (เช่น ต้องไม่น้อยกว่า 8 ตัวอักษร)
- ต้องประกอบด้วยตัวพิมพ์ใหญ่ (A-Z), ตัวพิมพ์เล็ก (a-z) และตัวเลข (0-9)
- ต้องมีอักขระพิเศษอย่างน้อย 1 ตัว เช่น ~!@#$%^&*()_+
- ห้ามใช้อักขระเดียวกันซ้ำติดกัน 3 ตัวขึ้นไป
เปิดใช้ Password History: ห้ามผู้ใช้ใช้รหัสผ่านซ้ำกับ N รหัสล่าสุด (กำหนดจำนวน N)
เปิดใช้ Password Dictionary: ระบบจะตรวจสอบรหัสผ่านกับรายการ weak password (เช่น 10000 รหัสที่นิยมที่สุด) และอนุญาตให้เพิ่ม Custom Dictionary
เปิดใช้ Personal Data: ห้ามใช้ข้อมูลส่วนตัว ได้แก่ username, employee ID, mobile number หรือ email เป็นรหัสผ่าน
เปิดใช้ Forgot Password: เพื่อให้ผู้ใช้คลิกปุ่ม Forgot Password บนหน้า login เพื่อ reset รหัสผ่านได้เอง
เปิดใช้ Password Age: บังคับเปลี่ยนรหัสผ่านเมื่อหมดอายุ โดยกำหนดเป็นจำนวนวัน เช่น 90 วัน
คลิก Save เพื่อบันทึกนโยบาย

การตรวจสอบ (Verification)

ทดสอบสร้างผู้ใช้ใหม่หรือเปลี่ยนรหัสผ่านโดยใช้รหัสที่ไม่ตรงตาม policy เช่น รหัสสั้นเกินไป หรือมีเฉพาะตัวเลข ระบบควรปฏิเสธพร้อมแสดงข้อความเตือน จากนั้นทดสอบใช้รหัสผ่านที่ตรงตาม policy ระบบควรอนุญาต

หมายเหตุ (Notes)

การเปลี่ยน Password Policy จะไม่บังคับให้ผู้ใช้ที่มีอยู่เปลี่ยนรหัสทันที จะมีผลเมื่อผู้ใช้เปลี่ยนรหัสครั้งถัดไปหรือเมื่อรหัสหมดอายุ
ควรเปิด Password Age ร่วมกับ Password History เพื่อป้องกันการสลับรหัสผ่านไปมา
การเปิด Forgot Password ต้องตั้งค่า email หรือ SMS gateway ให้พร้อมใช้งานก่อน
Custom Dictionary ควรรวมคำที่เกี่ยวข้องกับองค์กร เช่น ชื่อบริษัท, ชื่อผลิตภัณฑ์ เพื่อป้องกันการใช้รหัสที่เดาง่าย