มี Wi-Fi แขกแล้ว แยกจากระบบบริษัทจริงหรือยัง
ชื่อ Guest ไม่ใช่ผลตรวจความปลอดภัย
สำนักงานเปิดชื่อ Wi-Fi สำหรับแขกแล้ว แต่ถ้าแขกยังเปิดหน้า NAS เครื่องพิมพ์ หรือหน้าจัดการเราเตอร์ได้ การแยกยังไม่ตอบวัตถุประสงค์ ชื่อเครือข่ายหรือ SSID ช่วยให้เลือกจุดเชื่อมต่อ แต่สิทธิ์ไปถึงระบบอื่นขึ้นกับการตั้งค่าเครือข่ายและกฎอนุญาต ต้องตรวจเส้นทางจริงก่อนบอกว่าแขกเข้าระบบบริษัทไม่ได้
ศูนย์ความมั่นคงไซเบอร์แคนาดาแนะนำแยกโซนด้วย SSID, VLAN และกฎควบคุม พร้อมเตือนค่าเริ่มต้นที่ปล่อยให้ข้ามโซนได้ หลักนี้เป็นแนวทางออกแบบ ไม่ได้แปลว่าทุกอุปกรณ์มีเมนูเดียวกัน หรือแค่สร้าง VLAN แล้วปลอดภัยครบ ต้องอ่านคู่มือรุ่นที่ใช้และตรวจว่ากฎถูกบังคับที่อุปกรณ์ใด
ระบุสิ่งที่แขกต้องใช้ ก่อนกำหนดสิ่งที่ห้าม
ทำรายการต้นทางและปลายทาง เช่น แขกต้องใช้อินเทอร์เน็ต แต่ไม่ต้องเข้าระบบบัญชี แชร์ไฟล์ หรือหน้าจัดการอุปกรณ์ แยกอุปกรณ์ของพนักงาน แขก และอุปกรณ์เฉพาะงานตามความจำเป็น ไม่เหมาว่าเครื่องพิมพ์ทุกเครื่องควรอยู่ฝั่งเดียวกัน หากแขกต้องพิมพ์เอกสาร ให้ระบุบริการที่อนุญาตและผู้รับผิดชอบแทนการเปิดเข้าถึงเครือข่ายบริษัททั้งชุด
ให้ผู้ดูแลทำผังจาก access point ผ่านสวิตช์ถึงเราเตอร์หรือไฟร์วอลล์ บันทึกว่า SSID ผูกกับโซนใดและอนุญาตข้ามโซนอะไรบ้าง การแยกแขกออกจากพนักงานกับการห้ามเครื่องแขกคุยกันเองเป็นคนละเงื่อนไข หากต้องการทั้งสองอย่างต้องตั้งและทดสอบทั้งสอง ไม่ใช้ผลทดสอบอย่างหนึ่งแทนอีกอย่าง
ทดสอบจากเครื่องแขกและเก็บผลทั้งผ่านกับไม่ผ่าน
ใช้เครื่องทดสอบที่ได้รับอนุญาต เชื่อมเฉพาะ Wi-Fi แขกและปิดทางเชื่อมอื่นที่อาจทำให้สับสน เช่น VPN ของบริษัทหรือสาย LAN จากนั้นยืนยันว่าเปิดเว็บภายนอกได้ และลองเข้าบริการภายในที่ผู้ดูแลกำหนดไว้ล่วงหน้า รวมถึงหน้าจัดการอุปกรณ์ บันทึกเครือข่าย จุดเชื่อม เวลา ปลายทาง และผลที่คาดหวัง หลีกเลี่ยงการสแกนกว้างหรือทดลองกับระบบที่ไม่ได้รับอนุญาต
ถ้าเข้าระบบภายในไม่ได้ ยังต้องตรวจว่าเกิดจากกฎแยกจริง ไม่ใช่ระบบนั้นปิดอยู่หรือชื่อแปลงเป็นที่อยู่ไม่ได้ ให้ผู้ดูแลตรวจจากฝั่งพนักงานและบันทึกไฟร์วอลล์ประกอบ ตัวอย่างสมมติ NAS ปิดอยู่ทำให้ทั้งแขกและพนักงานเข้าไม่ได้ ผลนี้ยังพิสูจน์การแยกไม่สำเร็จ หากเปิดใช้ IPv6 ต้องรวมเส้นทางนั้นในการตรวจด้วย ไม่ทดสอบเพียง IPv4 แล้วสรุปทั้งหมด
ข้อยกเว้นต้องแคบและมีวันทบทวน
ถ้าเปิดสิทธิ์ให้แขกใช้บริการเฉพาะ ให้ระบุต้นทาง ปลายทาง บริการ เหตุผล ผู้อนุมัติและวันทบทวน ทดสอบว่างานที่อนุญาตใช้ได้และส่วนอื่นยังถูกกั้น หลังเปลี่ยนเราเตอร์ เพิ่ม access point หรืออัปเดตค่าควบคุม ควรตรวจซ้ำตามผลกระทบ ไม่ถือว่ารายงานผ่านเมื่อปีก่อนยืนยันการตั้งค่าปัจจุบัน
เมื่อต้องการให้ Chawinnix ช่วยวางระบบเครือข่ายหรือความปลอดภัยตามบริการจริง เตรียมผัง อุปกรณ์ รุ่น รายการงานที่ต้องใช้ และผลทดสอบที่ปกปิดข้อมูลไม่จำเป็น การแยกเครือข่ายช่วยลดการเข้าถึงที่ไม่ต้องการ แต่ยังต้องดูการยืนยันตัวตน การอัปเดตและสิทธิ์ของระบบปลายทางร่วมกัน ไม่ใช่คำรับรองว่าจะป้องกันเหตุได้ทั้งหมด
