คุณเลื่อนเว็บไซต์ TradingView ลงไปจนสุดหน้า และใต้บรรทัด “© 2026 TradingView, Inc.” พอดี ปุ่มขนาดมหึมาสองปุ่มในกรอบเคร่งขรึมก็พุ่งเข้าตา: SOC 2 Compliant พร้อมตราประทับวงกลม และ GDPR Compliant ที่รายล้อมด้วยดวงดาวของสหภาพยุโรป ดูยิ่งใหญ่อลังการ — คุณรู้สึกนับถือบรรดาผู้เชี่ยวชาญด้านความปลอดภัยสุดแกร่งของแพลตฟอร์มขึ้นมาทันที คุณคลิกป้ายเหล่านั้นด้วยความอยากรู้ล้วน ๆ อยากเห็นว่าเกราะที่ไม่มีใครเจาะได้นี้ถูกตีขึ้นมาอย่างไร แล้วก็ไปโผล่ที่หน้า trust.tradingview.com
และตรงนี้เอง ถ้าเริ่มขุดคุ้ย ก็จะเจอความไร้สาระระดับที่ไม่รู้จะหัวเราะหรือร้องไห้ดี
ในตู้โชว์มีเหรียญตรา SOC 2, PCI DSS 4.0.1, GDPR และ DORA อวดโฉม ข้าง ๆ มีไฟสถานะสีเขียวกะพริบอย่างกระฉับกระเฉง: “Updated 4 minutes ago” — ประมาณว่าเมื่อสี่นาทีที่แล้วตรวจกุญแจครบทุกดอก ชายแดนลงกลอนแน่นหนา ด้านล่างเรียงรายด้วยมาตรการป้องกันโครงสร้างพื้นฐานอันน่าเชื่อถือยี่สิบข้อ: เข้าถึงเซิร์ฟเวอร์ได้ด้วยกุญแจเข้ารหัสเท่านั้น เครือข่ายแยกส่วน การเข้ารหัสทำงานอยู่ ระบบตรวจจับการบุกรุกไม่เคยหลับ
คุณเริ่มพิจารณารายละเอียด — แล้วก็พบว่าคอลัมน์สถานะการตรวจสอบจริงนั้นว่างเปล่า ส่วนตัวรายงานถูกซ่อนไว้หลังปุ่ม “ขอสิทธิ์เข้าถึง” ซึ่งไม่มีใครยอมให้คนเดินถนนผ่านเข้าไปแน่ แต่ที่ตลกที่สุดยังไม่ใช่เรื่องนี้: มาตรการน่าเกรงขามทั้งยี่สิบข้อบนหน้านั้นไม่ได้เขียนโดยวิศวกรของ TradingView เลยสักข้อ “ป้อมปราการ” ทั้งหมดนี้ถูกสร้างขึ้นทั้งดุ้นจากเทมเพลตสำเร็จรูปโดยบริษัทเล็ก ๆ สัญชาติอเมริกันภายนอกที่ชื่อว่า Vanta
จะพิสูจน์ว่าในบ้านไม่มีขโมย ก็จงให้คนแปลกหน้าเข้าทุกห้องนอน
ธุรกิจนี้ทำงานอย่างไร? ในโลกองค์กร บริการต่าง ๆ ถูกเรียกร้องให้มีกระดาษจากผู้ตรวจสอบ — ใบรับรอง SOC 2 อันโด่งดังนั่นแหละ สมัยก่อนต้องทนให้ผู้ตรวจตัวเป็น ๆ มานั่งในออฟฟิศเป็นเดือน ๆ คุ้ยการตั้งค่าเซิร์ฟเวอร์อย่างน่าเบื่อหน่าย แต่แล้ว Vanta ก็ปรากฏตัวและเสนอสูตรโกงอัจฉริยะให้ทั้งวงการ: “ไม่ต้องรวบรวมอะไรด้วยมือ เชื่อมซอฟต์แวร์ของเราเข้ากับบริษัทของคุณ เราจะติ๊กช่องให้ผู้ตรวจสอบเองอยู่เบื้องหลัง แถมจะวาดตู้โชว์สวย ๆ พร้อมป้ายเหรียญตราไว้บนเว็บไซต์ให้คุณด้วย”
ทีนี้ โปรดจับตามือนักมายากลให้ดี เพื่อจะแขวนปุ่มภาคภูมิ “เราไม่ปล่อยให้ใครเข้าใกล้ข้อมูลของคุณ” ไว้ที่ส่วนท้ายเว็บไซต์ บริษัทก็สมัครใจปล่อยบริษัทแปลกหน้าเข้ามาใต้ฝากระโปรงของตัวเอง มอบสิทธิ์ให้เซิร์ฟเวอร์ของ Vanta เข้าถึงโครงสร้างพื้นฐานคลาวด์ (AWS, Google Cloud) ซอร์สโค้ดบน GitHub อีเมลองค์กร และฐานข้อมูลฝ่ายบุคคลที่มีรายชื่อพนักงานทุกคน ยังไม่พอ: บนแล็ปท็อปทำงานของโปรแกรมเมอร์และแอดมินทุกคนยังถูกบังคับติดตั้งโปรแกรมสอดแนมจาก Vanta ซึ่งคอยตรวจตลอดยี่สิบสี่ชั่วโมงว่าคอมพิวเตอร์เปิดรหัสผ่านไว้หรือไม่ แอนติไวรัสทำงานหรือไม่ และดาวน์โหลดอัปเดตแล้วหรือยัง
อย่างเป็นทางการ สิทธิ์ที่ให้คือ “อ่านอย่างเดียว” — สคริปต์ของคนอื่นจะไม่ลบฐานข้อมูลของคุณเอง แต่บนเซิร์ฟเวอร์ของบริษัทภายนอกนั้น แผนที่เอกซเรย์ฉบับสมบูรณ์ของบริษัทกลับถูกสะสมไว้อย่างทะนุถนอม: พิมพ์เขียวของเครือข่ายทั้งหมด ชื่อและอีเมลของวิศวกรทุกคน รุ่นแล็ปท็อปของพวกเขา และรายการช่องโหว่ทั้งหมดที่ยังไม่ได้อุดแบบสด ๆ
นักกรอกฟอร์มผู้กุมพวงมาลัยความปลอดภัยของโลก
ว่าแต่ อัจฉริยะด้านการเข้ารหัสสุดแกร่งและทหารผ่านศึกไซเบอร์ที่บริษัทนับพันทั่วโลกฝากกุญแจครัวหลังบ้านไว้ให้นั้นเป็นใครกันแน่?
เปิดประวัติผู้บริหารของ Vanta แล้วหยิบป๊อปคอร์นออกมากันเลย
ผู้ก่อตั้งและผู้นำบริษัทที่ไม่เคยเปลี่ยนตัวคือ Christina Cacioppo เธอหล่อหลอมประสบการณ์ด้านความปลอดภัยสารสนเทศระดับตำนานมาจากที่ไหน? ห้องแล็บลับของเพนตากอน? การพัฒนาระบบป้องกันให้ระบบแกนกลางของธนาคาร? ไม่ใช่ หญิงสาวไปเรียนเขียนโปรแกรม ใช้เวลาสองสามปีเคี่ยวโปรเจกต์เล็ก ๆ ที่ไม่เคยทะยานขึ้นฟ้าได้สักตัว จากนั้นก็เข้าทำงานเป็นโปรดักต์เมเนเจอร์ที่ Dropbox และที่นั่นเธอไม่ได้รับผิดชอบแม้แต่ระบบจัดเก็บไฟล์หรือการเข้ารหัสดิสก์ จุดสูงสุดในอาชีพของเธอคือ Dropbox Paper — สมุดโน้ตออนไลน์ชั้นรองสำหรับเขียนโน้ตร่วมกันภายในบริการแชร์ไฟล์ ที่ผู้ใช้ Dropbox เก้าในสิบคนไม่รู้ด้วยซ้ำว่ามีอยู่ ระหว่างที่เธอปะติดปะต่อสมุดโน้ตเล็ก ๆ นั้น เธอถูกสั่งให้กรอกตารางน่าเบื่อสำหรับผู้ตรวจสอบ — แล้วเธอก็ตัดสินใจว่าการขายแบบฟอร์มเว็บเล็ก ๆ ให้บริษัทอื่นเพื่อเก็บตารางแบบเดียวกันนี้โดยอัตโนมัติ ทำกำไรได้มากกว่าเยอะ
ดูต่อ: ใครคือผู้หญิงคนสำคัญอันดับสองบนเรือลำนี้? ผู้อำนวยการฝ่ายการตลาด Sarah Scharf สุภาพสตรีท่านนี้มาจาก Google ที่ซึ่งเธอใช้เวลาเจ็ดปีทำ “การตลาดด้านความเป็นส่วนตัว ความปลอดภัย และ Android” ลองไตร่ตรองตำแหน่งนี้ดู: คนคนนี้ไม่ได้เขียนโค้ดและไม่ได้ไล่จับแฮกเกอร์ แต่ใช้เวลาเจ็ดปีแต่งนิทานโฆษณาว่าบริษัท Google ใส่ใจความเป็นส่วนตัวของคุณแค่ไหน ในขณะที่ตัวมันเองกำลังทำแฟ้มประวัติของทุกคนบนโลก
ทีมที่เหลือก็สมน้ำสมเนื้อ: ผู้อำนวยการฝ่ายเทคโนโลยีผลิตภัณฑ์เคยดูแลส่วนเสริมและหน้าโชว์ชั้นรองที่ GitHub ส่วนผู้อำนวยการฝ่ายการเงินมาจาก Calendly — เว็บไซต์ที่ทำแบบฟอร์มเล็ก ๆ สำหรับนัดคอลในปฏิทิน
ดรีมทีมชุดนี้แหละ — ผู้สร้างสมุดโน้ตคลาวด์ สาวพีอาร์ “ความเป็นส่วนตัว” จาก Google และนักบัญชีจากปฏิทินออนไลน์ — ที่วันนี้กำลังแจกจ่ายมาตรฐานความปลอดภัยให้วงการฟินเทคทั่วโลก
ยามใส่สลิปเปอร์กับความย้อนแย้งของเซลส์ประจำออฟฟิศ
แต่ตลกร้ายของจริงเริ่มขึ้นเมื่อคุณดูว่าครัวหลังบ้านของ “ผู้ตรวจสอบ” เองทำงานอย่างไร บริษัทที่เก็บพิมพ์เขียวช่องโหว่ของธุรกิจคนอื่นนับพันไว้กับตัว ทำงานอย่างเป็นทางการในโหมด “remote-first” ตั้งแต่ฤดูใบไม้ผลิปี 2022 พวกเขาก็เขียนบนเว็บไซต์อย่างร่าเริงว่า: “เราทำงานได้อย่างประสบความสำเร็จจากทุกที่”
ถ้าคุณเข้าไปดูบอร์ดประกาศรับสมัครงานของพวกเขาตอนนี้ จาก 83 ตำแหน่ง มี 52 ตำแหน่งที่ทำงานทางไกลล้วน ๆ ในสหรัฐฯ แคนาดา สหราชอาณาจักร และไอร์แลนด์ และคนที่ทำงานจากโซฟาที่นั่นก็ไม่ใช่นักออกแบบไอคอนเลย:
- Sr. Manager, Security Operations (ทำงานทางไกล) คนคนนี้ตั้งค่าระบบป้องกันของ Vanta เองและบัญชาการการรับมือการโจมตีของแฮกเกอร์ ในประกาศงานสัญญากับเขาอย่างเอาใจใส่ว่าจะมี “เงินสนับสนุนพื้นที่ทำงานที่บ้าน อินเทอร์เน็ต และโทรศัพท์มือถือ” หัวหน้าฝ่ายตอบโต้การโจมตีทางไซเบอร์บัญชาการแนวป้องกันผ่านเราเตอร์ที่บ้าน ทางร้านเลี้ยงเอง
- วิศวกรคลาวด์ภาครัฐ GovCloud (ทำงานทางไกล พร้อมเวรเหตุฉุกเฉิน) ข้อกำหนดด้านความปลอดภัยเพียงข้อเดียวในการทำงานกับภาครัฐ — ล็อกอินเข้าระบบ “ทางกายภาพจากดินแดนสหรัฐฯ” ส่วนจะเป็นร้านอาหารริมทางหรือห้องเช่าไหน — ไม่มีใครสนใจ
- Senior Engineer, Enterprise Resilience และ Senior Security Engineer (ทำงานทางไกล) คนที่รับผิดชอบความทนทานของระบบโปรดักชันและสาบานในประกาศงานว่าจะเป็น “ผู้พิทักษ์ข้อมูลอ่อนไหวที่ไว้วางใจได้” ก็นั่งทำงานอยู่บ้านเหมือนกัน
- Staff Engineer, Program Structure & Trust (ทำงานทางไกล) ตำแหน่งนี้โปรดจำไว้เป็นพิเศษ: ผู้เชี่ยวชาญทางไกลคนนี้รับผิดชอบไม่ให้ข้อมูลลับของลูกค้าแต่ละรายปะปนกัน
ทราบหรือไม่ว่าความไร้สาระที่สุดตรงนี้คืออะไร? พนักงานขายธรรมดา ๆ ในลอนดอนและดับลินถูกผู้บริหาร Vanta บังคับให้เข้าออฟฟิศสัปดาห์ละสามวัน แปลว่าคนที่แค่โทรหาลูกค้าและเปิดพรีเซนเทชัน ต้องนั่งอยู่ใต้การจับตาในอาคารสำนักงาน ขณะที่วิศวกรผู้ถือกุญแจโปรดักชันและแผนที่โครงสร้างพื้นฐานของบริษัทนับพัน นั่งใส่สลิปเปอร์อยู่ในครัวที่บ้าน รายล้อมด้วยญาติ เพื่อนบ้าน ไรเดอร์ส่งของ และช่างประปา และนี่คือยุคที่บริษัทไอทีอเมริกันจับพนักงานทางไกลตัวปลอมได้เป็นกระบุง — ยุคที่การสัมภาษณ์ผ่านวิดีโอคอลมีนักแสดงตัวแทนมานั่งแทน ส่วนแล็ปท็อปของบริษัทก็ถูกส่งไปรษณีย์ตรงไปยังฟาร์มแฮกเกอร์เกาหลีเหนือ
สี่วันที่ซิปกางเกงเปิดอ้า
ความปลอดภัยจากเหล่าผู้สร้างสมุดโน้ตและคนทำงานทางไกลบน Wi-Fi บ้านจะนำไปสู่อะไร ไม่ต้องเดานาน
ยังจำประกาศรับวิศวกรทางไกลที่ต้องคอยดูไม่ให้ฐานข้อมูลของบริษัทต่าง ๆ ปะปนกันได้หรือไม่? ในเดือนพฤษภาคม 2025 นักกรอกฟอร์มจาก Vanta ปล่อยอัปเดตที่มีบั๊กออกมา แล้วข้อมูลลับของลูกค้ารายหนึ่งก็ถูกเขียนลงไปในบัญชีของลูกค้ารายอื่นดื้อ ๆ (รายงานเหตุการณ์ INC-868)
ความลับของบริษัทหลายร้อยแห่งทะลักออกไปบนหน้าจอของคนอื่นดื้อ ๆ คนแปลกหน้าได้รายชื่อพนักงานของบริษัทอื่น ตำแหน่งงานของพวกเขา และ — เชอร์รีบนยอดเค้ก — การตั้งค่าการยืนยันตัวตนสองชั้น (MFA) ของพวกเขาไป พูดง่าย ๆ คือโพยสำเร็จรูปสำหรับการเจาะระบบ: ใครทำหน้าที่อะไร และบัญชีของใครยังไม่ได้ติดตั้งการป้องกัน
แต่ขนาดที่แท้จริงของละครตลกนี้ถูกเผยด้วยรายละเอียดสองข้อ:
- ช่องโหว่เปิดอ้าอยู่สี่วัน ระบบมอนิเตอร์อัตโนมัติสุดโอ่ของ Vanta ที่วาดเครื่องหมายถูกสีเขียวบนเว็บไซต์ลูกค้าทุกสี่นาที กลับมองไม่เห็นสิ่งที่อยู่ตรงหน้าตลอดสี่วันว่าตัวเองกำลังแจกฐานข้อมูลของคนอื่นให้เพื่อนบ้านแบบสุ่ม ข้อผิดพลาดถูกพบก็ต่อเมื่อลูกค้ารายหนึ่งที่ตะลึงงันเห็นครัวหลังบ้านของคนอื่นในบัญชีตัวเองแล้วเขียนไปหาฝ่ายสนับสนุนทางเทคนิค
- หน้าด้านระดับตำรา เมื่อความอัปยศหลุดออกมา นักการตลาดของ Vanta ก็ออกรายงาน และเรียกการที่ข้อมูลของบริษัทหลายร้อยแห่งรั่วไหลไปอยู่ในมือคนอื่นอย่างหน้าตาเฉยว่าเป็นเหตุการณ์ “ที่ไม่เกี่ยวกับความปลอดภัย” (non-security related) ก็แหม แค่ฐานข้อมูลสลับกันเอง — ขอแค่เครื่องหมายถูกในรายงานยังเขียวก็พอ!
โล่กระดาษ
นี่แหละคือราคาทั้งหมดของปุ่มน่าเกรงขาม SOC 2 Compliant และ GDPR Compliant ที่ส่วนท้ายเว็บไซต์
คนทั่วไปมองป้ายเหล่านี้แล้วคิดว่าบริการของตนได้รับการปกป้องเหมือนกระเป๋านิวเคลียร์ แต่ในความเป็นจริง บริษัทต่าง ๆ เจาะรูกำแพงของตัวเองเพื่อกระดาษราชการแผ่นเดียว เทแผนผังการป้องกันทั้งหมดของตนลงในรางอาหารรวมรางเดียวของอดีตผู้จัดการฝ่ายโน้ตและโฆษณา แล้วส่งคนที่นั่งอยู่หลังเราเตอร์บ้านมาเฝ้ารางนั้น — คนที่ซอฟต์แวร์ของพวกเขาไม่สามารถแม้แต่จะสังเกตว่ามันแจกความลับของคนอื่นไปทั่วทุกทิศติดต่อกันสี่วัน
บทเรียนความปลอดภัยที่ไร้ความปลอดภัย สอบผ่านด้วยคะแนนเต็ม: ป้ายบนเว็บไซต์เป็นประกาย ส่วนหลังประตูมีอะไร — อย่าให้ใครรู้จะดีกว่า
แทนบทส่งท้าย: “ผู้เชี่ยวชาญความปลอดภัยทางไกล” ในชีวิตจริงคือใคร
เมื่อบริษัทยักษ์วาดวลี Remote Security Engineer ลงในพรีเซนเทชัน ในหัวของลูกค้าก็ปรากฏภาพมืออาชีพผู้มีสมาธิในห้องทำงานที่อาบแสงแดด เฝ้าความลับของผู้อื่นผ่านช่องทางดาวเทียมที่ปลอดภัย
ในความเป็นจริง พนักงานทางไกลคือกล่องดำที่นายจ้างควบคุมสิ่งที่อยู่ข้างในไม่ได้เลยแม้แต่น้อย บริษัทไม่รู้เลยว่าเกิดอะไรขึ้นอีกฟากของเว็บแคมทันทีที่คอลเช้าสิบห้านาทีจบลง และที่นั่นชีวิตจริงก็ดำเนินไปอย่างเต็มสีสัน
1. จิตใจในหมอก ยา SSRI และการไมโครโดสเห็ด ในออฟฟิศอย่างน้อยคุณก็ได้เห็นตัวจริง: มือเขาสั่นไหม แววตาปกติไหม สัปดาห์นี้อาบน้ำหรือยัง และไม่ได้คุยกับกำแพงอยู่ใช่ไหม แต่เมื่อทำงานทางไกล การติดต่อทั้งหมดกับคนที่ถือสิทธิ์ root เข้าเซิร์ฟเวอร์ของบริษัทนับพันก็หดเหลือแค่กรอบสี่เหลี่ยมเล็ก ๆ ใน Zoom พร้อมฉากหลังเบลอ
สิบห้านาทีต่อวันในสแตนด์อัป หนุ่มคนนี้ฝืนบีบรอยยิ้มตามหน้าที่ออกมา แล้วรายงานอย่างกระตือรือร้น: “ไม่มีบล็อกเกอร์ครับ กำลังดันอัปเดตขึ้นโปรดักชัน” จากนั้นก็ปิดกล้อง — และไม่มีใครในสำนักงานใหญ่รู้เลยว่าเขาอยู่ในสภาพไหน บางทีเขาอาจกินยาต้านซึมเศร้าตัวแรง (SSRI) ในโดสระดับม้ามาเป็นเดือนที่สามแล้ว จนสัญชาตญาณระวังภัยฝ่อไปหมด และไม่แยแสเลยว่ากำลังจะทำฐานข้อมูลไหนรั่วไปที่ไหน บางทีเขาอาจตามเทรนด์ซิลิคอนแวลลีย์ ตื่นเช้ามาก็ไมโครโดสเห็ดไซโลไซบินเข้าไป หรือพึ่ง Adderall สลับกับการบำบัดด้วยคีตามีน พยายามตะเกียกตะกายออกจากภาวะซึมเศร้าหลังหย่า สำหรับบริษัท เขาคือจุดกลมสีเขียวใน Slack แต่ในความเป็นจริง ที่หน้าแผงควบคุมเครื่องปฏิกรณ์นิวเคลียร์มีคนที่สมาธิกระเจิงขั้นรุนแรงนั่งอยู่
2. ปล้นในร้านกาแฟกับ MacBook ที่เปิดค้าง ศูนย์กลางเทคโนโลยีอเมริกันอย่างซานฟรานซิสโก ซีแอตเทิล หรือออสติน กลายเป็นสวนสนุกอาชญากรรมมานานแล้ว ในซานฟรานซิสโกมีอาชีพข้างถนนทั้งสายเลย — laptop snatching: โจรบุกเข้าร้านกาแฟสุดฮิป กระชาก MacBook ที่เปิดอยู่และไม่ได้ล็อก พร้อมเซสชัน VPN ที่เชื่อมไว้แล้วและเทอร์มินัลที่เปิดค้าง ออกจากมือคนไอทีตรง ๆ แล้วหอบไปขึ้นรถที่จอดรออยู่หน้าร้าน
หรือง่ายกว่านั้น: ตอนเย็นหลังเลิกงาน “ผู้พิทักษ์ข้อมูลอ่อนไหว” คนนี้ออกไปซื้อเบอร์ริโต พร้อมโทรศัพท์และแล็ปท็อปของบริษัทในเป้ ห่างจากบ้านไม่กี่ช่วงตึก ชายหนุ่มสองคนพร้อมปืนเดินเข้ามา ฟาดหัวเขา แล้วอธิบายอย่างชัดถ้อยชัดคำว่า ตอนนี้เลยเขาไม่ใช่แค่ต้องส่งอุปกรณ์ทั้งหมดให้ แต่ต้องแตะนิ้วที่ Touch ID และบอกรหัส PIN ด้วย ไม่เคยมีไฟร์วอลล์คลาวด์หรือป้าย SOC 2 Compliant ไหนช่วยใครให้รอดจากท่อเหล็กในซอยมืดได้
3. ภรรยา คู่รัก และสิทธิ์เข้าถึงที่ถูกขโมยไปจากบนหมอน ต่อให้วิศวกรไม่ออกจากบ้านเลย อพาร์ตเมนต์ของเขาก็เหมือนทางเดินสาธารณะ ข้างหลังเขามีทั้งภรรยา แฟนเก่าและแฟนปัจจุบัน รูมเมตจากห้องเช่า แม่บ้านทำความสะอาด ไรเดอร์ส่งของ และแขกจากปาร์ตี้คืนวันศุกร์เดินไปมา
ในสหรัฐฯ เรื่องนี้ไม่ใช่ทฤษฎีอีกต่อไป แต่เป็นสำนวนคดีในศาล ในปี 2024 คณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์ (SEC) ได้เปิดโปงแผนการครอบครัวอันงดงาม: สามีของพนักงานทางไกลหญิงของยักษ์ใหญ่น้ำมัน BP แค่เดินไปมาในบ้านและพักห้องเดียวกับเธอระหว่างการเดินทาง ขณะที่เธอทำงานจากบ้านเกี่ยวกับดีลควบรวมกิจการที่เป็นความลับ เขาแอบฟังการโทรของเธอ แอบมองหน้าจอแล็ปท็อปทำงานที่เปิดค้างตอนเธอลุกไปในครัว กว้านซื้อหุ้นของเครือข่ายที่ใช่ และฟันกำไรจากข้อมูลวงในไปเกือบสองล้านดอลลาร์
ทีนี้ลองนึกถึงสถานการณ์ที่ติดดินกว่านั้น: ผู้เชี่ยวชาญความปลอดภัยทางไกลที่กำลังหย่าร้างอย่างขมขื่นหรือทะเลาะกับคู่ชีวิต ภรรยาที่น้อยใจหรือรูมเมตหัวใส แค่รอให้ “ผู้พิทักษ์โครงสร้างพื้นฐาน” ไปอาบน้ำหรือหลับ แล้วใช้โทรศัพท์ถ่ายรูปหน้าจอที่เปิดค้างพร้อมกุญแจเข้าถึง โทเค็น และแชตใน Slack — หรือเสียบแฟลชไดรฟ์เข้าแล็ปท็อปของเขาดื้อ ๆ ซึ่งรหัสผ่านก็แอบมองข้ามไหล่ไปนานแล้ว
4. ความอ่อนล้าตอนตีสาม และสุดท้าย เรื่องคลาสสิกที่ในช่วงไม่กี่ปีมานี้ทำให้ยักษ์ใหญ่ตั้งแต่ Uber ไปจนถึงบริการยืนยันตัวตน Okta ต้องเจ็บตัว เมื่อคนร้ายซื้อรหัสผ่านที่ถูกขโมยของพนักงานทางไกลมาได้ ก็เหลือแค่ต้องหลบการยืนยันตัวตนสองชั้น (MFA) พวกเขาทำอย่างไร? พวกเขารอให้คนทำงานทางไกลเข้านอนที่บ้าน แล้วตอนตีสามก็เริ่มถล่มโทรศัพท์ของเขาด้วยการแจ้งเตือนพุชนับสิบ: “ยืนยันการเข้าสู่ระบบ” ตามด้วยการส่งข้อความส่วนตัวไปหาเขาในนาม “ฝ่ายสนับสนุนทางเทคนิคของบริษัท”: ว่านี่แค่ระบบรวน ให้กด “ยืนยัน” เพื่อให้การแจ้งเตือนหยุดดัง และคนงัวเงียในกางเกงในตัวเดียว ขอแค่ให้โทรศัพท์เงียบเสียทีแล้วปล่อยให้นอน ก็ใช้นิ้วของตัวเองเปิดประตูให้แฮกเกอร์เข้าสู่ห้องศักดิ์สิทธิ์ที่สุด
จากความโกลาหลของมนุษย์เหล่านี้แหละ — ยาเม็ด ละครครอบครัว อาชญากรรมข้างถนน และความขี้เกียจยามดึก — ที่แท้จริงแล้วคือรากฐานที่อุตสาหกรรม “ความไว้วางใจบนคลาวด์” สมัยใหม่ทั้งหมดตั้งอยู่ และครั้งหน้าเมื่อคุณเห็นป้ายเคร่งขรึม SOC 2 Compliant และ GDPR Compliant ที่ด้านล่างของเว็บไซต์การเงินสวย ๆ ก็แค่นึกไว้ว่า ณ ที่ใดสักแห่งข้ามมหาสมุทร ตอนนี้เลย ชายเหนื่อยล้าที่กินยาต้านซึมเศร้าเพิ่งลุกจากแล็ปท็อปที่เปิดค้างไปรินกาแฟ ขณะที่แฟนสาวของเขากำลังเลื่อนดูรายชื่อเซิร์ฟเวอร์ของคนอื่นบนจอของเขาอย่างครุ่นคิด