เลือก VPN สำหรับธุรกิจขนาดเล็กต้องดูอะไร

คำแนะนำส่วนใหญ่เรื่อง VPN สำหรับธุรกิจขนาดเล็กมักเขียนราวกับว่าคุณมีผู้จัดการไอทีประจำ แต่ความจริงคือทีม 5 ถึง 30 คนมักมีเจ้าของกิจการที่ต้องซ่อมปริ้นเตอร์เองด้วย และมีพนักงานไม่กี่คนที่ถือโน้ตบุ๊กกับมือถือไปทำงานในที่ที่บริษัทควบคุมเครือข่ายไม่ได้ บทความนี้เขียนให้เจ้าของแบบนั้น ช่วยให้คุณตัดสินใจได้ว่าต้องการอะไร มีเกณฑ์ที่ให้คะแนนเสร็จได้ในบ่ายเดียว และมีแผนสำหรับเรื่องที่ไม่มีใครอยากทำ ซึ่งก็คือพนักงานใหม่ พนักงานที่ลาออก และบิลรายเดือน

บทความนี้ไม่เอ่ยชื่อผลิตภัณฑ์ใด และไม่รับประกันผลลัพธ์ หากอยากเข้าใจความต่างระหว่างเครือข่ายที่บริษัทดูแลเองกับแอปสำหรับผู้ใช้ทั่วไปก่อน ให้อ่าน VPN ธุรกิจกับ VPN ส่วนตัวต่างกันอย่างไร ส่วนที่นี่เราจะเน้นการลงมือจริง โดยสมมติว่าคุณต้องตัดสินใจซื้อภายในเดือนนี้

เริ่มจากกำหนดว่า VPN ต้องทำงานอะไร

ขั้นตอนที่มีประโยชน์ที่สุดไม่ต้องเสียเงินเลย ให้เขียนประโยคเดียวที่ขึ้นต้นว่า "เราต้องการ VPN เพื่อ..." ธุรกิจขนาดเล็กมักตกอยู่ในงานสามแบบ และแต่ละแบบนำไปสู่ผลิตภัณฑ์คนละชนิด

1. ป้องกันคนที่อยู่บนเครือข่ายที่เราควบคุมไม่ได้ เช่น พนักงานขายที่พักโรงแรม นักบัญชีที่นั่งทำงานในร้านกาแฟ หรือนักออกแบบที่ใช้โคเวิร์กกิ้งสเปซ เป้าหมายคืออุโมงค์เข้ารหัสเพื่อไม่ให้เจ้าของเครือข่ายและแขกคนอื่นอ่านข้อมูลที่ส่งผ่านได้ แอป VPN สำหรับผู้ใช้ทั่วไปตอบโจทย์นี้
2. เข้าถึงระบบส่วนตัวจากข้างนอก เช่น เซิร์ฟเวอร์ไฟล์ในออฟฟิศ โปรแกรมบัญชีที่ทำงานได้เฉพาะในเครือข่ายภายใน หรือเครื่องที่ควบคุมอุปกรณ์ในโรงงาน เป้าหมายคือการเชื่อมเข้าเครือข่ายที่คุณดูแลเอง งานนี้ต้องใช้ VPN ธุรกิจหรือเกตเวย์ ซึ่งแอปสำหรับผู้ใช้ทั่วไปไม่มีให้
3. ควบคุมว่าใครเห็นอะไรได้ เช่น ฝ่ายการเงินเห็นข้อมูลต่างจากนักศึกษาฝึกงาน พร้อมบันทึกว่าใครเชื่อมต่อเมื่อไร นี่คือเรื่องการควบคุมสิทธิ์และการตรวจสอบ ซึ่ง VPN ธรรมดามักไม่ใช่เครื่องมือที่ถูกต้อง ถ้านี่คือความต้องการจริงของคุณ ให้อ่าน Zero Trust กับ VPN ต่างกันอย่างไร

หลายทีมพบว่าคำตอบจริงคือข้อแรกข้อเดียว ซึ่งเป็นข่าวดี เพราะถูกที่สุดและติดตั้งเร็วที่สุด แต่ถ้าคำตอบคือข้อสองหรือข้อสาม ให้หยุดก่อนซื้อผลิตภัณฑ์สำหรับผู้ใช้ทั่วไป เพราะมันจะไม่ทำสิ่งที่คุณคาดหวัง

แบบประเมินความต้องการหนึ่งหน้า

ใช้ตารางนี้ร่วมกับรายชื่อพนักงานจริงของคุณ ทำเครื่องหมายใช่หรือไม่ในแต่ละแถว แล้วรูปแบบของคำตอบจะบอกว่าควรมองหาอะไร

คำถาม	ถ้าตอบว่าใช่ อาจต้องมี
พนักงานใช้ Wi-Fi ในร้านกาแฟ โรงแรม หรือออฟฟิศลูกค้าหรือไม่	แอป VPN บนโน้ตบุ๊กและมือถือ
มีระบบใดที่ใช้ได้เฉพาะในเครือข่ายออฟฟิศหรือไม่	การเชื่อมเข้าเครือข่ายของตัวเอง (VPN ธุรกิจหรือเกตเวย์)
ต้องรู้ว่าใครเชื่อมต่อเมื่อไรหรือไม่	ระบบควบคุมสิทธิ์ระดับธุรกิจและบันทึกที่คุณดูแลเอง
มีผู้รับเหมาที่ต้องเข้าระบบไม่กี่สัปดาห์หรือไม่	สิทธิ์ระยะสั้นที่ยกเลิกแยกรายคนได้
สัญญากับลูกค้าระบุมาตรการความปลอดภัยเฉพาะหรือไม่	เอกสารยืนยันจากลูกค้าว่าต้องการอะไรบ้าง
พนักงานใช้มือถือส่วนตัวทำงานหรือไม่	กติกาชัดเจนว่าแอปและข้อมูลใดใช้ได้

ให้นับคำตอบ "ใช่" ในสองแถวแรกก่อน เพราะเป็นตัวกำหนดประเภทผลิตภัณฑ์ ส่วนแถวที่เหลือบอกว่าคุณต้องระวังเรื่องบัญชีและบันทึกมากแค่ไหน

เจ็ดเกณฑ์ที่ควรให้คะแนน

เมื่อมีตัวเลือกที่คัดไว้แล้ว ให้ให้คะแนนแต่ละตัวเลือกตั้งแต่ 0 ถึง 2 ในหัวข้อต่อไปนี้ จุดประสงค์ไม่ใช่ความแม่นยำทางคณิตศาสตร์ แต่คือการบังคับให้คุณมองทุกข้อจริง ๆ

1. มีแอปสำหรับอุปกรณ์ที่คุณมีจริง ลองจดอุปกรณ์ทุกเครื่อง ทั้งโน้ตบุ๊ก มือถือ และแท็บเล็ต แล้วตรวจว่าผู้ให้บริการมีแอปสำหรับทุกระบบปฏิบัติการ ทีมที่มี Windows สองเครื่อง Mac สามเครื่อง และ iPhone ปนกับ Android ต้องการครบทั้งสี่แบบ ควรถามเรื่องเวอร์ชันขั้นต่ำของระบบปฏิบัติการด้วย เพราะมือถือเก่าของบริษัทบางเครื่องอาจไม่รองรับ

2. ข้อกำหนดชัดเจนว่าใครใช้บัญชีได้ ผู้ให้บริการแต่ละรายต่างกันว่าหนึ่งบัญชีมีไว้สำหรับหนึ่งคน หนึ่งครัวเรือน หรือหนึ่งบริษัท อย่าเดา ถ้าข้อกำหนดไม่ได้พูดถึง ให้ถามฝ่ายสนับสนุนแล้วเก็บคำตอบเป็นลายลักษณ์อักษร จุดนี้จุดเดียวช่วยป้องกันข้อพิพาทส่วนใหญ่ในภายหลัง

3. รูปแบบการชำระเงินที่ตรงกับพฤติกรรมการใช้จ่าย แพ็กเกจรายปีที่ต่ออายุอัตโนมัติสะดวกสำหรับทีมที่นิ่ง แต่เป็นภาระสำหรับธุรกิจตามฤดูกาล แพ็กเกจเติมเงินที่หมดอายุเองเหมาะกับโปรเจกต์ ช่วงงานยุ่ง หรือช่วงทดลอง อ่านข้อดีข้อเสียได้ใน ทำไมถึงเลือก VPN แบบไม่ต่ออายุอัตโนมัติ

4. ใบเสร็จและหลักฐานทางบัญชี สำหรับงานบัญชี คุณต้องมีใบเสร็จที่ระบุวันที่และจำนวนเงินชัดเจน และถ้าเป็นไปได้ควรใส่ชื่อบริษัทได้ ตรวจดูว่าผู้ให้บริการออกใบเสร็จที่ดาวน์โหลดได้ และออกในนามธุรกิจแทนที่จะเป็นชื่อบุคคลได้หรือไม่

5. ฝ่ายสนับสนุนที่ติดต่อได้จริง ทดสอบก่อนจ่ายเงิน ส่งคำถามก่อนขายแล้วดูว่าใช้เวลาตอบนานแค่ไหนและคำตอบตรงประเด็นหรือไม่ ผู้ให้บริการที่ตอบคลุมเครือตั้งแต่ก่อนขายมักไม่ดีขึ้นหลังจากที่คุณจ่ายเงินแล้ว

6. ความเสถียรบนเครือข่ายที่ใช้งานจริง ติดตั้งบนอุปกรณ์ของพนักงาน 2 ถึง 3 คน แล้วใช้งานหนึ่งสัปดาห์บนเครือข่ายที่เขาทำงานจริง การประชุมวิดีโอ ไดรฟ์ที่แชร์กัน และโปรแกรมบัญชีบนคลาวด์คือการทดสอบที่สำคัญ ช่วงทดลองหรือช่วงรับประกันคืนเงินทำให้ทดสอบได้ง่ายขึ้น ให้เทียบทั้งสองแบบก่อนตัดสินใจ

7. การตลาดที่ซื่อสัตย์ ระวังคำสัญญาว่าจะทำให้บริษัท "ไม่มีใครแตะต้องได้" "ปิดตัวตนทั้งหมด" หรือ "ปลอดภัยครบ" VPN เป็นเพียงหนึ่งชั้นของการป้องกัน ผู้ให้บริการที่บอกตรง ๆ แบบนี้น่าเชื่อถือกว่าผู้ที่ไม่บอก

รวมคะแนนทั้งหมด ถ้าสองตัวเลือกเท่ากัน ให้เลือกตัวที่ข้อกำหนดชัดเจนกว่า

บัญชี การรับคนเข้า และการให้คนออก

ปัญหา VPN ในธุรกิจขนาดเล็กส่วนใหญ่ไม่ใช่ปัญหาเทคนิค แต่เป็นเรื่องของคนที่เข้ามาและออกไป

ให้ทุกคนมีข้อมูลเข้าสู่ระบบของตัวเองเท่าที่ทำได้ เมื่อพนักงานขายคนหนึ่งลาออกวันศุกร์ คุณต้องการตัดสิทธิ์เขาโดยไม่รบกวนเพื่อนร่วมงานอีกสี่คน ถ้าใช้บัญชีร่วมกัน คุณต้องเปลี่ยนรหัสผ่านให้ทุกคน และใครที่จดรหัสเก่าไว้ก็ยังมีสำเนาอยู่

ทำทะเบียนง่าย ๆ สเปรดชีตเดียวที่มีชื่อคน อุปกรณ์ วันที่เริ่มใช้ วันที่สิ้นสุด และผู้อนุมัติ ใช้เวลาห้านาทีต่อเดือน แต่ช่วยประหยัดเวลาเมื่อมีเหตุการณ์แปลก ๆ

เขียนกติกาครึ่งหน้าให้พนักงาน ครอบคลุมว่าเมื่อไรต้องเปิด VPN (ทุกเครือข่ายที่เราควบคุมไม่ได้) ถ้าแอปใดไม่ยอมทำงานกับ VPN ต้องทำอย่างไร และต้องถามใคร พนักงานทำตามกติกาสั้น ๆ แต่มักไม่อ่านกติกายาว ๆ

วางรายการตรวจสอบตอนพนักงานออก เมื่อมีคนลาออก ให้ถอนสิทธิ์ VPN ไดรฟ์ที่แชร์ อีเมล และตู้เก็บรหัสผ่านตามลำดับความเร่งด่วน รวมทั้งเก็บคืนหรือล้างอุปกรณ์ของบริษัท บัญชี VPN เป็นเพียงหนึ่งรายการในรายการนี้ ไม่ใช่ทั้งรายการ

ถ้าผู้ให้บริการเป็นแบบเติมเงิน อย่าลืมว่าแพ็กเกจมีจำนวนวันตายตัว สำหรับ XPASS แพ็กเกจเริ่มนับเมื่อบัญชี VPN ถูกสร้าง และข้อมูลเข้าสู่ระบบจะปรากฏเฉพาะในหน้า My Pass ของผู้ซื้อ ดังนั้นควรกำหนดว่าใครในธุรกิจเป็นผู้ถือการซื้อ และส่งต่อข้อมูลให้ผู้ใช้อย่างปลอดภัย ไม่ใช่โพสต์ในแชตกลุ่ม

ต้นทุนต่อหัวจริง ๆ เท่าไร

ราคาบนหน้าแพ็กเกจไม่ใช่ต้นทุนที่ธุรกิจของคุณจ่ายจริง ให้ใช้วิธีง่าย ๆ ต่อไปนี้

1. นับเฉพาะคนที่จำเป็นต้องใช้ VPN จริง ไม่ใช่ทุกคนในบัญชีเงินเดือน
2. หาราคาสำหรับช่วงเวลาที่คุณจะใช้จริง รวมราคาตอนต่ออายุด้วย
3. หารด้วยจำนวนเดือนที่ใช้งานจริง
4. บวกเวลาที่จ่ายแต่ไม่ได้ใช้

ตัวอย่างด้วยตัวเลขสมมติ ทีมหกคน มีสองคนที่เดินทางตลอด และอีกสี่คนทำงานที่ออฟฟิศเป็นหลัก ถ้าแพ็กเกจรายปีราคา 100 หน่วยต่อคน สำหรับทั้งหกคนรวมเป็น 600 แต่ถ้าเพียงสองคนที่เดินทางต้องใช้ทั้งปี และอีกสี่คนต้องใช้เพียงสองเดือนช่วงโปรเจกต์ ความต้องการจริงคือสองคนเต็มปีบวกแปดคนต่อเดือน การซื้อแพ็กเกจสั้นเฉพาะคนและช่วงเวลาที่ต้องใช้อาจถูกกว่า 600 แม้ราคาต่อเดือนจะสูงกว่า เพราะคุณเลิกจ่ายค่าเวลาที่ไม่ได้ใช้ ในทางกลับกัน ถ้าทั้งทีมเดินทางทั้งปี แพ็กเกจยาวจะคุ้มกว่า

บทเรียนคือให้เปรียบเทียบต้นทุนต่อเดือนของการใช้งานจริง ไม่ใช่ราคาที่โฆษณา คู่มือ VPN ควรราคาเท่าไร อธิบายวิธีคิดเลขเพิ่มเติม ส่วนราคาปัจจุบันของแพ็กเกจ XPASS ดูได้ในหน้าราคา

เมื่อแพ็กเกจเติมเงินเหมาะกับธุรกิจเล็ก

ธุรกิจไม่ได้ต้องการการป้องกันถาวรทุกที่ แพ็กเกจเติมเงินที่มีจำนวนวันตายตัว จ่ายครั้งเดียวและไม่ต่ออายุเอง เหมาะกับหลายกรณี

• ทีมโปรเจกต์ สามคนไปไซต์ลูกค้าหกสัปดาห์ ซื้อแพ็กเกจให้ตรงช่วงเวลาแล้วปล่อยให้หมดอายุ
• ช่วงงานยุ่งตามฤดูกาล บริษัททัวร์จ้างไกด์เฉพาะช่วงไฮซีซัน
• ทดลองก่อนตัดสินใจ ให้พนักงานสองคนใช้หนึ่งเดือน แล้วถามว่ามีอะไรติดขัดไหม
• คนที่เดินทางนาน ๆ ครั้ง เจ้าของที่บินปีละสองครั้งและไม่จำเป็นต้องใช้ที่บ้าน

ข้อดีคือไม่มีใครต้องจำว่าต้องยกเลิก ข้อเสียคือต้องมีคนจำว่าต้องซื้อใหม่เมื่อหมด ดังนั้นควรใส่การเตือนล่วงหน้าสองสัปดาห์ก่อนหมดอายุไว้ในทะเบียนของคุณ การต่ออายุก่อนกำหนดกับ XPASS จะนำวันใหม่ไปบวกกับวันที่เหลืออยู่ จึงไม่เสียวันที่ซื้อไว้ล่วงหน้า

สิ่งที่ VPN ทำให้ธุรกิจคุณไม่ได้

VPN ปกป้องเส้นทางระหว่างอุปกรณ์กับเซิร์ฟเวอร์ VPN เท่านั้น ไม่ได้ทำสิ่งต่อไปนี้ และการตัดสินใจซื้อที่ตั้งสมมติฐานว่าทำได้จะทำให้ผิดหวัง

• ไม่หยุดฟิชชิง ใบแจ้งหนี้ปลอมที่เหมือนจริงก็ยังเหมือนจริงเมื่อผ่านอุโมงค์ พนักงานต้องรู้จักสังเกตเว็บปลอม และยืนยันการเปลี่ยนบัญชีรับเงินทางโทรศัพท์
• ไม่ทดแทนการยืนยันตัวตนที่แข็งแรง เปิดการยืนยันตัวตนสองขั้นตอนสำหรับอีเมล ธนาคาร และเครื่องมือบนคลาวด์ก่อน คำแนะนำของ CISA เรื่องการยืนยันหลายปัจจัยอธิบายว่าทำไมแค่ขั้นตอนที่สองก็ช่วยป้องกันการยึดบัญชีได้เป็นส่วนใหญ่ ดูพื้นฐานได้ที่ การยืนยันตัวตนสองขั้นตอนคืออะไร
• ไม่อัปเดตซอฟต์แวร์ให้ โน้ตบุ๊กที่ไม่ได้แพตช์เป็นสาเหตุที่พบบ่อยที่สุดที่ธุรกิจเล็กเดือดร้อน
• ไม่สำรองไฟล์ให้ แรนซัมแวร์และอุบัติเหตุแก้ได้ด้วยการสำรองข้อมูลที่ทดสอบแล้ว
• ไม่ให้การกำหนดสิทธิ์และบันทึกการตรวจสอบ ต้องใช้ระบบที่ออกแบบมาเพื่อสิ่งนี้

แนวทางของ NIST เรื่องความปลอดภัยของการทำงานทางไกลเป็นตัวอย่างที่ดี คือมองว่า VPN เป็นมาตรการหนึ่งจากหลายอย่าง โดยความปลอดภัยของเครื่องปลายทางและการจัดการสิทธิ์สำคัญเท่ากัน ถ้าไตรมาสนี้คุณปรับปรุงได้เพียงเรื่องเดียว การยืนยันตัวตนสองขั้นตอนมักคุ้มกว่า VPN

แผนนำไปใช้ใน 30 วัน

นี่คือลำดับที่ธุรกิจที่ไม่มีฝ่ายไอทีทำตามได้

1. สัปดาห์ที่ 1: ตัดสินใจ เขียนประโยคงานที่ต้องการ กรอกแบบประเมิน และคัดตัวเลือกสองราย
2. สัปดาห์ที่ 1: ทดสอบการตอบ ส่งคำถามก่อนขายถึงผู้ให้บริการแต่ละราย เรื่องการใช้บัญชีและใบเสร็จ แล้วจดเวลาที่ได้คำตอบ
3. สัปดาห์ที่ 2: นำร่อง ให้พนักงานสองถึงสามคนที่ทำงานคนละที่ใช้ แล้วให้จดทุกอย่างที่ใช้ไม่ได้
4. สัปดาห์ที่ 3: ทบทวน แอปใดทำงานผิดปกติ แอปธนาคารและแอปชำระเงินบางตัวไม่ชอบการเชื่อมต่อ VPN จึงต้องตัดสินใจว่าจะให้พนักงานปิด VPN ชั่วคราวสำหรับแอปเหล่านั้น หรือใช้ฟีเจอร์แยกการเชื่อมต่อถ้าแอปมีให้
5. สัปดาห์ที่ 4: เปิดใช้จริง แจกข้อมูลเข้าสู่ระบบทีละคน แจกกติกาครึ่งหน้า เริ่มทะเบียน และตั้งการเตือนวันหมดอายุ

การข้ามขั้นนำร่องเป็นทางลัดที่แพงที่สุด ปัญหาที่คนสองคนพบในสัปดาห์ที่สองเป็นแค่บันทึก แต่ปัญหาเดียวกันที่คนสิบสองคนเจอระหว่างประชุมกับลูกค้าคือเหตุการณ์

ข้อผิดพลาดที่พบบ่อย

• ซื้อ VPN สำหรับผู้ใช้ทั่วไปเพื่อแก้ปัญหาการเข้าระบบทางไกล แล้วพบว่าเข้าเซิร์ฟเวอร์ออฟฟิศไม่ได้
• ใช้บัญชีร่วมกันแล้วตัดสิทธิ์พนักงานที่ลาออกอย่างสะอาดไม่ได้
• เลือกตามอันดับที่ได้ค่าคอมมิชชัน แทนที่จะทดสอบบนเครือข่ายของตัวเอง
• จ่ายรายปีทั้งที่โปรเจกต์ใช้เวลาหกสัปดาห์
• เชื่อว่า VPN ทดแทนการยืนยันตัวตนสองขั้นตอนและการอัปเดต
• ไม่มีทะเบียนว่าใครถือสิทธิ์และหมดเมื่อไร
• ไม่บอกพนักงานว่าต้องทำอย่างไรเมื่อแอปธนาคารไม่ยอมเปิด
• ไม่อ่านข้อกำหนดของผู้ให้บริการเรื่องการใช้งานเชิงพาณิชย์

สรุป

VPN สำหรับธุรกิจขนาดเล็กที่ดีที่สุดคือตัวที่ตรงกับงานที่คุณเขียนไว้แล้ว ไม่ว่าจะเป็นการปกป้องพนักงานบนเครือข่ายที่ควบคุมไม่ได้ การเข้าถึงระบบส่วนตัว หรือการควบคุมสิทธิ์ ให้คะแนนผู้ให้บริการจากการรองรับอุปกรณ์ ข้อกำหนดเรื่องบัญชี รูปแบบการชำระเงิน ใบเสร็จ ฝ่ายสนับสนุน ความเสถียร และการตลาดที่ซื่อสัตย์ จัดการเรื่องคนด้วยบัญชีรายคนและทะเบียน และเปรียบเทียบต้นทุนต่อเดือนของการใช้งานจริง ไม่ใช่ราคาโฆษณา อย่าลืมว่า VPN เป็นเพียงหนึ่งชั้น ร่วมกับการยืนยันตัวตนสองขั้นตอน การอัปเดต และการสำรองข้อมูล

ถ้าแพ็กเกจแบบสั้นที่ไม่ต่ออายุเองเหมาะกับโปรเจกต์หรือช่วงทดลองของคุณ ลองดูหน้าราคา XPASS แล้วเทียบกับแบบประเมินของคุณได้ตามสบาย