ทำงานข้ามประเทศผ่าน VPN ต้องประเมินอะไร

เมื่อก่อนการทำงานที่บ้านหมายถึงห้องว่างหรือโต๊ะในครัว แต่ตอนนี้มักหมายถึงอพาร์ตเมนต์เช่าในอีกประเทศ โคเวิร์กกิ้งสเปซในเมืองที่ไม่เคยไป หรือรถไฟที่ข้ามสองเขตเวลา งานเหมือนเดิม แต่ความเสี่ยงต่างออกไป เครือข่ายใหม่ทุกไม่กี่วัน โต๊ะที่ยืมใช้ แล็ปท็อปหายในแท็กซี่ต่างแดน หรือลูกค้าที่ถามว่าเดือนก่อนข้อมูลของเขาถูกจัดการที่ไหน

VPN ถูกพูดถึงเกือบทุกครั้งที่คุยเรื่องนี้ มักในฐานะทางแก้วิเศษ แต่ไม่ใช่ มันคือเครื่องมือหนึ่งที่ปกป้องภาพรวมเพียงส่วนหนึ่ง และทำงานได้ดีที่สุดเมื่อคำถามที่ยากกว่าได้รับคำตอบแล้ว บทความนี้รวมคำถามด้านความปลอดภัยที่ควรตกลงก่อนและระหว่าง VPN ทำงานข้ามประเทศ บอกว่า VPN ส่วนตัวช่วยตรงไหนอย่างแท้จริง และไม่ช่วยตรงไหน เป็นข้อมูลทั่วไป ไม่ใช่คำปรึกษาด้านกฎหมาย ภาษี หรือตรวจคนเข้าเมือง ถ้าต้องการมุมมองเรื่องการเลือกซื้อ ดู VPN ที่เหมาะกับการทำงานระยะไกล ส่วนบทความนี้เน้นคำถามที่อยู่รอบ ๆ นั้น

คำถามที่ 1 ใครเป็นผู้กำหนดกฎว่าคุณทำงานจากที่ไหนได้

ก่อนคิดเรื่องเครื่องมือ ให้รู้ว่าใครเป็นผู้ตัดสิน โดยทั่วไปมีสามฝ่ายที่มีส่วนกำหนด

• นายจ้างหรือลูกค้า สัญญาจ้าง นโยบายความปลอดภัย และข้อตกลงกับลูกค้ามักระบุว่างานทำได้ที่ไหน บนอุปกรณ์ใด และผ่านการเชื่อมต่อแบบไหน ลูกค้าบางรายจำกัดการเข้าถึงระบบจากนอกประเทศที่กำหนด หรือต้องขออนุมัติก่อน
• ประเทศที่คุณอยู่ กฎหมายท้องถิ่นอาจมีผลต่อวิธีทำงาน การจัดการข้อมูล และว่าวีซ่าของคุณอนุญาตให้ทำงานหรือไม่ กฎต่างกันตามประเทศและเปลี่ยนไปตามเวลา
• ประเทศบ้านเกิด ถิ่นที่อยู่ทางภาษี ประกันสังคม และหน้าที่ทางวิชาชีพอาจตามคุณไปด้วย

VPN ไม่เปลี่ยนคำตอบเหล่านี้ และอาจสร้างปัญหาใหม่ได้ด้วย ถ้ามันทำให้การเข้าถึงของคุณดูผิดปกติต่อระบบของนายจ้าง หรือซ่อนตำแหน่งจริงจากนโยบายที่กำหนดให้ต้องรู้ ให้เริ่มด้วยการถามเป็นลายลักษณ์อักษร เช่น "ฉันวางแผนทำงานจากประเทศนี้ระหว่างวันที่เหล่านี้ ต้องทำอะไรบ้าง และใช้อะไรได้บ้าง"

คำถามที่ 2 นายจ้างมี VPN หรือเครื่องมือเข้าถึงให้อยู่แล้วหรือไม่

หลายบริษัทมีช่องทางที่จัดการแล้วสำหรับเข้าระบบภายใน อาจเป็น VPN บริษัทแบบดั้งเดิม เครื่องมือเข้าถึงแบบ zero trust เดสก์ท็อปเสมือน หรือแค่ single sign-on พร้อมการยืนยันตัวตนที่เข้มแข็ง ความแตกต่างสำคัญ บทความ Zero Trust เทียบกับ VPN อธิบายว่าสองแนวคิดต่างกันอย่างไรในทางปฏิบัติ

ถ้านายจ้างมีให้ ลำดับที่ปลอดภัยคือ

1. ใช้เครื่องมือของบริษัทสำหรับงานของบริษัท มันออกแบบมาสำหรับระบบ การบันทึก และนโยบายของพวกเขา
2. อย่าซ้อน VPN อีกตัวโดยไม่ถาม อุโมงค์สองชั้นบนเครื่องเดียวอาจชนกัน ทำให้การเชื่อมต่อพัง หรือบังกิจกรรมจากเครื่องมือความปลอดภัยที่นายจ้างพึ่งพา
3. ถามว่าอนุญาตให้ใช้ VPN ส่วนตัวคู่กันไหม บนเครือข่ายสาธารณะ เช่น เพื่อการเล่นเว็บส่วนตัวในโปรไฟล์แยก
4. รู้ช่องทางขอความช่วยเหลือ ถ้าเครื่องมือบริษัทใช้ไม่ได้ในต่างประเทศ ต้องติดต่อใคร และเวลาไหนในเขตเวลาของคุณ

ความแตกต่างระหว่างเครื่องมือที่บริษัทจัดการกับเครื่องมือส่วนตัวอยู่ใน VPN องค์กรกับ VPN ส่วนตัว สรุปสั้น ๆ VPN องค์กรเชื่อมคุณเข้ากับเครือข่ายขององค์กรหนึ่ง ส่วน VPN ส่วนตัวเชื่อมคุณกับเซิร์ฟเวอร์ VPN ทั่วไปที่ปกป้องทราฟฟิกของคุณบนเครือข่ายท้องถิ่น

คำถามที่ 3 คุณจัดการข้อมูลอะไร และข้อมูลนั้นไปที่ไหนได้บ้าง

ข้อมูลงานไม่ได้มีค่าเท่ากัน ลองคิดเป็นสามกลุ่ม

กลุ่ม	ตัวอย่าง	ความระมัดระวังโดยทั่วไป
สาธารณะหรืออ่อนไหวต่ำ	ร่างการตลาด เอกสารสาธารณะ	นิสัยดีทั่วไป
ภายใน	แผนงาน แชตภายใน โรดแมปที่ยังไม่เปิดเผย	เครื่องมือของบริษัท MFA อุปกรณ์เข้ารหัส
ถูกกำกับหรือเป็นความลับของลูกค้า	ข้อมูลสุขภาพ การเงิน ข้อมูลส่วนบุคคลของลูกค้า สัญญา NDA	ทำตามสัญญาและนโยบายอย่างเคร่งครัด ถามก่อนทำงานต่างประเทศ

กลุ่มที่สามคือจุดที่การทำงานข้ามประเทศซับซ้อนขึ้น บางสัญญาระบุว่าข้อมูลเข้าถึงได้จากบางที่เท่านั้น หรือเฉพาะบนอุปกรณ์ที่บริษัทจัดการ กฎบางอุตสาหกรรมจำกัดสถานที่ที่เปิดดูเรกคอร์ดได้ VPN ส่วนตัวไม่ได้ตอบข้อกำหนดเหล่านั้น และอาจทำให้พิสูจน์ได้ยากขึ้นด้วยซ้ำ ขั้นตอนที่ถูกต้องคือถามและได้คำตอบ ไม่ใช่เดา

คำถามที่ 4 เครือข่ายที่คุณจะใช้จริงปลอดภัยแค่ไหน

สถานที่ทำงานแต่ละแบบมีความเสี่ยงต่างกัน จัดอันดับอย่างตรงไปตรงมา

• อพาร์ตเมนต์เช่าของคุณ คุณควบคุมเราเตอร์ได้ถ้าเจ้าของอนุญาต แต่ไม่รู้ว่าผู้เช่าก่อนหน้าตั้งค่าไว้อย่างไร เปลี่ยนรหัส Wi-Fi ถ้าทำได้ หรือใช้เราเตอร์เดินทางหรือฮอตสปอตมือถือของคุณเอง
• โคเวิร์กกิ้งสเปซ คุณใช้เครือข่ายร่วมกับหลายบริษัท พื้นที่ที่ดีแยกเครือข่ายแขกกับสมาชิก แต่คุณตรวจสอบเองไม่ได้ ให้ถือว่าเป็นเครือข่ายร่วม
• คาเฟ่ โรงแรม และสนามบิน กรณี Wi-Fi สาธารณะแบบคลาสสิก FTC อธิบายความเสี่ยงของ Wi-Fi สาธารณะ และ คู่มือ Wi-Fi คาเฟ่ แปลงความเสี่ยงเหล่านั้นเป็นนิสัย
• ฮอตสปอตมือถือหรือซิมท้องถิ่นของคุณ มักเป็นตัวเลือกปลอดภัยที่สุดในช่วงสำคัญ เพราะคุณไม่ได้ใช้คลื่นวิทยุร่วมกับคนแปลกหน้า

VPN ช่วยได้มากที่สุดกับสองแบบกลาง ๆ แต่ช่วยน้อยมากกับแล็ปท็อปที่ถูกเจาะ และไม่ช่วยเลยกับอีเมลฟิชชิง ถ้าต้องการวิธีเป็นระบบในการตัดสินว่าต้องการการป้องกันแค่ไหน ลองสร้าง โมเดลภัยคุกคามแบบง่าย

คำถามที่ 5 บัญชีของคุณได้รับการป้องกันมากกว่ารหัสผ่านหรือไม่

การถูกเจาะของพนักงานรีโมตส่วนใหญ่ในโลกจริงเริ่มจากข้อมูลล็อกอินที่ถูกขโมยหรือใช้ซ้ำ ไม่ใช่จากคนแอบฟังบน Wi-Fi นี่คือเหตุผลที่การยืนยันตัวตนหลายขั้นตอนสำคัญกว่า VPN

1. เปิด MFA สำหรับอีเมล บัญชีงาน คลาวด์ และตัวจัดการรหัสผ่าน คู่มือของ CISA More than a Password อธิบายเหตุผล
2. เลือกวิธีแบบแอปหรืออุปกรณ์ฮาร์ดแวร์ แทน SMS ถ้าทำได้ โดยเฉพาะเมื่อซิมของคุณเปลี่ยนระหว่างเดินทาง
3. เก็บรหัสกู้คืนแบบออฟไลน์ ไม่ใช่เก็บไว้เฉพาะในอุปกรณ์ที่อาจหาย
4. ใช้ตัวจัดการรหัสผ่าน และรหัสผ่านไม่ซ้ำกันทุกบัญชี
5. ตรวจว่าจะรับปัจจัยที่สองในต่างประเทศอย่างไร รหัสที่ส่งไปเบอร์ประเทศบ้านเกิดอาจไม่ถึงคุณเมื่อใช้ซิมท้องถิ่น

หากต้องการทบทวน อ่าน การยืนยันตัวตนสองขั้นตอนคืออะไร แนวทาง telework ของ NIST SP 800-46 ก็ถือว่าการยืนยันตัวตนที่แข็งแรงและอุปกรณ์ที่จัดการแล้วเป็นมาตรการหลักของการทำงานระยะไกล

คำถามที่ 6 อุปกรณ์พร้อมสำหรับการเดินทางและพื้นที่ร่วมหรือยัง

แล็ปท็อปหายหรือถูกขโมยสร้างความเสียหายมากกว่าการโจมตีเครือข่ายส่วนใหญ่ ตรวจสิ่งเหล่านี้ก่อนไป

• เปิดการเข้ารหัสทั้งดิสก์ และรู้ว่าเก็บรหัสกู้คืนไว้ที่ไหน
• เปิดอัปเดตอัตโนมัติ สำหรับระบบปฏิบัติการ เบราว์เซอร์ และแอปสำคัญ
• ตั้งเวลาล็อกหน้าจอให้สั้น และใช้รหัสผ่านที่แข็งแรงหรือล็อกด้วยชีวมิติ
• ตั้งค่าล็อกและลบข้อมูลทางไกล และลองใช้ดูแล้ว
• แผ่นกรองหน้าจอเพื่อความเป็นส่วนตัว สำหรับรถไฟ เครื่องบิน และคาเฟ่
• โปรไฟล์งานหรือบัญชีผู้ใช้แยก ถ้าใช้เครื่องร่วมกับครอบครัว
• สำรองข้อมูล ไฟล์สำคัญควรอยู่ที่อื่นนอกจากแล็ปท็อปที่พกไป
• พกเท่าที่จำเป็น อย่าเอาอุปกรณ์เก่าที่มีข้อมูลที่ไม่ได้ใช้ไปด้วย

บางประเทศมีกฎเรื่องการตรวจหรือค้นอุปกรณ์ที่ด่าน ตรวจคำแนะนำการเดินทางของรัฐบาลคุณสำหรับปลายทาง และถามนายจ้างว่าควรทำอย่างไรกับข้อมูลลับเมื่อข้ามพรมแดน

คำถามที่ 7 VPN ส่วนตัวมีบทบาทตรงไหน

หลังผ่านคำถามข้างต้น VPN มีบทบาทที่ชัดเจนและเจียมตัว มันมีประโยชน์ในไม่กี่สถานการณ์

• Wi-Fi ร่วมที่ไม่มีเครื่องมือบริษัทจัดการ เช่น ฟรีแลนซ์ที่ทำงานให้หลายลูกค้า
• การเล่นเว็บและบัญชีส่วนตัว บนแล็ปท็อปเครื่องเดียวกันนอกอุโมงค์ของบริษัท ถ้านโยบายอนุญาต
• ไม่ให้เครือข่ายท้องถิ่นอ่านว่าคุณเข้าเว็บไหน เจ้าของ Wi-Fi เห็นการเชื่อมต่อที่เข้ารหัสไปยังเซิร์ฟเวอร์ VPN แทนที่จะเห็นปลายทางของคุณ
• ชั้นป้องกันที่สม่ำเสมอข้ามหลายเครือข่าย การป้องกันของคุณจึงไม่ขึ้นกับความใส่ใจของเจ้าของ Wi-Fi แต่ละที่

VPN ไม่ป้องกันสิ่งต่อไปนี้ ฟิชชิง มัลแวร์ที่คุณติดตั้งเอง รหัสผ่านอ่อน แล็ปท็อปที่ถูกเจาะ บริการที่บันทึกสิ่งที่คุณทำหลังล็อกอิน หรือนโยบายของลูกค้าที่บอกว่าคุณทำงานจากตำแหน่งปัจจุบันไม่ได้ ดู สิ่งที่ VPN ปกป้องคุณไม่ได้

ถ้าเลือก VPN ส่วนตัว ให้ดูว่ามันจัดการ split tunneling อย่างไร ฟีเจอร์นี้ให้บางแอปข้ามอุโมงค์ ขณะที่แอปอื่นใช้อุโมงค์ และอาจสำคัญสำหรับเครื่องมือทำงานที่คาดว่าจะเห็นการเชื่อมต่อปกติของคุณ อ่าน Split tunneling คืออะไร ก่อนตัดสินใจว่าแอปไหนจะอยู่นอกอุโมงค์ ถ้าคุณเป็นผู้รับจ้างอิสระที่ต้องให้เครื่องมือเข้ากับหลายลูกค้า VPN สำหรับฟรีแลนซ์ พูดถึงสถานการณ์นั้น

คำถามที่ 8 การโทร การอัปโหลด และเครื่องมือจะทำงานอย่างไรจากต่างประเทศ

งานข้ามประเทศเกี่ยวข้องกับความหน่วง และ VPN อาจเพิ่มได้เล็กน้อย ประเด็นปฏิบัติ

1. ทดสอบก่อนวันสำคัญ โทรกับเพื่อนร่วมงานจากที่ใหม่ของคุณ ทั้งแบบมีและไม่มี VPN แล้วเทียบคุณภาพ
2. เลือกเซิร์ฟเวอร์ที่ใกล้และเสถียร ถ้าใช้ VPN สำหรับการโทร เซิร์ฟเวอร์ที่ไกลเพิ่มความหน่วงและทำให้เสียงขาดหาย
3. คาดว่าจะเจอ captcha และการขอยืนยัน จากบริการที่สังเกตเห็นตำแหน่งใหม่ นี่เป็นเรื่องปกติและมักลดลงหลังไม่กี่วัน
4. อัปโหลดไฟล์ใหญ่บนการเชื่อมต่อที่เสถียร ใช้สายแลนถ้าทำได้ และเลี่ยง Wi-Fi บนรถไฟสำหรับไฟล์ใหญ่
5. รู้ช่วงเวลาทับซ้อนของเขตเวลา นัดประชุมในช่วงที่คุณมีเครือข่ายดีที่สุด

บทความ VPN สำหรับ Teams calls พูดถึงคุณภาพการโทรอย่างละเอียดกว่า

คำถามที่ 9 ถ้าเกิดปัญหาจะทำอย่างไร

ทุกแผนต้องมีเส้นทางเมื่อล้มเหลว เขียนไว้ก่อนออกเดินทาง

• อุปกรณ์หายหรือถูกขโมย จะแจ้งใครก่อน และเร็วแค่ไหน ล็อกและลบจากระยะไกลได้หรือไม่
• สงสัยว่าบัญชีถูกเจาะ ใครมีอำนาจรีเซ็ตสิทธิ์ของคุณ และติดต่อนอกเวลาทำการได้อย่างไร
• เครือข่ายล่ม ทางสำรองคืออะไร ฮอตสปอตมือถือ ซิมท้องถิ่น บัตรรายวันโคเวิร์กกิ้ง หรือห้องสมุด
• เหตุการณ์กับลูกค้าหรือนายจ้าง ถ้าคิดว่าเผลอเปิดเผยข้อมูลลับ รายงานทันทีและตรงไปตรงมา ความล่าช้ามักทำให้แย่ลงเกือบทุกครั้ง
• คำถามเรื่องวีซ่าหรือกฎหมาย ใครให้คำแนะนำคุณได้ และมีทนายที่คุณระบุไว้แล้วหรือยัง

วิธีที่ดีคือมีโน้ตหนึ่งหน้าที่รวมเบอร์ติดต่อ ที่เก็บรหัสกู้คืน และขั้นตอนที่ต้องทำ เก็บสำเนาไว้แบบออฟไลน์

ตัวอย่างที่ลงมือทำจริง

ลีนาเป็นนักออกแบบผลิตภัณฑ์ที่จ้างโดยบริษัทในประเทศหนึ่ง และวางแผนพักหกสัปดาห์ในเมืองต่างประเทศ เช็กลิสต์ของเธออาจเป็นแบบนี้

1. เธออีเมลถึงหัวหน้าและทีม IT พร้อมวันที่และสถานที่ แล้วถามว่าอะไรอนุญาตบ้าง IT ตอบว่าเธอต้องใช้เครื่องมือเข้าถึงของบริษัท ห้ามติดตั้ง VPN อื่นบนแล็ปท็อปงาน และต้องเปิดการเข้ารหัสดิสก์
2. เธอบอกที่ปรึกษาด้านภาษีเรื่องการพำนัก เพราะเป็นคำถามแยกที่นายจ้างตอบแทนไม่ได้
3. เธอตั้ง MFA ด้วยแอปยืนยันตัวตน และเก็บรหัสกู้คืนในสมุดกระดาษ
4. เธอซื้อ eSIM ท้องถิ่นไว้สำรอง และทดสอบวิดีโอคอลผ่านมัน
5. เธอติดตั้ง VPN ส่วนตัวบนโทรศัพท์และแล็ปท็อปส่วนตัวอีกเครื่องสำหรับธนาคารและเล่นเว็บส่วนตัว ซึ่งได้รับอนุญาต ส่วนบนแล็ปท็อปงาน เธอใช้เฉพาะเครื่องมือของบริษัท
6. ที่โคเวิร์กกิ้งสเปซ เธอใช้แผ่นกรองหน้าจอและล็อกแล็ปท็อปทุกครั้งที่ลุกออก
7. เธอเขียนโน้ตหนึ่งหน้า ระบุเบอร์หัวหน้า สายด่วน IT และขั้นตอนเมื่ออุปกรณ์หาย

ลองสังเกตว่า VPN ทำอะไรในเรื่องนี้ น้อยมาก ความปลอดภัยส่วนใหญ่ของเธอมาจากนโยบาย การยืนยันตัวตน การดูแลอุปกรณ์ และแผนสำรอง

สรุป

การทำงานระยะไกลข้ามประเทศทำให้เกิดคำถามเรื่องนโยบายนายจ้าง ข้อมูลลูกค้า กฎหมายท้องถิ่น ความปลอดภัยของอุปกรณ์ และความเสี่ยงของเครือข่าย และ VPN ตอบได้แค่ข้อสุดท้าย เริ่มด้วยการรู้ว่าใครกำหนดกฎ ใช้เครื่องมือเข้าถึงของบริษัทกับงานของบริษัท เสริมบัญชีด้วยการยืนยันตัวตนหลายขั้นตอน เตรียมอุปกรณ์สำหรับกรณีหายหรือถูกขโมย และมีแผนเขียนไว้สำหรับกรณีล้มเหลว เพิ่ม VPN ส่วนตัวในที่ที่อนุญาตและที่ Wi-Fi ร่วมเป็นจุดอ่อน ทดสอบการโทรจากที่ใหม่ และปล่อยเรื่องภาษี วีซ่า และกฎหมายให้ที่ปรึกษาที่เหมาะสม

ถ้าแพ็กเกจเติมเงินแบบง่าย ๆ เหมาะกับส่วนส่วนตัวของการตั้งค่า ก็ดู หน้าราคา ได้เมื่อพร้อม