พนักงานลาออกแล้วยังล็อกอินเครื่องมือแชท LINE ได้อยู่: ทำไมองค์กรหลายทีมต้องมี SSO ไม่ใช่แค่รหัสผ่านแยกคนละระบบ

บริษัทประกันภัยขนาดกลางแห่งหนึ่งที่ผมเคยตรวจสอบระบบให้ เจอเหตุการณ์ที่ทำให้ผู้บริหารตกใจ — พนักงานฝ่ายขายที่ลาออกไปแล้วกว่าสี่เดือน ยังสามารถล็อกอินเข้าเครื่องมือ tracking ที่ผูกกับ LINE OA ได้อยู่ ทั้งที่ฝ่ายบุคคลปิดอีเมลบริษัทและตัดสิทธิ์ระบบหลักไปนานแล้ว

สาเหตุไม่ได้ซับซ้อน เครื่องมือแชทตัวนั้นใช้ระบบล็อกอินแยกของตัวเอง มีรหัสผ่านชุดหนึ่งที่ไม่ได้ผูกกับระบบ Active Directory หรือ Google Workspace ที่ฝ่าย IT ใช้จัดการบัญชีพนักงานหลัก เมื่อพนักงานลาออก ฝ่าย IT ปิดบัญชีอีเมลกับระบบหลักตามขั้นตอน แต่ไม่มีใครนึกถึงเครื่องมือย่อยตัวนี้เลย

เรื่องนี้ต่างจากคำถามว่า 'ใครควรเห็นข้อมูลอะไร' ซึ่งเป็นเรื่องสิทธิ์การเข้าถึงข้อมูล (authorization) แต่นี่คือปัญหา 'ใครยังล็อกอินเข้าได้อยู่' ซึ่งเป็นเรื่องการยืนยันตัวตน (authentication) — สองเรื่องนี้ต้องแก้คนละชั้น และบทความนี้จะโฟกัสที่ชั้นการล็อกอินโดยเฉพาะ

แยกให้ออกก่อน: authentication ต่างจาก authorization

หลายองค์กรสับสนระหว่างสองเรื่องนี้ authentication คือการพิสูจน์ว่า 'คุณคือใคร' เช่น การล็อกอินด้วยรหัสผ่านหรือ SSO ส่วน authorization คือ 'คุณมีสิทธิ์ทำอะไรได้บ้างหลังจากล็อกอินแล้ว' เช่น เห็นข้อมูลแผนกไหนได้บ้าง เรื่องหลังนี้เป็นสิ่งที่การวางสิทธิ์เข้าถึงข้อมูลตามบทบาทของแต่ละแผนกพูดถึงไปแล้ว แต่บทความนั้นตั้งสมมติฐานว่าคุณล็อกอินเข้าระบบได้แล้วเรียบร้อย

ปัญหาบัญชีค้างที่ยกตัวอย่างไปตอนต้น เป็นปัญหาชั้น authentication ล้วน ๆ ต่อให้ตั้งสิทธิ์การเห็นข้อมูลไว้แคบแค่ไหน ถ้าบัญชีเก่ายังล็อกอินเข้าได้ ก็ยังเห็นข้อมูลตามสิทธิ์เดิมที่เคยได้รับอยู่ดี การแก้ที่ปลายทาง (จำกัดสิทธิ์) โดยไม่แก้ที่ต้นทาง (ปิดการล็อกอิน) จึงไม่พอ

SSO แก้ปัญหานี้ตรงไหน

Single Sign-On (SSO) ทำให้พนักงานล็อกอินครั้งเดียวผ่านระบบกลางขององค์กร (เช่น Google Workspace, Microsoft Entra ID) แล้วใช้สิทธิ์นั้นเข้าระบบอื่น ๆ รวมถึงเครื่องมือ tracking ที่ผูกกับ LINE OA ได้โดยไม่ต้องมีรหัสผ่านแยกอีกชุด เมื่อฝ่าย IT ปิดบัญชีกลางของพนักงานที่ลาออก ระบบทุกตัวที่เชื่อมผ่าน SSO จะถูกตัดสิทธิ์พร้อมกันทันที ไม่ต้องไล่ปิดทีละระบบ

เทคโนโลยีเบื้องหลังที่ใช้กันแพร่หลายมีสองมาตรฐานหลักคือ SAML และ OIDC (OpenID Connect) เครื่องมือ tracking ที่รองรับมาตรฐานใดมาตรฐานหนึ่งนี้ สามารถต่อเข้ากับระบบยืนยันตัวตนกลางขององค์กรได้โดยไม่ต้องพัฒนาระบบล็อกอินขึ้นมาใหม่เอง

ขั้นตอนเริ่มต้นเมื่อจะเชื่อมเครื่องมือแชทเข้า SSO ขององค์กร

1. สำรวจก่อนว่าเครื่องมือ tracking ที่ใช้อยู่รองรับ SAML/OIDC หรือไม่ ถ้าไม่รองรับเลย อาจต้องพิจารณาเปลี่ยนเครื่องมือหรือหาทางออกชั่วคราวด้วยการจัดการรหัสผ่านแบบรวมศูนย์ผ่านระบบจัดการรหัสผ่านองค์กรแทน
2. ให้ทีม IT ตั้งค่า Identity Provider (เช่น Google Workspace) ให้รู้จักเครื่องมือแชทเป็น Service Provider หนึ่งในระบบ SSO
3. ทดสอบการล็อกอินกับผู้ใช้กลุ่มเล็กก่อน โดยเฉพาะเช็กว่าเมื่อปิดบัญชีกลางแล้ว การเข้าถึงเครื่องมือแชทถูกตัดจริงภายในเวลาที่ยอมรับได้ (ควรทันทีหรือไม่เกินไม่กี่นาที)
4. กำหนดกระบวนการมาตรฐานให้ฝ่ายบุคคลแจ้งฝ่าย IT ทุกครั้งที่มีพนักงานลาออกหรือเปลี่ยนแผนก เพื่อให้การตัดสิทธิ์ผ่าน SSO เกิดขึ้นพร้อมกับขั้นตอนอื่น ไม่ใช่แยกกันคนละกระบวนการ

อย่าลืมกรณีเอเจนซี่หรือพาร์ทเนอร์ภายนอก

• เอเจนซี่โฆษณาหรือพาร์ทเนอร์ภายนอกที่ต้องเข้าถึงเครื่องมือแชทควรมีบัญชีแยกที่ผูกกับ SSO เช่นกัน ไม่ใช่ใช้บัญชีร่วมที่แชร์รหัสผ่านกันในทีม ซึ่งทำให้ตามไม่ได้ว่าใครทำอะไรเมื่อไหร่
• เมื่อสัญญากับเอเจนซี่สิ้นสุด การตัดสิทธิ์ผ่าน SSO ทำได้ง่ายกว่าการไล่เปลี่ยนรหัสผ่านในแต่ละระบบที่เอเจนซี่เคยเข้าถึง
• ถ้าองค์กรมีหลายทีมที่ต้องดูข้อมูลจากหลายแบรนด์รวมกันในคลังข้อมูลกลาง การมี SSO ยิ่งสำคัญ เพราะจำนวนระบบที่ต้องเชื่อมต่อกันจะเพิ่มขึ้นตามจำนวนแบรนด์ การจัดการรหัสผ่านแยกกันจะยิ่งซับซ้อนและเสี่ยงมากขึ้นตามไปด้วย

สรุป

ปัญหาบัญชีเก่าที่ยังเข้าถึงข้อมูลได้หลังพนักงานลาออก ไม่ใช่เรื่องของสิทธิ์ว่าใครเห็นอะไร แต่เป็นเรื่องพื้นฐานกว่านั้นคือใครยังล็อกอินเข้าระบบได้อยู่ องค์กรที่มีหลายทีมใช้เครื่องมือแชท LINE ร่วมกับระบบอื่น ควรมี SSO เป็นชั้นกลางที่ควบคุมการล็อกอินทั้งหมด แทนที่จะปล่อยให้แต่ละระบบมีรหัสผ่านแยกกันเอง

ถ้าองค์กรของคุณยังไม่มี SSO ให้เริ่มจากสำรวจว่าเครื่องมือที่ใช้อยู่รองรับมาตรฐานนี้หรือไม่ แล้วค่อยวางแผนเชื่อมทีละระบบ โดยเริ่มจากระบบที่มีข้อมูลอ่อนไหวที่สุดก่อน

• แยกปัญหา authentication (ใครล็อกอินได้) ออกจาก authorization (ใครเห็นอะไร) ให้ชัด
• SSO ผ่าน SAML/OIDC ทำให้ปิดบัญชีครั้งเดียวตัดสิทธิ์ทุกระบบพร้อมกัน
• อย่าลืมผูกบัญชีเอเจนซี่/พาร์ทเนอร์ภายนอกเข้า SSO ด้วย ไม่ใช้บัญชีร่วมที่แชร์รหัสผ่านกัน

คำถามที่พบบ่อย