Part 2 จบ — Identity ครบทุกซอกทุกมุม. EP.18 เปิด Part 3 ด้วยคำถามที่ใหญ่ที่สุด — control ทั้งหมดที่ผ่านมา สุดท้ายปกป้องอะไร? คำตอบ: ข้อมูล. แต่ข้อมูลในเมืองไม่เท่ากันทุกชิ้น — บางอย่างเป็น public บางอย่าง top secret. และของทุกชิ้นมีวัยเกิด-เติบโต-เก่า-ตาย. EP นี้พาคุณดู 4-tier classification, 3 บทบาท Owner/Custodian/Steward, 6 phase ของ data lifecycle, secure disposal (wipe / degauss / shred / crypto-shredding), Data Sovereignty (GDPR / PDPA), และเคสจริงที่ Morgan Stanley จ่าย $35M ค่าปรับเพราะทิ้ง HDD ไม่ถูกวิธี.

Part 2 climax — เด็ก 17 ปีใน Florida เข้าควบคุมบัญชี Obama / Elon / Bill Gates ในคืนเดียว ไม่ใช่เพราะ hack Twitter ได้ — แต่เพราะ admin tool ของ Twitter ทำได้ทุกอย่าง และคน 1-2 คนถือกุญแจชุดนั้น. EP.17 เล่าเรื่อง PAM (ตู้เซฟของกุญแจ admin) + Zero Trust (mindset ของ Google ที่เปลี่ยนวงการ) — แล้วปิด Part 2 ด้วยข้อสรุปเดียว: Identity คือ perimeter ใหม่.

EP.11-15 ตอบคำถาม 'คุณคือใคร' (Authentication) ครบทุกซอกทุกมุม. EP.16 ขยับไปคำถามถัดมาที่ใหญ่กว่า — 'คุณทำอะไรได้บ้าง?' (Authorization). ยามที่ประตูตึกถามคุณ 2 รอบ — รอบแรก 'คุณคือใคร', รอบที่สอง 'บัตรนี้เปิดประตูห้องไหนได้บ้าง'. EP นี้ผมพาคุณดู 4 รูปแบบของการแจกสิทธิ์ที่ครองวงการ — RBAC (ตามตำแหน่งงาน), ABAC (ตาม context), MAC (ระบบบังคับ), DAC (เจ้าของแชร์เอง) — กฎทอง 3 ข้อ Least Privilege + Need-to-Know + Separation of Duties — เคสจริง Société Générale €4.9B ที่ trader คนเดียวพัง 1 แบงค์ฝรั่งเศส — และทำไม IDOR ครองอันดับ 1 ของ OWASP Top 10 ตั้งแต่ปี 2021.

EP.15 พาดผ่านประโยคหนึ่งว่า SAML เกิดในปี 2005 ตอน 'XML กำลังฮิตในวงการ enterprise — SOAP, WSDL, XSD ทุกอย่างเป็น XML'. หลายคนที่ผ่านบรรทัดนั้นไป สงสัยว่ายุคที่ว่าคือยุคไหน. EP.15.5 นี้ผมขอแทรกเป็น primer สั้นๆ เปิดซอง 3 ตัวอักษรของยุคนั้น — SOAP (ซองจดหมายราชการระหว่างบริษัท), WSDL (คู่มือว่ารับเรื่องอะไรได้บ้าง), UDDI (สมุดรายชื่อบริษัททั่วโลก). ทำไม UDDI ตายไปตั้งแต่ปี 2006 ทำไม SOAP ยังไม่ตาย — และทำไม auditor + security engineer ของปี 2026 ยังต้องรู้จัก trio นี้ทั้งที่ดูเหมือนของเก่า.

EP.14 จบที่ Kerberos — ระบบ check-in โรงแรมของบริษัทเดียว. แต่ในปี 2026 พนักงานคนนึงเปิดเช้าวันจันทร์ — เปิด Slack, เปิด Salesforce, เปิด Office 365, เปิด Zoom, เปิด Notion, เปิด Figma, เปิด HubSpot — รวมแล้ว 50+ SaaS — ทุกตัวอยู่คนละบริษัทคนละโลก. ระบบรู้ยังไงว่าเขาคือเขา ข้าม organization? คำตอบคือ Federation + SSO — เทคโนโลยีที่ทำให้ปุ่ม 'Login with Google' กดได้ทุกที่ในอินเทอร์เน็ต. EP นี้ผมพาคุณดูภาพ passport ดิจิทัล — รัฐบาล (IdP) ออก passport, ประเทศปลายทาง (SP) ตรวจ passport — 3 protocol ที่ครองวงการ (SAML / OAuth / OIDC), JWT format ของ token, Federation gotchas — confused deputy, OAuth consent phishing, token theft — เคสจริง Twitter 2020 + Okta 2022 — และทำไมบริษัทไทยที่ปล่อยให้พนักงานใช้ gmail ส่วนตัว login SaaS = orphan account ระดับองค์กร.

EP.13 จบไปแล้วเรื่อง MFA + Biometric — Passkey, Hardware Key, Push Notification. แต่ทั้งหมดนั้นเป็น authentication ที่คุณเห็นในชีวิตประจำวัน — login Gmail / mobile banking ของคุณเอง. คำถามถัดมาคือ — บริษัทที่มี Windows 1,000 เครื่อง + พนักงาน 500 คน + ระบบภายใน 50 ระบบ (file server, email, intranet, SAP, HR) — พนักงาน login Windows เช้านี้ครั้งเดียว แล้วเข้าได้ทุก app ที่เปิดต่อๆ มา — ระบบรู้ยังไงว่าเขาคือเขา? คำตอบคือ Kerberos — protocol ที่เกิดที่ MIT ในปี 1988, ที่ Microsoft รับมาเป็น backbone ของ Active Directory, ที่บริษัทใหญ่ทั่วโลกใช้กันในปี 2026. EP นี้ผมพาคุณดูระบบ check-in โรงแรม 3 เคาน์เตอร์ของ Kerberos — KDC / AS / TGS, บัตรแขก (TGT) + คีย์ห้อง (Service Ticket), flow จริงตั้งแต่ 9 โมงเช้าถึง 5 โมงเย็น, attack สำคัญที่ red team ทั่วโลกใช้ — Mimikatz, Pass-the-Ticket, Golden Ticket, Silver Ticket, Kerberoasting, และทำไม Domain Admin ใน Active Directory คือ crown jewel ที่ ransomware gang เก่งๆ ระดับ Conti / LockBit เป้าหมายแรก.

ทำไม password ที่ดีที่สุดในโลกยังโดน phishing ในไม่กี่วินาที — และทำไมยามหน้าคอนโดของเราต้องขอหลักฐานชั้นที่ 2 และ 3. EP นี้พาเดินจาก ATM ปี 1967 ถึง Passkey ปี 2024 — ดูว่าทำไม SMS OTP ตาย, ทำไม Uber โดน hack ทั้งที่เปิด MFA, และทำไม FIDO2 ถึงเป็นจุดเปลี่ยนเกมจริง.

EP.11 รู้แล้วว่า Factor 1 (สิ่งที่คุณรู้) = password — แต่ผมเปิดเรื่องไว้แค่ overview. EP.12 ทั้ง EP ผม dedicate ให้กับ password อย่างเดียว — เพราะ breach ใหญ่ๆ ในโลกครึ่งหนึ่งของ 20 ปีที่ผ่านมา มาจาก password ที่เก็บผิดวิธี. ใน EP นี้คุณจะเห็น — ทำไม MD5 (อัลกอริทึมที่ใช้กันมา 30 ปี) ตายไปแล้วในวงการ, ทำไม bcrypt/argon2/scrypt/PBKDF2 ดีกว่า, Salt กับ Pepper คืออะไรและทำไมร้านเก็บ password ที่ดีต้องใช้, NIST 2017 เปลี่ยนกฎ password ทั้งหมดยังไง, เคส Colonial Pipeline 2021 ที่ท่อน้ำมันครึ่งฝั่งตะวันออกของอเมริกาหยุด 6 วันเพราะ password 1 ตัว, และทำไม Password Manager เปลี่ยนชีวิตคนทำงานทั่วไป.

EP.10 ปิดด้วยคำถาม — ตอน user login จริงๆ ระบบรู้ยังไงว่าคนนี้คือคนนี้? EP.11 พาคุณยืนหน้าเคาน์เตอร์ยามคอนโด — ดูว่าคำตอบ 'พี่เป็นใคร' ต้องการหลักฐาน 3 ประเภทคนละแบบ Know / Have / Are — และทำไม MFA ที่ ATM ใช้มาตั้งแต่ 1967 เพิ่งกลายเป็น baseline ของวงการเมื่อไม่กี่ปีนี้.

EP.09 ปิด Part 1 ด้วยประโยคที่ว่า compliance ไม่ใช่ security — รากของ security จริงๆ คือ identity. EP.10 เปิด Part 2 ที่ lifecycle ของบัตรประจำตัวพนักงาน — Joiner / Mover / Leaver. ลองนึก scenario พนักงานลาออก 6 เดือนยัง login VPN บริษัทเก่าได้, Tesla insider ใช้ account ที่ยังเปิด, Twitter 2020 ใช้ admin panel เดียวยึด Obama/Musk/Apple. รู้จัก Provisioning / Deprovisioning / Privilege Creep / Orphan Account / Account Reviews + Recertification — และเข้าใจว่าทำไม 'วันสุดท้าย' เป็นขั้นตอนที่บริษัทไทยลืมมากที่สุด.