นิยามความเสี่ยง (Risk) ในเครือข่ายและไซเบอร์
Risk (ความเสี่ยง) = ความเป็นไปได้ที่จะเกิดความเสียหายหรือความสูญเสีย จาก Threat (ภัยคุกคาม) ใช้ประโยชน์จาก Vulnerability (ช่องโหว่) ของ Asset (ทรัพยากร)
สูตร: Risk = Threat × Vulnerability × Asset Value × Impact
ประเภทของความสูญเสีย (Impact)
- ทางการเงิน (Financial Loss) - ค่าใช้จ่ายแก้ไข ค่าปรับ ค่าไถ่การร้องทุก sofr
- ข้อมูลลับรั่วไหล (Data Breach/Privacy Loss) - PII, IP, Trade Secrets
- ชื่อเสียง (Reputational Damage) - ความเชื่อมั่นลูกค้า หุ้นราคาตก
- การดำเนินงานหยุดชะงัก (Operational Disruption) - ระบบดาวน์ ไม่สามารถให้บริการได้
- ทางกฎหมาย/ปฏิบัติตามข้อกำหนด (Legal/Regulatory) - ค่าปรับ PDPA, GDPR, HIPAA
ความแตกต่าง: Threat, Vulnerability, Risk
| คำศัพท์ | นิยาม | ตัวอย่าง |
|---|---|---|
| Threat (ภัยคุกคาม) | สิ่งที่อาจทำลายทรัพยากร (Potential Danger) | แฮกเกอร์, มัลแวร์, ไฟ, พนักงานประมาท |
| Vulnerability (ช่องโหว่) | จุดอ่อนที่อาจถูกใช้ประโยชน์ (Weakness) | ซอฟต์แวร์ไม่ได้แพทช์, รหัสผ่านอ่อน, Port เปิดอยู่ |
| Risk (ความเสี่ยง) | ความน่าจะเป็น × ผลกระทบ เมื่อ Threat ใช้ Vulnerability | โอกาส 30% ที่แฮกเกอร์จะโจมตีช่องโหว่ RDP ที่เปิดอยู่ |
ภัยคุกคามเครือข่ายทั่วไป (Common Network Security Risks)
- Phishing - หลอกลวงข้อมูลบัตรเครดิต/รหัสผ่าน
- Computer Viruses - โค้ดทำลาย/แพร่กระจาย
- Malware/Ransomware - เข้ารหัสข้อมูลเรียกค่าไถ่
- Rogue Security Software - ซอฟต์แวร์ปลอมแปลง
- DDoS (Distributed Denial of Service) - ทำให้บริการไม่พร้อมใช้งาน
- Insider Threat - ภัยคุกคามจากภายในองค์กร
- Unpatched Vulnerabilities - ช่องโหว่ที่ทราบแต่ไม่แก้
- Misconfiguration - ตั้งค่าผิด (เช่น S3 Bucket Public)
Network Risk Assessment (การประเมินความเสี่ยงเครือข่าย)
กระบวนการระบุ วัด และลดความเสี่ยงต่อเครือข่ายที่พนักงานใช้ทุกวัน ใช้เครื่องมือ Risk Assessment Tools เพื่อระบุระบบสำคัญและข้อมูลละเอียดอ่อนที่ถูกส่งต่อให้กับภัยคุกคาม
Network Risk Management (การจัดการความเสี่ยงเครือข่าย)
กลยุทธ์ระบุ ประเมิน และลดความเสี่ยงจากภัยคุกคามต่อทรัพยากรดิจิทัล รวมถึงข้อมูลบนเซิร์ฟเวอร์ภายใน ภายนอก หรือ Public Cloud
Threat and Risk Assessment (TRA)
กระบวนการสำคัญในการจัดการระบบไอที: ทำความเข้าใจภัยคุกคาม กำหนดระดับช่องโหว่ และแนะนำมาตรการป้องกันที่เพียงพอ
ความแตกต่าง Risk vs Vulnerability vs Threat vs Impact
Risk = Threat Probability × Vulnerability Impact
- Threat Probability: โอกาสที่ภัยคุกคามจะเกิดขึ้น
- Vulnerability Impact: ความรุนแรงหากช่องโหว่ถูกใช้ประโยชน์
- Risk: ผลคูณของทั้งสอง (ปรับด้วยค่า Asset และ Control ที่มีอยู่)
สรุป
การเข้าใจ Risk, Threat, Vulnerability และความสัมพันธ์กันเป็นพื้นฐานของการจัดการความปลอดภัยเครือข่ายที่มีประสิทธิภาพ ต้องทำ Risk Assessment เป็นประจำ และใช้ Risk-based Approach ในการตัดสินใจลงทุนความปลอดภัย
