Risk vs Threat vs Vulnerability: ความแตกต่างพื้นฐาน
คำถามว่า "Risk กับ Threat อันไหนแย่กว่า?" เป็นคำถามที่ผิดโครงสร้าง เพราะ ทั้งสองเป็นสิ่งที่ต่างกันแตกต่างกัน และไม่ได้อยู่ในมิติเดียวกันที่จะเปรียบเทียบ "แย่กว่า" ได้ ต้องเข้าใจความสัมพันธ์ของทั้งสามตัว:
🔑 นิยามมาตรฐาน (ISO 27001, NIST, FAIR)
- Asset (สินทรัพย์): สิ่งที่มีค่าและต้องการปกป้อง (Data, System, Reputation, People)
- Threat (ภัยคุกคาม): สิ่งที่มีศักยภาพจะทำลาย/ทำร้าย Asset — "Who/What can cause harm?" (Hacker, Malware, Flood, Insider, Nation-state)
- Vulnerability (ช่องโหว่): จุดอ่อนที่ Threat สามารถใช้ประโยชน์ได้ — "Where is the weakness?" (Unpatched CVE, Misconfig, Weak Password, No MFA, Open Port)
- Risk (ความเสี่ยง): ความน่าจะเป็น (Likelihood) ที่ Threat จะ Exploit Vulnerability × ผลกระทบ (Impact) ต่อ Asset — "What is the potential loss?"
- Control / Countermeasure: มาตรการลด Risk (Patch, Firewall, MFA, Encryption, Training, Insurance)
- Residual Risk: Risk ที่เหลือหลังจาก लागू Control แล้ว
🎯 ทำไมจึงไม่ตอบว่า "อันไหนแย่กว่า" ได้?
- Threat = "โจร" (มีอยู่เสมอ ไม่สามารถกำจัดได้หมด) — เป็น External Factor
- Vulnerability = "ประตูไม่ได้ล็อก" (เราควบคุมได้) — เป็น Internal Factor
- Risk = "โอกาสที่โจรจะเข้าผ่านประตูที่ไม่ได้ล็อก × ความเสียหายที่จะเกิดขึ้น" — เป็น Calculated Metric ที่เรา จัดการ (Manage) ได้
สรุป: เรา ไม่สามารถกำจัด Threat ได้หมด (Hacker จะมีอยู่เสมอ) แต่เรา ลด Vulnerability และจัดการ Risk ให้อยู่ในระดับยอมรับได้ (Risk Appetite)
📊 ตัวอย่างการคำนวณ Risk (Qualitative & Quantitative)
Qualitative Risk Matrix (5x5)
| Likelihood \ Impact | Negligible (1) | Minor (2) | Moderate (3) | Major (4) | Catastrophic (5) |
|---|---|---|---|---|---|
| Rare (1) | Low | Low | Medium | Medium | High |
| Unlikely (2) | Low | Medium | Medium | High | High |
| Possible (3) | Medium | Medium | High | High | Critical |
| Likely (4) | Medium | High | High | Critical | Critical |
| Almost Certain (5) | High | High | Critical | Critical | Critical |
Quantitative (FAIR Model - Factor Analysis of Information Risk)
Risk ($) = Loss Event Frequency (LEF) × Probable Loss Magnitude (PLM)
- LEF = Threat Event Frequency (TEF) × Vulnerability (Vuln%)
- PLM = Primary Loss (Direct) + Secondary Loss (Reputation, Legal, Regulatory)
- Monte Carlo Simulation ใช้สำหรับ Uncertainty Range
⚠️ Top Threats vs Top Risks: มุมมองที่ต่างกัน
| มุมมอง | Top Concerns (2023-2024) | เหตุผล |
|---|---|---|
| Threat Landscape (ภัยคุกคามที่ร้ายแรงที่สุด) | 1. Ransomware/RansomOps 2. Nation-state APT 3. Supply Chain Attack 4. AI-Powered Attacks (Deepfake, Auto-exploit) 5. Cloud/Identity Attacks (Token Theft, MFA Bypass) | Sophistication, Impact, Frequency เพิ่มขึ้น |
| Risk Exposure (ความเสี่ยงที่องค์กรเผชิญจริง) | 1. Unpatched Internet-facing Vulnerabilities (VPN, FW, Exchange) 2. Weak/Reused Credentials + No MFA 3. Misconfigured Cloud (S3, Security Groups, IAM) 4. No Network Segmentation (Flat Network) 5. Inadequate Logging/Monitoring (Blind Spots) 6. Third-party Vendor Risk 7. Shadow IT / Unmanaged Devices | เป็น Vulnerabilities ที่ Attacker ใช้ประโยชน์ได้ง่ายที่สุด (Low Hanging Fruit) |
🛡️ การจัดการ Risk (Risk Treatment Options)
- Mitigate (ลด): Patch, Hardening, MFA, Segmentation, EDR, SIEM, Training — ลด Likelihood และ/หรือ Impact
- Transfer (โอน): Cyber Insurance, Managed Security Service (MSSP), Vendor SLA — โอน Financial Impact
- Accept (ยอมรับ): Documented Risk Acceptance Form, Signed by Business Owner — เมื่อ Cost of Control > Potential Loss
- Avoid (หลีกเลี่ยง): Decommission Legacy System, ไม่ใช้ Cloud Service ที่ Risky, หยุด Business Process ที่ Risky
🔍 Vulnerability vs Exposure: ความแตกต่าง
- Vulnerability: ช่องโหว่ที่มีอยู่จริง (เช่น CVE-2021-44228 Log4Shell ใน Library)
- Exposure: สถานะที่ Vulnerability ถูกเข้าถึงได้จากภายนอก (เช่น Log4j Server อยู่ใน DMZ, Internet-facing, ไม่มี WAF) — Vulnerability + Accessibility = Exposure
- Not all Vulnerabilities = Exposure (เช่น Vuln ใน Internal Server ที่ไม่มี Path จาก Internet = Low Exposure)
📈 Risk Appetite & Risk Tolerance
- Risk Appetite: ระดับความเสี่ยงที่องค์กรยินดีรับเพื่อบรรลุเป้าหมายทางธุรกิจ (ตั้งโดย Board/CISO)
- Risk Tolerance: ความผันผวนที่ยอมรับได้รอบๆ Risk Appetite (เช่น Appetite = Medium, Tolerance = Low-Medium to High)
- Control Implementation ต้องทำให้ Residual Risk ≤ Risk Appetite
🏆 4 ประเภท Vulnerability หลัก (ISO 27005 / NIST)
| ประเภท | คำอธิบาย | ตัวอย่าง |
|---|---|---|
| Technical | ช่องโหว่ใน Software, Hardware, Firmware, Protocol | CVE, Misconfig, Weak Crypto, Default Creds |
| Human/Social | พฤติกรรมมนุษย์ที่เป็นช่องโหว่ | Phishing Click, Weak Password, Social Engineering, Insider Threat |
| Physical | การเข้าถึงทางกายภาพ | Tailgating, Unlocked Server Room, Stolen Laptop, Dumpster Diving |
| Organizational/Process | ข้อบกพร่องในกระบวนการ/นโยบาย | No Patch Policy, No Offboarding Process, No IR Plan, Inadequate Vendor Mgmt |
📋 5 Basic Internet Security Problems (Classic + Modern)
- Zero-Day Vulnerabilities: ช่องโหว่ที่ Vendor ยังไม่รู้/ไม่มี Patch — ต้องมี Defense in Depth, Threat Intel, Virtual Patching (WAF/IPS)
- Phishing / Social Engineering: จุดเข้าสู่ระบบ #1 — ต้องมี MFA, Email Security, Training, Phishing Simulation
- Ransomware: Business Impact สูงสุด — ต้องมี Immutable Backup, Network Segmentation, EDR, IR Plan
- Malware (General): Trojan, Worm, Cryptominer, Spyware — ต้องมี AV/EDR, Application Control, Network Monitoring
- DDoS: Availability Impact — ต้องมี DDoS Protection (Cloud/On-prem), Capacity Planning
✅ สรุป: จัดการ Risk ไม่ใช่จัดการ Threat
องค์กรที่ประสบความสำเร็จด้าน Security ไม่ได้พยายาม "กำจัด Threat" (เป็นไปไม่ได้) แต่:
- Reduce Attack Surface: ลด Vulnerabilities และ Exposure (Patch, Harden, Segment, Remove Unused Services)
- Increase Attack Cost: ทำให้ Attacker ต้องใช้ทรัพยากร/เวลา/ความเสี่ยงมากขึ้น (MFA, Encryption, Monitoring, Deception)
- Improve Detection & Response: จับได้เร็ว, ควบคุมได้ไว, กู้คืนได้เร็ว (SIEM, SOAR, IR Plan, Backup)
- Quantify & Communicate Risk: แปลง Technical Risk เป็น Business Language ($, Reputation, Regulatory) ให้ Board/Management ตัดสินใจได้
ข้อสรุป: Threat คือ "ศัตรู", Vulnerability คือ "จุดอ่อนของเรา", Risk คือ "โอกาสที่ศัตรูจะโจมตีจุดอ่อนสำเร็จ × ความเสียหาย" — เราจัดการ Risk โดยลด Vulnerability และ Impact ให้อยู่ในระดับยอมรับได้
