Security Score / Cyber Risk Score คืออะไร?
Security Score (Security Rating / Cyber Risk Score) คือ ตัวเลขหรือเกรดที่วัดระดับความปลอดภัยไซเบอร์ขององค์กร จากมุมมองภายนอก (Outside-in) โดยอาศัยข้อมูลสาธารณะ (OSINT) และการสแกนอัตโนมัติ เพื่อให้ภาพรวม "องค์กรนี้ปลอดภัยแค่ไหน" ในมุมมองของแฮกเกอร์
ประเภทและผู้ให้บริการหลัก
| Platform | Scoring Model | Focus | Use Case |
|---|---|---|---|
| SecurityScorecard | A-F Grade + 0-100 Score per Factor | 10 Risk Factors (DNS, IP Reputation, Web App, Network, Leaks, Hacker Chatter, Endpoint, Patching, Cubit, App Sec) | Vendor Risk, Cyber Insurance, Board Reporting, M&A Due Diligence |
| BitSight | 250-900 Score | Botnet, Spam, Malware, Vulnerabilities, User Behavior, Diligence | Vendor Risk, Insurance, Benchmarking |
| RiskRecon (Mastercard) | A-F + Numeric | Asset Discovery, Vuln, Web App, Cert, DNS, Email, Network Filtering | Third-Party Risk, Portfolio Management |
| UpGuard | 0-950 Score | External Attack Surface, Data Leaks, Compliance, Vendor Risk | Vendor Risk, Compliance, Attack Surface Mgmt |
| Microsoft Secure Score | 0-100% (Tenant Level) | M365/Azure Config, Identity, Device, Apps, Data, Infrastructure | Internal Security Posture (Microsoft Ecosystem) |
| NIST CSF / CMMC / ISO 27001 Score | Maturity Level (1-5) / Compliance % | Framework Controls Implementation | Compliance, Audit, Maturity Assessment |
SecurityScorecard: 10 Risk Factors (ตัวอย่างที่นิยม)
- DNS Health: Misconfig, Dangling Records, Zone Transfer, DNSSEC
- IP Reputation: Botnet, Spam, Malware, Mining, Proxy, Tor Exit Nodes
- Web Application Security: Headers, TLS, Content Security, Vuln (OWASP), WAF
- Network Security: Open Ports, Services, Vuln, Expired Certs, Protocols (SMB, RDP, Telnet)
- Leaked Information: Credentials, PII, Source Code, Docs ใน Paste Sites, Dark Web, GitHub
- Hacker Chatter: Mentions in Forums, Telegram, Dark Web, Threat Intel Feeds
- Endpoint Security: OS Version, EOL Software, Browser Version, AV Status (via Telemetry)
- Patching Cadence: Time to Patch Critical/High Vulns (CVE/KEV)
- Cubit Score: Application Security (Code, Dependencies, CI/CD)
- Application Security: Secure SDLC, SAST/DAST/SCA, Secrets Management
Security Score ใช้ทำอะไร? (Use Cases)
- Third-Party / Vendor Risk Management (VRM/TPRM): Screen Vendor ใหม่, Monitor Vendor เดิม, Contract SLA (Minimum Score)
- Cyber Insurance Underwriting: Insurer ใช้ Score คำนวณ Premium, Coverage, Exclusions
- Board/Executive Reporting: KPI เดียวที่เข้าใจง่าย "Score 750/900" แทน Technical Jargon
- M&A Due Diligence: ประเมิน Target Company ก่อนซื้อ/รวม
- Benchmarking: เปรียบเทียบกับ Industry Peers, Competitors
- Security Investment Prioritization: Focus 改善 Low Score Factors ก่อน
Microsoft Secure Score (Internal Perspective)
- วัด Configuration Posture ของ Microsoft 365 / Azure
- แต้มจาก: Identity (MFA, Conditional Access), Device (Compliance, EDR), Apps (DLP, Sensitivity Labels), Data (Encryption, Retention), Infrastructure (Defender, Firewall)
- Target: 67%+ (Best Practices Applied), <50% = High Risk, <30% = Critical
- Actionable: ให้ Improvement Actions พร้อม Points ที่ได้ → Prioritize ง่าย
NIST Score / Framework Maturity
- ไม่ใช่ Single Score แตเป็น Maturity Level (Tier 1-4) ใน 5 Functions: Identify, Protect, Detect, Respond, Recover
- ใช้ Self-Assessment หรือ Third-party Assessment
- CMMC (DoD): Level 1-3 (Foundational → Advanced → Expert)
ข้อจำกัดและข้อควรระวัง (Limitations)
- 🔴 Outside-in Only: ไม่เห็น Internal Controls, Network Segmentation, EDR Config, Culture
- 🔴 False Positives/Negatives: IP Shared Hosting, CDN, Cloud Provider IP Attributed ผิด
- 🔴 Point-in-Time: Snapshot ไม่ใช่ Real-time (Daily/Weekly Update)
- 🔴 Gaming the Score: Fix เพื่อ Score ไม่ใช่ Fix เพื่อ Risk Reduction จริง
- 🔴 ไม่แทนที่ Risk Assessment จริง: ต้องมี Threat Modeling, Business Impact Analysis, Internal Audit
Best Practices การใช้ Security Score
- ✅ ใช้เป็น Indicator/Trend ไม่ใช่ Absolute Truth
- ✅ Contextualize: เข้าใจ Business Context, Asset Criticality, Threat Landscape
- ✅ Remediate Root Cause: แก้ช่องโหว่จริง ไม่แค่ปิด Port/ซ่อน Header เพื่อ Score
- ✅ Combine Internal + External: Secure Score (Internal) + SecurityScorecard (External) = Holistic View
- ✅ Track Trend Over Time: Improving? Stable? Degrading?
- ✅ Engage Vendors: แชร์ Report, ร้องเรียน False Positive, ร่วมมือ Remediate
สรุป
Security Score/Cyber Risk Score = ตัวชี้วัดความปลอดภัยจากมุมมองภายนอก (Outside-in) ใช้จัดการ Vendor Risk, Cyber Insurance, Board Reporting, Benchmarking หลักๆ: SecurityScorecard (A-F, 10 Factors), BitSight (250-900), Microsoft Secure Score (Internal M365/Azure) ต้องใช้ร่วมกับ Internal Assessment เพื่อภาพสมบูรณ์
