Douglas Hubbard: How to Measure Anything in Cybersecurity Risk

Douglas Hubbard: How to Measure Anything in Cybersecurity Risk

Douglas W. Hubbard นักเขียนหนังสือดัง "How to Measure Anything" และ "How to Measure Anything in Cybersecurity Risk" (ร่วมกับ Richard Seiersen) เป็นผู้นำด้าน Applied Information Economics (AIE) และ Quantitative Risk Analysis

หัวใจสำคัญของหนังสือ (Core Thesis)

"Everything is measurable. If you can observe it, you can measure it. The question is not whether you can measure, but how to measure it cost-effectively."

• Myth Busting: "Cybersecurity ไม่สามารถวัดได้" = ผิด สิ่งที่วัดยาก ≠ สิ่งที่วัดไม่ได้
• Measurement = Reduction of Uncertainty: ไม่ใช่ความแม่นยำ 100% แต่การลดความไม่แน่ใจให้เพียงพอสำหรับการตัดสินใจ
• Calibration Training: มนุษย์ประเมินความน่าจะเป็นได้ดีขึ้นหากฝึก Calibration (การปรับเทียบการประเมิน)

วิธีการวัด Cybersecurity Risk (Hubbard Approach)

1. Decompose the Problem (แยกย่อยปัญหา)

• แยก "Risk" ออกเป็น: Threat Frequency × Vulnerability Likelihood × Impact Magnitude
• แต่ละตัวแปรแยกวัดได้ (Decomposition Effect - ลด Error รวม)

2. Use Calibrated Subjective Estimates (การประเมินที่ปรับเทียบแล้ว)

• ฝึกให้ Subject Matter Experts (SMEs) ให้ประมาณการเป็น 90% Confidence Intervals (CI)
• ตัวอย่าง: "โอกาส 90% ที่ความเสียหายจะอยู่ระหว่าง $50k - $500k"
• Calibration Exercises: Trivia Questions → Betting → Feedback Loop

3. Monte Carlo Simulation (การจำลองมอนเตคาร์โล)

• นำ Calibrated Distributions มา Run Simulation (10,000+ iterations)
• ได้ Probability Distribution ของ Loss (ไม่ใช่ค่าเดียว)
• คำนวณ: Annualized Loss Expectancy (ALE), Value at Risk (VaR), Tail Value at Risk (TVaR)

4. Value of Information (VoI) / Value of Control (VoC)

• VoI: ค่าของข้อมูลเพิ่มเติมที่ช่วยลดความไม่แน่ใจ (คุ้มค่าที่จะสำรวจหรือไม่?)
• VoC: ค่าของ Control ที่ลด Risk ได้ (ROI ของ Security Investment)
• ตัดสินใจ: Invest ถ้า VoC > Cost of Control

5. Bayesian Updating (การอัปเดตแบบเบย์ส์)

• Prior Probability (จาก Threat Intel, Industry Data) → New Evidence (Logs, Alerts, Pentest Results) → Posterior Probability
• อัปเดตความเชื่ออย่างต่อเนื่องเมื่อมีข้อมูลใหม่

ทำไม Qualitative Risk Matrix (Heat Map) จึงล้มเหลว

Key Metrics ที่ Hubbard แนะนำ (Quantitative)

• Annualized Loss Expectancy (ALE) = SLE × ARO
• Single Loss Expectancy (SLE) = Asset Value × Exposure Factor
• Annualized Rate of Occurrence (ARO) (จาก Threat Intel + Historical Data)
• Value at Risk (VaR 95%, VaR 99%)
• Tail Value at Risk (TVaR / Expected Shortfall)
• Return on Security Investment (ROSI) = (ALE_before - ALE_after - Cost) / Cost

การประยุกต์ใช้ในองค์กร (Practical Implementation)

1. Start Small: เลือก 1-2 Critical Scenarios (เช่น Ransomware, Data Breach, Cloud Misconfig)
2. Gather Data: Internal (Logs, Incidents, Asset DB) + External (Verizon DBIR, MITRE ATT&CK, CVE, Industry Reports)
3. Calibrate Experts: Workshop 1-2 วัน ให้ SMEs ฝึก Calibration
4. Model in Excel/Python/R: @RISK, ModelRisk, PyMC3, Stan, Hubbard's Templates
5. Communicate to Board: "มีโอกาส 10% ที่จะเสีย >$5M จาก Ransomware ปีนี้ การลงทุน $200k ใน Backup/EDR ลดเหลือ 2%"
6. Iterate: Review ทุกไตรมาส อัปเดตด้วย Threat Intel ใหม่

เครื่องมือและแหล่งข้อมูล (Tools & Resources)

• Book: "How to Measure Anything in Cybersecurity Risk" (Hubbard & Seiersen, 2016/2020)
• Companion: "The Failure of Risk Management" (Hubbard, 2009/2020)
• Software: @RISK (Palisade), ModelRisk (Vose), RiskLens (FAIR-based), FAIR-U (Free), MonteCarlito (Excel Add-in Free)
• Frameworks: FAIR (Factor Analysis of Information Risk) - Open Group Standard, NIST 800-30, ISO 27005
• Training: Hubbard Decision Research (HDR) Calibration Training, FAIR Institute Courses

สรุป

Hubbard สอนว่า: Cybersecurity Risk วัดได้ทุกอย่าง ด้วย Decomposition + Calibrated Estimates + Monte Carlo + VoI/VoC + Bayesian Updating เปลี่ยนจาก "Heat Map คุณภาพ" สู่ "Decision-support Quantitative Model" ช่วย CISO/Board ตัดสินใจลงทุน Security ได้อย่างมีเหตุมีผล ROI ชัดเจน

Network Security Key สำหรับ Home Wireless Network คืออะไร

เป้าหมายสูงสุดของ Network Security คือการปกป้องอะไร