ขนาดทีมความปลอดภัยเครือข่าย: ต้องการคนกี่คน?
ไม่มีคำตอบ "หนึ่งขนาดพอดีทุกอย่าง" ขึ้นอยู่กับ: ขนาดองค์กร, ความซับซ้อนของเครือข่าย, อุตสาหกรรม, ความเสี่ยงที่ยอมรับได้ (Risk Appetite), งบประมาณ, และระดับความสุข (Maturity)
กรอบงานทั่วไป (Rule of Thumb)
| ขนาดองค์กร | พนักงาน IT ทั้งหมด | ทีม Security (แนะนำ) | อัตราส่วน Security:IT |
|---|---|---|---|
| SMB (< 250 users) | 5-20 | 1-2 คน (หรือ Outsource/MSSP) | 5-10% |
| Mid-market (250-2,500) | 20-100 | 3-8 คน | 3-8% |
| Enterprise (2,500-10,000) | 100-500 | 10-30 คน | 2-6% |
| Large Enterprise (10,000+) | 500+ | 30-100+ คน | 1-4% |
บทบาทหลักในทีม Network Security (Core Roles)
| Role | หน้าที่หลัก | ทักษะสำคัญ | Cert แนะนำ |
|---|---|---|---|
| Network Security Engineer | Firewall, VPN, Segmentation, IDS/IPS, NAC, Wireless Sec | Routing/Switching, Firewall Vendor, Scripting | CCNP Sec, PCNSE, NSE 4/7 |
| SOC Analyst (L1/L2/L3) | Monitor Alerts, Triage, Investigation, Response | SIEM, Log Analysis, MITRE ATT&CK, Threat Intel | Security+, CySA+, GCIH, GCFA |
| Threat Hunter | Proactive Hunt, Hypothesis-driven, TTP Analysis | EDR/XDR, Query Languages (KQL, Splunk), Python | GCTI, GMON, OSCP |
| Cloud Security Engineer | CSPM, CWPP, Cloud Network Security (AWS/Azure/GCP) | Cloud Networking, IaC, Container/K8s Security | AWS Sec Spec, AZ-500, CCSP |
| SecOps / Automation Engineer | SOAR, Playbooks, API Integration, Detection Engineering | Python, API, SIEM, GitOps, CI/CD Security | GCFA, GNFA, Custom |
| Vulnerability Management | Scanning, Prioritization, Patch Coordination, Reporting | Nessus/Qualys, Risk Scoring (CVSS/EPSS), Patch Mgmt | Security+, CySA+, GREM |
| Identity & Access (IAM) | Entra ID, AD, PAM, MFA, Conditional Access, Zero Trust | Directory Services, Protocols (SAML, OIDC, SCIM) | SC-300, Okta Cert, CISSP |
| GRC / Compliance | Policy, Audit, Risk Assessment, Regulatory (PDPA, ISO, PCI) | Frameworks (NIST CSF, ISO 27001), Audit, Reporting | CISM, CISA, CRISC, ISO 27001 LA |
| Security Architect | Reference Architecture, Design Review, Threat Modeling | SABSA, TOGAF, Zero Trust, Cloud Architecture | CISSP, CCSP, SABSA, TOGAF |
| CISO / Security Leader | Strategy, Budget, Board Reporting, Culture, Vendor Mgmt | Business Alignment, Risk Management, Communication | CISSP, CISM, MBA, CCISO |
โมเดลการจัดทีม (Team Models)
- Centralized: ทีม Security กลาง ดูแลทั้งองค์กร (เหมาะ Enterprise)
- Federated/Hub-and-Spoke: ทีมกลาง + Security Champion/Embedded ในแต่ละ BU
- Decentralized: แต่ละ BU มีทีม Security เอง (Rare, Silo Risk)
- Hybrid (MSSP + Internal): Core ทำเอง, Tier 1 Monitoring/Log Management ให้ MSSP
ตัวชี้วัด (Metrics) ว่าทีมพอหรือไม่
- MTTD (Mean Time to Detect): ควร < 1 ชั่วโมง (Critical)
- MTTR (Mean Time to Respond/Remediate): ควร < 4 ชั่วโมง (Critical)
- Alert Volume per Analyst: < 50-100 alerts/day (L1) - เกิน = Burnout
- Vulnerability Remediation SLA Met %: > 90% (Critical/High)
- Coverage: % Assets monitored, % Network segmented, % MFA enabled
- Staff Utilization: ไม่เกิน 70-80% (เหลือห่างสำหรับ Project/Improvement)
กรณีศึกษา: ธนาคารขนาดกลางในไทย (~3,000 Users, Hybrid Cloud)
| ทีม | หัวcount | หมายเหตุ |
|---|---|---|
| SOC (24/7 Shift) | 12 | L1×6, L2×4, L3×2 (Follow-the-sun หรือ 3 Shift) |
| Network Security | 4 | Firewall, VPN, Segmentation, NAC, Wireless |
| Cloud Security | 3 | AWS/Azure, CSPM, Container Sec |
| AppSec / DevSecOps | 3 | SAST/DAST, Pipeline Security, Code Review |
| Identity & Access | 2 | Entra ID, PAM, MFA, Zero Trust |
| Vuln Mgmt / GRC | 3 | Scanning, Patch Coord, ISO 27001, BOT/PDPA |
| Threat Intel / Hunting | 2 | TI Feeds, Hunting, Purple Team |
| Leadership (CISO, Mgrs) | 3 | Strategy, Vendor, Budget, Board |
| รวม | 32 | ~1% ของพนักงานทั้งองค์กร |
คำแนะนำสำหรับองค์กรไทย
- เริ่มต้น: จ้าง 1-2 Network Security Engineer + 1 SOC Analyst หรือใช้ MSSP (Managed Security Service Provider) สำหรับ 24/7 Monitoring
- บังคับ: PDPA, BOT Notification, ISO 27001 → ต้องมี GRC/Compliance Role
- พัฒนา: Security Champions Program ใน Dev/Infra Teams (ไม่ต้องจ้างเพิ่ม)
- อัตโนมัติ: SOAR, Automation ลด Manual Work ให้ Analyst ทำ High-value Work
- ฝึก: Security+ → CISSP/Cloud Certs ให้ทุกคน มี Career Path ชัดเจน
