การคำนวณความเสี่ยงทางไซเบอร์ (Cyber Risk Quantification) สำหรับธุรกิจ
การคำนวณความเสี่ยงไม่ใช่แค่สูตรคณิตศาสตร์ แต่เป็น กระบวนการอย่างเป็นระบบ เพื่อแปลงความเสี่ยงทางเทคนิค ให้เป็นภาษาธุรกิจ (Financial Impact) ที่ผู้ตัดสินใจเข้าใจและจัดสรรงบประมาณได้
โมเดลพื้นฐาน: FAIR (Factor Analysis of Information Risk)
มาตรฐานอุตสาหกรรมสำหรับ Quantitative Risk Analysis
Risk = Loss Event Frequency (LEF) × Loss Magnitude (LM)
LEF = Threat Event Frequency (TEF) × Vulnerability (Vuln)
LM = Primary Loss + Secondary Loss (Reputation, Legal, Regulatory, Competitive)
ขั้นตอนการคำนวณความเสี่ยงรวม (Step-by-Step)
ขั้นตอนที่ 1: ระบุทรัพยากรสำคัญ (Crown Jewels Identification)
- จัดทำ Asset Inventory (CMDB)
- จัดประเภทความสำคัญ: Critical, High, Medium, Low
- ระบุ Business Process ที่พึ่งพา Asset แต่ละตัว
ขั้นตอนที่ 2: ระบุภัยคุกคามที่เกี่ยวข้อง (Threat Modeling)
- ใช้ MITRE ATT&CK Mapping กับ Environment
- Threat Intelligence Feeds ที่เกี่ยวข้องอุตสาหกรรม/ภูมิภาค
- คำนวณ Threat Event Frequency (TEF): ครั้ง/ปี ที่ภัยคุกคามจะพยายามโจมตี
ขั้นตอนที่ 3: ประเมินช่องโหว่และ Control คงเหลือ (Vulnerability & Control Effectiveness)
- Vulnerability Scanning (Nessus, Qualys, Tenable) + Penetration Testing
- ประเมิน Control Effectiveness (0-100% หรือ 0-1): Preventive, Detective, Corrective
- คำนวณ Vulnerability (Vuln) = 1 - Control Effectiveness
ขั้นตอนที่ 4: ประเมินผลกระทบ (Impact Analysis)
| ประเภทความเสียหาย | ตัวอย่างการคำนวณ |
|---|
| Primary Loss (Direct) | Ransom Payment, Incident Response Cost, Forensics, System Rebuild, Legal Fees, Regulatory Fines (PDPA: ≤5M THB, GDPR: ≤4% Revenue) |
| Secondary Loss (Indirect) | Reputation Loss (Customer Churn %), Stock Price Impact, Competitive Advantage Loss, Increased Insurance Premium, Audit Costs |
| Operational Loss | Downtime Cost/Hour × Estimated Downtime Hours (RTO) |
ขั้นตอนที่ 5: คำนวณและจัดอันดับความเสี่ยง (Risk Calculation & Prioritization)
Annualized Loss Expectancy (ALE) = SLE × ARO
SLE (Single Loss Expectancy) = Asset Value × Exposure Factor (EF)
ARO (Annualized Rate of Occurrence) = LEF (จากขั้นตอนที่ 2-3)
# ตัวอย่าง:
Asset Value = $10M, EF = 0.4 (40% loss if breached) → SLE = $4M
TEF = 10 attempts/year, Vuln = 0.3 (70% control effectiveness) → LEF = 3/year
ALE = $4M × 3 = $12M/year
ขั้นตอนที่ 6: Risk Treatment Decision
| กลยุทธ์ | เมื่อไหร่ใช้ | ตัวอย่าง |
|---|
| Mitigate (ลด) | Risk > Risk Appetite, ROI > Cost | Deploy WAF, MFA, Patch, Segmentation |
| Transfer (โอน) | Risk สูง, ควบคุมได้ยาก, มี Insurance | Cyber Insurance, Outsource to MSSP |
| Accept (ยอมรับ) | Risk ≤ Appetite, Cost > Benefit | Document, Monitor, Review ทุกไตรมาส |
| Avoid (หลีกเลี่ยง) | Risk ไม่สามารถจัดการได้ / Business Value ต่ำ | Decommission Legacy System, Stop Service |
เครื่องมือและ Framework ที่ช่วย
- FAIR Model / Open FAIR: Standard สำหรับ Quantitative Risk
- NIST SP 800-30: Guide for Conducting Risk Assessments
- ISO 27005: Information Security Risk Management
- RiskLens, Safe Security, Axio, Balbix: Commercial CRQ Platforms
- Microsoft Defender for Cloud / Secure Score: Built-in Risk Scoring
- CISA KEV (Known Exploited Vulnerabilities) + EPSS (Exploit Prediction Scoring System): Prioritization Data-driven
ตัวอย่าง Dashboard สำหรับ Board/Management
| Metric | Target | Current | Trend |
|---|
| Total Annualized Risk Exposure | < $5M | $12.3M | ↑ +15% |
| Critical Assets Unprotected | 0 | 3 | → |
| Mean Time to Patch (Critical) | < 7 days | 45 days | ↓ Improving |
| Phishing Click Rate | < 2% | 8.5% | ↑ Worsening |
| Security Budget vs Risk Reduction | > 3:1 ROI | 1.2:1 | → |
Best Practices
- ใช้ Ranges (Monte Carlo Simulation) แทน Point Estimates (Min, ML, Max)
- Calibrate Subject Matter Experts (SMEs) ให้ประเมินสม่ำเสมอ
- Update Risk Register ทุกไตรมาส หรือเมื่อมี Major Change/Incident
- Link กับ Business Objectives (Revenue, Customer Trust, Compliance)
- Communicate ในภาษา Financial Terms ไม่ใช่ Technical Jargon
