การวัดความเสี่ยงด้านไซเบอร์เซキュริตี้ ตามแนวคิดของ Douglas Hubbard และ Daniel Geer
5 แอททริบิวต์หลักของไซเบอร์เซキュริตี้ที่มีประสิทธิภาพ
- Effective Framework - กรอบงานที่มีประสิทธิภาพ
- End-to-end Scope - ครอบคลุมทุกขั้นตอน
- Risk Assessment & Threat Modeling - ประเมินความเสี่ยงและสร้างแบบจำลองภัยคุกคาม
- Incident Response Planning - วางแผนตอบสนองเหตุการณ์ล่วงหน้า
- Dedicated Cybersecurity Team - ทีมเฉพาะทาง
สามารถวัดความเสี่ยงไซเบอร์ได้จริงหรือไม่?
ได้** การวัดปริมาณความเสี่ยงไซเบอร์ (Cyber Risk Quantification) ช่วยให้องค์กรการเงินคำนวณความเสี่ยงเป็นเงินตรา และจัดสรรงบประมาณลดความเสี่ยงอย่างมีประสิทธิภาพ
หลักการ "How to Measure Anything" ในไซเบอร์เซキュริตี้
หนังสือ "How to Measure Anything in Cybersecurity Risk" ของ Douglas W. Hubbard ชี้ให้เห็นข้อบกพร่องของการจัดการความเสี่ยงแบบดั้งเดิม และเสนอวิธีแก้ไข โดยหลักการคือ "ทุกอย่างวัดได้" หากมีการสังเกตได้ จะวัดได้ในระดับหนึ่งระดับหนึ่ง
สูตรการคำนวณความเสี่ยงไซเบอร์
Risk = (Threat × Vulnerability × Probability × Impact) / Control Measures
ประกอบด้วย: Threat Analysis, Vulnerability Assessment, Probability Analysis, Impact Analysis, Control Analysis
Key Metrics สำหรับวัด Cybersecurity
- จำนวน Intrusion Attempts
- Incident Rates, Severity, Response Time, Remediation Time
- เวลาในการ Patch ช่องโหว่
- ระดับการเข้าถึง Application/Data แยกตาม User
- ปริมาณข้อมูลธุรกิจที่สร้างขึ้น
Cyber Security Metrics คืออะไร?
เมตริกช่วยปรับปรุงประสิทธิภาพ ความรับผิดชอบ และการตัดสินใจ Measure = ข้อมูลเชิงปริมาณที่สังเกตได้ วัตถุภาพ
การวัดความปลอดภัย (Security Measurement)
ประเมินจากรายงาน Cyberattacks ตามเวลา และ Cyberthreats ในอนาคต การตอบสนองต่อภัยคุกคามเบื้องต้นแสดงประสิทธิภาพระบบป้องกัน
5 ฟังก์ชันของ NIST Cybersecurity Framework
- Identify - ระบุทรัพยากรและความเสี่ยง
- Protect - ป้องกันและลดผลกระทบ
- Detect - ตรวจจับเหตุการณ์ความปลอดภัย
- Respond - ตอบสนองต่อเหตุการณ์
- Recover - กู้คืนและปรับปรุง
การประเมินความเสี่ยงไซเบอร์ (Cybersecurity Risk Assessment)
- กำหนดขอบเขต (Scope)
- ระบุความเสี่ยงและทรัพยากร
- วิเคราะห์ความเสี่ยงและผลกระทบ
- จัดลำดับความสำคัญและวางแผนจัดการ
- บันทึกความเสี่ยงทั้งหมด
การวัดประสิทธิภาพ Cybersecurity
วัดจาก เวลาระหว่างการตรวจพบภัยคุกคาม จนถึงการดำเนินการแก้ไข (MTTD และ MTTR) ต้องมีวิธีคำนวณ Recovery Time ที่เป็นเป้าหมายชัดเจน
