Risk Management ใน Network Security คืออะไร?
Network Security Risk Management คือ กระบวนการระบุ ประเมิน จัดการ และติดตามความเสี่ยงทางไซเบอร์ที่เกี่ยวข้องกับเครือข่ายและระบบสารสนเทศขององค์กร อย่างเป็นระบบและต่อเนื่อง ตาม Framework มาตรฐาน (NIST RMF, ISO 27005, FAIR)
กระบวนการ 5 ขั้นตอน (NIST SP 800-30 / ISO 27005)
1. Frame / Establish Context (กำหนดบริบท)
- กำหนดขอบเขต (Scope): ระบบ เครือข่าย ข้อมูล กระบวนการธุรกิจ
- ระบุ Stakeholders, Risk Appetite, Tolerance, Criteria
- Legal/Regulatory Requirements (PDPA, Cybersecurity Act, Industry Standards)
2. Identify Risks (ระบุความเสี่ยง)
- Asset Inventory: Hardware, Software, Data, People, Processes (CMDB/IPAM)
- Threat Identification: Threat Intel, MITRE ATT&CK, Industry Reports, Internal Logs
- Vulnerability Identification: Vulnerability Scans, Pen Tests, Code Review, Config Audit
- Risk Scenarios: "Threat Actor exploits Vulnerability in Asset causing Impact"
3. Assess / Analyze Risks (ประเมิน/วิเคราะห์)
| Method | คำอธิบาย | ใช้เมื่อไหร่ |
|---|---|---|
| Qualitative (High/Med/Low) | เร็ว ใช้ Expert Judgment, Risk Matrix | Screening, Communication, Initial |
| Semi-Quantitative (Scoring 1-5) | Likelihood × Impact = Risk Score | Prioritization, Reporting |
| Quantitative (FAIR) ($ Value) | Monetary Loss Expectancy (ALE = SLE × ARO) | Business Case, Investment Decision, Cyber Insurance |
- Likelihood: ความน่าจะเป็น (Threat Capability, Vulnerability Exploitability, Controls Effectiveness)
- Impact: ความรุนแรง (CIA Impact, Financial, Reputational, Operational, Legal)
4. Treat / Respond to Risks (จัดการความเสี่ยง) - 4 กลยุทธ์
- Avoid (หลีกเลี่ยง): หยุดกิจกรรม/ระบบที่เสี่ยงเกินเกิน (Legacy System, Shadow IT)
- Mitigate (ลดทอน): ลง Control ลด Likelihood/Impact (Patch, Firewall, MFA, Encryption, Segmentation, Training)
- Transfer (ถ่ายทอด): Cyber Insurance, MSSP, Cloud Provider Shared Responsibility, Outsourcing
- Accept (ยอมรับ): Documented Decision, Residual Risk ≤ Appetite, Compensating Controls, Review Period
5. Monitor & Review (ติดตามและทบทวน)
- Continuous Monitoring: SIEM, NDR, Vuln Scans, Threat Intel, Control Effectiveness
- KPIs/KRIs: MTTD, MTTR, Vuln Aging, Patch Compliance, Risk Exposure Trend
- Periodic Review: Quarterly Risk Review, Annual Risk Assessment, Trigger-based (Breach, New Threat, Merger)
- Risk Register Update: New Risks, Closed Risks, Changed Ratings, Treatment Status
Major Network Security Risks (Top Risks 2024)
- Ransomware / Extortion: Phishing → Initial Access → Lateral Movement → Encrypt/Exfil
- Supply Chain / Third-party: Vendor Compromise, Software Supply Chain (SolarWinds, Log4j)
- Cloud Misconfiguration: Public S3, Open Security Groups, Exposed Databases, IAM Over-permission
- Identity-based Attacks: Credential Theft, MFA Bypass, Privilege Escalation, Kerberoasting
- Unpatched Vulnerabilities: Known Exploited Vulnerabilities (CISA KEV), Zero-days
- Insider Threat: Malicious, Negligent, Compromised Insiders
- DDoS / Availability: Volumetric, Protocol, Application Layer
- OT/ICS Exposure: Industrial Systems Connected to IT/Internet
Risk Management Policies & Procedures
- Risk Management Policy: Governance, Roles, Methodology, Appetite, Escalation
- Risk Assessment Procedure: Schedule, Scope, Method, Tools, Output Template
- Risk Treatment Plan: Risk ID, Owner, Action, Timeline, Budget, Success Criteria
- Exception Policy: Non-compliance Request, Approval Chain, Expiry Date, Compensating Controls
- Risk Communication: Dashboard, Board Reporting, Heat Maps, Trend Analysis
เครื่องมือและ Framework
| Category | Tools/Frameworks |
|---|---|
| GRC Platform | ServiceNow GRC, RSA Archer, LogicGate, StandardFusion, Drata, Vanta |
| Risk Quantification | FAIR Model, RiskLens, Safe Security, Balbix |
| Vuln Management | Tenable, Qualys, Rapid7, Kenna (Risk-based), Nuclei, OpenVAS |
| Threat Intel | MISP, OpenCTI, Anomali, Recorded Future, Mandiant, CrowdStrike |
| Frameworks | NIST CSF 2.0, NIST RMF (SP 800-37), ISO 27005, FAIR, OCTAVE |
Network Security Risk Management Best Practices
- Asset-Centric: เริ่มจาก Asset Inventory ที่ครบถ้วน (You can't protect what you don't know)
- Risk-based Prioritization: ใช้ EPSS, CISA KEV, Business Criticality จัดลำดับ Patch/Remediation
- Automate Where Possible: Continuous Scanning, Auto-ticketing, Auto-blocking (SOAR)
- Board-level Reporting: แปลง Technical Risk เป็น Business Risk ($, Reputation, Operations)
- Integrate with DevSecOps: Shift Left - Risk Assessment ใน Pipeline
- Third-party Risk Management: Vendor Assessment, Contractual Security Requirements, Continuous Monitoring
- Cyber Insurance Alignment: Controls ที่ Insurer ต้องการ = Risk Treatment Priority
- Tabletop Exercises: Test IR Plan, Validate Risk Scenarios, Improve Coordination
💡 สรุป
Risk Management ใน Network Security ไม่ใช่ "ทำ Risk Assessment ปีนี้จบ" แต่เป็น Continuous Lifecycle ที่ผสานกับ Daily Operations: Asset Management → Vuln Management → Threat Detection → Incident Response → Governance สำคัญที่สุดคือ Translate Technical Risk เป็น Business Language เพื่อให้ Leadership ตัดสินใจลงทุนและยอมรับความเสี่ยงได้อย่างมีข้อมูล
