การคำนวณและประเมินความเสี่ยง (Risk Analysis) ด้านความปลอดภัยเครือข่าย
วิธีคำนวณ Risk ใน Network Security
สูตร: Risk = (Threat × Vulnerability) × Possibility × Impact - Control Effectiveness
หรือ: Residual Risk = (Threat/Vulnerability) × Likelihood × Impact - Control Effectiveness
Risk Analysis ใน Network Security คืออะไร?
ระบุและวิเคราะห์ความเสี่ยงที่อาจส่งผลลบต่อโครงการ/โครงการหลักของธุรกิจ ดำเนินการเพื่อลดหรือกำจัดความเสี่ยง
วิธีทำ Security Risk Analysis
- กำหนดขอบเขต (Determine Scope)
- ระบุความเสี่ยง (Identify Risks)
- ประเมินความเสี่ยง (Analyze Risks)
- ประเมินผลกระทบ (Evaluate Risks)
- วางแผนบำบัด (Risk Treatment)
- ติดตามและทบทวน (Monitor & Review)
การคำนวณ Risk Level
Risk Level = LIKELIHOOD (ความน่าจะเป็น) × IMPACT (ผลกระทบต่อองค์กร) คำนวณต่อ Threat Event Category แต่ละประเภท Overall Risk Level = Highest Risk Level ของทุก Event
สูตรคำนวณ Risk
บางนักเขียนอธิบาย: Risk = % Risk / Dollar Amount (ความเสี่ยงเป็นเปอร์เซ็นต์หารด้วยจำนวนเงิน)
วิธีคำนวณ Cyber Risk
- Inventory Systems และ Resources
- วิเคราะห์ Threats และ Vulnerabilities
- ประเมิน Likelihood และ Impact
- วาง Cybersecurity Controls
- ประเมินผลและทำซ้ำ (Iterate)
Major Risks ใน Network Security
ขโมยข้อมูลละเอียดอ่อน (Credit Card/Password), Computer Viruses, Malware/Ransomware, Scareware, DoS Attacks
Risk Impact Analysis ใน Security
ประเมินความน่าจะเป็นของ Risk Event และผลกระทบที่เป็นไปได้ จัดอันดับความเสี่ยงจาก Critical → Low
Security Risk Analysis คืออะไร?
ตาม HIPAA (Office of Civil Rights): "การประเมินที่แม่นยำและครบถ้วน ของความเสี่ยงและช่องโหว่ ที่อาจส่งผลต่อ Confidentiality, Integrity, Availability ของ ePHI"
ใครทำ Security Risk Assessment?
Security Assessor ตรวจสอบระบบองค์กร หาจุดเสี่ยง: อาจง่าย like Weak Password Policy หรือซับซ้อน like Insecure Business Process
