Threat vs Vulnerability vs Risk: ความแตกต่างพื้นฐานที่ต้องเข้าใจ
ในความปลอดภัยข้อมูลและเครือข่าย สามศัพท์นี้มักสับสนกัน แต่มีความหมายเฉพาะเจาะจงและเชื่อมโยงกันอย่างแน่นอน การเข้าใจความแตกต่างเป็นกุญแจสำคัญของ Risk Management
นิยามทางการ (Formal Definitions - ตาม NIST, ISO 27005, FAIR)
| คำศัพท์ | นิยาม | ตัวอย่าง |
|---|---|---|
| Asset (ทรัพยากร) | สิ่งที่มีคุณค่าและต้องการปกป้อง (Data, Systems, People, Reputation, Hardware) | Customer Database, Web Server, Intellectual Property, Employee Laptops |
| Vulnerability (ช่องโหว่ / ความอ่อนแอ) | จุดอ่อนในระบบ กระบวนการ หรือการควบคุม ที่อาจถูกนำไปใช้ประโยชน์โดย Threat | Unpatched CVE-2021-44228 (Log4Shell), Weak Password Policy, Open S3 Bucket, Missing MFA, Misconfigured Firewall Rule |
| Threat (ภัยคุกคาม) | เหตุการณ์หรือการกระทำที่มีศักยภาพจะก่อให้เกิดความเสียหายต่อ Asset โดยการ Exploit Vulnerability | Ransomware Gang, Phishing Email, Malicious Insider, DDoS Botnet, APT Group, Natural Disaster, Power Outage |
| Risk (ความเสี่ยง) | ความน่าจะเป็น (Likelihood) ที่ Threat จะ Exploit Vulnerability สำเร็จ คูณกับ ผลกระทบ (Impact) ที่จะเกิดขึ้นต่อ Asset | Risk: "Ransomware encrypts Customer DB via Unpatched VPN Vulnerability" -> Likelihood: High, Impact: Critical -> Risk Score: Critical |
| Exploit (การใช้ประโยชน์จากช่องโหว่) | โค้ด/เทคนิคเฉพาะที่ใช้โจมตี Vulnerability จริง | Metasploit Module for CVE-2021-44228, Phishing Email with Malicious Macro |
| Impact (ผลกระทบ) | ความเสียหายที่เกิดขึ้นจริงหาก Risk สำ현จริง (Financial, Operational, Reputational, Legal, Safety) | $4.45M Average Data Breach Cost (IBM 2023), 21 Days Downtime, Regulatory Fines, Customer Churn |
ความสัมพันธ์พื้นฐาน (Fundamental Relationship)
RISK = THREAT × VULNERABILITY × ASSET VALUE (Simplified)
= LIKELIHOOD × IMPACT (FAIR Model)
Threat Event Frequency (TEF) × Vulnerability (Vuln) = Loss Event Frequency (LEF)
LEF × Loss Magnitude (LM) = Risk
- No Vulnerability = No Risk (แม้ Threat จะมีอยู่) - เช่น พัชช์ Log4Shell แล้ว -> Vulnerability หาย -> Risk ลดเป็นศูนย์สำหรับ Threat นั้น
- No Threat = No Risk (แม้ Vulnerability จะมีอยู่) - เช่น ระบบเก่าที่ไม่มีใครสนใจโจมตี (แต่อาจมี Threat ในอนาคต)
- Risk มีอยู่ก็ต่อเมื่อ Threat + Vulnerability + Asset รวมตัวกัน
ประเภทของ Threat (Threat Categories)
- Adversarial (Threat Actors): Cybercriminals, Hacktivists, Nation-state (APT), Insiders (Malicious/Negligent), Competitors, Terrorists
- Environmental: Fire, Flood, Earthquake, Power Failure, Temperature/Humidity
- Structural/Technical: Hardware Failure, Software Bugs, Configuration Errors, Capacity Exhaustion
- Human (Unintentional): Accidental Deletion, Misconfiguration, Lost Device, Phishing Victim
ประเภทของ Vulnerability (Vulnerability Categories)
- Technical: Software Bugs (CVE), Misconfigurations, Weak Crypto, Default Credentials, Open Ports
- Process/Administrative: Lack of Patch Management, No MFA Policy, Poor Access Reviews, Inadequate Training
- Physical: Unlocked Server Room, No Cameras, Exposed Cables, No Fire Suppression
- Human/Social: Susceptibility to Phishing, Social Engineering, Weak Security Culture
Risk Assessment Process (กระบวนการประเมินความเสี่ยง)
- Identify Assets: Inventory, Classification, Value (Business Impact Analysis)
- Identify Threats: Threat Modeling (STRIDE, PASTA, MITRE ATT&CK), Threat Intelligence
- Identify Vulnerabilities: Vuln Scanning, Penetration Testing, Code Review, Config Audit, Purple Teaming
- Analyze Risk: Likelihood (Threat Capability/Intent + Vulnerability Severity + Controls Effectiveness) × Impact (Confidentiality, Integrity, Availability Loss)
- Evaluate/Prioritize: Risk Matrix (High/Med/Low), Risk Appetite, Cost-Benefit Analysis
- Treat Risk: Mitigate (Controls), Transfer (Insurance, Outsourcing), Accept (Informed Decision), Avoid (Discontinue)
- Monitor & Review: Continuous Monitoring, KRI (Key Risk Indicators), Periodic Re-assessment
Threat Assessment vs Risk Assessment
| Threat Assessment | Risk Assessment |
|---|---|
| เน้น: Threat Actors, Capabilities, Intent, TTPs (Tactics, Techniques, Procedures) | เน้น: Business Impact, Likelihood, Overall Risk Level, Prioritization |
| คำถาม: "ใครอาจโจมตีเรา? ยังไง? ด้วยอะไร?" | คำถาม: "ถ้าโจมตีสำเร็จ จะเสียหายเท่าไหร่? โอกาสเท่าไหร่? ควรลงทุนป้องกันเท่าไหร่?" |
| Input สำหรับ Risk Assessment | Output: Risk Register, Treatment Plan, Budget Justification, Board Reporting |
| MITRE ATT&CK Mapping, Threat Intel Feeds | FAIR, NIST 800-30, ISO 27005, OCTAVE |
ตัวอย่างสถานการณ์จริง (Real-world Scenario)
สถานการณ์: Web Server ภายนอก (Internet-facing) รัน Apache Struts เวอร์ชันเก่า (CVE-2017-5638 - Equifax Breach)
- Asset: Web Server + Customer PII Database (Value: Critical)
- Vulnerability: Unpatched CVE-2017-5638 (RCE via Content-Type Header) - CVSS 10.0 Critical
- Threat: Automated Botnets Scanning for Struts Vuln, APT Group Targeting Financial Sector
- Exploit: Public PoC Script (Metasploit Module, Python Script)
- Likelihood: Very High (Internet-facing, Public Exploit, Active Exploitation in Wild)
- Impact: Critical (Data Breach: PII Theft, Regulatory Fines, Reputation Loss, Stock Drop)
- Risk: **CRITICAL** - ต้อง Remediate ทันที (Patch/WAF/Isolate)
สรุป
- Threat = "ใคร/อะไร" ที่จะทำร้าย (Actor/Event)
- Vulnerability = "ช่องโหว่" ที่โดนใช้ประโยชน์ (Weakness)
- Risk = "โอกาส x ผลกระทบ" ที่ Threat จะใช้ Vulnerability โจมตี Asset สำเร็จ (Business Context)
- Risk Management = จัดการ Risk ให้อยู่ในระดับยอมรับได้ (Risk Appetite) ผ่าน Controls ที่ลด Likelihood และ/หรือ Impact
การแยกแยะคำศัพท์เหล่านี้ช่วยให้溝通ระหว่าง Technical Team, Management, และ Board ชัดเจน ตัดสินใจลงทุน Security ได้สมเหตุสมผล และสร้าง Security Posture ที่แข็งแกร่ง
