Network Security Risk (ความเสี่ยงด้านความปลอดภัยเครือข่าย) คืออะไร
Network Security Risk คือ ความเป็นไปได้ที่ภัยคุกคาม (Threat) จะนำช่องโหว่ (Vulnerability) ไปโจมตี ทำให้เกิดผลกระทบ (Impact) ต่อทรัพยากรเครือข่าย ข้อมูล หรือการดำเนินงานขององค์กร
สูตรพื้นฐาน: Risk = Threat × Vulnerability × Impact (หรือ Risk = Likelihood × Impact)
ประเภทความเสี่ยงหลัก (Main Risk Categories)
1. ภัยคุกคามทางเทคนิค (Technical Threats)
| ภัยคุกคาม | คำอธิบาย | ตัวอย่าง |
|---|---|---|
| Malware | ซอฟต์แวร์อันตราย | Ransomware (WannaCry, LockBit), Trojan (Emotet), Spyware, Cryptominer |
| Phishing / Social Engineering | หลอกลวงผู้ใช้ | Email Phishing, Spear Phishing, Whaling, Smishing, Vishing, QRishing |
| DDoS (Distributed Denial of Service) | โจมตีปฏิเสธบริการ | Volumetric, Protocol, Application Layer (Mirai, Meris Botnets) |
| Man-in-the-Middle (MitM) | แทรกตัวระหว่างการสื่อสาร | ARP Spoofing, DNS Spoofing, SSL Stripping, Evil Twin Wi-Fi |
| SQL Injection / XSS / RCE | โจมตีเว็บแอปพลิเคชัน | OWASP Top 10: Injection, Broken Auth, XSS, Insecure Deserialization |
| Zero-Day Exploit | ช่องโหว่ที่ยังไม่มีแพตช์ | Log4Shell (CVE-2021-44228), ProxyShell, PrintNightmare |
| Supply Chain Attack | โจมตีผ่านผู้จัดหา/ซอฟต์แวร์ภายนอก | SolarWinds, Kaseya, 3CX, MoveIT |
2. ความเสี่ยงจากการตั้งค่า/การดำเนินงาน (Configuration & Operational Risks)
- Misconfiguration: Security Group เปิด 0.0.0.0/0, S3 Bucket Public, Database No Auth
- Unpatched Systems: OS, Firmware, Applications ที่ไม่ได้อัปเดต
- Weak Credentials: Default Password, Password Reuse, No MFA
- Excessive Privileges: Over-provisioned Accounts, No Privileged Access Management
- Shadow IT: บริการ/อุปกรณ์ที่ IT ไม่รู้ (Personal Cloud, Unauthorized Apps)
- Lack of Network Segmentation: Flat Network - แฮกเครื่องหนึ่งเข้าทุกเครื่องได้
- Insufficient Logging/Monitoring: ไม่เห็นเหตุการณ์, Mean Time to Detect (MTTD) สูง
3. ความเสี่ยงจากมนุษย์ (Human Risks)
- Insider Threat: พนักงานดุรวิด (Malicious) / ขาดความระมัดระวัง (Negligent) / ถูกลักลอบใช้ Credential (Compromised)
- Lack of Security Awareness: คลิกลิงก์ฟิชชิง, ติดตั้งซอฟต์แวร์ผิดกฎหมาย, แชร์รหัสผ่าน
- Skill Gap: ทีม IT/ความปลอดภัยขาดทักษะ/ประสบการณ์
สาเหตุหลักของความเสี่ยง (Root Causes)
- Unknown Assets: ไม่รู้ว่ามีอุปกรณ์/ซอฟต์แวร์อะไรในเครือข่าย (Shadow IT, IoT, OT)
- Privilege Abuse: บัญชี Admin ใช้งานทั่วไป, ไม่แยก Tiered Admin
- Unpatched Vulnerabilities: Patch Management ไม่มี/ไม่ได้ผล
- Inadequate Defense in Depth: พึ่งพา Firewall เดียว, ไม่มี Segmentation, ไม่มี EDR
- Poor Security Governance: ไม่มี Policy, ไม่มี CISO, ไม่มี Budget, ไม่มี Board Oversight
ผลกระทบทางธุรกิจ (Business Impact)
| ประเภทผลกระทบ | รายละเอียด | ตัวอย่างค่าใช้จ่าย |
|---|---|---|
| Financial Loss | ค่าไถ่ชีวิต Ransomware, ค่าปรับกฎหมาย, ค่าฟื้นฟู, Lost Revenue | เฉลี่ย $4.45M ต่อ Data Breach (IBM 2023), Ransomware เฉลี่ย $5.13M |
| Reputational Damage | เสียความเชื่อถือลูกค้า, หุ้นราคาลง, Media Coverage ลบ | ยากวัดค่า แต่มีผลระยะยาว |
| Operational Disruption | ระบบหยุดทำงาน, ไม่สามารถให้บริการได้ | Downtime Cost: $5,600-$9,000/นาที (ขึ้นกับอุตสาหกรรม) |
| Legal & Regulatory | ละเมิด GDPR, HIPAA, PDPA, PCI-DSS, SEC Rules | ปรับสูงสุด 4% Global Revenue (GDPR), $50K-$1.5M (HIPAA) |
| Intellectual Property Theft | ขโมย Trade Secrets, R&D Data, Source Code | ความเสียหายระยะยาวต่อความได้เปรียบการแข่งขัน |
การจัดการความเสี่ยง (Risk Management Process)
- Identify (ระบุ): Asset Inventory, Threat Modeling (STRIDE, PASTA, MITRE ATT&CK)
- Assess (ประเมิน): Risk Assessment (Qualitative: High/Med/Low, Quantitative: FAIR, ALE)
- Treat (จัดการ): Mitigate (ลด), Transfer (ประกันภัย/Outsource), Accept (ยอมรับ), Avoid (เลิกทำ)
- Monitor (ติดตาม): Continuous Monitoring, KRI (Key Risk Indicators), Threat Hunting
- Report (รายงาน): Board/Executive Reporting, Regulatory Reporting
Top 5 Network Security Risks ปัจจุบัน (2024)
- Ransomware & Extortion: Double/Triple Extortion, RaaS (Ransomware-as-a-Service)
- Cloud Misconfiguration: S3, Storage Accounts, Security Groups, IAM Policies
- Supply Chain / Third-Party Risk: Software Dependencies, Vendors, MSPs
- Identity-based Attacks: Credential Theft, MFA Fatigue, Session Hijacking, Golden Ticket
- AI-Powered Attacks: Deepfake, Automated Phishing, AI-generated Malware, Prompt Injection
ตัวชี้วัดความเสี่ยง (Key Risk Indicators - KRIs)
- จำนวนช่องโหว่ Critical/High ที่ยังไม่ Patch > 30 วัน
- % อุปกรณ์ที่ไม่มี EDR / ไม่เข้าระบบ Patch Management
- จำนวนการแจ้งเตือน SIEM/NDR ที่ไม่ได้ตรวจสอบ (Alert Fatigue)
- % พนักงานที่ผ่าน Security Awareness Training
- Mean Time to Detect (MTTD) & Mean Time to Respond (MTTR)
- จำนวนบัญชี Admin ที่ไม่มี MFA / ไม่ได้ Review สิทธิ์ > 90 วัน
