home

หน้าแรก
 Computer >> บทช่วยสอนคอมพิวเตอร์ >  >> ระบบเครือข่าย >> ความปลอดภัยเครือข่าย

วิธีทำ Risk Assessment (การประเมินความเสี่ยง) ด้านความปลอดภัยเครือข่าย

Network Security Risk Assessment คืออะไร?

กระบวนการ ระบุ วัด และจัดลำดับความเสี่ยง ที่เกี่ยวข้องกับเครือข่ายขององค์กร เพื่อตัดสินใจเลือกมาตรการควบคุม (Controls) ที่เหมาะสมและคุ้มค่า (Cost-effective) ตาม Risk Appetite ขององค์กร

ขั้นตอนการทำ Network Security Risk Assessment (Standard Process)

Phase 1: Preparation & Scoping (เตรียมการและขอบเขต)

  1. กำหนดขอบเขต (Scope): Network Segments (Core, DMZ, Branch, Cloud, OT/IoT, Wireless, Remote Access), Assets, Business Processes, Data Flows
  2. จัดทีม (Team): Risk Owner, Network/Sec Architects, NetOps, SecOps, Business Unit Reps, Compliance, Legal, Third-party (ถ้าจ้าง)
  3. เลือกมาตรฐาน/กรอบแนวทาง (Framework): NIST SP 800-30 (Risk Assessment), ISO 27005, FAIR, OCTAVE, NIST CSF, CIS Controls
  4. รวบรวมข้อมูลต้นทาง (Data Sources): Network Diagrams, CMDB/IPAM, Asset Inventory, Config Backups, Vulnerability Scans, Threat Intel, Incident History, Audit Findings, Business Impact Analysis (BIA)

Phase 2: Asset Identification & Valuation (ระบุและประเมินค่าทรัพยากร)

  1. Asset Inventory: Hardware (Routers, Switches, Firewalls, LB, AP, Servers), Software, Data, Services, Cloud Resources, People, Documentation
  2. Asset Classification: Criticality (Mission Critical, High, Medium, Low) ตาม CIA Impact (Confidentiality, Integrity, Availability)
  3. Data Classification: Public, Internal, Confidential, Restricted (PII, PHI, PCI, IP, Credentials)
  4. Dependency Mapping: Application Dependency Mapping, Critical Path Analysis

Phase 3: Threat Identification (ระบุภัยคุกคาม)

  • Threat Sources: External (Nation-state, Cybercriminals, Hacktivists, Script Kiddies), Internal (Malicious, Negligent, Compromised), Environmental (Natural Disaster, Power, Hardware Failure), Supply Chain
  • Threat Events (MITRE ATT&CK Tactics): Initial Access, Execution, Persistence, Privilege Escalation, Defense Evasion, Credential Access, Discovery, Lateral Movement, Collection, Command & Control, Exfiltration, Impact
  • Network-Specific Threats: DDoS, BGP Hijack, DNS Spoofing/Poisoning, MITM, Rogue AP, VLAN Hopping, ARP Spoofing, Route Leaks, TLS/SSL Attacks, VPN Exploits, Firmware/Supply Chain
  • Threat Intelligence: Relevant TTPs, IOCs, Campaigns targeting Sector/Geo/Tech Stack

Phase 4: Vulnerability Identification (ระบุช่องโหว่)

  • Technical Vulnerabilities: Vulnerability Scanning (Authenticated/Unauthenticated) → Network Devices, Servers, Endpoints, Cloud, Containers, Apps (CVE, Misconfigurations, Default Creds, Weak Crypto, Expired Certs)
  • Configuration Weaknesses: Configuration Audit vs Hardening Benchmarks (CIS, STIG, Vendor Best Practices)
  • Architecture/Design Flaws: Flat Network, No Segmentation, Single Point of Failure, Insufficient Encryption, Lack of Visibility/Logging, Inadequate Redundancy
  • Process/People Gaps: No Patch Management, Weak Access Control, No IR Plan, Untrained Staff, Shadow IT, Inadequate Vendor Management

Phase 5: Risk Analysis (วิเคราะห์ความเสี่ยง)

Risk = Likelihood × Impact

  • Likelihood (ความน่าจะเป็น): Threat Capability/Intent/Targeting + Vulnerability Exploitability + Exposure (Internet-facing, No Controls) - Existing Controls Effectiveness
  • Impact (ผลกระทบ): CIA Impact на Critical Assets + Business Impact (Financial, Reputational, Operational, Legal/Regulatory, Safety)
  • Risk Matrix / Scoring: Qualitative (Critical/High/Medium/Low) หรือ Quantitative (FAIR Model: $ Loss Exposure)
  • Risk Register: Risk ID, Asset, Threat, Vulnerability, Likelihood, Impact, Risk Rating, Existing Controls, Residual Risk, Owner, Status

Phase 6: Risk Evaluation & Prioritization (ประเมินและจัดลำดับความเสี่ยง)

  • เปรียบเทียบ Residual Risk กับ Risk Appetite / Tolerance ขององค์กร
  • จัดอันดับ: Critical/High → Immediate Action, Medium → Planned Mitigation, Low → Accept/Monitor
  • พิจารณา: Cost of Control vs Risk Reduction (ROI), Regulatory Requirements, Quick Wins, Strategic Alignment

Phase 7: Risk Treatment / Response (การจัดการความเสี่ยง)

  1. Mitigate (ลดทอน): Implement Controls (Technical: Patch, Config Harden, Segmentation, Encryption, Monitoring; Administrative: Policy, Training, Procedure)
  2. Transfer (โอนทอด): Cyber Insurance, Managed Security Services (MSSP), Cloud Provider Shared Responsibility
  3. Avoid (หลีกเลี่ยง): Decommission Legacy System, Discontinue Risky Service, Isolate Network
  4. Accept (ยอมรับ): Documented, Approved by Management, Monitoring, Periodic Review

Phase 8: Reporting & Communication (รายงานและสื่อสาร)

  • Executive Report: Business Language, Top Risks, Investment Needs, Risk Posture Trend
  • Technical Report: Detailed Findings, Evidence, Remediation Steps, Timelines, Owners
  • Risk Register: Living Document (Updated Continuously)
  • Board/Committee Presentation: Cyber Risk Dashboard, KRI/KPI

Phase 9: Monitoring & Review (ติดตามและทบทวน)

  • Continuous Monitoring: Vulnerability Scanning (Continuous), Config Drift Detection, Threat Intel Feed, SIEM/NDR Alerts, Asset Changes
  • Periodic Re-assessment: Annual (Minimum), Quarterly (High Risk), Trigger-based (Major Change, Incident, New Threat, Merger/Acquisition, Regulation Change)
  • KPIs/KRIs: % Critical Vulns Patched within SLA, Mean Time to Patch, % Assets Scanned, % Compliant Configs, Number of High Risks Open, Risk Reduction Trend

เครื่องมือและเทคนิคช่วยเหลือ

หมวดหมู่เครื่องมือ/เทคนิค
Vulnerability ScanningNessus, OpenVAS/GVM, Qualys, Rapid7 InsightVM, Tenable.io, Microsoft Defender VM, Wiz, Orca (Cloud)
Configuration AuditNipper, Tufin, FireMon, AlgoSec, RedSeal, Batfish, CIS-CAT, Ansible/Netmiko Scripts
Threat ModelingMicrosoft Threat Modeling Tool, OWASP Threat Dragon, IriusRisk, MITRE ATT&CK Navigator
Risk Quantification (FAIR)RiskLens, FAIR-U, Custom Monte Carlo Models
GRC/Risk RegisterRSA Archer, ServiceNow GRC/IRM, MetricStream, LogicGate, StandardFusion, SimpleRisk, Excel/SharePoint (Small Org)
Attack Surface ManagementRandori, CyCognito, Hadrian, Assetnote, Microsoft Defender EASM
Network Mapping/VisualizationNetBrain, Auvik, Graphite, Nmap + Custom Scripts, Cloud Provider Network Topology

Best Practices

  • Business-aligned: เริ่มจาก Business Impact (BIA) ไม่ใช่ Technical Vulnerabilities ก่อน
  • Context-aware: ใช้ Threat Intelligence + Asset Criticality + Compensating Controls คำนวณ Risk จริง
  • Automated & Continuous: Vuln Scanning, Config Drift, Asset Discovery → Feed เข้า Risk Register/GRC อัตโนมัติ
  • Actionable Output: Finding ต้องมี Owner, Timeline, Specific Remediation Steps, Cost Estimate
  • Stakeholder Engagement: Business Units ต้องร่วมตัดสินใจ Accept/Mitigate
  • Document Assumptions & Limitations: Scope, Data Quality, Tool Coverage, Time Constraints

สรุป

Network Security Risk Assessment เป็น กระบวนการซ้ำ (Iterative) และต่อเนื่อง (Continuous) ไม่ใช่โปรเจกต์ครั้งเดียว ใจความคือ Asset Value × Threat × Vulnerability = Risk ใช้ Framework มาตรฐาน (NIST 800-30, ISO 27005, FAIR) ร่วมกับ Automation Tools เพื่อให้ได้ Risk Register ที่ Actionable, Prioritized, และ Business-aligned นำไปสู่การลงทุนความปลอดภัยที่คุ้มค่าที่สุด