หนังสือ: How to Measure Anything in Cybersecurity Risk
ผู้เขียน: Douglas W. Hubbard & Richard Seiersen
ISBN-13: 978-1119085294
ISBN-10: 1119085298
Publisher: Wiley
出版日期: 2016 (Edition 1)
Audiobook: Audible (Narrated by various)
แนวคิดหลัก (Core Thesis)
"Everything is measurable. If you can observe it, you can measure it. Measurement reduces uncertainty."
Hubbard โจมตีวิธีการประเมินความเสี่ยงแบบ Qualitative (High/Medium/Low, Risk Matrix 5x5) ว่าเป็น "Pseudo-quantification" - แปลงความคิดเห็นเป็นตัวเลขปลอม ไม่มีพื้นฐานทางสถิติ
ปัญหาของการวัดความเสี่ยงแบบเดิม (Traditional Risk Assessment Flaws)
- Risk Matrix (Heat Map): ไม่มีความหมายทางคณิตศาสตร์ ไม่สามารถบวก/คูณ/หารได้
- Ordinal Scales (1-5): ช่วงระหว่าง 1-2 ไม่เท่ากับ 4-5
- Expert Bias: Overconfidence, Anchoring, Availability Heuristic
- No Calibration: ไม่มีการตรวจสอบความแม่นยำของการประเมิน
- Ignoring Uncertainty:
แนวทางแก้ไข (Applied Information Economics - AIE)
- Decompose the Problem: แยกความเสี่ยงเป็น Threat, Vulnerability, Impact, Control Effectiveness
- Calibrated Estimation: ฝึก Expert ให้ประเมินด้วย Confidence Interval (90% CI) ที่ถูกต้อง
- Monte Carlo Simulation: จำลองสถานการณ์หลายพันครั้ง หา Probability Distribution ของ Loss
- Value of Information (VoI): คำนวณว่าคุ้มค่าที่จะเก็บข้อมูลเพิ่มหรือไม่ (ลด Uncertainty)
- Decision Analysis: เลือก Control ที่ ROI สูงสุด (Risk Reduction per Dollar)
สูตรความเสี่ยงพื้นฐาน
Risk = Probability × Impact (Loss Magnitude)
แต่ Hubbard เสนอให้ใช้: Risk = Threat × Vulnerability × Asset Value × Control Gap
KPIs และ Metrics สำหรับ Cybersecurity Risk
- Mean Time to Detect (MTTD)
- Mean Time to Respond/Resolve (MTTR)
- Mean Time to Contain (MTTC)
- Vulnerability Patch Rate (Critical < 48h, High < 30d)
- Phishing Click Rate / Report Rate
- Security Control Coverage %
- Risk Exposure (Monetary Value - $ at Risk)
- Cyber Risk Score (Bitsight, SecurityScorecard, UpGuard)
ขั้นตอน Cybersecurity Risk Assessment (Step-by-Step)
- Define Scope & Context
- Identify Assets (Crown Jewels)
- Identify Threats (MITRE ATT&CK, Threat Intel)
- Identify Vulnerabilities (Scan, Pen Test, Threat Modeling)
- Analyze Controls (Existing Mitigations)
- Estimate Likelihood & Impact (Calibrated + Monte Carlo)
- Calculate Risk Exposure (Annualized Loss Expectancy - ALE)
- Prioritize & Treat (Accept, Mitigate, Transfer, Avoid)
- Monitor & Review (Continuous)
คำแนะนำสำหรับองค์กรไทย
- เริ่มจาก Calibration Training ให้ทีม Risk/Owner
- ใช้ FAIR Model (Factor Analysis of Information Risk) เป็น Framework
- เชื่อมต่อกับ Business Impact Analysis (BIA)
- รายงานให้ Board/Exec ในรูป $ (Financial Terms) ไม่ใช่ High/Med/Low
- Invest ใน GRC Tool ที่รองรับ Quantitative Risk (RiskLens, RSA Archer, ServiceNow IRM)
