วิธีทําการประเมินความเสี่ยงด้านความปลอดภัยทางไซเบอร์ (คู่มือปี 2023)

การประเมินความเสี่ยงไม่ใช่เรื่องใหม่และไม่ว่าคุณจะชอบหรือไม่หากคุณทํางานด้านความปลอดภัยของข้อมูล คุณก็อยู่ในธุรกิจการบริหารความเสี่ยง ในขณะที่องค์กรพึ่งพาเทคโนโลยีสารสนเทศและระบบสารสนเทศในการดําเนินธุรกิจมากขึ้นภูมิทัศน์ภัยคุกคามความเสี่ยงทางดิจิทัลก็ขยายตัวทําให้ระบบนิเวศมีช่องโหว่ที่สําคัญใหม่

สถาบันมาตรฐานและเทคโนโลยีแห่งชาติ (NIST) ได้พัฒนากรอบการทํางานด้านความปลอดภัยทางไซเบอร์เพื่อเป็นพื้นฐานสําหรับแนวทางปฏิบัติในการประเมินความเสี่ยง

ชมคุณสมบัติการประเมินความเสี่ยงของ UpGuard >

ความเสี่ยงทางไซเบอร์คืออะไร?

ความเสี่ยงทางไซเบอร์คือโอกาสที่จะประสบกับการหยุดชะงักในเชิงลบต่อข้อมูลที่ละเอียดอ่อนการเงินหรือการดําเนินธุรกิจทางออนไลน์ ความเสี่ยงทางไซเบอร์มักเกี่ยวข้องกับเหตุการณ์ที่อาจส่งผลให้เกิดการละเมิดข้อมูล

ความเสี่ยงทางไซเบอร์บางครั้งเรียกว่าภัยคุกคามด้านความปลอดภัย ตัวอย่างของความเสี่ยงทางไซเบอร์ ได้แก่:

• แรนซัมแวร์
• ข้อมูลรั่วไหล
• ฟิชชิ่ง
• มัลแวร์
• ภัยคุกคามจากภายใน
• การโจมตีทางไซเบอร์

มีกลยุทธ์ที่ใช้ได้จริงที่คุณสามารถทําได้เพื่อลดความเสี่ยงด้านความปลอดภัยทางไซเบอร์ของคุณ

แม้ว่าจะใช้แทนกันได้ทั่วไป แต่ความเสี่ยงและช่องโหว่ทางไซเบอร์ก็ไม่เหมือนกัน ช่องโหว่คือจุดอ่อนที่ส่งผลให้เกิดการเข้าถึงเครือข่ายโดยไม่ได้รับอนุญาตเมื่อถูกใช้ประโยชน์ และความเสี่ยงทางไซเบอร์คือความน่าจะเป็นที่ช่องโหว่จะถูกใช้ประโยชน์

ความเสี่ยงทางไซเบอร์แบ่งออกเป็นความเสี่ยงเป็นศูนย์ ต่ํา ปานกลาง ไปจนถึงสูง ปัจจัยสามประการที่ส่งผลต่อการประเมินช่องโหว่คือ:

• ภัยคุกคามคืออะไร?
• ระบบมีช่องโหว่แค่ไหน?
• ความเสียหายต่อชื่อเสียงหรือทางการเงินคืออะไรหากถูกละเมิดหรือไม่สามารถใช้งานได้

ความเสี่ยงทางไซเบอร์=ภัยคุกคาม x ช่องโหว่ x ค่าข้อมูล

ดาวน์โหลดโพสต์นี้เป็น PDF >

ลองนึกภาพว่าคุณต้องประเมินความเสี่ยงที่เกี่ยวข้องกับการโจมตีทางไซเบอร์ที่ส่งผลต่อระบบปฏิบัติการเฉพาะ ระบบปฏิบัติการนี้มีแบ็คดอร์ที่รู้จักในซอฟต์แวร์เวอร์ชัน 1.7 ซึ่งสามารถใช้ประโยชน์จากวิธีการทางกายภาพได้อย่างง่ายดายและจัดเก็บข้อมูลที่มีมูลค่าสูงไว้ หากสํานักงานของคุณไม่มีความปลอดภัยทางกายภาพความเสี่ยงของคุณจะสูง

อย่างไรก็ตามหากคุณมีเจ้าหน้าที่ไอทีที่ดีที่สามารถระบุช่องโหว่และอัปเดตระบบปฏิบัติการเป็นเวอร์ชัน 1.8 ช่องโหว่ของคุณจะต่ําแม้ว่าค่าข้อมูลจะยังคงสูงเนื่องจากแบ็คดอร์ได้รับการแก้ไขในเวอร์ชัน 1.8

บางสิ่งที่ควรทราบคือมีเพียงไม่กี่สิ่งที่ไม่มีความเสี่ยงต่อกระบวนการทางธุรกิจหรือระบบสารสนเทศ และความเสี่ยงหมายถึงความไม่แน่นอน หากรับประกันว่าจะมีอะไรเกิดขึ้นก็ไม่ใช่ความเสี่ยง เป็นส่วนหนึ่งของการดําเนินธุรกิจทั่วไป

กระบวนการหาปริมาณความเสี่ยงทางไซเบอร์เป็นหน้าที่ของความเสี่ยงที่อาจเกิดขึ้น การยอมรับความเสี่ยง ภัยคุกคามด้านความปลอดภัยทางไซเบอร์เฉพาะของคุณ และปัจจัยลดความเสี่ยงอื่นๆ หากต้องการเรียนรู้เพิ่มเติมเกี่ยวกับกระบวนการนี้ โปรดดูโพสต์นี้

การประเมินความเสี่ยงทางไซเบอร์คืออะไร?

NIST กําหนดการประเมินความเสี่ยงทางไซเบอร์ว่าเป็นการประเมินความเสี่ยงที่ใช้ในการระบุ ประเมิน และจัดลําดับความสําคัญของความเสี่ยงต่อการดําเนินงานขององค์กร ทรัพย์สินขององค์กร บุคคล องค์กรอื่นๆ และประเทศชาติ อันเป็นผลมาจากการดําเนินงานและการใช้ระบบสารสนเทศ

จุดประสงค์หลักของการประเมินความเสี่ยงทางไซเบอร์คือเพื่อให้ผู้มีส่วนได้ส่วนเสียได้รับทราบและสนับสนุนการตอบสนองที่เหมาะสมต่อความเสี่ยงที่ระบุ พวกเขายังให้ข้อมูลสรุปผู้บริหารเพื่อช่วยให้ผู้บริหารและกรรมการตัดสินใจด้านความปลอดภัยอย่างชาญฉลาด

เรียนรู้ว่า UpGuard ปรับปรุงการประเมินความเสี่ยงทางไซเบอร์>ได้อย่างไร

กระบวนการประเมินความเสี่ยงด้านความปลอดภัยของข้อมูลเกี่ยวข้องกับการตอบคําถามต่อไปนี้:

• ทรัพย์สินด้านเทคโนโลยีสารสนเทศที่สําคัญที่สุดขององค์กรของเราคืออะไร
• การละเมิดข้อมูลประเภทใดที่จะส่งผลกระทบอย่างมีนัยสําคัญต่อธุรกิจของเรา ไม่ว่าจะจากมัลแวร์ การโจมตีทางไซเบอร์ หรือความผิดพลาดของมนุษย์ นึกถึงข้อมูลลูกค้า
• สามารถระบุแหล่งที่มาของภัยคุกคามทั้งหมดได้หรือไม่?
• ระดับของผลกระทบที่อาจเกิดขึ้นจากภัยคุกคามที่ระบุแต่ละภัยคุกคามคืออะไร?
• ช่องโหว่ภายในและภายนอกคืออะไร?
• ผลกระทบอย่างไรหากช่องโหว่เหล่านั้นถูกใช้ประโยชน์
• โอกาสในการแสวงหาผลประโยชน์คืออะไร?
• การโจมตีทางไซเบอร์ ภัยคุกคามทางไซเบอร์ หรือเหตุการณ์ด้านความปลอดภัยใดที่อาจส่งผลต่อความสามารถในการทํางานของธุรกิจ
• ระดับความเสี่ยงที่องค์กรของฉันสบายใจรับคืออะไร?

ดาวน์โหลดเทมเพลตการประเมินความเสี่ยงของผู้ขาย>

หากคุณสามารถตอบคําถามเหล่านั้นได้ คุณก็สามารถตัดสินใจได้ว่าอะไรสําคัญที่ต้องปกป้อง ซึ่งหมายความว่าคุณสามารถพัฒนาการควบคุมความปลอดภัยด้านไอทีและกลยุทธ์การรักษาความปลอดภัยของข้อมูลสําหรับการแก้ไขความเสี่ยงได้ ก่อนที่คุณจะทําเช่นนั้นคุณต้องตอบคําถามต่อไปนี้:

• ความเสี่ยงที่ฉันลดคืออะไร?
• นี่เป็นความเสี่ยงด้านความปลอดภัยที่มีลําดับความสําคัญสูงสุดหรือไม่
• ฉันลดความเสี่ยงอย่างคุ้มค่าที่สุดหรือไม่?

เรียนรู้คุณสมบัติหลักของซอฟต์แวร์แก้ไขความเสี่ยงที่มีประสิทธิภาพ>

สิ่งนี้จะช่วยให้คุณเข้าใจคุณค่าของข้อมูลที่คุณพยายามปกป้อง และเข้าใจกระบวนการจัดการความเสี่ยงด้านข้อมูลของคุณในขอบเขตของการปกป้องความต้องการทางธุรกิจได้ดียิ่งขึ้น

มีกรอบการบริหารความเสี่ยงหลายแบบ ทางเลือกของคุณขึ้นอยู่กับอุตสาหกรรม ความเสี่ยงที่ยอมรับได้ และกฎระเบียบที่เกี่ยวข้อง เช่น GDPR หากคุณไม่แน่ใจว่าจะเลือกกรอบการประเมินความปลอดภัยใด NIST Cybersecurity Framework เป็นที่นิยมสําหรับข้อกําหนดของโปรแกรมความปลอดภัยทางไซเบอร์ทั่วไปส่วนใหญ่

เรียนรู้เพิ่มเติมเกี่ยวกับ NIST CSF >

เหตุใดจึงต้องทําการประเมินความเสี่ยงทางไซเบอร์

มีเหตุผลหลายประการที่คุณต้องการทําการประเมินความเสี่ยงทางไซเบอร์และเหตุผลบางประการที่คุณต้องทํา ลองเดินผ่านพวกเขา:

• การลดต้นทุนในระยะยาว - การระบุภัยคุกคามและช่องโหว่ที่อาจเกิดขึ้นแล้วบรรเทาลงสามารถป้องกันหรือลดเหตุการณ์ด้านความปลอดภัยช่วยประหยัดเงินและ/หรือความเสียหายต่อชื่อเสียงขององค์กรของคุณในระยะยาว
• จัดเตรียมเทมเพลตการประเมินความเสี่ยงด้านความปลอดภัยทางไซเบอร์สําหรับการประเมินในอนาคต - การประเมินความเสี่ยงทางไซเบอร์ไม่ใช่หนึ่งในกระบวนการ คุณต้องอัปเดตอย่างต่อเนื่อง การเทิร์นแรกที่ดีจะช่วยให้มั่นใจได้ว่ากระบวนการจะทําซ้ําได้แม้จะมีการหมุนเวียนของพนักงาน
• ความรู้องค์กรที่ดีขึ้น - การรู้ช่องโหว่ขององค์กรช่วยให้คุณมีความคิดที่ชัดเจนว่าองค์กรของคุณต้องปรับปรุงตรงไหน
• หลีกเลี่ยงการละเมิดข้อมูล - การละเมิดข้อมูลอาจส่งผลกระทบทางการเงินและชื่อเสียงอย่างมากต่อองค์กรใดๆ
• หลีกเลี่ยงปัญหาด้านกฎระเบียบ - ข้อมูลลูกค้าที่ถูกขโมยเนื่องจากคุณไม่ปฏิบัติตาม HIPAA, PCI DSS หรือ APRA CPS 234
• หลีกเลี่ยงการหยุดทํางานของแอปพลิเคชัน - ระบบภายในหรือระบบที่ต้องเผชิญกับลูกค้าต้องพร้อมใช้งานและทํางานได้เพื่อให้พนักงานและลูกค้าทํางานได้
• การสูญหายของข้อมูล - การขโมยความลับทางการค้า รหัส หรือทรัพย์สินข้อมูลที่สําคัญอื่นๆ อาจหมายความว่าคุณสูญเสียธุรกิจให้กับคู่แข่ง

นอกจากนั้น การประเมินความเสี่ยงทางไซเบอร์ยังเป็นส่วนสําคัญในการจัดการความเสี่ยงด้านข้อมูลและกลยุทธ์การจัดการความเสี่ยงที่กว้างขึ้นขององค์กร

ใครควรทําการประเมินความเสี่ยงทางไซเบอร์?

ตามหลักการแล้ว องค์กรควรมีทีมภายในองค์กรโดยเฉพาะที่ประมวลผลการประเมินความเสี่ยง ซึ่งหมายถึงการมีเจ้าหน้าที่ไอทีที่มีความเข้าใจว่าโครงสร้างพื้นฐานดิจิทัลและเครือข่ายของคุณทํางานอย่างไรผู้บริหารที่เข้าใจว่าข้อมูลไหลเวียนอย่างไรและความรู้ขององค์กรที่เป็นกรรมสิทธิ์ที่อาจเป็นประโยชน์ในระหว่างการประเมิน

ความโปร่งใสขององค์กรเป็นกุญแจสําคัญในการประเมินความเสี่ยงทางไซเบอร์อย่างละเอียด

ธุรกิจขนาดเล็กอาจไม่มีบุคลากรที่เหมาะสมในการทํางานอย่างละเอียดและต้องจ้างการประเมินจากภายนอกให้กับบุคคลที่สาม องค์กรต่างๆ ยังหันมาใช้ซอฟต์แวร์ความปลอดภัยทางไซเบอร์เพื่อตรวจสอบคะแนนความปลอดภัยทางไซเบอร์ ป้องกันการละเมิด ส่งแบบสอบถามความปลอดภัย และลดความเสี่ยงของบุคคลที่สาม

เรียนรู้วิธีที่ UpGuard คํานวณการจัดอันดับความปลอดภัย>

วิธีการประเมินความเสี่ยงทางไซเบอร์

เราจะเริ่มต้นด้วยภาพรวมระดับสูงและเจาะลึกลงไปในแต่ละขั้นตอนในส่วนต่อไปนี้ ก่อนที่คุณจะเริ่มประเมินและลดความเสี่ยง คุณต้องเข้าใจข้อมูล โครงสร้างพื้นฐาน และคุณค่าของข้อมูลที่คุณพยายามปกป้อง

คุณอาจต้องการเริ่มต้นด้วยการตรวจสอบข้อมูลของคุณเพื่อตอบคําถามต่อไปนี้:

• เราเก็บรวบรวมข้อมูลอะไรบ้าง
• เราจะจัดเก็บข้อมูลนี้อย่างไรและที่ไหน
• เราจะปกป้องและจัดทําเอกสารข้อมูลอย่างไร
• เราเก็บข้อมูลไว้นานแค่ไหน
• ใครสามารถเข้าถึงข้อมูลทั้งภายในและภายนอกได้บ้าง
• สถานที่ที่เราจัดเก็บข้อมูลมีความปลอดภัยอย่างเหมาะสมหรือไม่? การละเมิดจํานวนมากมาจากบัคเก็ต S3 ที่กําหนดค่าไม่ดี ตรวจสอบสิทธิ์ S3 ของคุณ หรือคนอื่นจะทํา

ถัดไป คุณจะต้องกําหนดพารามิเตอร์ของการประเมินของคุณ ต่อไปนี้เป็นคําถามเบื้องต้นที่ดีสองสามข้อที่จะช่วยให้คุณเริ่มต้นได้:

• จุดประสงค์ของการประเมินคืออะไร?
• ขอบเขตของการประเมินคืออะไร?
• มีลําดับความสําคัญหรือข้อจํากัดใด ๆ ที่ฉันควรรู้ที่อาจส่งผลต่อการประเมินหรือไม่?
• ฉันต้องเข้าถึงใครในองค์กรเพื่อรับข้อมูลทั้งหมดที่ฉันต้องการ
• องค์กรใช้แบบจําลองความเสี่ยงใดในการวิเคราะห์ความเสี่ยง

คําถามเหล่านี้จํานวนมากอธิบายได้ด้วยตนเอง สิ่งที่คุณอยากรู้คือสิ่งที่คุณจะวิเคราะห์ ใครมีความเชี่ยวชาญในการประเมินอย่างเหมาะสม และมีข้อกําหนดด้านกฎระเบียบหรือข้อจํากัดด้านงบประมาณที่คุณต้องระวังหรือไม่

เรียนรู้เกี่ยวกับกฎระเบียบทางไซเบอร์ชั้นนําใน>การเงิน

ตอนนี้เรามาดูขั้นตอนที่ต้องดําเนินการเพื่อทําการประเมินความเสี่ยงทางไซเบอร์อย่างละเอียด โดยให้เทมเพลตการประเมินความเสี่ยงแก่คุณ

ขั้นตอนที่ 1: กําหนดคุณค่าของข้อมูล

องค์กรส่วนใหญ่ไม่มีงบประมาณไม่จํากัดสําหรับการจัดการความเสี่ยงด้านข้อมูล ดังนั้นการจํากัดขอบเขตของคุณไว้ที่สินทรัพย์ที่มีความสําคัญต่อธุรกิจมากที่สุดจึงเป็นการดีที่สุด

เพื่อประหยัดเวลาและเงินในภายหลัง ให้ใช้เวลาในการกําหนดมาตรฐานในการพิจารณาความสําคัญของสินทรัพย์ องค์กรส่วนใหญ่รวมถึงมูลค่าทรัพย์สิน สถานะทางกฎหมาย และความสําคัญทางธุรกิจ เมื่อมาตรฐานถูกรวมเข้ากับนโยบายการจัดการความเสี่ยงข้อมูลขององค์กรอย่างเป็นทางการแล้ว ให้ใช้เพื่อจําแนกสินทรัพย์แต่ละรายการเป็นที่สําคัญ ใหญ่ หรือรอง

มีคําถามมากมายที่คุณสามารถถามเพื่อกําหนดมูลค่า:

• มีบทลงโทษทางการเงินหรือทางกฎหมายที่เกี่ยวข้องกับการเปิดเผยหรือสูญหายข้อมูลนี้หรือไม่
• ข้อมูลนี้มีค่าต่อคู่แข่งมากน้อยเพียงใด
• เราสามารถสร้างข้อมูลนี้ขึ้นมาใหม่ตั้งแต่เริ่มต้นได้หรือไม่? จะใช้เวลานานแค่ไหน และค่าใช้จ่ายที่เกี่ยวข้องจะเป็นอย่างไร
• การสูญเสียข้อมูลนี้จะส่งผลกระทบต่อรายได้หรือความสามารถในการทํากําไรหรือไม่?
• การสูญเสียข้อมูลนี้จะส่งผลกระทบต่อการดําเนินธุรกิจในแต่ละวันหรือไม่ พนักงานของเราสามารถทํางานได้โดยไม่มีมันหรือไม่?
• ความเสียหายต่อชื่อเสียงของข้อมูลนี้รั่วไหลจะเป็นอย่างไร?

ขั้นตอนที่ 2: ระบุและจัดลําดับความสําคัญของสินทรัพย์

ขั้นตอนแรกคือการระบุทรัพย์สินเพื่อประเมินและกําหนดขอบเขตของการประเมิน วิธีนี้จะช่วยให้คุณจัดลําดับความสําคัญของสินทรัพย์ที่จะประเมินได้ คุณอาจต้องการประเมินอาคาร พนักงาน ข้อมูลอิเล็กทรอนิกส์ ความลับทางการค้า ยานพาหนะ และอุปกรณ์สํานักงานเท่านั้น โปรดจําไว้ว่าไม่ใช่ทุกสินทรัพย์ที่มีมูลค่าเท่ากัน

คุณต้องทํางานร่วมกับผู้ใช้ทางธุรกิจและผู้บริหารเพื่อสร้างรายการทรัพย์สินที่มีค่าทั้งหมด สําหรับสินทรัพย์แต่ละรายการ ให้รวบรวมข้อมูลต่อไปนี้หากมี

• ซอฟต์แวร์
• ฮาร์ดแวร์
• ข้อมูล
• อิน เทอร์ เฟซ
• ผู้ใช้ปลายทาง
• สนับสนุนส่วนบุคคล
• วัตถุประสงค์
• ความสําคัญ
• ข้อกําหนดด้านการทํางาน
• นโยบายความปลอดภัยด้านไอที
• สถาปัตยกรรมการรักษาความปลอดภัยด้านไอที
• โทโพโลยีเครือข่าย
• การป้องกันการจัดเก็บข้อมูล
• การไหลของข้อมูล
• การควบคุมความปลอดภัยทางเทคนิค
• การควบคุมความปลอดภัยทางกายภาพ
• ความมั่นคงด้านสิ่งแวดล้อม

การจัดลําดับความสําคัญของสินทรัพย์นั้นง่ายขึ้นด้วยเมทริกซ์ความเสี่ยงที่บ่งชี้ถึงความเสี่ยงที่สําคัญที่มีแนวโน้มส่งผลเสียต่อเสถียรภาพด้านความปลอดภัยของคุณมากที่สุด เมทริกซ์ความเสี่ยงยังสามารถสรุปความเสี่ยงของคุณในระดับผู้ขายบุคคลที่สาม

ต่อไปนี้คือตัวอย่างของเมทริกซ์ความเสี่ยงที่แสดงถึงการกระจายของผู้ขายบุคคลที่สามที่สําคัญที่ต้องการความสนใจด้านความปลอดภัยทางไซเบอร์มากขึ้น

ขั้นตอนที่ 3: ระบุภัยคุกคามทางไซเบอร์

ภัยคุกคามทางไซเบอร์คือช่องโหว่ใดๆ ที่อาจถูกนําไปใช้เพื่อละเมิดความปลอดภัยเพื่อก่อให้เกิดอันตรายหรือขโมยข้อมูลจากองค์กรของคุณ แม้ว่าแฮกเกอร์ มัลแวร์ และความเสี่ยงด้านความปลอดภัยด้านไอทีอื่นๆ จะเกิดขึ้นในใจ แต่ก็มีภัยคุกคามอื่นๆ อีกมากมาย:

• ภัยธรรมชาติ: น้ําท่วม พายุเฮอริเคน แผ่นดินไหว ฟ้าผ่า และไฟสามารถทําลายได้มากพอๆ กับผู้โจมตีทางไซเบอร์ คุณไม่เพียงแต่สูญเสียข้อมูลของคุณเท่านั้น แต่ยังรวมถึงเซิร์ฟเวอร์ของคุณด้วย เมื่อตัดสินใจระหว่างเซิร์ฟเวอร์ในองค์กรและเซิร์ฟเวอร์บนคลาวด์ ให้พิจารณาผลกระทบที่อาจเกิดขึ้นจากภัยธรรมชาติ
• ความล้มเหลวของระบบ: ระบบที่สําคัญที่สุดของคุณทํางานบนอุปกรณ์คุณภาพสูงหรือไม่? พวกเขาได้รับการสนับสนุนที่ดีหรือไม่?
• ความผิดพลาดของมนุษย์: บัคเก็ต S3 ของคุณมีการกําหนดค่าข้อมูลที่ละเอียดอ่อนอย่างเหมาะสมหรือไม่ องค์กรของคุณมีนโยบายการศึกษาที่เหมาะสมซึ่งครอบคลุมกลยุทธ์อาชญากรรมไซเบอร์ทั่วไป เช่น มัลแวร์ ฟิชชิ่ง และวิศวกรรมสังคมหรือไม่
• ภัยคุกคามที่เป็นปฏิปักษ์: ผู้ขายบุคคลที่สาม, คนวงใน, คนวงในที่เชื่อถือได้, คนวงในที่มีสิทธิพิเศษ, กลุ่มแฮ็กเกอร์ที่จัดตั้งขึ้น, กลุ่มเฉพาะกิจ, การจารกรรมขององค์กร, ซัพพลายเออร์, รัฐชาติ

ภัยคุกคามทั่วไปบางประการที่ส่งผลกระทบต่อทุกองค์กร ได้แก่ :

• การเข้าถึงโดยไม่ได้รับอนุญาต: ทั้งจากผู้โจมตี มัลแวร์ ข้อผิดพลาดของพนักงาน
• การใช้ข้อมูลในทางที่ผิดโดยผู้ใช้ที่ได้รับอนุญาต: โดยทั่วไปจะเป็นภัยคุกคามภายในที่มีการเปลี่ยนแปลง ลบ หรือใช้ข้อมูลโดยไม่ได้รับการอนุมัติ
• การรั่วไหลของข้อมูล: ข้อมูลส่วนบุคคลที่สามารถระบุตัวตนได้ (PII) และข้อมูลที่ละเอียดอ่อนอื่นๆ โดยผู้โจมตีหรือผ่านการกําหนดค่าบริการคลาวด์ที่ไม่ดี
• การสูญเสียข้อมูล: องค์กรสูญเสียหรือลบข้อมูลโดยไม่ได้ตั้งใจซึ่งเป็นส่วนหนึ่งของการสํารองข้อมูลหรือการจําลองแบบที่ไม่ดี
• การหยุดชะงักของบริการ: การสูญเสียรายได้หรือความเสียหายต่อชื่อเสียงเนื่องจากการหยุดทํางาน

หลังจากระบุภัยคุกคามขององค์กรแล้ว คุณจะต้องประเมินผลกระทบของภัยคุกคามเหล่านั้น เพื่อให้แน่ใจว่าทีมรักษาความปลอดภัยของคุณจะตอบสนองต่อภัยคุกคามทางไซเบอร์ได้ทันที ให้แน่ใจว่าคุณมีแผนการตอบสนองต่อเหตุการณ์ที่ออกแบบมาอย่างดีและผ่านการทดสอบอย่างสม่ําเสมอ

เรียนรู้วิธีสร้างแผนการตอบสนองต่อเหตุการณ์>

ขั้นตอนที่ 4: ระบุช่องโหว่

ตอนนี้ถึงเวลาที่จะเปลี่ยนจากสิ่งที่ "อาจ" เกิดขึ้นไปสู่สิ่งที่มีโอกาสเกิดขึ้น ช่องโหว่คือจุดอ่อนที่ภัยคุกคามสามารถใช้ประโยชน์เพื่อละเมิดความปลอดภัย เป็นอันตรายต่อองค์กรของคุณ หรือขโมยข้อมูลที่ละเอียดอ่อน ช่องโหว่จะพบได้จากการวิเคราะห์ช่องโหว่ รายงานการตรวจสอบ ฐานข้อมูลช่องโหว่ของสถาบันมาตรฐานและเทคโนโลยีแห่งชาติ (NIST) ข้อมูลผู้ขาย ทีมตอบสนองต่อเหตุการณ์ และการวิเคราะห์ความปลอดภัยของซอฟต์แวร์

คุณสามารถลดช่องโหว่ที่ใช้ซอฟต์แวร์ขององค์กรได้ด้วยการจัดการแพตช์ที่เหมาะสมผ่านการอัปเดตแบบบังคับอัตโนมัติ แต่อย่าลืมช่องโหว่ทางกายภาพโอกาสที่ใครบางคนจะเข้าถึงระบบคอมพิวเตอร์ขององค์กรจะลดลงโดยการเข้าถึงคีย์การ์ด

การระบุช่องโหว่ในระบบนิเวศของคุณทําได้ง่ายขึ้นอย่างมากด้วยโซลูชันการตรวจสอบพื้นผิวการโจมตี การจัดการพื้นผิวการโจมตีเป็นกลยุทธ์ที่มีประสิทธิภาพในการลดจํานวนเวกเตอร์การโจมตีในรอยเท้าดิจิทัลของคุณเพื่อลดความเสี่ยงในการละเมิดข้อมูล

สําหรับข้อมูลเบื้องต้นเกี่ยวกับการจัดการพื้นผิวการโจมตี โปรดดูวิดีโอนี้

ทดลองใช้ UpGuard > ฟรี

ขั้นตอนที่ 5: วิเคราะห์การควบคุมและใช้การควบคุมใหม่

วิเคราะห์การควบคุมที่มีอยู่เพื่อลดหรือขจัดความน่าจะเป็นของภัยคุกคามหรือช่องโหว่ การควบคุมสามารถนําไปใช้ได้โดยใช้วิธีการทางเทคนิค เช่น ฮาร์ดแวร์หรือซอฟต์แวร์ การเข้ารหัส กลไกการตรวจจับการบุกรุก การรับรองความถูกต้องด้วยสองปัจจัย การอัปเดตอัตโนมัติ การตรวจจับการรั่วไหลของข้อมูลอย่างต่อเนื่อง หรือผ่านวิธีการที่ไม่ใช่ทางเทคนิค เช่น นโยบายความปลอดภัยและกลไกทางกายภาพ เช่น การล็อคหรือการเข้าถึงคีย์การ์ด

การควบคุมควรจัดประเภทเป็นการควบคุมเชิงป้องกันหรือการควบคุมเชิงสืบสวน การควบคุมเชิงป้องกันพยายามหยุดการโจมตีผ่านการเข้ารหัส ไฟร์วอลล์ โปรแกรมป้องกันไวรัส หรือการตรวจสอบความปลอดภัยอย่างต่อเนื่อง การควบคุมนักสืบพยายามค้นหาว่ามีการโจมตีเมื่อใด เช่น การตรวจจับการเปิดเผยข้อมูลอย่างต่อเนื่อง

เรียนรู้เพิ่มเติมเกี่ยวกับการจัดการความเสี่ยงภัยคุกคามทางไซเบอร์>

ขั้นตอนที่ 6: คํานวณความน่าจะเป็นและผลกระทบของสถานการณ์ต่างๆ ในแต่ละปี

ตอนนี้คุณรู้คุณค่าของข้อมูล ภัยคุกคาม ช่องโหว่ และการควบคุมแล้ว ขั้นตอนต่อไปคือการระบุว่าความเสี่ยงทางไซเบอร์เหล่านี้มีโอกาสเกิดขึ้นมากน้อยเพียงใดและผลกระทบหากเกิดขึ้น

เปลี่ยนความคิดของคุณจาก "ถ้าฉันได้รับผลกระทบ" เป็น "โอกาสที่จะประสบความสําเร็จเมื่อฉันได้รับผลกระทบคืออะไร"

ลองนึกภาพว่าคุณมีฐานข้อมูลที่จัดเก็บข้อมูลที่ละเอียดอ่อนที่สุดของบริษัทของคุณ และข้อมูลนั้นมีมูลค่า 100 ล้านดอลลาร์ตามการประมาณการของคุณ คุณประมาณการว่าในกรณีที่เกิดการละเมิด ข้อมูลของคุณอย่างน้อยครึ่งหนึ่งจะถูกเปิดเผยก่อนที่จะถูกควบคุม ซึ่งส่งผลให้เกิดการสูญเสียประมาณ 50 ล้านดอลลาร์

แต่คุณคาดหวังว่าสิ่งนี้ไม่น่าจะเกิดขึ้น เช่น หนึ่งในห้าสิบปีที่เกิดขึ้น ซึ่งจะเทียบเท่ากับการสูญเสียประมาณ 50 ล้านดอลลาร์ทุกๆ 50 ปี หรือในแง่ปี 1 ล้านดอลลาร์ต่อปี สําหรับสถานการณ์หลัง ควรคาดการณ์งบประมาณประจําปีจํานวน 1 ล้านดอลลาร์สําหรับโครงการป้องกันการละเมิดข้อมูล

เรียนรู้วิธีป้องกันการละเมิดข้อมูลด้วยคู่มือฟรีนี้>

ขั้นตอนที่ 7: จัดลําดับความสําคัญของความเสี่ยงตามต้นทุนของการป้องกันเทียบกับมูลค่าข้อมูล

ใช้ระดับความเสี่ยงเป็นพื้นฐานและกําหนดการดําเนินการสําหรับผู้บริหารระดับสูงหรือบุคคลที่รับผิดชอบอื่น ๆ เพื่อลดความเสี่ยง ต่อไปนี้เป็นแนวทางทั่วไปบางประการ:

• มาตรการแก้ไขระดับสูงจะต้องพัฒนาโดยเร็วที่สุด
• ปานกลาง - มาตรการที่ถูกต้องที่พัฒนาขึ้นภายในระยะเวลาที่เหมาะสม
• ต่ํา - ตัดสินใจว่าจะยอมรับความเสี่ยงหรือลดความเสี่ยง

โปรดจําไว้ว่าตอนนี้คุณได้กําหนดมูลค่าของสินทรัพย์และจํานวนเงินที่คุณสามารถใช้เพื่อปกป้องมันได้ ขั้นตอนต่อไปนั้นง่าย: หากมีค่าใช้จ่ายในการปกป้องทรัพย์สินมากกว่ามูลค่า อาจไม่สมเหตุสมผลที่จะใช้การควบคุมเชิงป้องกันเพื่อปกป้องทรัพย์สิน ที่กล่าวว่าจําไว้ว่าอาจมีผลกระทบต่อชื่อเสียง ไม่ใช่แค่ผลกระทบทางการเงิน ดังนั้นจึงจําเป็นอย่างยิ่งที่จะต้องคํานึงถึงสิ่งนั้นด้วย

นอกจากนี้ ให้พิจารณาสิ่งต่อไปนี้:

• นโยบายขององค์กร
• ความเสียหายต่อชื่อเสียง
• ความเป็นไปได้
• ระเบียบ
• ประสิทธิผลของการควบคุม
• ความปลอดภัย
• ความน่าเชื่อถือ
• ทัศนคติขององค์กรต่อความเสี่ยง
• ความอดทนต่อความไม่แน่นอนเกี่ยวกับปัจจัยเสี่ยง
• การถ่วงน้ําหนักปัจจัยเสี่ยงขององค์กร

ขั้นตอนที่ 8: จัดทําเอกสารผลจากรายงานการประเมินความเสี่ยง

ขั้นตอนสุดท้ายคือการพัฒนารายงานการประเมินความเสี่ยงเพื่อสนับสนุนผู้บริหารในการตัดสินใจเกี่ยวกับงบประมาณ นโยบาย และขั้นตอน รายงานควรอธิบายความเสี่ยง ช่องโหว่ และคุณค่าของภัยคุกคามแต่ละรายการ พร้อมกับผลกระทบและความเป็นไปได้ที่จะเกิดขึ้นและคําแนะนําในการควบคุม

เมื่อคุณทํางานผ่านกระบวนการนี้ คุณจะเข้าใจว่าบริษัทของคุณดําเนินการโครงสร้างพื้นฐานใดบ้าง ข้อมูลที่มีค่าที่สุดของคุณคืออะไร และคุณจะดําเนินการและรักษาความปลอดภัยให้กับธุรกิจของคุณได้อย่างไร จากนั้นคุณสามารถสร้างนโยบายการประเมินความเสี่ยงที่กําหนดสิ่งที่องค์กรของคุณต้องทําเป็นระยะเพื่อตรวจสอบเสถียรภาพด้านความปลอดภัยวิธีจัดการและบรรเทาความเสี่ยงและวิธีที่คุณจะดําเนินการตามกระบวนการประเมินความเสี่ยงในภายหลัง

ไม่ว่าคุณจะเป็นธุรกิจขนาดเล็กหรือองค์กรข้ามชาติ การจัดการความเสี่ยงด้านข้อมูลเป็นหัวใจสําคัญของความปลอดภัยทางไซเบอร์ กระบวนการเหล่านี้ช่วยกําหนดกฎและแนวทางปฏิบัติที่ตอบว่าภัยคุกคามและช่องโหว่ใดที่สามารถก่อให้เกิดความเสียหายทางการเงินและชื่อเสียงต่อธุรกิจของคุณ และวิธีบรรเทาผลกระทบเหล่านี้

ตามหลักการแล้วเมื่อการรักษาความปลอดภัยของคุณดีขึ้นและคุณจัดการกับความเสี่ยงที่ค้นพบในการตอบสนองการประเมินท่าทางความปลอดภัยทางไซเบอร์ของคุณควรปรับปรุงด้วย การประเมินความเสี่ยงด้านความปลอดภัยทางไซเบอร์ช่วยให้องค์กรเข้าใจ ควบคุม และลดความเสี่ยงทางไซเบอร์ทุกรูปแบบ เป็นองค์ประกอบสําคัญของกลยุทธ์การบริหารความเสี่ยงและความพยายามในการปกป้องข้อมูล

หากต้องการเรียนรู้ว่า UpGuard สามารถช่วยคุณปรับปรุงเวิร์กโฟลว์การประเมินความเสี่ยงด้านความปลอดภัยทางไซเบอร์ได้อย่างไร