วิธีการประเมินความเสี่ยงด้านความปลอดภัยด้านไอที: เชิงคุณภาพกับเชิงปริมาณ

การกําหนดวิธีการประเมินความเสี่ยงด้านความปลอดภัยด้านไอทีเป็นส่วนสําคัญในการสร้างโปรแกรมการจัดการความเสี่ยงด้านความปลอดภัยของข้อมูลที่มีประสิทธิภาพ

วิธีการประเมินความเสี่ยงที่ได้รับความนิยมมากที่สุดสองประเภทที่ผู้ประเมินใช้คือ:

การวิเคราะห์ความเสี่ยงเชิงคุณภาพ: วิธีการตามสถานการณ์ที่ใช้สถานการณ์ภัยคุกคามและช่องโหว่ที่แตกต่างกันเพื่อลองตอบคําถามประเภท "จะเกิดอะไรขึ้นถ้า" การประเมินเหล่านี้มีลักษณะเป็นอัตนัย
การวิเคราะห์ความเสี่ยงเชิงปริมาณ: กําหนดค่าตัวเลขให้กับองค์ประกอบการประเมินความเสี่ยงต่างๆ ผู้เข้าถึงมีเป้าหมายที่จะหาปริมาณองค์ประกอบทั้งหมด (มูลค่าสินทรัพย์ ความถี่ของภัยคุกคาม ประสิทธิภาพการป้องกัน ความไม่แน่นอน และความน่าจะเป็น) เพื่อตอบคําถามเช่น "การละเมิดข้อมูลจะทําให้เราเสียค่าใช้จ่ายเท่าใด" และ "ระยะเวลาที่ยอมรับได้ในการออฟไลน์ก่อนที่เราจะต้องเริ่มแผนตอบสนองต่อเหตุการณ์ของเรา"

การประเมินความเสี่ยงคืออะไร?

การประเมินความเสี่ยงเป็นกระบวนการที่มีจุดมุ่งหมายเพื่อระบุความเสี่ยงด้านความปลอดภัยทางไซเบอร์แหล่งที่มาและวิธีลดความเสี่ยงให้อยู่ในระดับความเสี่ยงที่ยอมรับได้

กระบวนการโดยทั่วไปเริ่มต้นด้วยชุดคําถามเพื่อสร้างสินค้าคงคลังของสินทรัพย์ข้อมูลขั้นตอนกระบวนการและบุคลากร

สิ่งนี้ช่วยให้องค์กรของคุณและผู้เข้าถึงเข้าใจว่าสินทรัพย์ข้อมูลหลักของคุณคืออะไร และสินทรัพย์ใดมีความเสี่ยงสูงสุด โดยทั่วไปความเสี่ยงจะคํานวณจากผลกระทบของเหตุการณ์คูณด้วยความถี่หรือความน่าจะเป็นของเหตุการณ์

ไม่ว่าองค์กรของคุณจะใช้กระบวนการประเมินความเสี่ยงเชิงคุณภาพหรือเชิงปริมาณ ก็จําเป็นต้องมีการตัดสินใจในระดับหนึ่ง โดยทั่วไปจะมาในรูปแบบของการวิเคราะห์ต้นทุน/ผลประโยชน์เพื่อพิจารณาว่าความเสี่ยงใดที่ยอมรับได้และความเสี่ยงใดที่ต้องบรรเทา

กระบวนการประเมินความเสี่ยงที่แข็งแกร่งจะมุ่งเน้นไปที่ทุกแง่มุมของความปลอดภัยของข้อมูล รวมถึงทางกายภาพและสิ่งแวดล้อม การบริหารและการจัดการ ตลอดจนการควบคุมทางเทคนิค

นี่เป็นกระบวนการที่ลําบากสําหรับผู้ประเมินที่ต้องใช้การประกันคุณภาพและทักษะการจัดการโครงการที่แข็งแกร่ง และจะยากขึ้นเมื่อองค์กรของคุณเติบโตขึ้น ขับเคลื่อนโดยความเร็วที่เพิ่มขึ้นของระบบสารสนเทศกระบวนการและการเปลี่ยนแปลงบุคลากรตลอดจนการแนะนําภัยคุกคามทางไซเบอร์ช่องโหว่และผู้ขายบุคคลที่สาม

ชมคุณสมบัติการประเมินความเสี่ยงของ UpGuard >

ควรทําการประเมินความเสี่ยงเมื่อใด

การประเมินความเสี่ยงต้องดําเนินการตลอดวงจรชีวิตของสินทรัพย์ข้อมูล เนื่องจากความต้องการทางธุรกิจเปลี่ยนแปลงและเวกเตอร์การโจมตีใหม่เกิดขึ้น

ด้วยการใช้แนวทางการประเมินความเสี่ยงอย่างต่อเนื่ององค์กรสามารถระบุความเสี่ยงและการควบคุมความปลอดภัยทางไซเบอร์ที่เกิดขึ้นใหม่ซึ่งจําเป็นต้องดําเนินการเพื่อจัดการกับความเสี่ยงเหล่านั้น

เช่นเดียวกับกระบวนการอื่น ๆ ความปลอดภัยจําเป็นต้องได้รับการตรวจสอบปรับปรุงและปฏิบัติอย่างต่อเนื่องเป็นส่วนหนึ่งของคุณภาพผลิตภัณฑ์/บริการโดยรวม

พิจารณาทําการประเมินความเสี่ยงเมื่อใดก็ตามที่พบช่องว่างด้านความปลอดภัยหรือการเปิดเผยความเสี่ยง ตลอดจนเมื่อคุณตัดสินใจที่จะใช้หรือเลิกใช้การควบคุมบางรายหรือผู้ขายบุคคลที่สาม

เช่นเดียวกับกระบวนการจัดการความเสี่ยงของข้อมูลส่วนใหญ่ขึ้นอยู่กับสามมิติของ CIA (การรักษาความลับความสมบูรณ์และความพร้อมใช้งาน) และความต้องการทางธุรกิจของคุณ

เพื่อปรับปรุงกระบวนการประเมินความเสี่ยงองค์กรควรมีนโยบายและมาตรฐานความปลอดภัยภายในที่กําหนดข้อกําหนดกระบวนการและขั้นตอนด้านความปลอดภัยทั่วทั้งองค์กรและผู้ขายเช่นใช้เฉพาะผู้ขายบุคคลที่สามที่มีการรับประกัน SOC 2 และระดับความปลอดภัยสูงกว่า 850

ดาวน์โหลดเทมเพลตการประเมินความเสี่ยงของผู้ขาย>

เหตุใดกระบวนการประเมินความเสี่ยงจึงมีความสําคัญ

ความปลอดภัยทางไซเบอร์ส่วนใหญ่เกี่ยวกับการลดความเสี่ยง ทันทีที่คุณเชื่อมต่ออินเทอร์เน็ต พึ่งพาเทคโนโลยีสารสนเทศใหม่ หรือเริ่มต้นใช้งานผู้จําหน่ายบุคคลที่สามรายใหม่ คุณจะทําให้เกิดความเสี่ยงในระดับหนึ่ง

การประเมินความเสี่ยงระบุสินทรัพย์ข้อมูลที่สําคัญคุณค่า (เชิงคุณภาพหรือเชิงปริมาณ) ต่อองค์กรตลอดจนลูกค้าและคู่ค้า

ด้วยข้อมูลนี้ผู้บริหารจะสามารถเข้าใจโปรไฟล์ความเสี่ยงได้ดีขึ้นและการควบคุมความปลอดภัยที่มีอยู่เพียงพอหรือไม่

สิ่งนี้มีความสําคัญมากขึ้นเรื่อย ๆ เนื่องจากการเพิ่มขึ้นของการเอาท์ซอร์สและการพึ่งพาผู้ขายที่เพิ่มขึ้นในการประมวลผลจัดเก็บและส่งข้อมูลที่ละเอียดอ่อนตลอดจนส่งมอบสินค้าและบริการให้กับลูกค้า

จับคู่กับกฎระเบียบที่เพิ่มขึ้นซึ่งมุ่งเน้นไปที่การคุ้มครองและการเปิดเผยข้อมูลที่สามารถระบุตัวตนได้ (PII) และข้อมูลด้านสุขภาพที่ได้รับการคุ้มครอง (PHI) และความจําเป็นในการประเมินความเสี่ยงที่ชัดเจนไม่เคยสูงเท่านี้มาก่อน

เข้าใจทุกส่วนของเทคโนโลยี ผู้ขาย และพนักงานเป็นเวกเตอร์การโจมตีที่อาจเกิดขึ้น ไม่ว่าจะเป็นการโจมตีทางวิศวกรรมสังคม เช่น ฟิชชิ่งและสเปียร์ฟิชชิ่ง หรือการโจมตีด้วยเทคโนโลยี เช่น การใช้ประโยชน์จากช่องโหว่ในรายการ CVE การโจมตีแบบคนกลาง แรนซัมแวร์ และมัลแวร์ประเภทอื่นๆ

เพื่อลดการสูญเสียที่อาจเกิดขึ้นและยังคงดําเนินงานได้ทุกระดับขององค์กรของคุณจําเป็นต้องเข้าใจข้อกําหนดด้านความปลอดภัยและวิธีการประเมินความเสี่ยงที่มีประสิทธิภาพสามารถช่วยได้มากเพื่อลดความเสี่ยงที่ระบุ

จากการประเมินความเสี่ยงทําให้พนักงานตระหนักถึงภัยคุกคามทางไซเบอร์มากขึ้นและเรียนรู้ที่จะหลีกเลี่ยงการปฏิบัติที่ไม่ดีซึ่งอาจเป็นอันตรายต่อความปลอดภัยของข้อมูลความปลอดภัยของข้อมูลและความปลอดภัยของเครือข่ายสร้างความตระหนักด้านความปลอดภัยและช่วยวางแผนการตอบสนองต่อเหตุการณ์

วิธีการประเมินความเสี่ยงเชิงปริมาณหรือเชิงคุณภาพดีกว่ากัน?

มีข้อดีและข้อเสียในวิธีการประเมินความเสี่ยงเชิงปริมาณและเชิงคุณภาพ องค์กรที่ดีที่สุดในระดับเดียวกันใช้วิธีการแบบไฮบริดที่คํานึงถึงปัจจัยการผลิตเชิงปริมาณและเชิงคุณภาพ

การบริหารความเสี่ยงมุ่งเน้นไปที่การตัดสินใจที่ปรับความเสี่ยงเพื่อให้องค์กรของคุณดําเนินงานได้อย่างมีประสิทธิภาพในขณะที่รับความเสี่ยงมากหรือน้อยเท่าที่คุณเห็น

และวิธีเดียวที่จะทําเช่นนั้นคือการทําความเข้าใจว่าคุณมีความเสี่ยงอะไรบ้างสิ่งที่คุณเต็มใจที่จะยอมรับและสิ่งที่คุณต้องการถ่ายโอนบรรเทาหรือหลีกเลี่ยง ตัวอย่างเช่น คุณอาจเลือกที่จะเพิกเฉยต่อความเสี่ยงสูงที่มีความเป็นไปได้ต่ํามาก เช่น Amazon ยกเลิก Amazon Web Services เนื่องจากคุณตัดสินใจว่าการลดความเสี่ยงนั้นไม่คุ้มค่า

ในทางตรงกันข้าม องค์กรอื่นที่มีความเสี่ยงที่ยอมรับได้ต่ํากว่าอาจตัดสินใจคร่อมผู้ให้บริการระบบคลาวด์สองรายเพื่อลดความเสี่ยง

โดยไม่คํานึงถึงโปรไฟล์ความเสี่ยงของคุณมีความเสี่ยงที่ตกค้างอยู่เสมอเนื่องจากการลดทุกอย่างนั้นไม่คุ้มค่า

ข้อดีข้อเสียคุณภาพ

การวิเคราะห์เชิงคุณภาพเป็นแนวทางการประเมินที่ง่ายกว่า
การกําหนดมูลค่าทางการเงินของสินทรัพย์ไม่จําเป็นหรือเป็นไปได้เสมอไปในการประเมินมูลค่าสินทรัพย์ไม่มีตัวตน เช่น ชื่อเสียงและความปรารถนาดีของลูกค้า
ไม่จําเป็นต้องวัดปริมาณความถี่ของภัยคุกคาม
ง่ายต่อการมีส่วนร่วมกับเจ้าหน้าที่ที่ไม่ใช่ด้านความปลอดภัยและไม่ใช่ด้านเทคนิค

อัตนัยในธรรมชาติ
ผลการประเมินและคุณภาพของการประเมินขึ้นอยู่กับความเชี่ยวชาญและคุณภาพของทีมบริหารความเสี่ยง
ความพยายามที่จํากัดในการทําความเข้าใจมูลค่าทางการเงินของสินทรัพย์
ไม่มีการวิเคราะห์ต้นทุน/ผลประโยชน์สําหรับเทคนิคการลดความเสี่ยง เช่น ค่าใช้จ่ายในการใช้การควบคุมความปลอดภัยและนโยบายความปลอดภัย

เกี่ยวกับปริมาณ

การวิเคราะห์เชิงปริมาณขึ้นอยู่กับกระบวนการและตัวชี้วัดที่เป็นกลาง โดยขจัดความเป็นอัตวิสัย
มูลค่าสินทรัพย์และตัวเลือกการลดความเสี่ยงเป็นที่เข้าใจกันดี
การประเมินต้นทุน/ผลประโยชน์ถูกนํามาใช้อย่างหนัก ซึ่งช่วยให้ผู้บริหารระดับสูงลดกิจกรรมที่มีความเสี่ยงสูงได้ก่อน
ผลลัพธ์สามารถแสดงเป็นภาษาเฉพาะของผู้บริหาร (เช่น มูลค่าทางการเงินและความน่าจะเป็น)

แนวทางเชิงปริมาณอาจซับซ้อนและใช้เวลานาน
ในอดีตทํางานได้ดีกับเครื่องมือการจัดการความปลอดภัยอัตโนมัติที่เป็นที่ยอมรับและฐานความรู้ที่เกี่ยวข้องเท่านั้น
ต้องมีงานเบื้องต้นเพื่อรวบรวมและวัดปริมาณข้อมูลความเสี่ยงต่างๆ
โดยทั่วไปไม่เน้นที่ระดับบุคลากรการฝึกอบรมความตระหนักด้านความปลอดภัยอาจถูกมองข้าม

อะไรคืออุปสรรคในการบริหารความเสี่ยงที่มีประสิทธิภาพ?

ข้อร้องเรียนทั่วไปจากทีมผู้บริหารด้านความปลอดภัยคือพวกเขาไม่มีเวลาทําการประเมินความเสี่ยงในเชิงลึก

แม้แต่สําหรับผู้ที่ทําเช่นนั้น พวกเขาก็มักจะดิ้นรนว่าจะเริ่มต้นจากตรงไหน นี่เป็นเพราะไม่มีมาตรฐานอุตสาหกรรมใดที่ทุกคนยอมรับว่าเป็นแนวทางปฏิบัติที่ดีที่สุด

นอกจากนี้ แนวทางส่วนใหญ่ เช่น ISO 27001 และ NIST Security Self Assessment Guide for Information Technology Systems, SP 800-26 มีลักษณะทั่วไปและไม่ได้ให้รายละเอียดเพียงพอเกี่ยวกับวิธีการประเมินความเสี่ยงที่เหมาะสม

สิ่งนี้นําไปสู่การจ้างกระบวนการบริหารความเสี่ยงจากภายนอกไปยังผู้ขายภายนอกที่มีความเชี่ยวชาญในการประเมินความเสี่ยงที่เหมาะสม นอกจากนี้ยังสามารถช่วยองค์กรของคุณสร้างนโยบายที่มีประสิทธิภาพ เช่น นโยบายการจัดการผู้ขายและกรอบการจัดการความเสี่ยงของบุคคลที่สาม

อย่างไรก็ตาม เมื่อองค์กรมีขนาดและความซับซ้อนเพิ่มขึ้น และจํานวนผู้ขายบุคคลที่สามเพิ่มขึ้น คุณไม่ต้องการให้องค์กรของคุณพึ่งพาผู้ขายภายนอกในการตัดสินใจทางธุรกิจและการลดความเสี่ยงที่สําคัญ

นี่คือเหตุผลที่องค์กรจํานวนมากขึ้นเรื่อย ๆ กําลังจัดหาโปรแกรมการจัดการความเสี่ยงและการจัดการความเสี่ยงของผู้ขาย

เครื่องมือการให้คะแนนความปลอดภัยทางไซเบอร์สามารถช่วยปรับขนาดทีมการจัดการความเสี่ยงของคุณโดยการตรวจสอบและประเมินเสถียรภาพการรักษาความปลอดภัยของบุคคลที่หนึ่ง สิ่งนี้ช่วยให้ทีมบริหารความเสี่ยงของคุณสามารถมุ่งเน้นไปที่การแก้ไขที่มีความเสี่ยงสูงและมีผลกระทบสูงก่อนและเพิ่มจํานวนผู้ขายบุคคลที่สามที่บุคคลหนึ่งคนสามารถจัดการได้อย่างทวีคูณ

การประเมินช่องโหว่ช่วยให้ทีมขนาดเล็กสามารถขยายขนาดและทําความเข้าใจความเสี่ยงของบุคคลที่สามและความเสี่ยงของบุคคลที่สามได้แบบเรียลไทม์

หากองค์กรของคุณขาดความเชี่ยวชาญด้านการบริหารความเสี่ยงหรือเพียงแค่ต้องการขยายทีมการจัดการความเสี่ยงให้พิจารณาลงทุนในเครื่องมือที่สามารถทําให้การจัดการความเสี่ยงของผู้ขายเป็นไปโดยอัตโนมัติจัดเตรียมเทมเพลตแบบสอบถามการประเมินความเสี่ยงของผู้ขายและตรวจสอบความเสี่ยงของบุคคลที่หนึ่งและข้อมูลประจําตัวที่รั่วไหล