ภัยคุกคาม ช่องโหว่ และความเสี่ยง

คำสามคำนี้มักถูกใช้สับสนกัน แยกให้ออก แล้วเรื่องการรักษาความปลอดภัยที่เหลือจะเข้าใจง่ายขึ้น

• ภัยคุกคาม คือสิ่งที่ อาจก่อให้เกิดอันตราย: อาชญากร ความผิดพลาดจากความประมาท พายุ ไฟดับ น้ำท่วม
• ช่องโหว่ คือ จุดอ่อน ที่ภัยคุกคามอาจใช้ประโยชน์ได้: ประตูที่ไม่ได้ล็อก ซอฟต์แวร์ที่ยังไม่ได้อัปเดต รหัสผ่านที่เขียนไว้บนกระดาษโน้ต
• ความเสี่ยง คือ โอกาสที่ภัยคุกคามจะใช้ประโยชน์จากจุดอ่อน คูณด้วยความรุนแรงของผลลัพธ์ที่อาจเกิดขึ้น

ตัวอย่างเช่น แม่น้ำเป็นภัยคุกคามต่อบ้านหลังหนึ่ง (เพราะอาจทำให้น้ำท่วมได้) การอาศัยอยู่บริเวณก้นหุบเขาคือช่องโหว่ ส่วนความเสี่ยงคือความเป็นไปได้ที่จะเกิดน้ำท่วม รวมกับความเสียหายที่จะเกิดขึ้น การย้ายเฟอร์นิเจอร์ขึ้นชั้นบนไม่ได้ทำให้แม่น้ำหายไป แต่ช่วยลดการกระแทกบางส่วนได้

การให้คะแนนความเสี่ยง โดยปกติทีมจะให้คะแนนความเสี่ยงแต่ละรายการ 2 ด้านด้วยมาตราส่วนง่าย ๆ เช่น 1 (ต่ำ) ถึง 5 (สูง):

• โอกาสเกิด: มีโอกาสเกิดขึ้นในปีหน้ามากแค่ไหน
• การกระแทก: ถ้าเกิดขึ้น จะร้ายแรงแค่ไหน

จากนั้น ความเสี่ยง = โอกาสเกิด × การกระแทก วางความเสี่ยงแต่ละรายการลงใน ตารางขนาด 5 × 5 (เมทริกซ์ความเสี่ยง) โดยมุมขวาบนจะแสดงปัญหาที่เร่งด่วนที่สุด ตัวอย่างสมมติ:

คะแนนเหล่านี้เป็น การตัดสินบนมาตราส่วนเชิงอันดับ (เรียงลำดับได้ แต่ไม่ใช่ค่าที่แน่นอน) คะแนน 12 ไม่ได้หมายความว่า "เกิดขึ้นจริงเป็นสองเท่า" ของคะแนน 6 ตารางนี้ใช้เพื่อ จัดลำดับและพูดคุย ไม่ใช่การวัดปริมาณทางกายภาพ มองตารางนี้เป็นจุดเริ่มต้นที่ดีในการพูดคุย และพูดตามตรงเกี่ยวกับขีดจำกัดของมัน

เราจะจัดการกับความเสี่ยงได้อย่างไร มีคำตอบมาตรฐานอยู่ 4 แบบ:

• ลด: เพิ่มการป้องกันเพื่อลดโอกาสเกิด การกระแทก หรือทั้งสองอย่าง (การอัปเดต การสำรองข้อมูล การล็อก การฝึกอบรม)
• ยอมรับ: ตัดสินใจว่าความเสี่ยงนั้นเล็กพอ หรือมีค่าใช้จ่ายในการแก้ไขสูงเกินไป แล้วอยู่กับความเสี่ยงนั้นโดยรู้ตัว
• โอน: ให้ผู้อื่นรับผิดชอบค่าใช้จ่ายบางส่วนแทน เช่น ใช้ประกันหรือผู้ให้บริการที่ไว้วางใจได้
• หลีกเลี่ยง: หยุดทำสิ่งที่มีความเสี่ยง (อย่าเก็บข้อมูลที่ไม่จำเป็น)

การป้องกันที่เพิ่มเข้ามาเรียกว่า มาตรการควบคุม มาตรการควบคุมทุกอย่างมี ค่าใช้จ่าย (เงิน เวลา ความสะดวก) ดังนั้นงานที่แท้จริงของผู้ป้องกันคือ ลดความเสี่ยงให้ได้มากที่สุดภายใต้งบประมาณที่มี

ไม่มีความเสี่ยงเป็นศูนย์ แม้แต่คอมพิวเตอร์ที่ปิดอยู่ในห้องที่ล็อกไว้ก็อาจถูกขโมยหรือเสียได้ เป้าหมายคือให้ความเสี่ยงนั้น เข้าใจได้และยอมรับได้ ไม่ใช่ทำให้เป็นศูนย์