วิเคราะห์ความเสี่ยง

ดร.ชาลี วรกุลพิพัฒน์

ครั้งก่อนได้บอกว่าเราจะต้องสร้างความมั่นคงปลอดภัยในระบบคอมพิวเตอร์ของเราให้เข้มข้นไว้ก่อน เพราะเราไม่อาจรู้ได้เลยว่าภัยคุกคามมันจะมาในรูปแบบใด เมื่อใด และเสียหายมากน้อยเพียงใด แต่ความเป็นจริงแล้วพอจะทำจริงมันก็ไม่ง่ายนัก เพราะคำว่าความเข้มข้นมีหลายระดับ ดังนั้นก่อนจะเริ่มลงมือเรื่องความมั่นคงปลอดภัยนั้น เราต้องมาวิเคราะห์ความเสี่ยงกันก่อน

ความเสี่ยงคืออะไร คำว่ามีความเสี่ยงต่างจากคำว่ามีภัยคุกคามตรงที่ หากระบบท่านมีภัยคุกคาม เช่น มีไวรัส นั่นคือได้เกิดความเสียหายแล้ว แต่การมีความเสี่ยง เช่น ไม่ติดตั้งโปรแกรมแอนตี้ไวรัส คือภัยยังไม่เกิด แต่จะทำให้มีโอกาสเกิดภัยได้ในอนาคต ดังนั้นสิ่งแรกที่จะทำคือการวิเคราะห์ความเสี่ยง ไม่ใช่เริ่มต้นก็จะลงทุนจ่ายเงินซื้ออุปกรณ์ฮาร์ดแวร์ ซอฟต์แวร์ หรือเริ่มต้นเขียนนโยบายความมั่นคงปลอดภัย ซึ่งไม่ควรทำ หากไม่ได้วิเคราะห์ความเสี่ยงเสียก่อน

การวิเคราะห์ความเสี่ยงต้องพิจารณาหลายปัจจัย เช่น ถ้าเกิดภัยแล้วจะเสียหายมากน้อยเพียงใด โอกาสที่จะเกิดมีมากน้อยหรือไม่ ถ้าเราลงทุนป้องกันไปแล้วจะคุ้มหรือไม่ เป็นต้น ลองนึกเหตุการณ์เล่นๆ สมมติผมมีระบบบุคคลขององค์กร ถ้าข้อมูลเกิดเสียหายเพราะไวรัส องค์กรของผมจะเสียหายถึง 50 ล้านบาท แถมโอกาสจะเกิดสูงเพราะจากประวัติเครื่องพนักงานติดไวรัสกันทุกวัน หากผมซื้อโปรแกรมแอนตี้ไวรัสมาติดตั้งแก่พนักงานทุกคนลงทุน 5 แสนบาท ก็น่าจะคุ้ม เพราะลงทุน 5 แสนบาท เพื่อปกป้อง 50 ล้านบาท

ในคนละสถานการณ์ ที่ถ้าน้ำท่วมห้องเซิร์ฟเวอร์จะทำให้ข้อมูลเสียหาย แต่จากประวัติพบว่าน้ำท่วมล่าสุดในสถานที่นี้ก็เมื่อ 50 ปีที่แล้ว แปลว่าโอกาสที่จะเกิดก็น้อยมากๆ ดังนั้นเมื่อวิเคราะห์ดูแล้วความเสี่ยงน่าจะต่ำ เพราะแม้ว่าข้อมูลจะมีค่ามาก แต่โอกาสที่จะเกิดมันน้อยมาก การลงทุนไปก็อาจจะไม่คุ้ม

อีกตัวอย่างหนึ่ง ผมมีข้อมูลหนังสือทุกเล่มในห้องสมุดขององค์กรอยู่ในเครื่องคอมพิวเตอร์เครื่องหนึ่งทำงานสแตนด์อะโลน คือไม่ต้องเชื่อมกับเครือข่ายใดๆ มีไว้เพื่อให้แขกที่มาเยี่ยมชมเดินมาค้นหาหนังสือได้ เมื่อวิเคราะห์ความเสี่ยงพบว่า แม้ข้อมูลนี้จะสำคัญมาก แต่หากเครื่องคอมพิวเตอร์นี้ติดไวรัสและข้อมูลเสียหายขึ้นมาจริงๆ องค์กรก็ไม่ได้เสียหายอะไร เพราะมีแบ็กอัพรูปแบบซีดีไว้เยอะ ดังนั้นอาจไม่ต้องลงทุนเพื่อปกป้องคอมพิวเตอร์เครื่องนี้

ตัวอย่างเหล่านี้ หลายท่านอาจมองว่าไกลตัว เพราะไม่ได้ทำงานในองค์กรใหญ่ที่มีข้อมูลมหาศาล แต่แท้จริงทุกท่านได้เผลอวิเคราะห์ความเสี่ยงไปแล้วก็เป็นไปได้ เช่น หากท่านใช้ไอโฟนแพงๆ ท่านคงวิเคราะห์แล้วว่าหากเกิดความเสียหายต่อตัวอุปกรณ์และตัวข้อมูลข้างใน ท่านจะต้องเสียใจ จึงลงทุนซื้อเคสและติดฟิล์มกันกระจกแตกราคาแพง ยอมเสียเวลาแบ็กอัพข้อมูลขึ้นคลาวด์ ฯลฯ แต่หากท่านมีโทรศัพท์อีกเครื่องคือซัมซุงฮีโร่ ท่านวิเคราะห์ดูแล้วว่าถ้าเกิดอะไรขึ้นมาก็คงไม่เป็นไร ท่านก็คงไม่ไปลงทุนปกป้องแบบไอโฟนแน่ๆ

เห็นแล้วใช่ไหมครับว่าก่อนจะเริ่มลงมือปกป้องระบบคอมพิวเตอร์ ก็ต้องมาวิเคราะห์ความเสี่ยงหรือความเข้มข้นเสียก่อน หากเผลอลงทุนลงแรงแล้ว และไม่ได้ปกป้องหรือแก้ปัญหาที่ถูกจุด ก็จะเป็นการลงทุนที่สูญเปล่า ดังนั้นไม่ต้องรีบร้อนซื้อของครับ ขั้นตอนการซื้อของเป็นขั้นตอนสุดท้ายเลยทีเดียว n