Công thức tính rủi ro an ninh mạng
Mô hình khái niệm phổ biến nhất:
Rủi ro (Risk) = Nguy cơ (Threat) × Lỗ hổng (Vulnerability) × Tác động (Impact) × Xác suất (Likelihood) - Hiệu quả kiểm soát (Control Effectiveness)
Hoặc dạng đơn giản hơn:
Risk = Probability (Xác suất xảy ra) × Impact (Mức độ thiệt hại)
Các thành phần chi tiết
| Thành phần | Mô tả | Cách đo lường |
|---|
| Threat (Nguy cơ) | Kẻ đe dọa, vector tấn công, TTP (Tactics, Techniques, Procedures) | MITRE ATT&CK, Threat Intel feeds, CISA KEV |
| Vulnerability (Lỗ hổng) | Điểm yếu trong hệ thống, quy trình, con người | CVE, CVSS Score, CWE, Scanner (Nessus, Qualys, OpenVAS) |
| Likelihood (Xác suất) | Khả năng nguy cơ khai thác lỗ hổng thành công | Threat Capability, Vulnerability Exploitability, Controls |
| Impact (Tác động) | Thiệt hại nếu sự cố xảy ra | Tài chính, vận hành, uy tín, pháp lý, an toàn tính mạng |
| Control Effectiveness | Hiệu quả các biện pháp giảm thiểu hiện có | Maturity Model (CMMI, NIST CSF Tier), Control Coverage, Testing |
Quy trình tính rủi ro an ninh mạng (5 bước)
- Xác định tài sản (Asset Inventory): Hardware, Software, Data, People, Processes. Phân loại độ quan trọng (Critical/High/Medium/Low). Công cụ: CMDB, ITAM, Cloud Asset Inventory
- Nhận diện nguy cơ & Lỗ hổng (Threat & Vuln Identification): Quét lỗ hổng (Vulnerability Scanning), Threat Modeling (STRIDE, PASTA, MITRE ATT&CK), Threat Intelligence
- Phân tích rủi ro (Risk Analysis):
- Định tính: High/Medium/Low (Risk Matrix 5x5)
- Định lượng: FAIR Model (Factor Analysis of Information Risk) - tính tiền tệ
- Bán định lượng: NIST 800-30, ISO 27005, Risk Score 1-100
- Đánh giá & Ưu tiên (Risk Evaluation & Prioritization): So sánh với Risk Appetite/Tolerance. Heat Map, Risk Register. Ưu tiên: Critical/High → Remediation ngay
- Xử lý & Giám sát (Risk Treatment & Monitoring):
- Mitigate (Giảm thiểu): Vá lỗ hổng, triển khai control, hardening
- Transfer (Chuyển嫁): Bảo hiểm an ninh mạng, outsourcing
- Accept (Chấp nhận): Rủi ro thấp, chi phí giảm thiểu > impact
- Avoid (Tránh): Ngừng hoạt động rủi ro cao
- Continuous Monitoring: KRIs, KPIs, Dashboard, Re-assessment định kỳ
Mô hình FAIR (Factor Analysis of Information Risk) - Chuẩn định lượng
- Phân rã rủi ro thành: Loss Event Frequency (LEF) × Loss Magnitude (LM)
- LEF = Threat Event Frequency (TEF) × Vulnerability (Vuln)
- LM = Primary Loss (trực tiếp) + Secondary Loss (gián tiếp - phản ứng bên ngoài)
- Kết quả: Phân phối xác suất thiệt hại tài chính (Monte Carlo simulation)
- Công cụ: RiskLens, FAIR-U, OpenFAIR
Cyber Risk Scoring (Điểm số rủi ro mạng)
- Mục đích: Định lượng, so sánh, báo cáo cho Ban Giám đốc/BOD
- Đầu vào: Vulnerability data, Threat intel, Asset criticality, Control maturity
- Đầu ra: Score 0-100 hoặc A-F, Heat map, Trend, Benchmark ngang ngành
- Công cụ thương mại: BitSight, SecurityScorecard, RiskRecon, UpGuard, Panorays, Cytora
- Công cụ nội bộ: NIST CSF Scoring, CIS RAM, FAIR-based scoring
Cyber Risk Index (CRI) - Ponemon Institute
Đo lường mức độ rủi ro mạng của tổ chức: CRI = (Threat Level + Vulnerability Level) - Preparedness Level. Cập nhật định kỳ, so sánh ngang ngành.
Rủi ro kinh doanh (Business Risk) vs Rủi ro An ninh mạng
| Rủi ro Kinh doanh | Rủi ro An ninh mạng |
|---|
| Tổng thể: Tài chính, vận hành, chiến lược, tuân thủ, uy tín | Chuyên ngành: Threat, Vuln, Asset, Control trong lĩnh vực IT/OT |
| Công thức: Operating Leverage × Financial Leverage = Combined Leverage | Công thức: Threat × Vuln × Impact - Controls |
| Quản trị bởi: ERM (Enterprise Risk Management) | Quản trị bởi: Cyber Risk Management (CRM) - con của ERM |
Công cụ hỗ trợ tính rủi ro
- GRC Platform: ServiceNow GRC, RSA Archer, MetricStream, LogicGate, AuditBoard
- Risk Quantification: RiskLens (FAIR), Safe Security, Kovrr, Cymulate
- Vuln Management: Tenable, Qualys, Rapid7, Kenna (Risk-based VM)
- Threat Intelligence: Recorded Future, Mandiant, Anomali, MISP
- Asset Management: Axonius, runZero, Lansweeper, ServiceNow CMDB
Lời khuyên thực tế
- Bắt đầu đơn giản: Risk Register Excel/Sheets + Risk Matrix 5x5 (Likelihood x Impact)
- Thu thập tài sản: Bạn không bảo vệ được gì bạn không biết
- Ưu tiên CISA KEV (Known Exploited Vulnerabilities) - vá ngay
- Áp dụng FAIR cho các rủi ro quan trọng (Crown Jewels)
- Báo cáo rủi ro bằng ngôn ngữ kinh doanh (tiền tệ, uptime, compliance) cho Board
- Tự động hóa thu thập dữ liệu (API, Connector) tránh nhập tay
- Review rủi ro hàng quý / sau sự cố lớn / thay đổi cơ sở hạ tầng lớn
