CTEM คืออะไร: 5 ขั้นตอนจัดลำดับความเสี่ยงเมื่อช่องโหว่มีมากขึ้น

เมื่อผลสแกนช่องโหว่ รายงาน Pentest และข้อมูลจากเครื่องมือ Security เข้ามาพร้อมกัน ทีมที่รับผิดชอบต้องตัดสินใจว่าจะจัดการรายการใดก่อน แต่ละรายการกระทบระบบไหน และใครเป็นคนแก้ หากข้อมูลเหล่านี้แยกอยู่คนละระบบ การมี Findings เพิ่มขึ้นก็อาจทำให้คิวงานยาวขึ้น โดยยังตอบไม่ได้ว่าความเสี่ยงสำคัญได้รับการจัดการแล้วหรือยัง

AI และ Automation ช่วยเร่งงานค้นหาและวิเคราะห์ช่องโหว่บางส่วนได้ ขณะที่การนำผลไปใช้ยังต้องอาศัยข้อมูลขององค์กร เช่น ระบบใดเปิดรับการเชื่อมต่อจากอินเทอร์เน็ต เก็บข้อมูลอะไร และมีมาตรการป้องกันใดทำงานอยู่

Continuous Threat Exposure Management หรือ CTEM เป็นแนวทางที่เชื่อมการค้นหาปัญหาเข้ากับการจัดลำดับ ตรวจสอบ และติดตามการแก้ไขอย่างต่อเนื่อง เพื่อให้ทีม Security และเจ้าของระบบตัดสินใจร่วมกันได้ว่าควรลดความเสี่ยงตรงไหนก่อน

จำนวนช่องโหว่บอกอะไรได้บ้าง

รายงานของ Google Threat Intelligence Group (GTIG) เผยแพร่วันที่ 30 กันยายน 2026 ระบุว่าจำนวนช่องโหว่ที่เปิดเผยเพิ่มจาก 5,045 รายการในเดือนมกราคม เป็น 10,477 รายการในเดือนกรกฎาคม และ 10,740 รายการในเดือนสิงหาคม

อย่างไรก็ตาม รายงานเดียวกันเตือนว่าจำนวน CVE อาจได้รับอิทธิพลจากแนวทางการออกหมายเลขและรอบการเปิดเผยช่องโหว่ของผู้ผลิต จึงไม่ควรอ่านตัวเลขนี้ว่าเป็นผลจาก AI ทั้งหมด หรือหมายความว่าทุกรายการมีความเสี่ยงเท่ากัน

สำหรับองค์กร สิ่งที่ต้องตรวจต่อคือช่องโหว่นั้นอยู่ในระบบที่ใช้งานจริงหรือไม่ ผู้โจมตีเข้าถึงได้อย่างไร และหากโจมตีสำเร็จจะกระทบธุรกิจส่วนใด

Exposure ครอบคลุมมากกว่าช่องโหว่ซอฟต์แวร์

ในบริบทนี้ Exposure หมายถึงจุดอ่อนหรือสภาพแวดล้อมที่เปิดโอกาสให้องค์กรได้รับผลกระทบจากภัยคุกคาม ครอบคลุมทั้งช่องโหว่ซอฟต์แวร์ การตั้งค่าที่ไม่เหมาะสม สิทธิ์เข้าถึงที่มากเกินจำเป็น และข้อมูลบัญชีที่รั่วไหล

ตัวอย่างเช่น Storage ที่เปิดให้อ่านข้อมูลโดยไม่ตั้งใจ หรือบัญชีที่ยังใช้งานได้หลังเจ้าของออกจากองค์กร อาจไม่ใช่ปัญหาที่แก้ด้วยการติดตั้ง Patch แต่ยังต้องมีผู้รับผิดชอบประเมินและจัดการ

CTEM จึงขยายขอบเขตจากรายการช่องโหว่ไปสู่ความเสี่ยงในระบบและกระบวนการที่เกี่ยวข้องกับธุรกิจ โดยนำข้อมูลจากหลายแหล่งมาประกอบกัน

CTEM ทำงานอย่างไร

CTEM มี 5 ขั้นตอนที่ทำซ้ำเป็นวงจร ได้แก่ Scoping, Discovery, Prioritization, Validation และ Mobilization [3]

คำว่า Continuous หมายถึงการกลับมาประเมินเมื่อระบบและภัยคุกคามเปลี่ยนไป เช่น มีบริการใหม่เปิดสู่อินเทอร์เน็ต มีข้อมูลการโจมตีช่องโหว่ที่ใช้อยู่ หรือมีการเปลี่ยนสิทธิ์เข้าถึง ความถี่และวิธีตรวจควรเหมาะกับความสำคัญของระบบและผลกระทบจากการทดสอบ

จัดลำดับอย่างไรให้สัมพันธ์กับความเสี่ยงขององค์กร

CVSS ช่วยอธิบายความรุนแรงของช่องโหว่ แต่การเลือกงานที่ต้องทำก่อนยังต้องมีข้อมูลอื่นประกอบ เช่น การถูกโจมตีจริง ความสำคัญของ Asset โอกาสถูกใช้โจมตี และมาตรการป้องกันที่มีอยู่

สมมติว่าทีมพบสองรายการพร้อมกัน รายการแรกเป็นช่องโหว่คะแนนสูงในระบบทดสอบที่แยกเครือข่ายและไม่มีข้อมูลสำคัญ ส่วนรายการที่สองเป็นช่องโหว่คะแนนต่ำกว่าในบริการที่เปิดสู่อินเทอร์เน็ต มีข้อมูลลูกค้า และมีหลักฐานว่ากำลังถูกโจมตี

รายการที่สองอาจต้องได้รับการจัดการก่อน แม้คะแนนต่ำกว่า เพราะมีทั้งโอกาสเข้าถึงและผลกระทบที่ชัดเจนกว่า ส่วนรายการแรกยังต้องอยู่ในแผนแก้ไข พร้อมตรวจสอบว่าการแยกเครือข่ายทำงานตามที่เข้าใจจริง

การจัดลำดับควรบันทึกเหตุผลไว้ด้วย เพื่อให้ทบทวนได้เมื่อมีข้อมูลใหม่ เช่น พบช่องทางเข้าถึงเพิ่มเติม หรือมาตรการที่เคยใช้ลดความเสี่ยงไม่ครอบคลุมการโจมตีนั้นแล้ว

Validation และ Mobilization ทำให้ผลตรวจนำไปใช้ได้

Validation ช่วยตรวจสอบสมมติฐานจากการจัดลำดับ เช่น ผู้โจมตีเข้าถึงบริการได้หรือไม่ ต้องมีสิทธิ์ระดับใด และมาตรการที่ติดตั้งอยู่หยุดเส้นทางโจมตีได้จริงหรือไม่ วิธีตรวจอาจใช้การทบทวน Configuration การทดสอบแบบควบคุม หรือ Pentest ตามความเหมาะสมของระบบ

ผลที่ยังยืนยันการโจมตีไม่ได้ควรระบุข้อจำกัดไว้ด้วย เพราะการทดสอบหนึ่งครั้งอาจไม่ครอบคลุมทุกเงื่อนไข และไม่ควรใช้เป็นเหตุให้เลื่อนการแก้ไขช่องโหว่ที่มีหลักฐานความเสี่ยงชัดเจนอยู่แล้ว

ส่วน Mobilization ต้องทำให้ทีมที่รับงานรู้ว่าจะดำเนินการอะไร ใครตัดสินใจ และจะตรวจผลอย่างไร ปัญหาอาจติดอยู่ที่เจ้าของระบบไม่ชัดเจน ข้อจำกัดในการหยุดบริการ หรือการส่งต่องานระหว่างทีม ซึ่งเป็นประเด็นที่ Gartner กล่าวถึงในการนำ CTEM ไปใช้

หากยังติดตั้ง Patch ไม่ได้ อาจพิจารณาจำกัดการเข้าถึง ปิดฟังก์ชันที่ได้รับผลกระทบ หรือเพิ่มมาตรการป้องกันชั่วคราวตามลักษณะปัญหา โดยระบุความเสี่ยงที่ยังเหลืออยู่และแผนแก้ไขถาวร หลังดำเนินการควรตรวจซ้ำว่าจุดอ่อนหรือเส้นทางโจมตีลดลงจริง

ใช้ AI และ Automation กับส่วนไหนของกระบวนการ

งานที่มีรูปแบบชัดเจนเหมาะกับการนำ Automation มาช่วย เช่น รวม Findings ที่ซ้ำกัน ผูกข้อมูลกับเจ้าของระบบ เปิด Ticket และติดตามรายการที่เกินกำหนด ส่วน AI อาจช่วยสรุปหลักฐานหรือเสนอแนวทางจัดกลุ่ม แต่ผลลัพธ์ต้องตรวจย้อนกลับถึงข้อมูลต้นทางได้

ตัวอย่างเช่น ระบบอาจรวบรวมข้อมูลว่าบริการหนึ่งเปิดสู่อินเทอร์เน็ต มีช่องโหว่ที่เกี่ยวข้อง และอยู่ในระบบรับชำระเงิน แล้วส่งรายการพร้อมหลักฐานให้ทีมรับผิดชอบพิจารณา การทำเช่นนี้ช่วยลดเวลารวบรวมข้อมูลก่อนตัดสินใจ

สำหรับการเปลี่ยนแปลงที่กระทบ Production เช่น แก้ Firewall Rule ปิดบริการ หรือถอนสิทธิ์บัญชี ควรกำหนดเงื่อนไขอนุมัติ ขอบเขตที่ทำอัตโนมัติได้ และวิธีย้อนกลับให้ชัดเจน รวมถึงตรวจผลหลังทำงาน

วัดผลจากความเสี่ยงที่ลดลง

จำนวน Findings และ Ticket ที่ปิดช่วยติดตามปริมาณงานได้ แต่ควรดูร่วมกับผลต่อระบบสำคัญ ตัวอย่างตัวชี้วัดที่องค์กรนำไปปรับใช้ได้ ได้แก่

• ระยะเวลาตั้งแต่ยืนยัน Exposure สำคัญจนแก้ไขหรือบรรเทาความเสี่ยงแล้ว
• สัดส่วนรายการสำคัญที่มีเจ้าของงานและกำหนดดำเนินการชัดเจน
• ผลตรวจซ้ำว่าเส้นทางโจมตีที่เคยพบยังใช้งานได้หรือไม่
• จำนวนปัญหาเดิมที่กลับมาเกิดซ้ำหลังแก้ไข

การเปรียบเทียบแต่ละรอบควรดูขอบเขตและความครอบคลุมของการตรวจด้วย จำนวน Findings ที่ลดลงอาจเกิดจากตรวจพบได้น้อยลง ขณะที่จำนวนที่เพิ่มขึ้นอาจเป็นผลจากการสำรวจระบบได้ครอบคลุมขึ้น

เริ่มต้น CTEM จากขอบเขตที่จัดการได้

องค์กรอาจเริ่มจากบริการสำคัญหนึ่งชุด รวบรวมข้อมูลจากเครื่องมือที่มีอยู่ แล้วให้ทีม Security กับเจ้าของระบบร่วมกันจัดลำดับ ตรวจสอบ และติดตามการแก้ไขจนจบรอบ ก่อนขยายไปยังระบบอื่น

เครื่องมือ Exposure Management สามารถช่วยรวบรวมข้อมูลและสนับสนุนงานเหล่านี้ได้ แต่การใช้ CTEM ให้ต่อเนื่องยังต้องมีเจ้าของงาน เกณฑ์ตัดสินใจ และกระบวนการแก้ไขร่วมกัน เมื่อทำครบวงจร องค์กรจะมีหลักฐานประกอบว่าความเสี่ยงใดลดลงแล้ว และเรื่องใดยังต้องดำเนินการต่อ

แหล่งอ้างอิง

1. Google Threat Intelligence Group: Vulnerability Discovery and Exploitation Trends in the AI Era, 30 กันยายน 2026
2. Gartner: Strategic Roadmap for Continuous Threat Exposure Management, บทคัดย่อสาธารณะ
3. Microsoft: Proactive Security with Continuous Threat Exposure Management (CTEM)
4. Gartner, Prioritize What Attackers Will Exploit: 4 Elements of Strong Exposure Prioritization, บทคัดย่อสาธารณะ
5. Gartner: Mobilize Threat Exposure Management to Accelerate Remediation, บทคัดย่อสาธารณะ