Security Assessment Toolkit

CVSS Calculator (3.1 / 4.0)

เครื่องคำนวณ CVSS สำหรับ vulnerability scoring — เลือกได้ทั้ง CVSS 3.1 (Reference-parity 93/93 NVD vectors) และ CVSS 4.0 (FIRST engine, 270/270 macro-vectors)

ประเมินความเสี่ยง OWASP

Threat Agent × Vulnerability × Technical/Business Impact + Matrix 3×3 พร้อมโหมด Guided + Expert คำอธิบายไทยทุก option

ติดตามความพร้อมหลักฐานสำหรับ audit

สถานะหลักฐาน 6 ระดับ (unknown/missing/partial/self-reported/verified/n-a) พร้อมเจ้าของ วันทบทวน gap plan — Unknown ไม่ถูกนับเป็นผ่าน

ประเมิน readiness ต่อ ransomware

4 ขั้น Protect/Detect/Respond/Recover ตาม NIST CSF พร้อม critical restore proof gating — readiness ไม่ใช่ความน่าจะเป็นถูกโจมตี

ประเมินช่วงผลกระทบเหตุการณ์

สร้างช่วงผลกระทบ low/base/high พร้อม sensitivity — ไม่มีค่าปรับ default ไม่มี ROI แฝง โทษปกครองเป็น opt-in ต้องระบุมาตราและผู้ทบทวน

ชุดสถานการณ์ tabletop

สถานการณ์ ransomware, insider พร้อม objectives, roles, injects timeline, decision log, AAR prompts — จำลองเท่านั้น ห้ามใช้กับระบบจริง

ฝึกตัดสินใจกับอีเมล phishing

สถานการณ์ + ทางเลือก + เหตุผล + สิ่งที่ควรตรวจสอบและรายงาน — ไม่ใช่การทดสอบ IQ ไม่เก็บ credentials ไม่ track ผู้ใช้

case study พร้อม source สำหรับ tabletop

MOVEit, Log4Shell, SolarWinds, Optus — สรุปเหตุการณ์ + "ถ้าเป็นคุณจะทำอย่างไร" + source URL ให้ตรวจย้อนได้

เส้นทางเรียนตามบทบาท + cert + ชั่วโมง + งบ

SOC / Pentester / GRC / Cloud — cert path, ชั่วโมงประมาณ, งบเบื้องต้น พร้อม source อ้างอิง

หน้าที่ CEO/DPO/CISO/Board ตามกฎหมายไทย

อ้างอิง PDPA, พ.ร.บ.ไซเบอร์, ประกาศ ธปท./ก.ล.ต. พร้อมเกณฑ์ escalation — ไม่ใช่คำแนะนำทางกฎหมาย

ตรวจ credential leak ผ่านช่องทาง official

ไม่มี fake checker ในหน้า — แนะนำใช้ HIBP, Firefox Monitor, Google Password Checkup ที่ตรวจย้อนได้ + คำแนะนำหลังพบ leak

PDPA + พ.ร.บ.ไซเบอร์ + ธปท./ก.ล.ต. + ISO

8 ข้อกำหนดหลัก + evidence pointer + owner — ไม่ใช่ audit pass verdict, ต้องยืนยันฉบับล่าสุดกับต้นทาง

ติดตาม current state ตาม 10 CSF outcomes

GV/ID/PR/DE/RS/RC 10 outcomes + evidence + gap plan — ไม่ใช่ maturity score

vendor questionnaire + evidence tracking

8 questionnaire (cert, breach, data flow, BCM, subprocessor, pentest, exit, IR) — ไม่ประกาศว่า vendor ปลอดภัย

ติดตาม 8 policy family + evidence

ISMS, AUP, Data, Access, IR, BCP, 3P, Privacy — policy เดี่ยว ๆ ไม่พอ ต้องมี procedure + evidence + owner

ระบุ asset + owner + exposure

ไม่ scan / ไม่ probe / ไม่ fetch — ข้อมูลผู้ใช้กรอกเอง จับ PII-on-internet + ownerless + stale review

ฝึกตัดสินใจตามบทบาท (Sales / Dev / Executive)

BEC, PII log export, wire transfer approval — learning tool ไม่ใช่ IQ test / ไม่ประเมิน HR

แปล redacted finding → owner + action

ต้อง redact vuln details ก่อน paste; severity-sorted action plan + risk-accepted gating

72-hour timer + decision log (มาตรา 72)

ไม่ auto-submit ไป PDPC — track hours + high-risk subject notification + audit trail สำหรับ DPO

passphrase entropy + auth method comparison

ห้ามใช้ password จริง — เรียนรู้ entropy + เปรียบเทียบ OTP/TOTP/WebAuthn/passkey

สร้าง brief แยก known/unknown + decision

ไม่คำนวณ risk score — evidence + decision requested เท่านั้น

scenario + control → tradeoff

ไม่ประกาศ safest choice — แสดง uncovered scenario + overkill control

วางแผน + บันทึกผล restore drill

target vs measured + sign-off gate — ไม่ trigger restore job ไม่เชื่อมต่อ backup system

business service + dependency chain + target vs measured

ตรวจ circular dep + RTO gap ระหว่าง service — ไม่คำนวณ recovery time ให้

inject → decision timeline + gaps + action + retest

process improvement เท่านั้น ไม่ประเมิน HR ไม่ประเมิน competency

จัดลำดับ patch ตาม severity × exposure × exploitation

ไม่ใช่ scanner — ผู้ใช้กรอกเอง; score ไม่ใช่ CVSS/SSVC ต้อง cross-check KEV

แผนที่ผู้ตัดสินใจ + deputy + channel + escalation

ไม่ auto-notify — decision map สำหรับ tabletop / IR runbook

Role × phase card สำหรับ 60 นาทีแรก

NO "shut down everything" — decision ต้องมี justification

revoke access + return data + evidence + ownership

attestation-based — ไม่ probe vendor system ไม่ enforce revoke

review user × system × permission + SoD

worksheet — ไม่ probe IAM ไม่เชื่อมต่อ SSO/AD

track exception + approver + expiry + compensating control

ไม่ auto-approve — approved ต้องมี expiry + compensating control

pre-go-live checklist: risk / test / rollback / approval

ไม่ปิด gate ให้อัตโนมัติ — security + product + business + ops ต้องเซ็นต์ครบ

purpose + lawful basis + retention + deletion trigger

ไม่ใช่คำแนะนำทางกฎหมาย — ปรึกษา DPO/counsel ก่อน commit period จริง

impact + test + approval + rollback + restore readiness

checklist ก่อน CAB — "blocked" ≠ pass, restore ที่ยังไม่ตอบ = ไม่ควรอนุมัติ

admin MFA + recovery + CA + DLP + audit log — attestation only

ไม่ scan tenant ไม่ query Graph — admin ต้องเปิด admin center + ตรวจจริง

AI use-case + data class + provider retention + human review

เครื่องมือนี้ไม่ใช้ AI/LLM — deterministic checklist; DPO/Legal ต้อง review

customer / provider / shared / not-yet-agreed matrix

"not-yet-agreed" บังคับต้องมี reason — ไม่ query cloud provider API

scope / cost / effort / dependencies / evidence

NO ROI / NO savings / NO avoided loss / NO auto-quote — ไม่จัดอันดับ