หน้าที่หลักของการเป็นที่ปรึกษาด้านไซเบอร์ หรือแม้แต่ Pentester ก็คือการวิเคราะห์และช่วยวางมาตรการควบคุมความเสี่ยง (ของช่องโหว่) ให้อยู่ในระดับที่ยอมรับได้

(ถึงขู่กันว่าจุดที่ยากที่สุดของการทดสอบเจาะระบบ คือการทำรายงานให้ลูกค้านำไปใช้ควบคุมความเสี่ยงที่ตรวจพบได้มีประสิทธิภาพ เป็นประโยชน์มากที่สุด จนแทบลบคำปรามาสที่ถามกันว่า ทำไมเพนเทสต้องมีความรู้ระดับใบประกาศ CISSP หรือ CISM ที่ให้คำปรึกษาในการจำกัดความเสี่ยงตามความต้องการโดยรวมขององค์กรได้)

และ pain point ที่องค์กรทั้งหลายในยุคคลาวด์ มาจนถึงยุค AI ตอนนี้เจอก็คือ สารพัดมาตรฐานและกฎหมายที่นำมาใช้อ้างอิงการควบคุมความเสี่ยง แต่รู้ไหม มีเช็คลิสต์มาตรฐานที่ได้รับการยอมรับหนึ่งเดียวที่ทำได้ก็ถือว่าครบแทบทุกมาตรฐานเลย ก็คือ Cloud Control Matrix version 4.1 ของ Cloud Security Alliance ที่ขนาดไทยยังให้การยอมรับในประกาศมาตรฐานความปลอดภัยบนคลาวด์แทน ISO ต่างๆ ครับ