forelesning 13

1. 31.03.2003 Hi� forelesning 13 1 Forelesning 13 Risikoanalyser

2. 31.03.2003 Hi� forelesning 13 2

3. 31.03.2003 Hi� forelesning 13 3 Lover og forskrifter Personopplysningsloven Datatilsynet kan gi p�legg om sikring av personopplysninger og herunder fastlegge kriterier for akseptabel risiko forbundet med behandlingen av personopplysninger. Personopplysningsforskriften Forskriften p�legger at det skal gjennomf�res risikovurdering(er), og at sikkerhetstiltak skal innf�res for � h�ndtere risiko. Beskyttelsesinstruksen Tempestrisikovurdering (n�r p�krevd) Helseregisterloven krav om � gjennomf�re risikovurdering som grunnlag for � avklare behov for tiltak, og videre at det m� etableres et styringssystem for informasjonssikkerhetsarbeidet Beredskapsforskriften for kraftforsyningen Det gis rom for � oppfylle funksjonskravene p� m�ter enhetene selv mener er mest effektivt, basert p� gjennomf�rte s�rbarhets- og risikoanalyser. plikter eieren av anlegget � utf�re n�dvendige risiko- og s�rbarhetsanalyser og gjennomf�re aktuelle mottiltak og klargj�re beredskap for � h�ndtere ekstraordin�re situasjoner. Lov om Schengen informasjonssystem (SIS-loven) krav om � gjennomf�re risikovurdering som grunnlag for � avklare behov for tiltak, og videre at det m� etableres et styringssystem for informasjonssikkerhetsarbeidet. SIS-forskriften Forskriften p�legger at det skal gjennomf�res risikovurdering(er) og at sikkerhetstiltak skal innf�res for � h�ndtere risiko. Det er mange lover og forskrifter som krever at det utarbeides risikoanalyse i HMS sammenheng, men i forbindelse med �security� er det Datatilsynets forskrift til personopplysningsloven som kan ha relevans for de fleste. I spesielle tilfeller, for virksomheter som har leveranser til offentlige virksomheter, kan sikkerhetsloven med forskrifter v�re aktuell. I lover og forskrifter i �security� sammenheng ser det ut til at �risikovurdering� benyttes i stedet for �risikoanalyse�. Datatilsynet skriver i forskriften: Begrepet �risikovurdering� er valgt i stedet for den mer formelle betegnelsen �risikoanalyse�. Dette for � signalisere at arbeidet med � avdekke risiko ikke b�r v�re mer omfattende eller formalisert enn strengt tatt n�dvendig. Begrepet �risikovurdering� er ogs� valgt i stedet for �s�rbarhetsanalyse� som normalt benyttes kun til � beskrive vurdering av motstandsdyktighet mot u�nskede hendelser. Det er mange lover og forskrifter som krever at det utarbeides risikoanalyse i HMS sammenheng, men i forbindelse med �security� er det Datatilsynets forskrift til personopplysningsloven som kan ha relevans for de fleste. I spesielle tilfeller, for virksomheter som har leveranser til offentlige virksomheter, kan sikkerhetsloven med forskrifter v�re aktuell. I lover og forskrifter i �security� sammenheng ser det ut til at �risikovurdering� benyttes i stedet for �risikoanalyse�. Datatilsynet skriver i forskriften: Begrepet �risikovurdering� er valgt i stedet for den mer formelle betegnelsen �risikoanalyse�. Dette for � signalisere at arbeidet med � avdekke risiko ikke b�r v�re mer omfattende eller formalisert enn strengt tatt n�dvendig. Begrepet �risikovurdering� er ogs� valgt i stedet for �s�rbarhetsanalyse� som normalt benyttes kun til � beskrive vurdering av motstandsdyktighet mot u�nskede hendelser.

4. 31.03.2003 Hi� forelesning 13 4 Risiko og sikkerhet Risiko kan uttrykke Mulighet for gevinst � p� Lotto, b�rs osv., ogs� kalt spekulativ risiko; Mulighet for tap (av verdier, helse, liv, ..); Vi skal kun befatte oss med muligheten for tap. En u�nsket hendelse er en hendelse eller tilstand som kan medf�re skade p� mennesker, milj� og materielle verdier. Risikobegrepet uttrykker en antagelse om hvor stor sannsynlighet det er for at en u�nsket hendelse skal inntreffe og skadens st�rrelse eller omfang.

5. 31.03.2003 Hi� forelesning 13 5 Risiko = Sannsynlighet * Konsekvens

6. 31.03.2003 Hi� forelesning 13 6 Risikoanalyse Systematisk fremgangsm�te for � beskrive og beregne risiko. Hensikt Gi en oversikt over de farer som eksisterer (trusselidentifikasjon); Gi retningslinjer for prioritering av risikoreduserende tiltak som � unng� skade (redusere sannsynligheten eller muligheten for); redusere omfanget av en allerede p�f�rt skade (konsekvensreduksjon); V�re et verkt�y som hjelper en � avgj�re n�r sikkerheten er �god nok�;

7. 31.03.2003 Hi� forelesning 13 7 Modell

8. 31.03.2003 Hi� forelesning 13 8 Risikoanalyseprosessen Risikoanalysen kan omfatte: * Identifikasjon/avgrensning av �det� som skal analyseres; * Fastleggelse av trusler, risikoer, bekymringer man har i forhold til det som skal analyseres; * Analyse av eksisterende sikringstiltak; * Prioritering av risikoer eller fastleggelse av s�rbarhet for de trusler man kan utsettes for; * Forslag til iverksettelse av tiltak for � redusere risiko, �ke motstandsdyktighet eller evt. akseptere risiko; * Forslag til metoder for � overv�ke og ansl� kontrollmekanismenes effektivitet. Risikoanalysen kan omfatte: * Identifikasjon/avgrensning av �det� som skal analyseres; * Fastleggelse av trusler, risikoer, bekymringer man har i forhold til det som skal analyseres; * Analyse av eksisterende sikringstiltak; * Prioritering av risikoer eller fastleggelse av s�rbarhet for de trusler man kan utsettes for; * Forslag til iverksettelse av tiltak for � redusere risiko, �ke motstandsdyktighet eller evt. akseptere risiko; * Forslag til metoder for � overv�ke og ansl� kontrollmekanismenes effektivitet.

9. 31.03.2003 Hi� forelesning 13 9 Risikomatrise

10. 31.03.2003 Hi� forelesning 13 10 Hvordan ? Ad hoc, ryggmargsf�lelsen Sjekklister (finnes div. verkt�y) Kvalitative analyser Kvantitative analyser

11. 31.03.2003 Hi� forelesning 13 11 ObjektbeskrivelseHva skal analyseres (avgrensning) Div. verkt�y (ISAP oa.) Innbyr til stor detaljgrad Liten hjelp til analytisk nedbryting �Analytisk� Starte analysen p� et overordnet og grovt niv� Benytte standard tegneverkt�y Metode som ved utvikling

12. 31.03.2003 Hi� forelesning 13 12 Trusselidentifikasjon Sjekklistebasert (n�r listene blir lange....) Hazid (Hazard Identification), Strukturert idedugnad

13. 31.03.2003 Hi� forelesning 13 13 Hazop-skjema

14. 31.03.2003 Hi� forelesning 13 14 Fordeler ved � starte �overordnet� Lavere kompleksitet i f�rste analyse, uten at viktige aspekter blir utelatt; Analyse p� detaljniv� blir m�lrettet og mer effektiv; Rask etablering av et �trusselbilde�; Godt tilpasset utviklingsprosjekter; Hendelseskjedene gir grunnlag for � velge de mest effektive tiltakene.

15. 31.03.2003 Hi� forelesning 13 15 KontekstHva omfattes av analysenHva er grensesnittene mot omgivelsene

16. 31.03.2003 Hi� forelesning 13 16 CIA Hazop Bevisst avsl�ring av tjenesteleveranser, status, autentiseringsinfo, fakturagrunnlag, statistikk Bevisst manipulasjon av tjenesteleveranser, status, autentiseringsinfo, fakturagrunnlag, statistikk Bevisst forhindring av tjenesteleveranser, status, autentiseringsinfo, fakturagrunnlag, statistikk Ved � starte med fokus p� sluttkonsekvenser, kan man begrense detaljanalyser til essensielle omr�der og sikre best det man er mest avhengig av (risikostyring)

17. 31.03.2003 Hi� forelesning 13 17 Sluttkonsekvenser

18. 31.03.2003 Hi� forelesning 13 18 Arkitekturbeskrivelse som grunnlag for �rsaksanalyse

19. 31.03.2003 Hi� forelesning 13 19 �rsaksanalyse

20. 31.03.2003 Hi� forelesning 13 20 �rsaksanalyse forts.

21. 31.03.2003 Hi� forelesning 13 21 Hendelseskjeder

22. 31.03.2003 Hi� forelesning 13 22 Risiko Hvor sannsynlig er det at trusselen manifesteres? Forsikringsselskapene samler statistikk innenfor sine omr�der. Brukes for � beregne premier. D�rlig med tilgjengelig og egnet statistikk for datasikkerhetsbrudd Hvor store vil i s� fall konsekvensene v�re? Tall for gjenanskaffelse av utstyr finnes; Tap som f�lge av stans i tjeneste kan ansl�s; Tap som f�lge av omd�mmetap vanskelig � beregne; Tapt tilgjengelighet lettere � beregne enn avsl�ring og manipulasjon.

23. 31.03.2003 Hi� forelesning 13 23 Risikomatrise � resultat av kvalitativ analyse

24. 31.03.2003 Hi� forelesning 13 24 Kvalitative analyse Fordeler Enkle beregninger (om beregninger i det hele tatt) Ikke p�krevet � fastsette kroneverdier Ikke p�krevet � kvantifisere trusselfrekvenser Enkelt � involvere �ikke-kvalifisert� personale Gjennomf�ring og rapportering kan gj�res fleksibelt Ulemper Den subjektive natur iom. mangel p� objektive m�linger og redskaper for � utf�re slike m�linger Resultatene hviler fullsetndig p� kvaliteten i gruppen som gjennomf�rer analysen D�rlig grunnlag for kost-/nytteanalyser av tiltak

25. 31.03.2003 Hi� forelesning 13 25 Sjekklister (1) Kan kontrollere tilstedev�relsen av �noe�. fysiske enheter, mekanismer, organisasjonselementer, rutiner osv. Viktighet av det enkelte element kan vektes/gis poeng og s�rbarhet kan tolkes ut av h�ye/lave poengsummer. Manglende hindringer eller barrierer gir h�y s�rbarhet. Man kan velge � avlede h�y sannsynlighet fra h�y s�rbarhet; Manglende beredskapsplaner/�velser/avtaler medf�rer st�rre konsekvenser dersom noe skjer. Sjekklister er best n�r de er tilpasset den enkelte virksomhet. Til en viss grad m� det kunne lages bransjel�sninger og l�sninger for omr�der (enkelte aktiviteter/systemer innenfor bedriften) som er felles for flere.

26. 31.03.2003 Hi� forelesning 13 26 Sjekkliste � et eksempel

27. 31.03.2003 Hi� forelesning 13 27 Sjekkliste - verdiskala

28. 31.03.2003 Hi� forelesning 13 28 Sjekklister (2) Fordeler Tar relativt kort tid � gjennomf�re (er billig); Kan involvere mange ved f.eks. Sp�rreskjemaer (papir eller p� nett); Man slipper kompliserte og �dyre� analyser; Minimumskrav / sikkerhetsprofil � det er mulig � m�le/kontrollere virksomhetens sikringsniv� opp mot egne minimumskrav, bransjekrav, myndighetskrav el. Forskjellige deler av en virksomhet kan sammenliknes; Kan raskt finne svakheter � og gj�re noe med dem; Summerer opp erfaringene til flere. Data fra forskjellige deler av egen virksomhet og p� tvers av flere virksomheter kan gj�res sammenliknbare; Ulemper Forutsetter at �One size fits all� mellom enheter innenfor en virksomhet og mellom virksomheter; Kan risikere � sette inn beskyttelse p� �feil sted�; Kan risikere � sette inn for mye eller for lite sikring i forhold til virksomhetens �egentlige� behov. Sjekklister er i st�rre grad et verkt�y for revisjon og oppf�lging enn for risikoanalyser Lokale tilpasninger i en sjekkliste/revisjonsverkt�y kan med fordel gj�res etter en forutg�ende risikoanalyse.

29. 31.03.2003 Hi� forelesning 13 29 Kvantitative analyser Fordeler Baseres p� objektive m�linger Kost-/nyttebetraktninger er essensielle Resultatene kan uttrykkes i et ledelsesspesifikt spr�k (kroner, prosenter, sannsynligheter) Ulemper Beregningene kan v�re komplekse Betydelig forarbeide med innsamling og validering av �m�ledata�

30. 31.03.2003 Hi� forelesning 13 30 Kvantitative analyser - variant Baseres p� Bayesisk eller Subjektivistisk statistikk Man blander ny subjektiv informasjon med kjent objektiv informasjon Baserer vurderinger Mindre p� historiske data Og mer p� subjektive vurderinger om fremtidige aktiviteter og hendelser basert p� erfaring, innsikt og magef�lelse Benyttet bl.a. ved at man i en analyse av GSM-nettet blandet Objektive data om trafikkmengde gjennom et punkt Med subjektive data om forventet tid til hendelse og antatt reetableringstid.