Riskanalysen är att hitta incidenter innan de inträffar, analysera risker, dess sannolikhet och konsekvens.
Syftet med riskanalys är att förhindra risken att system av människor och teknik inte fungerar som avsätt. Om systemet fallerar ska det fallera predikterbart och säkert.
En organisation ska fungera enligt affärsmodellen. Affärsmodellen innehåller organisation, kunder och partners. Den beskriver med tjänster hur värden skapas. Affärsmodellen med legal och teknisk kontext används för att identifiera skador kan uppstå på organisationen.
Syftet med NIS2 är att vidta åtgärder för att uppnå en hög gemensam cybersäkerhetsnivå, i syfte att förbättra den inre marknadens funktion. "Safety" och "security".
Safety (säkerhet) handlar om att skydda mot oavsiktliga händelser, olyckor eller fel. Fokus ligger på att minimera risker som kan leda till skada.
Security (säkerhetsskydd) handlar om att skydda mot inre och yttre hot. Fokus ligger på att förhindra att någon eller något medvetet eller omedvetet orsakar skada.
Preliminära riskanalysen gjordes baserat på affärsmodell och processer. Nu har du i definierat funktionell och logisk arkitektur. Baserat på dessa görs en riskanalys så du kan definiera säkerhetsfunktioner och säkerhetskrav:
- Hitta arkitekturer för riskanalys
- Identifiera och klassificera tillgångar
- Identifiera och analysera hot
- Sammanställa scenarier ur ett blackboxperspektiv
- Identifiera förlopp som leder till farlig händelser
- Fastställs risknivå och prioritera riskerna.
Du har i den preliminära riskanalysen redan satt bedömningskriterier för riskbedömning. Här bredvid ser du rikbedömningen för exemplet gipsat.nu.
metoden för att prioritera riskerna är en anpassning av "Weighted Shortest Job First" (WSJF) för att prioritera risker. Här kallas den "Weighted Prioritised Risk First".
Nu när du fått bättre systemkunskap kan det vara bra att se över dessa. Tänk på att inte ändra kriterierna för ofta, då blir det svårt att se förändringar över tiden.
Den bedömda säkerhetskritiska processen på applikationsnivå togs fram i den preliminära riskanalysen. Detta baserat på de riker som hittas vid HAZID-analysen.
Vid riskanalys cybersäkerhet av system och organisation är detta grunden för att ta fram säkerhetskritisk funktionell arkitektur och säkerhetskritisk logisk arkitektur.
Processen visar hur den skadade först larmar i sin telefon. Larmet tas sedan om hand av Gipsat.nu som förmedlar körningen till taxibilar. En taxi tar körningen för att sedan plocka upp den skadade och köra till sjukhuset.
I arkitekturarbetet togs baserat på applikations- och verksamhetsprocesserna en funktionell arkitektur fram. På ett liknande sätt har den säkerhetskritiska funktionella arkitekturen nödvändig för att stödja den säkerhetskritiska processen fram.
Det är denna arkitektur som senare i enlighet med ISO 61508 kommer få nödvändiga säkerhetsfunktioner tillagda samt säkerhetskrav och krav på säkerhetsintegritet.
I sista steget ska den säkerhetskritaska logiska arkitekturen tas fram. Även detta gjordes i arkitekturarbetet då baserat på den funkionella arkitekturen. På ett liknande sätt tas den säkerhetskritiska logiska arkitekturen fram ur den säkerhetskritiska funktionella arkitekturen.
För exemplet Gipsat.nu står tranportledningssystemet i centrum. systemet
Det första du gör är att ta reda på vilka data som finns i den logiska arkitekturens objekt.
Skapa dataobjekt för varje information du hittar i den logiska arkitekturens flöden. Beskriv sedan
- Vilka Application Components behöver ha access till dataobjekten. Systemens informationstillgångar.
- Vilka Application Interactions behöver ha access till dataobjekten. Nätverkens informationstillgångar.
På detta sätt har du information i system och nätverk.
Klassificeringen är en bedömning, dokumentera den. Grunden är vilken skada som kan uppstå om uppgifterna röjs, förvanskas eller blir otillgängliga. Tänk på att aggregering och ackumulering i bedömningen.
- Aggregering innebär att det ur de samlade uppgifterna går att härleda ny information.
- Ackumulering är en större samling av många liknande uppgifter, exempelvis ett patientregister.
Klassificeringen görs enligt Cybersäkerhetslagen eller säkerhetspolisens vägledning Informationssäkerhet om ni träffas av säkerhetsskyddslagen.
Informationstillgångarnas skyddsvärde är målet med det här kapitlet.
Arbeta ett delsystem i taget. Bedöm först varje dataobjekts skyddsvärde, gör sedan en sammanvägd bedömning av delsystemets samlade informationsinnehåll, och sätt en klass för delsystemet.
Den sammanvägda bedömningen är sällan ett medelvärde. Ett delsystem som innehåller ett enda känsligt objekt bland tjugo triviala ska klassas efter det känsliga, aggregeringen kan dessutom påverka helheten.
Gå igenom först igenom hoten ovan och försök även hitta andra hot som kan skada dig, dina kunder eller tjänster.
Lägg in hoten som i diagrammet här bredvid. I centrum lägger du din logiska arkitekturen med de data som ditt system hanterar. Det kan vara bra att som här starta med ett diagram.
försök sedan hitta händelsekedjor som hoten kan nyttja.
I den preliminära riskanalysen gjorde du en HAZID-analys när du analyserade verksamheten ur ett sett utifrån. I mallen är erbudandet i mitten med händelserna runt.
Nästa steg var att du analysera din verksamhet utefter systemprocesserna med en HAZOP-analys. Med detta fångade du hur fel i processen kunde skapa faror. I mallen är processen i mitten med händelserna runt.
Sedan kopplades HAZID och HAZOP ihop, HAZIDOZOPA. Slutlgen bedömdes risknivån med riskerna placerade i en riskmatris. efter sannolikhet och konsekvens
Nu ska du skapa scenarier baserat på ditt tidigare arbete. Här kan du använda AI för fantasi och kommunikation:
- Beskriv scenariot som en liten historia.
- Ta beskrivningen och lägg i t ex Gemini och be verktyget att skapa en historia runt din text.
- Använd ett bildgenereringsvektyg för att skapa en bild av din berättelse.
- Använd din textuella beskrivning för att t ex med NotebookLM skapa en podd om scenariot.
4.4. Scenarier för gipsat.nu
En hybridattack sker mot Gipsat.nu, vårdens uber:
- Alla sjukhus ges samma fysiska adress så alla körningar av skadade hamnar på samma sjukhus.
- Planeringssystemet hos sjukhuset som de skadade kommer till är hackat så det är underbemannat
- Kundernas telefoner har en malware så att telefonerna larmar utan att kunden tryckt på knappen.
Resultat: Överbalastat sjukhus och falska vårdkörningar.
Gipsat.nus API-leverantör för vårdinformation, HealthConnect Solutions, drabbas av en attack. Skadlig kod i deras API:er gör att angripare kan få åtkomst till och potentiellt manipulera patient- och transportdata hos Gipsat.nu. Ovanlig API-trafik och prestandaproblem upptäcks, vilket leder till en säkerhetsgranskning som bekräftar komprometteringen hos leverantören.
Gipsat.nu utsätts för en omfattande DDoS-attackför globalt att störa deras verksamhet.
Initialt blev apparna svårtillgängliga. Interna system registrerade extremt hög trafik, en DDoS-attack från ett botnät identifierades. Cyberattacken ledde till att kärnfunktioner slutade fungera under lång tid.
Konsekvenserna var att skadade inte kunde larma och transportas. Driftstoppet hotade patientsäkerhet, orsakade ekonomiska förluster och skadade ryktet.
I diagrammet bredvid har den funktionella arkitekturen satts i cetrum och händelsekedjorna från HAZIDOZOPAN i den preliminära riskanalysen längst ut.
Knyt först den funktionella arkitekturen med händelserna. Det gör du genom att granska relationen mellan den funktionella arkitekturen och processerna i diagrammet
I nästa steg ska du där det saknas koppling mellan händelsekedjor och funktionell arkitektur skapa händelser som knyter befintliga händelsekedjor och funktionell arkitektur
Använd samma mall som i prelimnär rikanalys. Byt kontext genom att placera funktionella arktekturen i cenrum. Lägg till de farliga händelserna från hotanalysen. Analyserar sedan vad du missat i din tidigare riskanalys. Och se till att du fått med dig alla händelser. Använd framtagna scenariena för att få igång hjärnorna.
Ett ytterligare sätt att hitta farliga händelser är att ta beskrivningen av den funktionella arkitekturen och be AI som t ex ChatGPT eller Gemini att hitta farliga händelser.
Dessa händelser kan uppstå i olika delar av systemet:
Platsbestämning:
- Felaktig positionering: Om platsbestämningsfunktionen ger felaktig information om den skadades position kan det leda till att taxin dirigeras till fel plats, vilket orsakar betydande tidsfördröjning.
- Förlorad GPS-signal: Om GPS-signalen tappas och systemet inte har en tillräckligt bra alternativ metod för positionering kan den skadades plats bli okänd.
- Manipulerad position: I ett worst-case scenario skulle en illvillig aktör kunna manipulera positionsdata, vilket leder resurser i fel riktning eller förhindrar att hjälp når den skadade.
Larmhantering:
- Missat larm: Om larmet från den skadade inte tas emot av systemet (på grund av tekniska fel, nätverksproblem etc.) kommer ingen transport att initieras.
- Falsklarm: Även om inte direkt farligt för en specifik skadad, kan ett stort antal falsklarm binda upp resurser och därmed fördröja hjälpen till de som verkligen behöver den.
- Felaktig larmdata: Om viktig information i larmet (t.ex. typ av skada, specifik platsdetalj) går förlorad eller förvrängs kan det påverka hur transportledningen hanterar ärendet.
Transportledning:
- Felaktigt sjukhusval: Om algoritmen för sjukhusvalet är defekt eller baseras på inaktuell data (t.ex. felaktig kölänsinformation) kan den skadade skickas till ett olämpligt sjukhus, vilket kan försämra vårdkvaliteten och öka transporttiden.
- Ingen tillgänglig taxi: I situationer med hög belastning kan det hända att ingen av de närmaste taxibilarna är tillgänglig eller accepterar transportbeställningen inom en kritisk tidsram.
- Felaktig dirigering: Om transportledningen skickar felaktig information till taxin om den skadades plats eller destination.
- Systemfel i transportledning: Om systemet för transportledning kraschar eller får allvarliga fel kan det leda till att inga nya transporter kan organiseras eller att pågående transporter inte kan följas upp korrekt.
TransportAdmin (i Taxibil):
- Missad transportbeställning: Om taxiförarens enhet inte tar emot transportbeställningen på grund av tekniska problem.
- Felaktig acceptans: Om föraren av misstag accepterar fel transport eller om systemet registrerar en felaktig acceptans.
- Navigationsfel: Om integrationen med navigationsfunktionen är bristfällig och felaktiga rutter visas.
- Kommunikationsfel: Om taxiföraren inte kan kommunicera med transportledningen (t.ex. för att rapportera ankomst eller problem).
Navigering (i Taxibil):
- Felaktig rutt: Om navigationssystemet genererar en felaktig eller ineffektiv rutt på grund av kartdatafel eller systembuggar.
- Förlorad navigationssignal: Om GPS-signalen tappas och föraren inte har tillräckligt bra alternativ kan det leda till att de kör vilse.
- Inaktuell kartdata: Om kartdata är gammal kan det leda till att föraren inte kan hitta rätt adress eller att vägar har ändrats.
Vårdstöd:
- Fördröjd informationsöverföring: Om information om den skadade och beräknad ankomsttid inte når sjukhuset i tid kan det försena förberedelserna och därmed vården.
- Felaktig informationsöverföring: Om viktig information förvanskas eller går förlorad under överföringen till sjukhuset kan det leda till felaktiga medicinska beslut.
- Otillgänglighet: Om sjukhusets system för att ta emot information från vårdstödsfunktionen är nere kan det leda till informationsbrist vid ankomst.
Statushantering skadad:
- Felaktig statusuppdatering: Om statusen för den skadade inte uppdateras korrekt kan det leda till förvirring och felaktiga antaganden om hur hjälpen fortskrider.
- Ingen återkoppling till skadad: Om den skadade inte får någon bekräftelse på att larmet mottagits eller att hjälp är på väg kan det öka oron och potentiellt leda till ytterligare (onödiga) larm.
Avrapportering:
- Förlorad rapportdata: Om information som dikteras av taxiföraren går förlorad eller inte kan överföras korrekt till vårdstöd och andra system.
- Felaktig rapportering: Om taxiföraren lämnar felaktig eller ofullständig information i rapporten kan det påverka uppföljningen och analysen av händelsen.
Kommunikation anhörig:
- Ingen eller fördröjd information: Om anhöriga inte får relevant information om transportens förlopp kan det leda till onödig oro och potentiella försök att ingripa som kan störa processen.
- Felaktig information: Om felaktig information om t.ex. ankomsttid eller sjukhus kommuniceras till anhöriga.
Sista steget i riskanalys cybersäkerhet är att lägga in resultatet av riskanalysen av den funktionella arkitekturen i ett diagram med den logiska arkitekturen i mitten.
Du kan nu analysera om det är farliga händelser du saknar eller om det är element i den logiska arkitekturen som missats på något sätt i analysen.
Du har nu ett bra utgångsläge för att sätta säkerhetskrav mot arkitekturen. I mallarna har du ändrat kontexten i centrum. Från affärsmodellens erbjudande, över affärs och systemprocesser till funktionell och logisk arkitektur.
Riskerna är identifierade med händelsekedjan för faliga händelser samt konsekvenserna av detta. Nu ska du för varje risk beskriva allvrlighetskraden av konsekvenserna samt sannolikheten för att risken inträffar.
För varje risk, genomför en grundläggande bedömning för att förstå dess potentiella konsekvenser inom de fyra definierade områdena.
Ett sätt att prioritera riskerna är att anpassa "Weighted Shortest Job First" (WSJF) för att prioritera risker. "Weighted Prioritised Risk First" beskrivs nedan.
Denna sida har finansierats med bidrag från MSB och NCC-SE