Riskanalys informationssäkerhet

För att skapa informationssäkerhet krävs att en riskanalys görs. Syftet i en riskanalys enligt ISO 27001 / ISO 27005 är att är att hitta situationer där informationens konfidentialitet, integritet och tillgänglighet äventyras.

Nästa del är att finna de sårbarheter som finns hos en tillgång, ett hot kan ju inte påverka en tillgång om inte tillgången är sårbar. Att förstå vilka typer av sårbarheter som finns på kritiska tillgångar är ett viktigt steg i riskbedömningen.

Förebyggande åtgärder för att minska risken för exploatering. Förmågan att detektera och svara på incidenter tillåter en organisation att minimera förlusterna i händelse av utnyttjande. Vidare tillhandahåller effektiv detektering och svar avskräckande för exploateringsförsök.

Sårbarheter identifieras t ex med ISO 27100 och 27200 som utgångspunkt för analystrukturen. För varje tillgång identifieras de skyddsåtgärder som finns på plats som skydd mot sårbarheter.

Sårbarheter klassificeras m h a allvarhetsgrad, allvarhetsgraden värderar sårbarhetens exponering av en tillgång:

1. Låg - sårbarhet som ger information om hot som skulle kunna användas för att äventyra en tillgång.
2. Medel - sårbarhet som gör att hot att kompromissa / tillgång till en tillgång.
3. Hög - sårbarhet som gör att hot för att styra / förstöra en tillgång.

Det är viktigt att dokumentera vidtagna skyddsåtgärder, om det finns skyddsåtgärder, dokumentera då sårbarheten både med och utan vidtagna åtgärder.

Hotet nyttjar en sårbarhet hos tillgången. Hot kan vara människor (insiders eller Internetanvändare), teknik (t ex maskar eller trojaner) och händelser (t ex översvämning eller brand). Hoten kan t ex resultera i fysisk förstörelse, utpressning / stöld, förlust av renommé samt brott mot lagar eller avtal.

Analysera för varje tillgång vilka hot som finns. Värdera hotet på  följande sätt:

1. Låg - hotet har minimal kapacitet och motivation att påverka tillgångarna
2. Medium - hot har kapacitet och motivation att försämra tillgången funktion
3. Hög - hotet har kapacitet och motivation för att förstöra / äventyra tillgången

Sedan värderas och prioriteras riskerna, vi sätter färg på incidentscenariot med följande färgpalett:

Första steget i en riskanalys att identifiera tillgångarna som ska skyddas. Det är redan gjort, vi tar en liten repetition: Bilden visar hur ekonomisystemet används och vem som är behörig att se vilken information. Ellipserna är användningsfall som aktörer deltar i, strecket mellan aktören och användningsfallet berättar vad aktören gör.  Ekonomiadministratören hanterar löneutbetalning i lönehantering. Boxarna representerar behandlad information, t ex anställd info. Streckad svarta linje definierar vem informationen rör, anställd info är information om en anställd. De streckade röda linjerna talar om vem som i vilket användningsfall kommer åt vilken information. Ekonomiadministratören kommer vid lönehantering åt anställd info.

Du har nu ett bra underlag för nästa steg som är att identifiera risker. Gör en brainstorm där risker identifieras, använd vanliga postit-lappar IRL eller dokumentera digitalt. Ension gör även detta steg modellbaserat, det ger en god spårbarhet.

Lilla Sjukhuset har vid analys av ekonomisystemet kommit fram till följande resultatet:

Nästa steg är att identifiera riskerna och specificera incidentscenarion, en strukturerad analys av brainstormingen. Detta görs genom att analysera ett scenario åt gången.

Nedan ses Lilla Sjukhuset analys av risken med att lämna en lönelista framme på skrivbordet, man har valt att ta bort all information som inte berör just den här risken och lägga till tidigare gjord mer detaljerad information om personuppgifterna.

Risken är en härledning av postiten "Lönelista på skrivbordet". Tillgången kommer Lilla Sjukhuset fram till vara utskriften av anställdinfo i form av en lönelistan, d v s en delmängd av anställdinfo. Sårbarheten är en exponering av tillgången, d v s en "status" på tillgången, att lönelistan ligger på skrivbordet. Fru Krona konstaterar att det är i processen "översyn av löner" som lönelistan använd, en process som fru Krona är processägare till. När det gäller hotet så är det den anställde som är både hotagent och hotkälla, både den som vill och kan "komma åt" personuppgiften.

Nu har ett incidentscenario identifierats, rensat från informationen som behövdes för analysen ser scenariot ut på detta sätt:

Värdera risken

Personuppgifterna värderas utifrån betydelsen för den registrerades integritet. Värdet av informationen bedöms dels utifrån vilken sorts information som berörs, t ex mailadress, dels ifrån sammanhang personuppgifterna lagras i. Att mailadressen kan knytas till ett visst företag ger ju ytterligare information om personen som kan vara integritetskränkande. Personuppgifterna värderas från 1 till 4 enligt följande:

1. Försumbar - personuppgifterna är av sådan karaktär att en personuppgiftsincident bara kan ha en försumbar effekt den registrerades integritet och det är få personer i registret.
2. Marginell - personuppgifterna kan maximalt skada den personliga integriteten marginellt vid en personuppgiftsincident, du skulle inte gilla om uppgifterna kom ut om dig.
3. Kritisk - personuppgifterna är av stor betydelse för individen, du skulle bli upprörd om denna information om dig spreds till fel personer.
4. Katastrofal - det är personuppgifter definierade som känsliga i GDPR och/eller det är många individer som hanteras i registret.

Lilla Sjukhuset bedömer att den personliga integriteten berörs marginellt om Lönelistan sprids. Tillgångsvärdet blir 2.

Sårbarheten värderas utifrån hur lätt den exponerar en tillgång:

1. Låg - sårbarheten är svårutnyttjad för en hotagent, det är vid få tillfällen den kan utnyttjas och på få ställen.
2. Medel - sårbarhet är går utan problem att utnyttja av en hotagent, sårbarheten exponeras ofta på ett sätt som är lätt för en hotagent att hitta.
3. Hög - sårbarheten innebär att den är mycket lätt att utnyttja för en hotagent, den kan utnyttjas hela tiden och är åtkomlig från många ställen.

Det är viktigt att dokumentera vidtagna skyddsåtgärder, om det finns skyddsåtgärder, dokumentera då sårbarheten både med och utan vidtagna åtgärder.

Vid analysen hos det Lilla sjukhuset visar det sig att fru Krona tycker att lönelistan är ett alldeles utmärkt dokument som innehåller många uppgifter hon använder dagligen, den ligger i mappen "bra&ha" på hennes skrivbord. Exponeringen bedöms till medel, 2

Slutligen skall du bedöma hotet, bestående av en hotagent och en hotkälla. Värdet hotet, hotförmågan, sätts på följande sätt:

1. Låg - hotet har minimal kapacitet och motivation att påverka eller komma åt personuppgifterna, uppgifterna är av föga betydelse för hotkällan och det är svårt att finna en hotagenter
2. Medium - hotet har kapacitet och motivation att påverka eller komma åt personuppgifterna, uppgifterna är av betydelse för hotkällan och det går att finna hotagenter
3. Hög - hotet har kapacitet och motivation att påverka eller komma åt personuppgifterna, uppgifterna är av stor betydelse för hotkällan och det är lätt och billigt att att finna en hotagent

Lilla Sjukhuset bedömer att det är få anställda som skulle rota i fru Kronas papper, men, det alla erkänner att dom innerst inne är intresserade av lönelistan. Hotet värderas till 2.

Nu kommer vi till den punkten där ni är tvungna att nyttja lite matte för att få ett riskvärde, avståndet från origo till en punkt i rymden där origo är (1, 1, 1) och punkten i rymden är (Tillgångsvärde, Exponering, Hotförmåga). Pythagoras sats applicerat två gånger ger följande resultat på svarta tavlan.