RISIKOANALYSE- METODER FOR TILSIKTEDE HANDLINGER

Transkript

1 RISIKOANALYSE- METODER FOR TILSIKTEDE HANDLINGER Oblt. Leif D. Riis Avdelingssjef, Analyse og sikring Maren Maal Forsker, Forsvarets forskningsinstitutt NKSB-konferansen, oktober 2016

2 Innhold Bakgrunnen for arbeidet med metode for risikoanalyse Anbefalinger fra FFI-rapporten NKSBs arbeid i etterkant av rapporten FFIs arbeid i etterkant av rapporten Ved FFI-forsker Maren Maal NASJONALT KOMPETANSESENTER FOR SIKRING AV BYGG

3 Bakgrunn Norsk Standard 5814:2008 «Krav til risikovurderinger» Norsk Standard 5832:2014 «Krav til sikringsrisikoanalyse»

4 Oppdrag til FFI Vurdere de to tilnærmingene Gi oversikt over ulike tilnærminger innen security Nasjonalt og internasjonalt Finnes det en «beste fremgangsmåte»? Gi anbefaling om det er tilnærminger vi bør vurdere å bruke, eller momenter som bør tas inn i de eksisterende modellene for å forbedre disse

5 FFI-rapporten

6

7 Konklusjoner fra rapporten FFI fant ikke noen «beste fremgangsmåte» for security Anbefaler ikke den ene tilnærmingen over den andre Kunnskap og metodeforståelse er viktigere enn hvilken tilnærming vi bruker Sannsynlighet spiller ulik rolle i tilnærmingene Direkte i NS5814 Indirekte i NS5832 NS5814 har bredere og mer omfattende vitenskapelig forankring enn NS5832 Begge tilnærminger har utfordringer tilknyttet til kommunikasjon av risiko og usikkerhet

8 Anbefalinger NKSB har tatt med seg videre Strukturert tilnærming med vekt på prosessen, uansett hvilken tilnærming vi bruker Arbeidsgruppens sammensetning og kunnskap Forstå organisasjonen, deltagelse fra virksomheten Kommunisere risiko og usikkerhet i analysen Godt dokumentert, være gjennomsiktig, sporbar og etterprøvbar

9 Utfordringer Presentasjon av risiko Kommunikasjon av usikkerhet Verdi Forståelsen av kunnskapsbasert sannsynlighet Trussel Total risiko Sårbarhet Involvering av ledelsen sikringsmål og risikoaksept

10 Erfaringer Benytter standard, men ikke innsikt i metodene som ligger til grunn for risikoanalyser Ofte preget av tabeller og skjemaer, heller enn vurderinger En analyse må som et minimum inneholde: Vurdering av kontekst/setting, objektkartlegging, verdivurdering Trusselvurdering Sårbarhetsvurdering Risikovurdering Anbefalinger om risikoreduserende tiltak som omfatter mer enn bare bygg dublering, redundans, organisatoriske tiltak Behov for kompetanse innen risikoanalysemetodikk og risikoreduserende tiltak

11 Maren Maal, Forsker ved FFI FFIs arbeid i etterkant av rapporten

12

13 FFIs arbeid i etterkant av rapporten Hva har skjedd etter rapporten ble publisert? Erfaringer knyttet til å utføre risikovurderinger i praksis Læringspunkter og veien videre

14 Foredrag og konferanser 15 foredrag hos sivile aktører, deltatt på 3 konferanser

15 European Safety and Reliability (ESREL) - konferansen ESREL-artikkel og tilbakemeldinger Probability and likelihood (judgemental probability and frequence based probability) Funnene i rapporten har nå fått internasjonal spredning Flere i de norske miljøene som har referert til rapporten

16 Tilbakemeldinger «Rapporten har skapt bølger» «Rapporten og alle intervjuene har klargjort de ulike perspektivene i debatten, noe som har gjort at det har blitt mindre harde fronter» «Diskusjonen om ulike typer sannsynlighet var nyttig, her var det mange misforståelser» «Jeg synes sannsynlighetsdiskusjonen er meningsløs, det er bare akademikere som bryr seg om det»

17 «Hva ligger egentlig i begrepet kunnskapsbaserte sannsynligheter? Forstår folk flest dette begrepet? Er ikke frekvensbaserte sannsynligheter bygget på kunnskap?» «Funnene var interessante, men Terje Aven og UiS skrev om dette allerede i 2008» «Vi slipper å tolke de ulike uttalelsene, vi kan bare se på sammendragene av intervjuene i rapporten og der står det på svart på hvitt hvorfor folk mener det de mener» «Som do er synes jeg at funnene fra rapporten har gjort det enklere å forklare hvorfor man velger å gjennomføre risikovurderinger på en gitt måte. Det er mer rom for å velge ulike tilnærminger»

18 Risikovurderinger fra teori til praksis Lettere i teorien enn i praksis I oppdragene NKSB og FFI har utført var det nødvendig å tilpasse metoden til analysens formål og analyseobjektet Erfaringer fra Centre for the Protection of National infrastructure (CPNI) var nyttige

19 Anbefalinger og erfaringer knyttet til praksis Kunnskapsstyrke og viktigheten av å ha med de rette personene i arbeidsgruppen Kjennskap til systemet/konteksten Kjennskap til risikovurderingsmetoden Risikoforståelse og kjenner til trusselbildet Positive erfaringer og utfordringer Det er nødvendig å ha med folk som jobber med «verdien» Myter og behovet for personer som kjenner til ulike typer trusler (spesielt når det gjelder cybertrusler)

20 Gjennomføre risikovurderinger i praksis Risikovurderinger skjer ikke i et vakuum Ledelsen, oppdragsgivere kan ofte prøve å legge føringer på resultatet Hvordan håndtere dette på en best mulig måte? Hvordan skape eierskap til produktet og at det blir forankret i virksomheten? Tett opp mot ledelsen/oppdragsgivere Klar rollefordeling

21 Veien videre Viktig å fokusere på konteksten der risikovurderingen finner sted Videre forskning og samarbeid med utvalgte virksomheter Sikkerhetstruende hendelser i utvalgte virksomheter Se håndteringen opp mot risikovurderinger som ble utført i virksomheten før hendelsen fant sted. «Risikovurderinger for tilsiktede uønskede handlinger Fra teori til praksis» Kartlegge hva som skjer før og etter man har gjennomført en risikovurdering Hva slags rolle spilte risikovurderingen i en sikkerhetstruende hendelse? I hvilken grad kan tilnærmingen til risikovurdering sies å være i tråd med kjennetegnene på en god tilnærming identifisert i rapporten vår?

22 Odd Busmundrud, Maren Maal, Jo Hagness Kiran og Monica Endregard (2015). Tilnærminger til risikovurderinger for tilsiktede uønskede handlinger. FFI-rapport 2015/ Norwegian Defence Research Establishment. Spørsmål eller kommentarer? Send mail til