Sikkerhet, risikoanalyse og testing: Begrepsmessig avklaring

Transkript

1 Sikkerhet, risikoanalyse og testing: Begrepsmessig avklaring Seminar om risikoanalyse og testing innen sikkerhet Bjørnar Solhaug SINTEF, 11. juni, 2013 Technology for a better society 1

2 Oversikt Risikoanalyse Testing Sikkerhet som kriterium for risikoanalyse og testing Sikkerhet vs. Safety & Security Risikoanalyse og testing mht. sikkerhet Kombinasjon av risikoanalyse og testing Test-drevet risikoanalyse Risiko-drevet testing Oppsummering Videre lesning Technology for a better society 2

3 Risikoanalyse Prosess Establishing the context Communication and consultation Risk assessment Risk identification Risk analysis Risk evaluation Risk treatment Monitoring and review ISO 31000:2009 Technology for a better society 3

4 Risikoanalyse Begreper Vulnerability Party Threat Asset Treatment Unwanted incident Likelihood Consequence Risk Technology for a better society 4

5 Testing Prosess Testing innebærer å kjøre et system (exercising a system) for å verifisere at den oppfyller gitte krav, og for å avdekke feil Systemet er ofte referert til som "system under test" (SUT) Test Planning Test Design & Implementation Test Environment Set-up & Maintenance Test Execution Test Incident Reporting Basert på ISO (Draft) Technology for a better society 5

6 Testing - Begreper Test planning Planlegge hva det skal testes for (e.g. funksjonalitet, sikkerhet, ytelse) og hvilke deler av systemet som skal testes Test design & implementation Utvikle test-caser og test-prosedyrer Test environment set-up and maintenance Etablere og vedlikeholde oppsett og omgivelse for testingen Test execution Gjennomføre test-caser og prosedyrer i den etablerte omgivelsen Test incident reporting Rapportering av identifiserte feil eller hendelser Technology for a better society 6

7 Sikkerhet som kvalitetskriterium Både risikoanalyse og testing kan utføres for ulike formål Hva ønsker vi å avdekke? Hva ønsker vi å oppnå? Hva ønsker vi å forstå bedre? Hva er våre kvalitetskriterier? Sikkerhets-risikoanalyse og sikkerhets-testing Spesialiseringer rettet mot å forstå og forbedre sikkerheten til systemer Spesialiseringen av formålet Risikoanalyse: Hva er våre aktiva og risiko-kriterier? Testing: Hva er vår målsetting (test objectives)? Formålet bestemmes av kvalitetskriteriene Technology for a better society 7

8 Hva betyr "sikkerhet"? Informasjonssikkerhet Safety Fysisk sikkerhet Technology for a better society 8

9 Sikkerhet vs. Safety & Security "Sikkerhet" brukes gjerne i betydningen til både "safety" og "security" Safety: Beskytte systemets omgivelser mot fare (hazard) for liv, helse, eiendom eller miljø Security: Beskytte systemet mot skade påført av trusler gjennom utnyttelse av sårbarheter Information security: Beskyttelse av konfidensialitet, integritet og tilgjengelighet av informasjon På norsk opererer man gjerne tilsvarende begrepsskille mellom sikkerhet og trygghet Sikkerhet = Security Trygghet = Safety For mange systemer (f. eks. kritiske infrastrukturer) er kriterier mht. både sikkerhet og trygghet viktig, i tillegg til flere andre kvalitetskriterier Technology for a better society 9

10 Risikoanalyse og testing mht. sikkerhet Risikoanalyse Testing Risiko-kriterier Test objectives Kvalitetskriterier Sikkerhet Trygghet Cybersikkerhet Informasjonssikkerhet Fysisk sikkerhet Helse Miljø Eiendom Konfidensialitet Integritet Tilgjengelighet Technology for a better society 10

11 Kombinasjon av risikoanalyse og testing Risikoanalyse og testing kan kombineres for gjensidig støtte Testdrevet risikoanalyse Systematisk bruk av testing som en del av risikoanalysen Testingen styres av aktiva og kriterier fra risikoanalysen Risikodrevet testing: Systematisk bruk av risikoanalyse som en del av testingen Risikoanalysen styres av test objectives Technology for a better society 11

12 Testdrevet risikoanalyse Risk analysis Testing Bruk av testing for å støtte risikoidentifikasjon Sårbarheter, trusler, scenarier og uønskede hendelser, Establishing the context Risk identification Testing process Bruk av testing for å validere/korrigere analysen Sårbarheter, sannsynligheter, konsekvenser, Risk estimation Risk evaluation Risk treatment Testing process Technology for a better society 12

13 Risikodrevet testing Testing Test Planning Risk analysis Risikoanalyse for å identifisere hvilke deler av systemet som bør testes Prioriterte risikoer for å optimalisere testdesign Identifisere test-caser Test Design & Implementation Test Environment Set-up & Maintenance Risk analysis Risk analysis Risikoanalyse for å prioritere testcaser Test Execution Test Incident Reporting Technology for a better society 13

14 Oppsummering Aktiva og risikokriterier Establishing the context Kvalitetskriterier Test Test Planning objectives Communication and consultation Risk assessment Risk identification Risk estimation Risk evaluation Risikoer og Risk treatment behandlinger Monitoring and review Responstid Sikkerhet Trygghet Informasjonssikkerhet Tillit Fysisk sikkerhet Konfidensialitet Ytelse Pålitelighet Test Design & Implementation Test Environment Set-up & Maintenance Test Execution Rapportering av feil/hendelser Test Incident Reporting Technology for a better society 14

15 Videre lesning Gencer Erdogan, Yan Li, Ragnhild Kobro Runde, Fredrik Seehusen, Ketil Stølen: Conceptual framework for the DIAMONDS project. Technical report, SINTEF A22798, SINTEF ICT, 2012 International Organization for Standardization: ISO Risk management Principles and guidelines, 2009 International Organization for Standardization / International Electrotechnical Commission: ISO/IEC Information technology Security techniques Information security management systems, 2005 International Organization for Standardization / International Electrotechnical Commission: ISO/IEC Information technology Security techniques Information security risk management, 2011 International Organization for Standardization / International Electrotechnical Commission: ISO/IEC 9126 Software engineering Product quality Part 1-4, International Organization for Standardization / International Electrotechnical Commission / Institute of Electrical and Electronics Engineers: ISO/IEC/IEEE Software and systems engineering Software testing (under development) Technology for a better society 15

16 Relaterte prosjekter Technology for a better society 16