RISIKOVURDERING. Jan Fosse Seksjonssjef Avdeling Sikkerhetsstyring NSM NASJONAL SIKKERHETSMYNDIGHET

Transkript

1 RISIKOVURDERING Jan Fosse Seksjonssjef Avdeling Sikkerhetsstyring NSM SLIDE 2

2 INNHOLD Risikovurdering og sikkerhetsstyring Verdivurdering Trusselvurdering Valg av scenarier Sårbarhetsvurdering Sammenstilling av risikobildet SLIDE 3

3 NYE UTFORDRINGER FOR SIKKERHETSARBEIDET Grenser er ikke lenger tydelige «Best practice» gir ikke nødvendigvis rett løsning Prioritering nødvendig Forstå hvilken risiko virksomheten er eksponert for «Business driven security» SLIDE 4

4 SLIDE 5 SIKRE SAMFUNNSVERDIER

5 PRINSIPPER FOR RISIKOSTYRING Fokus er fremover, usikkerhet Basert på best tilgjengelig informasjon Inngår i normal beslutningstaking Del av styringssystemet Kontinuerlig forbedring SLIDE 6 SIKRE SAMFUNNSVERDIER

6 SKYLAGRING AS ET EKSEMPEL Skylagring AS (SLAS) er en bedrift som tilbyr lagring og skytjenester fra norsk anlegg rettet mot offentlige og private kunder. De holder til i leide lokaler i et moderne bygg, sammen med andre leietakere. SLAS har ikke vært så lenge i bransjen og har derfor noe begrenset driftserfaring. Antallet kunder er foreløpig lite, hovedsakelig mindre bedrifter. Ingen av kundene her er underlagt sikkerhetsloven, men de har informasjon som kan ha stor økonomisk verdi. Industrispionasje er derfor en reell trussel. SLIDE 7

7 VERDIVURDERING Sikkerhet bygger på at du har noe av verdi som må beskyttes. Verdiene kan være prosesser, informasjon eller fysiske objekter. Disse igjen har understøttende verdier. Konsekvensskjema som kan hjelpe oss å prioritere verdiene. SLIDE 8

8 VERDIVURDERING EKSEMPEL Kunders egne data Data-administrasjon og support Konsulenttjenester Denne verdien vurderes som «svært høy» Denne verdien vurderes som «middels» Denne verdien vurderes som «lav» De understøttende verdiene er datahallen, serverpark, programvare og kommunikasjonsutstyr. De understøttende verdier er webserver, programvare og kommunikasjonsutstyr. De understøttende verdier er kompetanse og kontor-infrastruktur. SLIDE 9

9 TRUSSELVURDERING Når verdiene er kategorisert, er det nødvendig å vurdere hva som kan true disse verdiene. En trusselvurdering skal beskrive eventuelle trusselaktører, og deres vilje og evne til å skade verdiene. I noen sammenhenger naturlig å ta med andre typer uønskede hendelser. SLIDE 10

10 TRUSSELVURDERING EKSEMPEL SLAS har identifisert følgende trusselaktører Identifisere trusselaktører (steg 3b) Relevante trusselaktør Trusselkategori Intensjon Kapasitet Aktører med økonomiske motiv Industrispionasje Høy Høy Aktører med tekniske motiv Sabotasje Middels Høy Egne ansatte, utro tjenere alle Lav Høy Andre trusler Tap av tilgjengelighet Ingen Høy «Andre trusler» er i vårt eksempel er brann, utfall av telekommunikasjon eller kraft. SLIDE 11

11 VALG AV SCENARIER Et scenario beskriver hvordan verdiene kan angripes av trusler, uavhengig av hvor god sikringen er. En svakhet ved å bruke scenarier er selvfølgelig at det er ganske sikkert at det er andre hendelser som inntreffer. Det er derfor viktig at denne prosessen er god, at de rette deltagerne er med og at de får frem de mest nyttige scenariene. SLIDE 12

12 VALG AV SCENARIER EKSEMPEL Kriminelt nettverk bryter seg inn og stjeler kundedata. System blir også utilgjengelig. Angrep som stopper tjenesten begrenset varighet i tid. System blir utilgjengelig. Hærverk på teknisk infrastruktur / kriminell handling gir driftsstans. Brann i datahall eller andre deler av bygget gjør anlegget utilgjengelig i lang tid. Gravemaskin kutter kabler, som fører til utfall av kraft eller telekommunikasjon, som gir driftsstans. SLIDE 13

13 SÅRBARHETSVURDERING Størst påvirkning på egen risiko ved å redusere sine sårbarheter. Sårbarheter - scenarie - sikringstiltak - trussel - verdi Også andre sårbarheter Sikringstiltak som vurderes kan deles inn i tre grupper Teknologiske Organisatoriske Menneskelige SLIDE 14

14 SÅRBARHETSVURDERING EKSEMPEL 1 DATAINNBRUDD God IT sikkerhetsarkitektur i produksjonsmiljøet, men alt er ikke innarbeidet Operatørtrening varierende på grunn av vekst Begrenset driftserfaring i miljøet. Arbeider etter ISO Innleide ikke i kompetanseprogram Vurdering : Sårbarheten for dette scenariet er høy. SLIDE 15

15 SÅRBARHETSVURDERING EKSEMPEL 2 FYSISK SKADE UTSTYR Moderne kontorbygg med god infrastruktur Adgangskontrollanlegg Alarm koblet til bemannet vaktsentral, vil raskt oppdage Er i leide lokaler, mange slags virksomheter i bygget Har gjennomført kurs i sikkerhet, men ikke alle innleide Byggearbeider pågår i andre deler av bygget Mange ukjente i andre virksomheter Vurdering : Sårbarheten for dette scenariet er middels. SLIDE 16

16 SÅRBARHETSVURDERING EKSEMPEL 3 KRAFT OG TELE Har UPS anlegg i egne lokaler, begrenset driftstid. Systemovervåking gir alarm ved strømbrudd eller telebrudd Mye anleggsarbeid i nærheten Er i leide lokaler med huseier sikkerhetssystem i et kontorfellesskap Varierende kompetanse på opptreden ved strømbrudd eller telebrudd Vurdering : Sårbarheten for dette scenariet er høy. SLIDE 17

17 SAMMENSTILLING AV RISIKOBILDET Nå har vi vurdert verdier, trusler og sårbarheter, og det er satt i sammenheng gjennom et utvalg scenarier, hendelsesbeskrivelser. Ved å basere risikovurdering på verdier, trusler og sårbarheter er det lett å koble dette til sikkerhetsstyringen, fordi man bruker de samme begrepene man er vant til i sikkerhetsarbeidet. SLIDE 18

18 SAMMENSTILLING AV RISIKOBILDET EKSEMPEL Scenarie 1 Kriminelt nettverk bryter seg inn og tar informasjon og derved tvinger nedstenging 2 Angrep som rammer tilgjengelighet i en tidsavgrenset periode Lav risiko Middels risiko Høy risiko Svært høy risiko Verdi Trussel Sårbarhet X Svært Høy Høy høy X Høy Høy Høy 3 Hærverk på teknisk infrastruktur / kriminell handling X Høy Lav Middels 4 Brann i datahall eller andre deler av bygget som ødelegger nettverk og utstyr, og gjør anlegget utilgjengelig i lang tid 5 Utfall av kraft eller telekommunikasjon som gir driftsavbrudd mer enn 1 time X Svært høy Lav Lav X Høy Høy Høy SLIDE 19

19 STRATEGIER FOR BEHANDLING AV HVER RISIKO SLIDE 20 unngås

20 RISIKOTREKANTEN Verdi Risiko Trussel Sårbarhet SLIDE 21