Sikkerhedscases

Sikkerhedscases er et struktureret sæt af dokumenter og beviser, der bruges til at dokumentere beslutninger om sikkerhedsforanstaltninger i et system, et projekt eller en organisation. Formålet er at samle trussels- og risikobillede samt de planlagte eller gennemførte sikkerhedsforanstaltninger i én godkendelses- og dokumentationspakke. Sikkerhedscases bruges ofte i offentlige og private sammenhænge til at understøtte investeringer, ledelse og efterlevelse af krav.

Formålet med en sikkerhedscase er at tydeliggøre risici, beskrive afvejninger og argumentere for hvilke tiltag der er nødvendige, og hvorfor de giver tilstrækkelig sikkerhed i forhold til omkostninger og tid. Den henvender sig til beslutningstagere, kunder eller leverandører samt til sikkerheds- og compliancefunktioner.

Typiske elementer i en sikkerhedscase omfatter: formål og omfang, trusselsmodel og risikovurdering, restrisiko, forslag til sikkerhedskontroller og mapping af kontroller til relevante standarder, omkostninger og ressourcer, implementeringsplan og tidslinje samt metoder til verifikation og dokumentation af effekt.

Processen med udarbejdelse af en sikkerhedscase er ofte iterativ og starter tidligt i designfasen eller ved indkøb. Den involverer sikkerhedseksperter, ansvarlige for forretningen og interessenter i ledelsen samt governance- eller styregrupper. Den bør være levende og opdateres i takt med ændringer i trusler eller systemegenskaber og bruges som input til revision og audits.

Sammenlignet med en forretningssag fokuserer sikkerhedscasen på sikkerhedsrelaterede risici og kontroller, og den har tæt forbindelse til privacy impact assessment og sikkerhedsstyring. Den kan også fungere som del af et større sikkerheds- eller sikkerhedsgaranti-rammeværk.