säkerhetsanalyser

Säkerhetsanalyser är processer och metoder som används för att bedöma och stärka säkerheten i system, nätverk, organisationer och infrastruktur. Målet är att identifiera hot och sårbarheter, bedöma risker och föreslå åtgärder som minskar sannolikheten för intrång, skada eller avbrott samt ökar förmågan att återhämta sig. Analysen kan omfatta informationssäkerhet, fysisk säkerhet och säkerhet inom industriella och kritiska miljöer och används i både offentlig och privat sektor.

Metodmässigt genomförs säkerhetsanalyser ofta i olika faser av livscykeln, från kravställning till design, implementering och drift. Vanliga inslag är riskbedömningar, hotmodellering, sårbarhetsbedömningar, penetrationstestning och arkitekturgranskningar samt formulering av säkerhetskrav. Ramverk och standarder som ofta används som stöd inkluderar ISO/IEC 27001, NIST SP 800-53 och olika delar av IEC 61508/61511 beroende på domän.

Resultatet av en säkerhetsanalys är vanligtvis ett riskregister, en uppsättning säkerhetskrav och en åtgärdsplan med prioriteringar. Analysen ska vara kostnadseffektiv och affärsrelevant och ta hänsyn till hur säkerhetsåtgärder påverkar funktionalitet och användbarhet. Kompetenser som behövs inkluderar säkerhetsexperter, riskanalytiker och system- och programvaruarkitekter. Långsiktig uppföljning och revision ingår för att verifiera att åtgärderna fungerar i praktiken.