säkerhetsevaluering

Säkerhetsevaluering är en systematisk process för att bedöma och förbättra säkerheten i en organisation eller ett IT-system. Den fokuserar på skydd av information, integritet, konfidentialitet och tillgänglighet, samt mot hot som obehörig åtkomst, manipulation eller störningar. Målet är att identifiera sårbarheter och bedöma risker samt ge underlag för beslut om åtgärder.

Omfången varierar men innefattar ofta riskbedömning, sårbarhetsbedömning, tester och granskningar, samt överensstämmelse med lagar och standarder.

Processen består av planering, insamling av information, kartläggning av kritiska tillgångar, identifikation av hot, sårbarheter och befintliga kontroller, riskvärdering, föreslagna åtgärder och uppföljning.

Metoder inkluderar kvalitativ och kvantitativ riskbedömning, hotmodellering, sårbarhetsskanning, penetrationstester och kontrollkartläggningar. Ramverk som ISO/IEC 27001 och 27005, samt NIST SP 800-30, används ofta som referens. Output kan vara ett riskregister och prioriterade åtgärdsplaner. Säkerhetsevaluering är ofta en del av riskhantering och säkerhetsstyrning inom företag och offentlig sektor.