sårbarhetsanalys

En sårbarhetsanalys är en systematisk process för att identifiera, bedöma och prioritera sårbarheter i informationstekniska system, processer eller organisationsstrukturer som kan utnyttjas av hot. Syftet är att förstå riskerna, stödja beslutsfattande och förebygga skador genom lämpliga åtgärder. Analysen används inom både informationssäkerhet och fysisk säkerhet och kan omfatta tekniska miljöer, processflöden och mänskliga faktorer.

Inom IT-säkerhet innefattar processen att hitta sårbarheter i nätverk, system och applikationer samt i konfigurationer. Metoder inkluderar sårbarhetsskanning, konfigurationsgranskning, kodgranskning och hotmodellering. Utdata är vanligtvis en riskbaserad lista med sårbarheter, deras sannolikhet, konsekvens och konkreta åtgärdsrekommendationer.

Processen brukar följa steg som definiera scope och tillgångar, identifiera hot och sårbarheter, bedöma riskerna, prioritera åtgärder och följa upp genom att implementera åtgärder och verifiera effekter. Vanliga ramverk som nämns i samband med sårbarhetsanalys är ISO/IEC 27001, NIST Cybersecurity Framework och COBIT, även riktlinjer för riskvärdering.

Användningen av sårbarhetsanalys bör begränsas till tydligt avgränsade scopes och upprepas regelbundet för att hantera förändringar. Vanliga begränsningar inkluderar falska positiva eller negativa resultat, resursbehov och att åtgärder kan påverka drift eller användarupplevelse. Resultatet används som beslutsunderlag för åtgärdsplaner, budget, compliance och riskkommunikation.

Roller och kompetenser inkluderar säkerhetsspecialister, systemägare, riskansvariga och externa leverantörer. En effektiv sårbarhetsanalys kräver politiska stöd, tydliga ansvarsfördelningar och dokumentation så att åtgärder följs upp och verifieras.