sårbarhetsbedömningar

En sårbarhetsbedömning är en systematisk process för att identifiera, analysera och bedöma sårbarheter i tillgångar, processer eller grupper som kan utsättas för hot. Målet är att förstå riskerna, prioritera åtgärder och minska sannolikheten för eller konsekvenserna av incidenter.

Omfång och tillämpning varierar mellan informationssäkerhet, infrastruktur och samhälls- eller hälsoskydd. Den används av företag, offentliga organ och kritisk infrastruktur för att kartlägga vad som kan gå fel och hur sårbarheter ska hanteras.

Processen följer ofta faser som mål- och omfattningsdefinition, inventering av tillgångar, hot- och sårbarhetsidentifiering, bedömning av sannolikhet och konsekvens, riskvärdering samt planering av åtgärder och uppföljning. Resultatet är en riskbaserad rapport och en åtgärdsplan som anger prioriteringar och ansvar.

Metoder inkluderar tekniska bedömningar som sårbarhetsskanning och penetrationstester, samt manuella granskningar, checklists och användning av riskmatriser. Både kvalitativa och kvantitativa bedömningar kan användas.

Begränsningar inkluderar att bedömningen endast täcker definierat scope, risker kan förändras över tid och att falska positiva eller negativa resultat kan förekomma. Det krävs regelbunden uppföljning och kontinuerlig förbättring.

Se även: riskhantering, cybersäkerhet, ISO/IEC 27001, NIST CSF, sårbarhetshantering.