sikkerhetskravspesifikasjon

Sikkerhetskravspesifikasjon er et dokument som beskriver sikkerhetskrav til et system, produkt eller tjeneste. Hovedformålet er å oversette interessenters behov til målbare og verifiserbare krav som beskytter konfidensialitet, integritet og tilgjengelighet, samt andre relevante sikkerhetsmål.

Innholdet i en sikkerhetskravspesifikasjon omfatter ofte funksjonelle krav som autentisering, tilgangskontroll, autorisasjon, logging og overvåking, kryptografi og sikre konfigurasjoner. Den inkluderer også ikke-funksjonelle krav knyttet til sikkerhet, som personvern, motstandsdyktighet, robusthet mot feil og fysisk sikkerhet. Videre beskrives trusselmodell og risikovurdering, samt hvilke kontrolltiltak som skal implementeres. Kravene kobles til relevante standarder, regler og etterlevelsekrav, og det angis hvordan kravene skal testes og verifiseres. Sporbarhet mellom krav, implementering og tester bør dokumenteres.

Prosessen innebærer å utarbeide SRS tidlig i utviklingsløpet og oppdatere den etter behov gjennom prosjektet. Den bygger på trusselmodellering og risikovurdering, og tilpasses i samsvar med prosjektets metodikk, for eksempel i vannfall eller smidige prosesser. SRS brukes som grunnlag for design, implementering og testing, og som dokumentasjon for revisjon og samsvarsvurdering.

Relaterte referanser inkluderer internasjonale og nasjonale standarder som ISO/IEC 27001, 27002 og NIST SP 800-53, samt personvernregelverk som GDPR der det er relevant. Sikkerhetskravspesifikasjonen skal være tydelig, sporbar og verifiserbar for alle interessenter.