sårbarhetsanalyse

Sårbarhetsanalys är en systematisk process för att identifiera, bedöma och hantera sårbarheter i informationsteknik, verksamhetsprocesser och infrastruktur i syfte att reducera risker för organisationen. Den används inom informationssäkerhet, driftsteknik och fysisk säkerhet och kan omfatta IT-system, nätverk, programvara, processer och styrdokument.

Processen innefattar vanligen att kartlägga tillgångar och deras värde, analysera hotbilden, identifiera sårbarheter och bedöma sannolikhet och konsekvens av varje sårbarhet. Därefter görs en prioritering av åtgärder, uppföljning planeras och ett riskregister upprättas. Målet är att skapa en kostnadseffektiv plan som minskar risker till en acceptabel nivå.

Metoder som ofta används i sårbarhetsanalys är sårbarhetsskanning, penetrationstest, kodgranskning, konfigurationsgranskning och kontroll av efterlevnad mot interna policys och externa standarder. Threat modeling och kvantifiering av risker med hjälp av riskmatriser kan underlätta kommunikation till ledning och beslutstagen.

Utdata från analysen är vanligtvis en handlingsplan med tydliga ansvariga, tidsramar och uppföljning, samt kontinuerlig övervakning och revidering av åtgärder. En sårbarhetsanalys ses ofta som en del av ett bredare riskhanteringsarbete och kräver regelbunden uppdatering i takt med teknikens utveckling och förändringar i verksamheten. Begränsningar inkluderar möjliga falska positiva eller negativa resultat, kostnader och behov av korrekt avgränsning av scope. Relaterade standarder och ramverk, som ISO/IEC 27001 och 27005, kan användas som stöd.