sårbarhetsvurdering

Sårbarhetsvurdering er en systematisk prosess for å identifisere, analysere og prioritere svakheter i eiendeler, prosesser og kontroller som kan utnyttes av trusler. Innen informasjons- og cybersikkerhet er den et sentralt ledd i sårbarhetsstyring og risikostyring, men den kan også anvendes på fysiske sikkerhetsforhold, infrastruktur og driftsrisiko. Målet er å redusere risiko ved å avdekke svake punkter og å foreslå tiltak som hindrer eller begrenser konsekvensene ved utnyttelse.

En sårbarhetsvurdering består vanligvis av avgrensing av omfang og inventar av kritiske eiendeler, identifikasjon av trusler og sårbarheter, samt vurdering av sannsynlighet og konsekvens ved utnyttelse. Dette skjer ofte gjennom en kombinasjon av automatiserte skanninger, konfigurasjonssjekk, testing og manuelle vurderinger. Resultatet prioriteres, og en plan for avbøtende tiltak som patching, endringer i konfigurasjon, strengere tilgangskontroller eller backup og gjenoppretting utarbeides. Etter implementering følger ofte ny vurdering for å verifisere at sårbarheten er lukket eller redusert.

Outputtene inkluderer en sårbarhetsregistrering, en risiko- eller prioriteringsmatrise og en utbedringsplan. En vellykket sårbarhetsvurdering krever samarbeid mellom ledelse, teknisk personale og brukere, og må tilpasses konteksten, regulatoriske krav og organisasjonens risikoprofil. Begrensninger inkluderer mulig falske positiver og kontinuerlig utvikling av trusler, derfor er regelmessig reassessering og kontinuerlig overvåking sentralt for å opprettholde effektive tiltak. Standardreferanser og rammeverk som ISO/IEC 27001 eller NIST SP 800-30 brukes ofte som retningslinjer.