öryggiskröfur

Öryggiskröfur eru kröfur um öryggi sem gerðar eru til gagnasafna, upplýsingakerfa, þjónusta og rekstrarumhverfa til að verja þau fyrir óleyttum aðgangi, misnotkun, tjóni eða uppljóstrun. Þær byggjast á stefnu stjórnenda, lagaskilyrðum, reglulegu áhættumati og kröfum hagsmunaaðila og eiga að vera mælanlegar, framkvæmanlegar og meðferðar í þróunar- og rekstrarferlum.

Helstu tegundir öryggiskrafna eru functional kröfur sem ákvarða það sem kerfið þarf að gera til að tryggja öryggi (t.d. auðkenning, heimildarstjórn, aðgangsstjórn, skráning og eftirlit) og ekki-funksjónalegar öryggiskröfur sem varða almenn atriði eins og trúnað, heilleika, aðgengi (availability), persónuvernd, endurheimt gagna og árangur í rekstri.

Framkvæmd og líftími öryggiskrafna felur í sér að safna þeim frá viðskiptum, regluumhverfi og mati á áhættu, setja þær í kröfuverkefni og tengja þær eignarhaldi og ábyrgð. Þær eru notaðar í hönnun, forritun, prófanir og rekstur, og þeim fylgir endurmati og breytingarstjórnun til að halda stöðugleika og samræmi við breyttar aðstæður.

Viðmið og samráð við reglugerðir og viðurkenndra öryggisramma eru oft notuð sem uppsprettur fyrir öryggiskröfur. Dæmi um viðmið eru ISO/IEC 27001 og 27002, NIST SP 800-53 og reglugerðir um persónuvernd og gagnaöryggi. Gæsluverkefni og samspil milli rekstra og öryggis eru lykilatriði í stjórnun öryggiskrafna og ábyrgð fyrirtækisins.