Terminologi för Informationssäkerhet Utgåva 3

Transkript

1 Terminologi för Informationssäkerhet Utgåva 3

2 2011 SIS Förlag AB Innehållet i denna bok får återges och användas i enlighet med citaträtten dvs. i begränsade delar. Källhänvisning ska då göras med SIS Handbok Terminologi för informationssäkerhet, utgåva 3, SIS Förlag, För annat nyttjande kontakta SIS Förlag, telefon Terminologi för Informationssäkerhet Redaktör Joachim Bowin ISBN ISSN EO-Grafiska 2011 Denna publikation är tryck på miljövänligt papper

3 FÖRORD Denna handbok har tagits fram inom ramen för ett internt projekt inom SIS/TK 456 Informationsskydd och -säkerhet (tidigare ITS/AG 27). Handboken är ett resultat av en bearbetning av den tidigare ordlistan (ITS Rapport nr 6). Begreppet informationssäkerhet innefattar ett brett område av termer som rör allt från grundläggande policy, via riskhantering och administration till tekniska åtgärder och mekanismer. Urvalet har gjorts utifrån principen att finna lämpliga svenska termer för vanligen använda begrepp, ofta med utgångspunkt från engelskt språkbruk. Terminologin inom området är under stark utveckling. Vissa termer saknar alltjämt etablerad tolkning, även på engelska. Några svenska termer i handboken är nya och har kanske ännu inte fått allmän spridning. Målsättningen är att läsarna av denna handbok skall finna urvalet av termer relevant för området och inkluderade svenska termer och definitioner praktiskt användbara. Indelning i olika avsnitt syftar till att underlätta handbokens läsning. Valet av uppdelning medför att relaterade termer kan återfinnas i skilda avsnitt. För vissa termer finns linjediagram som visar relationen mellan besläktade termer. Denna utgåva har arbetats fram inom ramen för SIS/TK 456 med stöd av TK 318. Ett antal nya termer har tillförts och ett flertal korrigeringar har införts. Handboken innehåller ett nytt avsnitt med en översikt av internationella standarder. Många värdefulla bidrag och synpunkter har erhållits från Terminologicentrum (TNC). 1

4 INNEHÅLLSFÖRTECKNING FÖRORD... 1 I INLEDNING... 3 II OMFATTNING OCH TILLÄMPNING... 4 III REFERENSER... 6 IV TERMER INOM OMRÅDET INFORMATIONSSÄKERHET Allmänna termer Kontroll och styrning Riskhantering Kontinuitetsplanering Incidenter och angrepp Säkerhetsteknik Identifiering och autenticering Åtkomstkontroll Loggning, larm och uppföljning Kryptoteknik Säkerhetsmoduler Tillförlitliga Tredje Parter (TTP) Personlig integritet Evaluering och certifiering av IT-säkerhet Samhällets sårbarhet och säkerhet Kvalitet Inledning Modellen Data- och informationskvalitet System- och funktionskvalitet Standarder inom informationssäkerhetsområdet V REGISTER

5 I INLEDNING Denna handbok syftar till att beskriva en terminologi för området informationssäkerhet. Handboken vänder sig till personer med intresse för informationssäkerhetsområdet, t.ex. i samband med användning, upphandling, specifikation av såväl dator- och kommunikationssystem som enskilda säkerhetsprodukter. Den är också tänkt att kunna användas i utbildningssammanhang. Skriften är avsedd att användas som ett svenskt referensverk inom området. Utvecklingen inom området har under senare år varit mycket snabb, inte minst i samband med nya internationella förslag till säkerhetsstandarder och författningar. Detta gäller särskilt området digitala signaturer, av EU i en bredare tolkning benämnt elektroniska signaturer. Nedan angivna personer ingick i den ursprungliga arbetsgruppen bakom handbokens första utgåva: Fredrik Björck IT-universitetet i Kista (numera hos Visente AB) Per Christoffersson Telia Promotor AB (numera hos Teliasonera) Stefan Hellberg SECCO AB Thomas Keisu Skanska AB Peter Nilsson Deloitte&Touch (numera hos Österåkers kommun) Mats Ohlin Försvarets Materielverk Per Christoffersson, Thomas Keisu och Mats Ohlin har svarat för remissbearbetning och slutredigering. 3

6 II OMFATTNING OCH TILLÄMPNING Ändamålet med denna handbok är att presentera en enhetlig terminologi för området informationssäkerhet inklusive dess tekniska aspekter. Målet för informationssäkerhet är att skydda informationstillgångarna mot olika hot. I många sammanhang föreligger behov av att skapa skydd mot: bristande tillgänglighet innebärande att information inte kan göras tillgänglig inom önskad tid och i önskad form, försämrad informationskvalitet innebärande att informationen inte kan utnyttjas på avsett sätt eller att förändrad eller förfalskad information leder till dåliga eller felaktiga beslut, sekretessförlust innebärande att information om verksamhet, planer, teknik m.m. eller personliga förhållanden kommer obehörig till del, att utförda bearbetningar inte kan härledas till ansvarig individ, otillräcklig spårbarhet. Allmänna termer beskrivs i ett inledande avsnitt i kapitel IV. Man kan notera att ordet säkerhet motsvaras på engelska av två ord; safety och. I denna skrift hanteras inte safety -relaterade begrepp (undantag, se definitionen av begreppet säkerhet ). En effektiv hantering av säkerhetsproblemen kräver identifiering av skyddsvärda tillgångar och bedömning av relevanta hot. Vidare krävs organisation och kontroll av verksamheten. Dessa områden behandlas i avsnitt 2. Ett nytt avsnitt behandlar angrepps- och incidentrelaterade begrepp (avsnitt 3) som vid framtagandet av denna bok har bedömts vara av vikt för målgruppen. Säkerhet i informationsanvändningen uppnås genom olika typer av skyddsåtgärder som syftar till att minska sannolikheten för skada eller dess konsekvens. Skyddsåtgärderna kan indelas efter olika principer, t.ex. efter var en åtgärd vidtas eller efter den effekt som åtgärden avser. Ibland sker indelningen efter vilket slag av objekt som skyddsåtgärden avser, exempelvis egendom/utrustning, systemfunktion eller informationsobjekten i sig. En viss skyddsåtgärd kan samtidigt ge effekter av flera slag eller vara avsedd att skydda flera objekt. Vilka åtgärder som väljs beror av säkerhetskraven som härleds utifrån vad som är skyddsvärt samt utifrån vilka hot mot tillgångarna som kan tänkas föreligga. I avsnitt 4 behandlas begrepp med anknytning till olika tekniska skyddsmetoder. Avsnitt 5 tar upp kryptorelaterade begrepp. Utöver de termer som behandlades i den första utgåvan, har några särskilt aktuella områden lagts till. Området tredjepartstjänster, vars betydelse ökat avsevärt under de senaste åren, behandlas i avsnitt 6. Området personlig integritet har sedan längre varit i fokus i den svenska debatten. Direktiv inom EG och anpassad svensk lagstiftning har motiverat ett speciellt avsnitt för området, se avsnitt 7. Svagheter i säkerhetsskyddet kan leda till att angreppsförsök leder till skada eller störningar för verksamheten. Det finns därför i många sammanhang behov av att så objektivt som möjligt söka värdera tillförlitlighet och måluppfyllelse (av säkerhetskraven) i utnyttjade system. Detta område behandlas i avsnitt 8. I senare tids offentliga utredningsverksamhet har det civila samhällets sårbarhet satts i fokus. Detta gäller inte minst beroendet av den s.k. kritiska infrastrukturen och här i synnerhet el- och kommunikationsnäten. Termer relaterade till samhällets sårbarhet och säkerhet behandlas i avsnitt 9. Informationsinnehållet och dess betydelse för verksamheten i mer grundläggande termer avhandlas i ett särskilt avsnitt om datakvalitet (avsnitt 10). En översikt över standarder och tekniska rapporter framtagna inom internationell standardisering har tillförts och redovisas i avslutande avsnitt 11. 4

7 Ordlistan har kompletterats med termer där det funnits ett behov av att ange svenska motsvarigheter till vanligt förekommande engelska termer. Det har setts som angeläget i samband med den tilltagande internationaliseringen i internationella program, projekt, upphandlingar och avtal. Allmänna IT-termer utan särskild koppling till informationssäkerhetsområdet har inte tagits med; detta gäller även förkortningar. Vissa definitioner ligger nära respektive term; de har ändå inkluderats för att kunna ange motsvarande engelska term. Förklaringar till stilsorter och övriga typografiska egenskaper: Svenska termer är satta med fetstil Definitionstexterna följer internationell standard med utformning som ofullständig mening ( ersättningstext ). Med några få, särskilt angivna, undantag har ingående termer vilka nyttjats i andra definitioner eller i kommentarerna markerats med fetstil. Kommentartext är satt med mindre stil. Engelska termer och uttryck är satta med kursiv stil. Hakparenteser indikerar valfri del av term eller term som är mindre ofta använd. Synonymer anges för vissa begrepp och står direkt efter rekommenderad term åtskilda med semikolon rekommenderad term anges först. Homonymer (termer med samma lydelse men olika innebörd) anges med numrering i definitionsfältet. Varje avsnitt inleds med en introduktion till delområdet, följd av en inom avsnittet alfabetisk lista över termer med åtföljande definitioner och kommentarer. För korsreferenser hänvisas till avslutande avsnitt med samtliga engelska och svenska termer i alfabetisk ordning. 5

8 III REFERENSER [1] Standing Document No. 6 Glossary of IT Security Terminology, ISO/IEC JTC 1/SC 27; [2] Standing Document No. 7 SC 27 Catalogue of SC 27 Standards and Projects, ISO/IEC JTC 1/SC 27; [3] National Information Assurance (IA) Glossary, Committee on National Security Systems, Juni 2006; [4] Internet Security Glossary, IETF RFC 2828, Maj [5] Security Architecture for IP, IETF RFC 4301, December [6] Business continuity management Part 1: Code of practice, BS :2006, British Standards, BSI, November Se även följande webblänkar (fungerande april 2011):

9 IV TERMER INOM OMRÅDET INFORMATIONSSÄKERHET 1 Allmänna termer Området informationssäkerhet innefattar såväl det område som traditionellt benämnts datasäkerhet som övriga begrepp som har anknytning till hur information skall kunna hanteras på ett säkert sätt i skilda slag av verksamheter. Utgångspunkten är att viss information kan vara kritisk i något avseende genom att verksamheten och dess mål kan komma att äventyras om information skulle komma till obehörigs kännedom, modifieras, förstöras eller på annat sätt göras otillgänglig. Information kan ses som en vital resurs som kan vara utsatt för både oavsiktliga hot (av slump eller slarv, t.ex. resulterande i tekniska brister i system) och avsiktliga hot. Skydd av information är därmed en angelägenhet för alla typer av organisationer liksom för samhället i sin helhet. Utnyttjande av information förutsätter i detta sammanhang tillgång till en fungerande teknisk struktur, IT-systemet. Skydd av information i informationsbehandlande tekniska system benämnes ofta IT-säkerhet. Termen system används i många definitioner. Denna term omfattar normalt alla tekniska komponenter i ett IT-system (datorsystem, ADB-system inklusive dess kommunikationsenheter). Ibland inbegriper man i begreppet den totala miljön inklusive dess personal, lokaler etc. i det fall sådana kompletta system avses anges detta särskilt. När inte annat anges avses här i första hand det tekniska systemet (IT-systemet). Inledningsvis ges några övergripande definitioner. Termerna information, säkerhet och användare finns definierade, men har av läslighetsskäl inte särskilt markerats med fetstil i definitionstexter och kommentarer i detta avsnitt. I flera fall används i denna handbok termen säkerhet(s-), också som prefix, som synonymt med informationssäkerhet(s-). Således anges termer såsom säkerhetslogg, säkerhetshändelse etc. med det underförstådda sammanhanget informationssäkerhet, snarare än de längre benämningarna informationssäkerhetslogg, informationssäkerhetshändelse o.s.v. Begreppet informationssäkerhet kan beskrivas på flera olika sätt, beroende på ändamål. En vanlig uppdelning enligt figuren nedan, där man utgår från skyddsåtgärdernas miljö, teknisk respektive administrativ. informationssäkerhet administrativ säkerhet teknisk säkerhet policy & regelverk rutiner fysisk säkerhet IT-säkerhet övervakning & kontroll revision & uppföljning datasäkerhet kommunikationssäkerhet En annan uppdelning kan göras utifrån infologiska skyddsmål enligt den välbekanta bokstavsserien C-I-A (confidentiality-integrity-availability), ibland kompletterad med ett eller flera andra begrepp, t.ex. accountability, authentication, authorisation, assurance, audit och non-repudiation. En vanlig uppdelning kan vara följande. 7

10 informationssäkerhet Konfidentialitet Confidentiality Riktighet Integrity Tillgänglighet Availability Oavvislighet Non-repudiation Ansvarighet Accountability Auktorisation Authorisation Autenticering Authentication ansvarighet accountability princip innebärande att en individ givits och påtagit sig visst ansvar och att därvid denne i efterhand kan ställas till svars för sitt handlande Ingår som en del av begreppet informationssäkerhet. Svensk accepterad term har hittills saknats. Antites: ansvarsfrihet. Jfr Bolagsstyrningskoden samt Sarbanes- Oxley. Se även spårbarhet. användare user person som utnyttjar informationstillgångar Ofta avses en person som direkt interagerar med en datoriserad applikation. Här förutsättes som regel att användaren har behörighet att använda informationstillgångarna. Se även användaridentitet. Jfr subjekt. auktorisation; behörighetstilldelning authorisation fastställande av åtkomsträttigheter för en användare till olika systemresurser Se även resurs, åtkomsttyp. behörighet permission; privilege rättighet för en användare att använda informationstillgångar på ett specificerat sätt Behörighet kan exempelvis innefatta rättigheten för en viss användare att ta del av innehållet i en databas eller att skriva ut på en viss skrivare. Se även behörighetskontrollsystem datasäkerhet; [ADB-säkerhet] computer säkerhet beträffande skydd av datorsystem och dess data syftande till att förhindra obehörig åtkomst och obehörig eller oavsiktlig förändring eller störning vid databehandling Datasäkerhet kan betraktas som näraliggande den vidare termen IT-säkerhet vilken även innefattar säkerhet i samband med kommunikation (se kommunikationssäkerhet). Jfr IT-säkerhet och informationssäkerhet. fysiskt skydd physical protection skydd som ingår i IT-systemets omgivning och som skyddar mot obehörig direkt, fysisk tillgång till systemets resurser felkritisk systemdel single point of failure enstaka del eller punkt i ett system i vilken ett uppträdande fel leder till omfattande funktionsförlust Se även redundans, feltolerans. förebyggande skydd preventive protection metod eller åtgärd som syftar till att förhindra att en störning eller skada inträffar Åtgärderna kan även syfta till att klargöra för obehöriga att tillgång till systemet kräver behörighet och att försök till intrång kan leda till åtgärder. informationsobjekt information object data sammanställda i visst syfte Se även objekt. 8

11 informationssäkerhet information (INFOSEC) säkerhet för informationstillgångar avseende förmågan att upprätthålla önskad konfidentialitet, riktighet och tillgänglighet (även ansvarighet och oavvislighet) Begreppet innefattar både fysisk säkerhet och IT-säkerhet samt administrativ säkerhet. I SS-ISO/IEC används följande definition: bevarande av konfidentialitet, riktighet och tillgänglighet hos information; vidare kan andra egenskaper såsom autenticitet, spårbarhet, oavvislighet och tillförlitlighet också inbegripas som fokuserar på informationens infologiska skyddsmål snarare än på samtliga informationstillgångar. informationstillgångar information assets en organisations informationsrelaterade tillgångar Exempel på informationstillgångar är: information (kunddatabas, metodik, dokument, etc.) program (applikation, operativsystem, etc.) tjänster (kommunikationstjänst, abonnemang, etc.) fysiska tillgångar (dator, datamedia, lokala nätverk, etc.) Informationstillgångar kan vara av fysisk eller logisk karaktär, eller bådadera. Jfr resurs, tillgång. integritet integrity okränkbarhet med förmåga att upprätthålla sitt värde genom skydd mot oönskad förändring, påverkan eller insyn Kan avse såväl ett tekniskt system (systemintegritet) som en person (personlig integritet). Jfr riktighet. IT-säkerhet IT säkerhet beträffande IT-system med förmåga att förhindra obehörig åtkomst och obehörig eller oavsiktlig förändring eller störning vid databehandling samt dator- och telekommunikation Se även tillgänglighet, riktighet, konfidentialitet, spårbarhet och oavvislighet. Jfr datasäkerhet och informationssäkerhet. kommunikationssäkerhet communications (COMSEC) säkerhet i samband med överföring av data Överförda data kan representera information men även protokollsdata och andra styrsignaler. Åtgärder för kommunikationssäkerhet syftar till att förhindra att: känslig information kommer obehörig till del information förvanskas under överföring information inte når avsedd mottagare eller blir fördröjd missledande information eller signaler introduceras i kommunikationssystemet. 9

12 konfidentialitet; sekretess confidentiality skyddsmål att innehållet i ett informationsobjekt (eller ibland även dess existens) inte får göras tillgängligt eller avslöjas för obehöriga Ingår som en del av begreppet informationssäkerhet. Begreppet sekretess används ofta i legala sammanhang. logg audit trail; log (kontinuerligt) insamlad information om de operationer som utförs i ett system Registrerade uppgifter kan utnyttjas till att i efterhand analysera vilka operationer som utförts och vilka användare eller systemfunktioner som initierat dessa. Registreringen omfattar som regel tidpunkt, användaridentitet (se identitet), berörda objekt (t.ex. registerposter) och övriga resurser (se resurs) samt utförda operationer. Registreringen kan ibland vara så detaljerad att bearbetningen i detalj kan rekonstrueras, men är oftast av utrymmesskäl begränsad till att gälla bearbetningens huvuddrag. Jfr säkerhetslogg och transaktionslogg. Äldre term: behandlingshistorik. Se även spårbarhet. oavvislighet; [oförnekbarhet] non-repudiation skyddsmål att en handling inte i efterhand skall kunna förnekas av utföraren Ingår som en del i begreppet informationssäkerhet. Exempel är informationsutbyte av meddelanden med innebörden att ett meddelande skapats, avsänts eller tagits emot, ej i efterhand skall kunna förnekas. Datatekniskt implementeras ofta oavvislighet för avsändaren med hjälp av en digital signatur. Se även avsändningsbevis, mottagningsbevis, leveransbevis, utställarbevis och inlämningsbevis. objekt object passiv enhet som innehåller information Åtkomst till ett objekt innebär som regel tillgång till den information som kan finnas i objektet. Objekt kan exempelvis vara filer inkl. programfiler (de senare som passiva behållare snarare än aktiva komponenter). resurs resource 1) tillgång som används eller förbrukas när en operation utförs 2) systemkomponent med viss fastställd funktion för lagring, presentation, överföring eller bearbetning Användning av en resurs kan kräva att den tillfälligt reserveras. Exempel på resurser är: processortid, minnesutrymme, kommunikationsport, skrivare. I begreppet resurs innefattas även objekt. riktighet data integrity skyddmål att information inte förändras, vare sig obehörigen, av misstag eller på grund av funktionsstörning Ingår som en del av begreppet informationssäkerhet. 10

13 sekretessnivå classification level nivå i ett hierarkiskt informationsklassningssystem som indikerar behovet av sekretesskydd Graden av sekretess anger informationens skyddsvärde i sekretesshänseende och därvid erforderliga skyddsåtgärder och hanteringsregler. Inom offentlig respektive privat sektor tillämpas olika klassningssystem. skadekostnad damage cost sammanlagt värde av ett angrepps konsekvenser Kostnaderna värderas normalt utifrån konsekvenserna för den totala verksamheten. Ibland avses förväntad skadekostnad sett som en bedömning av de totala skadekostnaderna över en viss tidsperiod, givet bedömda frekvenser på olika typer av skadehändelser. Se även angrepp, attack, risk och hot. spårbarhet traceability; [accountability]; möjlighet att entydigt kunna härleda utförda aktiviteter i systemet till en identifierad användare För att åstadkomma spårbarhet krävs åtminstone identifiering och autenticering av användare, samt loggning av relevanta händelser i IT-systemet. Den engelska termen accountability har ofta den vidare innebörden att någon kan ställas till ansvar, t.ex. för sina handlingar; se ansvarighet. Traceability blir då en förutsättning för accountability. subjekt subject person, process eller enhet, som åstadkommer en överföring av information eller som påverkar systemets tillstånd i övrigt Mer generellt uttryckt i säkerhetssammanhang: en enhet vars aktiva roll regleras av fastställda säkerhetsregler. Vanligen är det en användare men det kan också vara en process eller en enhet som åstadkommer överföring av information mellan objekt eller påverkar systemets tillstånd i övrigt. systemintegritet system integrity integritet hos ett system Gäller allmän förmåga hos ett system att upprätthålla sin avsedda funktion och därvid skydda sig mot oönskad påverkan, förändring eller insyn. Begreppet kan även inkludera systemets förmåga att hantera eventuella fel i dess konstruktion eller handhavande. systemlogg system log; system audit trail registrerade uppgifter om vilka systemoperationer som utförts och tidpunkten för dessa 11

14 säkerhet 1) egenskap eller tillstånd som innebär skydd mot risk för oönskad insyn, förlust eller påverkan; oftast i samband med medvetna försök att utnyttja eventuella svagheter Ett system är säkert i den utsträckning man anser sig kunna lita på att det fungerar (eller kommer att fungera) på avsett sätt. Bedömning av detta kopplas som regel till en uppskattning av existerande eller potentiella hot. safety 2) egenskap eller tillstånd som innebär skydd mot skada för liv och lem (personsäkerhet) I båda definitionerna förutsättes föreligga någon form av hot. I denna skrift behandlas i första hand säkerhet i betydelsen, där hotet som regel har sitt upphov i olika individers aktiviteter. Gemensamt för de båda aspekterna är omsorgen om att systemet måste ges en allmänt tillförlitlig konstruktion och tillförlitliga former för utnyttjande. System där det finns krav på safety innehåller inte sällan också krav på. säkerhetsadministratör administrator person med ansvar för att säkerhetsregler inom en säkerhetsdomän upprätthålles på ett korrekt sätt Denne är normalt ansvarig för behörighetskontroll, säkerhetskopiering (se säkerhetskopia) m.m. Även uppgifter för tilldelning av åtkomsträttigheter och kontroll och analys av logg ingår ofta. säkerhetsdomän domain definierat område för ansvar och kontroll som lyder under en viss säkerhetspolicy Området kan vara såväl logiskt (exempelvis definierat till att omfatta information i en viss sekretessnivå) eller fysiskt (exempelvis ett visst subnät) eller en kombination av dessa. säkerhetsinformatik informatics tvärvetenskapligt område som behandlar teorier och metoder för hur information kan hanteras på ett säkert sätt i en organisation eller i ett tekniskt system Ur detta perspektiv anses ett säkert system vara ett sådant som har kontroll över sina in-, genom-, och utflöden. Området kan även omfatta användning av informationsteknologi som hjälpmedel i säkerhetsberoende sociala, sociotekniska och tekniska sammanhang. säkerhetskritisk händelse; [informations] säkerhetshändelse [information] event förändring av tillståndet hos en informationstillgång då säkerheten påverkas negativt Jfr incident och säkerhetslogg. 12

15 säkerhetslogg audit trail logg över säkerhetskritiska händelser Säkerhetsloggen kan exempelvis innehålla information om förändringar i behörighetsinformationen och förändringar i datorsystemets konfiguration som är kritiska ur säkerhetssynpunkt. För att säkerhetsloggen skall kunna tjäna sitt syfte är det väsentligt att den ges ett gott skydd mot obehörig påverkan. Se även säkerhetskritisk händelse. säkerhetsmål objectives beskrivning av i vilka avseenden säkerheten skall tillgodoses för ett system eller en komponent Som regel härleds säkerhetsmålen från identifierade hot och/eller eventuella policykrav (se säkerhetspolicy). säkerhetspolicy policy generella krav på säkerhetsåtgärder eller handlingsregler för en organisation eller verksamhet tillgänglighet availability skyddsmål där informationstillgångar skall kunna utnyttjas i förväntad utsträckning och inom önskad tid Avsaknad av tillgänglighet resulterar i en tillgänglighetsförlust. Ingår som en del av begreppet informationssäkerhet. tillgänglighetsförlust; funktionsförlust denial of service (DoS); loss of service övergång till ett tillstånd hos ett system där det inte i erforderlig utsträckning eller inom önskad tid kan leverera önskade tjänster Förändringen kan vara resultatet av en tillgänglighetsattack. Jfr tillgänglighet. 13

16 2 Kontroll och styrning Nyttjande av IT-system kräver funktioner för kontroll, uppföljning och styrning. Medvetenhet om tillhörande risker och möjliga angreppsmetoder är av stor vikt för att på ett effektivt sätt kunna åstadkomma en avvägning mellan administrativa och tekniska skyddsåtgärder. Vidare kräver det tekniska säkerhetsskyddet i sig planering och realisering av särskilda rutiner och procedurer, exempelvis för säkerhetsgranskning, loggning och behörighetstilldelning. Detta avsnitt behandlar termer inom områdena kontroll och styrning inklusive riskhantering. ackreditering av certifieringsorgan accreditation of certification body formellt erkännande av att ett certifieringsorgan är kompetent att utföra specificerad certifiering ackrediteringsorgan accreditation body tredjepartsorgan vilket bedömer och kompetensprövar certifieringsorgan, besiktningsorgan, kontrollorgan och laboratorier Organet genomför och administrerar ackreditering av certifieringsorgan och ackreditering av provningsställen Jfr certifieringsorgan, evalueringsenhet. certifiering av ledningssystem för informationssäkerhet certification of information management system formellt fastställande av att en organisation upprättat ett ledningssystem för informationssäkerhet (LIS) kontrakterad säkerhetshantering managed services (MSS) tjänster inom säkerhetsområdet som utförs enligt avtal Kan t.ex. beröra hantering av säkerhetsuppdateringar, brandväggsövervakning, logghantering etc. ledningssystem för informationssäkerhet (LIS) information management system (ISMS) del i ett övergripande ledningssystem som, baserad på verksamhetens risktänkande, syftar till att upprätta, införa, driva, övervaka, granska, underhålla och förbättra informationssäkerhet LIS beskrivs i den internationella standarden ISO/IEC och omfattar organisationsstruktur, policy, planeringsaktiviteter, ansvar, praxis, rutiner, processer och resurser. 2.1 Riskhantering Hur stor är sannolikheten att oönskade händelser inträffar och vilka blir konsekvenserna om så skulle ske? Det kan vara vanskligt att okritiskt använda statistiska modeller för riskanalysen eftersom denna oftast innefattar låga sannolikheter i kombination med stora konsekvenskostnader (kostnader skall här ses i vid bemärkelse). Bäst är att kombinera formella, kvantitativa metoder med erfarenhet och sunt förnuft. Analysen bör grundas på: identifiering av förekommande hot inklusive dess ursprung bedömning av hur ofta respektive hot kan tänkas utlösas eller förekomma; t.ex. i en grov skala enligt: mycket sällsynt, tämligen sällsynt, regelbundet, ofta bedömning av konsekvenskostnaden för de olika hotfallen; t.ex. enligt en grov skala: försumbar, lindrig, allvarlig, katastrofal. En första, kvalitativ riskanalys kan göras enligt nedanstående tabell. 14

17 Sannolikhet/frekvens Mycket sällsynt Sällan Regelbundet Ofta Konsekvens Katastrofal Allvarlig Måttlig Försumbar Tabellen ger ett underlag för en prioritering av åtgärder. Högst prioritet får åtgärderna i grupp 1. Kostnaderna för skyddsåtgärderna (direkta och indirekta) måste vägas mot bedömd minskning av förväntad skadekostnad. Balansering innebär att skyddet ges en sådan nivå att den marginella minskningen i risk (kostnaden) för ökad skyddsnivå blir lika med den marginella kostnadsökningen för skyddet. Det kan dock finnas externa krav, t.ex. lagar eller avtalskrav, som kan påverka avvägningen. De komplexa sambanden mellan de olika modulerna i en process för riskhantering åskådliggörs bäst med följande bild. 15

18 Som framgår av figuren ovan stiger kostnaderna för skyddsåtgärder med ökande skydd. På motsvarande sätt sjunker de förväntade skadekostnaderna med ökande skyddsnivå. Det finns alltid en optimal punkt som ger de lägsta totala kostnaderna. analys av verksamhetsberoende; konsekvensanalys business impact analysis aktivitet som analyserar verksamhetsfunktioner och den affärspåverkan som avbrott i dessa skulle medföra avsiktligt hot intentional threat hot där händelsen orsakas av någon med syfte att skada verksamheten Jfr motsatsen oavsiktligt hot. fysisk attack physical attack attack som riktar sig mot de fysiska delarna av ett system grundskydd baseline protection; baseline controls lägsta rekommenderade skyddsnivå för system och organisation hot threat möjlig, oönskad händelse med negativa konsekvenser för verksamheten Se även aktivt hot, passivt hot, avsiktligt hot och oavsiktligt hot samt inre hot och yttre hot. Ibland sker analys av hot med inriktning på dess ursprung; i sådana sammanhang kan den potentielle (hot)aktören ses som ett hot i sig. hotanalys threat analysis identifiering av vilka hot som kan finnas och vem eller vad som kan tänkas utlösa dessa hot, samt vilka resurser samt vilken tid och kompetens som en angripare kan tänkas disponera hotbild threat profile uppsättning hot som bedöms föreligga mot en viss [typ av] verksamhet Beskrivningen av hotbilden kan innefatta mer eller mindre detaljerade beskrivningar av tänkbara angrepp och deras konsekvenser. Se även hotanalys. inre hot; internt hot insider threat hot mot säkerheten som orsakas av insiders Jfr motsatsen yttre hot. konsekvens; påverkan consequence; impact resultat av en händelse med negativ inverkan kvarstående risk residual risk risk med hänsyn tagen till den sårbarhet som återstår efter införande av valda skyddsåtgärder Beslut att acceptera kvarstående risk kallas i allmänhet riskacceptans. Se även riskvillighet. 16

19 oavsiktligt hot accidental threat hot som existerar trots att illasinnad avsikt saknas Exempel på sådana hot kan vara datoroch programvarufel, mänskliga misstag och naturfenomen som åska, översvämning etc. Jfr komplementbegreppet avsiktligt hot. risk risk kombination av sannolikheten för att ett givet hot realiseras och därmed uppkommande skadekostnad I riskkalkyler förekommer det att de ingående variablerna multipliceras; d.v.s. produkten av sannolikhet och konsekvens (skadekostnad). Begreppet risk har dessutom två relaterade tolkningar: 1. oönskad händelse; hot, skadekostnad 2. sannolikhet för en (oönskad) händelse. Precisering bör ske om det finns möjlighet för missförstånd. riskanalys risk analysis process som identifierar hot mot verksamheten och uppskattar storleken hos relaterade risker Se även hotanalys. riskhantering risk management samordnade aktiviteter för identifiering, styrning och kontroll av risk Här kan exempelvis ingå identifiering och utvärdering av resurser som ska skyddas, hot, sårbarhet, skyddsåtgärder, kvarstående risker, riskkommunikation. Se även analys av verksamhetsberoende och riskanalys. riskundvikande risk avoidance tendens att undvika risker genom (ev. överdriven) fokusering på skydd alternativt genom operativ passivitet Jfr motsatsen riskvillighet. riskvillighet risk appetite beredskap att ta vissa, större risker balanserade mot förväntade vinstmöjligheter Jfr motsatsen riskundvikande. Se även kvarstående risk. skydd protection effekt av handlingar, rutiner och tekniska arrangemang som syftar till att minska sårbarheten skyddsåtgärd safeguard; counter measure; measure; protection measure handling, rutin eller tekniskt arrangemang som, genom att minska sårbarheten möter ett identifierat hot Jfr skydd. svaghet vulnerability brist i skyddet av en tillgång exponerad för hot Kan avse fel i ett systems säkerhetsprocedurer, design, implementering eller interna kontroller. Termen svaghet föredras här framför sårbarhet. Se även exponering. 17

20 sårbarhet vulnerability kritiskt beroende av en tillgång Begreppet spelar i central roll i samband med sårbarhetsanalyser. sårbarhetsanalys; konsekvensanalys vulnerability analysis process som identifierar en organisations sårbarhet Ingår som regel i en riskanalys. sårbarhetsanalys, teknisk flaw analysis; [vulnerability analysis] process som identifierar svagheter i ett system eller i en produkt Jfr penetrationstest. säkerhetsarkitektur architecture övergripande teknisk beskrivning av i ett system ingående säkerhetstjänster inklusive samverkan och gränssnitt mellan olika komponenter För Internetkommunikation, se även [4]. Säkerhetstjänster ( services); se [5]. säkerhetsbetrodd trusted vid systemkonstruktion, uppfattning om att man i säkerhetshänseende kan lita på en funktion eller komponent En alternativ formulering kan enligt Ross Anderson vara tillit till en funktion eller komponent som om den inte fungerar på avsett sätt kommer att åsidosätta säkerheten i systemet. Termen används fr.a. i ett utifrånperspektiv där något annat/någon annan litar till att funktionen/- komponenten uppfyller sina säkerhetsmål. Jfr säkerhetsfunktion. säkerhetsfunktion function specifik teknisk egenskap hos en systemkomponent som svarar för viss del av säkerheten Begreppet systemkomponent kan även preciseras som en urskiljbar del av ett system. Åtkomstkontroll, autenticering och loggning är exempel på säkerhetsfunktioner. Jfr säkerhetsbetrodd samt säkerhetskritiska egenskaper. säkerhetskontroller controls identifierad uppsättning skyddsåtgärder för att möta en organisations risker Begreppet kontroll kan på svenska betyda såväl uppföljning-inspektion som styrning. Ledet kontroll i aktuell term syftar på den senare betydelsen. Åtgärderna kan omfatta policyer, rutiner och de organisatoriska strukturerna och kan vara av såväl administrativ, teknisk, ledningsmässig som legal karaktär. tillgång asset allt som är av värde för organisationen Jfr informationstillgångar, resurs. Kan ibland även innefatta immateriella värden som t.ex. goodwill. yttre hot; externt hot external threat; outsider threat hot som har sitt ursprung utanför organisationen Jfr motsatsen inre hot. 18