Riskhantering för informationssäkerhet med ISO 27005 Lars Söderlund, TK 318 Ag 7 Lüning Consulting AB

Riskhantering för informationssäkerhet med ISO 27005 Lars Söderlund, TK 318 Ag 7 Lüning Consulting AB

Varför ISO/IEC 27005 Information Security Management?? Riskanalys och riskhantering är centrala aktiviteter i arbetet med LIS Riskanalyser och riskhantering utgör viktiga beslutsunderlag för ledningssystemet som implementeras I ISO/IEC 27001 och 27002 hänvisas ofta till business requirements, dessa krav utvecklas ofta från riskanalyser ISO/IEC 27001 och 27002 uttrycker kraven av att riskanalyser är utförd men säger inget om hur riskanalyser bedrivs = Det behövs en stödjande standard inom Risk Management i ISO/IEC 27000-serien

Vad innehåller ISO/IEC 27005 och vad innehåller den inte?? ISO/IEC 27005 talar INTE om HUR EN RISKANALYS ska utföras utan mer HUR EN ORGANISATION SKA VÄLJA METOD för RISKANALYS och beskriver RISKHANTERINGENS olika processdelar och dess förhållande till ISMS (PDCA-processen i LIS) PDCA RM-PROCESS

ISO/IEC 27005 svenskt deltagande och status Ett mycket aktivt arbete har pågått den senaste 3-4 åren med att ta fram ISO/IEC 27005. Ett stort antal länder har deltagit aktivt i utvecklingen Sverige har varit aktivt med i utvecklingen genom TK 318 arbetsgrupp Ag 8, Sverige har bl.a. deltagit med en editor (Anders Carlstedt) Vid senaste mötet i Schweiz röstade en stor majoritet för att dokumentet övergår till FDIS vilket är sista arbetsutgåvan innan publicering Omröstning sker i maj 2008, publicering tidigast augustiseptember 2008 En svensk översättning kommer att tas fram till utgivningen genom TK 318 försorg

Varför Information Security Risk Management? Det finns mängder av riskhanteringssystem inom olika ledningssystem inom standardiseringen! Det finns en mängd tolkningar av risk (ISO Guide 73, f.n. under omarbetning)! Det pågår en utveckling av ISO/IEC 31000, generell Risk Management, som vi behöver särskilja oss ifrån! Enligt nuvarande arbetsversion kan risk vara både positiv eller negativ vilket inte stämmer för informationssäkerhet Det krävdes en särskild definition av vad vi inom informationssäkerhetsområdet menar med risk, detta beskrivs genom begreppet Information Security Risk

Definition av information security risk Information security risk Potential that a given threat will exploit vulnerabilities of an asset or group of assets and thereby cause harm to the organization NOTE It is measured in terms of a combination of the likelihood of an event and its consequence.

ISO/IEC 27005 Scope Provides guidelines for information security risk management Supports the general concepts specified in ISO/IEC 27001 and is designed to assist the satisfactory implementation of information security based on a risk management approach Knowledge of the concepts, models, processes and terminologies described in ISO/IEC 27001 and ISO/IEC 27002 is important for a complete understanding

Nu ner till en snabb presentation av de viktigaste delarna i 27005 Vi börjar med kapitel 6, häng med på era papper som visar innehållsförteckningen.

Overview of the information security risk management process (kap. 6) ISO/IEC 27005 kapitel 7-12 följer strukturen i bilden!

Risk Management-processen och ISMS PDCA-process (kap. 6) ISMS Process Plan Do Check Act Information Security Risk Management Process Establishing the context Risk assessment Risk treatment planning Risk acceptance Implementation of risk treatment plan Continual monitoring and reviewing of risks Maintain and improve the Information Security Risk Management Process

Context establishment (kap.7) Syftet med riskanalys/riskhantering kan vara olika. Ex. på vanliga syften: Stödja ISMS med beslutsunderlag rörande risker, hot, sannolikhet, konsekvens Externa krav, legala krav och Due diligence Förberedelser för kontinuetsplanering (identifiering tillgångar, risker, hot, sannolikhet, konsekvenser) Förberedelser för incidenthantering (identifiering tillgångar, risker, hot, sannolikhet, konsekvenser) Underlag för kravställning av informationssäkerhet i en produkt, tjänst eller mekanism

Information Security Risk Assessment (kap.8) Identifiering av risker Identifiering av tillgångar Identifiering av hot Identifiering av befintliga skyddsåtgärder Identifiering av sårbarheter Identifiering av konsekvenser Riskanalys Metodik för riskvärdering Bedömning av konsekvens Bedömning av sannolikhet Metodik för riskanalys Kvalitativ Kvantitativ Bedömning av konsekvenser Bedömning av sannolikhet Riskutvärdering

Information Security Risk Treatment (kap.9)

Kapitel 10-12 ISO/IEC 27005 Information Security Risk Acceptance (kap.10) Information Security Risk Communication(kap.11) Information Security Risk Monitoring and Review(kap.12) Monitoring and review of risk factors Risk management monitoring, reviewing and improving

Annex A-F A, Defining the scope and boundaries of the information security risk management process Study of the organization List of the constraints affecting the organization List of the legislative and regulatory references applicable to the organization List of the constraints affecting the scope B, Identification and valuation of assets and impact assessment Examples of asset identification The identification of primary assets List and description of supporting assets Asset valuation Impact assessment C, Examples of typical threats D, Vulnerabilities and methods for vulnerability assessment Methods for assessment of technical vulnerabilities E, Information security risk assessment approaches High-level information security risk assessment Detailed information security risk assessment F, Constraints for risk reduction (constraint begränsning, restriktion)

SLUT PÅ GENOMGÅNGEN FRÅGOR?