Bedömning av sannolikhet och konsekvens för informationssäkerhetsrisker - En studie av vikt

Bedömning av sannolikhet och konsekvens för hot mot Försvarsmaktens planerade IT-system görs i dagsläget på varierande sätt. Samtliga varianter av bedömningsmetoden har dock gemensamt att absoluta sannolikhets- och konsekvensvärden anges individuellt för varje identifierat hot. Årets studier inom FoT-projektet Bedömning och analys av IT-system (BAIT) har fokuserat på alternativa sätt att genomföra bedömning av sannolikhet och konsekvens för hot mot Försvarsmaktens planerade IT-system. Den första studien utgjordes av en behovsanalys relaterat till bedömningen av sannolikhet och konsekvens för hot. Den andra studien resulterade i ett förslag på bedömningsmetod som utgår från parvisa jämförelser av hot för att bedöma sannolikhet och konsekvens. Behovsanalysen resulterade i att en uppsättning med 8 övergripande och 12 underliggande behov identifierades. Bland annat identifierades behov av att kunna jämföra sannolikheter och konsekvenser för olika hot samt att ha spårbarhet i de bedömningar som görs. Den jämförelsebaserade bedömningsmetoden som föreslås utgår från Analytical Hierarchy Process (AHP) och baseras på teorier kring att det är lättare att göra relativa bedömningar än absoluta. En jämförelse av två hot görs genom att både sannolikheten för och konsekvensen av det ena hotet jämfört med det andra bedöms relativt. Innan den föreslagna metoden kan användas behöver dock ett antal parametrar fastställas för att avgöra hur metodens steg mer specifikt ska genomföras. Exempelvis måste det avgöras vilken skala som ska användas när hoten jämförs. Ett experiment genomfördes för att utvärdera den föreslagna metoden jämfört med den nuvarande bedömningsmetoden inom Försvarsmakten. I experimentet användes den föreslagna metoden med standardiserade parametrar. Experimentet visade dock på att den föreslagna metoden inte hade någon fördel jämfört med Försvarsmaktens nuvarande metod. Behovsanalysen, den föreslagna metoden och resultaten från experimentet visar att det finns såväl behov av som möjligheter till att utveckla de metoder som används vid bedömning av sannolikheter och konsekvenser inom Försvarsmakten. En ny metod baserad på jämförelser av hot behöver dock ha mer anpassade parametrar än vad som användes i det genomförda experimentet. Det finns utrymme för vidare experiment för att avgöra hur en jämförelsebaserad metod ska utformas.