Beskriva och bedöma hot mot IT-system – Varför är det svårt?

Att beskriva hot mot IT-system och bedöma dessa hots sannolikhet och konsekvens är en krävande uppgift. Under 2016 har FoT-projektet Bedömning och analys av IT-system genomfört studier avseende svårigheter med att beskriva och bedöma hot mot IT-system. Inom studierna genomfördes två experiment med fokus på aspekter som kunde tänkas påverka samstämmigheten mellan olika personers bedömning av sannolikhet och konsekvens för hot. Det första experimentet fokuserades på om hotbeskrivningens utformning påverkar bedömningarna av sannolikhet och konsekvens. Hotbeskrivningarna utgjordes av strukturerade tabeller respektive löpande text. Inga statistiskt signifikanta skillnader kunde dock ses i resultatet från experimentet. Det andra experimentet byggde vidare på ett experiment som genomfördes i projektet under 2015. Experimentet genomfördes för att identifiera eventuella skillnader i samstämmighet när bedömningar görs enligt metoden för säkerhetsanalys (H Säk Grunder) respektive en metod baserad på jämförelsebaserade bedömningar. När jämförelsebaserade bedömningarna genomfördes av experter, med såväl god kunskap inom området informationssäkerhet som erfarenhet av att bedöma informationssäkerhetsrisker, uppnåddes statistiskt signifikant högre samstämmighet för bedömningarna av både sannolikhet och konsekvens. Rapportens avslutas med slutsatser att beakta vid Försvarsmaktens fortsatta arbete med säkerhetsanalyser. Dessa slutsatser relaterar till utformningen av hotbeskrivningar och förutsättningar för bedömning av hots sannolikhet och konsekvens.