Analýza rizik v rámci SDLC
Je určitý rozdíl, když provádíte analýzu rizik již existujícího nebo nově vyvíjeného systému.
V obou případech byste měli začít stanovením kontextu, tedy ujasněním, kdo daný systém provozuje nebo bude provozovat, k čemu daný systém slouží nebo bude sloužit, a konečně jaké služby a informace poskytuje anebo bude poskytovat a komu.
S vlastníkem byste měli určit primární aktiva a následně pak i nejhorší možný dopad v případě narušení jejich důvěrnosti, integrity nebo dostupnosti. Poté může pokračovat dekompozici systému a určením podpůrných aktiv a zmapováním jejich závislostí. A následně pak identifikovat a kvantifikovat možné hrozby, a zranitelnosti.
Pokud jde o zranitelnosti, tak v případě existujícího systému byste se měli pokusit identifikovat slabá místa na základě posouzení zranitelností samotných aktiv a účinnosti stávajících bezpečnostních opatření.
V případě nově vyvíjeného systému, kdy provádíte analýzu rizik v rámci bezpečného životního cyklu vývoje softwaru (Secure Software Development Life Cycle, zkr. SDLC) může být zranitelnost systému posuzována pouze ve vztahu k zamýšlenému návrhu řešení a plánovaným opatřením.
Zde je možné vyjít z dokumentace business požadavků a dále funkčních a nefunkčních požadavků. A zaměřit se na to, zda jsou v kontextu plánovaného využití uvedeny relevantní bezpečnostní opatření technické povahy, která by měla být zavedena, aby se hrozba nemohla uplatnit. Opomenout byste však neměli ani bezpečnostní opatření organizační povahy.
Častěji než v případě analýzy rizik existujícího systému zde narazíme na skutečnost, že vlastník není schopen určit citlivost a kritičnost dat resp. jejich hodnotu a možný dopad. A přitom by to pro něj neměl být problém, protože vývoj SW zpravidla probíhá na základě schváleného project charteru, kterému předcházelo spočtení celkových nákladů a návratnosti investice v rámci zpracované studie proveditelnosti, kde se běžně počítá CF v jednotlivých letech.
Vzhledem k tomu, že CF může být v prvním roce výrazně nižší než v ostatních letech, a často také je, může se vlastník rozhodnout, že bude do bezpečnosti investovat postupně. Otázkou zůstává, zda je takové rozhodnutí správné. Na první pohled se jeví takový přístup jako velice rozumný, ovšem co když právě absence určitých bezpečnostních opatření způsobí, že daná služba bude napadena útočníkem ještě dříve, než si na sebe stihne vydělat a než se podaří dané opatření zavést?
Pokud tedy přijde řeč na stanovení hodnoty dopadu, měli bychom zohlednit nejen celkové náklady na vlastnictví, ale i očekávané CF v dalších letech. A abychom tuto investici ochránili a CF zajistili, měli bychom implementovat základní sadu bezpečnostních opatření. Ano, tu bychom měli zavést vždy a bez ohledu na výši rizik, protože hrozby se mění v čase, stejně jako se objevují nové zranitelnosti a mění hodnota aktiva.
Vlastník se bude pochopitelně bránit investovat do bezpečnostních opatření, která poskytují jen jakousi ochranu před hrozbou, která je v danou chvíli velice nízká. Je tomu tak proto, že systém zatím nikdo nevyužívá, a nikdo o něm pořádně ani neví.
V takovém případě je riziko opravdu nízké a zavedení příslušných opatření skutečně generuje jen vyšší náklady. Nicméně je třeba si uvědomit, že implementace bezpečnostních opatření do již hotového řešení vyjde výrazně dráž, než když je nedílnou součástí daného řešení od samého počátku.
K článku “Analýza rizik v rámci SDLC” se zde nenachází žádný komentář - buďte první.
Diskuse na tomto webu je moderována. Pod článkem budou zobrazovány jen takové komentáře, které nebudou sloužit k propagaci konkrétní firmy, produktu nebo služby. V případě, že chcete, aby z těchto stránek vedl odkaz na váš web, kontaktujte nás, známe efektivnější způsoby propagace.
