<SYSTEM> <VERSION>
ANALYSUNDERLAG REALISERA (AU-R)

Innehåll

Mallinformation	3

Versionshistorik för mallen	3

Generell mallinstruktion	3

Specifik mallinstruktion	3

Dokumentstruktur Realisera-fasen	4

Att tänka på i arbetet med framtagning av AU-R	4

1	Basfakta	5

1.1	Giltighet och version	5

1.2	Terminologi	5

1.3	Referenser	5

1.4	Underbilagor	5

2	Inledning	6

2.1	Syfte	6

3	Sårbarhetsanalys	7

4	Kravuppfyllnad av evaluerarens aktiviteter	8

5	Redovisning av kravspårning	10

6	Restriskanalys och åtgärder	11

6.1	Restriskanalys	11

6.2	Riskreducerande åtgärder	14

Mallinformation

Versionshistorik för mallen

Datum	Version	Beskrivning	Ansvarig	Fastställd
2021-05-20	1.0	ISD 3.1	Ulf Christensen

Generell mallinstruktion

Detta kapitel är information om mallen och innehåller anvisningar avsedda att hjälpa författaren. Kapitlet ska raderas i sin helhet innan dokumentet färdigställs.

Röd text (som denna) är en vägledning till författaren av dokumentet och ska raderas innan dokumentet färdigställs.

Text som befinner sig innanför ”<“ och ”>” uppdateras eller tas bort. T.ex. ska <system><version> ersättas med informationssystemets namn och version (d.v.s. det IT-system som ska ackrediteras).

Övrig svart text kan användas i det färdigställda dokumentet.

Specifik mallinstruktion

Denna mall används för att skapa dokumentet AU-R i ISD-processens Realisera-fas.

FMV Projektledare är ansvarig för AU-R.

AU-R godkänns i och med att huvuddokumentet ISD-R godkänns.

Dokumentstruktur Realisera-fasen

Dokumentstrukturen för ISD-processens Realisera-fas illustreras nedan. Här visas att ISD-planen styr ISD-arbetet som resulterar i dokument ISD-R med dess tre bilagor.

ISD-planen styr ISD-arbetet i genomförandeprojektet. Planen klargör förutsättningar och utmaningar, vilka aktiviteter och leveranser som ska genomföras och deras tidplan, vilka kompetenser som behövs, och vilken projektsamverkan som behöver finnas.

ISD-R dokumenterar bedömningen av ackrediterbarhet för informationssystemet.

AU-R redovisar bl.a. kravuppfyllnad av evaluerarens krav och genomförd restriskanalys.

ITSS-R redovisar kravuppfyllnad av de funktionella kraven som ställts på informationssystemet och på leverantörer av informationssystemet.

VMH-R innehåller specifikation över de säkerhetskrav som ställs på informationssystemets omgivande miljö.

ISD utgör den formella deklarationen att IT-systemet uppfyller ställda krav och är säkert att använda under specificerade förutsättningar.

Att tänka på i arbetet med framtagning av AU-R

Lämplig kompetens för att producera AU-R har ISE, med stöd av ISM.

Indata till AU-R kan hämtas från AU-D och ITSS-R.

Basfakta

Giltighet och version

Detta dokument är Analysunderlag i ISD-processens Realisera-fas (AU-R) för <informationssystem><version> inför FMV VHL T4-beslut.

Datum	Version	Beskrivning	Ansvarig
<datum>	Initial version

Tabell 1 – Versionshistorik

Terminologi

Se referens [1] för en generell förteckning över de begrepp och förkortningar som används inom ISD-processen. Följande tabell innehåller specifika begrepp och förkortningar som används i detta dokument.

Begrepp/förkortning	Definition/förklaring

Tabell 2 – Begrepp och förkortningar

Referenser

Använd kommentarskolumnen i tabellen nedan för att ange t.ex. status, klassning, utgivande organisation, författare eller årtal.

Referens	Beteckning	Kommentar
ISD v3.1, Begrepp och förkortningar	20FMV5903-1:1.1

Tabell 3 – Referenser

Underbilagor

Om detta dokument har några underbilagor ska dessa refereras tillhär. Annars radera nedanstående och skriv ”Inga underbilagor.”

Detta dokument har följande underbilagor:

Underbilaga 1: <titel på underbilaga 1>

...

Inledning

Syfte

Syftet med AU-R är att redovisa oberoende sårbarhetsanalys, kravuppfyllnad av evaluerarens krav, kravspårning och genomförd restriskanalys.

AU-R kan även användas för att dokumentera andra analyser såsom efterlevnad av ISD-processen, hur det utvecklade informationssystemet stämmer med ITSA och Försvarsmaktens möjligheter att omhänderta de säkerhetskrav som finns på omgivningen.

Används AU-R till fler analyser behöver den svarta texten här under Syfte utvecklas.

Sårbarhetsanalys

Detta kapitel redovisar den sårbarhetsanalys som utförts av FMVs evaluerare.

Detta kapitel används för att dokumentera hur KSF-kraven SARA_SBH.E4-E6 omhändertagits.

FMVs evaluerare är den resurs som har rollen ISE, eventuellt med stöd från ISTM.

Sårbarhetsanalysen är inte en isolerad aktivitet för evalueraren. Det är evaluerarens ansvar att under alla evalueringsaktiviteter aktivt använda den information som sammanställts, för att leta efter potentiella sårbarheter som senare ska användas vid sårbarhetsanalysen.

En metodik att använda vid sårbarhetsanalysen går att finna i H SÄK Infosäk.

Glöm inte att beakta behovet av sekretess enligt projektets säkerhetsskyddsplan.

<Redovisa genomförd oberoende sårbarhetsanalys>

Kravuppfyllnad av evaluerarens aktiviteter

Detta kapitel redovisar kravuppfyllnad av kraven som ställts på evaluerarens aktiviteter. Dessa krav finns förtecknade i Analysunderlaget AU-D(se AU-D, kapitel 8 Krav på Evaluerarens aktiviteter) och grundar sig i KSFs assuranskrav som ställs till evalueraren. Övriga assuranskrav redovisas i ITSS-R.

Motivering av kravuppfyllnad och bedömning har gjorts av FMVs evaluerare.

Det är det kapitel 8 ”Krav på evaluerarens aktiviteter” som avses då det hänvisas till AU-D.

Kraven är bedömda enligt Tabell 4 nedan:

Bedömning	Beskrivning
OK	Kravet är till fullo uppfyllt.
Delvis OK	Kravet är uppfyllt men brister finns.
Inte OK	Kravet är inte uppfyllt.
Inte relevant	Kravet saknar mening för denna evaluering.

Tabell 4 – Definition av bedömningsnivåer på olika grad av kravuppfyllnad

Nedanstående tabell är ett förslag till hur kravuppfyllanden kan redovisas. Kolumnerna kan användas enligt följande:

Krav ID – Identiskt med det Krav ID som använts i AU-D. Om ny tolkning görs finns här ett nytt Krav ID, har det inte gjorts tolkning alls är det Krav ID från KSF som används.

Kravtext – Identiskt med kravtexten som använts i AU-D. Om ny tolkning görs finns här en ny kravtext. Har det inte gjorts tolkning alls är det kravtexten från KSF som används.

Uppfyllnad – Kort motivering till varför detta krav anses vara helt, delvis eller inte uppfyllt.

Bedömning – Evaluerarens egen bedömning av graden av kravuppfyllnad enligt Tabell 4.

Bedömningskategorin Inte relevant används när ISE t.ex. bedömer att syftet med kravet inte har någon relevans för aktuellt informationssystem. Notera att tidsbrist eller svag ekonomi i projektet normalt inte anses vara giltiga anledningar för att avfärda krav som inte relevanta. En sådan situation ska istället lösas med riskhantering.

Analys av restrisker baserat på krav som inte är till fullo uppfyllda sker i nästa kapitel.

Nedan följer några exempel på motivering och bedömning.

Krav ID	Kravtext	Uppfyllnad	Bedömning
SALC_UTV.E1	Evalueraren ska verifiera att informationen i underlaget möter alla krav på innehåll och presentation.	Evaluering har gjorts av SALC_UTV.D1-D4, C1-C4. Redovisning av denna evaluering framgår i ITSS-R.	OK
SALC_UTV.E2	Evalueraren ska verifiera att systemutvecklingsdokumentationens säkerhetsåtgärder tillämpas	Ingen site-vist har varit möjlig på grund av reseförbud.	Inte OK
SASS_UPF.C1	Uppfyllande av säkerhetskrav ska visa hur alla säkerhetskrav i kapitlet Tolkning av säkerhetskrav har uppfyllts av systemets säkerhetsfunktioner.	Det finns redovisning av uppfyllande av samtliga krav men det har genomförts på icke fastställt underlag.	Delvis OK
SATS_EVL.E2	Evalueraren ska, om denne finner det nödvändigt, upprepa ett representativt antal av systemutvecklarens tester och bekräfta att systemutvecklarens testresultat för dessa testfall	Granskning av systemutvecklarens dokumentation visar genomgående på hög kvalitet. Därför bedöms det inte tillföra något att upprepa tester.	Inte relevant

Krav ID	Kravtext	Uppfyllnad	Bedömning

Tabell 5 – Evaluerarens kravuppfyllnadsredovisning av krav i AU-D

Redovisning av kravspårning

Beroende på metod kan redovisningen, själva spårningen av kraven, göras tidigare i ITSS-D och ITSS-R. Om det finns ett behov att tydliggöra spårningen för läsaren kan detta kapitel användas. Sker all kravspårning någon annanstans radera då nedanstående och skriv ”Kravspårning redovisas i <ref>”.

Detta kapitel redovisar kravspårning från källkrav till nya krav.

<Redovisa kravspårning>

Restriskanalys och åtgärder

Säkerhetskrav som till fullo inte har uppfyllts, och andra säkerhetsrelaterade brister som identifierats under evalueringsarbetet, kan innebära säkerhetsrisker. Detta kapitel redovisar analys av de kvarstående bristerna, storleken på dem och möjliga åtgärder för att möta riskerna.

Restriskanalys

ISE ska genomföra restriskanalys för att identifiera eventuella kvarvarande osäkerheter kring informationssystemets IT-säkerhetsförmågor. Källor för detta arbete är de krav som inte till fullo uppfyllts i ISD-arbetet, enligt redovisning i ITSS-R och i föregående kapitel, projektets lista över identifierade risker, och eventuella brister som identifierats under evalueringsarbetets gång.

ISE ska tydligt dokumentera resultatet av restriskanalysen med ett språkbruk som är tydligt för att ge den avsedda mottagaren rätt underlag inför beslut om ackreditering. Denna summering görs i ISD-R.

Detta avsnitt redovisar restriskanalysen över de kvarstående bristerna i systemet och från systemutvecklingen. En säkerhetsrelaterad brist kan orsaka en oönskad säkerhetspåverkande händelse. För att avgöra riskens storlek bedöms först sannolikheten att den oönskade händelsen inträffar och sedan påverkan om den väl inträffar. Sambandet mellan dessa storheter kan generellt skrivas Risk = Sannolikhet x Påverkan. I denna analys kvantifieras inte storheterna och därför används istället matrisen i Figur 1 Riskvärdering (nedan) som ger storleken på risken genom avläsning.

Bedömning av sannolikheten att den oönskade händelsen inträffar har använt nivåerna som är definierade i Tabell 6.

Sannolikhet	Beskrivning
Mycket hög	Sannolik händelse, > 50%
Stor	Trolig händelse, < 50%
Medel	Möjlig händelse, < 25%
Låg	Ej trolig händelse, < 5%
Mycket låg	Osannolik händelse, < 1%

Tabell 6 – Bedömning av sannolikhet

Bedömning av storleken på påverkan har använt nivåerna som är definierade i Tabell 7.

Påverkan	Generell konsekvensbeskrivning	Konsekvensbeskrivning av säkerhetsskyddsklassificerade uppgifter
Mycket stor	Förväntade konsekvenser medför en synnerlig negativ effekt. Konsekvenserna innebär synnerligen allvarliga negativa effekter av stor omfattning, under lång tid och utgör ett direkt hot mot organisationen. Konsekvenserna är inte begränsade till enstaka förmågor eller funktioner inom organisationen	Hemliga uppgifter vars röjande kan medföra synnerligt men för totalförsvaret eller förhållandet till en annan stat eller en mellanfolklig organisation eller i annat fall för rikets säkerhet (kvalificerat hemliga uppgifter). Hemlig handling som har åsatts beteckningen KVALIFICERAT HEMLIG eller motsvarande av en utländsk myndighet eller mellanfolklig organisation.
Stor	Förväntade konsekvenser är betydande. Konsekvenserna är allvarliga, av stor omfattning eller av väsentlig art och innebär ett direkt hot, om än mot avgränsade förmågor eller funktioner inom organisationen.	Hemliga uppgifter vars röjande kan medföra betydande men för totalförsvaret eller förhållandet till en annan stat eller en mellanfolklig organisation eller i annat fall för rikets säkerhet. Hemlig handling som har åsatts beteckningen HEMLIG eller motsvarande av en utländsk myndighet eller mellanfolklig organisation.
Betydlig	Förväntade konsekvenser är inte obetydliga och äventyrar, vållar skada, hindrar, underlättar, innebär större avbrott samt medför påtagliga negativa effekter om än i begränsad omfattning.	Hemliga uppgifter vars röjande kan medföra ett inte obetydligt men för totalförsvaret eller förhållandet till en annan stat eller en mellanfolklig organisation eller i annat fall för rikets säkerhet. Hemlig handling som har åsatts beteckningen KONFIDENTIELL eller motsvarande av en utländsk myndighet eller mellanfolklig organisation.
Ringa	Förväntade konsekvenser är ringa och begränsas till att påverka, försvåra, hindra, undergräva, misskreditera eller störa verksamheten i mindre omfattning.	Hemliga uppgifter vars röjande kan medföra endast ringa men för totalförsvaret eller förhållandet till en annan stat eller en mellanfolklig organisation eller i annat fall för rikets säkerhet. Hemlig handling som har åsatts beteckningen BEGRÄNSAT HEMLIG eller motsvarande av en utländsk myndighet eller mellanfolklig organisation.
Försumbar	Konsekvenser för verksamheten är försumbara.	Uppgifter är inte hemliga eller utrikesklassificerade.

Tabell 7 – Bedömning av påverkan

Matrisen i Figur 1 har använts för att identifiera riskvärdet.

Matrisen hjälper endast till att identifiera ett riskvärde, som ibland kan resultera i ett antingen för högt eller för lågt värde. Det gäller då att bedöma vilket värde som känns mest rimligt gentemot risken. Går man utanför denna riskvärderingsmatris behöver det dokumenteras i analysen.

Figur 1 – Riskvärdering

Tabell 8 redovisar genomförd restriskanalys.

Nedan följer ett exempel på redovisning av en restrisk.

Risk ID	Brist-, risk- och konsekvensbeskrivning	Källa	Sannolikhet	Påverkan	Riskvärde
1	Larm för vattendetektering är ej installerat, vilket kan leda till att hårdvara går sönder och i sin tur påverkar tillgängligheten.	AS-LAM-5 AS-LAM-6	Låg	Stor	Måttlig

Risk ID	Brist-, risk- och konsekvensbeskrivning	Källa	Sannolikhet	Påverkan	Riskvärde

Tabell 8 – Riskanalys av identifierade kvarstående brister

Riskreducerande åtgärder

Detta avsnitt redovisar de åtgärder som kan vidtas för att reducera identifierade risker i föregående avsnitt.

Restrisker ska lösas med åtgärder. Sådana riskreducerande åtgärder kan vara införande av tekniska lösningar i informationssystemet eller åtgärder på omgivningen. När denna riskanalys utförs är projektet troligen i ett läge där det inte längre är lämpligt att förändra den tekniska lösningen. Då återstår åtgärder som behöver hanteras av omgivningen, d.v.s. krav på förutsättningar som ställs på Försvarsmakten. Oavsett, behöver riskerna hanteras på följande vis:

Bestäm en undre gräns för riskvärde som tolereras.

Reducera de risker som ligger över denna gräns. En eller flera åtgärder som reducerar risken ska specificeras. Riskreducering kan ske genom att minska sannolikheten (förhindrande åtgärder) eller konsekvensen (detekterande och korrigerande åtgärder) eller en kombination av båda dessa.

Skriv en motivering till varför dessa åtgärder gör att risken hamnar under den undre gränsen.

Sammanfatta resultatet i ISD-R.

<Beskriv de riskreducerande åtgärderna, varför de gör tillräcklig nytta och vad konsekvensen är ifall de inte genomförs.>