<SYSTEM> <VERSION>
KRAV PÅ VIDMAKTHÅLLANDE REALISERA (VMH-R)

Innehåll

Mallinformation	3

Versionshistorik för mallen	3

Generell mallinstruktion	3

Specifik mallinstruktion	3

Dokumentstruktur Realisera-fasen	4

Att tänka på i arbetet med framtagning av VMH-R	4

1	Basfakta	5

1.1	Giltighet och version	5

1.2	Terminologi	5

1.3	Referenser	5

1.4	Underbilagor	5

2	Inledning	6

2.1	Syfte	6

2.2	Innehåll	6

3	Säkerhetskrav på omgivningen	7

3.1	FM central nivå	7

3.2	FM lokal nivå	7

3.3	FM driftorganisation	8

Mallinformation

Versionshistorik för mallen

Datum	Version	Beskrivning	Ansvarig	Fastställd
2021-05-20	1.0	ISD 3.1	Ulf Christensen

Generell mallinstruktion

Detta kapitel är information om mallen och innehåller anvisningar för att hjälpa författaren. Kapitlet ska raderas i sin helhet innan dokumentet färdigställs.

Röd text (som denna) är en vägledning till författaren av dokumentet och ska raderas innan dokumentet färdigställs.

Text som befinner sig innanför ”<“ och ”>” uppdateras eller tas bort. T.ex. ska <system><version> ersättas med informationssystemets namn och version (d.v.s. det IT-system som ska ackrediteras).

Övrig svart text kan användas i det färdigställda dokumentet.

Specifik mallinstruktion

Denna mall används för att skapa dokumentet VMH-R i ISD-processens Realisera-fas.

FMV Projektledare är ansvarig för VMH-R.

VMH-R är en bilaga till ISD-R och godkänns i och med att denna godkänns.

Dokumentstruktur Realisera-fasen

Dokumentstrukturen för ISD-processens Realisera-fas illustreras nedan. Här visas att ISD-planen styr ISD-arbetet som resulterar i dokument ISD-R med dess tre bilagor.

ISD-planen styr ISD-arbetet i genomförandeprojektet. Planen klargör förutsättningar och utmaningar, vilka aktiviteter och leveranser som ska genomföras och deras tidplan, vilka kompetenser som behövs, och vilken projektsamverkan som behöver finnas.

ISD-R dokumenterar bedömningen av ackrediterbarhet för informationssystemet.

AU-R redovisar bl.a. kravuppfyllnad av evaluerarens krav och genomförd restriskanalys.

ITSS-R redovisar kravuppfyllnad av de funktionella kraven som ställts på informationssystemet och på leverantörer av informationssystemet.

VMH-R innehåller specifikation över de säkerhetskrav som ställs på informationssystemets omgivande miljö.

ISD utgör den formella deklarationen att IT-systemet uppfyller ställda krav och är säkert att använda under specificerade förutsättningar.

Att tänka på i arbetet med framtagning av VMH-R

Lämplig kompetens för att utarbeta VMH-R har ISE, med stöd av ISM.

Kravhanteringen i ISD 3.1 dokumenteras och utvecklas succesivt i IT-Säkerhetsspecifikationerna i Identifiera-fasen (ITSS-I), Definiera-fasen (ITSS-D) och Realisera-fasen (ITSS-R).

Indata för att skapa VMH-R är ITSS-R och AU-R.

Basfakta

Giltighet och version

Detta dokument är Krav på vidmakthållande i ISD-processens Realisera-fas (VMH-R) för <informationssystem><version> inför FMV VHL T4-beslut.

Datum	Version	Beskrivning	Ansvarig
<datum>	Initial version

Tabell 1 – Versionshistorik

Terminologi

Se referens [1] för en generell förteckning över de begrepp och förkortningar som används inom ISD-processen. Följande tabell innehåller specifika begrepp och förkortningar som används i detta dokument.

Begrepp/förkortning	Definition/förklaring

Tabell 2 – Begrepp och förkortningar

Referenser

Använd kommentarskolumnen i tabellen nedan för att ange t.ex. status, klassning, utgivande organisation, författare eller årtal.

Referens	Beteckning	Kommentar
ISD v3.1, Begrepp och förkortningar	20FMV5903-1:1.1

Tabell 3 – Referenser

Underbilagor

Om dokumentet har underbilagor ska dessa förtecknas här. Annars radera nedanstående och skriv ”Inga underbilagor.”

Detta dokument har följande underbilagor:

Underbilaga 1: <titel på underbilaga 1>

...

Inledning

Syfte

Syftet med detta dokument är att förteckna de säkerhetskrav som ställs på den omgivande miljön så att informationssystemet ska kunna användas säkert.

Innehåll

Kraven som ställs på omgivningen omfattar tekniska säkerhetsfunktioner, fysiskt skydd, administrativa regler och rutiner samt organisatoriska aspekter.

Säkerhetskrav på omgivningen

Detta kapitel specificerar säkerhetskraven på informationssystemets omgivande miljö. Uppfyllnad av dessa krav är en förutsättning för att systemet ska kunna användas säkert.

Samtliga krav som finns specificerade i kapitel 5 i ITSS-R ska förtecknas här. Behöver kravtexten eller kravets kontext förändras krävs nytt Krav ID och spårning till källan. Annars kan samma Krav ID användas här och ingen spårning behövs till ITSS-R eftersom det är underförstått att samtliga krav kommer därifrån.

Kraven förtecknas lämpligen grupperade efter mottagande part. Exempel på mottagare av krav på omgivningen är specificerade nedan. Dessa kan anpassas efter behov.

FM central nivå

Detta avsnitt specificerar de säkerhetskrav som behöver omhändertas av central nivå på Försvarsmakten. På denna nivå ansvarar eller verkar FM CIO, MOA samt säkerhetskontoret vid HKV MUST.

Se H SÄK Infosäk för beskrivning av rollerna, men det är den aktuella organisationen som behöver nyttjas. Detta bör framgå i genomförd verksamhetsanalys.

Här kan t.ex. krav på livscykelhantering, administrativ behörighetstilldelning, förvaltning av systemdokumentation, beslut om anslutning till andra nät, teknisk övervakning och central ackreditering dokumenteras.

Källorna till kraven är ITSS-R krav på omgivning, krav från evalueringen och från restriskanalysen. Spårbarhet måste finnas till källkravet. Motivering behöver finnas till varför kravet fördelats till Försvarsmakten på central nivå, lokal nivå respektive till Försvarsmaktens driftsorganisation.

Listan på krav kan för tydlighetens skull delas upp i t.ex. följande områden:

Krav på fysiskt skydd

Krav på administrativa processer

Krav på organisation

Krav på kompletterande tekniska lösningar

<Säkerhetskrav som ställs på FM central nivå>

FM lokal nivå

Detta avsnitt specificerar de säkerhetskrav som behöver omhändertas av lokal nivå på FM. På denna nivå ansvarar eller verkar Systemägare (SÄ), IT-säkerhetschef, biträdande IT-säkerhetschef och i förekommande fall garnisonschef.

Se H SÄK Infosäk för beskrivning av rollerna, men det är den aktuella organisationen som behöver nyttjas. Detta bör framgå i genomförd verksamhetsanalys.

Här kan t.ex. krav på riktlinjer för IT-säkerhet, säkerhetsskyddsanalys, analys av säkerhetslogg, utbildning, säkerhetsskydd, intern kontroll, kontinuitetsplanering och lokal ackreditering dokumenteras.

Dessa krav kan formuleras som en checklista för att underlätta för lokalt ansvarig att fatta Beslut om användning lokalt (BOAL). I detta fall behöver punkterna i checklistan vara så utformade att någon som inte är expert på informationssäkerhet ändå kan förstå vad som krävs, hur det ska kunna uppfyllas och kunna känna sig konfident med att det till fullo är uppfyllt. Tas en sådan checklista fram överlämnas den lämpligen till Försvarsmakten i form av en ”Lokal checklista” som bifogas ackrediteringsunderlaget.

Källorna till kraven står i ITSS-R krav på omgivning, krav från evalueringen och från restriskanalysen. Spårbarhet måste finnas till källkravet. Motivering behöver finnas till varför kravet fördelats till Försvarsmakten central nivå, FM lokal nivå respektive till FM driftsorganisation.

Listan på krav kan för tydlighetens skull delas upp i t.ex. följande områden:

Krav på fysiskt skydd

Krav på administrativa processer

Krav på organisation

Krav på kompletterande tekniska lösningar

<Säkerhetskrav som ställs på FM lokal nivå>

FM driftorganisation

Detta avsnitt specificerar de säkerhetskrav som behöver omhändertas av driftsorganisationen på Försvarsmakten. Här ansvarar och verkar Driftägare (DÄ) och Driftansvarig (DA).

Se H SÄK Infosäk för beskrivning av rollerna, men det är den aktuella organisationen som behöver nyttjas. Detta bör framgå i genomförd verksamhetsanalys.

Här kan t.ex. krav på genomförande av övervakning, analys av säkerhetslogg, dokumentering av system och nätverk, åtgärder vid incident och upprätthållande av IT-säkerhet (bl.a. säkerhetspatchning) dokumenteras.

Källorna till kraven står i ITSS-R krav på omgivning, krav från evalueringen och från restriskanalysen. Spårbarhet måste finnas till källkravet. Motivering behöver finnas till varför kravet fördelats till FM central nivå, FM lokal nivå respektive till FM driftsorganisation.

Listan på krav kan för tydlighetens skull delas upp i t.ex. följande områden:

Krav på fysiskt skydd

Krav på administrativa processer

Krav på organisation

Krav på kompletterande tekniska lösningar

<Säkerhetskrav som ställs på FM driftorganisation>