<PRODUKTOMRÅDE>
ISD-strategi

Innehåll

Mallinformation	3

Versionshistorik för mallen	3

Generell mallinstruktion	3

Specifik mallinstruktion	3

Dokumentstruktur Identifiera-fasen	4

Att tänka på i arbetet med framtagning av ISD-strategi	4

1	Basfakta	5

1.1	Giltighet och version	5

1.2	Terminologi	5

1.3	Referenser	5

1.4	Bilagor	5

2	Inledning	6

2.1	Syfte	6

2.2	Produktområde	6

3	Genomförandeprojekt	7

3.1	Omfattning och krav	7

4	Styrning från Försvarsmakten	8

5	Strategi	9

5.1	Klargörande av inriktningar	9

5.2	Systemsamverkan	9

5.3	Avgränsningar	9

5.4	Gemensamma säkerhetsfunktioner	10

5.5	Vidmakthållande	10

5.6	Utmaningar	10

5.7	Finansiering	10

6	Projektsamverkan	11

6.1	FMV-intern samverkan	11

6.2	FMV-extern samverkan	11

Mallinformation

Versionshistorik för mallen

Datum	Version	Beskrivning	Ansvarig	Fastställd
2021-05-18	1.0	ISD 3.1	Ulf Christensen

Generell mallinstruktion

Detta kapitel är information om mallen och anvisningar avsedda att hjälpa författaren. Kapitlet ska raderas i sin helhet innan dokumentet färdigställs.

Röd text (som denna) är en instruktion/rekommendation till författaren av dokumentet och ska raderas innan dokumentet färdigställs.

Text som befinner sig innanför ”<“ och ”>” uppdateras eller tas bort.

Övrig svart text kan användas i det färdigställda dokumentet.

Specifik mallinstruktion

Denna mall används för att skapa dokumentet ”ISD-strategi” i ISD-processens Identifiera-fas.

ISD-strategi står för Strategi för arbetet med informationssäkerheten.

ISD-strategin är ett inriktningsdokument för FMV Produktledare (PrL) för att ge genomförandeprojektet förutsättningar att säkerställa rätta nivåer av informationssäkerheten för utvecklingsobjektet.

ISD-strategin ska ge strategiska ingångsvärden vid utformningen av ISD-I och ISD-plan för genomförandeprojekten.

FMV Produktledare är ansvarig för ISD-strategin.

ISD-strategin godkänns av FMV Projektledare.

Dokumentstruktur Identifiera-fasen

Dokumentstrukturen för ISD-processens Identifiera-fas illustreras i figuren nedan. Här visas att ISD-strategin styr framtagning av en eller flera projektspecifika ISD-I med bilagor.

ISD-strategin styr framtagningen av ISD-I för genomförandeprojektet.

ISD-I dokumenterar bedömningen över realiserbarheten för informationssäkerheten i genomförandeprojektet och system.

AU-I dokumenterar analyser av indata och eventuellt kompletterande analyser. Resultatet från AU-I dokumenteras i ITSS-I som tillkommande krav.

ITSS-I omfattar de kända informationssäkerhetskrav som ställs på systemet.

Att tänka på i arbetet med framtagning av ISD-strategi

ISD-strategin utvecklas lämpligen i samarbete med designledningen inom aktuellt verksamhetsområde. Lämplig ISD-kompetens finns att tillgå hos ISD-rollen ISM, eventuellt i samråd med ISA.

Utveckling av ISD-strategin är även beroende av behov och krav ställda av FM. Här är FMs Systemmålsättningar (SMS) och särskild säkerhetsskyddsbedömning (SSB) exempel på relevant indata från kunden. Lämpligen utformas strategin i samarbete med FM.

Basfakta

Giltighet och version

Detta dokument är ISD-strategin för <produktområde>.

Datum	Version	Beskrivning	Ansvarig
<datum>	Initial version

Tabell 1 – Versionshistorik

Terminologi

Se referens [1] för en generell förteckning över begrepp och förkortningar som används inom ISD-processen. Följande tabell innehåller specifika begrepp och förkortningar som används i detta dokument.

Begrepp/förkortning	Definition/förklaring

Tabell 2 – Begrepp och förkortningar

Referenser

Använd kommentarskolumnen i tabellen nedan för att vid behov ange t.ex. status, klassning, utgivande organisation, författare eller årtal.

Referens	Beteckning	Kommentar
ISD v3.1, Begrepp och förkortningar	20FMV5903-1:1.1
ISD-processbeskrivning v3.1	20FMV5903-1:1
Beslut om krav på godkända säkerhetsfunktioner version 3.1 (KSF v3.1)	FM2014-5302:1

Tabell 3 – Referenser

Bilagor

Om detta dokument har några bilagor ska dessa förtecknas i detta avsnitt. Om inte, radera nedanstående och skriv ”Inga bilagor.”

Detta dokument har följande bilagor:

Bilaga 1: <titel på bilaga 1>

...

Inledning

Syfte

Syftet med ISD-strategin är att FMV Produktledare på en övergripande nivå ska definiera, styra och följa upp informationssäkerhetsarbetet inom sitt ansvarsområde. ISD-strategin används som ett inriktningsdokument för att ge berörda genomförandeprojekt rätt förutsättningar att leverera realiserbara system till FM ur ett informationssäkerhetsperspektiv.

Utifrån ett helhets- och livscykelperspektiv finns möjlighet att göra bedömningar och inriktningar som innebär ett effektivt genomförande av informationssäkerhetsarbetet i de olika genomförandeprojekten. Dokumentet innehåller nödvändig information för att ge bättre förutsättningar för framtagning av ISD-dokument i de berörda genomförandeprojekten såsom ISD-I, ISD-plan och ISD-D.

<syfte med just denna ISD-strategi kan skrivas här ifall den skiljer sig från det generella syftet som beskrivit ovan>

Produktområde

Detta avsnitt ska kortfattat och övergripande beskriva produktområdet så att läsaren förstår sammanhanget för de aktuella systemen. Hänvisa här gärna till mer utförliga beskrivningar t.ex. livscykelplan.

Genomförandeprojekt

Omfattning och krav

Detta avsnitt ska förteckna och översiktligt beskriva de genomförandeprojekt som är planerade att initieras inom ramen för denna ISD-strategi.

I beskrivningen av projekten ska det också beskrivas omfattningen av det ISD-arbete som ska genomföras. Som ett minimum ska följande riktlinjer efterföljas:

Underbyggt underlag för realiserbarhetsbedömningar genom nyttjande av mallarna för de olika Analysunderlagen (AU-I, AU-D osv.).

Spårbarhet i kravarbetet.

Uppfyllande av dokumenterade designbeslut.

Denna ISD-strategi omfattar följande genomförandeprojekt:

<genomförandeprojekt namn, kort beskrivning, samt krav på omfattning av ISD-arbetet >

ISD-strategin kan också användas för att beskriva en långsiktig strategi avseende ISD inom produktområdet och som därmed vidmakthålls genom återkommande uppdateringar. I detta fall behöver det klargöras att ovanstående genomföringsprojekt är de som i dagsläget är kända och som omfattats av strategin.

Styrning från Försvarsmakten

Tabell 4 är en förteckning över styrande dokument från FM som har påverkan på informationssäkerheten i de aktuella genomförandeprojekten.

Nr.	Dokument	Referens
<löpnummer>	<beslut/målsättning/princip/regel/m.m.>	<använd referenslistan i 1.3>

Tabell 4 – Styrande dokument från FM

Strategi

Klargörande av inriktningar

Detta avsnitt klargör hur gemensamma frågor runt informationssäkerheten ska hanteras i genomförandeprojektet. Dessa inriktningar är förtecknade i Tabell 5.

Följande är exempel på gemensamma frågor runt informationssäkerheten som bör hanteras i ISD-strategin:

Omfattning på informationssäkerhetsarbetet

Krav på omgivningen (system av system)

Användning av redan godkända FMV-komponenter

Inriktning över om standardiserade produkter, såsom COTS/GOTS/MOTS ska användas

Inriktning om Government Furnished Equipment (GFE) ska användas

Återbruk av system

Designregler och principer

Exponering

Inriktning ID	Beskrivning
<löpnummer>

Tabell 5 – Inriktning till genomförandeprojekten

Systemsamverkan

Detta avsnitt används för att klargöra vad det finns för systemsamverkan, för genomförandeprojekten att uppfylla eller ta hänsyn till, avseende informationssäkerhet.

Samverkande ID	Beskrivning
<löpnummer>

Tabell 6 – Systemsamverkan

Avgränsningar

Detta avsnitt används för att tydliggöra de avgränsningar som genomförandeprojekten ska förhålla sig till avseende informationssäkerhet.

Avgränsning ID	Beskrivning
<löpnummer>

Tabell 7 – Avgränsningar

Gemensamma säkerhetsfunktioner

För att effektivisera informationssäkerhetsarbetet kan det vara lämpligt att använda gemensamma säkerhetsfunktioner för flera system.

Detta kan även vara en fördel ur ett informationssäkerhetsperspektiv. T.ex. kan ett gemensamt intrångsdetekteringssystem korrelera händelser från flera olika system samtidigt och därmed ha större möjligheter att identifiera intrång. Ett annat exempel är analysen av säkerhetsloggar, där du får en bättre helhetsbild om loggar från flera system kan analyseras samtidigt.

En gemensam säkerhetsfunktion kan vara realiserad i ett helt externt system (t.ex. FM gemensam tid via FM IP). Det kan också vara en kombination av att delar av en säkerhetsfunktion ska realiseras i aktuellt system medan andra delar är realiserade i externt system, t.ex. intrångsdetektering.

Tabell 8 anger säkerhetsfunktioner som skall uppfyllas gemensamt, helt eller delvis.

Säkerhetsfunktioner	Beskrivning

Tabell 8 – Gemensamma säkerhetsfunktioner

Vidmakthållande

< Beskriv FMVs roll över vidmakthållandet av informationssäkerheten i de framtagna systemen >

Utmaningar

Identifiera, lista och beskriv utmaningar som ur strategiskt perspektiv behöver hanteras av de berörda genomförandeprojekten. Ett exempel på utmaning är hantering av tolkningsföreträde vid kravkonflikter (t.ex. mellan krav på tillgänglighet och säkerhet). Ett annat exempel på utmaning är hantering av ömsesidiga beroende mellan olika genomförandeprojekt.

<Lista utmaningar>

Finansiering

Produktledaren ska säkerställa att ISD-arbetet tilldelas tillräckliga resurser inom aktuella genomförandeprojekt. Detta kan även omfatta krav på oberoende granskning, omfattande penetrationstestning eller certifiering (t.ex. genom Common Criteria).

<Beskriv krav på finansiering av ISD-arbetet för respektive genomförandeprojekt>

Projektsamverkan

FMV-intern samverkan

Ange i detta avsnitt vilken FMV-intern samverkan som är fördelaktig eller som krävs:

FMV-interna samverkansparter för respektive genomförandeprojekt

I förekommande fall de Tekniska chefer (TC), Chefsingenjörer (CI) och/eller Systemingenjörer (SI) som har ett intresse i genomförandeprojekten

Samverkansform med FMV Marknad och inköp (M&I)

Andra interna samverkansparters

<Ange FMV-intern samverkan>

FMV-extern samverkan

Ange i detta avsnitt vilken extern samverkan som behövs, exempelvis FM PROD.

<Ange FMV-extern samverkan>