<SYSTEM> <VERSION>
ANALYSUNDERLAG IDENTIFIERA (AU-I)

Innehåll

Mallinformation	3

Versionshistorik för mallen	3

Generell mallinstruktion	3

Specifik mallinstruktion	3

Dokumentstruktur Identifiera-fasen	4

Att tänka på i arbetet med framtagning av AU-I	4

1	Basfakta	5

1.1	Giltighet och version	5

1.2	Terminologi	5

1.3	Referenser	5

1.4	Underbilagor	5

2	Inledning	6

2.1	Syfte	6

3	Analys av indata	7

4	Kompletterande analyser	8

4.1	Verksamhetsanalys	8

4.2	Regelverksanalys	9

4.3	Säkerhetsanalys	9

4.4	Samråd med Försvarsmakten	10

Mallinformation

Versionshistorik för mallen

Datum	Version	Beskrivning	Ansvarig	Fastställd
2021-05-19	1.0	ISD 3.1	Ulf Christensen

Generell mallinstruktion

Detta kapitel är information om mallen och innehåller anvisningar för att hjälpa författaren. Kapitlet ska raderas i sin helhet innan dokumentet färdigställs.

Röd text (som denna) är en vägledning till författaren av dokumentet och ska raderas innan dokumentet färdigställs.

Text som befinner sig innanför ”<“ och ”>” uppdateras eller tas bort. T.ex. ska <system><version> ersättas med informationssystemets namn och version (d.v.s. det informationssystem som ska ackrediteras).

Övrig svart text kan användas i det färdigställda dokumentet.

Specifik mallinstruktion

Denna mall används för att skapa dokumentet AU-I i ISD-processens Identifiera-fas.

FMV Produktledare är ansvarig för AU-I.

Eftersom AU-I är en bilaga till ISD-I så sker godkännandet i och med att ISD-I godkänns.

Dokumentstruktur Identifiera-fasen

Dokumentstrukturen för ISD-processens Identifiera-fas illustreras i figuren nedan. ISD-strategin styr framtagningen av ISD-I med dess bilagor.

ISD-I deklarerar genomförandeprojektets realiserbarhet av informationssäkerheten.

AU-I dokumenterar de analyser av indata projektet erhållit, men också eventuellt kompletterande analyser som behövts genomföras. Resultatet dokumenteras i ITSS-I som tillkommande krav.

ITSS-I omfattar de kända informationssäkerhetskrav som ställts på systemet.

Att tänka på i arbetet med framtagning av AU-I

Lämpligt stöd för PrL att producera AU-I finns sannolikt hos ISA- eller ISM-rollen.

Skulle inget behov finnas att dokumentera analyserna i AU-I, behöver inte detta dokument skapas.

Arbetet i ISD-processens Identifiera-fas utgår från verksamhetens perspektiv för informationssystemets hela livscykel. Lämpliga indata till analyserna kan inhämtas från:

Särskild säkerhetsskyddsbedömning SSB (ibland kallad Säkerhetsmålsättning eller Informationssäkerhetsmålsättning).

FM ITSS (kan vara en bilaga till SSB eller ett självständigt dokument)

ISD-strategi

Andra styrande dokument, internationella standarder eller säkerhetsrelaterade dokument som påverkar kravmassan

Kraven som framkommer ur de tillkommande analyserna ska överföras till ITSS-I.

Basfakta

Giltighet och version

Detta dokument är Analysunderlag i ISD-processens Identifiera-fas (AU-I) för <system><version> inför FMV VHL T1-beslut.

Datum	Version	Beskrivning	Ansvarig
<datum>	Initial version

Tabell 1 – Versionshistorik

Terminologi

Se referens [1] för en generell förteckning över begrepp och förkortningar som används inom ISD-processen. Följande tabell innehåller specifika begrepp och förkortningar som används i detta dokument.

Begrepp/förkortning	Definition/förklaring

Tabell 2 – Begrepp och förkortningar

Referenser

Använd kommentarskolumnen i tabellen nedan för att vid behov ange t.ex. status, klassning, utgivande organisation, författare eller årtal.

Referens	Beteckning	Kommentar
ISD v3.1, Begrepp och förkortningar	20FMV5903-1:1.1
Beslut om krav på godkända säkerhetsfunktioner version 3.1 (KSF v3.1)	FM2014-5302:1

Tabell 3 – Referenser

Underbilagor

Om detta dokument har några underbilagor ska dessa förtecknas i detta avsnitt. Om inte, radera nedanstående och skriv ”Inga underbilagor.”

Detta dokument har följande underbilagor:

Underbilaga 1: <titel på bilaga 1>

…

Inledning

Syfte

Syftet med AU-I är att dokumentera de analyser som utförts i ISD-processens Identifiera-fas. Dessa analyser används sedan i realiserbarhetsbedömningen som dokumenteras i ISD-I.

Analys av indata

Detta kapitel redovisar analyserad indata och dess eventuella bister.

Analys av indata från Försvarsmakten görs i syfte att identifiera brister i indata som riskerar att informationssystemet inte blir realiserbart ur ett informationssäkerhetsperspektiv.

Se anvisningar i mallen för huvuddokumentet ISD-I vad som ingår i en realiserbarhetsbedömning i denna fas.

Visar analysen att det finns brister i indata som behöver åtgärdas finns det en av två vägar att gå:

Bristerna påtalas för Försvarsmakten som åtgärdar, eventuellt med hjälp av FMV. FMV gör därefter en förnyad analys.

Bristerna påtalas för Försvarsmakten, men som inte har möjlighet att åtgärda dem. FMV genomför då kompletterande analyser och dokumenterar dessa i denna AU-I. Därefter genomförs samråd med Försvarsmakten om resultatet från analyserna så att acceptans uppnås av båda parter. Kraven som kommer ur analyserna hanteras såsom krav från Försvarsmakten och redovisas i ITSS-I.

Viss indata kan bestå av styrande referenser till designregler, instruktioner, handböcker och liknande. Sådan styrning kompletterar kravbilden och kan även göra den tydligare. Försvarsmakten årliga utgåva av SAMSÄK (”Sammanställning över bestämmelser och riktlinjer för säkerhetstjänsten”) förtecknar samtliga säkerhetsrelaterade och gällande internationella säkerhetsskyddsåtaganden, lagar och förordningar. Här ingår också föreskrifter, FFS, FIB, handböcker, instruktioner och skrivelser som Försvarsmakten publicerat.

Kontrollera i SAMSÄK om det är någon styrande referens som saknas kravställningen som borde ingått. Kontrollfråga ställs i förekommande fall till Försvarsmakten.

SAMSÄK finns för närvarande länkad i denna websida: https://www.forsvarsmakten.se/sv/organisation/hogkvarteret/militara-underrattelse-och-sakerhetstjansten/

<Lista indata som analyserats och beskriv vilka eventuella brister som framkom i analyserna.>

Kompletterande analyser

Kompletterande analyser används ifall det framkom i föregående kapitel att indata har brister som behöver åtgärdas och att det är FMV som ska genomföra åtgärderna. Dessa analyser kompletterar då indata och förbättrar därmed förutsättningarna för ISD-arbetet.

De avsnitt som anges nedan motsvarar analyser som genomförs när en SSB från Försvarsmakten utvecklas. Finns behov av andra analyser kan fler avsnitt läggas till.

Om inga kompletterande analyser har genomförts, skriv ”Inga kompletterande analyser har genomförts” och radera alla efterföljande avsnitt.

De kompletterande analyserna är dokumenterade i detta kapitel.

Verksamhetsanalys

Verksamhetsanalysen beskriver i informationssäkerhetssammanhang den verksamhet som ett informationssystem är tänkt att stödja. Den beskriver även vilka slags uppgifter som informationssystemet är avsett att behandla, uppgifternas värde för verksamheten samt verksamhetens krav på skydd, riktighet och tillgänglighet. Verksamhetsanalysen utgör en utgångspunkt för regelverksanalys och säkerhetsanalys. Verksamhetsanalysen är också det som sätter KSF-kraven i sin kontext och som möjliggör att en säkerhetsarkitektur utvecklas och KSF-kraven tolkas.

Om verksamhetsanalysen inte utförts eller är inaktuell ska den genomföras och redovisas här. Stöd om vad som ingår i en verksamhetsanalys finns i H SÄK Infosäk. Från denna analys framkommer tillkommande krav i form av verksamhetens krav på informationssäkerhet. Dessa krav överförs till ITSS-I som ”Tillkommande säkerhetskrav”.

Följande text är ett utdrag från H SÄK Infosäk:

Följande punkter är en vägledning för att utarbeta sådana beskrivningar.

Vilken verksamhet ska IT-systemet stödja?

Nationellt – internationellt?

Fred – kris – krig?

Kommer personal från en annan stat eller mellanfolklig organisation använda IT-systemet?

Är IT-systemet avsett för användning utanför Försvarsmaktens objekt, lokaler och områden?

Är IT-systemet avsett för distansarbete?

Vem har ansvaret för den verksamhet som IT-systemet ska stödja?

Vem har ansvaret för IT-systemet och i vilken roll?

Vilka resurser finns för att skydda IT-systemets delar och informationen i dessa?

Vilka andra verksamheter eller organisationsenheter är beroende av den verksamhet som IT-systemet ska stödja?

Vilka funktioner – vilken information?

Vilka (andra) verksamheter eller organisationsenheter är beroende av IT-systemet?

Vilka funktioner – vilken information?

Behandlad information

Vilken typ av information är IT-systemet avsett att behandla?

Sekretessbedömning.

Finns begränsningar av vem som får behandla uppgifter i IT-systemet?

Finns begränsningar för personal från en annan stat eller mellanfolklig organisation att ta del av uppgifter som behandlas i IT-systemet?

Finns begränsningar (caveat) i att delge eller använda uppgifter som avses behandlas i IT-systemet?

Verksamhetens krav på tillgänglighet.

Verksamhetens krav på riktighet.

Verksamhetens krav på spårbarhet

Verksamhetens behov av nödöppning.

Kommunikation

Vilket behov finns att överföra information på flyttbara lagringsmedier?

Vilket behov finns att överföra information genom elektroniska kommunikationsnät?

Övrig kommunikation till andra IT-system?

<Verksamhetsanalys>

Regelverksanalys

En regelverksanalys syftar till att beskriva vilka lagar, förordningar, föreskrifter, bestämmelser och andra regler som är aktuella för informationssystemet och för de uppgifter som det ska behandla.

Om regelverksanalys inte utförts, eller är inaktuell ska den genomföras och redovisas här. Stöd om vad som ingår i en regelverksanalys finns i H SÄK Infosäk. Från denna analys framkommer tillkommande krav på informationssäkerhet i form av regelverkskrav. Dessa krav överförs till ITSS-I som ”Tillkommande säkerhetskrav”.

<Regelverksanalys>

Säkerhetsanalys

Säkerhetsanalysen identifierar och prioriterar alla skyddsvärd verksamhet och alla skyddsvärda tillgångar som systemet hanterar -inklusive systemet självt. Därefter görs en konsekvensbedömning över vad dessa identifierade verksamheter och tillgångar utsätts för vid en oönskad händelse. Analysarbetet avslutas med en riskhantering baserad på en hot-, risk- och sårbarhetsanalys.

Om någon säkerhetsanalys inte är gjord eller är inaktuell ska den genomföras och redovisas här. Stöd om vad som ingår i en säkerhetsanalys finns i H SÄK Infosäk och Reglemente säkerhetstjänst 2021. Från denna analys framkommer tillkommande krav på informationssäkerhet i form av säkerhetskrav. Dessa krav överförs till ITSS-I som ”Tillkommande säkerhetskrav”.

<Säkerhetsanalys>

Samråd med Försvarsmakten

De kompletterande analyserna leder fram till krav som kan påverka kostnader, prestanda, förmågor och verksamheten. Det är därför viktigt att det finns en dokumenterad acceptans av det som FMV har kommit fram till och som härifrån blir styrande för projektet.

De kompletterande analyserna som dokumenterats här har accepterats av Försvarsmakten och FMV och gäller för informationssystemet. Denna överenskommelse har skapats i samråd genom följande forum:

<referera till mötesprotokoll/granskningsrapport/eller dylikt som kan bekräfta samråden>