⚖️ Øvelse 12 – Udarbejd risikovurdering til webapplikation
ℹ️ Information
I denne øvelse skal I udføre en risikovurdering af de misbrugstilfælde, I identificerede i den forrige øvelse.
👉 Denne øvelse bygger videre på jeres arbejde med system- og sikkerhedsmål i øvelse 11.
Misbrugstilfældene beskriver situationer, hvor systemets forretningsmæssige mål eller aktiver kan kompromitteres. I denne øvelse skal I vurdere:
- hvor sandsynligt det er, at et misbrugstilfælde realiseres
- hvor stor konsekvens det vil have for organisationen, hvis det realiseres
På baggrund af vurderingen kan misbrugstilfældene prioriteres.
Denne prioritering danner grundlag for den efterfølgende trusselsmodellering, hvor de vigtigste misbrugstilfælde analyseres nærmere på teknisk niveau.
🎯 Formålet med risikovurderingen
Det er sjældent muligt at analysere alle tænkelige sikkerhedsproblemer lige grundigt.
Risikovurderingen hjælper derfor teamet med at besvare spørgsmålet:
Hvilke misbrugstilfælde bør vi prioritere vores sikkerhedsarbejde omkring?
I denne øvelse anvender vi den simple model:
Risiko = Sandsynlighed × Konsekvens
- Sandsynlighed beskriver, hvor sandsynligt det vurderes at være, at misbrugstilfældet realiseres.
- Konsekvens beskriver, hvor stor skade det kan medføre for organisationen, hvis misbrugstilfældet realiseres.
Tilgangen i faget software sikkerhed er pragmatisk og målrettet softwareudviklingsteams.
Formålet er ikke at producere præcise målinger, men at skabe kvalificerede og begrundede estimater, som kan anvendes til prioritering.
Vurderingerne kan ændre sig, efterhånden som teamet får ny viden om systemet, trusselsaktører, aktiver eller forretningsmæssige konsekvenser. Risikovurdering skal derfor betragtes som en løbende og iterativ aktivitet.
🤝 Risikovurdering som teamaktivitet
Dialogen under risikovurderingen er vigtig.
Et udviklingsteam har ikke nødvendigvis selv den nødvendige viden til at vurdere alle konsekvenser eller sandsynligheder.
Det kan derfor være nødvendigt at inddrage relevante interessenter eller domæneeksperter.
Eksempelvis kan et udviklingsteam have svært ved selv at afgøre:
- hvor stort et økonomisk tab en bestemt hændelse kan medføre
- hvor kritiske bestemte data er for organisationen
- hvor længe en tjeneste kan være utilgængelig
- hvilke typer misbrug organisationen tidligere har oplevet
Risikovurderingen handler derfor ikke kun om at nå frem til en score.
En vigtig del af arbejdet er også at opdage:
- hvor gruppens medlemmer er uenige
- hvor vurderinger bygger på forskellige antagelser
- hvor der mangler viden
- hvor der er uklarheder om systemet, forretningen eller konsekvenserne
Hvis to personer vurderer det samme misbrugstilfælde meget forskelligt, er det ikke nødvendigvis et problem i processen.
Det kan tværtimod være et tegn på, at gruppen har identificeret noget, som bør undersøges nærmere.
Eksempel:
“Jeg vurderer konsekvensen som alvorlig.”
“Det er jeg ikke enig i – jeg mener kun, den er moderat.”
“Hvad bygger vores forskellige vurderinger på?”
Denne dialog kan afsløre, at gruppen mangler information eller arbejder ud fra forskellige antagelser.
I sådanne tilfælde er et vigtigt resultat af risikovurderingen derfor ikke kun en score, men også et spørgsmål, der skal afklares.
Når I laver vurderingerne, skal I derfor ikke kun spørge:
Hvad vurderer vi?
men også:
Hvad bygger vi vurderingen på?
og:
Hvad ved vi endnu ikke?
📝 Usikkerhed er en del af risikovurderingen
I praksis arbejder vi ofte med risikoestimater frem for præcise målinger.
Når I mangler information:
- lav et kvalificeret skøn
- dokumentér jeres antagelser
- notér, hvor der er væsentlig usikkerhed
- identificér, hvilken viden I mangler
- overvej, hvem der kan hjælpe med den manglende viden
En vurdering kan altid revurderes, når ny information bliver tilgængelig.
📌 Eksempel på risikovurdering
Antag, at gruppen i øvelse 11 har identificeret følgende misbrugstilfælde:
En trusselsaktør kan ændre en anden kundes ordredata.
Nu kan gruppen vurdere konsekvens og sandsynlighed.
Konsekvens
Spørg:
Hvor stor skade kan det medføre for organisationen, hvis misbrugstilfældet realiseres?
Overvej eksempelvis:
- økonomisk tab
- påvirkning af kunder
- tab eller ændring af data
- driftsmæssige konsekvenser
- juridiske eller kontraktuelle konsekvenser
- skade på organisationens omdømme
Gruppen kunne eksempelvis vurdere konsekvensen som alvorlig (4).
Vurderingen skal kunne begrundes.
Sandsynlighed
Spørg:
Hvor sandsynligt vurderer vi, at dette misbrugstilfælde kan realiseres?
Vurderingen foretages ud fra den viden, gruppen har til rådighed.
Gruppen kunne eksempelvis vurdere sandsynligheden som mulig (3).
Igen bør gruppen kunne forklare, hvilke antagelser vurderingen bygger på.
Risiko
Risikoscoren bliver:
Risiko = Sandsynlighed × Konsekvens
Risiko = 3 × 4 = 12
Scoren kan derefter sammenlignes med scorerne for de øvrige misbrugstilfælde og anvendes som hjælp til prioritering.
🔢 Kvalitativ risikovurdering med numeriske scores
I denne øvelse anvender vi en kvalitativ tilgang, hvor de kvalitative niveauer får numeriske værdier.
Tallene gør det lettere at sammenligne og prioritere de forskellige misbrugstilfælde.
Eksempel på konsekvensskala
| Score | Konsekvens |
|---|---|
| 1 | Ubetydelig |
| 2 | Begrænset |
| 3 | Moderat |
| 4 | Alvorlig |
| 5 | Katastrofal |
Det er ikke nok blot at navngive niveauerne.
Gruppen bør diskutere, hvad de enkelte niveauer betyder i den konkrete kontekst.
Eksempelvis:
Hvornår vurderer vi en konsekvens som "moderat" frem for "alvorlig"?
Hvornår bliver en konsekvens "katastrofal"?
Ord som moderat, alvorlig og katastrofal kan forstås forskelligt fra person til person. Derfor bør gruppen så vidt muligt beskrive niveauerne med konkrete kriterier.
En katastrofal konsekvens kan eksempelvis være forbundet med:
- meget stort økonomisk tab
- tab af kritiske data
- længerevarende driftsstop
- alvorlige juridiske eller kontraktuelle konsekvenser
- omfattende påvirkning af kunder eller organisationen
💡 Jo tydeligere kriterierne for niveauerne er, desto lettere bliver det at anvende skalaen konsistent.
Eksempel på sandsynlighedsskala
| Score | Sandsynlighed |
|---|---|
| 1 | Usandsynlig |
| 2 | Sjælden |
| 3 | Mulig |
| 4 | Sandsynlig |
| 5 | Næsten sikker |
Også her bør gruppen skabe en fælles forståelse af niveauerne.
Ord som sjælden, mulig og sandsynlig kan forstås forskelligt.
Diskutér derfor eksempelvis:
- Hvad betyder det, at noget er sjældent?
- Hvornår vurderer vi noget som muligt?
- Hvad skal der til, før noget vurderes som sandsynligt?
Forsøg også her så vidt muligt at beskrive niveauerne med konkrete kriterier, der passer til den aktuelle kontekst.
Det vigtigste er ikke de præcise betegnelser, men at gruppen anvender skalaen konsistent og med en fælles forståelse.
⚖️ Risikoscore og prioritering
Risikoscoren beregnes som:
Risiko = Sandsynlighed × Konsekvens
Eksempel:
- Sandsynlighed = Mulig (3)
- Konsekvens = Alvorlig (4)
Risiko = 3 × 4 = 12
En højere score indikerer i denne simple model en højere prioritet.
⚠️ Vigtigt: Tallet er ikke en præcis måling af risiko.
Det er et hjælpemiddel til at sammenligne og prioritere misbrugstilfældene.
Risikoscoren bør derfor ikke stå alene. Når I prioriterer, bør I også tage højde for:
- hvilke antagelser vurderingen bygger på
- hvor stor usikkerhed der er i vurderingen
- hvilken viden der eventuelt mangler
To misbrugstilfælde med næsten samme score kan derfor godt kræve forskellig opmærksomhed, hvis vurderingerne bygger på meget forskellig grad af viden og usikkerhed.
Hvis I ønsker at kategorisere scorer som eksempelvis lav, middel eller høj risiko, skal I først definere, hvilke scoreintervaller der hører til de forskellige kategorier.
Det kan eksempelvis gøres gennem en risikomatrix.
📝 Instruktioner
-
📊 Udarbejd en kvalitativ skala for konsekvens.
-
📈 Udarbejd en kvalitativ skala for sandsynlighed.
-
🔢 Tilknyt en numerisk score til niveauerne på begge skalaer, fx 1–5.
-
📝 Beskriv kort, hvad de forskellige niveauer betyder i jeres kontekst, så gruppen har en fælles forståelse af skalaerne.
-
🔍 Vurder sandsynlighed og konsekvens for hvert misbrugstilfælde fra øvelse 11.
-
⚖️ Beregn en risikoscore:
Risiko = Sandsynlighed × Konsekvens
-
📋 Prioritér misbrugstilfældene med udgangspunkt i deres risikoscore samt de dokumenterede antagelser og usikkerheder.
-
💭 Notér væsentlige antagelser og usikkerheder i jeres vurderinger.
-
🎯 Identificér det misbrugstilfælde, som I vurderer bør prioriteres højest.
Dette misbrugstilfælde anvendes som udgangspunkt for den efterfølgende øvelse med trusselsmodellering.
💭 Refleksionsspørgsmål
-
Hvorfor er det vigtigt, at gruppen har en fælles forståelse af begreber som “alvorlig”, “katastrofal” og “sandsynlig”?
-
Hvilke antagelser og usikkerheder ligger bag jeres vurderinger af sandsynlighed og konsekvens?
-
Hvorfor skal en risikoscore betragtes som et hjælpemiddel til prioritering og ikke som en præcis måling af risiko?
-
Hvornår vil det være nødvendigt at inddrage en domæneekspert eller anden relevant interessent i risikovurderingen?
-
Hvordan hjælper risikovurderingen jer med at beslutte, hvilke misbrugstilfælde der skal analyseres videre gennem trusselsmodellering?
✅ Selvevaluering – du har forstået risikovurdering, når du...
Du har forstået den grundlæggende tilgang til risikovurdering i denne øvelse, når du kan:
- forklare forskellen mellem sandsynlighed, konsekvens og risiko
- forklare, hvorfor et misbrugstilfælde kan anvendes som udgangspunkt for en risikovurdering
- udarbejde og anvende en simpel skala for sandsynlighed og konsekvens
- forklare, hvorfor betegnelser som “alvorlig” og “katastrofal” skal defineres i den konkrete kontekst
- foretage et kvalificeret og begrundet estimat frem for blot at vælge en score
- forklare, hvorfor en risikoscore bruges til prioritering og ikke skal forstås som en præcis måling
- forklare, hvorfor antagelser og usikkerheder bør indgå i prioriteringen
- forklare, hvorfor risikovurdering bør revurderes, når der kommer ny viden eller systemets kontekst ændrer sig
- anvende resultatet af risikovurderingen til at vælge, hvilke misbrugstilfælde der bør analyseres videre gennem trusselsmodellering
💡 Hvis I kan forklare hvorfor I har givet et misbrugstilfælde en bestemt sandsynlighed og konsekvens – og hvilke antagelser vurderingen bygger på – er I godt på vej.