🔐 Øvelse 9 (Gruppeøvelse) – Udarbejdelse af sikkerhedsmål for borger.dk
ℹ️ Information
Formålet med denne øvelse er at træne overgangen fra systemmål til sikkerhedsmål ved at udarbejde sikkerhedsmål baseret på misbrugstilfælde.
Fokus er på, hvordan forretningen kan blive skadet, hvis systemet misbruges – ikke på tekniske trusler.
💡 Brug CIA-modellen (Confidentiality, Integrity, Availability) til at vurdere, hvordan hvert systemmål kan misbruges.
Bemærk: Ikke alle systemmål har nødvendigvis relevante misbrugstilfælde.
📝 Instruktioner
-
🧠 Brainstorm misbrugstilfælde
- Gennemgå brugstilfældediagrammet fra forrige øvelse.
- Identificer mulige misbrugstilfælde, hvor systemet kan blive udnyttet til skade for forretningen(CIA).
- Påtegn misbrugstilfælde på diagrammet løbende.
- Se eksemplet fra dagens forberedelse som vejledning.
-
🎯 Udarbejd sikkerhedsmål
- Formulér minimum 2 misbrugstilfælde baseret på de identificerede misbrugstilfælde på diagrammet.
- Anvend CIA-modellen til at sikre, at sikkerhedsmålene dækker fortrolighed, integritet og tilgængelighed, hvor relevant.
- Se eksemplet fra dagens forberedelse som vejledning.
Kobling til relevante standarder og principper
Når I arbejder med sikkerhedsmål i denne øvelse, relaterer det sig til krav og anbefalinger i centrale standarder og principper for software- og informationssikkerhed. Disse sikrer, at sikkerhedsmålene er klare, relevante og anvendelige som fundament for efterfølgende analyse og design.
| Element i øvelsen | Relateret standard / princip | Kommentar |
|---|---|---|
| Definition af sikkerhedsmål | OWASP ASVS 5.0.0 – Appendix D (Software Security Processes) | Anbefaler brug af en sikker udviklingslivscyklus, hvor sikkerhedsmål identificeres og anvendes i alle udviklingsfaser. |
| Definition af sikkerhedsmål | ISO/IEC 27002:2022, afsnit 8.26 (Application security requirements) | Kræver, at alle informationssikkerhedskrav identificeres og dokumenteres. Sikkerhedsmål er et vigtigt grundlag for dette |
| Brug af CIA-modellen til udledning af sikkerhedsmål | ISO/IEC 27002:2022, kapitel 8.27 (Secure system architecture and engineering principles) | CIA er grundlæggende for vurdering af fortrolighed, integritet og tilgængelighed i sikkerhedsarbejde. |