ISD - Informationssäkerhet

Det samlade värdet av den information och de tjänster som hanteras i systemen ökar oerhört snabbt. De negativa konsekvenserna som olika former av skador på våra system orsakar ökar därmed med nödvändighet i motsvarande takt.

Dessvärre ökar även frekvensen av IT-incidenter, dels som en följd av den ökade användningen och dels beroende på ökad komplexitet hos systemen.

Det allt högre aggregerade värdet hos informationen och tjänsterna hos informationssystemen gör dem i allt högre omfattning till en intressant måltavla för olika former av angrepp.

Den ökande komplexiteten tillsammans med högre tempo och dynamik i funktionstillväxt ställer höga krav på strukturerat arbete med informationssäkerhet. Därför har ISD-processen införts vid FMV på uppdrag av Försvarsmakten.

Syfte med ISD

Det grundläggande syftet med ISD-processen är att Försvarsmakten ska kunna operera de tekniska system som FMV anskaffar med en tolerabel risknivå. För att det ska vara möjligt krävs att:

• Försvarsmakten har förtroende för FMV:s arbetssätt och leveranser.
• FMV har förtroende för industrins arbetssätt och leveranser.
• Kvaliteten i FMV:s och industrins underlag ökar vilket påverkar de tekniska lösningarnas utformning.

ISD ska på ett i förhand känt sätt etablera spårbarhet utifrån Försvarsmaktens krav (vanligtvis i säkerhetsmålsättning) till FMV:s implementering.

Utöver det ska ISD leda till att rätt typ av granskningar, tester, analyser och evalueringar genomförs med rätt ambition och kvalitet. Det kommer att underlätta för Försvarsmakten när man tar riskbeslut, så som beslut om användning, BoA.

ISD-processen ska bidra till att balansen mellan ekonomi och risk blir god, vilket sker genom olika former av dialoger mellan Försvarsmakten och FMV samt inom FMV.

God informationssäkerhet kräver balans mellan funktion och assurans, där assurans är ”tillit till att ett systems eller en produkts säkerhetsfunktioner uppfyller specificerade säkerhetskrav”.

Den här tilliten kan skapas genom dokumentationsgranskning, tester och evalueringar. Det finns ingen bortre gräns för hur många assuransaktiviteter man kan genomföra.

Nyckeln är att på förhand förstå vilken ambition som detta arbete ska ha för att leverera en tillräcklig grad av assurans.

ISD medför att ambitionen med funktion och assurans tydliggörs redan vid initiering av uppdrag.

ISD:s digitala handböcker