Un'analisi dei rischi prototipo

La maggior parte delle descrizioni dei processi di analisi di rischio sottolineano che l'identificazione del rischio, ranking, e la mitigazione è un processo continuo e non semplicemente un solo passo da completare in una fase del ciclo di vita di sviluppo. I risultati delle analisi del rischio e le categorie di rischio in auto quindi sia in requisiti (inizio del ciclo di vita) e nel test (in cui i risultati di rischio possono essere utilizzati per definire e pianificare particolari test).

L'analisi del rischio, essere un soggetto specializzato, è Non sempre meglio eseguito esclusivamente dal team di progettazione senza assistenza da parte di professionisti di rischio al di fuori della squadra. Analisi del rischio rigorosa si basa molto sulla comprensione di impatto sul business, che può richiedere una comprensione delle leggi e dei regolamenti per quanto il modello di business supportato dal software. Inoltre, la natura umana impone che gli sviluppatori ei designer hanno costruito alcune ipotesi per quanto riguarda il loro sistema e dei rischi che essa deve affrontare. Rischio e sicurezza specialisti possono almeno aiutare nel mettere in discussione quei presupposti contro le migliori pratiche generalmente accettate e sono in una posizione migliore per "assumere nulla".
Un approccio di analisi dei rischi prototipico coinvolge diverse attività importanti che spesso includono un certo numero di sub di base passi per

Imparare il più possibile sul target di analisi
-.. Leggere e comprendere le specifiche, i documenti di architettura, e di altri materiali di design
-. Discutere e riflettere sul bersaglio con un gruppo .
- Determinare limite del sistema e dei dati di sensibilità /criticità
-. Gioca con il software (se esiste in forma eseguibile)
-. Studiare il codice e altri artefatti software (compreso l'uso di strumenti di analisi del codice )
-. identificare le minacce e concordare le fonti di attacco (ad esempio, saranno addetti ai lavori considerati)

Discutere i problemi di sicurezza che circondano il software
-?.. discutere come funziona il prodotto e determinare aree di disaccordo o ambiguità
-. Identificare possibili vulnerabilità, a volte facendo uso di strumenti o liste di vulnerabilità comuni
-. mappa Pianifica exploit e cominciare a discutere di possibili correzioni
-. La comprensione di guadagno di sicurezza attuali e previsti . Controlli

Determinare probabilità di compromesso
-. Delineare scenari di attacco per gli exploit di vulnerabilità
-. I controlli Balance contro capacità minaccia per determinare la probabilità

Eseguire analisi di impatto <.. br> - determinare impatti sulle attività e gli obiettivi di business
-.. Considerare impatti sulla postura sicurezza

rischi Classifica

Sviluppare una strategia di mitigazione
-. Consigliare contromisure per mitigare i rischi .

risultati della relazione
- descrivere accuratamente i rischi maggiori e minori, con attenzione agli impatti
-.. Fornire informazioni di base riguardanti dove spendere le risorse limitate di mitigazione

Un certo numero di diversi approcci all'analisi dei rischi per la sicurezza sono stati ideati e praticato nel corso degli anni. Anche se molti di questi approcci sono stati inventati espressamente per l'utilizzo nel settore della sicurezza di rete, che ancora offrono lezioni di analisi dei rischi preziose Hotel  .;