| dc.description.abstract | NORSK:
Tjenesteleverandører har ofte mange nettverk koblet sammen i komplekse arkitekturer. Denne
arkitekturen er i stadig endring, det kan være grunnet endringer som må gjøres pga tekniske
løsninger, eller for at noen kunder skal kobles inn i arkitekturen eller ut av arkitekturen.
Arbeidet med disse endringene gjøres ofte under et tidspress, dette gir ikke store muligheter til
å gjøre evalueringer rundt sikkerheten i nettverkene som er berørt. Dette medfører at man ofte
kan legge på unødvendige sikkerhetsbarrierer mellom nettverk, eller at man kobler inn eller
gjør endringer i arkitekturen som ikke er optimal med hensyn til sikkerhet.
For å kunne gjøre endringer i en arkitektur ved å koble inn, koble ut eller omkonfigurere
nettverk, uten at dette skader den totale tillitsverdigheten til arkitekturen, har vi definert en
prosess som kan benyttes for å si noe om tillitsverdigheten til nettverkene. Ved å benytte
denne prosessen, vil man kunne angi de enkelte nettverk (segmenter) i en kompleks arkitektur
sin tillitsverdighet. Man vil også kunne benytte prosessen for å angi et nettverks
tillitsverdighet før man kobler det inn i en eksisterende arkitektur.
Når vi startet arbeidet med utviklingen av en slik prosess, så vi raskt at dette var en prosess
som i utgangspunktet kan benyttes til alle typer målinger ved hjelp av metrikker. Men for at vi
skulle ha noe konkret å sjekke prosessen opp mot, har vi benyttet oss av tillitsverdigheten til
et nettverk/system som grunnlag for utviklingen av prosessen.
En prosess som skal benyttes til en slik måling av tillitsverdighet må være enkel og
kostnadseffektiv å benytte. Samtidig som den skal gi det riktige bildet av et nettverks
tillitsverdighet. Prosessen som vi har utviklet kan benyttes til andre målinger, så lenge
metrikkene er laget etter gitt mal.
Det eksisterer flere måter å evaluere systemer på. De fleste vil kunne si noe om et nettverk sin
tillitsverdighet. Dette er både metoder/verktøy som benyttes i utviklingsfasen av et produkt
eller system, og metoder/verktøy som benyttes til å gjøre sanntidsmålinger av systemene. Vi
mener at slike systemer er veldig tidkrevende, og vil derfor ikke være kostnadseffektive å
benytte. Samtidig ser vi et behov for at en slik prosess enkelt skal kunne tilpasses en
virksomhet sine policyer, og kunne skreddersys etter hvilke regler man ønsker å anslå
tillitsverdigheten.
Vår viktigste interessent i dette arbeidet er ErgoIntegration, som er en av Norges største
tjenestetilbyder. ErgoIntegration har en kompleks infrastruktur som til en hver tid er i
forandring, og det er derfor viktig at sikkerheten ikke blir redusert ved at det gjøres endringer
i arkitekturen. For å ivareta dette har vi utviklet denne prosessen som skal være kosteffektivt å
bruke.
Vi har utviklet en prosess som vil kunne være en nyttig hjelp til de som ønsker å gjøre
målinger og anslå et system sin tillitsverdighet. Prosessen er basert på tre del-prosesser. Den
første del-prosessen en virksomhet må gjennom er å finne ut hvilke policy de ønsker å måle
sine nettverk opp mot. Dette kan gjøres ved at man benytter eksisterende policy eller
referansemodeller. Det kan også gjøres ved hjelp av undersøkelser og samtaler med personer
som har ansvaret for sikkerheten og de som jobber med sikkerheten i en virksomhet. Vi ser
det i så fall som avgjørende at det er deltagere fra flere deler av en organisasjon som er med
på arbeidet. Dette bør være deltagere fra både teknisk og ikke tekniske avdelinger.
Prosessen vi har utviklet inneholder tre del-prosesser. Den policy man kommer frem til i Del-
Prosess 1, skal brytes ned i metrikker, som er den andre del-prosessen, slik at man får
konkrete målepunkter å måle på. Disse metrikkene defineres etter en gitt mal. Resultatene fra
undersøkelsene som gjennomføres i Del-Prosess 3 kan enkelt angis med en verdi som er enkel
å gjenbruke for sammenligning av resultater fra forskjellige undersøkelser.
Når metrikkene er definert, vil disse kunne implementeres inn i et toolkit, som benyttes får å
gjøre selve målingen av nettverket. Prototyp av toolkitet har vi utviklet som en
relasjonsdatabase, og vil kunne benyttes for målinger av hvilke som helst metrikker, så lenge
de er definert etter den gitte malen. | no |
