Analyzing Security Decisions with Discrete Event Simulation

Abstract

ENGELSK: As organizations become increasingly more dependent on information security in order to succeed, the security decisions made by the Chief Information Security Officer (CISO) also becomes important and needs to be considered in the context of the organization. However, since the complexity of the organization’s internal processes and the threats the organization is facing, the CISO needs a decision making tool or method in order to determine the effects of a specific security decision. Because of this, we have in this thesis determined the suitability of utilizing Key Performance Indicators (KPIs) and Discrete Event Simulation (DES) as a method to help the CISO make the "best" security decision for his organization. The thesis is based on a health care specific scenario which has been constructed in collaboration with Akershus University Hospital (Ahus), Rheumatism Hospital at Lillehammer and Buypass. The scenario includes a patient treatment process and the processes related to the usage of smart cards and passwords as authentication mechanisms. Furthermore, KPIs which focuses on time usage and number of deviations has been identified, where deviations within this health care specific scenario relates to more traditional security incidents. A case study was then conducted based on the scenario. The results of this case study indicate no statistical significant difference between the two authentication mechanisms with regards to the average time a doctor uses on a business activity. However, based on the number of deviations identified, smart cards were determined the preferred security measure of the two. In order to determine the suitability of the simulation approach, a second case study was also conducted. This second case study was based on the same scenario, but this time with a non-simulation approach. By comparing the process surrounding the two case studies, the non-simulation approach were determined the most cost-effective approach and the approach which provided the most direct link between the input data and the results. Based on this, the non-simulation approach was also determined the most suitable approach. However, we did determine that for "what if" analysis, the simulation approach becomes the best choice of the two. Should a "what if" analysis be desirable, we have in this thesis proposed a new methodology which modelers can utilize in order to reduces the complexity of the model building process. The methodology, called Minimalistic Model Design (MIMD), excludes the temporal relationship between the identified business activities within the business process. This exclusion helps to reduce total time used on the model building process, and enables better scalability.

NORSK: Ettersom organisasjoner blir stadig mer avhengige av informasjonssikkerhet for å kunne lykkes er det viktig at arbeidet som gjøres innen informasjonssikkerhet tilpasses organisasjonen. På grunn av den nødvendige tilpassingen må også sikkerhetsbeslutninger som gjøres av sikkerhetslederen vurderes i en organisasjonssammenheng. Kompleksiteten i organisasjonens og de trusler en organisasjonen står overfor gjør at sikkerhetslederen trenger verktøy og metoder for å fastslå hvilken effekt en avgjørelse har på organisasjonen. Vi har på grunn av dette valgt å se på nytteverdien av å benytte Key Performance Indicators (KPIer) og Discrete Event Simulation (DES) som en metode for å hjelpe sikkerhetslederen i å gjøre de "beste" sikkerhetsbeslutningene for sin organisasjon. Avhandlingen er basert på et scenario fra helsevesenet. Scenarioet er konstruert i samarbeid med Akershus universitetssykehus (Ahus), Revmatisme sykehuset på Lillehammer og Buypass. Scenarioet inkluderer en pasientbehandlingsprosess og prosessene knyttet til bruk av smartkort og passord som autentiseringsmekanismer. Videre er KPIer som inkluderer tid og antall avvik identifisert. I dette scenarioet er avvikene relatert til tradisjonelle sikkerhetshendelser. En tilfellestudie ble så utført basert på scenario som ble konstruert. Resultatene av denne undersøkelsen indikerer ingen statistisk signifikant forskjell mellom de to autentiseringsmekanismer i forhold til den gjennomsnittlige tiden en lege bruker på en arbeidsoppgave. Derimot viser resultatene at smartkort er den foretrukne sikkerhetsmekanismen basert på et færre antall inntreffende avvik. For å avgjøre hvor egnet simulering er for å avgjøre hvordan en sikkerhetsavgjørelse påvirker organisasjonen, ble en ny tilfellestudie gjennomført. Tilfellestudie er basert på det samme scenarioet, men denne gangen ble en tilnærming basert på en analytisk fremgangsmåte tatt. Ved å sammenligne prosessen rundt de to tilfellestudiene ble den analytiske tilnærming ansett som den mest kostnadseffektive av de to tilnærmingene. Den analytiske tilnærmingen ga i tillegg den mest direkte koblingen mellom input dataene og resultatene. Disse resultatene gjorde videre at vi kunne fastslå at den analytiske tilnærmingen er den tilnærmingen som er mest egnet til å avgjøre effekten av en sikkerhetsavgjørelse. Allikevel ser vi at for såkalte "What if"-analyser, så er simulering den tilnærmingen som det beste valget. Skulle det være ønskelig å lage en simuleringmodell har vi i denne avhandlingen foreslått en ny metode som kan brukes i forbindelse med forberedelser til selve byggingen av modellen. Metoden, som heter Minimalistic Model Design (MIMD), forenkler byggeprosessen, og selve modellen, ved å utelukke det tidsmessige forholdet som eksisterer mellom ulike aktiviteter i en forretningsprosess. Ved å ekskludere dette forholdet kan vi redusere den totale tiden man bruker på modellbyggeprosessen samt at metoden bidrar til en modell som håndterer skalerbarhet bedre.