Verktøy for helhetlig risikostyring og informasjonssikkerhet: Bruk av Return on Security Investment for kost/nytte-analyse av investeringer i informasjonssikkerhet

Abstract

Investeringer i informasjonssikkerhet utgjør i dag en stor del av organisasjoners investeringer. På bakgrunn av dette er det økende etterspørsel etter kost/nytte-analyser for investeringer i informasjonssikkerhet. Organisasjoner vil vite hva de får igjen for pengene som går med til kontrolltiltak. Dette fører til at sikkerhetsspesialister må kunne rettferdiggjøre investeringer i informasjonssikkerhet ved hjelp av økonomiske beregninger. Denne oppgaven viser hvordan kost/nytte-analyser kan gjennomføres for investeringer i informasjonssikkerhet ved hjelp av Return on Security Investment (ROSI). Oppgaven drøfter ulike tilnærminger til ROSI-modellen i ulike scenarioer. Det vises hvordan trusler, kombinasjoner av kontrolltiltak og typer kontrolltiltak påvirker hvordan modellen kan benyttes. I tillegg identifiserer oppgaven eksisterende og teoretiske informasjonskilder som kan benyttes til å lage estimater til beregning av ROSI. Målinger, forsikringspremier, dusører og angrepsderivater kan benyttes som utgangspunkt for slike estimater. Oppgaven viser videre hvordan ulike estimater kan benyttes i ROSI-modellen. Dagens gjeldende forhold innen informasjonssikkerhetsmarkedet skaper utfordringer for både kvalitative og kvantitative vurderinger av investeringer i informasjonssikkerhet. Dette inkluderer informasjonsmangel, asymmetrisk informasjon, rask utvikling og høy kompleksitet. Organisasjoner kan selv bidra til å motvirke enkelte av disse uheldige forholdene, men har ikke insentiver for det. Standardisering av måleparametre kan bidra til å høyne kvaliteten på tilgjengelig informasjon. Det kan også være viktig å identifisere måleparametre som organisasjoner er villige til å dele måleresultater fra, og som samtidig gir verdifull informasjon til fellesskapet. Gode estimater og riktig bruk av ROSI-modellen er viktig. I tillegg er hyppige revisjoner av kontrolltiltak og risiko en nødvendighet på bakgrunn av den raske utviklingen innen informasjonsteknologi og informasjonssikkerhet.