Noggrann procedur bakom godkännande av IT-system
Försvarsmakten har olika rutiner för att godkänna IT-system, systematiska och väl dokumenterade, eller mer informella. Men möjligheten att upptäcka sårbarheter skulle öka ytterligare om de användes tillsammans, tror forskare vid FOI som har kartlagt rutiner och regelverk för godkännande.
Systematiska och väl dokumenterade rutiner tillsammans med mer informella granskningar ökar möjligheten att upptäcka sårbarheter i IT-system. Bild från iStock.
Försvarsmakten använder såväl öppna IT-system som system med högsta sekretessnivå, kritiska för rikets säkerhet. Det är därför extremt viktigt att de är säkra. De granskas och godkänns enligt olika procedurer eller rutiner som är styrda av ett omfattande regelverk.
– Det finns tre olika rutiner som alla syftar till att godkänna systemen. Vad de fokuserar på för att nå godkännande är olika, säger Amund Gudmundson Hunstad, som är forskare vid FOI och som har undersökt hur Försvarsmakten och FMV godkänner IT-system.
Rutinerna har fokus på aspekterna sekretess, tillgänglighet och det som kallas riktighet. Det sistnämnda innebär att information inte ska kunna manipuleras eller ändras otillbörligt. Själva processerna för godkännandet är olika beroende på vilket typ av system det handlar om. Särskild kritisk är det för system som hanterar exempelvis hemlig information. De granskas i en omfattande och väl dokumenterad process som styrs av såväl lagstiftning som Försvarsmaktens egna bestämmelser. FMV använder en liknande rutin.
– Ju mer sekretess man vill ha, desto viktigare är dokumentationen. Den krävs för att säkerställa spårbarhet. Det är ett systematiskt, noggrant arbete, säger Amund Gudmundson Hunstad.
Informell granskning
När det handlar om färdiga system görs ibland en så kallad ”informell granskning”. Då är dokumentationen inte lika omfattande. Fokus är i stället på att granska sårbarheter.
– Man bankar på systemet och ser om det går sönder, säger Amund Gudmundson Hunstad.
Det betyder att systemet testas i en simulerad miljö, liknande den det är tänkt att användas i. Det kan handla om att mata in data, uppdatera programmet, testa om det förekommer skadlig kod och hur programmet reagerar. Gudmundson Hunstad tycker att metoden i förekommande fall skulle kunna användas även som komplement till den mer systematiska granskningen.
– Jag tror att möjligheten att upptäcka sårbarheter skulle vara större om man kompletterade med mer informell granskning, säger han.
Slagsida mot sekretess
De egenskaper systemen testas på hänger ihop och motverkar delvis varandra. Hög sekretess innebär lägre tillgänglighet och tvärtom. Om sekretessen är hög kan det också medföra att de som ska bedöma riktighet – exempelvis indikationer på manipulering – inte får den åtkomst de behöver för att göra det.
– Det är förhållandevis enkelt att säga att det ska vara sekretess, tillgänglighet och riktighet. Det är svårare att genomföra det i den grad som behövs. Även regelverket som styr försvaret har en slagsida mot sekretess, säger Amund Gudmundson Hunstad.