Trust construction for security functions and mechanisms of IT system using results of risk analysis

摘要

In this paper the new approach enabling trust construction for security functions and mechanisms of IT system is proposed. It is based on specific determinants of risk values and trust values and uses "MEHARI_V3" risk analysis method. The proposed approach takes into account functional requirements and a trust justification for security means defined in ISO/IEC 15408 standard as an extension for security domains determined in MEHARI method.%W artykule zaproponowano nowe podejście umożliwiające budowę zaufania do funkcji i mechanizmów zabezpieczeń systemu IT na podstawie określonych determinantów wag ryzyka, z wykorzystaniem gotowych scenariuszy zawartych w bazie wiedzy na zasadzie licencji GNU „ Mehari V3" oraz wartości zaufania z wykorzystaniem wymagań na funkcjonalne zabezpieczenie zawartych w częściej drugiej normy pt. „Kryteria oceny zabezpieczeń teleinformatyki" i wymagań na uzasadnienie zaufania do zabezpieczenia z części trzeciej cytowanej wyżej normy. Proponowane podejście wykorzystuje nowo powstałą tabelę awersji poziomu zaufania do systemu w zależności od czynników określających determinanty wartości zaufania i wag ryzyka. Tabela awersji poziomu zaufania jest oparta na tabeli awersji ryzyka zawartej w metodzie Mehari. Wartości determinantów wag ryzyka, wartości zaufania oraz poziomu zaufania określane są doświadczalnie na podstawie wykonanych analiz ryzyka oraz opracowanych profili zabezpieczeń systemów dla różnych instytucji. Proponowane podejście łączy w sobie zalety dwóch norm związanych z analizą ryzyka ISO/IEC 27001 i oceną bezpieczeństwa systemów 1SO/1EC 15408 oraz umożliwia zwiększenie dokładności procesu szacowania ryzyka i zwiększa poziom zaufania odbiorców systemów IT.