Identifiera och analysera
Avsnittetbestår av fyra delar:
-
Verksamhetsanalys
Verksamhetsanalysen innefattar identifiering av verksamhetens väsentliga informationstillgångar samt kartläggning av interna intressenter (som beslutsfattare, objektsägare, medarbetare, stödenheter) och förutsättningar (som mål, strategier, organisationsstruktur, infrastruktur).
-
Omvärldsanalys
Omvärldsanalysen innefattar identifiering av externa krav, inklusive rättsliga krav, (som författningar, kontrakt och avtal) samt kartläggning av externa intressenter (som ägare, kunder, leverantörer, granskare) och förutsättningar (som branschspecifika, tekniska, sociala, miljömässiga, politiska).
-
Riskbild
Riskanalysen identifierar informationssäkerhetsrisker och kan användas verksamhetsövergripande eller för ett enskilt analysobjekt. Riskerna mot informationssäkerheten tas fram genom en systematisk och kreativ process.
-
Gapanalys
Gapanalysen kan genomföras med utgångspunkt i resultat från analys av verksamhet, omvärld samt risk men också genomföras utan att de andra analyserna först genomförts. Gapanalys sker sedan med utgångspunkt i de valda säkerhetsåtgärderna, om detta är gjort, eller med utgångspunkt i samtliga säkerhetsåtgärder från standarden SS-EN ISO/IEC 27001, bilaga A (finns med i verktyget). Gapanalysen avser gapet mellan de säkerhetsåtgärder man tar utgångspunkt i och nuvarande status på respektive säkerhetsåtgärd.
Tillsammans säkerställer analyserna att informationssäkerheten i verksamheten utformas med utgångspunkt i ett tydligt definierat nuläge.
I vilken ordning ni genomför analyserna är beroende på vilka förutsättningar som råder i organisationen och vad som ni kommer fram till är mest framgångsrikt i er organisation.
Resultatet av analyserna är en lista på interna och externa förutsättningar och aktörer samt hur det ska påverka informationssäkerhetsarbetets utformning i nästa steg. Dessutom upprättas en lista på informationstillgångar som ska skyddas, vilka risker de ska skyddas mot, samt valda säkerhetsåtgärder och status på dessa. Informationen används i huvudsak senare i metodsteget Utforma.