Det har alltid varit svårt att genomföra kostnads-nyttoanalyser av arkitektoniska attribut som säkerhet, eftersom fördelarna är svåra att bedöma. Specialister fattar vanligtvis säkerhetsbeslut, men programchefer lämnas undrar om deras investering i säkerhet är väl spenderade. I detta dokument sammanfattas resultaten av att använda en kostnads-nyttoanalysmetod kallad SAEM för att jämföra alternativa säkerhetskonstruktioner i ett finansiellt informationssystem. Den fallstudie som presenteras i detta dokument inleds med en multiattributriskbedömning som resulterar i en prioriterad risklista. Säkerhetsspecialister uppskattar fördelarna med motåtgärder och hur organisationens risker minskas. Med hjälp av SAEM jämförs säkerhetsdesignalternativ med organisationens nuvarande val av säkerhetsteknik för att se om en mer kostnadseffektiv lösning är möjlig. Målet med att använda SAEM är att hjälpa intressenterna i informationssystemet att avgöra om deras säkerhetsinvesteringar är förenliga med de förväntade riskerna. IT-chefer är motiverade att minimera säkerhetskostnaderna men maximera säkerhetsvinsterna. Det är betydligt enklare att jämföra kostnader mellan alternativa säkerhetsarkitekturer än att jämföra fördelar, eftersom beprövade finansiella analysverktyg mer exakt kan uppskatta kostnaderna. Fördelarna grundar sig däremot på osäkra händelser och ofullständig kunskap. Även om ingen exakt kan förutsäga hur ofta en attack kommer att inträffa och hur effektivt säkerheten kommer att minska skadorna, erfarna säkerhetsansvariga intuitivt, och implicit, uppskatta risken och effektiviteten i deras riskreducerande strategier. Nyckeln till säkerhetskostnads-nyttoanalyser är att göra dessa intuitioner explicita. Förutom svårigheterna med att uppskatta risken är det svårt att jämföra alternativa konstruktioner eftersom konstruktionens styrka är beroende av en avspänd anslutning till säkerhetstekniska designprinciper. Till exempel, säkerhets chefer brukar anta en försiktighetsstrategi för säkerhetsteknik. Säkerhetsarkitekturer som har minst en begränsningsstrategi för varje risk är vanligtvis att föredra framför de som lämnar luckor för sällan förväntade attacker. Förenklade kostnads-nyttoanalyser kommer att ha svårt att visa ekonomiska skäl för sällsynta händelser. I detta dokument presenteras metoden Security Attribut Evaluation Method (SAEM) och resultaten av att använda denna metod för att jämföra alternativa säkerhetsutformningar för en ideell organisations finansiella och redovisningssystem. SAEM är en kostnads-nyttoanalysprocess för att analysera beslut om säkerhetsutformning som omfattar fyra steg: 1) en bedömning av säkerhetsteknikens nytta, 2) en utvärdering av säkerhetsteknikens effekt för att minska riskerna, 3) en täckningsbedömning och 4) en kostnadsanalys. Steg 3 och 4 kan göras parallellt. SAEM bygger på en kvantitativ risk- och nyttabedömning där en analytiker eller utredare genomför strukturerade intervjuer med IT- och säkerhetsansvariga för att få fram de ursprungliga uppgifterna. Organisationen granskar noggrant resultaten av varje steg innan den fortsätter till nästa steg. Om resultaten inte verkar representera chefernas oro eller erfarenhet, då cheferna kan revidera de ursprungliga indata och antaganden. Strategier för att minska riskerna omfattar förfaranden och säkerhetsteknik. Som presenteras i detta dokument utvärderar SAEM endast valet av teknikdesign, inte riskreducerande förfaranden. Även om SAEM kunde utvidgas till att omfatta förfaranden som en del av bedömningen, tenderar dessa förfaranden att vara organisation 232 specifika och SAEM ursprungligen utformades för att användas över organisationer. För närvarande utvecklar jag SAEM i samarbete med säkerhetsansvariga för verkliga system. Förutom ekonomi- och redovisningssystemet använder jag också SAEM för att utvärdera ett statligt e-handelssystem och ett Department of Defense web-baserat logistiksystem. I avsnitt 2 bedöms den nuvarande praxisen för utveckling av säkerhetsarkitektur. I avsnitt 3 läggs grunden för metoden för utvärdering av säkerhetsattribut med en riskbedömning med flera attribut. I avsnittet presenteras en kort beskrivning av multiattributriskbedömningsmetoden, som användes för att prioritera organisationens risker baserat på säkerhetschefens uppskattning av anfallsfrekvenser och potentiella utfall. I avsnitt 4 beskrivs SAEM och presenteras ett exempel på hur SAEM skulle kunna användas för att välja den mest kostnadseffektiva säkerhetstekniken bland tre alternativ. I avsnitt 5 visas resultaten av känslighetsanalysen av de första resultaten och i avsnitt 6 rapporter om återkopplingen från fallstudieklienter. Slutligen diskuteras det framtida arbetet i avsnitt 7.  SAEM är beroende av en riskbedömning och en inledande bedömning av säkerhetsteknikens effektivitet. Dessa bedömningar beror på flera antaganden, såsom: att organisationen har etablerat säkerhetsprinciper och förfaranden som är tillräckliga och robusta för verksamheten; att säkerhetsprodukter har installerats korrekt, konfigurerats och underhållits; Att attacker resulterar i förutsägbara utfall och avvikelser. Dessa bedömningar kommer att variera mellan säkerhetsansvariga baserat på deras erfarenhet, expertis och informationssystemmiljö [7]. SAEM tillhandahåller en ram för att analysera hur deras antaganden påverkar designbeslut och en mekanism för att avgöra hur känsliga dessa beslut är för antagandena. Även om man kan argumentera med de uppskattningar som presenteras i detta dokument, de representerar en erfaren säkerhetsansvarigs bästa uppskattningar.  Utveckla och
Säkerhetsattribut Utvärderingar Metod REF bedömer risker och fördelar med säkerhetsteknik och analyserar hotindex före och efter användning av säkerhetsteknik, för att jämföra alternativ teknik.
Security attribute evaluation method: a cost-benefit approach
{'venue': 'Proceedings of the 24th International Conference on Software Engineering. ICSE 2002', 'journal': 'Proceedings of the 24th International Conference on Software Engineering. ICSE 2002', 'mag_field_of_study': ['Computer Science']}