Säkerhetsanalys kräver specialiserad kunskap för att anpassa hot och sårbarheter inom informationsteknik. För att identifiera begränsningar måste analytiker förstå hur hot, sårbarheter och begränsningar är sammansatta tillsammans för att ge säkerhetskrav. Trots riklig vägledning i form av checklistor och kontroller om hur man säkrar system, tyder bevis på att säkerhetsexperter inte tillämpar dessa checklistor. I stället förlitar de sig på sin tidigare kunskap och erfarenhet för att identifiera sårbarheter i säkerheten. För att bättre förstå de olika effekterna av checklistor, designanalys och expertis genomförde vi en serie intervjuer för att fånga och koda beslutsprocessen för säkerhetsexperter och nybörjare under tre säkerhetsanalyser. Deltagarna ombads att analysera tre typer av artefakter: källkod, dataflöde diagram och nätverksdiagram, för sårbarheter, och sedan att tillämpa en krav checklista för att visa sin förmåga att minska sårbarheter. Vi satte in vår studie med hjälp av Situation Awareness, som är en teori om människans uppfattning som användes för att framkalla svar från intervjupersonerna. Svaren analyserades sedan med hjälp av kodningsteori och grundanalys. Våra resultat är bland annat beslutsmönster som kännetecknar hur analytiker uppfattar, förstår och projicerar framtida hot mot ett system, och hur dessa mönster relaterar till val av begränsning av säkerheten. Utifrån denna analys har vi upptäckt en ny teori för att mäta hur säkerhetsexperter och nybörjare tillämpar attackmodeller och hur strukturerad och ostrukturerad analys möjliggör ökad täckning av säkerhetskrav. Vi lyfter fram kompetensnivåns och kravens sammansättning när det gäller att påverka beslutsfattandet i säkerhetsfrågor och diskuterar hur vår metod framkallade nya hypoteser om säkerhetsanalys och beslutsfattande.
I REF utforskas teknik som tagits av säkerhetsexperter när de övergår genom en nivå av medvetenhet om situationen för att identifiera säkerhetskrav.
A grounded analysis of experts’ decision-making during security assessments
{'venue': 'J. Cybersecurity', 'journal': 'J. Cybersecurity', 'mag_field_of_study': ['Computer Science']}