Verdi-, trussel- og sårbarhetsvurderinger
Vi bistår virksomheter med målrettede vurderinger av hva som er viktigst å beskytte, hvem eller hva som kan true verdiene, og hvilke svakheter som kan utnyttes. Vurderingene gjennomføres med utgangspunkt i NS 5832 og relevante prinsipper i NS 5814, og kan leveres samlet eller som selvstendige, avgrensede analyser av bestemte funksjoner, lokasjoner, objekter, systemer, verdikjeder eller prosjekter.
Tre vurderinger med hvert sitt formål
Verdivurderingen identifiserer og prioriterer det virksomheten må beskytte. Den beskriver konsekvenser ved tap, skade eller bortfall og synliggjør eierskap, kritisk funksjonalitet og avhengigheter.
Trusselvurderingen omsetter myndighetsvurderinger, hendelser og virksomhetskunnskap til relevante aktører, handlinger og scenarioer. Intensjon, kapasitet, tilgang og fremgangsmåte vurderes med tydelige forutsetninger og usikkerhet.
Sårbarhetsvurderingen undersøker om menneskelige, teknologiske og organisatoriske barrierer faktisk kan forebygge, oppdage, forsinke og håndtere scenarioene. Dokumentgjennomgang, intervjuer, befaring og kontroll benyttes etter behov.
Vurderingene kan leveres samlet eller hver for seg. NS 5832 er hovedgrunnlaget, mens NS 5814 støtter avgrensning, kriterier, dokumentasjon og vurdering av usikkerhet.
Vurderingene kan omfatte
- avklaring av formål, analyseobjekt, geografisk og organisatorisk avgrensning, detaljeringsnivå og krav til håndtering av sensitiv informasjon
- identifisering og strukturering av verdier i egnede kategorier, med tydelig eierskap, plassering og kobling til funksjoner eller leveranser
- konsekvensvurdering ved tap, skade, kompromittering, endring eller bortfall, med begrunnede kriterier og synlig usikkerhet
- kartlegging av kritisk funksjonalitet, interne og eksterne avhengigheter, alternativer, redundans og mulighet for gjenoppretting
- rangering og prioritering av verdier og beskyttelsesbehov, dokumentert i verdikatalog, verdimatrise eller verdikart
- utforming eller kvalitetssikring av sikringsmål med utgangspunkt i de prioriterte verdiene
- innhenting og sammenstilling av relevant trusselinformasjon fra åpne kilder, myndighetsvurderinger, hendelsesdata og virksomhetens egne erfaringer
- identifisering av relevante trusselaktører og vurdering av deres intensjon, kapasitet, kunnskap, tilgang, målvalg og fremgangsmåter
- utarbeidelse av virksomhetsspesifikke trusselbeskrivelser og representative scenarioer knyttet til bestemte verdier
- kartlegging av eksisterende menneskelige, teknologiske og organisatoriske barrierer gjennom dokumentgjennomgang, intervjuer, arbeidsmøter og befaring
- vurdering av om barrierene hver for seg og samlet kan forebygge, oppdage, verifisere, varsle, forsinke, håndtere og begrense scenarioene
- identifisering av sårbarheter i design, organisering, prosedyrer, kompetanse, kommunikasjon, vedlikehold, tilgangsstyring, beredskap og oppfølging
- vurdering av reell tilgang og mulighet for at en trusselaktør kan utnytte svakhetene og påvirke verdiene
- dokumentasjon av forutsetninger, datakvalitet, motstridende opplysninger, kunnskapshull og usikkerhet i hver enkelt vurdering
- separat rapportering eller samlet fremstilling med tydelig sporbarhet mellom verdi, relevant trussel, scenario og avdekket sårbarhet
Hva får virksomheten?
Virksomheten får et presist kunnskapsgrunnlag tilpasset det konkrete behovet: verdikatalog og sikringsmål, virksomhetsspesifikk trussel- og scenariooversikt eller en dokumentert barriere- og gapvurdering. Vurderingene kan brukes direkte i kravstilling, prosjektering, sikkerhetsstyring og videre analysearbeid.
← Tilbake til Sikkerhetsloven og risikoanalyser