A Análise de Risco prototípica

A maioria das descrições de processos de análise de risco enfatizam que a identificação de riscos, classificação, e mitigação é um processo contínuo e não apenas um único passo para ser concluída em um estágio do ciclo de vida de desenvolvimento. Resultados da análise de risco e categorias de risco conduzir, assim, tanto em requisitos (no início do ciclo de vida) e em testes (onde os resultados de risco podem ser utilizados para definir e planejar testes específicos).

A análise de risco, sendo um assunto especializado, é nem sempre melhor realizadas exclusivamente pela equipe de design sem a assistência de profissionais de risco fora da equipe. Análise de risco rigorosa depende fortemente de uma compreensão do impacto nos negócios, o que pode exigir uma compreensão das leis e regulamentos, tanto quanto o modelo de negócio suportado pelo software. Além disso, a natureza humana dita que os desenvolvedores e designers vão ter construído certas suposições sobre o seu sistema e os riscos que enfrenta. Especialistas em riscos e de segurança podem, no mínimo, contribuir para desafiar essas suposições contra as melhores práticas geralmente aceites e estão em uma posição melhor para "assumir nada."
Uma abordagem de análise de risco protótipo envolve várias atividades principais que muitas vezes incluem um número de sub básica Passos para

Saiba o máximo possível sobre o alvo da análise de viajantes -.. Leia e entenda as especificações, arquitetura documentos e outros materiais de design.
- Discutir e debater sobre o alvo com um grupo .
- Determinar limite do sistema e dados de sensibilidade /criticidade.
- Jogar com o software (se ela existir na forma executável).
- Estude o código e outros artefatos de software (incluindo o uso de ferramentas de análise de código )
-. Identificar ameaças e concordar com as fontes relevantes de ataque (por exemplo, vai ser considerado insiders)

Discutir as questões de segurança em torno do software viajantes -?.. Argumente sobre o funcionamento do produto e determinar áreas de desacordo ou ambiguidade.
- Identificar possíveis vulnerabilidades, às vezes fazendo uso de ferramentas ou listas de vulnerabilidades comuns.
- Mapeie exploits e começar a discutir possíveis correções.
- Ganho entendimento de segurança atual e planejada . controles

Determine a probabilidade de compromisso -. Mapear cenários de ataque para exploração de vulnerabilidades.
- controla o equilíbrio contra a capacidade de ameaça para determinar probabilidade

Executar análise de impacto <.. br> - Determinar impactos sobre os ativos e os objetivos de negócio.
-. Considerar os impactos sobre a postura de segurança

Posto riscos

Desenvolver uma estratégia de mitigação.
- Recomendar contramedidas para mitigar riscos .

conclusões do relatório Network - descrever cuidadosamente os riscos maiores e menores, com atenção aos impactos viajantes -.. Fornecer informações básicas sobre onde gastar os recursos limitados de mitigação

Um número de diversas abordagens para a análise de risco para a segurança foram concebidas e praticadas ao longo dos anos. Embora muitas dessas abordagens foram expressamente inventado para uso no espaço de segurança de rede, eles ainda oferecem valiosas lições de análise de risco Restaurant  .;