Sårbarhedsanalyse? Hvad er det?

Det er vist bare en fælles betegnelse for at man udfører nogle test på et givent system for at teste det for sårbarheder.

Se evt. http://www.virus112.com/index.php?page=saarbarhedsanalyse -  http://www.minisoft.dk/forside/it_sikkerhed/sikkerhedstest.html - http://www.softcom.dk/index2.asp?id=10&sp=1

Snowball

Det kommer helt an på hvad det er man skal analysere. Jeg foretager ofte sårbarhedsanalyser af komplekse netværk. Dette munder ud i en stak dokumenter, der beskriver alt lige fra sikkerhedshuller (både interne og eksterne), seriøse flaskehalse og direkte mangler ved netværket. Efterfølgende beskrives hvilke konsekvenser disse punkter kan have (primært rettet mod ansvarlige ledere, der ikke nødvendigvis har stor teknisk indsigt). Til sidst rundes af med en konklusion, der bla. rummer mine anbefalinger til konkrete ting der bør tages hånd om, for at få rettet op på eventuelle issues.

En sårbarhedsanalyse kan også foretages på et højere niveau, hvor man eksempelvis analyserer en virksomheds sårbarheder over for konkurrence på markedet, valutasvingninger, aktiekursudsving ol.

ok, dvs det er bare et begreb for "det at analysere virksomhedens sårbarhed"... Altså ikke en fast model med x antal trin, eller indenfor et bestemt virkeområde.

Hvis man skal analyse en virksomheds sårbarhed i forbindelse med risikostyring, kan det vel være alle de områder en virksomhed kan finde risici ved... dvs. overalt!

Er det nogenlunde rigtigt forstået?

Helt korrekt ja...

Det er måske lidt meget sagt at det er "overalt"... men det er en analyse af alle forretningskritiske risici. :)

ok, jeg siger mange tak! I deles om point...

Der findes da en uddannelse med tilhørende certificering i sårbarhedsanalyse (jeg er selv certificeret) der hedder CPSA (se www.cpsa.dk) så der findes rimeligt fastlagte procedure for hvad en sårbarhedsanalyse indeholder og hvordan det gennemføres. Der er ikke tale om en direkte kogebog og heller ikke tale om at der bare køres en test.

En ordentlig sårbarhedsanalyse indeholder først nugle forskellige scanninger med forskellige værktøjer, efterfuldt af manuel validering at værktøjernes scanningsresultater. Hvis unden ønsker dette, kan dette efterfølger at fysisk inspektion og penetrationstest