A New Approach for Choosing Proper Risk Analysis and Management Method in Information Security

Yıl 2010, Cilt: 3 Sayı: 1 - Cilt: 3 Sayı: 1, 39 - 46, 24.06.2016

F. Özden Aktaş İbrahim Soğukpınar

Öz

Due to spread in usage of information systems and
network technologies, the importance of information
security has also increased in recent years. Risk
analysis is the key concept in information security
activities. To determine and improve the security level in the systems, one has to determine the current
risks, to analyze them, to generate solution; that is to
manage them. Using specialized methods for
managing risk would be useful for organizations
since it will bring a more planned perspective to
their future work. There are several risk analysis
methods developed till now, varying in their
characteristics and their applications. It is not
possible just to mention the superiority of one over
another. A method may be more advantageous than
others depending on the organization in which it is
applied. For this purpose, there is need to find
guiding tools for choosing a method that can satisfy
organizations’ needs in the most useful way. This
study recommends the approach for selecting the
proper method. Test results of application are given
in this article for the proposed approach.

Bilgi Güvenliğinde Uygun Risk Analizi ve Yönetimi Yönteminin Seçimi İçin Bir Yaklaşım

Öz

Son yıllarda bilgi sistemleri ve ağ teknolojilerinin
kullanım alanlarının yaygınlaşmasıyla beraber, bilgi
güvenliğinin de önemi artmıştır. Bilgi güvenliği
faaliyetlerinde anahtar kavram risk analizidir.
Sistemlerdeki güvenlik seviyesini tespit etmek ve
daha iyi hale getirebilmek için, mevcut riskleri
belirleyebilmek, bunları analiz etmek, karşı tedbirler
geliştirebilmek, kısacası yönetmek gerekmektedir.
Risk yönetiminde uzmanlaşmış yöntemler kullanmak,
organizasyonlar için ilerideki çalışmalarına daha
planlı bir anlayış getireceğinden faydalı olacaktır.
Bugüne kadar geliştirilmiş, karakteristikleri ve
uygulanışları farklı pek çok yöntem bulunmaktadır.
Bu yöntemlerin salt olarak birbirlerinden
üstünlüklerinden bahsedebilmek mümkün değildir.
Bir yöntem uygulandığı organizasyona bağlı olarak
diğerlerine göre daha avantajlı hale gelebilir. Bu
amaçla, organizasyonların kendi ihtiyaçlarına en
uygun şekilde cevap verebilecek olan yöntemi
seçebilmelerine yol gösterecek araçlara ihtiyaç
duyulmaktadır. Bu çalışmada uygun yöntem seçimi
için bir yaklaşım önerilmektedir. Önerilen yaklaşım
dört adet risk analizi yöntemi üzerinde test edilerek
sonuçları verilmiştir.

Kaynakça

• ISO/IEC. ISO/IEC 17799 International Standard, Information technology, 2000. Code of pactice for information security management, Switzerland.
• Aime, M. D., Atzeni A., Pomi, P. C., 2007. AMBRA: Automated Model-based Risk Analysis, QoP ’07: ACM workshop on Quality of protection.
• Swanson, M., Guttman, B., 1996. Generally Accepted Principles and Practices for Securing Information Technology Systems, NIST Special Publication 800-14.
• NIST. NIST, An Introduction to Computer Security: The NIST Handbook, NIST Special Publication 800-12.
• Dhillon, G. (Repasky, N.), 2007. Principles of Information System Security, Wiley, USA.
• Blakley, B., McDermott, E., Geer, D., 2001. Information security is information risk management, NSPW '01: Proceedings of the 2001 workshop on New security paradigms.
• Karabacak, B., Sogukpinar, I., 2004. ISRAM: Information Security Risk Analysis Method, Computers & Security, 24(2), 147-129.
• Bella, G., Bistarelli, S., Peretti, P., Riccobene, S., 2007. Augmented Risk Analysis, Electronic Notes in Theoretical Computer Science, Volume 168, Pages 207-220.
• Vorster, A., Labuschagne, L., 2005. A framework for comparing different information security risk analysis methodologies, Proceedings of the 2005 annual research conference of the SAICSIT '05.
• UK Central Computer and Telecommunication Agency (CCTA), 2001. Risk Analysis and Management Method, CRAMM User Guide, Issue 2.0.
• Braber, F., Hogganvik, I., Lund, M.S., Stolen, K., Vraalsen, F., 2007. Model-based security analysis in seven steps - A guided tour to the CORAS method, BT Technology Journal, v 25, n 1, p 101-117.