Uhkamallinnus lyhyesti

Uhkamallinnuksella pyritään löytämään yritystä koskevat uhat, esimerkiksi sisäiset ja ulkoiset uhat, tekniset ja infrastruktuuriuhat, yhteistyökumppaneihin sekä henkilöstöön liittyvät uhat. Oma käyttötapauksensa uhkamallinnuksessa on myös kehitysprojektien uhkien hallinta. Uhkamallinnuksella voidaan muuttaa teoreettiset pelkotilat käytännön konkreettisiksi (monesti jopa arkipäiväisiksi) ja siten helposti lähestyttäviksi asioiksi. Kun asiaa voidaan ja uskalletaan lähestyä, voi sen myös ratkaista.

Mitä Mint Security toimittaa

Mint Security tekee uhkamallinnusta monella tavalla. Uhkamallinnus voi olla osana hallinnollisten prosessien kehittämistä, riskirekisterien päivitystä, sovelluskehitysprosessien tietoturvaa – tai sitten se voi olla kertaluontoinen harjoitus, jolla pyritään tekemään vain tilannekartoitus.

Toimituksemme jälkeen asiakkaalla on kattava kuva uhista, parempi kyvykkyys toimia itsenäisesti uhkaympäristössään – mukaanlukien työkalut.

Asiakkaiden tarpeet ja ratkaistavat haasteet

Uhkamallinnus kattaa oletusarvoisesti koko yrityksen ja sen kriittisen toiminnan. Osallistutamme tarpeen vaatiessa koko organisaation mukaan työhön. Pyrimme luomaan asiakkaille omaa kyvykkyyttä toimia uhkamallinnuksen parissa, jotta uhkamalleja ylläpidettäisiin ja saatavat hyödyt olisivat mahdollisimman suuret.

Uudet ketterät toimintamallit, erityisesti sovelluskehityksessä, ovat osittain sivuuttaneet perinteisen riskienhallinnan, keskittyen enemmän uhkien mallinnukseen. Uhkamallinnus tukee auditointeja, koodin tarkastusta sekä penetraatiotestien suunnittelua.

Monessa standardissa ja parhaissa käytännöissä, esimerkiksi Vahti-ohjeissa, suositellaan ja jopa vaaditaan että esim. projekteissa tehdään uhkamallinnusta.

Tarkemmin menetelmistämme ja työkaluistamme

Uhkamallinnuksessa pyrimme haastamaan nykyisiä ajatusmalleja yrityksen tilasta ja sen tietoturvasta. Skenaarioiden kautta pystymme osallistuttamaan sekä johdon, liiketoiminnan että tekijät. Skenaariot rakennetaan siten, että kaikki voivat omalta osaltaan osallistua ja tuottaa lisäarvoa uhkamallinnuksessa. Työskentelymalli on lähestymistavasta johtuen osittain työpajatyyppistä. Voimme työssämme noudattaa erilaisia malleja, suosituimpina DREAD ja STRIDE.

Varsinaisesti uhkamallinnuksessa ei tarvita mitään erikoistyökaluja, mutta teknisessä arkkitehtuuriin ja sovelluskehitykseen liittyvissä uhkamallinnuksissa käytämme avuksi mallinnustyökaluja sekä ketteristä sovelluskehitysprojekteista tuttua tapaa pelata korttipeliä. Tähän käytetään Microsoftin kehittämää Elevation of Privilege -korttipeliä. Osana sovelluskehityksen uhkamallinnusta teemme myös väärinkäyttötapausten analyysin (use case vs. abuse case).

Kun uhkamallinnustyöpajat on pidetty, teemme myös tarvittavat riskirekisteripäivitykset. Uhkamallinnus saattaa paljastaa uusia riskejä, mutta myös tuoda päivityksiä – realismia – nykyisiin jo tunnistettuihin riskeihin.

Prosessikehityksessä teemme asiakkaalle myös uhkamallinnukseen liittyvät prosessikuvaukset sekä liitämme uhkamallinnuksen mukaan nykyisiin prosesseihin. Osana tätä työtä, määrittelemme mitä uhkamallinnukselta odotetaan, vaaditaan ja mitä sillä halutaa kulloinkin saavuttaa ja miten tätä mitataan.