Transkript

1 Ridum Airports A/S

2 Ridum Airports A/S In d h o l d s f o r t e g n e l s e In d h o l d s f o r t e g n e l s e T i l c e n s o r p an e l e t S i t u at i o n s b e s k r i v e l s e - af g r æ n s n i n g Med i en stor international koncern... 6 R idu m A irp orts A / S... 6 Aktiv iteter... 6 It-af deling en... 7 It-sikkerhed... 8 Risikosty ring... 9 O p g av e 1 a B ag g ru nd Modellen K onklu sion og anb ef aling R am m erne Proc es og interessenter U dg ang spunkt og undersø g elser Karakteristika v ed modellen R isiko arb ej de Risikomodel Sikkerhedsf oranstaltning er Beg reb er En del af en helhed U dkast til m odel Risikov urdering - elementer Proc es f or risikov urdering Trusselsb illede Risikob illede I m p lem entering og ø konom i O p g av e 1 b B ag g ru nd F orslag og m å l P roj ekt A f g ræ nsning Model og doku m entation I nteressenter K ick-of f W orksh op s K onsolideret b illede E kstra g ev inst Ø konom i T idsh orisont Side 2 af 60

3 Ridum Airports A/S O p g av e 2a, 2b B ag g ru nd K onklu sion og anb ef aling E n del af en h elh ed A rb ej det m ed it-sikkerh ed R ap p ortering sm odel R ap p ortering sf orm å l, b eh ov og niv eau Direktionen Af deling sc hef er Medarb ej dere G ru ndlag f or rap p ortering R ap p ortering sf rekv ens, f orm og indh old Direktionen Af deling sc hef er Medarb ej dere I m p lem entering og ø konom i O p g av e 2 b Direktionen Af deling sc hef er Medarb ej dere O p g av e B ag g ru nd K onklu sion og anb ef aling A w areness R etu rn on secu rity inv estm ent - R O S I T op Vinduer og dø re Adg ang skort Sec urity c hec k sluserne Ren luf thav n Ty v eri V indu er og dø re Må lg ruppe Form / f ormat / af v ikling Medier, ø konomi og RO SI Kø replan A dg ang skort Må lg ruppe Form / f ormat / af v ikling Medier, ø konomi og RO SI Kø replan S ecu rity ch eck Må lg ruppe Form / f ormat / af v ikling Medier, ø konomi og RO SI Kø replan Side 3 af 60

4 Ridum Airports A/S R en lu f th av n Må lg ruppe Form / f ormat / af v ikling Medier, ø konomi og RO SI Kø replan T y v eri Må lg ruppe Form / f ormat / af v ikling Medier, ø konomi og RO SI Kø replan I m p lem entering alle f em om rå der B i l ag s af s n i t B ilag 1 I t org anisation B ilag 2 R A T S kom p onenter, delsy stem er og interf aces - u dsnit B ilag 3 R A s org anisation B ilag 4 F ly v esikkerh edsp olitik - u ddrag B ilag 5 K onsekv ens v u rdering B ilag 6 E ksem p ler p å tru sler B ilag 7 E ksem p ler p å sp ø rg sm å l i relation til tru sler B ilag 8 D irektionen B ilag 9 U ddrag f ra R A s it-sikkerh edsretning slinj er B ilag 10 P rincip p er aw areness Side 4 af 60

5 Ridum Airports A/S T i l c e n s o r p an e l e t Velkommen til mine opg av eb esv arelser og samtidig til min v ersion af v irksomheden Ridum Airports A/S. Med udg ang spunkt i opg av eb eskriv elsen har j eg som indledning, og så ledes f ø r den eg entlig e b esv arelse af opg av erne, udarb ej det en situationsb eskriv else og hermed af g ræ nsning af opg av erne. Denne indledning g æ lder f or alle tre b esv arelser. L ø b ende i min samlede opg av eb esv arelse v il der komme supplerende inf ormation, og b illedet af min v ersion af Ridum Airports A/S b liv er derf or suc c essiv t udb y g g et. På samme må de som det er i v irkelig hedens v erden, i de v irksomheder v i hv er isæ r arb ej der i. Mine opg av eb esv arelser er udarb ej det som et sammenhæ ng ende dokument. L æ s derf or v enlig st i ræ kkef ø lg e. Nå r I træ kker den omtalte indledning, indholdsf orteg nelse og b ilag f ra skulle sideantallet lig e netop holde sig indenf or den anb ef alede ramme. Med v enlig hilsen og g od læ sely st, Deltag er på hold Side 5 af 60

6 Ridum Airports A/S S i t u at i o n s b e s k r i v e l s e - af g r æ n s n i n g Med i en stor international koncern Ridum Airports A/S (b enæ v nes i det f ø lg ende RA) hav de et g odt , som i den sidste del af å ret, på det strateg isk niv eau, v ar præ g et af f orhandling er med henb lik på at b liv e kø b t af det hollandske f irma Air Sea Transportation (b enæ v nes i det f ø lg ende AST). Det ly kkedes at indg å en af tale i slutning en af å ret med ef f ektuering pr. 1. j anuar Den hollandske ledelse v ar i slutning en af j anuar på b esø g i Ridum. På inf ormationsmø det i hang ar 2, f or alle RA s medarb ej dere, b lev AST og det kommende samarb ej de præ senteret. De ov erordnede melding er v ar rimelig t klare og kan sammenf attes så dan: Fokus på drif t af luf thav ne og hav ne med en strateg i om udv idet samarb ej de med b usselskab er til landtransport. Stort f okus og g od erf aring med optimering og rationalisering af arb ej ds- og itproc esser, samt administrativ e f unktioner herunder it. Delv is selv stæ ndig hed f or alle datterselskab er. Fly tning af en ræ kke ø konomif unktioner til hov edkontoret i Rotterdam. Fly tning af it-sy stemudv ikling, optimering og test til hov edkontoret i Rotterdam. Tidshorisont f or f ly tning af f unktioner til Holland er ultimo å ret. Andre tiltag og deres tidshorisont af g ø res ud f ra konkret v urdering af mulig e sy nerg i ef f ekter. Den umiddelb are reaktion på melding erne v ar ov erv ej ende positiv, men naturlig v is v ar en ræ kke af de medarb ej dere, der v il b liv e personlig t b erø rt, på v irket. R idu m A irp orts A / S Aktiviteter I f eb ruar og marts må ned har RA s ledelse, i samarb ej de med en lang ræ kke medarb ej dere, g ennemf ø rt en analy se og planlæ g ning sproc es f or den kommende f usionsproc es. Hov edpunkterne er: Fokus på dag lig dag en - ef f ektiv itet, serv ic e, kv alitet og sikkerhed. Der er etab leret et f usionsproj ekt å ret ud med direkte ref erenc e til direktionen. Alle medarb ej dere, der v il b liv e b erø rt, enten v ed at j ob f ly ttes eller f alder v æ k, v il b liv e tilb ud relokering, alternativ t j ob internt eller hj æ lp til at sø g e eksternt. HR Side 6 af 60

7 Ridum Airports A/S af deling en har allerede oprettet sæ rlig supportf unktion. Alle eksisterende af taler med samarb ej dspartnere, eksempelv is f ly selskab er, handling selskab er, f orretning er og speditionsf irmaer, f ortsæ tter til udlø b med mindre sæ rlig e f orhold g ø r sig g æ ldende. L ig eledes f ortsæ tter lev erandø raf taler. Set i ly set af den ny e situation udarb ej des en rev ideret f orretning sstrateg i med udg ang spunkt i den eksisterende, som er et å r g ammel. Med b ag g rund i den ny e f orretning sstrateg i v il der b liv e udarb ej det handling splaner f or alle områ der i RA med henb lik på at realisere g ev insterne v ed f usionen. På it-siden: It-strateg ien rev ideres nå r f orretning sstrateg ien er f æ rdig. Med b ag g rund i den ny e it-strateg i v il der b liv e udarb ej det handling splaner. Alle it-sy stemer og tekniske proj ekter f ortsæ tter indtil v idere. Det næ sten f æ rdig e SAP proj ekt g å r direkte ov er i en konv ertering til AST s SAP sy stem. I den f orb indelse v il de 9 udv iklere stif te b ekendtskab med deres ny e kolleg er i Holland. I t-a f d el in g en It-af deling en ledes af it-c hef en G odtf red Peitersen, en udv ikling sc hef og en drif t- og teknik c hef 1. It-sikkerhedsc hef en har ikke hidtil v æ ret en del af lederg ruppen, men som reg el deltag et i g ruppens mø de en g ang i kv artalet. It-af deling ens medarb ej derstab er præ g et af stor f ag lig hed og en udstrakt g rad af serv ic e ov erf or af deling ens kunder. På en ræ kke områ der træ kker it-af deling en på eksterne konsulenter med spidskompetenc er og så i f orb indelse med spec if ikke drif tsopg av er. Sy stemkomplekset 2 er en b landet landhandel med det helt c entrale sy stem RATS (Ridum Airport Traf f ic Sy stem) som luf thav nens liv snerv e. Sy stemet er udv iklet inhouse og med integ ration til stort set alle ø v rig e sy stemer, enten eg en udv iklede eller kø b te, der anv endes i f orb indelse med luf thav nens v irksomhed. RATS modtag er og lev erer data f ra / til eksterne interessenters sy stemer eksempelv is samarb ej dspartnere (f ly v esikring stj enesten, f ly selskab er, handling selskab er) og my ndig heder. Fly v esikring stj enesten driv es af Nav iair. Nav iair er ansv arlig f or de sy stemer, herunder ATM (air traf f ic manag ement) og ATC (air traf f ic c ontrol), de anv ender i f orb indelse med områ dekontrol- og f ly v einf ormationstj eneste og hermed f or deres del af operationerne i 1 O r g an i s at i o n s d i ag r am s e bi l ag 1. 2 O v er s i g t o v er h o v ed s y s t em er n e s e bi l ag Side 7 af 60

8 Æ Ridum Airports A/S luf thav nens kontroltå rn. Populæ rt sag t kan man sy stemmæ ssig t sig e, at Nav iairs ansv ar g å r, til f ly et er c a. 20 meter ov er landing sb anen, hv orf ra RA s sy stemer tag er ov er. Det samlede netv æ rk i luf thav nen samt alle terminaler / pc er lev eres af it-af deling en. It-af deling en har stor f okus på, at sy stemkomplekset, og den samlede understø ttende inf rastruktur, har en stor rob usthed, der modsv arer de hø j e krav til tilg æ ng elig hed. ndring ssty ring er der stor opmæ rksomhed på. Med hensy n til ø v rig e proc esser og dokumentation er af deling en rimelig struktureret. Ansv aret f or den f y siske sikkerhed i luf thav nen er plac eret i en selv stæ ndig sec urity f unktion sammen med ej endomsdrif ten 3. En ræ kke sy stemer til adg ang skontrol, ov erv å g ning, sikkerhedsc hec k med v idere driv es af it-af deling en. I t-s ikkerh ed It-sikkerhedsf unktionen er en stab sf unktion til Drif t- og teknikc hef en og b emandet med en it-sikkerhedsc hef (underteg nede) samt en medarb ej der, der primæ rt tag er sig af b eredskab, f y sisk sikkerhed f or it og kontakt til ekstern rev ision. Funktionen har eksisteret i knapt et å r. Som nu har der og så tidlig ere v æ ret b rug t mang e ressourc er på it-sikkerhed b lot ikke på en koordineret og struktureret må de. Af deling en er b landt andet ansv arlig f or it-sikkerhedspolitik og retning slinj er, den f y siske sikkerhed i it-af deling en, it-b eredskab splaner, sparring med it-af deling en om sikkerhedsmæ ssig e lø sning er og f oranstaltning er samt koordinering med interessenter uden f or it-af deling en. It-sikkerhedspolitikken er kun et halv t å r g ammel. Den er på nog le områ der underb y g g et af retning slinj er men lang t f ra på alle områ der. Der er endnu ikke etab leret en f ormaliseret itsikkerhedsorg anisation. Krav ene f ra ekstern rev ision til it-sikkerhed, og herunder intern kontrol, er under skæ rpelse. Der er å b ne rev isionsanb ef aling er til it-af deling en på en ræ kke områ der - strateg iske som operationelle - men ing en med prioritet 1. I f orb indelse med f ly v esikkerhed og luf thav nsdrif t er der en ræ kke krav f ra my ndig heds side, med det f ormå l at g ø re det sikkert at f ly v e. Statens luf thav nsv æ sen (SL V) er den danske my ndig hed på områ det. SL V f astsæ tter b estemmelser f or c iv il luf tf art (BL er) og f ø rer tilsy n med, at de b liv er ov erholdt. L uf tf artslov g iv ning en i Danmark, og hermed BL erne f ra SL V, b y g g er i v idt omf ang på internationale standarder f ra eksempelv is FNs internationale luf tf artsorg anisation IC AO (International C iv il Av iation O rg anisation), J AA (J oint Av iation Authorities), EU -ag enturet EASA (European Av iation Saf ety Ag enc y ) og f ra den europæ iske org anisation Euroc ontrol, som f astsæ tter ensartede standarder f or isæ r udny ttelsen af det europæ iske luf trum. Der er i disse eksterne b estemmelser og standarder ikke mang e spec if ikke krav til itsikkerhed. Krav ene er der dog allig ev el indirekte. Krav som, i mang e henseender, er 3 S e o r g an i s at i o n s d i ag r am i bi l ag Side 8 af 60

9 Ridum Airports A/S relateret til tilg æ ng elig hed og præ c ision (integ ritet) i de understø ttende sy stemer. For itmæ ssig t at kunne honorere krav ene er det derf or de g æ ng e it og it-sikkerhedshedsmæ ssig e disc ipliner, der arb ej des med. R is iko s ty rin g Som en del af RA s arb ej de med c orporate g ov ernanc e, b lev der f or et halv t å r siden allokeret spec if ikke ressourc er med henb lik på risikosty ring i hele v irksomheden. Medarb ej deren er plac eret i en stab sf unktion til RA s ledelse sammen med ø konomi, kontraktsty ring og indkø b samt proj ektledelse. RA s direktø r har ov erv ej elser i g ang om et samlet ledelsesf orum f or risikosty ring, f y sisk sikkerhed (Ej endom & Sec urity ), it-sikkerhed og f ly v esikkerhed (div ision Traf ik) Side 9 af 60

10 O Ridum Airports A/S p g av e 1 a K æ re Mariu s, Her har du som af talt mit udkast til en g enerisk model f or it-risikoanaly se. Som b ag g rund og b eg rundelse f å r du og så inf ormation om risikoarb ej de g enerelt, og om de enkelte elementer i en risikov urdering. Forslag et er af stemt med så v el G odtf red som Frederik, som b eg g e mener, v i er på rette v ej. B ag g ru nd Som b eskrev et i v ores f orretning sstrateg i v il v i b landt andet v æ re kendt f or at v æ re ef f ektiv e og meg et serv ic eorienteret samt f or at hav e et hø j t sikkerhedsniv eau i luf thav nen b å de f y sisk og operationelt. Da v ores it-sy stemer stort set understø tter alle proc esser i v ores v irksomhed, er it-sikkerheden helt af g ø rende. I sidste ende er sikkerheden omkring v ores it-sy stemer et af de meg et v æ sentlig e elementer i v ores ansig t udadtil ov erf or v ores kunder og samarb ej dspartnere. Desuden er it-sikkerheden en b rik i at opf y lde eksterne krav til f ly sikkerhed eksempelv is f ra my ndig hederne. AST s ledelse har b edt om g aranti f or, at RA har et tilstræ kkelig t sikkerhedsniv eau. Den opmæ rksomhed på sikkerhedsf orhold f lug ter rig tig g odt med den opmæ rksomhed, du selv har g iv et områ det ef ter din tiltræ den f or g odt et å r siden. Startskuddet til at arb ej de struktureret med it-sikkerhed lø d sidste å r, da ledelsen g odkendte den ny e it-sikkerhedspolitik. Vi er b eg y ndt at udmø nte politikken i f orm af itsikkerhedsretning slinj er, hv ilket j eg f orv enter v i er f æ rdig e med v ed udg ang en af i å r. I politikken har v i b landt sag t It-s i k k e r h e d s k a l i m p l e m e n te r e s u d f r a f o r r e tn i n g s m æ s s i g e b e h o v. I f o r b i n d e l s e m e d n y e p r o j e k te r e l l e r æ n d r i n g e r ti l e k s i s te r e n d e l ø s n i n g e r s k a l d e r g e n n e m f ø r e s e n r i s i k o v u r d e r i n g. Mang e i RA v il sig e: det g ø r v i allerede. Det er j eg lang t hen ad v ej en enig i. Hv is v i ikke v urderede risic i og hå ndterede dem ansv arlig t, hav de v i sandsy nlig v is ikke så stab ile sy stemer, som v i rent f aktisk har. U df ordring en er, at v ores risikov urdering er er uf ormelle, f oretag es på f lere f orskellig e må der, sj æ ldent dokumenteres, og at der ikke er en f ast proc es. For på ef f ektiv må de at kunne lev e op til v ores politik på dette områ de, skal v i hav e en f ormaliseret må de at v urdere og analy sere risic i på. Dette v il v æ re en v æ sentlig del af f undamentet f or at kunne g iv e den g aranti, AST s ledelse ef terspø rg er. Modellen På næ ste side er modellen teg net, og i af snit U dkast til model er der y derlig ere f orklaring og b ag g rund f or de truf ne v alg, skema ov er de enkelte trin i en risikov urdering og et eksempel på en skematisk v isning af en v urdering Side 1 0 af 60

11 Ridum Airports A/S Systemoversigt E j er V æ rd i Sa n d syn l igh ed L a v M id d el Stor T ru sl er I n d irek te D irek te T ru ssel sb il l ed e L a v M id d el H ø j K on sek ven s L a v M id d el Stor Så rb a rh ed L a v M id d el H ø j R isik oh å n d terin g H vil k e H vord a n P l a n DA o g I A R isik ob il l ed e A c c ep t D el vis A c c ep t I k k e A c c ep t A n a l yse O f te D A og I A D yb ere Sa mme p roc es Vurdering R es ul t a t Ad. h o c. v urdering Side 1 1 af 60

12 K Ridum Airports A/S onklu sion og anb ef aling J eg anb ef aler en g enerisk model f or it-risikov urdering og analy se, som b aserer sig på den model, som Dansk Standard har i den ny lig t udkomne standard f or inf ormationssikkerhed. Modellen er f orretning sorienteret og f orholdsv is enkel at g å til, hv ilket passer g odt til v ores modenhedsniv eau indenf or it-risikov urdering. Vi prø v er modellen af på et af g ræ nset og v eldokumenteret sy stem, hv or v i har g ode f orretning sansv arlig e, eksempelv is det ny e sy stem til sty ring af adg ang skontrol. Af prø v ning en f oretag er v i på papir. Nå r v i har prø v et modellen af i praksis og rettet den til, kan v i ef terf ø lg ende tag e stilling til implementering shorisont og plan, samt om v i skal understø tte modellen og proc essen med et v æ rktø j. U d ov er de interne ressourc er til selv e v urdering en v il v i i It-Sikkerhed b rug e tid på planlæ g ning, dokumentation og på at f astlæ g g e den endelig e model. R am m erne Pro c es o g in teres s en ter It-sikkerhed er, som mang e andre ting, underlev erandø r til f ly v esikkerhed. Derf or har j eg naturlig v is skelet til v ores f ly v esikkerhedspolitik 4 (v ores it-sikkerhedspolitik f lug ter helt med denne) samt haf t en rig tig g od dialog med Frederik i den f orb indelse. Vi har sammen holdt en w orkshop med deltag ere f ra Sec urity, Risikosty ring, Nav iair samt b å de udv ikling, drif t og teknik i it-af deling en. På w orkshoppen hav de v i til inspiration tre eksterne f oredrag SL V, ekstern rev ision og en konsulent med spec iale i it-risikov urdering og analy se. Frederik og j eg har b esø g t AST s hov edsæ de i Rotterdam, hv or v i hav de et mø de med deres it-sikkerhedsc hef Van de Tog eren. Endelig har j eg undersø g t, hv ad der f indes omkring it risikov urdering og analy se. Der f indes rig tig meg et, og mang e v il g erne b y de ind med av anc erede modeller og v æ rktø j er. U d g a n g s p u n kt o g u n d ers ø g el s er Da v i udarb ej dede den ny e it-sikkerhedspolitik, v alg te v i at b asere v ores politik på den danske standard DS 484, Standard f or inf ormationssikkerhed 5. Da v i nu er b lev et en del af en international konc ern, v ar det, og så i den f orb indelse, et rig tig g odt v alg, idet den danske standard tag er udg ang spunkt i internationalt anerkendte standarder. 4 F l y v es i k k er h ed s p o l i t i k s e u d d r ag i bi l ag 4. 5 DS v ar p å d av æ r en d e t i d s p u n k t en n o r m. N u er d en en s t an d ar d d er t ag er u d g an g s p u n k t i en t i l s v ar en d e I S O s t an d ar d : o g t i l s v ar en d e br i t i s k s t an d ar d BS : Side 1 2 af 60

13 Ridum Airports A/S Det v ar derf or spæ ndende, hv ordan AST arb ej der med it-sikkerhed. Vi v ar heldig e, idet de b aserer sig på de samme standarder (ISO og b ritisk standard), som læ g g er til g rund f or den danske. På en lang ræ kke områ der v ar de på samme stade som os med hensy n til itsikkerhedsarb ej det, og de har heller ikke en f ormaliseret model f or it-risikoanaly se. Det hav de de i ø v rig t heller ikke tæ nkt sig komme med. De hav de en plan om, at udarb ej de en model f or risikov urdering til b rug i den c entrale udv ikling saf deling men udelukkende med f okus på proj ekt- og udv ikling sområ det. Det er de enkelte datterselskab ers ansv ar at v urdere og analy sere it-risic i sammen med sin f orretning og lokale it-af deling. For at g ø re proc essen lokal og v edkommende ø nsker AST ikke, at v i skal b rug e en c entralt sty ret model. Det er op til det enkelte datterselskab. Krav et er, at v i lev er op til v ores eg en it-sikkerhedspolitik, og at v i kan kommunikere det ov erordnede resultatet af v ores risikov urdering til relev ante parter på hov edkontoret herunder udv ikling saf deling en. Hj emme ig en har v i haf t en g od w orkshop på tv æ rs af v ores af deling er i RA. Vi arb ej der alle med f orskellig e v inkler på risikov urdering, men v i g ø r det stort set ud f ra de samme b eg reb er. Hans b rug er en mere g ranuleret skala f or sine v urdering er på f y sikken, end j eg i f ø rste omg ang læ g g er op til på it-områ det. Vi v ar enig e om, at der ikke umiddelb art v ar b asis f or at anv ende samme model og v æ rktø j er, og samtidig v ar v i enig e om at mø des ig en, så v i kan udv eksle erf aring er. Endelig v ar der stor interesse i, at se den g eneriske model f or it-risikoanaly se, v i lander på. Endelig har j eg hentet inspiration på internettet, i en erf ag ruppe j eg er med i, og hos et par konsulentf irmaer. På nettet er der meg et at f inde, men kendeteg nende er stor kompleksitet og detalj ering sg rad, så v el i modeller som v æ rktø j er. Hos mine erf a kontakter er hov edtræ kkene: ikke ret lang t med it-risikov urdering, hj emmestrikkede skemaer rettet mod eg en v irksomhed, konsulenter b ring es ind, nå r spec if ikke lø sning er skal v urderes, og endelig b rug er nog le (inklusiv Kø b enhav n L uf thav ne) en model og v æ rktø j er f ra Inf ormation Sec urity Forum 6. Sidstnæ v nte er dog kun f or medlemmer. K a ra kteris tika ved m o d el l en Med udg ang spunkt i v ores må de at driv e f orretning og it på, samt v ores modenhedsniv eau med hensy n til v urdering af risic i, skal v ores model i f ø rste omg ang v æ re karakteriseret v ed: Simpel at anv ende. Forretning sorienteret. G iv e ov erb lik. Tag e udg ang spunkt i v ores it-sikkerhedspolitik og hermed den danske standard. 6 I n f o r m at i o n S ec u r i t y F o r u m (I S F ) i n t er n at i o n al m ed l em s d r ev et n o n -f o r -p r o f i t o r g an i s at i o n, s o m p å h el e s i k k er h ed s o m r å d et p r o d u c er er r ap p o r t er, m o d el l er, v æ r k t ø j er, ben c h m ar k u n d er s ø g el s er m ed v i d er e. M ed l em s k ab k o s t er c a o m å r et. (w w w.s ec u r i t y f o r u m.o r g ) Side 1 3 af 60

14 Ridum Airports A/S R isiko arb ej de En risiko er et hv ilket som helst f orhold, der kan på v irke v ores må l. Sty ring af risic i spiller derf or en v æ sentlig rolle i mulig heden f or at opnå v ores må l. Risiko er en f unktion af sandsy nlig heden f or, at en g iv en trussel udny tter en potentiel så rb arhed, og den konsekv ens det f å r f or f orretning en. R is iko m o d el Kender v i v ores risic i - risikob illede, kan v i hå ndtere dem ud f ra denne simple risikomodel: INITIAL RISIKO U ndg å risiko Beg ræ ns sandsy nlig hed FO RANSTAL TNING ER Beg ræ ns konsekv enser BEREDSKAB RESIDU AL RISIKO Ac c epter/hå ndter AC C EPT / FO RSIKRING Risikov urdering er så ledes f undamentet f or at kunne tag e stilling til, hv ilke sikkerhedsf oranstaltning er og kontroller v i skal implementere, naturlig v is og så på v irket af de omkostning er, der v il v æ re f orb undet med tiltag ene. It-sikkerhedstiltag skal så ledes b alanc eres, i f orhold til de trusler v i er udsat f or og de f orretning smæ ssig e konsekv enser, der kan komme, hv is truslerne ef f ektueres. S ikkerh ed s f o ra n s ta l tn in g er Sikkerhedsf oranstaltning er (f oreb y g g ende, opdag ende og korrig erende), og herunder b eredskab, kan b idrag e til at mindske v ores samlede risiko idet: Vores it-anv endelse er udsat f or trusler mod de ressourc er, der er kny ttet til itanv endelsen. Trusler kan udlø se sikkerhedsb rud med en v is sandsy nlig hed og en v is konsekv ens, dv s. at v i har et trusselsb illede. Trusler udny tter så rb arheder og imø deg å s v ed sikkerhedsf oranstaltning er / kontroller Side 1 4 af 60

15 Ridum Airports A/S Sy stem Data Trusler R esso urc er S i k k erh ed sb rud K o n sek v en s Forebyggende O p da gende K orri gerende B eg reb er Beg reb erne risikosty ring, risikov urdering og risikoanaly se anv endes i f læ ng og på mang e f orskellig e områ der. Nog le g ang e sæ ttes der it f oran andre g ang e ikke. På it områ det dæ kker b eg reb erne konc eptuelt ov er: Risikosty ring en ov erordnede ledelsesmæ ssig e sty ring af RA s indsats f or at imø deg å f orretning smæ ssig e risic i i relation til v ores anv endelse af it. En integ reret del af arb ej det med it-sikkerhed se nedenf or. Risikov urdering en ov erordnet af v ej ning af RA s risikob illede f or v ores it anv endelse herunder it-sy stemer. Risikov urdering en identif ic erer de f orretning smæ ssig e risic i, RA er udsat f or v ed b rug af it. Risikoanaly se en dy b ere og mere detalj eret g ennemg ang f or at af dæ kke RA s trusler og så rb arheder samt konsekv enser af uø nskede hæ ndelser. G enerelt ef terf ø lg es v urdering en af en analy se, hv or der er b ehov f or det set ud f ra en risiko-v æ sentlig heds b etrag tning. Forslag et til en g enerisk model f or it-risikoanaly se dæ kker så ledes ov er v urdering og analy se. Nå r ordet v urdering anv endes, skal det tolkes: v urdering og ef terf ø lg ende analy se hv is nø dv endig t. E n d el a f en h el h ed Risikosty ring sker i stort set alle f aser af et sy stems liv sc y klus. Set med sikkerhedsb riller på er risikosty ring integ reret i alle sikkerhedsarb ej dets f aser som skitseret på f ig uren ø v erst på næ ste side. Risikov urdering og analy se er så ledes g rundlæ g g ende elementer i det samlede itsikkerhedsarb ej de og hø rer primæ rt til i planlæ g ning sf asen på f ig uren Side 1 5 af 60

16 Ridum Airports A/S Planlæg U d f ø r V e d li ge h o ld C h e c k U dkast til m odel R is iko vu rd erin g - el em en ter J eg har tag et udg ang spunkt i de f aser, lang t de f leste modeller f or risikov urdering har med ex plic it eller implic it. J eg har komb ineret dette med den g enerelle model, som DS 484 peg er på. I de f irkantede rammer stå r mit f orslag til indholdet i v ores model. Identifikation og v u r der ing af r es s ou r c er Identif ic ering af ressourc er med tilkny tning af ej erskab og klassif ikation. Hv is der er b ehov f or det, kan kateg orisering af ressourc er f oretag es på mang e må der eksempelv is: inf ormationsv æ rdier (datab aser, dokumentation, b eredskab splaner), papir dokumentation, sof tw are (f orretning ssy stemer, sy stem sof tw are), f y siske v æ rdier (c omputere, medier), personer, imag e og serv ic es (itserv ic e, strø m), og proc esser. Væ rdisæ tning kan og så ske på mang e må der. Væ rdien kan eksempelv is udtry kkes v ed den potentielle f orretning smæ ssig e konsekv ens v ed b rud på f ortrolig hed, integ ritet og tilg æ ng elig hed. Af ledt af denne v æ rdisæ tning f å s et g rundlag f or klassif ikation af ressourc en. Resultatet er en ov ersig t ov er ressourc er med ej erskab og v æ rdisæ tning / klassif ikation Side 1 6 af 60

17 Ridum Airports A/S I f ø rste omg ang er ressourc er = sy stemer. Vi tag er udg ang spunkt i v ores sy stemov ersig t, f ra sidste rev isionsg ennemg ang. I den f orb indelse, samt i f orb indelse med v ores å rlig e netv æ rkssikkerhedstest, f ik v i udarb ej det nog le rig tig g ode konf ig urationsteg ning er, som v iser lang t de f leste sy stemkomponenter og sammenhæ ng e. Beg g e dele kan med en b eg ræ nset indsats f ø res up-to-date og tilf ø res de ev entuelt mang lende oply sning er. Vi v æ rdisæ tter ud f ra de f orretning smæ ssig e konsekv enser v ed b rud på f ortrolig hed, integ ritet og tilg æ ng elig hed (hj æ lpeskema se b ilag 5) Resultatet er en sy stemov ersig t med ej erskab og v æ rdi/klassif ikation. Identifikation af tr u s l er, s å r b ar h eder, og s ikker h eds kr av ( eks ter ne og inter ne) Trusler kan v æ re hæ ndelig e eller ov erlag te og stamme mang e steder f ra. U d f ra trusselslister og b rainstorming udv æ lg es de relev ante trusler til den konkrete v urdering. Så rb arheder er sv ag heder kny ttet til ressourc erne. Sv ag hederne kan eksempelv is v æ re i det f y siske milj ø, personer, ledelse, proc edurer og kontroller samt hardw are, sof tw are og netv æ rk. Så rb arheder kan og så v æ lg es ud f ra lister og b rainstorming. Sikkerhedskrav ene til v ores it-sy stemer tag er primæ rt udg ang spunkt i v ores itsikkerhedspolitik og underlig g ende retning slinj er, lov g iv ning og my ndig heders krav samt i kontraktuelle f orplig telser. En status på opf y ldelsesg raden af krav ene er v ig tig at kende i f orb indelse med v urdering af så rb arheden i relation til f orskellig e trusler samt i f orb indelse med v alg af y derlig ere f oranstaltning er. Resultatet er en ov ersig t ov er trusler og så rb arheder f or ressourc erne Side 1 7 af 60

18 Ridum Airports A/S I v ores risikov urdering anv ender v i trusler på to må de: 1. Den indirekte hv or truslen = kompromittering af f ortrolig hed, integ ritet og tilg æ ng elig hed. 2. Den direkte hv or udg ang spunktet er de f aktiske trusler. Truslerne mod en g iv en ressourc e f å r v i v ed at tag e udg ang spunkt i g enerelle trusselslister. Vi udv æ lg er de relev ante trusler på et b rainstormmø de. For at kunne identif ic ere / v urdere så rb arheden v ille det v æ re rart, hv is v i hav de et f uldstæ ndig t ov erb lik ov er opf y ldelsesg raden af sikkerhedskrav ene til v ores sy stemer. I mang el af dette b rug er v i den akkumulerede v iden hos relev ante medarb ej dere, resultatet af sikkerhedstest, rev isionsrapporter med v idere. Nå r v ores it-sikkerhedsretning slinj er er udb y g g et ultimo å ret, v il en status på disse b liv e b rug t som input. Resultatet er en b eslutning om b rug af 1 eller 2. Hv is 2, udarb ej des en trusselsliste til v urdering. Resultatet er og så den samlede v iden om så rb arheden. V u r der s ands y nl ig h ed for at tr u s l er og s å r b ar h eder få r effekt Nå r de relev ante trusler og så rb arheder er identif ic eret, skal sandsy nlig heden, f or at en g iv en trussel / så rb arhed f å r ef f ekt, v urderes. For at simplif ic ere dette v æ lg er mang e en skala som eksempelv is lav, medium, hø j. Sandsy nlig heden f or en trussel f å r ef f ekt på v irkes af en ræ kke f aktorer herunder hv or tit sker det (statistik, erf aring ) og hv or attraktiv t det er at ef f ektuere en trussel. Sandsy nlig heden f or at en hæ ndelse sker, på v irkes af ressourc ens så rb arhed hv or nemt kan så rb arheden udny ttes. Resultatet er en ov ersig t ov er trusler og så rb arheder samt sandsy nlig heden f or, at de ef f ektueres Side 1 8 af 60

19 Ridum Airports A/S Vi b rug er DS 484 risikov urdering en, som f ø rst v urderer en umiddelb ar sandsy nlig hed f or en g iv en trussel, uden at tag e hø j de f or alle f oranstaltning er / kontroller ef terf ulg t af en separat v urdering af så rb arheden. På sig t kan det v æ re, v i slå r v urdering en af sandsy nlig hed og så rb arhed sammen. Vurdering af sandsy nlig hed f or en g iv en trussel b aserer sig på en umiddelb ar v urdering, f ra relev ante personer, af truslens stø rrelse, er det sket f or os eller andre de sidste å r, f orv enter v i det v il ske med v idere. Til den ef terf ø lg ende v urdering af så rb arheden se ov enf or kan v i b rug e DS 484 som c hec kliste. For ikke at b ladre den hele ig ennem hv er g ang, udarb ej der v i nog le f å spø rg små l pr. relev ant af snit. Hv is der anv endes den indirekte må de at v urdere trusler på, f oretag es så rb arhedsv urdering en tilsv arende ov erordnet rettet mod f ortrolig hed, integ ritet og tilg æ ng elig hed. Hv is den direkte må de anv endes, v urderes så rb arheden spec if ikt mod den enkelte trussel. Resultatet er en v urdering af sandsy nlig heden og så rb arheden f or hv er trussel. B er eg n r is ikoen På b ag g rund af ressourc ernes v æ rdi og de potentielle trusler og så rb arheders sandsy nlig hed skal risikoen b ereg nes. Der er mang e må der at b ereg ne risiko på. G rundlæ g g ende kan det g ø res kv antitativ t eller kv alitativ t eller som en komb ination. Resultatet er en ov ersig t ov er de v urderede risic i f or de enkelte trusler mod en ressourc e. Vi sæ tter truslernes f orretning smæ ssig e konsekv ens ov er f or sandsy nlig heden f or at truslen rammer. Det g iv er et trusselsb illede f or den enkelte trussel. Vi arb ej der med kv alitativ e v urdering er. Deref ter sæ tter v i dette trusselsb illede ov er f or så rb arheden / de samlede sikkerhedsf oranstaltning er og kontroller. Det g iv er et risikob illede f or den enkelte trussel. Risikob illedet f or de udv alg te trusler g iv er sy stemets samlede risikob illede. Resultatet er trusselb illede og risikob illede f or hv er trussel og samlet f or sy stemet Side 1 9 af 60

20 Ridum Airports A/S V æ l g h v or dan r is ic i s kal h å ndter es Nå r en ressourc es risiko er kendt, skal der tag es stilling til, hv ordan risikoen skal hå ndteres. Som næ v nt ov enf or kan man eksempelv is implementere y derlig ere sikkerhedsf oranstaltning er / kontroller (reduc ere sandsy nlig hed), b eg ræ nse konsekv enser, ac c eptere risikoen, undg å risikoen (eks. f ly t udsty r) eller ov erf ø re risikoen (f orsikring ). Komb ination af de f orskellig e mulig heder kan v æ lg es. Resultatet er en ov ersig t ov er, hv ordan de enkelte risic i skal hå ndteres. Det skal b esluttes, hv ordan de ikke ac c eptab le risic i skal hå ndteres y derlig ere f oranstaltning er, kontroller, ac c ept eller med v idere. L ang t hen ad v ej en v il der v æ re tale om f orb edring og udb y g ning af allerede etab lerede f oranstaltning er. Resultatet er ov ersig ten f ra sidste punkt med ang iv else af, hv ilke risic i der skal hå ndteres og hv ordan. V æ l g de nø dv endig e s ikker h eds for ans tal tning er / kontr ol l er for at r edu c er e r is ic i På de områ der hv or det er v alg t at reduc ere de identif ic erede risic i til et ac c eptab elt niv eau med sikkerhedsf oranstaltning er / kontroller skal disse udv æ lg es. De v æ lg es ty pisk f ra ens eg ne sikkerhedsretning slinj er, som of te ikke er f uldt implementeret f or alle ressourc er. Alternativ t v æ lg es f ra standarder som DS 484, b est prac tic es eller andre eksterne kilder. I v alg et af sikkerhedsf oranstaltning / kontrol skal det ø konomiske aspekt og så tag es med i b eslutning en. Resultatet er en ov ersig t ov er de risic i, som er v alg t hå ndteret med ang iv else af hv ilke y derlig ere sikkerhedsf oranstaltning er / kontroller, der er v alg t. I de tilf æ lde hv or risikob illedet skal f orb edres med sikkerhedsf oranstaltning er / kontroller, skal disse identif ic eres. Det v il v æ re en iterativ proc es. Resultatet v il v æ re en handling splan f or implementering og opf ø lg ende risikov urdering Side 20 af 60

21 H M M H Ridum Airports A/S Pro c es f o r ris iko vu rd erin g T r i n B e s k r i v e l s e K o m m e n t a r S y s t o v s i g t O v s i g t o v l v o r s y s t m k o n t t p s o n o g v æ r d i em er er er al e es em er ed ej er, ak er. V æ r d i = k o n s ek v en s f o r et ag es u d f r a h j æ l p e s k em a 7. T r u s l er V æ l g o m d er an v en d es t r u s s el = k o n s ek v en s el l er o p s t i l en l i s t e o v er t r u s l er. 8 N å r d er v u r d er es, t ag es en t r u s s el ad g an g en. T r u s l er n e g i v es et n u m m er. T r u s l er k an ek s em p el v i s g r u p p er es s å d an : M en n es k el i g e f ej l F ej l i s y s t em er Dr i f t p r o bl em er P r o c ed u r er P er s o n af h æ n g i g h ed U au t o r i s er et i n t er n h an d l i n g Ek s t er n e an g r eb O r g an i s at i o n Æ n d r i n g s s t y r i n g V æ l g t r u s l er bå d e m o d f o r t r o l i g h ed, i n t eg r i t et o g t i l g æ n g el i g h ed. S an d s y n l i g h ed / k o n s ek v en s T r u s s el s l i s t en o p d at er es m s an d s y n l i g h ed s - o g k o n s ek v en s v u r d er i n g. ed en S an d s y n l i g h ed : L a v - m eg et s j æ l d en t, t eo r et i s k m u l i g h ed Der an v en d es en k v al i t at i v s k al a. M i d d e l af o g t i l, m i n d s t en g an g ø j h y p p i g t, er s et f l er e g an g e K o n s ek v en s : L a v u bet y d el i g el l er m i n d r e i d d e l - bet y d el i g ø j - al v o r l i g el l er k r i t i s k (h j æ l p es k em a i bi l ag 5) T r u s s el s bi l l ed e Di ag r am m ed s an d s y n l i g h ed o g k o n s ek v en s p å ak s er n e. H v er t r u s s el s v u r d er i n g an g i v es m n u m m er. ed s i t Di ag r am m et er t r af i k l y s m ar k er et o g t r u s s el s n i v eau f o r h v er t r u s s el k an d i r ek t e af l æ s es : Lav = G r ø n i d d el = G u l H ø j = R ø d S å r bar h ed V ed v u r d er i n g af k o n s ek v en s o g s an d s y n l i g h ed t ag er m an i k k e h ø j d e f o r al l e i m p l em en t er ed e V u r d er s v ag h ed er / m an g l er i p r o c ed u r er, f o r an s t al t n i n g er o g k o n t r o l l er. 7 H j æ l p es k em a t i l v u r d er i n g af v æ r d i / k o n s ek v en s s es i bi l ag 5. 8 S e ek s em p l er p å t r u s l er i bi l ag Side 21 af 60

22 M Ridum Airports A/S T r i n B e s k r i v e l s e K o m m e n t a r s i k k er h ed s f o r an s t al t n i n g er / k o n t r o l l er (s i k k er h ed s m i l j ø et ). Det t e t ag es d er h ø j d e f o r n u v ed v u r d er i n g af s å r bar h ed en. Br u g r et n i n g s l i n j er, DS o g ev en t u el l e ek s t er n e k r av. S å r bar h ed : L a v i n g en / f å, i k k e v æ s en t l i g e s v ag h ed er i d d e l en d el, v æ s en t l i g e s v ag h ed er H ø j m an g e, al v o r l i g e s v ag h ed er R i s i k o bi l l ed e Di ag r am m ed t r u s s el s n i v eau (o v er f ø r t f r a f ø r s t e d i ag r am ) o g s å r bar h ed p å ak s er n e. Di ag r am m et er t r af i k l y s m ar k er et o g r i s i k o n i v eau f o r h v er t r u s s el k an d i r ek t e af l æ s es : H v er t r u s s el s v u r d er i n g an g i v es m n u m m er. ed s i t Ac c ep t abel t = G r ø n Del v i s ac c ep t abel t = G u l I k k e ac c ep t abel t = R ø d An al y s e P å d e t r u s l er, h v o r r i s i k o n i v eau et er d el v i s el l er i k k e ac c ep t abel t, k an d er v æ r e beh o v f o r y d er l i g er e v u r d er i n g o g an al y s e af u d v al g t e o m r å d er. Ek s em p el v i s t r u s l er m o d t i l g æ n g el i g h ed en, h v o r r i s i k o en er f o r h ø j m ed bag g r u n d i en o v er o r d n et o p f at t el s e af f o r d å r l i g f y s i s k s i k r i n g. Et s p ad es t i k d y ber e v i l n u an c er e r i s i k o bi l l ed et o g f o r bed r e m u l i g h ed en f o r at v æ l g e en f o r n u f t i g r i s i k o h å n d t er i n g. R i s i k o h å n d t er i n g P å d e o m r å d er h v o r r i s i k o -n i v eau et er f o r h ø j t ( DA o g I A), s k al d er s o m h o v ed r eg el i m p l em en t er es f o r bed r i n g er i f o r m af f l er e s i k k er h ed s f o r an - s t al t n i n g er / k o n t r o l l er. Det v i l v æ r e en l ø ben d e p r o c es, d er t y p i s k p as s es i n d i ø v r i g e p r o j ek t - o g t i d s p l an er. Lan g t d e f l es t e f o r bed r i n g er v i l v æ r e g en er el l e, o g s å l ed es k o m m e m an g e s y s t em er t i l g o d e. I n o g l e t i l f æ l d e k an d er o g s å v æ l g es an d r e l ø s n i n g er p å r i s i k o beg r æ n s n i n g. I al l e t i l f æ l d e s k al d et ø k o n o m t ag es m ed i bet r ag t n i n g. i s k e as p ek t Der u d ar bej d es en p l an f o r r i s i k o h å n d t er i n g en. 9 S e ek s em p l er p å s p ø r g s m å l i r el at i o n t i l s å r bar h ed i bi l ag Side 22 af 60

23 Ridum Airports A/S T ru s s el s b il l ed e S a n d s y n l i g h e d L a v M i d d e l H ø j Konsekvens L a v M i d d e l A B H ø j D C E k s e m p e l : T r u s s K o n s v s S d s y n l i g h T r u s s s n i v T r u s s M i d d T r u s s M i d d M i d d M i d d T r u s s H ø j H ø j H ø j T r u s s H ø j el ek en an ed el eau el A el Lav Lav el B el el el el C el D Lav Lav R is iko b il l ed e S å r b a r h e d L a v M i d d e l H ø j T r u ssel sni vea u L a v A D M i d d e l B H ø j C E k s e m p e l : T r u s s T r u s s s n i v S å r h R i s i k o n i v T r u s s T r u s s M i d d M i d d M i d d T r u s s H ø j M i d d M i d d T r u s s H ø j el el eau bar ed eau el A Lav Lav Lav el B el el el el C el el el D Lav Lav Side 23 af 60

24 Ridum Airports A/S Im p lem entering og ø konom i Nå r v i er enig e om modellen f or it-risikoanaly se, skal v i hav e prø v et modellen af. J eg v il f oreslå, v i g ø r det på et af g ræ nset og v eldokumenteret sy stem. Det skal samtidig v æ re et sy stem, hv or v i har f orretning smæ ssig e ej ere, som dels er motiv erede, og som v i kommunikerer g odt med. Det ny e sy stem til adg ang skontrol er mit b ud. J eg v il f oreslå, at v i samler alle relev ante parter på en w orkshop af et par timers v arig hed og prø v er ting ene af. Vi af prø v er modellen på papir og tav ler, og v i dokumenterer af prø v ning sresultatet i w ord. Af prø v ning en kan g iv e os input til j ustering er, hj æ lpe skemaer og en v ej ledning. Nå r de ting ef terf ø lg ende er b rag t på plads, er v i klar til implementering. Hv is v i er interesseret i et ev entuelt v æ rktø j, kan v i sidelø b ende med ov enstå ende undersø g e, hv ad der f indes på markedet. J eg v il f oreslå, at v i f orankrer it-risikoanaly se i It-Sikkerhed, og j eg f orv enter, v i kan hav e ting ene klar til b rug inden sommer. Hv is v i ikke anskaf f er et v æ rktø j i f ø rste omg ang, skal v i udelukkende træ kke på interne ressourc er til selv e v urdering en. It-Sikkerhed sø rg er f or planlæ g ning og dokumentation Side 24 af 60

25 Ridum Airports A/S Opgave 1 b K æ re Mariu s, F rederik og G odtf red, Som v i har af talt, skal v i hav e g ennemf ø rt en risikoanaly se af v ores sy stem til f ly v etraf iksikkerhed. I har b edt mig komme med et f orslag til, hv ordan v i g rib er det an. I dette notat b eskriv er j eg, hv ordan It-Sikkerhed v il hå ndtere risikoanaly sen herunder v æ rktø j er, proc es, tidshorisont og ø konomi. J eg b ooker J er en halv time sidst på ug e, så v i i f æ llesskab kan f å f astlag t den endelig e f remg ang små de. B ag g ru nd Vi har f or at v æ re g odt f orb eredt, til SL Vs kommende inspektion i 4. kv artalt, b esluttet at g ennemf ø re en risikoanaly se af v ores sy stemer til f ly v etraf iksikkerhed. Det er ikke næ rmere spec if ic eret f ra SL Vs side hv ilke sy stemer, der skal v æ re omf attet. Nog le sy stemer er oplag t, men det er op til os selv at f oretag e den endelig e af g ræ nsning. Det er oplag t, at v æ sentlig e dele af RATS skal omf attes af risikoanaly sen, lig esom en stor del af Nav iairs sy stemer skal tag es med. Af prø v ning en af v ores ny e model f or it-risikoanaly se (RAL Y), g ik som I v ed, rig tig g odt. Vi er i g ang med at indarb ej de alle kommentarer, og er netop nu v ed at læ g g e sidste hå nd på hj æ lpeskemaer og b rug erv ej ledning. Vi f orv enter at hav e en samlet RAL Y pakke klar medio maj. F orslag og m å l Vi b rug er v ores ny e RAL Y model. Samlet kic k-of f og w orkshops. Samlet it-risikob illede f or f ly v etraf iksikkerhed. O v erb lik ov er f orb edring sområ der på it-områ det. Dokumentation f or sikkerhedsniv eau og g rad af c omplianc e. Vi er f æ rdig e senest den 1. septemb er. Risikoanaly sen kø rer v i som et proj ekt. P roj ekt Da denne risikov urdering b liv er ret omf attende med mang e sy stemer og interessenter, v il j eg f oreslå, at v i f å r en proj ektleder på opg av en. J eg v il peg e på Ny nne, som har v æ ret rig tig g od b å de i f orb indelse med udarb ej delse af it-sikkerhedspolitikken sidste å r og Side 25 af 60

26 K W Ridum Airports A/S desuden og så i f orb indelse med etab lering af RAL Y modellen. Vi etab lerer en proj ektg ruppe med Ny nne, G odtf red og j eg samt en sty reg ruppe med J er, Ny nne og j eg. A f g ræ nsning Det er af g ø rende, at v i meg et hurtig t f å r f oretag et en sy stemaf g ræ nsning som g rundlag f or det v idere arb ej de. J eg v il f oreslå, at Frederik, G odtf red og Hans f ra Sec urity sæ tter sig sammen, og på b ag g rund af v ores sy stemov ersig t og ov erordnede konf ig urationsteg ning udpeg er de sy stemer, og herunder den inf rastruktur, der skal omf attes af risikoanaly sen. Så snart v i har det ov erb lik, kan Ny nne g å i g ang med at f inde eller udarb ej de en ov erordnet b eskriv else pr. sy stem. Model og doku m entation Vi b rug er v ores ny e RAL Y model inklusiv hj æ lpeskemaer. Desuden b rug er v i den danske standard f or inf ormationssikkerhed DS som c hec kliste, nå r der skal v urderes så rb arheder. Det g ø r v i f ordi, v ores eg ne it-sikkerhedsretning slinj er endnu ikke er f æ rdig e. Bå de proj ektinf ormation og dokumentation f or risikov urdering erne plac eres i en proj ektdatab ase. Herf ra lav es der link til anden relev ant dokumentation eksempelv is drif tshå ndb og en, konf ig urationsteg ning er og sy stemdokumentation. Interessenter De f orretning sansv arlig e sy stemej ere og deres sparring spartnere i it-af deling en er hov edinteressenter. En hov edinteressent er naturlig v is og så Nav iair, som har b å de ATM (air traf f ic manag ement) og ATC (air traf f ic c ontrol) sy stemerne med integ ration til RATS. Vi v il og så inddrag e ekstern it-rev ision i arb ej det. Vi har af talt med dem, at deltag else på sidelinj en i dette proj ekt, kan indg å som en v æ sentlig del af å rets rev isionshandling er. Endelig er der områ der, hv or udv ikling og / eller drif t er outsourc et til eksterne partnere. De områ der f orv enter v i at kunne dæ kke med rev isionserklæ ring er f ra på g æ ldende partneres eksterne rev isorer. Til koordinering af disse erklæ ring sopg av er v il v i g erne træ kke på Kontraktaf deling en. Dette og så med henb lik på at f å tilrettet v ores standardaf taleg rundlag, hv or erklæ ring saf g iv else ikke er indeholdt idag. ick-of f Nå r alle interessenter på de udv alg te sy stemer er udpeg et, holder v i et samlet kic k-of f i auditoriet. På kic k-of f f å r alle en introduktion til proj ektet og RAL Y modellen. J eg f orv enter, det kan lø b e af stab elen ultimo maj. orksh op s For at optimere ressourc eindsatsen v il v i f ac ilitere en ræ kke w orkshops en pr. sy stem. Med de rig tig e og v elf orb eredte deltag ere f orv enter v i, at en w orkshop kan af v ikles på maksimalt en halv dag. Så er man f æ rdig i hv ert f ald f or f orretning ens v edkommende Side 26 af 60

27 K Ridum Airports A/S Det er mulig t, der på it-siden, v il v æ re nog et ef ter b earb ej dning. Dette v il dog b liv e mindre, ef terhå nden som proj ektet skrider f rem, idet en del områ der v il v æ re stort set ens, da mang e sy stemer kø rer på samme inf rastruktur og ikke mindst g ø r b rug af samme proc esser og proc edurer. onsolideret b illede For hv ert sy stem v il v i f å risikob illede med ang iv else af de områ der, der ev entuelt skal f orb edres med ekstra sikkerhedsf oranstaltning er og kontroller. De enkelte sy stemers risikob illede kan så, f or alle de sy stemer der har med f ly v etraf iksikkerhed at g ø re, sammensty kkes til et samlet risikob illede f or f ly v etraf iksikkerhed. U d ov er det samlede risikob illede v il v i og så f å et konsolideret ov erb lik på indsatssiden. Som næ v nt ov enf or v il nog le f orb edring sområ der v æ re de samme f ra sy stem til sy stem, og v i kan så ledes f å et g odt g rundlag f or en handling splan, der kan integ reres i v ores it proj ekt roadmap. E kstra g ev inst Da RAL Y modellen v urderer op imod v ores it-sikkerhedspolitik og retning slinj er, og på de steder de ikke er f æ rdig e, imod den danske standard, f å r v i et par ekstra g ev inster med i kø b et v ed at g ennemf ø re proj ektet. Vi f å r et b illede af, om v ores politik og retning slinj er er tilstræ kkelig e, og desuden f å r v i et b illede af, i hv ilken g rad v i lev er op til dem. Vi f å r på den må de dokumentation f or, om v ores sikkerhedsniv eau er tilstræ kkelig t. Hv is det ikke er tilf æ ldet, f å r v i en handling splan f or, hv ordan v i kommer på niv eau. Eksterne krav er indb y g g et i v ores politik og retning slinj er, eller de v il b liv e b rag t f rem i f orb indelse med risikov urdering en. Derf or f å r v i samtidig dokumentation f or, om v i lev er op til eksterne krav. AST har, i f orb indelse med ov ertag elsen, b edt om dokumentation f or så v el et tilstræ kkelig hø j t sikkerhedsniv eau samt f or v ores opf y ldelse af c omplianc e krav til v ores v irksomhed. En risikoanaly se, som b eskrev et ov enf or, v il udg ø re stø rstedelen heraf. Vi kan altså v ed at g ennemf ø re proj ektet, slå to f luer med et smæ k v i v il v æ re g odt f orb eredt til SL V inspektionen sidst på å ret, og v i kan indf ri AST s f orv entning på dette områ de. Ø konom i Vi f orv enter primæ rt at skulle anv ende interne ressourc er i f orm af mø de f orb eredelse, deltag else samt dokumentation. Vi skal b rug e c irka kr. på at udarb ej de et pæ nt RAL Y materiale og c irka kr. til at holde mø der og w orkshops (c a. 1 5). Med hensy n til erklæ ring saf g iv else v ed v i allerede nu, at 3 ud af c a. 9 kontrakter ikke indeholder rev isionserklæ ring. Det kan b ety de en udg if t i stø rrelsesordenen kr. pr. kontrakt. Alt i alt f orv enter v i, med v ores nuv æ rende v iden, at kunne g ennemf ø re proj ektet indenf or en ramme på kr Side 27 af 60