| spelling |
oai:hellanicus.lib.aegean.gr:11610-196162019-11-15T09:58:52Z Ανάπτυξη εργαλείου υποστήριξης της ανάλυσης επικινδυνότητας πληροφοριακών συστημάτων Παπαδοπούλου, Αθηνά Κοκολάκης, Σπύρος Ανάλυση επικινδυνότητας Επιχειρίση Ηλεκτρονική εφαρμογή Risk Analysis Octave Allegro Carnegie Mellon University Business enterprises--Computer networks--Security measures (URL: http://id.loc.gov/authorities/subjects/sh95010367) Information technology--Security measures (URL: http://id.loc.gov/authorities/subjects/sh2009127217) Computer security (URL: http://id.loc.gov/authorities/subjects/sh90001862) Risk management (URL: http://id.loc.gov/authorities/subjects/sh85114200) Κλειδωμένη η δυνατότητα αντιγραφής (copy) κειμένου. Η ανάλυση επικινδυνότητας είναι η διαδικασία αναγνώρισης των κινδύνων και απειλών, και μπορεί να εφαρμοστεί είτε σε ένα έργο, είτε σε έναν οργανισμό, ή μια επιχείρηση. Κύριος στόχος της ανάλυσης επικινδυνότητας, εκτός της αναγνώρισης των κινδύνων και των απειλών, είναι η δημιουργία ενός σχεδίου ασφάλειας για τους κινδύνους που κρίνονται σοβαροί και κρίσιμοι. Υπάρχουν τρείς κύριες μεθοδολογίες για ανάλυση επικινδυνότητας, η CRAMM, η NIST SP 800- 30 και η Octave, με ποιο διαδεδομένη την πρώτη. Παρόλο που η CRAMM παρέχει εργαλείο στους αναλυτές, θεωρείται αρκετά δύσχρηστη και χρονοβόρα. Αυτός είναι και ο λόγος ύπαρξης της διπλωματικής. Η Octave είναι πιο μικρή και λειτουργική μεθοδολογία και δεν υπάρχει εργαλείο για αυτήν. Δύο είναι οι λόγοι για τους οποίος επιλέχθηκε να δημιουργηθεί μια ηλεκτρονική εφαρμογή και όχι ένα εκτελέσιμο αρχείο που θα έτρεχε τοπικά στους υπολογιστές μιας εταιρίας. Αρχικά, είναι πιο εύκολο για μια επιχείρηση να επισκεφθεί μια ιστοσελίδα και να κάνει την ανάλυση, από το να εγκαθιστά ένα πρόγραμμα σε κάθε υπολογιστή και να έχει έναν ειδικό για υποστήριξη στην διαδικασία της ανάλυσης αλλά και του εργαλείου. Τέλος, η τεχνολογία εξελίσσεται συνέχεια και πλέον η χρήση ηλεκτρονικών εφαρμογών έχει καθιερωθεί. Με τον τρόπο αυτό μπορεί να παρέχεται υποστήριξη χρηστών ηλεκτρονικά και κάθε στιγμή της ημέρας. Η εφαρμογή απευθύνεται σε άτομα τα οποία δεν είναι απαραίτητο να ασχολούνται με την ανάλυση επικινδυνότητας επαγγελματικά. Οποιοσδήποτε έχει μια επιχείρηση ή εργάζεται σε μία, μπορεί να χρησιμοποιήσει το εργαλείο για να κάνει ανάλυση επικινδυνότητας χωρίς να έχει ιδιαίτερες γνώσεις στον τομέα αυτόν. Για τον λόγο αυτό η υλοποίηση παρέχει δύο εκδόσεις για την ανάλυση επικινδυνότητας με την χρήση της Octave Allegro. Κατά την πρώτη έκδοση οι χρήστες εισέρχονται ατομικά στο σύστημα και συμπληρώνουν τα φύλλα εργασίας καθώς και τα ερωτηματολόγια της Octave. Αυτή είναι η απλή έκδοση στην οποία οι αναλυτές εργάζονται ατομικά. Στην δεύτερη και πιο προχωρημένη έκδοση οι χρήστες δεν είναι οι απλοί αναλυτές, αλλά εντάσσονται στην ομάδα της εταιρίας τους. Ως μέλη της ομάδας ενημερώνονται για την πορεία της ανάλυσης καθώς και για τυχόν συναντήσεις της ομάδα οι οποίες κανονίζονται μέσω της εφαρμογής. Ξεκινώντας την ανάλυση επικινδυνότητας με την χρήση της εφαρμογής, οι αναλυτές αρχικά συμπληρώνουν τις φόρμες που ορίζουν ποιοτικά τα κριτήρια του κινδύνου. Υπάρχουν πέντε τομείς προκαθορισμένοι, και μια φόρμα στην οποία συμπληρώνεται κάποιος επιπλέον τομέας που πιθανόν δεν έχει ήδη συμπεριληφθεί στους προηγούμενους. Στην συνέχεια οι τομείς μπαίνουν σε σειρά προτεραιότητας και δημιουργείται προφίλ για τα αγαθά της επιχείρησης. Το επόμενο βήμα είναι να συμπληρωθούν τα containers που εμπεριέχονται τα αγαθά αυτά. Έχοντας τελειώσει με την καταγραφή των αγαθών και των containers επιλέγονται τα πιο σημαντικά αγαθά και συνεχίζεται η διαδικασία της ανάλυσης. Τα φύλλα εργασίας έχουν μεταφερθεί σε ηλεκτρονική μορφή χωρίς ιδιαίτερες αλλαγές. Στα σημεία που χρειάζεται προσοχή στον τρόπο συμπλήρωσης ο χρήστης ενημερώνεται με μήνυμα για τις ενέργειες που πρέπει να κάνει. Η εφαρμογή ελέγχει αυτόματα την σειρά συμπλήρωσης των φύλλων εργασίας και έτσι οι αναλυτές δεν χρειάζεται να σκέφτονται την σειρά που θα πρέπειiv να ακολουθήσουν. Τέλος, εφόσον δεν υπάρχουν χαρτιά ώστε να μπορεί ο χρήστης να τα εκτυπώσει όσες φορές θέλει και να τα τοποθετήσει σε κάποιο φάκελο για κάθε αγαθό, δημιουργήθηκαν φάκελοι εντός της εφαρμογής στην οποία αποθηκεύονται και ομαδοποιούνται οι φόρμες για κάθε αγαθό ξεχωριστά Risk management is the process of identifying risks and threats and can be implemented in projects or either by an organization or an enterprise. The main goal of risk analysis, besides the risk and threat identification, is the creation of the security plan for the most important risks. There are three main risk analysis methodologies, CRAMM, NIST SP 800-30 and Octave, with the first to be the most popular. Although CRAMM provides a tool to the analysts, it is considered to be quite cumbersome and time-consuming. This is the main reason my thesis exists. Octave is much smaller and operational, however there is no tool for her. The main reasons why Octave tool is a web application and not an executable file that will be installed in every computer in an enterprise or an organization, are two. Firstly, it is much easier for an organization to visit a web page and start the analysis process, rather than installing a software and have an expert watching the proper use of it. The second and final reason is the wide use of web applications in our lives. Using a web application, technical support can be provided any time the user needs help, without expert’s physical appearance. The application is addressed to people who is not necessary to be familiar with risk analysis. Anyone that has an enterprise or work in one, can use the application to perform risk analysis without any extra knowledge in this field. For this purpose, there has been developed two editions inside the application. According to the first one, users can log in the website and fill the worksheets and the questionnaires that Octave uses for risk analysis. In the second edition, the users are registered to the website as subscribed under their organization account. As part of the analysis team they can be informed about the course of the analysis and for scheduled meetings, arranged by superiors inside the application. While performing the analysis, the analysts firstly should fill the forms that define the qualitative measures of risk. There are five predefined fields referred to risks, and an extra worksheet where the analyst can write down any other field that has been not mentioned already. The next thing that needs to be done is to prioritize these areas according to their importance to the organization, and make a profile for every organization’s asset. After that, the physical, technical and people containers for each asset are filled in the appropriate worksheet and then, only the important assets are selected for the next risk analysis procedure. The worksheets have been transferred electronically without any noticeable change. The user gets informed at any point that he should be cautious when filling the forms. The application checks automatically the workflow so the analysts can work without thinking what they should fill next. Last but not least, as there are not physical papers to be stored according to each asset available, a directory is created inside the webpage that store the asset, and every worksheet that refers to that 2019-11-11T09:11:39Z 2019-11-11T09:11:39Z 2016-09-29 https://vsmart.lib.aegean.gr/webopac/FullBB.csp?WebAction=ShowFullBB&EncodedRequest=*E6*9D5*3B*A8*95*ECy*2C*1A*9F*60*D1*A5*7D*8F&Profile=Default&OpacLanguage=gre&NumberToRetrieve=50&StartValue=1&WebPageNr=1&SearchTerm1=2016 .1.112958&SearchT1=&Index1=Keywordsbib&SearchMethod=Find_1&ItemNr=1 http://hdl.handle.net/11610/19616 el_GR Default License 59 σ. application/pdf Σάμος
|