Syftet med denna uppgift är att göra en faktisk riskanalys av ett system i mindre skala. Exemplet är påhittat och ganska begränsat eftersom det annars skulle bli en alldeles för stor uppgift. Uppgiften består i att själv göra en grundläggande riskanalys samt ge återkoppling på analysen från tre andra studenter.

Exemplet bygger på systemmodellen som beskrevs i kapitel 3 och utgår från ett litet företag som har ett enkelt affärssystem för att hantera kunder, ordrar, och fakturor.

1. Ladda ned denna modell (högerklicka och välj spara som) för det enkla exempel för en systemmodell som beskrivs i kapitel 3 och öppna i OWASP Threat Dragon.
2. Använd modellen i Threat Dragon för att ta fram minst 8 och som mest 15 relevanta hot. Det ska finnas minst ett hot för varje egenskap i CIA (eller motsvarande egenskaper i STRIDE), och försök att sprida ut över olika typer av tillgångar. Du kan lägga till dessa i Threat Dragon, men det viktiga är att de finns med i riskverktyget.
3. Spara hotmodellen som en json-fil med namnet ‘hotmodell-liuid.json’, eller exportera hotmodellen från Threat Dragon som en PDF med filnamnet ‘hotmodell-liuid.pdf’ där du i båda fallen ersätter liuid med ditt eget LiU-id.
4. Ladda ned riskverktyget som gicks igenom i förra avsnittet.
5. Fyll i studentdata och beskriv nivåer för sannolikhet och konsekvens i riskverktyget (fliken risknivåer).
6. För varje hot i hotmodellen, skapa en rad i fliken ‘Riskregister’, och fyll i respektive fält. Använd relevant terminologi. Beskriv riskscenariet och orsak med relevanta begrepp som gör att en utomstående läsare förstår vad scenariet handlar om.
7. Spara filen som ‘riskanalys-liuid.xlsx’ där du ersätter liuid med ditt eget LiU-id.

Inlämning sker i webbplattformen Lisam åtkomligt via denna länk. Du behöver vara registrerade 2024 eller senare för att nå inlämningstillfällen. Se vanliga frågor för information om omregistrering om du är registrerad på en tidigare kursomgång.

Observera att din inlämnade uppgift (inklusive namn och LiU-id) kommer att skickas till tre andra medstudenter som ska ge återkoppling på uppgiften. Inlämningstillfället kommer att finnas tillgängligt minst två veckor innan deadline. För höstterminen 2024 finns tre möjligheter till inlämning:

• 2024-10-16
• 2024-11-13
• 2025-01-08

Välj rätt inlämningstillfälle baserat på inlämningsdatum. Observera att båda filerna hotmodell-liuid.pdf och riskanalys-liuid.xlsx ska lämnas in.

Om du inte har möjlighet att göra färdigt uppgiften till nuvarande tillfälle kommer det ges möjlighet under nästa omgång av kursen.

Ungefär en vecka efter det ovan angivna datumet för inlämning kommer du få ett mejl till din LiU-mejladress.

Återkopplingen kommer endast ske på riskverktyget (excelfilen) och utgår ifrån följande frågor:

• Är risknivåerna rimligt formulerade?
• Är de beskrivna riskerna rimliga och tydliga?
• Används begreppen på rätt sätt?

Återkopplingen ska normalt göras senast inom en vecka från mejlet (exakt datum anges i mejlet).

Resultatet på din uppgift kommer att meddelas inom 15 arbetsdagar från deadline för att lämna in återkoppling.