Каталог мер защиты SP-1 Security Controls Catalog · FEAF
Простыми словами
Обязательный артефакт поддомена безопасности, и ключевое слово в его определении — выбор: «Describes the total set of security controls from which the developer may choose those that are applicable for the effort». Это не список внедрённого, а меню, из которого проектировщик берёт применимое. Писать его с нуля не требуется: чужие имена у SP-1 — NIST SP 800-53, SP 800-37, CNSSI-4009 и FIPS 200, а приложение F.ii добавляет контроли из HIPAA, FISCAM и Privacy Act, чтобы источники требований можно было смотреть разом. От SP-3 отличается адресатом: SP-1 — каталог на всё ведомство, SP-3 — пакет документов по одной системе. От SP-4 — стадией: тот описывает мониторинг эффективности уже выбранных контролей.
Примеры
В столбце чужих имён у SP-1 стоит «NIST SP 800-53, SP 800-37, CNSSI-4009, FIPS 200» — то есть федеральные каталоги контролей, а не собственная разработка ведомства.
FEAF v2 (2013), §39.6, Table 7, артефакт SP-1
«While the FISMA specific controls (such as those from NIST SP-800-53 and 53a) are a crucial part of the SRM, they are not the only controls» — приложение F.ii сводит вместе контроли HIPAA, FISCAM и Privacy Act.
FEAF v2 (2013), §35.2 Using Policy to select Controls at the Agency or Segment Level
Таблица 1 перечисляет обязательный артефакт безопасности как «Infrastructure High-Level Network Diagram Security Control List», а таблица 7 — как SP-1 Security Controls Catalog (core). Два имени одного документа в одном издании.
FEAF v2 (2013), §39, Table 1 и §39.6, Table 7
Определение из первоисточника
дословная выпискаDescribes the total set of security controls from which the developer may choose those that are applicable for the effort
Описывает полный набор мер защиты, из которого разработчик выбирает применимые к работе.
Источникhttps://obamawhitehouse.archives.gov/sites/default/files/omb/assets/egov_docs/fea_v2.pdf
В других подходах
Сопоставления одного понятия в разных подходах.
Каталог мер защиты.
Семантические различия FEAF делает каталог обязательным артефактом поддомена безопасности; у МАРФА это два слоя — сервисы безопасности и средства защиты.
Корпоративные архитектуры
- FEAFSP-1 Security Controls Catalog
- МАРФА / MARFAКаталог сервисов безопасности
- МАРФА / MARFAСлой средств защиты
Связанные понятия
Опишите архитектуру своей компании в Storm
Реестр процессов, архитектурное рабочее пространство, связи между системами и процессами — те самые артефакты, только про вашу организацию.
Это же в StormАрхитектура систем и интеграцийРеестр процессовКарта бизнес-способностей