Корпоративные архитектуры

План безопасности и приватности SP-2 Security and Privacy Plan

Простыми словами

Верхний документ поддомена безопасности на уровне всего ведомства: «A description of the enterprise security and privacy programs, policies and procedures for the agency». Приватность здесь стоит рядом с безопасностью не для красоты — в SRM это одна связка, и резюме модели перечисляет их вместе на всех слоях архитектуры. Место документа в логике SRM — средний ярус: законы и стандарты (FISMA, HIPAA, FISCAM и прочие) превращаются в политики ведомства, а уже политики — в каталог контролей SP-1 и далее в пакет авторизации конкретной системы SP-3. Полезное свойство такого плана названо прямо: сведя политики воедино, можно увидеть перекрытия между стандартами. Чужого имени у артефакта нет.

Примеры

Из чего вырастают политики ведомства

«These standards include FISMA, HIPAA, FISCAM, and other security and privacy laws and regulations enacted by the US Government to control information and IT infrastructure», и далее: «The SRM can then identify overlap between standards and policies within an enterprise».

FEAF v2 (2013), §35.1 Using Standards to classify Policy

Политика не должна мешать делу

«The policies must also be balanced with appropriate requirements so as not to preclude the organization achieving its business objectives» — ограничение, записанное прямо в методике применения SRM.

Безопасность и приватность идут вместе

«Linking security and privacy to agency enterprise architecture, including agency performance objectives, business processes, data flows, applications and infrastructure technologies, ensures that each aspect of the business receives appropriate security and privacy considerations».

FEAF v2 (2013), §38 SRM Summary