Документация авторизации безопасности SP-3 Security Authorization Documentation
Простыми словами
Не один документ, а пакет по каждой системе: «Compilation of security documents relevant to each system such as: System Security Plan, Risk Analysis, Security Requirements Traceability Matrix, System Security Authorization Agreement, Authority to Operate, etc.» Перечень открытый, и заканчивается он разрешением на эксплуатацию — то есть смысл пакета в получении ATO. Чужое имя C&A Documentation прямо отсылает к процедуре сертификации и аккредитации. Место в логике SRM — нижний ярус: SP-1 даёт каталог контролей на ведомство, SP-2 — политики, а SP-3 доказывает, что в конкретной системе выбранные контроли реализованы. Опорный метод назван в §37.1 — Risk Management Framework из NIST SP 800-30, где авторизация системы стоит отдельным шагом.
Примеры
«Compilation of security documents relevant to each system such as: System Security Plan, Risk Analysis, Security Requirements Traceability Matrix, System Security Authorization Agreement, Authority to Operate, etc.» — пять документов и etc.
FEAF v2 (2013), §39.6, Table 7, артефакт SP-3
«The RMF steps include system categorization, selection of security baseline controls, control implementation, control assessment, system authorization, and system monitoring» — SP-3 закрывает предпоследний шаг, SP-4 последний.
FEAF v2 (2013), §37.1 Risk Based Design
«It is critical for architects to be involved in the earliest stages of planning a system or application in order to minimize the impact sometimes involved if security is added or addressed at a later stage».
FEAF v2 (2013), §35.3 Enforcing Design with Controls at the System or Application Level
Определение из первоисточника
дословная выпискаCompilation of security documents relevant to each system such as: System Security Plan, Risk Analysis, Security Requirements Traceability Matrix, System Security Authorization Agreement, Authority to Operate, etc.
Комплект документов безопасности по каждой системе: план защиты системы, анализ рисков, матрица прослеживаемости требований безопасности, соглашение об авторизации защиты системы, разрешение на эксплуатацию и т. п.
Источникhttps://obamawhitehouse.archives.gov/sites/default/files/omb/assets/egov_docs/fea_v2.pdf
Связанные понятия
Опишите архитектуру своей компании в Storm
Реестр процессов, архитектурное рабочее пространство, связи между системами и процессами — те самые артефакты, только про вашу организацию.
Это же в StormАрхитектура систем и интеграцийРеестр процессовКарта бизнес-способностей