Корпоративные архитектуры

План непрерывного мониторинга SP-4 Continuous Monitoring Plan

Простыми словами

План непрерывного мониторинга отвечает на вопрос, работают ли выбранные контроли: «Describes the organization's process of monitoring and analyzing the security controls and reporting on their effectiveness». Три действия — наблюдать, анализировать и отчитываться об эффективности — и именно последнее отличает SP-4 от SP-1: каталог говорит, из чего выбирать, а план мониторинга — насколько выбранное помогает. В цикле RMF это завершающий шаг, system monitoring, и издание настаивает, что он не разовый: оценка риска и эффективности контролей требуется на протяжении всего жизненного цикла системы. Чужое имя описательное — Continuous Monitoring Procedures; отсылки к конкретному стандарту NIST в строке нет, в отличие от SP-1.

Примеры

Три действия в определении

«Describes the organization's process of monitoring and analyzing the security controls and reporting on their effectiveness» — отчётность об эффективности входит в артефакт наравне с самим наблюдением.

FEAF v2 (2013), §39.6, Table 7, артефакт SP-4

Мониторинг не заканчивается вместе с внедрением

«The continuous assessment of risk and the effectiveness of controls are required throughout the entire lifecycle of the IT system», а «Security controls, policy, and processes must be built into the systems development life cycle (SDLC)».

FEAF v2 (2013), §37.1 Risk Based Design

Контроли — средство, а не цель

«Implementing controls is not the primary goal of security», и далее: «Rather, controls are an indispensable part of achieving the goal of reducing risk through layered security measures». Отсюда и требование мерить эффективность, а не количество.

FEAF v2 (2013), §37.2 Security Controls