Слой уязвимостей активов
Простыми словами
Второй слой домена кибербезопасности: уязвимости активов. Слой описывает слабые места того, что перечислено в слое защищаемых активов, — и в самом его названии зафиксирована зависимость: уязвимость не бывает сама по себе, она всегда чья-то. Отсюда способ вести реестр: элемент без связи с активом не имеет смысла, а актив без единой записанной уязвимости не проверен, а не защищён. От слоя угроз отличается природой: уязвимость — свойство актива, которое предприятие в силах устранить, угроза приходит извне и устранению не поддаётся. Это различение и делает четвёрку слоёв работающей: одно и то же средство защиты закрывает уязвимость от определённой угрозы у определённого актива, и без всех четырёх координат такое утверждение не выразить. Дальше перечисления МАРФА слои кибербезопасности не разворачивает, оставляя наполнение предприятию.
Примеры
МАРФА называет слой не уязвимостями вообще, а уязвимостями активов — второй строкой после самих активов. Порядок перечисления слоёв отражает порядок их зависимости друг от друга.
МАРФА 3.2, разд. 2.5 — четыре основных слоя домена кибербезопасности
Общее правило документа: элементы одного каталога связаны с элементами других каталогов, в том числе соседних доменов, и это обеспечивает целостность архитектуры и возможность трассировать изменения. Уязвимость без связи не трассируется.
МАРФА 3.2, разд. 2.7 — о связях между элементами каталогов и целостности корпоративной архитектуры
МАРФА требует паспортизации от каждого элемента независимо от его природы, иначе элемент «будет недолговечным и размытым по своей сути». Уязвимость без описания и владельца — типичный пример такого размытого элемента.
МАРФА 3.2, разд. 2.7 — об обязательности паспортизации элементов архитектуры
Определение из первоисточника
дословная выпискачаще требует выделения её в отдельный домен как минимум с четырьмя основными слоями: защищаемые активы, уязвимости активов, угрозы, средства защиты.
Связанные понятия
Опишите архитектуру своей компании в Storm
Реестр процессов, архитектурное рабочее пространство, связи между системами и процессами — те самые артефакты, только про вашу организацию.
Это же в StormАрхитектура систем и интеграцийРеестр процессовКарта бизнес-способностей