Модуль деловой политики Business Policy Module
Простыми словами
Правая половина модели автоматизации политик — та её часть, которую предприятие НЕ пишет само. Замысел разд. 6.3 в том, что модуль деловой политики поставляет отраслевое сообщество: в примере с HIPAA «It is assumed that the HIPAA module would be provided by or in conjunction with an industry organization that has the HIPAA expertise required to define the generic HIPAA content definitions, role definitions, and policy specifications shown». Отсюда и повторяющееся слово generic во всех трёх его частях: содержимое, роли и положения политики описаны в терминах отрасли, а не вашего каталога и вашего домена. Типичная ошибка — прочитать модуль как свою политику, переведённую в электронный вид: собственное живёт слева, в схеме предприятия, а свести две стороны — работа модуля отображения.
Примеры
Экспертиза по HIPAA живёт не в ИТ-службе больницы, а у отраслевого объединения — оно и описывает обобщённые определения содержимого (карты пациентов, рецепты), роли и положения политики один раз для всех.
O-ESA (The Open Group Guide G112), разд. 6.3.1 — пример автоматизации политики HIPAA
Третья часть модуля — не проза, а машиночитаемые положения: предполагается, что «these are provided in the form of a standard policy language that is compliant with the ISO/IEC 27001/2 policy template», в примере это XACML.
O-ESA (The Open Group Guide G112), разд. 6.3 и 6.3.1 — состав модуля деловой политики
Определение из первоисточника
дословная выпискаIt is assumed that there are three major aspects to the generic definition of a business-level policy: Generic business content definitions for the particular type of target services/resources affected by the business policy. The automation model example will make this a little clearer. Generic role definitions for the users (or initiators) affected by the business policy. Generic specification of the discrete security policy statements that implement the business policy. It is assumed that these are provided in the form of a standard policy language that is compliant with the ISO/IEC 27001/2…
Предполагается, что у обобщённого определения политики делового уровня три основные стороны: обобщённые определения делового содержимого для конкретного типа целевых служб или ресурсов, затрагиваемых деловой политикой. Пример модели автоматизации сделает это чуть яснее. Обобщённые определения ролей для пользователей (или инициаторов), затрагиваемых деловой политикой. Обобщённая спецификация дискретных положений политики безопасности, реализующих деловую политику. Предполагается, что они даются в форме стандартного языка политик, совместимого с шаблоном политик ISO/IEC 27001/2.
ИсточникOpen Enterprise Security Architecture (O-ESA): A Framework and Template for Policy-Driven Security. The Open Group Guide, April 2011, № документа G112, ISBN 1-931624-94-1
Основные параметры
Атрибуты этой сущности по справочнику источника.
- Пример разд. 6.3.1 (HIPAA): предполагается, что модуль поставляется отраслевой организацией, обладающей нужной экспертизой, а обобщённые спецификации политики даются на стандартном языке политик, в этом примере XACML.
Связанные понятия
Опишите архитектуру своей компании в Storm
Реестр процессов, архитектурное рабочее пространство, связи между системами и процессами — те самые артефакты, только про вашу организацию.
Это же в StormАрхитектура систем и интеграцийРеестр процессовКарта бизнес-способностей