Обеспечение исполнения Enforcement
Простыми словами
Не подразделение и почти никогда не отдельный процесс. Разд. 3.2 и 3.4 говорят одно: «Typically, enforcement controls are built into the technical standards and procedures», а самостоятельные процедуры нужны там, где их запускает событие или аудит. Третий вид средств — управленческий, и он устроен иначе: «Management controls provide for discretionary invocation of enforcement processes» вроде дисциплинарных мер. Слово discretionary здесь несёт нагрузку: применяется по усмотрению, а значит требует доказанной подотчётности — которую даёт аудит. Разница с аудитом простая: аудит устанавливает, что произошло, обеспечение исполнения — то, что происходит после. Ошибка при написании стандарта — не заложить в него, что делать при нарушении: тогда исполнение вырождается в переписку.
Примеры
Стандарт качества паролей сам себя обеспечивает: слабый пароль обнаружен, пользователь недоступен или не может сменить его — «if the user is unavailable or is unable to comply, the user account is disabled».
O-ESA (The Open Group Guide G112), разд. 3.10.2 и 3.10.3 — пример стандарта качества паролей
Разд. 3.4 оговаривает случаи, когда встроенного контроля не хватает: нужны «separate enforcement processes triggered as a result of security-related incidents or audits».
O-ESA (The Open Group Guide G112), разд. 3.4 — рамочная структура политик
Разд. 3.5.8 формулирует обязанность архитектуры: «Implement processes, procedures, and systems that promote enforcement of organizational security policies» и «Automate access control decisions based on corporate user identity information and access control policy statements».
O-ESA (The Open Group Guide G112), разд. 3.5.8 — принцип обеспеченной исполнением политики
Определение из первоисточника
дословная выпискаEnforcement is the overall process of ensuring compliance with policy. It is accomplished through a combination of technical controls, process and procedure controls, and management controls. Many of these controls are built into the implementing technical standards and procedures. Management controls provide for discretionary invocation of enforcement processes (such as disciplinary actions) as a result of security events or incidents. Management enforcement depends upon maintaining accountability for user actions, which is performed primarily by the audit and non-repudiation services.
Обеспечение исполнения — это общий процесс обеспечения соответствия политике. Оно достигается сочетанием технических средств контроля, контроля процессов и процедур и управленческого контроля. Многие из этих средств встроены в реализующие технические стандарты и процедуры. Управленческий контроль предусматривает дискреционный запуск процессов обеспечения исполнения (например, дисциплинарных мер) по результатам событий или инцидентов безопасности. Управленческое обеспечение исполнения зависит от поддержания подотчётности действий пользователя, что выполняется главным образом службами аудита и…
ИсточникOpen Enterprise Security Architecture (O-ESA): A Framework and Template for Policy-Driven Security. The Open Group Guide, April 2011, № документа G112, ISBN 1-931624-94-1
Основные параметры
Атрибуты этой сущности по справочнику источника.
- Разд. 2.2 и 3.1 короче
«The processes for ensuring compliance with the policies». Разд. 3.4: обеспечение исполнения обычно встроено в технические стандарты и процедуры, но отдельные процессы нужны там, где их запускают события или аудит.
Связанные понятия
Опишите архитектуру своей компании в Storm
Реестр процессов, архитектурное рабочее пространство, связи между системами и процессами — те самые артефакты, только про вашу организацию.
Это же в StormРеестр процессовИмитационное моделированиеАрхитектура систем и интеграций