Соответствие требованиям безопасности Security Compliance
Простыми словами
Сверяет не деятельность людей, а состояние техники — этим и отличается от аудита главы 3. Предмет сверки назван точно: «provides a process framework for ensuring that the deployed technology conforms to the organization's technical standards, procedures, and architecture». Заметьте, чего в перечне нет: руководящих указаний. Они необязательны, и соответствие по ним не проверяют. Способностей требуется две. Мониторинг: «Monitoring involves gathering data about deployed technology and comparing it to a defined state». И реакция: «Alerting and reacting to identified exceptions, bringing the technology back into alignment». Слабое место обычно первое — без описанного заданного состояния сканер выдаёт находки, которые не с чем сравнивать. И не путать с управлением уязвимостями: соответствие спрашивает, настроено ли как условились, управление уязвимостями — можно ли это сломать.
Примеры
Реакция описана как приведение техники обратно в соответствие, но настройку меняет администрирование безопасности: соответствие обнаруживает отклонение и оповещает, исполняет другой процесс.
O-ESA (The Open Group Guide G112), разд. 5.4 и 5.3 — соответствие и администрирование
Разд. 2.2 даёт другой состав предмета сверки: «The process for ensuring that the deployed technology conforms to the organization's policies, procedures, and architecture» — политики вместо технических стандартов. Расхождение внутри издания, а не наша вольность.
O-ESA (The Open Group Guide G112), разд. 2.2 и 5.4 — короткое и полное определения соответствия
Соответствие входит в первую из двух групп процессов главы 5 — вместе с администрированием и управлением уязвимостями оно обеспечивает, что развёрнутая техника соответствует политике и достаточно защищает среду.
O-ESA (The Open Group Guide G112), разд. 5 — вводная часть об эксплуатации безопасности
Определение из первоисточника
дословная выпискаSecurity compliance (Figure 18) provides a process framework for ensuring that the deployed technology conforms to the organization’s technical standards, procedures, and architecture. An organization must have processes and tools that enable: Monitoring of the deployed technology to ensure that it remains in alignment with policy. Monitoring involves gathering data about deployed technology and comparing it to a defined state. Alerting and reacting to identified exceptions, bringing the technology back into alignment. When technology is determined to be out of alignment, processes need to be…
Соответствие требованиям безопасности (рис. 18) даёт рамочную структуру процессов, обеспечивающая соответствие развёрнутой технологии техническим стандартам, процедурам и архитектуре организации. Организация должна располагать процессами и инструментами, которые обеспечивают: мониторинг развёрнутой технологии, чтобы та оставалась в согласии с политикой. Мониторинг включает сбор данных о развёрнутой технологии и сравнение их с заданным состоянием. Оповещение о выявленных отклонениях и реагирование на них с возвращением технологии в согласие с политикой. Когда установлено, что технология вышла…
ИсточникOpen Enterprise Security Architecture (O-ESA): A Framework and Template for Policy-Driven Security. The Open Group Guide, April 2011, № документа G112, ISBN 1-931624-94-1
Основные параметры
Атрибуты этой сущности по справочнику источника.
- Разд. 2.2 даёт то же короче и под именем «Compliance»
«The process for ensuring that the deployed technology conforms to the organization’s policies, procedures, and architecture».
Связанные понятия
Опишите архитектуру своей компании в Storm
Реестр процессов, архитектурное рабочее пространство, связи между системами и процессами — те самые артефакты, только про вашу организацию.
Это же в StormРеестр процессовИмитационное моделированиеАрхитектура систем и интеграций