Стандарты Standards
Простыми словами
Обязательная директива предприятия — и первое, что надо удержать: это не отраслевой стандарт. Разд. 3.7 обсуждает и то и другое рядом, поэтому спутать легко: ISO/IEC 27001 и 27002, NIST SP 800-53A, PCI-DSS — внешние документы, из которых руководство выбирает применимые; строка реестра описывает собственную директиву организации, реализующую её политику. Глоссарий задаёт меру: «Standards support the policy and outline a minimum baseline for policy compliance» — минимальный уровень, а не желаемый. Соотношение с политикой — один ко многим: разд. 3.10 показывает один стандарт качества паролей и тут же оговаривает, что «Not shown are 13 other standards that implement various aspects of the member's authentication policy». Рядом стоит предупреждение самого издания: «Maintaining the compliance with a standard does not ensure complete security for the organization or the system».
Примеры
Разд. 3.7 объясняет отказ размером задачи: «Such a template could include hundreds of specific standards covering a broad range of infrastructure topics and platforms». Шаблон есть у принципов и политик, у стандартов его нет.
O-ESA (The Open Group Guide G112), разд. 3.7 — стандарты, руководящие указания и процедуры
Причина названа прямо: «a standard may not adequately address a control that is specific or unique to the organization», и разницу организация обязана отслеживать сама, как часть архитектуры безопасности предприятия.
O-ESA (The Open Group Guide G112), разд. 3.7 — выбор применимых стандартов
«Once the standard is chosen, the organization assesses risk based on the controls that are or are not implemented», затем «Policies are then reviewed, revised, or created to mitigate, transfer, or avoid the risk», документируются контроли, обучаются люди, ведётся мониторинг и переоценка.
O-ESA (The Open Group Guide G112), разд. 3.7 — типовая рамка стандартов и руководящих указаний
Определение из первоисточника
дословная выпискаStandards are mandatory directives.
Стандарты — обязательные к исполнению директивы.
ИсточникOpen Enterprise Security Architecture (O-ESA): A Framework and Template for Policy-Driven Security. The Open Group Guide, April 2011, № документа G112, ISBN 1-931624-94-1
Основные параметры
Атрибуты этой сущности по справочнику источника.
- Глоссарий документа
«A standard is an enterprise-wide, mandatory directive that specifies a particular course of action. Standards support the policy and outline a minimum baseline for policy compliance».
Связанные понятия
Опишите архитектуру своей компании в Storm
Реестр процессов, архитектурное рабочее пространство, связи между системами и процессами — те самые артефакты, только про вашу организацию.
Это же в StormАрхитектура систем и интеграцийРеестр процессовКарта бизнес-способностей