A tuple relating a Security Control to a Risk. Mitigation is established to manage risk and could be represented as an overall strategy or through techniques (mitigation configurations) and procedures (SecurityProcesses).
Снижает риск (связь) Mitigates
На какой вопрос отвечает «Какой именно риск устраняет или контролирует данная мера безопасности?»
Это связь между мерой защиты и риском, которую она призвана контролировать. Она фиксирует, что конкретный контроль или процедура применяется именно для управления определённым риском.
Аналогия Как запись в журнале, где указано, что установка замка на дверь снижает риск кражи.
Разобраться
Зачем это нужно
Нужна для построения карты соответствия между принятыми защитными мерами и выявленными угрозами. Помогает увидеть, какие риски покрываются стратегиями, а какие — конкретными конфигурациями или процессами.
Применить
Когда это нужно, а когда нет
Когда нужно
- При моделировании связей в UAF между элементами безопасности и рисками
- Когда нужно показать, как общая стратегия или конкретная процедура влияет на уровень риска
- Для аудита полноты покрытия рисков существующими контролями
Когда не нужно
- Если связь описывает создание объекта, а не управление риском (используйте «Создаёт»)
- Если речь идёт о соответствии цели, а не о риске (используйте «Соотносится с целью»)
- Когда описывается техническая реализация без привязки к риску
Типичные ошибки
- 01Связывать меру защиты с риском, не указывая, является ли это стратегией, конфигурацией или процессом
- 02Игнорировать, что одна мера может снижать несколько рисков, создавая только одну связь
- 03Путать эту связь с описанием технического взаимодействия между системами
Сверить с первоисточниками
Что говорят стандарты
Определения из источников с переводом и ссылкой на раздел. Категория показывает назначение каждого подхода.
С чем связано
Связи понятия и его место в структуре подхода.
UAF
Параметры (Parameters) — сквозной аспект
- Обобщение — таксономическое отношение «частное → общее»MeasurableElement
Связанные понятия
Понятия, которые обычно смотрят рядом с этим.
14 дней бесплатно
Опишите архитектуру своей компании в Storm
Реестр процессов, архитектурное рабочее пространство, связи между системами и процессами — те самые артефакты, только про вашу организацию.
Попробовать бесплатно Без банковской карты
Это же в StormАрхитектура систем и интеграцийРеестр процессовКарта бизнес-способностей