Корпоративные архитектуры

Фактический риск ActualRisk

Простыми словами

ActualRisk (фактический риск) — экземпляр риска и носитель значений измерений риска. Второе предложение определения объясняет, зачем элемент нужен: вероятность, воздействие и критичность в UAF не пишут на типе Risk, их складывают в фактический риск. На рис. 9-265 у него три пары концов: type к Risk, affectedActualResource к затронутому фактическому ресурсу и riskOwner к ActualResponsibleResource, то есть у риска есть владелец. Пара «тип и экземпляр» здесь работает как обычно: Risk описывает род опасности, ActualRisk — конкретную оценку в конкретной обстановке. Назван он в одном виде — Parameters: Risk. Ошибка — заводить новый Risk на каждую оценку: тогда пропадёт возможность сравнивать оценки одного и того же риска между собой.

Примеры

Носитель значений

Определение прямо называет фактический риск держателем значений для измерений риска. Вероятность и последствия записывают сюда, а тип Risk остаётся описанием рода опасности.

UAF DMM 1.3, разд. 9.1.12 — An instance of a Risk. A value holder for Risk Measurements

У риска есть владелец

На рис. 9-265 конец riskOwner ведёт к ActualResponsibleResource с кратностью 0..1, а конец ownedRisk — обратно. Владение риском выражается связью, а не полем, и попадает в вид Security Traceability через OwnsRiskInContext.

UAF DMM 1.3, разд. 9.1.12, рис. 9-265 — концы riskOwner и ownedRisk; разд. 8.1.8 — OwnsRiskInContext в перечне элементов вида Security Traceability

Задет конкретный ресурс

Конец affectedActualResource ведёт к ActualResource — экземпляру ресурсного исполнителя в реальном мире. То есть фактический риск указывает не на тип актива, а на конкретную поставленную систему.

UAF DMM 1.3, разд. 9.1.12, рис. 9-265 — конец affectedActualResource; разд. 9.1.11 — определение ActualResource