Актив Asset · UAF
Простыми словами
Asset (актив) — точка, которой домен безопасности прицепляется ко всей остальной модели. Сам актив в модель не ставят: по легенде диаграмм абстрактный элемент «has no direct use but is a means of construction», поэтому в модели появляется один из четырёх потомков — StrategicAsset, Service, OperationalAsset или ResourceAsset. Пять родителей дают активу пять способностей разом: быть предметом риска (AffectableElement), предметом ограничения безопасности (SubjectOfSecurityConstraint), носителем измерений (PropertySet), частью высокоуровневой операционной концепции (ConceptItem) и предметом прогноза (SubjectOfForecast). Главная путаница — Asset против AssetRole: Asset это тип, и риск на нём распространяется на все его употребления, а AssetRole — употребление в одном конкретном контексте.
Примеры
Под Asset в стандарте стоят StrategicAsset, Service, OperationalAsset и ResourceAsset. То есть активом в UAF оказывается и стратегический элемент, и сервис, и операционный агент, и физический ресурс, а не одна лишь информация, как привычно по ISO 27001.
UAF DMM 1.3, разд. 9.1.3, 9.1.5 и 9.1.8 — Asset указан в Generalization у StrategicAsset, Service, OperationalAsset и ResourceAsset
Вид Security Taxonomy определён как тот, что задаёт иерархию активов безопасности и их владельцев, доступных для реализации защиты, и место их размещения — анклавы. Именно этот вид отвечает на вопрос «что мы вообще защищаем».
UAF DMM 1.3, разд. 8.1.8, вид Security Taxonomy — Defines the hierarchy of security assets and asset owners
Asset — элемент типового слоя: по легенде тип обозначает множество индивидов. Оценку конкретной поставленной системы дают не на Asset, а на ActualResource — он стоит в перечне элементов вида Security Controls рядом с Asset как mitigatingActualResource.
UAF DMM 1.3, разд. 7.3 — легенда цветов, различение Individual и Type; разд. 8.1.8, вид Security Controls — в перечне элементов есть ActualResource
Определение из первоисточника
дословная выпискаAn abstract element that indicates the types of elements that can be affected by Risk. Asset as applied to Security views is an abstract element that indicates the types of elements that can be considered as a subject for security analysis
Абстрактный элемент, указывающий, какие виды элементов могут быть затронуты риском. В представлениях безопасности — элементы, которые могут рассматриваться как предмет анализа защищённости.
Связи
Исходящие
- Обобщение — таксономическое отношение «частное → общее»SubjectOfForecast
- Обобщение — таксономическое отношение «частное → общее»ConceptItem
- Обобщение — таксономическое отношение «частное → общее»PropertySet
- Обобщение — таксономическое отношение «частное → общее»SubjectOfSecurityConstraint
- Обобщение — таксономическое отношение «частное → общее»AffectableElement
Входящие
- Обобщение — таксономическое отношение «частное → общее»StrategicAsset
- Обобщение — таксономическое отношение «частное → общее»Service
- Обобщение — таксономическое отношение «частное → общее»OperationalAsset
- Обобщение — таксономическое отношение «частное → общее»ResourceAsset
Связанные понятия
Опишите архитектуру своей компании в Storm
Реестр процессов, архитектурное рабочее пространство, связи между системами и процессами — те самые артефакты, только про вашу организацию.
Это же в StormАрхитектура систем и интеграцийРеестр процессовКарта бизнес-способностей