Снижает риск (связь) Mitigates
Простыми словами
Связь-тьюпл с жёстко заданными концами: контроль безопасности (SecurityControl) снижает риск (Risk). Стандарт тут же подсказывает, чем именно снижают: «Mitigation is established to manage risk and could be represented as an overall strategy or through techniques (mitigation configurations) and procedures (SecurityProcesses)» — значит за одной строкой Mitigates может стоять и общая стратегия, и конфигурация ResourceMitigation, и процесс безопасности. Как почти все тьюплы UAF, элемент наследует MeasurableElement, то есть измерима сама мера снижения: остаточный риск, стоимость, срок внедрения. Ошибка — вешать Mitigates между риском и активом: там свои связи, Affects для типа актива и AffectsInContext для его роли. Mitigates отвечает на вопрос «что мы делаем с риском», а не «на что риск влияет».
Примеры
На схеме от Mitigates идут ровно две связи: mitigatingSecurityControl к SecurityControl и mitigatedRisk к Risk, обе к одному элементу. Третьего конца у меры снижения нет — исполнителя или актив к ней не прицепить.
UAF DMM 1.3, разд. 9.1.12 Parameters, рис. 9-280 Mitigates — связи mitigatingSecurityControl и mitigatedRisk
Mitigates входит в два вида безопасности. Security Controls «identifies security controls to mitigate against the security risks», а Security Traceability «depicts the mapping of a risk to each of the following: risk owner, risk mitigations, and affected asset roles».
UAF DMM 1.3, разд. 8.1.8 View Specifications::Security — Definition видов Security Controls и Security Traceability, списки Elements обоих
SecurityControl определён как «The management, operational, and technical control (i.e., safeguard or countermeasure) prescribed for an information system». Это предписанная мера, а не пожелание: требования живут отдельным элементом Requirement и связываются с мерой своей связью.
UAF DMM 1.3, разд. 9.1.8 Security::Motivation — определение SecurityControl; разд. 8.1.14, рис. 8-95 Parameters: Risk — соседство Mitigates и Requirement
Определение из первоисточника
дословная выпискаA tuple relating a Security Control to a Risk. Mitigation is established to manage risk and could be represented as an overall strategy or through techniques (mitigation configurations) and procedures (SecurityProcesses).
Кортеж, связывающий меру защиты с риском. Снижение риска устанавливается для управления риском и может выражаться как общая стратегия либо через приёмы (конфигурации снижения) и процедуры (процессы безопасности).
Связи
Исходящие
- Обобщение — таксономическое отношение «частное → общее»MeasurableElement
Связанные понятия
Опишите архитектуру своей компании в Storm
Реестр процессов, архитектурное рабочее пространство, связи между системами и процессами — те самые артефакты, только про вашу организацию.
Это же в StormАрхитектура систем и интеграцийРеестр процессовКарта бизнес-способностей