Корпоративные архитектуры

Владеет риском (связь) OwnsRisk

Простыми словами

Тьюпл «кто отвечает за снижение риска»: связывает Risk с организационным ресурсом — организацией, лицом, должностью или обязанностью. Главное здесь — уровень, на котором задан владелец, потому что таких связей в UAF три и они не взаимозаменяемы. OwnsRisk берёт ТИП организационного ресурса. OwnsRiskInContext берёт ресурсную роль, то есть употребление ресурса в конкретной структуре. А у экземпляра риска (ActualRisk) владельцем выступает ActualResponsibleResource — конкретная организация или человек. «Риском владеет отдел закупок вообще», «риском владеет отдел закупок в этой программе» и «риском владеет Иванов» — три разных утверждения, и метамодель заставляет выбрать одно. Показывают OwnsRisk ровно в одном виде — Parameters: Risk; в Security Traceability стандарт берёт не его, а контекстный вариант, потому что тот вид прослеживает риск до ролей активов.

Примеры

Владелец — тип, а не человек

Связь riskOwner ведёт от OwnsRisk к OrganizationalResource, то есть к Organization, Person, Post или Responsibility — все они типы. Конкретного исполнителя сюда не поставить: для него есть ActualRisk с владельцем ActualResponsibleResource.

UAF DMM 1.3, разд. 9.1.12 Parameters, рис. 9-281 OwnsRisk и рис. 9-265 ActualRisk — связи riskOwner

Контекстный близнец

OwnsRiskInContext устроен так же, но его riskOwner — ResourceRole. Определение прямо называет причину: ответственность назначается «in the specific context or configuration». Один и тот же отдел в двух конфигурациях может владеть риском в одной и не владеть в другой.

UAF DMM 1.3, разд. 9.1.12 Parameters, рис. 9-282 OwnsRiskInContext — определение и связь riskOwner к ResourceRole

Почему его нет в Security Traceability

Список элементов этого вида содержит OwnsRiskInContext, Mitigates, AffectsInContext и роли активов, но не OwnsRisk. Вид прослеживает риск до ролей, а типовой владелец на этом уровне ничего не добавляет.

UAF DMM 1.3, разд. 8.1.8 View Specifications::Security::Traceability::Security Traceability — список Elements; разд. 8.1.14, вид Parameters: Risk — там OwnsRis…