Корпоративные архитектуры

Владеет риском в контексте (связь) OwnsRiskInContext

Простыми словами

Контекстный вариант владения риском: ответственность назначается не типу организации, а ресурсной роли (ResourceRole) — то есть употреблению ресурса внутри конкретной структуры. Определение говорит об этом прямо: роль отвечает за снижение риска «in the specific context or configuration». Разница с OwnsRisk практическая, а не формальная. OwnsRisk утверждает, что за риском закреплён отдел закупок как таковой; OwnsRiskInContext — что за него отвечает отдел закупок именно в составе этой конфигурации способности, и в другой конфигурации ответственным будет кто-то другой. Именно этот вариант берёт вид Security Traceability, который прослеживает риск до ролей активов; типовое владение там не показывают вовсе. Ошибка — заводить обе связи «на всякий случай»: они отвечают на разные вопросы, и дубль превращает матрицу ответственности в кашу.

Примеры

Роль вместо типа

Связь riskOwner у OwnsRiskInContext ведёт к ResourceRole, а у OwnsRisk — к OrganizationalResource. Ресурсная роль определена как «Usage of a ResourcePerformer in the context of another ResourcePerformer», то есть это часть целого, а не самостоятельный тип.

UAF DMM 1.3, разд. 9.1.12 Parameters, рис. 9-282 OwnsRiskInContext; определение ResourceRole — разд. 9.1.7 Resources::Structure, рис. 9-174

Пара с AffectsInContext

У контекстного владения есть зеркальный сосед: AffectsInContext — «A tuple that asserts that a Risk is applicable to an AssetRole in the specific context or configuration». Первый отвечает на вопрос, кто отвечает, второй — на чём это скажется, и оба на уровне ролей.

UAF DMM 1.3, разд. 9.1.12 Parameters, рис. 9-282 OwnsRiskInContext и рис. 9-268 AffectsInContext

Вид, ради которого он существует

Security Traceability «depicts the mapping of a risk to each of the following: risk owner, risk mitigations, and affected asset roles». В списке его элементов стоят OwnsRiskInContext, AffectsInContext, Mitigates и роли — операционная, ресурсная и информационные.

UAF DMM 1.3, разд. 8.1.8 View Specifications::Security::Traceability::Security Traceability — Definition и список Elements

Определение из первоисточника

дословная выписка
A tuple relating a Risk to an organizational role that is responsible for executing the risk mitigation in the specific context or configuration.

машинный перевод

Кортеж, связывающий риск с организационной ролью, ответственной за реализацию мер его снижения в конкретном контексте или конфигурации.

Источникhttps://www.omg.org/spec/UAF/1.3/DMM/PDF