Корпоративные архитектуры

Риск Risk

Простыми словами

Тип ситуации, а не происшествие. Risk описывает подверженность опасности элементов, которые могут пострадать, — активов, процессов, способностей, возможностей, целей предприятия, — и характеризуется через «the likelihood of occurrence of a given threat and the potential adverse consequences of that threat's occurrence». Числа при этом лежат не здесь: Risk наследует PropertySet, значит владеет измерениями (вероятность, ущерб), а ЗНАЧЕНИЯ этих измерений живут в экземпляре — ActualRisk описан как «An instance of a Risk. A value holder for Risk Measurements». Вокруг риска собран целый куст связей, и каждая отвечает на свой вопрос: Affects и AffectsInContext — на что влияет, OwnsRisk и OwnsRiskInContext — кто отвечает, Mitigates — чем снижаем, EvokedBy — чем вызван. Подтип один — SecurityRisk. Частая ошибка — писать вероятность прямо в описание риска вместо измерения.

Примеры

Что вообще может пострадать

Связь Affects ведёт риск к AffectableElement — «An abstract grouping of elements that can be affected by Risk». Его потомки: EnterpriseGoal, Process, Asset, Opportunity, Capability. То есть риск в UAF бьёт не только по активам, но и по целям и по способностям.

UAF DMM 1.3, разд. 9.1.12 Parameters, рис. 9-266 AffectableElement и рис. 9-267 Affects

Тип, экземпляр и значения

Risk связан с ActualRisk как тип с экземплярами. У экземпляра, кроме значений измерений, есть свои концы: затронутый фактический ресурс и фактический ответственный. Типовой риск про класс ситуаций, экземпляр — про конкретную.

UAF DMM 1.3, разд. 9.1.12 Parameters, рис. 9-284 Risk и рис. 9-265 ActualRisk — связи type/instance, affectedActualResource, riskOwner

Куст связей вокруг риска

На схеме к Risk сходятся шесть тьюплов: OwnsRisk и OwnsRiskInContext со стороны ответственности, Affects и AffectsInContext со стороны последствий, Mitigates со стороны мер и EvokedBy со стороны причины — риск, вызванный возможностью.

UAF DMM 1.3, разд. 9.1.12 Parameters, рис. 9-284 Risk — все связи элемента и подтип SecurityRisk

Определение из первоисточника

дословная выписка
A type that represents a situation involving exposure to danger of AffectableElements (e.g. Assets, Processes, Capabilities, Opportunities, or Enterprise Goals) where the effects of such exposure can be characterized in terms of the likelihood of occurrence of a given threat and the potential adverse consequences of that threat's occurrence.

машинный перевод

Тип, представляющий ситуацию подверженности опасности элементов, которые могут быть затронуты (активов, процессов, способностей, возможностей, целей предприятия), где последствия такой подверженности характеризуются вероятностью наступления угрозы и потенциальными неблагоприятными последствиями её реализации.

Источникhttps://www.omg.org/spec/UAF/1.3/DMM/PDF