Ограничения безопасности Security Constraints · UAF
Простыми словами
Столбец Constraints во всей сетке UAF отвечает за правила и предельные значения. В ряду Security стандарт делит его надвое и сам нумерует половины. Первая (i) — текстовые правила и нефункциональные требования к ресурсам, информации и данным: политика доступа, руководящие документы, законы и регламенты. Вторая (ii) — риски: вероятность, ущерб, критичность актива и прочие измерения, на которых держится оценка риска. Поэтому у ячейки третий адресат помимо архитектора и инженера — аналитик рисков. От Security Controls отличие в направлении взгляда: там перечисляют, чем защищаемся, здесь — от чего и по каким правилам. От Operational Constraints — предметом: там ограничивают ведение дел, здесь доступ к активам. Формы — таблица, матрица, блок-диаграмма или параметрическая диаграмма SysML, а также OCL.
Примеры
Стандарт прямо предусматривает внешнюю политику: «it is expected that implementations of UAF allow users to link security constraints to external files represented in XACML». Значит, в модели остаётся ссылка и предмет ограничения, а сам текст политики хранится там, где им управляют службы безопасности.
UAF DMM 1.3, разд. 8.1.8 Security::Constraints, Definition, часть (i) про XACML
Вторая половина определения перечисляет: «Identifies risks, specifies risk likelihood, impact, asset criticality, other measurements and enables risk assessment». Оценка риска и текст политики стоят в одном виде намеренно — критичность актива задаёт, насколько строгим должно быть правило доступа к нему.
UAF DMM 1.3, разд. 8.1.8 Security::Constraints, Definition, часть (ii)
Предмет ограничения (SubjectOfSecurityConstraint) на рисунке раскрыт списком: активы всех трёх уровней, информация операционная, ресурсная и стратегическая, роли, коннекторы операционные, ресурсные и сервисные, а также сам процесс безопасности. То есть ограничивать можно и связь, и роль, а не только объект хранения.
UAF DMM 1.3, разд. 8.1.8 Security::Constraints — перечень Elements к рис. 8-74
Определение из первоисточника
дословная выписка(i) Specifies textual rules/non-functional requirements that are security constraints on resources, information and data (e.g. security-related in the form of rules (e.g. access control policy). A common way of representing access control policy is through the use of XACML (eXtensible Access Control Markup Language), it is expected that implementations of UAF allow users to link security constraints to external files represented in XACML. (ii) Identifies risks, specifies risk likelihood, impact, asset criticality, other measurements and enables risk assessment.
(i) Задаёт текстовые правила и нефункциональные требования, ограничивающие ресурсы, информацию и данные по безопасности, например правила управления доступом. Распространённый способ представления политики управления доступом — XACML; предполагается, что реализации UAF позволяют связывать ограничения безопасности с внешними файлами в формате XACML. (ii) Определяет риски, задаёт вероятность риска, воздействие, критичность актива и иные измерения, обеспечивая оценку рисков.
Как этим пользуются
Описание представления в источнике: для кого оно нужно, что описывает и в каком виде.
- Кому нужно
- Архитекторы безопасности
- Инженеры по безопасности
- Аналитики рисков
- Что закрывает
(i) Политика, руководящие принципы, законы и нормативные акты в области безопасности, применимые к активам, (ii) угрозы, уязвимости и оценка рисков, применимые к активам.
- Из чего состоит
- Asset
- AssetRole
- OperationalAgent
- OperationalAsset
- OperationalConnector
- OperationalInformation
- OperationalInformationRole
- OperationalRole
- ResourceAsset
- ResourceConnector
- ResourceInformation
- ResourceInformationRole
- ResourcePerformer
- ResourceRole
- SecurityConstraint
- SecurityProcess
- ServiceConnector
- StrategicAsset
- StrategicInformation
- SubjectOfSecurityConstraint
- ValueItem
- В каком виде рисуют
- табличный или матричный формат, диаграмма определения блоков SysML, параметрическая диаграмма SysML или OCL или OCL
То же в оригинале
- Кому нужно
- Security Architects
- Security Engineers
- Risk Analysts
- Что закрывает
(i) Security-related policy, guidance, laws and regulations as applicable to assets, (ii) threats, vulnerabilities, and risk assessments as applicable to assets.
- Из чего состоит
- Asset
- AssetRole
- OperationalAgent
- OperationalAsset
- OperationalConnector
- OperationalInformation
- OperationalInformationRole
- OperationalRole
- ResourceAsset
- ResourceConnector
- ResourceInformation
- ResourceInformationRole
- ResourcePerformer
- ResourceRole
- SecurityConstraint
- SecurityProcess
- ServiceConnector
- StrategicAsset
- StrategicInformation
- SubjectOfSecurityConstraint
- ValueItem
- В каком виде рисуют
- tabular or Matrix format, SysML Block Definition Diagram, SysML Parametric Diagram, or OCL
Основные параметры
Атрибуты этой сущности по справочнику источника.
- Stakeholders: Security Architects, Security Engineers, Risk Analysts.
- Concerns: (i) Security-related policy, guidance, laws and regulations as applicable to assets, (ii) threats, vulnerabilities, and risk assessments as applicable to assets.
- Recommended Implementation: tabular or Matrix format, SysML Block Definition Diagram, SysML Parametric Diagram, or OCL.
В других подходах
Сопоставления одного понятия в разных подходах.
Аспект сетки: ограничения.
Семантические различия Не путать со строкой «Constraint» (единственное число) — там сущность метамодели, здесь столбец сетки.
Корпоративные архитектуры
- UAFArchitecture Constraints
- UAFStrategic Constraints
- UAFOperational Constraints
- UAFServices Constraints
- UAFPersonnel Constraints: Competence
- UAFPersonnel Constraints: Drivers
- UAFPersonnel Constraints: Performance
- UAFResources Constraints
- UAFSecurity Constraints
- NAFC8 - Planning Constraints
- NAFS8 - Service Constraints
- NAFL8 - Logical Constraints
- NAFP8 - Resource Constraints
- NAFA8 - Architecture Standards
Связанные понятия
Опишите архитектуру своей компании в Storm
Реестр процессов, архитектурное рабочее пространство, связи между системами и процессами — те самые артефакты, только про вашу организацию.
Это же в StormРазработка ТЗРегламенты и политикиРеестр процессов