Меры защиты Security Controls
Простыми словами
Это единственная ячейка ряда Security в столбце Motivation, и мотивация тут понимается буквально: зачем защищаемся. Определение короткое — «identifies security controls to mitigate against the security risks». Выстроить надо цепочку: риск (Risk), мера защиты (SecurityControl), её усиление (EnhancedSecurityControl) и семейство мер (SecurityControlFamily); рядом показывают, что мера защищает (Protects, ProtectsInContext) и какое требование удовлетворяет (Satisfy). От Security Constraints отличается направлением: там риск описывают и измеряют, здесь ему подбирают противодействие. От Security Traceability — назначением: трассируемость сводит риск, владельца и меру в матрицу для проверки полноты, а здесь эта связка строится впервые. Адресаты — архитектор, инженер по безопасности и аналитик рисков; форма — таблица, матрица или блок-диаграмма SysML.
Примеры
Круг интересов ячейки описан как «security controls, security control families, and overlays». Семейство определено в метамодели как «An element that organizes security controls into a family», а усиление — как способ добавить смежную функциональность или «increase the strength of a basic control».
UAF DMM 1.3, разд. 8.1.8 Security::Motivation, Concerns; разд. 9.1.8, статьи SecurityControlFamily и EnhancedSecurityControl
Отношение Protects идёт от актива вообще (Asset), а на рисунке актив раскрыт вниз: стратегический, ресурсный, операционный, сервис, исполнитель ресурсный и операционный, архитектура и меры смягчения. Одна и та же мера защиты поэтому применима и к организации, и к отдельной системе.
UAF DMM 1.3, разд. 8.1.8 Security::Motivation — иерархия под Asset на рис. 8-69 и перечень Elements
SecurityControl в метамодели наследует MeasurableElement, а определён через NIST SP 800-53 как управленческая, операционная и техническая мера для защиты конфиденциальности, целостности и доступности системы. Наследование от измеримого элемента и позволяет навесить на меру пороговые значения.
UAF DMM 1.3, разд. 9.1.8 Domain MetaModel::Security, статья SecurityControl, Generalization: MeasurableElement, ссылка на NIST SP 800-53
Определение из первоисточника
дословная выпискаidentifies security controls to mitigate against the security risks.
Определяет меры защиты (security controls) для снижения рисков безопасности.
Как этим пользуются
Описание представления в источнике: для кого оно нужно, что описывает и в каком виде.
- Кому нужно
- Архитекторы безопасности
- Инженеры по безопасности
- Аналитики рисков
- Что закрывает
контроли безопасности, семейства контролей безопасности и наложения.
- Из чего состоит
- ActualResource
- Asset
- AssetRole
- EnhancedSecurityControl
- Enhances
- MeasurableElement
- Mitigates
- OperationalAgent
- OperationalArchitecture
- OperationalAsset
- OperationalMitigation
- Protects
- ProtectsInContext
- Requirement
- ResourceArchitecture
- ResourceAsset
- ResourceMitigation
- ResourcePerformer
- Risk
- Satisfy
- SecurityControl
- SecurityControlFamily
- Service
- StrategicAsset
- UAFElement
- В каком виде рисуют
- табличный или матричный формат, диаграмма определения блоков SysML
То же в оригинале
- Кому нужно
- Security Architects
- Security Engineers
- Risk Analysts
- Что закрывает
security controls, security control families, and overlays.
- Из чего состоит
- ActualResource
- Asset
- AssetRole
- EnhancedSecurityControl
- Enhances
- MeasurableElement
- Mitigates
- OperationalAgent
- OperationalArchitecture
- OperationalAsset
- OperationalMitigation
- Protects
- ProtectsInContext
- Requirement
- ResourceArchitecture
- ResourceAsset
- ResourceMitigation
- ResourcePerformer
- Risk
- Satisfy
- SecurityControl
- SecurityControlFamily
- Service
- StrategicAsset
- UAFElement
- В каком виде рисуют
- tabular or Matrix format, SysML Block Definition Diagram
Основные параметры
Атрибуты этой сущности по справочнику источника.
- Stakeholders: Security Architects, Security Engineers, Risk Analysts.
- Concerns: security controls, security control families, and overlays.
- Recommended Implementation: tabular or Matrix format, SysML Block Definition Diagram.
Связанные понятия
Опишите архитектуру своей компании в Storm
Реестр процессов, архитектурное рабочее пространство, связи между системами и процессами — те самые артефакты, только про вашу организацию.
Это же в StormКарта бизнес-способностейАрхитектура систем и интеграцийРеестр процессов