Трассируемость безопасности Security Traceability · UAF
Простыми словами
Столбец Traceability во всей сетке отвечает за отображение элементов друг на друга, в том числе между разными точками зрения. В ряду Security он сводит четвёрку: риск, владелец риска, меры смягчения и затронутые роли активов. Это проверочный вид, а не проектный: связи риск — мера и мера — актив заводят в Security Controls, а здесь смотрят, не остался ли риск без владельца, без меры или без указания, что именно он затрагивает. Отсюда и рекомендованная форма — матрица, где пустая клетка есть готовый вопрос к архитектору. Отличие от Operational Traceability и Resources Traceability, соседей по столбцу: там прослеживают способности и деятельности, здесь — риски. Адресаты те же, что у Security Constraints, включая аналитика рисков.
Примеры
OwnsRiskInContext определён как «A tuple relating a Risk to an organizational role that is responsible for executing the risk mitigation in the specific context or configuration», и вторым концом у него стоит ResourceRole. Владельцем назначают позицию в структуре, поэтому смена человека не рвёт трассировку.
UAF DMM 1.3, разд. 9.1.12 Domain MetaModel::Parameters, статья OwnsRiskInContext, связь riskOwner с ResourceRole
Affects — это «A tuple that asserts that a Risk is applicable to an Asset», а AffectsInContext — то же самое, но для роли актива в конкретной конфигурации. В матрице это два разных столбца: риск бывает свойством самого актива и бывает свойством того, как актив используется.
UAF DMM 1.3, разд. 9.1.12, статьи Affects и AffectsInContext
Mitigates связывает меру защиты с риском, Protects — ту же меру с активом: «A tuple that asserts that a SecurityControl is required to protect an Asset». В матрице трассируемости обе линии обязаны сойтись на одном активе, иначе мера смягчает риск, до которого этот актив не относится.
UAF DMM 1.3, разд. 9.1.12, статья Mitigates; разд. 9.1.8, статья Protects
Определение из первоисточника
дословная выпискаdepicts the mapping of a risk to each of the following: risk owner, risk mitigations, and affected asset roles.
Отображает соответствие риска владельцу риска, мерам его снижения и затронутым ролям активов.
Как этим пользуются
Описание представления в источнике: для кого оно нужно, что описывает и в каком виде.
- Кому нужно
- Архитекторы безопасности
- Инженеры по безопасности
- Аналитики рисков
- Что закрывает
прослеживаемость между риском и владельцем риска, мерами по снижению риска и ролями затронутых активов.
- Из чего состоит
- В каком виде рисуют
- Матричный формат, диаграмма определения блоков SysML
То же в оригинале
- Кому нужно
- Security Architects
- Security Engineers
- Risk Analysts
- Что закрывает
traceability between risk and risk owner, risk mitigations, and affected asset roles.
- Из чего состоит
- Affects
- AffectsInContext
- Asset
- AssetRole
- Mitigates
- OperationalInformationRole
- OperationalRole
- OwnsRiskInContext
- Protects
- ProtectsInContext
- ResourceInformationRole
- ResourceRole
- Risk
- Satisfy
- SecurityControl
- В каком виде рисуют
- Matrix format, SysML Block Definition Diagram
Основные параметры
Атрибуты этой сущности по справочнику источника.
- Stakeholders: Security Architects, Security Engineers, Risk Analysts.
- Concerns: traceability between risk and risk owner, risk mitigations, and affected asset roles.
- Recommended Implementation: Matrix format, SysML Block Definition Diagram.
В других подходах
Сопоставления одного понятия в разных подходах.
Аспект сетки: прослеживаемость между элементами.
Семантические различия У NAF это два межъячеечных представления, у UAF — сквозной аспект всех доменов.
Корпоративные архитектуры
- UAFArchitecture Traceability
- UAFStrategic Traceability
- UAFOperational Traceability
- UAFServices Traceability
- UAFPersonnel Traceability
- UAFResources Traceability
- UAFSecurity Traceability
- UAFProject Traceability
- UAFStandards Traceability
- UAFActual Resources Traceability
- NAFC1-S1 - Service To Capability Mapping
- NAFL4-P4 - Activity To Function Mapping
Связанные понятия
Опишите архитектуру своей компании в Storm
Реестр процессов, архитектурное рабочее пространство, связи между системами и процессами — те самые артефакты, только про вашу организацию.
Это же в StormРазработка ТЗРегламенты и политикиРеестр процессов