Корпоративные архитектуры

Мера защиты SecurityControl

Простыми словами

SecurityControl (мера защиты) — управленческая, операционная и техническая мера, предписанная информационной системе для обеспечения конфиденциальности, целостности и доступности системы и её информации; определение взято из NIST SP 800-53 со ссылкой прямо в тексте стандарта. Это узел, к которому сходятся почти все связи домена безопасности: Protects (какой актив прикрывает), ProtectsInContext (в какой конфигурации), Mitigates (какой риск снижает), Satisfy (какому требованию отвечает), Enhances (что усиливает), плюс связь с ActualResource и обязательная принадлежность семейству. Потомков два — EnhancedSecurityControl и, неожиданно, SecurityControlFamily. Не путать меру защиты с мерой снижения риска: Operational- и ResourceMitigation это наборы исполнителей, то есть куски архитектуры, а SecurityControl — предписание из каталога.

Примеры

Шесть связей от одного элемента

На рисунке 9-202 у SecurityControl отходят концы protectingControl, assetAtPerformerProtectedBy, mitigatingSecurityControl, satisfiedSecurityControl, control и securityControl — то есть Protects, ProtectsInContext, Mitigates, Satisfy, Enhances и связь с ActualResource.

UAF DMM 1.3, разд. 9.1.8, рис. 9-202 — перечень концов SecurityControl

Каждая мера принадлежит семейству

Конец securityControlFamilyInstance имеет кратность 1: мера защиты обязана относиться ровно к одному семейству. Это прямо повторяет устройство каталога NIST, где контроль всегда живёт внутри семейства.

UAF DMM 1.3, разд. 9.1.8, рис. 9-202 — конец securityControlFamilyInstance кратности 1

Связь с реализацией

Конец securityControl со стороны SecurityControl и mitigatingActualResource со стороны ActualResource связывает предписанную меру с конкретным экземпляром ресурса в реальном мире. Так видно, чем именно мера реализована.

UAF DMM 1.3, разд. 9.1.8, рис. 9-202; разд. 9.1.11 — ActualResource: An instance of a ResourcePerformer in the real world

Определение из первоисточника

дословная выписка
The management, operational, and technical control (i.e., safeguard or countermeasure) prescribed for an information system to protect the confidentiality, integrity, and availability of the system and its information [NIST SP 800-53].

машинный перевод

Управленческая, операционная и техническая мера (защитное средство или контрмера), предписанная информационной системе для обеспечения конфиденциальности, целостности и доступности системы и её информации (NIST SP 800-53).

Источникhttps://www.omg.org/spec/UAF/1.3/DMM/PDF