「企业安全架构」EA874:安全需求,愿景、原则和流程

安全需求愿景

在开始任何安全架构工作之前，定义安全需求是很重要的。这些需求应该受到业务上下文和通用需求远景文档的影响。下面是一个图表，它显示安全需求是企业信息安全体系结构中业务上下文的一部分。

图1

安全需求远景（SRV）有助于将安全解决方案与定义的业务需求联系起来。它支持业务策略和安全决策之间的可跟踪性。

SRV的内容通常包括

• 将影响企业信息安全体系结构（EISA）的相关环境趋势和业务策略列表

• 影响安全解决方案设计的相关安全技术趋势（STT）和最佳实践列表

• 从环境趋势、业务战略、技术趋势和最佳实践中获得的环境影响评估的明确变更、技术和信息需求说明列表

• 由变更、信息和技术需求声明派生的安全解决方案需求（SSR）

• 映射业务策略和环境趋势之间以及业务策略和变更、信息、技术和解决方案需求之间相互关系的矩阵

战略安全架构原则

战略安全体系结构原则指导在体系结构开发、设计和实现阶段做出的决策。这些原则指导了一种安全体系结构策略，该策略通过以下方式从各种断开连接的安全活动移动到一致的未来状态：

• 与业务目标和风险保持一致。

• 使用一组通用控件满足多个需求。

• 为单一版本的真相（即商定的控制、政策、过程和技术）提供通用的报告基础设施。

• 尽可能无创，尽可能使用自动化控制，而不是手动测试和测量。

• 明确角色、责任和责任。

安全治理、安全管理和安全操作

安全治理、管理和操作具有非常不同的功能。

• 安全治理的存在是为了确保定义了业务的战略需求，并确保安全计划充分满足这些需求。这可能包括在复杂情况下讨论和判断业务需求

• 安全管理构建并运行安全程序以满足这些战略业务需求。这包括组成安全程序的各种安全功能、过程和策略。

• 安全操作日常执行与当前基础设施相关的安全相关流程。

这是三者之间的关系

图2

获取正确的安全流程

首席信息安全干事（CISO）不断面临压力，要在复杂的环境中提供一致、可证明和经济高效的安全。流程目录中定义和优先排序的一组关键安全流程将使CISO能够满足客户、合作伙伴、供应商、审计师和监管机构的需求。它也为安全服务目录在正式服务模型下提供可收费的安全服务奠定了基础，从而为组织的IT交付的新方法的发展做准备。

某些流程对于有效地管理安全性至关重要，它们应该在流程目录中定义。尽管这些过程通常是为了定义的目的而单独定义的，但它们在实践中不太可能孤立地运行。在大多数情况下，这些过程之间会有相互依赖的关系。

在战略安全计划方面有一定进展的组织，将需要一个更全面的投资组合（见图）。这样一个组合可以描述两类流程——战略流程（那些支持安全团队和业务之间关系的流程）和保护流程（更多直接旨在保持企业安全的操作流程）。

图3

安全流程的形式化

对于给定的流程，第一步是分配（或验证）流程所有权，然后开始记录单个流程。在顶层，正式流程定义应包括以下组件：

• 过程描述-过程目标和范围的概要。它可以包括对过程中包括的子过程和活动的简要标识。

• 流程图-构成流程的子流程和活动之间的流程的可视化表示。

• 集成矩阵-表示集成点以及与其他安全、操作和服务管理流程的相互关系的表。除了流程之间的集成点之外，它还应指明构成此流程一部分的其他流程。

• 技能和人员配置需求-表明流程所需直接和间接人力资源的数量和性质。

• 角色和职责定义-确定有助于流程的特定组织职能以及这些职能各自的职责。这通常是通过一个负责、负责、咨询和告知（RACI）矩阵来实现的。

• 自动化机会-识别可通过技术实现自动化的过程组件。在流程定义的这个层次上，其目的不是为了特定于产品或技术，而是仅仅为了指示流程中可能有助于自动化的组件。

本文 :https://architect.pub/security-requirement-vision-security-principles-security-process
讨论：知识星球【首席架构师圈】或者加微信小号【ca_cto】或者加QQ群【792862318】
公众号	【jiagoushipro】 【超级架构师】 精彩图文详解架构方法论，架构实践，技术原理，技术趋势。 我们在等你，赶快扫描关注吧。
微信小号	【ca_cea】 50000人社区，讨论：企业架构，云计算，大数据，数据科学，物联网，人工智能，安全，全栈开发，DevOps，数字化.
QQ群	【285069459】深度交流企业架构，业务架构，应用架构，数据架构，技术架构，集成架构，安全架构。以及大数据，云计算，物联网，人工智能等各种新兴技术。 加QQ群，有珍贵的报告和干货资料分享。
视频号	【超级架构师】 1分钟快速了解架构相关的基本概念，模型，方法，经验。 每天1分钟，架构心中熟。
知识星球	【首席架构师圈】向大咖提问，近距离接触，或者获得私密资料分享。
喜马拉雅	【超级架构师】路上或者车上了解最新黑科技资讯，架构心得。	【智能时刻，架构君和你聊黑科技】
知识星球	认识更多朋友，职场和技术闲聊。	知识星球【职场和技术】
领英	Harry	https://www.linkedin.com/in/architect-harry/
领英群组	领英架构群组	https://www.linkedin.com/groups/14209750/
微博‍‍	【超级架构师】	智能时刻‍
哔哩哔哩	【超级架构师】
抖音	【cea_cio】超级架构师
快手	【cea_cio_cto】超级架构师
小红书	【cea_csa_cto】超级架构师
网站	CIO(首席信息官)	https://cio.ceo
网站	CIO,CTO和CDO	https://cioctocdo.com
网站	架构师实战分享	https://architect.pub
网站	程序员云开发分享	https://pgmr.cloud
网站	首席架构师社区	https://jiagoushi.pro
网站	应用开发和开发平台	https://apaas.dev
网站	开发信息网	https://xinxi.dev
网站	超级架构师	https://jiagou.dev
网站	企业技术培训	https://peixun.dev
网站	程序员宝典	https://pgmr.pub
网站	开发者闲谈	https://blog.developer.chat
网站	CPO宝典	https://cpo.work
网站	首席安全官	https://cso.pub    ‍
网站	CIO酷	https://cio.cool
网站	CDO信息	https://cdo.fyi
网站	CXO信息	https://cxo.pub

谢谢大家关注，转发，点赞和点在看。