全文约4300字 阅读约10分钟
许多具有传统思维定势的网络安全专业人员认为,安全架构只不过是具有安全策略、控制、工具和监视。实际上,所有安全专业人员都必须了解业务目标,并尝试通过实施适当的控制来支持这些目标。任何企业中的企业安全架构,都必须基于该企业的可用风险来定义。
本文提供了一种启动企业安全架构计划的简化版敏捷方法,用于确保企业安全架构满足业务需求并可自动调整。这是一种自上而下的方法论,从业务目标和愿景开始。
自上而下的安全架构方法论,整合了不同的企业框架(如SABSA、COBIT、TOGAF)和成熟度模型(CMMI),可以帮助实现将安全需求与业务需求结合起来的目标。
▪ SABSA:是一个基于风险的业务驱动的企业安全框架,是一种确保业务一致性的方法论。
▪ COBIT 5:是一个帮助企业实现其企业IT治理和管理目标的综合框架,使得IT与业务保持一致。
▪ TOGAF:是一个开发企业架构的框架和一组支持工具集,非常适合任何开始创建企业安全架构的企业,可用于管理企业安全架构的生命周期。
▪ CMMI:是一种能力成熟度评估标准,可用于安全架构成熟度的度量和管理,为管理层和架构委员会提供可见性。
关键词:SABSA(Sherwood应用业务安全架构,Sherwood Applied Business Security Architecture);COBIT(信息系统和技术控制目标,Control Objectives for Information and related Technology);TOGAF(开放组织架构框架,The Open Group Architecture Framework);CMMI(能力成熟度模型集成,Capability Maturity Model Integration)
本文目录
一、前言
二、SABSA、COBIT、TOGAF及其关系
三、使用框架开发企业安全架构
四、一个现实的例子
五、使用CMMI来度量和管理安全架构
六、结论
七、参考资料
一、前言
在企业中,实现安全架构常常是一个令人困惑的过程。传统上,安全架构由一些预防性、检测性、纠正性控制组成,这些控制是为了保护企业基础设施和应用程序而实现的。有些企业通过添加指示性控制(包括策略和过程),在安全架构方面做得更好。许多具有传统思维定势的信息安全专业人员认为,安全架构只不过是具有安全策略、控制、工具和监视。
世界发生了变化,今天的风险因素和威胁不像以前那么简单。新出现的技术和可能性,例如物联网,改变了很多公司的运作方式、重点和目标。所有安全专业人员都必须了解业务目标,并尝试通过实施适当的控制来支持这些目标,这些控制对于干系人来说是合理的,并与业务风险相关联。
企业框架,如SABSA、COBIT、TOGAF,可以帮助实现将安全需求与业务需求结合起来的目标。
二、SABSA、COBIT、TOGAF及其关系
01
SABSA
SABSA是一个基于风险和机遇的业务驱动的企业安全框架。SABSA不提供任何特定的控制,而依赖于其他组织,如国际标准化组织(ISO)或COBIT过程。它纯粹是一种确保业务一致性的方法论。
SABSA方法论有六个层次(五个水平面和一个垂直面)。每一层都有不同的目的和视图。上下文层位于顶部,包括业务需求和目标。第二层是概念层,即架构视图。图1显示了此框架的六个层。
图1-SABSA框架层级
02
COBIT 5
来自ISACA的COBIT 5是一个“帮助企业实现其企业IT治理和管理目标的综合框架”。该框架包括一些工具集和流程,这些工具集和流程弥合了技术问题、业务风险和流程需求之间的差距。COBIT5框架的目标是“通过在实现收益和优化风险水平与资源使用之间保持平衡,从IT中创造最佳价值。”COBIT5使IT与业务保持一致,同时围绕IT提供治理。
COBIT 5产品系列有很多文档可供选择,有时很难确切地知道在哪里查找特定信息。图2一目了然地展示了COBIT5产品系列。COBIT使能器(Enabler)是单独或集体地影响某些东西是否能工作的因素。
图2-COBIT 5产品家族
COBIT框架基于五个原则(图3)。将这些原则应用于任何架构都可以确保业务支持、一致性和流程优化。
图3-COBIT 5原则
通过使用SABSA框架和COBIT原则、使能器和过程的组合,可以为图2中的每个类别,定义自顶向下的架构。
以计算机网络架构开发为例,可以使用这些原则和过程,来定义从上下文层到组件层的自顶向下方法(图4)。
图4-SABSA和COBIT的整合
03
TOGAF
TOGAF是一个开发企业架构的框架和一组支持工具集。TOGAF架构开发周期非常适合任何开始创建企业安全架构的企业。与其他框架类似,TOGAF从业务视图和层开始,然后是技术和信息(图5)。
图5-TOGAF框架生命周期
TOGAF是一个有用的框架,用于定义架构、目标和远景,完成差距分析,并监视整个过程。
通过将SABSA、COBIT、TOGAF结合使用,可以定义一个与业务需求相一致并满足所有干系人需求的安全架构。在定义了架构和目标之后,TOGAF框架可用于创建项目和步骤,监视安全架构的实现过程以达成其目标。
三、使用框架开发企业安全架构
正确的问题总是——“企业应该从哪里开始?”
如果我们看看这些框架,这个过程是相当清楚的。这必须是一种自上而下的方法,从业务目标、目的和愿景开始。
启动企业安全架构计划的简化版敏捷方法的初始步骤是:
就这么简单。在识别和评估所有风险之后,企业可以开始设计架构组件,如策略、用户意识、网络、应用程序和服务器。
图6描述了启动企业安全架构计划的简化版敏捷方法。
图6-企业安全架构模型
四、一个现实的例子
本节描述了为企业定义安全架构可以采取的步骤的简单实用示例。
本例中的企业是一家金融公司:
公司目标是在未来两年内增加100万用户。
一些业务所需的属性包括:
一些业务风险包括:
一些控制是:
所有控制都自动对齐,因为它们与业务属性直接关联。
与任何其他框架一样,企业安全架构的生命周期需要得到适当的管理。很重要的是,必须不断更新业务属性和风险,并定义和实施适当的控制。
安全计划的生命周期可以使用TOGAF框架进行管理,具体包括创建架构视图和目标、完成差距分析、定义项目、实现和监控项目,直到完成并重新开始(图5)。
五、使用CMMI来度量和管理安全架构
最后,必须有足够的监视控制和关键绩效指标(KPI),来度量架构随时间发展的成熟度。
01
成熟度管理的第一阶段
第一阶段使用能力成熟度模型集成(CMMI)模型,度量环境中所需控制的当前成熟度。
CMMI模型有五个成熟度级别,从初始级别到优化级别。在本文中,为那些不到位的控制,添加了一个不存在的级别(0级)(图7)。
图7-CMMI成熟度级别
其目的是定义期望的成熟度级别,将当前级别与期望级别进行比较,并创建一个计划来实现期望的级别。
这种成熟度的识别,可以针对一系列的控制措施而展开。根据架构的不同,它可能有更多或更少的控制。
一些示例控制包括:
此阶段的输出,是对当前状态和期望状态的任何控制进行成熟度评级。
02
成熟度管理的第二阶段
在开发了计划和控制了实施之后,成熟度管理的第二阶段就开始了。
在此阶段,将更新评级,并且管理团队对该评级的进展具有可见性。
图8显示了安全架构的成熟度仪表板示例。
图8-安全架构成熟度报告和仪表板示例
六、结论
无论使用何种方法论或框架,任何企业中的企业安全架构都必须基于该企业的可用风险来定义。企业框架SABSA、COBIT和TOGAF保证了定义的架构与业务目标和目的的一致性。
使用这些框架,可以产生一个符合业务需求的成功安全架构:
启动企业安全架构计划的简化版敏捷方法,确保企业安全架构是业务需求的一部分,尤其是要满足业务需求,并且可自动调整。
七、参考资料
1. ISACA, COBIT 5, USA, 2012, www.isaca.org/COBIT/Pages/COBIT-5-Framework-product-page.aspx
2. Thomas,M.; “The Core COBIT Publications: A Quick Glance,” COBIT Focus, 13 April 2015, www.isaca.org/Knowledge-Center/Research/Documents/COBIT-Focus-The-Core-COBIT-Publications-A-Quick-Glance_nlt_Eng_0415.pdf
3. Op cit, ISACA
4. The Open Group, “Welcome to TOGAF 9.1, an Open Group Standard, http://pubs.opengroup.org/architecture/togaf9-doc/arch/
5. The Open Group, “TOGAF 9.1 Architecture Development Cycle,” http://pubs.opengroup.org/architecture/togaf9-doc/arch/chap05.html
6. CMMI Institute, “CMMI Maturity Levels,” http://cmmiinstitute.com/capability-maturity-model-integration
7. Rassoul Ghaznavi-Zadeh; “Enterprise Security Architecture - A Top-down Approach”. www.isaca.org/-/media/files/isacadp/project/isaca/articles/journal/2017/volume-4/enterprise-security-architecture-a-top-down-approach_joa_eng_0717.pdf
(本篇完)