信息安全架构框架的结构与内容

企业信息安全架构（EISA）是信息安全计划的关键组成部分。EISA的主要功能是以一致的方式记录和通信安全程序的工件。因此，EISA的主要可交付成果是一组将业务驱动因素与技术实现指导联系起来的文档。这些文档是通过多层抽象迭代开发的。

信息安全应在架构框架中定义三个维度或视角：

• ·表示信息安全组织和流程维度的“业务”视图。这种观点反映了“安全业务”，即它代表了信息安全在组织中的实施方式，以及“安全业务”如何通过流程、角色、职责和组织结构与企业的其他部分相互关联。
• ·表示运行信息安全功能所需信息的“信息”视图。它表示安全团队使用的信息模型，以及用于捕获企业信息的安全需求的模型。
• ·代表安全基础架构的“技术”观点。它捕获用于将不同的安全需求抽象为所需硬件和软件配置指南的模型。

安全架构应该描述如何将安全性编织到业务结构中。因此，EISA应该与组织的EA集成。EISA过程必须允许来自其他规划规程的设计组件的输入和接口点（图1）。许多这些输入可以从EA获得。然后，随着架构和安全过程的成熟，EISA和EA之间的关系应该变得越来越共生和集成。

EISA(企业信息安全架构)内容

EISA由三层文件组成：

• 1] 需求：定义架构要实现的目标的文档。在概念层，这可以表示业务需求，例如战略产品计划或法规要求。在实现层，它可以表示技术产品规范。
• 2] 原则：包含在架构（architecture）过程中指导决策的语句的文档。
• 3] 模型：替代模式或当前和未来状态的表示。基于模式的模型表示业务流程和应用程序中重复出现的特性，并用作决策工具。当前和未来状态模型用于提高利益相关者之间的共同理解，并用于项目规划和优先顺序的差距分析。

用于实现安全架构的不同方法

术语“安全架构”可替换地用于描述一个过程、一组可交付成果，有时也用于描述作为该过程的结果而实现的解决方案。企业信息安全架构（EISA）是为支持信息安全计划而交付规划、设计和实现文档（工件）的过程。

EISA过程是一组动态的规划和设计活动。这些活动的确切性质取决于组织对安全架构采取的方法。有三种不同的战略方法：

• 战略更新方法，其中架构的主要功能是指导企业安全环境的全面更新。
• 机会主义方法，其中架构仅用于开发特定项目和计划的安全需求。
• 混合方法，其中架构主要以机会主义的方式使用，但也有选择地用于更具战略性的规划目的。

定义有效信息安全计划的结构和范围

有效的信息安全需要一种集成的方法，在这种方法中，安全是业务流程核心结构的一部分，是组织文化的一个关键组成部分。这意味着安全团队必须努力将安全性的关键组件（策略、流程、行为和技术）注入IT的所有维度：业务流程、应用程序、技术基础设施，最重要的是人员。挑战的范围要求在更大的组织内建立战略安全计划。

一个有效的安全计划始于建立一个资源和原则框架。使用这个框架，可以管理项目的优先顺序列表。信息安全计划的主要目标是建立一个连续的、迭代的方案来规划、构建和运行从业务需求派生的安全解决方案。为了确保这种解决方案的可伸缩性和可重复性，安全团队必须定义和实现战略安全流程。该计划应考虑到这样一个事实，即有效的安全态势是建立在适当的政策基础上的，而这些政策是由操作过程、文化行为和技术的有效组合所实施的。下面是一个显示安全模型组件的图表。

讨论：请加入知识星球【首席架构师圈】或者小编小号【jiagoushi_pro】

安全需求愿景

在开始任何安全架构工作之前，定义安全需求是很重要的。这些需求应该受到业务上下文和通用需求远景文档的影响。下面是一个图表，它显示安全需求是企业信息安全体系结构中业务上下文的一部分。

图1

安全需求远景（SRV）有助于将安全解决方案与定义的业务需求联系起来。它支持业务策略和安全决策之间的可跟踪性。

SRV的内容通常包括

• 将影响企业信息安全体系结构（EISA）的相关环境趋势和业务策略列表
• 影响安全解决方案设计的相关安全技术趋势（STT）和最佳实践列表
• 从环境趋势、业务战略、技术趋势和最佳实践中获得的环境影响评估的明确变更、技术和信息需求说明列表
• 由变更、信息和技术需求声明派生的安全解决方案需求（SSR）
• 映射业务策略和环境趋势之间以及业务策略和变更、信息、技术和解决方案需求之间相互关系的矩阵

战略安全架构原则

战略安全体系结构原则指导在体系结构开发、设计和实现阶段做出的决策。这些原则指导了一种安全体系结构策略，该策略通过以下方式从各种断开连接的安全活动移动到一致的未来状态：

• 与业务目标和风险保持一致。
• 使用一组通用控件满足多个需求。
• 为单一版本的真相（即商定的控制、政策、过程和技术）提供通用的报告基础设施。
• 尽可能无创，尽可能使用自动化控制，而不是手动测试和测量。
• 明确角色、责任和责任。

安全治理、安全管理和安全操作

安全治理、管理和操作具有非常不同的功能。

• 安全治理的存在是为了确保定义了业务的战略需求，并确保安全计划充分满足这些需求。这可能包括在复杂情况下讨论和判断业务需求
• 安全管理构建并运行安全程序以满足这些战略业务需求。这包括组成安全程序的各种安全功能、过程和策略。
• 安全操作日常执行与当前基础设施相关的安全相关流程。

这是三者之间的关系

图2

获取正确的安全流程

首席信息安全干事（CISO）不断面临压力，要在复杂的环境中提供一致、可证明和经济高效的安全。流程目录中定义和优先排序的一组关键安全流程将使CISO能够满足客户、合作伙伴、供应商、审计师和监管机构的需求。它也为安全服务目录在正式服务模型下提供可收费的安全服务奠定了基础，从而为组织的IT交付的新方法的发展做准备。

某些流程对于有效地管理安全性至关重要，它们应该在流程目录中定义。尽管这些过程通常是为了定义的目的而单独定义的，但它们在实践中不太可能孤立地运行。在大多数情况下，这些过程之间会有相互依赖的关系。

在战略安全计划方面有一定进展的组织，将需要一个更全面的投资组合（见图）。这样一个组合可以描述两类流程——战略流程（那些支持安全团队和业务之间关系的流程）和保护流程（更多直接旨在保持企业安全的操作流程）。

图3

安全过程的形式化

对于给定的流程，第一步是分配（或验证）流程所有权，然后开始记录单个流程。在顶层，正式流程定义应包括以下组件：

•  过程描述-过程目标和范围的概要。它可以包括对过程中包括的子过程和活动的简要标识。
• 流程图-构成流程的子流程和活动之间的流程的可视化表示。
•  集成矩阵-表示集成点以及与其他安全、操作和服务管理流程的相互关系的表。除了流程之间的集成点之外，它还应指明构成此流程一部分的其他流程。
• 技能和人员配置需求-表明流程所需直接和间接人力资源的数量和性质。
• 角色和职责定义-确定有助于流程的特定组织职能以及这些职能各自的职责。这通常是通过一个负责、负责、咨询和告知（RACI）矩阵来实现的。
• 自动化机会-识别可通过技术实现自动化的过程组件。在流程定义的这个层次上，其目的不是为了特定于产品或技术，而是仅仅为了指示流程中可能有助于自动化的组件。

原文：https://sites.google.com/site/aniketsaoblog/home/security-architecture/model-security-architecture

本文：http://jiagoushi.pro/node/1063

讨论：请加入知识星球【首席架构师圈】或者微信小号【jiagoushi_pro】

安全架构师团队由以下主要角色组成

• 1] 安全架构师
• 2] 信息安全架构师
• 3] 首席信息安全官
• 4] 信息安全分析员

1] 安全架构师角色

业务要求安全架构师（SA）提供安全的解决方案和服务，这些解决方案和服务可以安全地支持诸如增加利润和生产力、改进客户服务、创新以及更快地将新产品和服务推向市场等活动。

以下是根据Forrester定义的解决方案架构师

“负责确保业务解决方案设计满足安全和法规遵从性要求的技术角色。SA与整个组织的利益相关者合作，以安全地实现业务计划的功能需求。SA是组织内信息安全体系结构的技术权威。”

安全架构师的业务和技术技能

1] 风险管理

• 识别和沟通风险教育管理与特定业务解决方案相关的风险影响是SA的核心能力。
• 降低风险-一旦业务领导人就建议的解决方案或行动方案作出决定，SA有责任设计一个安全的解决方案，使其平衡功能需求与安全和合规要求。

2] 架构和威胁建模

• “扩展企业”的架构能力——由于移动业务的爆炸和云服务的兴起，扩展企业的业务流程很少（如果有的话）独立于公司的四壁之内。在当今的扩展企业中，成功的SAs必须具备核心安全知识，以及API驱动的应用程序环境和联邦身份的内部和外部知识。
• 像攻击者-威胁建模一样思考的能力是识别系统中的威胁和漏洞并寻找利用它们的方法的过程。

安全架构师的非技术技能

• 有很强的写作和表达能力-SAs必须能够与组织的所有级别进行沟通
• 谈判、说服和影响技能——这在没有要求特定行动方案的合规授权的组织中尤其适用。在这种情况下，影响决策的难度要大得多，而且需要更多的技巧

组织结构

安全体系结构和企业体系结构（EA）之间的关系非常重要。EA集团帮助创建一个以业务为中心的企业架构，将战略与技术联系起来。安全必须是EA的一部分。无论组织结构是什么，安全架构师都应该与企业架构师和首席信息安全办公室密切合作。更多细节请参见图。

图1

2] 信息安全架构师

信息安全架构师的角色要求业务洞察力、技术敏锐性以及在不同抽象层次上思考、交流和写作的能力。

角色和责任

• 与企业架构师、其他功能区架构师和安全专家密切合作，确保在所有IT系统和平台上都有足够的安全解决方案，以充分降低已识别的风险，并满足业务目标和法规要求。
• 开发构成企业信息安全体系结构和解决方案的业务、信息和技术构件。
• 担任应用程序开发、数据库设计、网络和/或平台（操作系统）工作方面的安全专家，帮助项目团队遵守企业和IT安全政策、行业法规和最佳实践。
• 有助于安全治理与EA治理、项目和项目组合管理（PPM）的协调。
• 研究、设计和倡导新技术、体系结构和安全产品，以支持企业及其客户、业务合作伙伴和供应商的安全需求。
• 有助于制定和维护信息安全战略。
• 根据批准的安全体系结构评估和开发安全解决方案。根据新出现的安全威胁、漏洞和风险，分析业务影响和风险。
• 向业务合作伙伴和IT人员传达安全风险和解决方案。

3] 首席信息安全官

CISO负责建立和维护公司范围的信息安全管理计划，以确保信息资产得到充分保护。该职位负责以符合合规和监管要求的方式识别、评估和报告信息安全风险，并符合和支持企业的风险态势。CISO职位需要一位有远见的领导者，具备良好的业务管理知识和信息安全技术的工作知识。CISO将主动与业务部门合作，实施符合信息安全规定政策和标准的实践。

责任

• 制定、实施和监控战略性的、全面的企业信息安全和IT风险管理计划，以确保信息的完整性、机密性和可用性由组织拥有、控制或处理。
• 管理企业的信息安全组织，包括直接报告和间接报告（如业务连续性和IT运营中的个人）。这包括招聘、培训、员工发展、绩效管理和年度绩效评估。
• 通过实施分级治理计划，包括成立信息安全指导委员会或咨询委员会，促进信息安全治理。
• 制定、维护和发布最新的信息安全政策、标准和指南。监督安全政策和实践的批准、培训和传播。
• 创建、沟通和实施基于风险的供应商风险管理流程，包括对合作伙伴、顾问和其他服务提供商可能产生的风险进行评估和处理。
• 制定和管理信息安全预算，并监控其差异。
• 为所有员工、承包商和经批准的系统用户创建和管理信息安全和风险管理意识培训计划。
• 直接与业务部门合作，促进IT风险评估和风险管理流程，并与整个企业的利益相关者合作，确定可接受的剩余风险水平。
• 作为企业风险管理战略计划的一部分，定期向企业风险团队、高级业务领导和董事会报告信息安全计划的现状。
• 为信息所有权、分类、责任制和保护方面的角色和责任建立一个框架。
• 开发并增强基于以下内容的信息安全管理框架：如果存在或标识了某个框架，则插入该框架。
• 为IT项目提供战略风险指导，包括技术控制的评估和建议。
• 与企业架构团队联系，确保安全架构和企业架构之间的一致性，从而协调这些架构中隐含的战略规划。
• 与IT组织和业务部门团队的资源协调信息安全和风险管理项目。
• 创建和管理一个统一、灵活的控制框架，以整合和规范全球法律、标准和法规产生的各种不断变化的要求。
• 确保安全计划符合相关法律、法规和政策，以尽量减少或消除风险和审计结果。
• 根据需要与信息安全团队和公司合规、审计、法律和人力资源管理团队保持联络。
• 定义并促进信息安全风险评估过程，包括报告和监督处理负面结果的工作。
• 管理安全事件和事件以保护公司IT资产，包括知识产权、受监管数据和公司声誉。
• 监控外部威胁环境中出现的威胁，并就适当的行动方案向相关利益相关者提供建议。
• 与外部机构联络，如执法机构和其他必要的咨询机构，以确保本组织保持强有力的安全态势。
• 协调信息安全计划中涉及的外部资源的使用，包括但不限于面试、谈判合同和费用，以及管理外部资源。

4] 信息安全分析员

信息安全分析员是信息安全团队的高级成员，与团队其他成员密切合作，制定并实施全面的信息安全计划。这包括定义安全策略、过程和标准。安全分析师与IT部门合作，选择和部署技术控制以满足特定的安全需求，并定义流程和标准以确保维护安全配置。

• 与业务部门和其他风险职能部门合作，使用可能包括风险和业务影响评估的方法确定安全需求。该活动的组成部分包括但不限于：
• ¨业务系统分析。
• ¨沟通、促进和建立共识。
• 协助协调和完成信息安全操作文档。
• 与信息安全领导层合作，制定战略和计划，以执行安全要求并解决已识别的风险。
• 向管理层报告剩余风险、漏洞和其他安全风险，包括滥用信息资产和违规行为。
• 在应用程序开发或获取项目中扮演顾问角色，以评估安全需求和控制，并确保安全控制按计划实施。
• 在关键IT项目上进行协作，以确保在整个项目生命周期内解决安全问题。
• 与IT部门和信息安全团队成员合作，识别、选择和实施技术控制。
• 开发安全流程和过程，并支持服务级别协议（sla），以确保安全控制得到管理和维护。
• 就安全授权请求的正常和基于异常的处理向安全管理员提供建议。
• 研究、评估和推荐与信息安全相关的硬件和软件，包括开发安全投资的商业案例。

原文：https://sites.google.com/site/aniketsaoblog/home/security-architecture/model-security-architecture/security-architecture-team

本文：http://jiagoushi.pro/node/1065

讨论：请加入知识星球【首席架构师圈】或者小编小号【jiagoushi_pro】

分享知识和良好实践是BiZZdesign的核心价值观之一。我们定期组织和参与在线和离线研讨会，会议和圆桌会议。在一次题为“安全不是IT问题”的演示之后，我们组织了一个世界咖啡馆，讨论安全架构，安全控制和安全系统等相关主题。请通过回复此博客分享您的好的和最坏的做法。

安全性仍然不是业务设计的一个组成部分

在许多组织中，安全似乎是一个完全独立的知识领域。将安全的所有方面集成到业务设计工作中往往是一个巨大的挑战，这是由决策者，架构师和设计师完成的。与EA领域的领导者所做的预测相矛盾的是，安全架构师在设计和控制网络安全，隐私和连续性方面仍然是一个独立但重要的角色。但是，如果我们努力使这个单独的角色变得多余，那么正确的做法是什么？

七个良好实践：从安全架构到安全架构

1. 明确定义的任务，角色，CISO和企业架构师的职责
2. 通过引入“设计安全”来改变组织的DNA
3. 建立持续的安全意识计划
4. 建立一个内部“犯罪智囊团”
5. 将安全性集成到企业架构方法中
6. 深入了解架构的所有层
7. 基于原则的工作

明确定义的任务，角色，CISO和企业架构师的职责

在出席会议的许多组织中，CISO和架构团队正在努力合作。他们似乎捍卫自己的领土，花时间和精力证明对方是错的。安全架构师花费了大量时间来维护和平并管理这两个群体之间的关系。一些与会者建议更加明确两个团队的角色，这确实是一个很好的做法。

通过引入“设计安全”来改变组织的DNA

我并不是说这是一个简单的壮举，但通过在DNA中添加安全意识来操纵组织的DNA是实现安全架构的重要实践。许多与会者声称信息安全通常不是组织DNA的一部分。

建立持续的安全意识计划

缺乏信息安全意识是安全架构师存在的一个原因。它本身并不是安全设计的。拥有结构化和强化的意识计划被认为有助于提高组织内部存在的风险意识（改变x影响）。

建立一个内部“犯罪智囊团”

一些与会者建议其他人“像罪犯一样思考”。这很有趣，但也很有用。也许一些安全架构师实际上是善良的罪犯。如果所有管理人员和设计人员都会从威胁组织的角度考虑他们的数据资产，那将有助于他们获得理解和认识，并考虑相关措施。

将安全性集成到企业架构方法中

安全性通常是EA方法的一个方面。例如，在TOGAF中，安全性被认为是ADM中所有阶段的一个方面。但是，安全性仍然有自己独特的方法，如SABSA或OpenSecurityArchitecture。尽管有各种可用的方法，但您组织面临的真正挑战在于将这些专用框架的强大功能真正集成到您的EA方法中。优选地，这将与选择正确的标准（ISO或NIST）结合进行。这有助于创建集成的安全体系结构，而不是开发单独的安全体系结构。

深入了解架构的所有层

为了理解风险和必要的措施，人们认为跨越架构层可视化安全方面的任务至关重要。这不仅涉及测试所产生的技术影响，还涉及认证风险对业务的影响。 ArchiMate®可以在完成所有这些工作中发挥至关重要的作用。

基于原则的工作

最后，基于原则的设计而非基于规则的设计的概念有助于在业务中的所有设计学科中实现安全性方面的集成。风险经理和架构师应共同努力，确定一套指导组织设计的原则，而不是详细说明所有要求。

使用这些最佳实践可以帮助您从安全架构转变为真正安全的架构！你从哪里开始的？请随时查看本系列的下一篇文章：信息安全：生命的必需品。

原文：https://bizzdesign.com/blog/from-security-architecture-to-a-secure-architecture/

本文：http://pub.intelligentx.net/enterprise-security-architecture-security-architecture-secure-architecture

讨论：请加入知识星球【首席架构师圈】

在这篇博客文章中，我们讨论了使用企业架构作为支柱，在企业中管理风险，合规性和安全性的集成方法的价值。

对风险的战略洞察力

为了控制您所面临的风险，您首先需要从风险管理的角度对您的组织进行战略洞察。这需要对您当前的产品，流程，应用程序和基础架构以及所有相关的风险和安全方面进行一致和最新的概述。在不知道主要风险相关问题是什么的情况下，C级管理层无法履行其职责。

了解这些关系也有助于您评估业务决策的影响。这为企业提供了清晰的洞察企业风险，例如，引入新产品和计划，外包业务流程或IT系统，或在合并后吸收其他组织。因此，他们可以权衡企业对潜在后果的风险倾向。

此外，整个企业的风险传播是高管和运营管理层非常关注的问题。一个领域的风险可能会带来另一个领域的风险。例如，关键业务流程，服务，客户，合作伙伴，市场的系统故障，闯入，停电，欺诈或其他事故可能产生的连锁反应是什么？企业架构可帮助您深入了解这些关系和依赖关系，从而避免或减轻潜在的灾难。

业务驱动的安全和风险管理

EA提供切实业务价值的相关领域是使安全和风险管理与业务目标和目标保持一致。许多组织发现很难确定适当级别的安全措施，业务经理经常将此视为技术问题留给IT人员。反过来，他们不想承担任何风险并创建非常安全的镀金解决方案，但也非常昂贵（并且通常对用户不友好）。

业务目标，架构决策和技术实施之间更好的一致性有助于组织明智地花费其安全预算，专注于与业务相关的风险。这可能会带来成本节约和降低风险，因为您不会为不重要的事情投入过于强大的安全措施，留下更多预算来保护您的企业真正关心的事物。

此外，安全性不是事后可以“加强”的。本质上不安全的架构和系统很难在以后修复。相反，应该从一开始就设计安全和风险管理，使用企业的业务目标来决定适当的措施。

法规遵从和审计

成熟的EA实践的另一个常见原因是监管合规，特别是在银行和保险等受到严格监管的行业。中央银行和其他监管机构要求或至少强烈建议金融机构拥有完善的EA实践，以确保它们能够控制其运营。他们甚至可以审核这些体系结构，或以其他方式使用它们来评估组织运行的风险。当然，内部审计师，CISO和风险经理也可以从使用EA工件中受益。对这些提供的企业级关系和依赖关系的见解是其任务的重要输入。

实施SEPA，Solvency II，Basel III等标准和政策需要企业范围内的协调，可见性和可追溯性，例如董事会层面的决策。组织的风险偏好，直至业务流程和IT系统中的措施和控制的实施。企业架构作为一种实践，以及捕捉这些关系的企业架构模型，对于管理此类开发的广泛影响是不可或缺的。

下一步

为了在安全性，合规性和风险管理的背景下充分受益于企业架构的使用，我们建议您关注以下内容：

1. 使安全和风险管理与业务战略保持一致。始终从他们添加的业务价值角度查看安全和风险衡量指标。 Enterprise Studio的战略支持将为您提供帮助。
2. 捕获并可视化组织的风险和安全方面。可视化与整体架构和业务战略相关的危险，风险和缓解措施。使用我们的EA功能创建风险和措施的集成模型。
3. 衡量并可视化风险的影响，并使用我们的风险分析功能将这些见解用于决策。使用热图来告知决策者必要的措施。
4. 优先考虑安全项目。计算安全项目的业务价值和影响，并使用它来确定IT措施的优先级。使用我们的企业投资组合管理来确定最有效地使用预算的位置。

原文：https://bizzdesign.com/blog/the-value-of-enterprise-architecture-in-managing-risk-compliance-and-security/

本文：http://pub.intelligentx.net/enterprise-security-architecture-value-enterprise-architecture-managing-risk-compliance-and

讨论:加入知识星球【首席架构师圈】

在我之前的博客文章中，我描述了将于2018年5月生效的新的欧盟通用数据保护法规（GDPR），并概述了其对组织的深远影响，不仅在欧洲，而且在全球范围内。该法规以及相关的欧盟指令（如ePrivacy Directive和网络与信息系统安全（NIS）指令）迫使组织重新考虑如何处理个人隐私敏感数据。在本博客中，我想解决您作为架构师可以采取的步骤，以帮助您的组织遵守这些法规。

为什么架构是关键

为了确保您的组织符合要求，您需要广泛了解个人数据的使用方式，收集方式，处理方式，访问权限，存储位置，涉及的第三方，内部和外部威胁等等。企业架构师对其组织具有独特的广泛和集成的视图，并拥有可用于评估，改进和确保数据保护的模型和工具。

此外，GDPR不仅要求合规性，还要求您证明合规性。架构和架构模型是此信息的主要来源，特别是当您需要与个人数据相关的所有内容的连贯和连接视图时。

查看我们录制的网络研讨会“不要让GDPR成为一个松散的大炮”，并了解企业架构师如何在风险和安全分析中利用架构模型以及Enterprise Studio如何为您提供帮助。

采取的步骤

1.在大多数组织中，企业架构师对确保合规性没有最终责任。

您的责任可能在于您的法律部门，首席风险官，首席合规官，首席信息安全官或GDPR新要求的数据保护官。与这些官员合作并让他们意识到建筑的潜在贡献是第一步。

2.确保合规性的任何工作都依赖于对所涉及的个人数据的良好概述。

创建“隐私库存”至关重要：

1. 。根据GDPR确定所有被视为“个人”的数据。
2. 根据其隐私敏感度对此数据进行分类。将此作为常规安全流程的一部分，您可以在其中为数据分配其他信息安全属性，例如熟悉的“CIA”（机密性，完整性，可用性）。
3. 描述收集这些数据的目的，并确保您拥有（或获得）数据主体的同意以这种方式使用它。
4. 特别注意特殊类别的个人数据，例如与健康，生物识别，政治，宗教，种族或工会会员有关的数据。除非有特殊情况，否则GDPR明确禁止使用该数据。

• 3.分析个人数据的使用，如果可能，利用您现有的架构模型为您的分析提供支柱：

1.  从高风险区域和最敏感的数据类型开始。 它在哪里存储和使用？
2. 模型数据流：哪些应用程序，进程，人员和各方在哪些位置使用此数据？

• 4.评估敏感数据的风险，特别是有关数据主体的权利和自由的风险：

1.  在您的业务和IT环境中，您是否看到了漏洞？
2. 可以利用这些漏洞的常见威胁是什么？
3. 有什么潜在的后果？

您可以使用BiZZdesign Enterprise Studio的企业风险和安全管理功能进行风险的高级分析，该分析基于The Open Group的ArchiMate和Open FAIR标准。 下面的热图是这个可以创建的输出类型的一个例子。 BiZZdesign为客户提供包含常见信息安全和业务连续性威胁的预先填充内容，以及ISO / IEC 27001标准规定的控制。 这为您提供了一个有用的起点，因此您无需重新发明轮子。

5.定义控制措施和缓解措施。

使用ISO / IEC 27001等通用标准作为识别有用控制的基础。重要的是，您希望尽早在设计或更改轨迹中执行此操作，以促进数据保护设计方法（GDPR明确提及！）并避免在后期采取措施，所有相关的返工，成本和风险。

6.确定风险优先级，分配预算并规划必要的变更和改进：

• 评估针对风险的措施成本（预期损失），以将预算集中在真正重要的位置。
• 将此决策与您的整体投资组合管理和路线图集成在一起。例如，您可以避免在修复即将淘汰的应用程序上花费太多，并且可以将与安全相关的改进与其他更改相结合。

Enterprise Studio的项目组合管理功能在此阶段非常有用。清晰的仪表板有助于管理层决定优先级和投资，考虑所有角度，并允许您过滤并专注于基本要素（见下文）。

7.实施

实施您在组织，流程和系统中定义的控制和措施，并测试其安全性。这当然是最重要的！

8.证明

证明符合监管机构的要求，说明您如何处理个人数据，如何处理风险以及您实施的缓解措施。

当然，这不是一次性的方法;您应该定期重新审视上述步骤，以确保您保持合规并将其嵌入您的治理框架中。当您执行数据保护影响评估（DPIA）时，这些步骤也特别相关，这是GDPR对任何使用个人数据的新系统的实施所要求的。

BiZZdesign解决方案可帮助您利用现有架构和产品组合模型和数据，为您提供快速启动，以提高数据安全性并确保合规性。我们的集成方法可帮助您在重要的环境中投资安全性，并避免违规或更严重的数据泄露的处罚和声誉风险。 2018年5月比您想象的更近，可能需要做很多工作，所以不要犹豫，立即开始吧！

原文： https://bizzdesign.com/blog/8-steps-enterprise-architects-can-take-to-deal-with-gdpr/

本文:http://pub.intelligentx.net/enterprise-security-architecture-8-steps-enterprise-architects-can-take-deal-gdpr

讨论:加入知识星球【首席架构师圈】

在之前的博客文章中，Marc Lankhorst讨论了EA在管理企业风险，合规性和安全性方面的价值。他建议采取下一步措施;本博客中将详细讨论其中两个步骤：

1. 捕获并可视化组织的风险和安全方面。可视化与整体架构和业务战略相关的危险，风险和缓解措施。
2. 衡量并可视化风险的影响，并将这些见解用于决策。可视化来自例如的数据渗透测试并使用它来在业务层面决定必要的IT措施。

企业风险管理方法概述

上面的两个步骤被纳入企业风险管理方法，如图1所示。这种方法有助于理解风险和安全政策的后果，因为战略层面的风险和控制措施的定义是逐步详细的步骤逐步纳入运营控制措施。

这是一种模型驱动和循环方法，可以在周期中的多个点上启动，具体取决于您使用的是更自上而下的方法还是更自下而上的方法。下面将简要介绍每个阶段：

1. 评估风险：在此步骤中，识别并记录企业必须应对的风险。这涵盖了多种风险类型：这些类型可能与IT相关（如网络攻击）风险，但也可能与业务相关的风险。此外，风险可以基于已识别的威胁（参见步骤6）。
2. 指定所需的控制措施：确定每个已识别风险所需的控制措施。一些风险可能需要广泛的控制措施（由于风险的高影响），而其他风险可能需要较少的控制措施。风险和控制措施的组合可以使用ArchiMate动机扩展（评估，目标和要求）的要素进行建模，这使得这些方面之间的关系变得清晰。此外，它可以通过将风险和控制措施与ArchiMate核心元素相关联，将其纳入您现有的EA模型中。
3. 实施控制措施：需要实施所需的控制措施。这是从设计转向实施的步骤。控制措施可以通过多种方式实施：一些可能是IT控制措施，如防火墙或认证机制。其他人可以采取以商业为中心的控制措施，如四眼原则。
4. 执行和监控：需要执行已实施的控制措施。此外，有必要对业务层面进行监测，以获得所实施控制措施的绩效和有效性的统计数据。一个例子是在技术基础设施上使用pentesting。通过pentesting，您可以通过系统化和自动化的方法寻找基础设施中的薄弱环节。测试结果用于分析基础设施中的漏洞并定义新的控制措施。
5. 分析漏洞：从执行和监控中，您获得了有关已实施控制的性能和有效性的必要见解，例如通过pentesting）。在此步骤中，将分析此数据以确定存在哪些漏洞以及这些漏洞存在多大危险。通过使用现有的EA模型，在第2步中的漏洞和已识别的风险之间建立链接。这可以深入了解风险的管理情况或需要采取新的或改进的控制措施。
6. 识别威胁。在此步骤中，识别来自外部或内部环境的威胁。内部环境的威胁可以基于上一步的结果（分析漏洞）。识别新威胁可以在步骤1中导致新的或变更的风险评估。

自上而下与自下而上

上述方法可以自上而下或自下而上应用。自上而下的方法将首先确定威胁和评估风险，作为控制措施的设计和实施的基础。自下而上的方法通常从监视和执行步骤开始：使用pentests或其他机制调查当前实现，并使用此信息来确定当前环境中的漏洞。

哪种方法最适合您的组织，取决于许多方面。通常，具有更成熟的EA方法的组织可以更容易地遵循自上而下的方法。

这种方法的好处

这种方法包括以下好处：

• 系统分析威胁和漏洞
• 控制措施的综合设计
• EA模型支持技术风险/漏洞的业务影响分析
• 将业务风险和安全决策转化为有效的企业变更。这需要业务和IT之间的强大合作。

这些优势有助于将安全性更多地嵌入到组织的业务层中，并有助于根据操作风险影响和成本做出明智的决策。

原文：https://bizzdesign.com/blog/enterprise-risk-management-approach/

本文:https://medium.com/capital-one-tech/microservices-when-to-react-vs-orchestrate-c6b18308a14c

讨论: 请加入知识星球【首席架构师圈】

在最近关于“安全不是一个IT问题”的演讲之后，我们决定建立一个世界咖啡馆，以进一步讨论周围的主题，该调查研究了许多组织内政策和措施之间缺乏关系。我们将讨论分为四个主题，并对每个主题进行了辩论。在我之前在本系列的博客中，我写了关于信息安全中的7个最差实践。在本博客中，我将介绍董事会中有关信息安全的讨论结果。请在下面的评论部分与我们分享您的想法。

提出解决方案，而不只是问题

安全问题，威胁和挑战是一个有趣的讨论话题，非常重要。但是，董事会成员需要做出决策，他们需要快速做出决定。因此，提出您的组织目前面临的风险非常重要，但也要提出在威胁未得到解决时可能出现的潜在情景，并就如何向前发展提出建议。大多数与会者声称董事会不愿意就可能的威胁进行长期的，知识性的讨论，但他们希望得到明确的信息和准备充分的决策。

董事会不是一个人......这是一个个人的集合，每个人都有自己的议程。作为负责组织安全的人，您需要了解他们面临的挑战，并就他们应采取的措施向他们提出建议。如果您不成功，很可能您的“技术”消息无法在董事会中找到牵引力。

与组织目标保持一致

业务目标通常比董事会成员的个人目标和抱负更好地记录。我们研讨会上的一些安全架构师确实从目标，原则，安全架构中的元素到安全措施，制定了推理方法。其他人只是梦想有这样一个有条理的正式道路，但相信这会帮助他们完成自己的工作。

用例

董事会成员的政策和措施似乎是抽象的。创建一个真实的案例，说明当黑客敲开您的数字门时发生的事情，或者当雇用新员工时会发生什么事情将使董事会的事情变得活跃起来。您可以通过模拟来说明这一点。其中一位与会者表示，实时黑客攻击董事会成员的iPhone和平板电脑会留下令人难忘的印象！

来自监管机构的压力

据一些与会者称，合规性问题，规则和法规正在分散公司对帮助客户改善业务的注意力。一些安全架构师表示，监管机构的压力有助于他们将安全和隐私问题列入董事会议程。帮助组织变得合规被视为安全专家可以为组织带来的真正商业价值。

理解背景

 

信息风险和安全性只是运营组织的一个方面。如果您不理解安全性只是董事会议程中的众多方面之一，那么您将无法成功地影响它们。或者你会立刻感到沮丧。通过在业务目标的上下文中提供安全性，您表明您了解生命不仅仅是安全性，风险，隐私和信任。还有销售，易用性和上市时间。这将为未来的合作奠定良好的基础。

信息安全不仅仅与技术有关，而且也是一个需要董事会理解和认可的业务问题。参加我们研讨会的专业人士提示可能会帮助您解决您所面临的挑战。

我们希望您喜欢我们关于信息安全的博客系列，我们很乐意听到您的评论如下。信息安全的主要挑战是什么？

原文：https://bizzdesign.com/blog/information-security-in-the-boardroom/

本文：http://pub.intelligentx.net/enterprise-security-architecture-information-security-boardroom

讨论:加入知识星球【首席架构师圈】

在之前的两篇博客中，我讨论了新的欧盟通用数据保护法规的影响，以及建筑师可以做的8件事情，以帮助他们的组织遵守这一影响深远的法规。我们还提供了“您对GDPR的准备程度如何？”测试，该测试确定您的组织是否做了足够的准备来制定重要的法规。如果你还没有这样做，你仍然可以在这里参加考试。到目前为止的结果（基于近200名参与者）为我们提供了一些有趣的见解，让我们了解受访者对GDPR的认识以及组织之间的准备情况。

只有一半的受访者了解GDPR并计划开展合规工作

首先，约95％的受访者表示他们的组织与欧盟公司或居民开展业务。所有这些组织都必须遵守GDPR，即使它们位于欧盟以外。

尽管如此，只有一半的受访者了解这一问题，并且正在积极规划或致力于合规性。考虑到GDPR的严格要求，不合规的财务和声誉后果，以及GDPR执行前的剩余时间（2018年5月），这是一个有关的统计数据！

如果我们查看受访者的职称，我们会看到一些有趣的差异。 IT和风险经理更加了解GDPR并声称有一个连贯的行动计划，但建筑师似乎没那么准备。 这是否意味着建筑师不了解其IT和风险经理的举措？ 如果是这种情况，则错失良机，因为架构可以为组织GDPR做好准备。

在业务经理和架构师之间，许多人都知道，但不知道下一步该做什么。 对于那些受访者，我在上一篇博客中概述的步骤提供了他们可以采取的第一个行动的想法。

不到三分之一符合“知情同意”标准

另一个问题涉及所谓的“知情同意”。 从本质上讲，在您不知情和事先同意的情况下，您不得对您收集的有关欧盟居民的数据做任何事情（选择加入，不选择退出！）。 同意必须明确; 您不得将此埋藏在许可协议或使用条款的深处。 在我们的调查中，只有不到三分之一的受访者表示完全遵守这一规定。

尽管GDPR是欧盟法规，但它适用于存储或处理欧盟居民个人数据的任何组织，无论组织本身位于何处。 这包括美国和其他地方的许多组织。 欧盟及其外部的大量组织不知道他们使用的个人数据是相当令人担忧的。

有趣的是，似乎北美受访者在保护个人数据方面比欧盟的成熟者略微成熟，如下所示（尽管也有更多的落后者）。

然而，北美对GDPR影响的认识平均要低很多。 欧盟以外的许多公司可能会认为它不适用于它们，但那将是一个错误。 任何存储或使用欧盟居民数据的组织都会受到影响。 即使在某人的设备上放置跟踪cookie也可能使您承担责任。

22％的组织不知道他们存储了哪些个人数据

也许最令人震惊的结果是那些不知道他们存储的个人数据的组织比例：22％的受访者。

这个群体也很大一部分与25％的人回答，当被问及他们的系统架构和设计的哪些阶段他们解决隐私和安全问题时，他们手动测试安全问题并在之后采取一些措施，而不是将此考虑为完整设计和实现过程中的关键问题。如果您是其中一个组织的客户，您应该非常担心。此外，如果负责当局调查这些组织，比如说在数据泄露之后，他们可能会受到严厉的处罚。

下面的散点图显示了受访者估计的最高罚款与基于年营业额的实际最高罚款。实际最高金额为年营业额的4％或2000万欧元，以较高者为准。但是，正如您所看到的，大多数组织的估计都太低了。

如果您尚未启动计划以确保符合GDPR，那么现在是时候了。 正如我在之前的博客文章中所解释的那样，建筑师可以在这方面发挥关键作用。 BiZZdesign Enterprise Studio可帮助您利用现有模型和数据，分析安全和隐私问题，并定义正确的度量和控制。 这为您提供了改善数据安全性和确保合规性的良好开端。 缺乏隐私保护的日子肯定已经结束，所以今天就开始吧！

原文：https://bizzdesign.com/blog/are-you-ready-for-the-gdpr-the-test-results/

本文：http://pub.intelligentx.net/node/389

讨论:加入知识星球【首席架构师圈】

直到最近，IT安全才是安全专家的领域。但是，在过去几年中，组织已经开始意识到IT相关风险不能孤立地看待，应该被视为企业风险和安全管理（ERSM）的一个组成部分。 ERSM包括组织用于管理与其目标成就相关的所有类型风险的方法和技术。

将ERSM置于企业架构（EA）的环境中是很自然的，它提供了关于组织结构和设计的整体视图。因此，诸如TOGAF之类的EA方法包括风险和安全性章节也就不足为奇了（尽管这些主题在整体方法中的整合仍有待改进），而SABSA等安全框架与Zachman显着相似EA的框架。作为必然结果，使用ArchiMate语言对风险和安全方面进行建模也是非常有意义的。

本系列之前的博客文章概述了使用ArchiMate进行基于EA的ERSM的方法。本文提出了风险和安全概念到ArchiMate概念的初始映射，并说明了如何将这些概念用作执行组织范围风险评估的基础。

ArchiMate风险概念的映射

ERSM标准和框架中使用的大多数概念都可以轻松映射到现有的ArchiMate概念。由于ERSM关注的是与实现业务目标相关的风险，因此这些主要是来自动机扩展的概念。

1. 体系结构中表示的任何核心元素都可以是一种资产，即一种容易受到组织想要保护的损失的价值。这些资产可能存在漏洞，可能使其成为攻击或意外丢失的目标。
2. 威胁可能导致威胁事件，针对资产的漏洞，并且可能具有相关联的威胁代理，即（有意或无意）引起威胁的参与者或组件。根据威胁能力和漏洞，威胁事件的发生可能会也可能不会导致丢失事件。
3. 风险是对可能损失的（定性或定量）评估，就损失事件频率和可能的损失程度而言（非正式地，“可能性时间影响”）。
4. 根据风险评估的结果，我们可能决定接受风险，或设定控制目标（即高级别安全要求）以降低风险，从而导致对控制措施的要求。控制措施的选择可以由预定义的安全原则指导。这些控制措施由任何一组核心元素实现，例如业务流程（例如风险管理流程），应用服务（例如认证服务）或节点（例如防火墙）。

ArchiMate mapping of risk concepts

使用ArchiMate标准中描述的扩展机制之一，可以将风险相关属性分配给这些概念。 The Open Group采用的信息风险因子分析（FAIR）分类法为此提供了一个很好的起点。

定性风险评估

如果可以获得足够准确的输入值估算，定量风险分析可为基于风险的决策提供最可靠的依据。然而，实际上，这些估计通常很难获得。因此，FAIR提出了基于定性（有序）措施的风险评估，例如：威胁能力从“非常低”到“非常高”，风险从“低”到“关键”。下图显示了如何将这些值链接到ArchiMate模型中的元素，以及如何在“热图”中显示它们：

1. 漏洞级别（Vuln）取决于威胁能力（TCap）和控制强度（CS）。应用具有高控制强度的控制措施可降低漏洞级别。
2. 丢失事件频率（LEF）取决于威胁事件频率（TEF）和漏洞级别。较高的漏洞会增加威胁事件触发丢失事件的可能性。
3. 风险等级由损失事件频率和可能的损失幅度（PLM）确定。

以下示例显示了此类评估的简单应用。保险公司的支付系统的漏洞扫描表明，所传输的支付数据的加密级别很低（例如，由于所使用的加密协议的过期版本）。这实现了中间人攻击，其中攻击者可以修改数据以进行未经授权的支付，例如，通过更改收款银行帐户。对于具有中等技能（中等威胁能力）并且没有其他控制措施的黑客，这会导致非常高的漏洞（根据上面的漏洞矩阵）。假设低威胁事件频率（例如，平均每月一次尝试攻击），根据丢失事件频率矩阵，预期丢失事件频率也低。最后，假设损失程度很高，所产生的风险水平很高。作为预防措施，可以应用更强的加密协议。通过修改参数，可以显示将控制强度增加到“高”或“非常高”，剩余风险可以降低到中等。进一步降低这种风险需要采取其他措施，例如：限制可能的损失幅度的措施。

通过将风险相关属性与ArchiMate概念相关联，可以在建模工具的帮助下自动进行风险分析。 通过这种方式，可以轻松分析整个组织中这些值变化的影响，以及潜在控制措施对降低风险的影响。 例如，IT系统或基础架构中的漏洞导致的风险对业务的影响可以通过最佳地支持管理者做出的安全决策的方式进行可视化。

原文:https://bizzdesign.com/blog/enterprise-architecture-based-risk-assessment-with-archimate/

本文：http://pub.intelligentx.net/node/404

讨论：请加入知识星球【首席架构师圈】

在之前关于网络安全的博客中，我写了关于在日益危险的数字环境中保持组织安全的基本步骤：

1. 确保企业范围内的意识
2. 使安全和风险管理与业务战略保持一致
3. 分析您的漏洞和风险
4. 采用安全设计方法
5. 假设你受到了损害

在这篇博客中，我想放大哪些工具来帮助您实现网络安全 - 特别是第3步和第4步。

网络安全模型

我们提倡采用基于模型的方法来分析和减轻网络风险，这并不会让您感到惊讶。对企业的清晰，正式的描述将帮助您获得提供最佳安全解决方案所需的理解。当然，无法实现绝对安全;相反，您应该从以下角度关注您需要投资的地方：1）您要保护的资产的价值以及2）与这些资产相关的漏洞。

我们的企业风险和安全管理方法基于几个开放标准，最着名的是ArchiMate企业架构建模标准，以及信息风险管理的开放式FAIR标准。 The Open Group关于建模企业风险管理和安全的白皮书中描述了更多细节。

上图显示了我们的方法的主要步骤，这些步骤内置于BiZZdesign Enterprise Studio的治理，风险和合规性功能中。在此图的底部，您将看到要保护的资产免受网络风险的影响，而在顶部，我们会看到指导组织的政策，原则和目标。中间是连接这些的步骤;在左侧（红色），您将看到组织中的网络风险分析，在右侧（绿色），您将看到控制的实施，以提高您的安全性。这些是风险和安全管理的步骤：

• 审核资产。对您的企业至关重要的最重要资产是什么？适用法规对这些资产的说法是什么？例如，您的客户的个人数据可能是一个这样的资产。您作为值得信赖的组织的声誉可能是另一个。你能为这些元素赋值吗？这将有助于您在决定什么是最重要的保护时。
• 分析漏洞。您的企业资产在哪些方面容易受到攻击？在网络安全中，除了攻击者之外，任何人都不知道的“零日漏洞”当然是最危险的，并且自然不会出现在此列表中。但是，您应该识别的其他漏洞应该被调查并链接到它们公开的资产。您可以重用业务和IT体系结构的模型，可能会通过相关的安全性方面对其进行扩充。
• 评估威胁。在评估特定于资产的漏洞后，您需要评估这些漏洞是否真的可被所谓的“威胁事件”和“威胁代理”利用。这些漏洞可能包括恶意黑客，敌对政府以及您自己的员工。 ，技术故障，自然灾害和其他事故。我们收集了数百个常见漏洞，威胁代理和威胁事件的广泛模型，可以作为您在此步骤和上一步中进行分析的起点。
• 计算风险。根据潜在威胁和资产价值，您可以评估企业实际面临的风险。在一个简单的公式中，风险=价值x概率，风险越高，您希望投资减少风险越大。下图显示了在前四个步骤中逐步建立的此类分析的示例。

模型的较低的黄色部分显示业务流程和要保护的资产（“客户信息”）。上半部分从左到右显示：

1. 漏洞（'弱认证'）
2. 威胁代理（黑客）
3. 威胁事件
4. 这些威胁造成的潜在损失事件
5. 由此带来的风险

交通信号灯显示各种参数，例如资产价值，漏洞等级和由此产生的风险等级。所有这些都是相互关联的，我们的风险分析算法计算结果，例如如果增加资产价值或威胁能力，则增加风险等级。

• 5.制定政策。要主动处理潜在的网络风险，您应该定义符合业务战略的适当安全策略和原则，并遵守适用的法规。例如，这可能包括诸如设计安全性，职责分离，个人数据访问受限以及其他共同政策等原则。像GDPR这样的监管框架需要可靠的数据保护政策，对违规行为负有高额罚款，甚至对负责任的管理层承担个人责任。反过来，这会影响您要保护的资产的价值。这不仅仅是他们的内在价值;还应考虑罚款，声誉损害和其他副作用。
• 6.定义控制目标。根据您在上一步中创建的策略，您现在应该定义适当的控制目标。例如，一种标准方法是根据您的常见用例对数据的机密性，完整性，可用性，隐私敏感性和其他属性进行分类。例如，您网站上的数据需要较低的机密性但高可用性，而客户数据将具有更高的隐私和机密性要求，而可用性可能不那么令人担忧。
• 7.制定控制措施。然后将这些控制目标转化为适用的控制措施，告诉您如何实现这些目标。相关标准，例如ISO / IEC 27001，NIST 800-53，CSA和其他标准可以通过提供预定义且组织良好的一组控制措施来提供帮助。下面，您将看到ISO / IEC 27001标准模型的一小段摘录，显示了一个特定的控制目标和一些相关的控制措施，用ArchiMate的风险和安全覆盖表示，在上面提到的Open Group白皮书中定义。

这些控制措施的强度也可以用作上图所示风险计算的输入。 您的控制力越强，漏洞越低，因此您运行的风险就越低。

• 8.实施。 最后一步是将这些控制措施的实现设计为您自己的体系结构，流程和系统的一部分。 例如，您需要弄清楚如何执行用户注册（上图中的第一个度量）。 实施这些措施的成本可以与您运行的风险进行比较。 它们真的值得，还是用过于昂贵的控制来保护低价值资产？

当然，上面显示的分析是建模和风险评估专家要做的事情，对于没有经验的人来说可能看起来很复杂。 但是，结果可以在用户友好的热图中呈现，如下所示。

上面的热图显示了威胁的高能力（例如智能黑客）与低强度控制相结合导致了非常高的漏洞级别。此热图中的另外两个漏洞可能不那么紧急。

此分析有助于管理层优先考虑改进安全性的投资，例如，在密码长度上实施规则或实施多因素身份验证。因此，您的组织在其预算中有足够的空间进行投资。

安全架构是一个持续的问题

风险管理是一个连续的，迭代的过程。应定期运行上述流程，以评估新的漏洞和威胁，并根据组织的战略和适用的法规要求更新您的政策，原则和控制措施。此外，您有这样的风险管理流程这一事实本身就是各种监管框架所要求的。

将其嵌入到您的常规架构和设计流程中，可以为您提供逐个安全的方法 - 一种更有效的方法来提高组织的弹性，而不仅仅是在网络安全事件发生后简单地处理一些安全措施。

无法保证什么都不会出错。尽管如此，拥有这种基于模型的风险分析和缓解方法将证明是对您的组织的网络安全，业务连续性和弹性的重大投资。

有兴趣了解更多？联系我们的专家进行演示！

原文：https://bizzdesign.com/blog/protect-your-enterprise-analyze-your-security-with-architecture-models/

本文:

讨论：请加入知识星球【首席架构师圈】

本月早些时候，我在一系列基于世界咖啡馆讨论的系列文章中撰写了第一篇博客文章，该讨论围绕着许多组织中政策和措施之间缺乏关系。讨论以4轮辩论的形式进行。在之前的博文中，我将信息安全作为生活的必需品。毫无疑问，对于大多数组织而言，信息安全是一个非常重要的主题，但在辩论期间，许多参与者不确定是否以及如何与公司其他人沟通。在这篇博文中，我将介绍本次讨论的结论。

沟通问题和解决方案

讨论建筑风险和安全的沟通时，我的第一个问题是：你需要沟通吗？如果答案是肯定的：对谁？什么？这引起了参与者之间的争论。总的结论是，沟通实际上是不可或缺的，决策者是我们的目标受众，因为企业需要充分了解如何做出正确的决策权利。回答第二个问题：我们沟通什么？因为商业决策者之间的差异是巨大的，所以要困难得多。个人兴趣，背景，教育水平和专业领域往往各不相同。尽管如此，我们还是能够提出一系列良好做法。

7个最佳实践：沟通企业风险和信息安全

1. 风险不是受到伤害。影响！
2. 使用隐喻
3. 显示具体的例子
4. 测试安全性
5. 利益相关者的具体沟通
6. 不要使用行话，如果你真的需要，请使用商业行话
7. 让它变得个性化

对于每个最佳实践，我们将尝试解释您可以做什么，以及它如何有助于理解信息安全风险和措施。

1.风险不是受到伤害。影响呢！

通常，风险经理和安全架构师试图以两种不同的方式获得管理者的关注。一种流行的方法是针对恐惧和痛苦。他们传达风险对业务的潜在影响。或者，一些与会者建议介绍在安全方面取得成功的潜在好处，例如：更多来自客户的信任。大多数与会者最为成功的销售恐惧，而不是出售安全的收益。

2.使用隐喻

隐喻在向业务管理团队传达更复杂的概念方面非常有效。例如，您可以通过将信息安全性与保险进行比较来简化讨论。每个人都有某种形式的保险。许多人拥有比他们真正需要的更多的保险。大多数人希望他们永远不会需要它，但无论如何他们都有它们，以防万一。其他与会者提到了交通的比喻。也许有些经理喜欢高速驾驶。他们可能知道事情可能会出错，他们最终会受到某种形式的惩罚，但他们往往愿意接受这种风险。一些管理人员可能永远不会超过限制超过50公里，因为他们知道他们可能会失去他们的执照。其他人可能会使用应用程序来确定警察的检查点。当您使用隐喻时，风险比大多数抽象的网络安全术语更容易理解。这有助于倡导风险管理的重要性。

3.展示具体的例子

Raymond Slot表示，只有6％的黑客被公之于众。然而，他们确实有助于了解可能是违规行为造成的损失。使用这些！最好来自您自己的行业和/或国家，以使其尽可能接近您的业务。

4.测试安全性

在另一个消防演习之后，我们每隔一个月就站在大楼前。不方便和讨厌，但我们都明白它有某种目的。例如，通过渗透测试完成计算机问题的实际测试。但是，业务本身和管理团队几乎不受这些测试的影响。我们讨论中的一些与会者在实际测试安全泄漏，攻击和停机测试方面拥有良好的经验。这不仅为您提供相关信息，还有助于为您的利益相关者提供正确的紧迫感。

5.利益相关者特定的沟通

“生意”不是一个人。这是一个庞大的受众，从现场员工，团队领导，非技术，半技术和技术观众到董事会成员，甚至可能是采购合作伙伴。这些群体有不同的信息需求，需要不同的沟通方式。观众中的一些人创建了沟通策略，通过正确的渠道向正确的内部受众定期提供正确的安全信息。

有些人在与管理层进行“miffy式”沟通方面有很好的经验，其他人建议不要通过向孩子提供信息来冒犯管理人员。

6.不要使用行话，如果你真的需要，请使用商业行话

架构师理解概念模型，逻辑模型和物理模型之间的区别，并考虑需要应用的方法。但经理不在乎......一点都没有！他们流利的唯一行话是你的事业的行话。金钱，速度和风险是会议室使用的行话。我们研讨会的一些与会者建立了他们的案例，以实施有关金融风险可能造成的损失的措施。这似乎真的有助于他们让董事会成员参与信息安全主题。

7.使其个性化

在信息安全意识会议之后应该在业务经理心中根深蒂固的关键信息应该是：“这是一个严重的问题”。或者更具体地说：“这影响了我/我的位置/我的员工/我的客户/我的职业生涯”。仅在大型会议上讨论这些主题并不能真正帮助您获得反馈并了解您的消息是否已落实。不要在您希望拥有信息安全列车的经理谈话，而是与他们交谈！

您在企业风险与安全方面面临的主要挑战是什么？请在评论中分享您的想法，经验和想法，或使用此页面上的社交按钮。

当然，请继续关注本系列的下一篇博文，其中将讨论：构建信息安全意识真正起作用的是什么？

原文：https://bizzdesign.com/blog/information-security-7-communication-tips-to-involve-your-business/

本文：

讨论：请加入知识星球【首席架构师圈】

BiZZdesign的核心价值之一是分享知识和最佳实践。这就是我们定期组织和参与在线和离线研讨会，会议和圆桌会议的原因。在题为“安全不是IT问题”的演示文稿中，说明了组织内政策和措施之间经常缺乏联系，我们决定设立一个世界咖啡馆，讨论围绕此问题的一些主题。该系列的最后一篇博客文章解决了如何沟通信息安全的问题。在这篇博文中，我将介绍关于真正有效建立信息安全意识的辩论结果？欢迎在下面的评论部分分享您的想法。

它对我来说有什么用？

组织中的大多数员工都理解整个组织对信息安全的兴趣，但个人利益似乎更重要，或者至少对许多人来说更为紧迫。你需要告诉人们他们必须失去什么。声誉，信任，业务连续性，资金，数据，时间和焦点只是提到的一些难点。

如果这是你的公司怎么办？

询问某人如果他们的公司面临信息安全问题他们会做什么是获得诚实回应的好方法。这是一个个人问题，它可以帮助人们看到更大的挑战，而不是专注于自己手头的任务。

本月的安全英雄

没有人真正拥有“月度安全员工奖”（获胜者是......密码最复杂的人？），但奖励良好行为是一种简单而有效的机制。通过一些简单的奖励和管理层的称赞来赞扬那些表现良好的人可以真正发挥巨大的作用。

短暂而频繁的消息，而不是一年一度的大型活动

人们的议程很繁忙，当我们发布新版本的安全架构时，我们会有很多东西要呈现，所以我们只是简单地进行沟通......这听起来很熟悉吗？嗯，这是一个不好的做法。路演，提高认识和互联网活动可能看起来很棒，但如果你每年做一次，那就很难奏效。经常分享短信，而不是很少长信息，可以更好地保持安全在人们的头脑中。不断重复您的愿景并重复您期望人们做的事情。

使它成为现实

当我们被黑客攻击时会发生什么？黑客演示可以揭示这个问题。本身没有必要展示技术部分，而是展示损坏的部分。通过这种方式，人们真正看到获取信息的难易程度，以及了解采取安全措施的重要性。

创建意识确实是一项挑战，但是通过我们的圆桌会议中提到的最佳实践，事情可能变得更容易一些。

请继续关注本系列的下一篇文章，该文章将讨论信息安全中的7个最差实践。

原文：https://bizzdesign.com/blog/information-security-what-really-works-to-build-awareness/

本文：http://pub.intelligentx.net/enterprise-security-architecture-information-security-what-really-works-build-awareness

讨论：请加入知识星球【首席架构师圈】

BiZZdesign的核心价值之一是分享知识和最佳实践。我们定期组织和参与在线和离线研讨会，会议和圆桌会议。在最近一次题为“安全不是IT问题”的演讲之后，我们决定建立一个世界咖啡馆，这个演讲说明了组织内政策和措施之间经常缺乏联系。在这篇博文中，我将根据信息安全的重要性，介绍我们之一的辩论结果。请随时查看我在本系列中的最后一篇文章：从安全架构到安全架构。

信息安全很重要，但这是生活的必需品......？

对于公共和私营部门的许多组织而言，连续性是一个重要目标。不知道风险和无法准备和应对这些风险的结果会严重破坏这种连续性。从业务经理的角度来看，信息安全只是需要考虑的一个方面。可用性，速度，性能和价格也是需要考虑的重点。所有与会者都认为安全架构很重要。这并不奇怪，因为他们靠这个工作领域谋生......但是对于它的重要性给出了一些细微差别：

安全的重要性取决于您的行业

重要性（以及随后该领域的FTE数量）取决于您所在的行业。在银行业，黑客的潜在经济利益很高，而信任是银行业务模式的本质！在一家修鞋店，情况并非如此。

风险被低估了

管理层往往低估了风险。通常需要大量的信息安全事件才能真正将企业风险和安全管理置于聚光灯下。但只有你能幸免于此事件。事故让风险变得活跃起来！

物理安全和数字安全

物理安全（例如机场周围）通常被接受并被认为对安全旅行至关重要。随着物联网和与此趋势相关的大数据的巨大潜力，信息安全变得越来越重要。如果您的业务依赖于此数据供应链，安全是生活的必需品！将您的政策，架构和具体措施与该供应链联系起来。物理信息安全正在采用物理措施来保护信息。

合规性推动了安全性

法律法规推动了金融部门的合规浪潮。这促进了信息安全计划，但他们确实需要提供。只填写一个复选框最终将无法证明您在组织中的职位。讨论的结论是，鉴于我们周围存在的所有其他风险，信息安全是某些部门生活的必需品，但不能保证长寿和繁荣的生活。

因此，信息安全很重要......但我们如何说服并参与其他业务？请继续关注本系列的下一篇博客，该博客将提供7个参与业务的沟通技巧。

原文：https://bizzdesign.com/blog/information-security-a-necessity-of-life/

本文：http://pub.intelligentx.net/enterprise-security-architecture-information-security-necessity-life

讨论：请加入知识星球【首席架构师圈】

强大的分析技术

在本博客系列的最后一部分中，我想谈谈风险，安全性和合规性领域，这是建筑师，流程设计师和其他人日益重要的领域。 例如，在之前的一些博客中，我已经概述了新的欧盟通用数据保护法规（GDPR）及其影响。 在我的一篇文章中，我使用了一个简单的数据分类示例，以及如何使用它来评估您的应用程序环境。 但是我在那里展示的并没有实际证明我们在Enterprise Studio中实现的分析技术的全部功能。 从如下图所示的数据分类开始，这种分类可以在整个架构模型中传播，其中各种元素和关系的含义被认为是一种合理有用的结果。

快速评估隐私和安全的影响

如果应用程序可以访问多个数据对象，则基础分析算法将这些对象的最高级别分类作为该应用程序的标准。 因此，如果它同时使用高保密和中保密数据，则会获得最高分类。 如果在业务流程中使用此应用程序和其他应用程序，则该流程将再次获得最高分类; 如果某个业务角色执行此过程和其他过程，并且如果某个角色执行多个角色，则最高级别将再次计算。 这甚至适用于ArchiMate 3.0中新的关系 - 关系功能，例如，您可以在其中模拟与两个应用程序之间的流相关联的数据：如果这两个应用程序交换高度敏感的数据，则需要至少具有 相同的安全分类。

使用此分析为您提供快速方法，以初步评估隐私，安全性和类似问题的影响。它有助于首席信息安全官，首席风险官，数据保护官员和其他人放大高风险领域，优先考虑在最需要的地方加强安全性，并解决设计安全性，数据隐私影响评估和其他法规要求。 GDPR。

尝试不同的方案来分析您的漏洞

另一个甚至更高级的例子是我们作为企业风险和安全管理功能的一部分实施的风险评估方法。这是基于ArchiMate，Open FAIR和SABSA等标准的组合，并在The Open Group和之前的一些博客（1,2）的白皮书中进行了描述。使用此方法，您可以使用体系结构模型来分析您的漏洞是什么，内部和外部威胁可能产生的影响，以及如何减轻这些威胁。下图显示了此类分析的示例。

此图中的所有“交通信号灯”都是互连的：例如，如果您增加了可以缓解漏洞的措施的控制强度（CS），您的漏洞级别（Vuln）会下降，丢失事件频率（LEF）也会降低 减少，因此你的风险下降。 这些结果也可以通过下面的热像图以更加“管理友好”的方式呈现。

有关您在此处看到的内容或本博客系列中所示的任何先前分析的完整说明，请预订此功能的演示！

原文：

https://bizzdesign.com/blog/powerful-analysis-techniques-7-risk-security-compliance-analyses/

本文：

讨论: 加入知识星球【首席架构师圈】

通用数据保护法规（GDPR）是一项严格的欧盟隐私保护法规，将于2018年5月生效。企业架构师可以在帮助其组织符合GDPR标准方面发挥重要作用。您是否了解GDPR对您的组织的影响？

以下是您应该了解的有关GDPR的7件事：

1. GDPR适用于处理欧盟居民数据的所有公司

即使您的公司不在欧盟国家，GDPR也可能适用于您。正如该条例所述（第3条），它“适用于由未在联盟内设立的控制人或处理者处理国际电联数据主体的个人数据”。这意味着任何处理欧盟居民数据的美国和其他外国公司也应根据GDPR承担责任。

2. GDPR是关于证明合规性的

除了符合要求外，您还必须证明合规性。正如第5条规定：“控制人应负责并能够证明符合第1款（”问责制“）。”企业架构师的独特定位是帮助其组织证明其遵守。利用其架构模型进行安全性和隐私分析，架构师可以跨企业，流程，人员和IT系统提供跨数据的使用和保护分析。

了解您的组织是否为通用数据保护法规做好了充分准备。自己测试并了解要采取的措施。

3. GDPR希望您记录收集个人数据的目的

您必须记录您对个人数据的处理以及用于何种目的（第30条）。这包括以下内容：在哪些位置存储个人数据，哪些应用程序使用它，谁有权访问这些应用程序，与之交换的第三方，这些位于何处等等。现有的合规程序通常尝试使用电子表格来捕获这些和其他Office文档，但这很快变得无法管理。架构师在这方面发挥了重要作用，因为他们的架构模型通常包含了获得数据使用的集成概述所需的大部分内容。

4. GDPR要求采用综合的方法来设计安全性

您必须“实施适当的技术和组织措施，以确保适合风险的安全级别”，其中包括“定期测试，评估和评估这些措施的有效性”的流程（第32条）。只需采取一些安全措施，就不会削减它。这需要采用集成的安全设计方法，而不仅仅是关注IT部分，而是包含组织的所有方面。企业架构师是处理这个问题的最佳场所，因为他们拥有所需的概述和洞察力。

5. GDPR需要数据保护影响评估

每次实施处理个人数据的系统时，您都必须执行数据保护影响评估，其中包括处理的系统描述，风险评估，解决这些风险的措施以及您将如何证明合规性。这种对大型复杂业务和IT环境的分析需要智能软件解决方案。 BiZZdesign Enterprise Studio的企业风险和安全管理功能非常适合此类安全和隐私分析和设计。利用现有的架构模型，您将获得快速发展！

6. GDPR强制您在72小时内报告数据泄露事件

您必须在72小时内向当局和相关的“数据主体”（第33和34条）报告数据泄露事件。这可能会导致严重的声誉风险，正如之前的事件所表明的那样。试图隐藏违规行为不再是一种选择。

7.不遵守GDPR会导致严重的处罚

对违规行为的处罚包括“高达2 000 000欧元的罚款，或者在承诺的情况下，高达全球年度总营业额的4％”（第83条），紧接数据可能要求的个人损害主题（也是集体诉讼），以及董事和高级管理人员的个人责任。对于您的组织来说，避免这些风险有什么价值？

是时候证明架构的重要性了

网络安全和相关的声誉风险已成为高级管理层的首要战略问题，而GDPR对此问题施加的压力更大。作为企业架构师，您可以在此领域发挥关键作用。揭示您的架构知识，模型和分析的隐藏价值。帮助您的组织提高其网络弹性，确保合规性，并降低运营，声誉和财务风险。展示建筑在董事会中的重要性！

原文:https://bizzdesign.com/blog/7-things-every-enterprise-architect-needs-to-know-about-the-gdpr/

本文:

讨论：请加入知识星球【首席架构师圈】

网络安全威胁不断增加。有时候会说有两种组织：那些知道自己被违反的组织，以及那些还不知道的组织。为了降低与网络安全相关的风险和损害，重要的是要知道如何评估这些风险并通过设计安全性来改善您的防御。如果事情确实横向发生，那么计划做什么也很重要。

确保企业范围内的意识

在大多数组织中，由于过去几年中发生过许多引人注目的事件，上层管理层对网络威胁的认识有所提高。与勒索软件，数据泄露和其他问题相关的成本很容易达到数亿。

但有时，网络安全仍被视为技术问题，由IT主管和他或她的下属处理。唤醒董事会对网络安全意识的一个可靠方法是遵守法规。在这些情况下，管理层可以对违规行为负个人责任，因此有强烈的动机采取行动。关于数据隐私的新规定，例如欧盟GDPR，只是安全和隐私问题已经进入董事会的一个例子。特定行业和地区法规，例如美国HIPAA医疗保健行业隐私规则或NYDFS纽约金融服务部门网络安全法规，是其他例子。

但通常情况下，当涉及到网络威胁时，管理层会感觉像头灯中的鹿。他们看到了危险，但不知道面对这些威胁该怎么做。这些问题的广度和深度可能看起来确实难以理解和无法解决。为了帮助管理层克服这种瘫痪，您必须提出解决方案，而不仅仅是问题。企业架构师的独特定位是为这些解决方案做出贡献。

当企业架构师试图建立网络安全流程和标准时，您需要不仅涉及管理层，而且还要通知组织的其他部门。我们撰写了一系列关于信息安全的沟通，讨论了董事会中的信息安全问题，提供了涉及业务的技巧以及解决真正有效建立安全意识的方法。有关如何正确缓解网络和信息风险的更多信息，请查看它们。

使安全和风险管理与业务战略保持一致

为了明智地花钱，你需要在真正重要的地方投资安全 - 也就是说，它在战略上具有重要意义。因此，您应该从策略的角度对您的资产进行分类，同时考虑到法规遵从性和其他准则。这些资产的价值是什么，不仅仅是在财务方面，而是在更广泛的意义上？例如，保护宝贵的知识产权或隐私敏感数据可能对您的业务连续性至关重要，或者从监管合规的角度来看是必不可少的。这种分类有助于您确定投资优先级，并避免在相对不重要或一揽子措施上花费太多。

不幸的是，许多组织在其战略和资产之间没有明确的联系。与战略方向和动机相关的稳固的企业架构，以及在组织内部的实施，提供了您所需的“结缔组织”。 BiZZdesign Enterprise Studio提供集成支持，用于描述创建此类视线所需的策略，体系结构，流程，系统和数据。

分析您的漏洞和风险

使用数字，物理和社会工程技术的组合，网络攻击变得越来越复杂。一个常见的例子是所谓的“公路苹果攻击”。一名潜在的入侵者“意外地”将USB闪存盘留在公共场所，例如公司停车场。一名员工捡起来，很有可能他无法抑制好奇心并将其插入电脑。惊喜：驱动器感染了感染PC的恶意软件，并向入侵者发送敏感信息。

您必须采取整体方法来抵御此类攻击，包括企业的所有方面，包括人员教育，流程和程序，以及防火墙和防病毒软件等技术措施。此外，您应该从业务目标和战略的角度来看待这一点，如前所述。

使用Enterprise Studio，您可以捕获并可视化组织的各种风险和安全方面。它可以帮助您可视化与整体架构，业务战略和资产相关的危险，风险和缓解措施，以便您可以执行真正的基于策略和价值的风险和合规性评估。您可以衡量和可视化这些风险的潜在影响，并使用这些见解优先考虑减少措施的投资，作为下一步的一部分。如果您在该领域寻求更多指导，我们过去也会撰写关于安全性和合规性分析的文章。

采用安全设计方法

事实之后不应该修复漏洞，特别是不要仅仅使用额外的防火墙等临时安全措施。您不应该定义单独的安全体系结构，而应该开发一个安全的体系结构，并在企业的各个层面（从人员和职责到流程和技术）主动地解决架构和设计中的风险。

您还需要考虑您的组织在更广泛的生态系统中的位置。按顺序拥有自己的房子可能还不够。例如，如果您广泛依赖某些外部合作伙伴，那么他们的安全性可能对您自己的运营至关重要。有些组织试图依靠合同和协议来处理这个问题，但这可能是不够的。从法律上讲，您可能要对外包合作伙伴的违规行为负责。诸如GDPR之类的监管明确规定，即使您雇用其他人为您执行此操作，您的组织仍对处理隐私敏感数据负责。在某些情况下，您甚至可能需要审核您的业务合作伙伴以保持合规性。

在按设计安全的方法中，您可以根据资产价值和先前步骤中确定的漏洞确定安全投资的优先级。您可以计算安全项目的业务价值和影响，并使用它来确定IT度量的优先级。使用我们的企业投资组合管理来确定最有效地使用预算的位置。

假设你受到了损害

没有多少安全措施可以让您100％安全，所以当事情横行时，您最好做好准备采取行动。许多组织争先恐后地发现在受到攻击时该怎么做，因为他们不知道组织的哪些部分或其系统可能受到影响。

根据对企业结构和运营的明确见解制定应急计划至关重要。最新的架构，流程，系统和数据模型可以帮助您评估问题可以传播的范围，以及您应该在哪些方面快速采取行动来限制安全漏洞的影响。

但请记住艾森豪威尔的格言：“计划一无所获;规划就是一切。“没有什么能完全按照计划进行，但这些计划的发展本身将清楚地说明你需要知道什么，未知的是什么，以及你必须更新你对企业化妆的知识。将Enterprise Studio与CMDB等管理和监控操作实际的系统相连接，有助于确保您使用最佳和最及时的数据。

最后，您的组织的“第一响应者”需要随时可以访问所有这些信息.BiZZdesign的HoriZZon门户网站为此提供了一个很好的解决方案，为各种类型的用户提供易于使用的视图和仪表板，从业务决策者到运营管理层和人们在众所周知的车间。

有兴趣了解更多？加入我们的网络研讨会或预订演示！

原文:https://bizzdesign.com/blog/cyber-security-5-steps-to-stay-safe-in-a-dangerous-world/

本文:http://pub.intelligentx.net/enterprise-security-architecture-cyber-security-5-steps-stay-safe-dangerous-world

讨论:请假知识星球【首席架构师圈】

未经适当授权，任何人不得进入大楼; 所有传入的电子邮件都被过滤掉; 用于存储敏感数据的个人计算机没有直接连接到Internet，因此无法远程访问。 有了这些企业安全规则，我们确保我们的私人信息是安全的，对吧？ 错误！

使用数字，物理和社交工程技术的组合，网络攻击变得越来越复杂。 典型的例子是所谓的“公路苹果攻击”。 一名潜在的入侵者“意外地”在一个公共场所（如公司停车场）留下一个带有公司徽标的USB闪存盘。 一名员工捡起来，很有可能他无法抑制好奇心并将其插入电脑。 惊喜：驱动器感染了恶意软件，除非采取适当的措施，否则会感染PC并将敏感信息发送给入侵者。

当然，有几种方法可以防止这种情况发生。系统管理员可能决定完全禁用USB驱动器的使用，但这可能限制太多，导致员工想方设法绕过这一点。或者，如果人们有足够的纪律来遵守它，那么反对使用未经验证的存储设备的政策就足够了......没有简单的方法来确定安全性是多少，以及安全性是多少。换句话说，我们如何找到安全性，可用性和成本之间权衡的最佳位置？

目前大多数安全和风险管理方法都基于清单，启发式和最佳实践。安全措施以自下而上的方式应用，往往忽略了社会方面。这可能导致预防性安全措施的过度杀伤，同样在更便宜（且侵扰性较小）的治疗措施可能就足够的情况下也是如此。另一方面，组织中不那么明显的威胁或漏洞可能很容易被忽视。

企业安全管理，Archimate核心

为了避免这种情况，我们提倡基于模型的企业安全管理方法，其中安全方面完全集成在设计链中：从战略和业务模型到企业架构，再到组织和IT支持的设计和实现。为此，与风险相关的概念包含在现有的体系结构和设计语言中。在企业架构层面，ArchiMate作为一个广泛接受的开放标准（具有可用的工具支持），适合以集成的方式描述业务和IT方面，是一个显而易见的选择。 ArchiMate中描述的体系结构可以链接到目标，原则和要求，以及用BPMN或UML等语言表达的详细设计模型。由此产生的模型为风险和漏洞分析提供输入，突出显示架构中最容易受到攻击的区域。此外，他们还将指导设计有效和高效的安全措施。

通过这种方法，BiZZdesign可以帮助您设计一个安全的组织 - 不会过度限制您的员工在日常工作中。

原文：https://bizzdesign.com/blog/designing-secure-organizations-risk-management-enterprise-security-management-and-archimate/

本文:

讨论:请加入知识星球【首席架构师圈】

大约95%的组织使用至少一个框架来管理其IT治理。公司将始终受益于在其业务和IT流程中增加结构并保护其资产。这就是为什么许多框架都有蓝图，以便组织能够实现其关键目标，如治理、法规遵从性和安全性。两种流行的模式是COBIT和TOGAF，这两种模式都被企业广泛用于网络安全和数字恢复。在这篇关于COBIT与TOGAF的文章中，让我们探讨一下这些流行的IT治理框架在网络安全方面是如何不同的。

COBIT：概述

COBIT是ISACA开发的应用最广泛的IT管理框架之一，于1996年首次发布。当涉及到管理信息和it治理以实现网络安全时，公司会帮助他们制定、组织和实施最适合公司的战略。

COBIT5由ISACA发布，包括许多组织和公司的风险管理实践以及管理治理。COBIT 2019更新旨在与时俱进，为公司提供更频繁的更新。所制定的战略更加灵活，更适合个别公司的需要。这些战略对不断变化的新技术采取了更具协作性的方法。

TOGAF：概述

创建开放组体系结构框架（TOGAF）是为了帮助公司创建组织其开发过程的系统方法。TOGAF帮助组织减少错误，维持所有截止日期，同时遵守预算，以提供高质量的结果。据发现，2016年，全球50家公司中有近80%使用TOGAF作为网络安全框架。当涉及到内部使用框架时，TOGAF对组织来说是免费的，但当涉及到商业使用时就不是了。

TOGAF还帮助公司协调业务和IT目标。它还帮助组织跨所有部门管理其It工作。在TOGAF的帮助下，公司可以在任何项目开始之前轻松地组织所有需求。这有助于为任何项目创建一种更安全的方法，因为在项目开始之前，所有的威胁和风险因素都已被理解和管理，从而使流程快速推进，几乎没有错误。

创建TOGAF是为了让公司中的每个人都能“说相同的语言”，节省资源，并更有效地使用它们。它有助于标准化创建企业架构的开放方式。这导致了软件技术实现的更结构化和更有组织的方式。TOGAF更注重治理，包括网络安全和实现业务目标。TOGAF还帮助解决IT部门内部或外部的任何问题，使所有利益相关者保持一致。

COBIT的组成部分

COBIT 2019可以与ITIL、TOGAF和CMMI一起工作。这使得COBIT 2019成为创建伞式框架的最佳选择，这样所有公司流程都可以得到统一。它解决了技术和安全需求的所有新趋势。总而言之，COBIT 2019的设计使企业在定制其it治理战略以满足其需求时具有更大的灵活性。

COBIT还有助于协调业务目标和IT目标，就像TOGAF一样。它在It部门和企业其他部门之间建立了各种联系，以弥合差距。COBIT的与众不同之处在于，它比其他框架更注重网络安全，并将信息安全、风险管理和治理列为其主要优先事项。COBIT不仅仅是一个组织所有业务流程和管理TOGAF等技术的工具，即使它确实集成了这些流程和技术。COBIT被明确设计用于管理可能影响整个组织的IT风险，以便所有业务流程都能顺利进行。

COBIT 2019框架附带一个指南，介绍COBIT的所有主要原则和总体结构。它还包括COBIT帮助公司实现的所有40个治理和管理目标。COBIT 2019还提供了一个设计指南，使组织能够深入了解如何开发一个专门针对其需求的IT治理系统，并提供了一个在开发战略后实施战略的指南。

TOGAF的组成部分

创建TOGAF是为了为组织的IT架构和总体业务运营提供四个主要领域。它为组织提供了有关如何创建更好的业务战略的信息，特别是在涉及治理和如何实现所有现有流程时。TOGAF还有一个架构和部署各种系统的蓝图，以符合组织的业务目标。TOGAF为公司提供了一种定义整个组织的数据存储并对其进行管理和维护的方法。

TOGAF框架有一个内容元模型，用于指导公司创建和管理组织中的所有企业体系结构。它创建了一种更精简的基础架构管理方法。TOGAF9中的分区组件在分离公司中的特定体系结构时提供指导。TOGAF还拥有一个体系结构存储库，其中包含与所有相关项目的企业范围体系结构相关的不同细节，包括各种想法、设计、流程和框架，以帮助项目更顺利地完成。TOGAF9还提供了各种指导原则和技术，以帮助在组织内应用框架并管理一些安全问题。

COBIT和TOGAF认证

这两种认证都属于IT安全和治理类别，任何组织的员工都可以使用它们来帮助以更有效的方式实现框架。

COBIT 5和COBIT 2019认证相互补充，如果组织实施COBIT 2019，COBIT 5认证将派上用场。COBIT 2019认证包括一个COBIT桥梁研讨会，这是一个为期一天的课程，涵盖各种概念和模型，重点关注COBIT 5和COBIT 2019之间的差异。有一个为期两天的基础课程与考试，也是一个设计和实施认证。

TOGAF认证有两个级别。第1级涵盖了ToAF的基础方面，第2级涵盖了员工可能需要成功实现框架的所有工作知识。

COBIT vs TOGAF：最后的想法

COBIT是一个更加关注于创建企业范围的IT治理系统的框架，该系统实现了各种安全控制。相比之下，TOGAF用于为公司创建一个信息体系结构，以简化的方式整合业务和IT目标。它们也可以作为混合模型一起使用，以创建一个强大的治理框架。

个人和企业团队可以参加的一些流行的IT安全和治理认证课程包括：

• COBIT 5基金会认证培训
• COBIT 5实施认证培训
• COBIT 5评估员认证培训
• CGEIT认证培训
• CRISC认证培训

原文：https://www.invensislearning.com/blog/cobit-vs-togaf-which-is-better-fo…

本文：http://jiagoushi.pro/node/1522

讨论：请加入知识星球【首席架构师圈】或者小号【cea_csa_cto】

网络安全是商业界必须处理的关键问题之一，其重要性只会上升。随着技术稳步发展以接管越来越多的业务（和个人）生活方面，雅虎和Experian的违规行为或WannaCry勒索软件攻击等事件迫切需要安全性。每年都有大量公司被黑客入侵。以下是一些最有名的案例，可以给你一个想法。结果？全世界无数人受到影响，网络安全状况不佳的成本很容易在数百万人中流失。

一切都在安全？

当你考虑所有这些时，那么只有一个组织抛出他们在这个问题上得到的一切才有意义。对？好吧，虽然这可能听起来不直观，但答案是否定的。事实上，公司的最终目标不是成为一个难以穿越的数字堡垒，而是为了（为客户创造价值）保持业务。

由于现在公平竞争的变化有多快 - 考虑技术进步，不断变化的监管等等，因此保持业务需求实际上比以往任何时候都难以实现。因此，仅关注业务的一个方面是无关紧要的必然结果。创新，服务交付水平，客户满意度，合规性，企业公民 - 这些只是组织为了获得成功而需要注意的其他事项。

因此，我们认为对于认真对待其网络安全战略的公司来说，最好的办法是以高精度，高影响力的方式运营。这意味着承认一揽子措施通过机会成本，用户不便和彻头彻尾的浪费来做同样多的损害。期望一切都是100％安全是不现实的。在游戏中有一个收益递减规律，确保你无法到达那里，即使你拥有世界上所有的时间和资源，也无论如何你都不会。因此，专门针对关键弱点的刻意行动是最合理的路径 - 这就是为什么高精度，高影响力的思维方式是关键。

准确定位安全漏洞

理解背景

为了能够“手术”操作，您首先需要清楚地了解当前的功能。我们的协作业务设计平台HoriZZon及其建模环境Enterprise Studio完美地配备了这一平台。使用我们的套件，用户可以构建其业务和技术环境的准确数字模型，他们可以实施基于功能的规划，并将各种功能链接到应用程序，基础架构或流程，以便对其组织有广泛的了解。可以想象，这可以实现逐个安全的方法，因为它允许将企业风险和安全管理过程嵌入到企业的实际架构和设计过程中。

除了可以让您探索企业所有方面的数字建模功能外，该平台还有助于培养最佳实践遵从性和安全合规性。 HoriZZon支持广泛的安全标准和框架，并提供可靠的内容治理功能。主流标准，如ISO / IEC 27001，NIST 800-53，CSA，Open FAIR，SABSA等，为希望建立稳固的安全和风险管理实践的用户提供结构，指导和适当的指标。实际上，它们为识别，评估和确定安全目标和操作的优先级提供了完美的方法。通过最佳实践和企业（及其生态系统）的清晰的全局视图，您可以最佳地开始安全风险评估。

运行安全评估

因为完美的安全是一个无法实现的目标，所以在这一点上的重点应该放在支付安全资金的最有效方式上。在分析风险，威胁，机会或绩效目标时，基于风险的方法提供了持续连接和解决重叠问题所需的结构。在组织内部开发风险意识文化是成功的企业风险管理计划的重要组成部分。

在BiZZdesign，我们的风险和安全管理方法结合了几个开放标准。如果您想了解更多信息，可以下载我们的如何使用EA白皮书改进网络安全，但现在只需说明评估阶段的主要步骤是：分析漏洞，评估威胁和计算风险。

我们的平台使安全专业人员能够有效地规划，实施和成熟企业内的企业风险管理实践。我们甚至编制了一份在分析阶段证明有用的漏洞和威胁的综合列表。运行风险评估的直接方法是使用公式Risk = Value x Probability，其中较高的风险将需要更多的努力来减轻风险。在此阶段结束时，您应该充分了解企业面临的风险状况。以下是我们如何使用HoriZZon的建模环境Enterprise Studio进行此类分析的示例。

模型的下半部分显示了您要保护的基础架构和资产（“加密支付记录”）。上半部分显示：

• 两个漏洞（“不安全的传输通道”和“支付数据的弱加密”）
• 威胁代理人（'网络犯罪'）
• 威胁事件（'中间人攻击'）
• 此威胁造成的潜在损失事件（“未经授权的付款”）
• 由此产生的风险（“财务损失”）

交通信号灯显示各种参数，例如资产价值，漏洞等级和由此产生的风险等级。所有这些都是相互关联的，我们的风险分析算法会计算结果，即如果您增加资产价值或威胁能力，则会增加风险等级。

制定并实施减轻风险的措施

在上面的评估阶段大纲之后，下一步是提出控制措施并进行部署。通过不受阻碍地了解弱点的位置以及违规的后果，目标是制定有效的措施。我们建议的结构是首先考虑策略，然后定义控制目标，然后创建控制措施，最后实现它们。利用企业架构和/或项目组合管理输出将在此处再次派上用场，因为安全建议可以与基础架构层中的实际易受攻击元素（例如，或重要业务功能）相关联。

作为此阶段的一部分，您应计算安全措施的成本，并将其与其降低的风险进行比较。那钱花得好吗？如果报告明确表明它将带来的好处，管理层必然会更严肃地对待报告。最后一项建议是在个人层面上与决策数据联系起来。例如，您可以指出，如果发生违规或不合规的业务惯例，负责任的管理层将面临个人责任的趋势。欧盟的通用数据保护法规就是一个这样的监管框架，它不仅推动了数据处理器的边界和压力，而且还压制了以前不承担任何责任的数据控制者。通过避免昂贵的一揽子措施并精确地攻击最紧迫的安全问题，一个组织有更好的机会来防范威胁，但从长远来看也是繁荣的。

结论

随着公司发现自己拥有越来越多的客户数据，恶意行为者加倍努力，网络安全比以往任何时候都更加重要。鉴于这些情况，公司很容易采取全面的防御姿态，并在创新上“拉开桥梁”以及有助于持久成功的其他因素。然而，这将是一个战略性的失误。

这是因为通过加强控制和谨慎，您还可以降低灵活性和灵活性，从而降低企业在一个奖励快速适应能力的时代的整体竞争力。我们认为，解决方案是明确了解企业的​​风险状况，然后在风险最大的领域开发和部署缓解控制措施。能够以数字方式实现企业，然后在实时模型之上运行风险评估，提供了很大的改进机会。

要了解有关网络安全以及企业架构如何在制定可靠的网络安全战略中发挥作用的更多信息，请下载我们的如何使用EA白皮书改进网络安全。

讨论: 加入知识星球【首席架构师圈】