3.3　安全框架的规划和设计方法

进行具体的安全框架讨论之前，可能都有一个疑问，就是服务于某个组织或企业的安全框架是如何规划、如何设计的？

安全框架可以是一些企业架构的一部分，但并不是所有组织都使用它们或拥有企业架构实践。当然，安全框架也可以在没有企业架构的情况下存在。

3.3.1　TOGAF体系结构开发方法介绍

行业内常见的安全框架规划和设计方法，可以参考The Open Group的TOGAF。这是一个架构生成的框架，它基于行业的最佳实践和可复用的迭代模型，提供了一个帮助企业接受、设计、使用和维护一个框架或架构的方法和工具。

TOGAF提供的现有框架理论其实只是一个最佳实践参考，在实际操作过程中，需要根据需求、客户情况、项目复杂程度，以及企业自身能力进行定制。

TOGAF体系结构开发方法（Architecture Development Method，ADM）涵盖了通常被视为企业体系结构子集的4个体系结构域的开发：业务、数据、应用程序和技术设施。安全体系结构与所有这4个体系结构交互，因此称其跨领域，其相互关系如图3-1所示。作为一个跨领域的关注点，安全体系结构会影响并通知业务、数据、应用程序和技术设施体系结构。

这种方法通过TOGAF体系结构开发方法（ADM）（当前主流版本为9.2版，其体系结构开发方法见图3-2），增进对不同阶段的安全概念和活动的理解。业务导向将有助于证明安全组件的合理性。

在TOGAF体系结构开发方法ADM中，各阶段的活动具体如下。

1. 初步阶段

初步阶段建立了指导安全体系结构设计所需的安全上下文。需要体现在安全框架体系文档中的内容主要有业务驱动因素（或业务目标）、安全原则、风险偏好、关键风险领域（或业务影响分析）、安全资源计划。

2. 阶段A：架构远景

阶段A旨在使得相关利益方尤其是控制预算的利益相关者，对预期的安全收益、业务收益满意，即最终的安全运行状态不会代表任何未知或不可接受的风险，并且符合公司的政策、标准和原则，在风险、合规和业务利益之间找到了适当的平衡。主要包括以下内容。

（1）确定所有利益相关者的完整列表。

（2）收集所有利益相关者的需求，以确定解决相关问题的安全蓝图。

3. 阶段B：业务架构

阶段B的安全元素包括业务级别的信任、风险和控制，这些元素独立于特定的IT或其他系统，具体包含安全策略架构、安全域模型、信任框架、风险评估、业务风险模型（或风险注册）、法律法规适用性注册、控制框架适用性注册。

4. 阶段C：信息系统架构

阶段C的安全元素主要有安全功能服务及其安全分类。具体包含安全服务目录，如身份和访问管理、连续性管理、安全情报、数字取证、安全分析、审核，网络监控、合规管理、培训和意识计划等。

（1）安全分类。

（2）数据质量。

5. 阶段D：技术架构

阶段D没有开发特定的安全技术架构或相关的架构文档模块，仅需包含相关的安全控制和机制即可。安全规划设计人员必须确保所需的安全控制均包含在相关的技术体系架构中，并且验证控制可以有效和高效地运行。例如，特定技术体系架构的安全视图、可交付成果等。

6. 阶段E：机遇与解决方案

阶段E旨在评估安全性和风险，确定实施路线和优先级可以对应到业务目标和驱动因素。主要包括设计风险缓解计划。

7. 阶段F：迁移计划

迁移本身就是需要保护的业务流程。迁移策略应包括风险评估和风险缓解计划。在F阶段，风险缓解计划仅限于过渡。此外，迁移计划应包括安全影响分析，以了解更改目标状态的所有安全影响。

8. 阶段G：实施治理

安全体系结构实施治理可确保详细设计，以及已实现的过程和系统遵守总体安全体系结构。这样可以确保与架构原则和实施准则之间的差异不会造成任何无法接受的风险。主要包含安全审核、安全培训和安全意识。

9. 阶段H：架构变更管理

阶段H定义了两个流程，风险管理流程和安全体系架构的治理流程。虽然该阶段的活动不是安全框架的组成部分，但是至关重要。架构治理是一个过程，需要持续评估现有架构有关业务机会和安全威胁变化的过程。根据此过程的结果，当前体系结构可能认为它不适合缓解已更改或新的风险，或者可能会在利用新机会方面过多地限制业务。在这种情况下，必须更改体系结构。

3.3.2　SABSA应用业务安全架构方法介绍

SABSA（Sherwood Applied Business Security Architecture）是另一种常见的构建安全框架的方法，它建立在Zachman企业架构方法论的基础上，根据相关方的视图对架构的各个方面进行了结构化定义，即做什么、如何做、在哪里做、谁来做、何时做及为什么要做。SABSA采用了一个类似的结构，称为SABSA矩阵（具体内容可以通过https://sabsa.org/download/tsir101-sabsa-matrices-2018-release-notes/下载）。

SABSA是一种开发有效安全架构的方法论，它关注业务需求，同时考虑处理风险和机会。它提供了从业务计划到可部署安全组件的可跟踪（以及反向跟踪）方法。SABSA是模型、视图和方法的组合，以帮助安全专业人员根据自己的需要，全面和系统地定义架构。

SABSA利用不同的视图组合来帮助安全专业人员有逻辑地获得和呈现安全架构。它支持从一开始使用自顶向下的方法（从业务级别向下到从业人员）开发安全架构，然后使用自底向上的可跟踪性来确保架构的严密性。

SABSA方法论的核心原则是SABSA矩阵。需要注意的是，并非SABSA矩阵中所有的项目都需要完成，只需要完成架构师团队认为对组织有用的那些项目。在使用SABSA的过程中，架构师应该关注策略域和信任的相互关系，以帮助对这些域进行分解，从而建议应该在哪里分配属性。在这里，架构师可以定义需要哪些低层次的控制措施，这需要深入了解业务的驱动因素。要做好这项活动，必须深入了解组织，包括要保护的业务流程和功能。

总之，网络服务的业务功能及其所面临的安全环境和安全挑战，需要与之对应的安全架构进行总体的规划和设计。安全框架提供了一个动态的安全风险管理载体，随着组织和IT系统的发展、变化和转型，该框架会随着组织的发展而成长，并支持实际的维护。安全框架在风险和合规要求，以及组织IT和业务流程的复杂性之间起着桥梁的作用。参照行业安全框架的规划实践，可以帮助组织快速构建符合其业务目标和安全需求的安全框架。