信息安全架构框架的结构与内容
企业信息安全架构(EISA)是信息安全计划的关键组成部分。EISA的主要功能是以一致的方式记录和通信安全程序的工件。因此，EISA的主要可交付成果是一组将业务驱动因素与技术实现指导联系起来的文档。这些文档是通过多层抽象迭代开发的。
信息安全应在架构框架中定义三个维度或视角：
- 表示信息安全组织和流程维度的“业务”视图。这种观点反映了“安全业务”，即它代表了信息安全在组织中的实施方式，以及“安全业务”如何通过流程、角色、职责和组织结构与企业的其他部分相互关联。
- 表示运行信息安全功能所需信息的“信息”视图。它表示安全团队使用的信息模型，以及用于捕获企业信息的安全需求的模型。
- 代表安全基础架构的“技术”观点。它捕获用于将不同的安全需求抽象为所需硬件和软件配置指南的模型。
安全架构应该描述如何将安全性编织到业务结构中。因此，EISA应该与组织的EA集成。EISA过程必须允许来自其他规划规程的设计组件的输入和接口点(图1)。许多这些输入可以从EA获得。然后，随着架构和安全过程的成熟，EISA和EA之间的关系应该变得越来越共生和集成。
图1
EISA(企业信息安全架构)内容
EISA由三层文件组成：
- 需求：定义架构要实现的目标的文档。在概念层，这可以表示业务需求，例如战略产品计划或法规要求。在实现层，它可以表示技术产品规范。
- 原则：包含在架构(architecture)过程中指导决策的语句的文档。
- 模型：替代模式或当前和未来状态的表示。基于模式的模型表示业务流程和应用程序中重复出现的特性，并用作决策工具。当前和未来状态模型用于提高利益相关者之间的共同理解，并用于项目规划和优先顺序的差距分析。
用于实现安全架构的不同方法
术语“安全架构”可替换地用于描述一个过程、一组可交付成果，有时也用于描述作为该过程的结果而实现的解决方案。企业信息安全架构(EISA)是为支持信息安全计划而交付规划、设计和实现文档(工件)的过程。
EISA过程是一组动态的规划和设计活动。这些活动的确切性质取决于组织对安全架构采取的方法。有三种不同的战略方法：
- 战略更新方法，其中架构的主要功能是指导企业安全环境的全面更新。
- 机会主义方法，其中架构仅用于开发特定项目和计划的安全需求。
- 混合方法，其中架构主要以机会主义的方式使用，但也有选择地用于更具战略性的规划目的。
定义有效信息安全计划的结构和范围
有效的信息安全需要一种集成的方法，在这种方法中，安全是业务流程核心结构的一部分，是组织文化的一个关键组成部分。这意味着安全团队必须努力将安全性的关键组件(策略、流程、行为和技术)注入IT的所有维度：业务流程、应用程序、技术基础设施，最重要的是人员。挑战的范围要求在更大的组织内建立战略安全计划。
一个有效的安全计划始于建立一个资源和原则框架。使用这个框架，可以管理项目的优先顺序列表。信息安全计划的主要目标是建立一个连续的、迭代的方案来规划、构建和运行从业务需求派生的安全解决方案。为了确保这种解决方案的可伸缩性和可重复性，安全团队必须定义和实现战略安全流程。该计划应考虑到这样一个事实，即有效的安全态势是建立在适当的政策基础上的，而这些政策是由操作过程、文化行为和技术的有效组合所实施的。下面是一个显示安全模型组件的图表：
