正文

真没想到，SAFE架构里竟然还藏着这个？企业会了可以降本，个人会了可以增效！

admin
admin V管理员 /0 评论 /25 阅读
1011
此篇文章发布距今已超过4天，您需要注意文章的内容或图片是否可用！

如果加星标，可以及时收到推送

《安全到底》第197篇，锐安全总第280篇原创，

本文1452字，阅读时长4分钟

思科SAFE作为一个企业级的安全架构，配得上“优秀”二字。

虽然企业级安全架构，我们诟病的是它的“功利性”；但是企业级安全架构，往往“落地性”比Gartner、Forrester这些咨询机构要好。
今天咱们就看看SAFE架构是如何一步一步落地的。
一般情况下，落地分三步：
一是提出一个参考架构或参考模型。
二是提出一个参考方法。
三是进行安全规划和安全建设。
咱们先看看“思科SAFE安全参考模型（Cisco SAFE Security Reference Model）”。

【1】SAFE安全参考模型

该参考模型包含了四个步骤：
1.业务用例（Business use case）：构建被攻击者利用的攻击面的业务用例说明。
2.安全能力(Security capabilitie)：寻找与业务用例配套的安全能力与通用威胁的映射。
3．参考架构（Referencearchitecture）:构建逻辑上能把安全能力纳管到建设蓝图的参考架构。
4.设计（Design）：用参考架构为通用交付场景和解决方案进行设计。
最关键的一步来了！
当你构建了业务用例说明、威胁与安全能力映射、参考架构和设计规划之后，接下来要为每个企业定制一个独属于他的“安全方法”。
我称之为“解决方案架构”，这个非常重要，很值得在这里单独讲一下。

【2】解决方案架构

美国国土安全部(DHS)下属的美国国土安全系统工程与发展研究所（HSSEDI），曾经在2017年提出了一个“构建有用的解决方案架构（Creating Useful Solution Architectures）”的方法：

图：有用的解决方案架构
这里提出了解决方案架构要与企业架构、系统架构相融合。
这就是很多企业把解决方案组织设置成“中台组织”的道理，因为这样你才可以“上天入地”，发挥组织最大的效力。
这种“设计在腰部”的思想非常重要，看到上面那张图你可能还没有什么感觉，那么再看看下面锐安全画的这张图：

这张图借用了HSSEDI的框架，填上了SAFE的灵魂。
你能看到这张图就是咱们上面讲的内容，SAFE参考模型之下是SAFE方法，再之下是安全产品。
看到这张图，你多少应该有了一些感觉，但是可能还是不太明白我想表达什么。
那咱们接着往下看。

【3】SAFE最值钱的一句话

其实SAFE说了一句他自己都没意识到的最值钱的一句话：SAFE方法是基于企业自身情况定制的。
这句话到底有多值钱呢？
当我们把目光聚焦在“产品”上时，客户通常对我们来说就是：靠近你就靠近痛苦，离开你就离开幸福，这就是“厂商痛苦曲线”。

图：厂商痛苦曲线
也就是说，你离客户近、需求贴合度就高，但是产品的定制化属性强、研发成本就高；你离客户远、需求贴合度就差，但是产品的标准化属性强、研发成本就低。
当我们把目光聚焦在“解决方案”上时，你会发现，上述难题瞬间就迎刃而解了。
因为客户需要的并不是定制化的产品，也不是需求贴合度，而是最终实现的效果。
而这种效果的实现可以通过理论迭代、技术迭代、产品迭代、方案迭代等不同路径来实现：

图：创新的成本
很明显，方案级迭代是成本最小的迭代方式！
而且思科也验证过这种方案级迭代的效果是很好的，因为在SAFE方法里，思科是这样说的：
“这种方案级定制是通过研讨会（workshop）的形式进行的。而且这种研讨会可能会令人耳目一新，因为它将公司通常可能不会互动的部门聚集在一起。
高管们与来自业务和合规性的干系人(stakeholders)以及安全和基础设施技术人员齐聚一堂，共同解决与“安全性如何影响业务”相关的问题。
该研讨会可以为您的企业量身定制安全架构。”
所以你看，产品级定制只是“厂商”与“客户最终需求部门”的一对一服务，而方案级定制是客户所有相关部门的一次大联欢，参与度不同，参与感就会不一样、效果也会不一样。
相信我，在未来的商业逻辑里，“参与感”一定比“需求”更重要！
最后，我把这两张架构图放在一起，你再品一下：

图：解决方案架构与安全方法
对，我想说：从今天起，你可以更多地尝试一下架构迭代，而不仅仅是产品迭代！

恭喜你，又看完了一篇文章。从今天起，和我一起洞察安全本质！这里是锐安全，今天就到这里，咱们下周四再见！

如果对我描述的安全世界感兴趣，可以翻翻“没有名人作序和题词”的我为你写的一本“纯粹的安全认知之书”：

点击文末【阅读原文】,看到一个完整的安全系统

end

您的“安全架构”航海之旅到了这里：

如果你对本文有任何建议,

欢迎联系我改进；

如果本文对你有任何帮助，

欢迎分享、点赞和在看

如果心生欢喜，不如做个长期朋友：）

参考资料：

[1]锐安全.DHS的一个有用的安全架构USA，到底是什么？,2024年01月11日.https://mp.weixin.qq.com/s/95Csq1k4r5oji7V4hV3NYQ

[2]HSSEDI.Guide for Creating Useful Solution Architectures,2017-12-04

[3]cicso.Cisco SAFE Overview Guide,October 8, 2023.https://www.cisco.com/c/en/us/solutions/collateral/enterprise/design-zone-security/safe-overview-guide.html

题图：SAFE啤酒

题图创作者：晓兵与AI小助手

算法提供：FLUX


推荐站内搜索：最好用的开发软件、免费开源系统、渗透测试工具云盘下载、最新渗透测试资料、最新黑客工具下载……
周飒博客-ZhouSa.com