企业架构师必备的八项网络安全框架

网络安全事件缓解策略指南

网络安全威胁是现代企业面临的主要挑战之一。澳大利亚统计局报告显示，2019-20财年至2021-22财年间，澳大利亚企业遭受的网络安全攻击数量增加了一倍多。

网络防御的重要组成部分是稳健的企业架构和网络安全框架，它们为成功的安全实践提供了基础。Essential Eight 网络安全框架以其针对性的技术控制措施而著称。它提供三个不同的成熟度级别，为企业提供清晰的路线图，逐步增强防御能力。

由澳大利亚联邦政府机构——澳大利亚信号局开发的“基本八项”网络安全框架，旨在帮助组织保护自己免受网络威胁。

该框架概述了一系列旨在保护基于微软Windows的联网网络的缓解策略和原则。这些策略详细列出了实现充分保护所需的最低限度预防措施。

已确定的八项控制措施旨在相互补充，建议组织在掌握一个成熟度级别后再进入下一个级别。

与其他框架（例如美国国家标准与技术研究院(NIST) 的网络安全框架）相比，“基本八项”框架的精简方法为网络安全提供了一个更易于理解的起点。NIST 框架包含 108 个缓解策略类别和 1,177 项安全控制措施，而“基本八项”框架仅列出了 8 个类别和 69 项控制措施。

通过有针对性的安全控制、重点预防措施和精简的缓解策略，“基本八项”为组织提供了一个更容易的切入点。

“基本八项”框架提供了一种分阶段的方法，帮助企业将网络安全融入到组织的各个层面，从而逐步提升其防御能力。该框架定义了四个成熟度级别，从零级到三级。这些级别旨在逐步评估、监控和改进框架的应用。

企业架构团队如何应用该框架？

八个基本级别

将“八大要素”纳入组织现有的元模型中
- 一旦选定了成熟度级别，就可以将相应的缓解策略和预防措施列表纳入现有的元模型中，类似于对通用业务策略和流程进行建模的方式。

制定网络安全合规概况
- 一旦建立了合规性概况，就可以创建一个评分算法（该算法本质上是对合规行为给予奖励，对不合规行为进行惩罚），以提供可视化的指标。
- 合规性指标可以随时间推移进行衡量，并监控架构活动的变化。通过实施未来状态规划和差距分析，可以为组织提供切实可行的路线图，以在企业架构 (EA) 功能中构建强大的网络安全实践。

使用架构建模工具，例如 ABACUS 实施网络安全框架可以提供更全面、更连贯的安全状况视图。 ABACUS 提供全面的企业架构、安全架构和业务流程库。您的团队能够更好地诊断漏洞、跟踪实施进度并简化框架采用流程。这包括

通过更密切地监控框架实施情况来提高合规性。 精细化的可视性使团队能够解决合规性差距，并在各个领域保持正轨。
将高层企业架构方法应用于风险管理意味着您的团队可以：
- 对未来状态架构进行成本/效益分析，以确定风险接受度/剩余风险水平。
- 进行工艺和业务能力建模促进组织采纳安全措施。
- 对现状/目标状态进行差距分析，以制定过渡路线图。