I n f o r m a t i o n A s s u r a n c e a n d S e c u r i t y 1 P a g e | 1

L e s s o n 6 S e c u rity A rc h ite c tu re a n d S e c u rity M a n a g e m e n t

T h e g o a l o f t h is c h a p t e r is t o e x p la in t h e s e c u r it y c o n s id e r a t io n s t h a t n e e d t o b e
a d d r e s s e d d u r in g a p p lic a t i o n o f t h e T O G A F A r c h it e c t u r e D e v e lo p m e n t M e t h o d ( A D M ) .

In tro d u c tio n

A r c h it e c t u r e d e v e lo p m e n t m e t h o d s a r e t o o ls in t h e h a n d s o f t h e s e c u r it y p r a c t it io n e r t o
b e u s e d t o c r e a t e b e s t p r a c t ic e a n d o r g a n iz a t io n - s p e c if ic s e c u r it y c a p a b ilit y .

T h e g u id a n c e in c lu d e d h e r e is in t e n d e d t o h e lp b o t h e n t e r p r is e a r c h it e c t s a n d s e c u r it y
p r a c t it io n e r s t o a v o id m is s in g c r it ic a l s e c u r it y c o n c e r n s .

T h is c h a p t e r in f o r m s t h e e n t e r p r is e a r c h it e c t o f w h a t t h e s e c u r it y a r c h it e c t w ill n e e d t o
c a r r y o u t d u r in g t h e s e c u r it y a r c h it e c t u r e w o r k .

O f t e n t h e s e c u r it y a r c h it e c t u r e is tr e a t e d a s a s e p a r a t e a r c h it e c t u r e d o m a in w it h in t h e
e n t e r p r is e a r c h it e c t u r e w h il e n e e d i n g t o b e f u lly in t e g r a t e d in it . T h e f o c u s o f t h e s e c u r it y
a r c h it e c t is e n f o r c e m e n t o f s e c u r it y p o lic ie s o f t h e e n t e r p r is e w it h o u t in h ib it in g v a lu e .

S e c u r i t y a r c h i t e c t u r e s g e n e r a ll y h a v e t h e f o l l o w i n g c h a r a c t e r i s t i c s :

 S e c u r it y a r c h it e c t u r e h a s it s o w n d is c r e t e s e c u r it y m e t h o d o lo g y .
 S e c u r it y a r c h it e c t u r e c o m p o s e s it s o w n d is c r e t e v ie w s a n d v ie w p o in t s .
 S e c u r it y a r c h it e c t u r e a d d r e s s e s n o n - n o r m a t iv e f lo w s t h r o u g h s y s t e m s a n d a m o n g
a p p lic a t io n s .
 S e c u r it y a r c h it e c t u r e in t r o d u c e s it s o w n n o r m a t iv e f lo w s t h r o u g h s y s t e m s a n d a m o n g
a p p lic a t io n s .
 S e c u r it y a r c h it e c t u r e in t r o d u c e s u n iq u e , s in g le - p u r p o s e c o m p o n e n t s in t h e d e s ig n .
 S e c u r it y a r c h it e c t u r e c a lls f o r it s o w n u n iq u e s e t o f s k ills a n d c o m p e t e n c ie s o f t h e
e n t e r p r is e a n d I T a r c h it e c t s .

G u id a n c e o n S e c u rity fo r th e A rc h ite ctu re D o m a in s

S e c u r it y c o n c e r n s a r e p e r v a s iv e t h r o u g h o u t t h e a r c h it e c t u r e d o m a in s a n d in a ll p h a s e s
o f t h e a r c h it e c t u r e d e v e lo p m e n t . S e c u r it y is c a lle d o u t s e p a r a t e ly b e c a u s e it is
in f r a s t r u c t u r e t h a t is r a r e ly v is ib le t o t h e b u s in e s s f u n c t io n . I t s f u n d a m e n t a l p u r p o s e is t o
p r o t e c t t h e v a lu e o f t h e s y s t e m s a n d in f o r m a t io n a s s e t s o f t h e e n t e r p r is e . O f t e n t h e
n a t u r e o f s e c u r it y in t h e e n t e r p r is e is t h a t it is d e e m e d s u c c e s s f u l if e it h e r n o t h in g
h a p p e n s t h a t is v is i b le t o t h e u s e r o r o t h e r o b s e r v e r , a n d / o r n o d a m a g e o r lo s s e s o c c u r
t o t h e e n t e r p r is e . F o r e x a m p le , t h e d a t a in a c u s t o m e r r e c o r d s d a t a b a s e is n o t le a k e d o r
d a m a g e d - o r a n in t a n g ib le is s u e s u c h a s t h e c o m p a n y n a m e a p p e a r s in a n a r t ic le in
t h e n e w s s a y in g t h a t it s d a t a s y s t e m s h a d b e e n c o m p r o m is e d .

T h e s e c u r it y a r c h it e c t u r e d o e s h a v e it s o w n s in g le - p u r p o s e c o m p o n e n t s a n d is
e x p e r ie n c e d a s a q u a lit y o f s y s t e m s in t h e a r c h it e c t u r e . T h e E n t e r p r is e S e c u r it y v ie w o f
t h e a r c h it e c t u r e h a s it s o w n u n iq u e b u ild in g b lo c k s , c o lla b o r a t io n s , a n d in t e r f a c e s .
T h e s e s e c u r it y - u n iq u e e le m e n t s m u s t in t e r f a c e w it h t h e b u s in e s s s y s t e m s in a b a la n c e d

J e n n if e r R o x a s -M a g b a n la c , M I T
I n f o r m a t i o n A s s u r a n c e a n d S e c u r i t y 1 P a g e | 2

a n d c o s t - e ff e c t iv e w a y , s o a s t o m a in t a in t h e s e c u r it y p o lic ie s o f t h e e n t e r p r is e , y e t n o t
in t e r f e r e w it h s y s t e m o p e r a t io n s a n d f u n c t io n s . I t is le a s t c o s t ly a n d m o s t e f f e c t iv e t o
p la n f o r a n d im p le m e n t s e c u r it y - s p e c if ic f u n c t io n s in t h e T a r g e t A r c h it e c t u r e a s e a r ly a s
p o s s ib le in t h e d e v e lo p m e n t c y c le t o a v o id c o s t ly r e t r o f it o r r e w o r k b e c a u s e r e q u ir e d
b u ild in g b lo c k s f o r s e c u r it y w e r e n o t a d d e d o r u s e d d u r in g s y s t e m s d e v e lo p m e n t a n d
d e p lo y m e n t . T h e a p p r o a c h o f t h e s e c u r it y a r c h it e c t c o n s id e r s n o t o n ly t h e n o r m a l f lo w o f
t h e a p p lic a t io n , b u t a ls o t h e a b n o r m a l f lo w s , f a ilu r e m o d e s , a n d w a y s t h e s y s t e m s a n d
a p p lic a t io n s c a n b e in t e r r u p t e d a n d f a il.

A ll g r o u p s o f s t a k e h o ld e r s in t h e e n t e r p r is e w ill h a v e s e c u r it y c o n c e r n s a n d it is
d e s ir a b le t o b r in g a s e c u r it y a r c h it e c t in t o t h e p r o je c t a s e a r ly a s p o s s ib le . T h r o u g h o u t
t h e p h a s e s o f t h e A D M , g u id a n c e w i ll b e o f f e r e d o n s e c u r it y - s p e c if ic in f o r m a t io n w h ic h
s h o u ld b e g a t h e r e d , s t e p s w h ic h s h o u ld b e t a k e n , a n d a r t if a c t s w h ic h s h o u ld b e
c r e a t e d . A r c h it e c t u r e d e c is io n s r e la t e d t o s e c u r it y s h o u ld b e t r a c e a b le t o b u s in e s s a n d
p o lic y d e c is io n s a n d t h e ir r is k m a n a g e m e n t .

T h e g e n e r a lly a c c e p t e d a r e a s o f c o n c e r n f o r t h e s e c u r it y a r c h it e c t a r e :

 A u t h e n t i c a t i o n : T h e s u b s t a n t ia t io n o f t h e id e n t it y o f a p e r s o n o r e n t it y r e la t e d t o t h e
e n t e r p r is e o r s y s t e m in s o m e w a y .
 A u t h o r i z a t i o n : T h e d e f in it io n a n d e n f o r c e m e n t o f p e r m itt e d c a p a b ilit ie s f o r a p e r s o n
o r e n t it y w h o s e id e n t it y h a s b e e n e s t a b lis h e d .
 A u d i t : T h e a b ilit y t o p r o v id e f o r e n s ic d a t a a tt e s t in g t h a t t h e s y s t e m s h a v e b e e n
u s e d in a c c o r d a n c e w it h s t a t e d s e c u r it y p o lic ie s .
 A s s u r a n c e : T h e a b il it y t o t e s t a n d p r o v e t h a t t h e e n t e r p r is e a r c h it e c t u r e h a s t h e
s e c u r it y a t tr ib u t e s r e q u ir e d t o u p h o ld t h e s t a t e d s e c u r it y p o lic ie s .
 A v a i l a b i l it y : T h e a b ilit y o f t h e e n t e r p r is e t o f u n c t io n w it h o u t s e r v ic e in t e r r u p t io n o r
d e p le t io n d e s p it e a b n o r m a l o r m a lic io u s e v e n t s .
 A s s e t P r o t e c t i o n : T h e p r o t e c t io n o f in f o r m a t io n a s s e t s f r o m lo s s o r u n in t e n d e d
d is c lo s u r e , a n d r e s o u r c e s f r o m u n a u t h o r iz e d a n d u n in t e n d e d u s e .
 A d m i n i s t r a t i o n : T h e a b ilit y t o a d d a n d c h a n g e s e c u r it y p o lic ie s , a d d o r c h a n g e h o w
p o lic ie s a r e im p le m e n t e d in t h e e n t e r p r is e , a n d a d d o r c h a n g e t h e p e r s o n s o r
e n t it ie s r e la t e d t o t h e s y s t e m s .
 R i s k M a n a g e m e n t : T h e o r g a n iz a t io n 's a t t it u d e a n d t o le r a n c e f o r r is k . ( T h is r is k
m a n a g e m e n t is d if f e r e n t fr o m t h e s p e c ia l d e f in it io n f o u n d in f in a n c ia l m a r k e t s a n d
in s u r a n c e in s t it u t io n s t h a t h a v e f o r m a l r is k m a n a g e m e n t d e p a r tm e n t s .)

T y p i c a l s e c u r i t y a r c h i t e c t u r e a r t if a c t s w o u l d i n c l u d e :

 B u s in e s s r u le s r e g a r d in g h a n d lin g o f d a t a / in f o r m a t io n a s s e t s
 W r it t e n a n d p u b lis h e d s e c u r it y p o lic y
 C o d if ie d d a t a / in f o r m a t io n a s s e t o w n e r s h ip a n d c u s t o d y
 R is k a n a ly s is d o c u m e n t a t io n
 D a t a c la s s if ic a t io n p o l ic y d o c u m e n t a t io n

J e n n if e r R o x a s -M a g b a n la c , M I T
I n f o r m a t i o n A s s u r a n c e a n d S e c u r i t y 1 P a g e | 3

A D M A rc h ite c tu re R e q u ire m e n ts M a n a g e m e n t

T h e s e c u r it y p o lic y a n d s e c u r it y s t a n d a r d s b e c o m e p a r t o f t h e e n t e r p r is e r e q u ir e m e n t s
m a n a g e m e n t p r o c e s s . S e c u r it y p o lic y is e s t a b lis h e d a t a n e x e c u t iv e le v e l o f t h e
b u s in e s s , is lo n g - liv e d , a n d r e s is t a n t t o w h im s ic a l c h a n g e . S e c u r it y p o lic y is n o t t ie d t o
a n y s p e c if ic t e c h n o lo g y . O n c e t h e s e c u r it y p o lic ie s a r e e s t a b lis h e d , t h e y c a n b e r e f e r r e d
t o a s r e q u ir e m e n t s f o r a ll a r c h it e c t u r e p r o je c t s .

S e c u r it y s t a n d a r d s c h a n g e m o r e f r e q u e n t ly a n d s t a t e t e c h n o lo g y p r e f e r e n c e s u s e d t o
s u p p o r t s e c u r it y p o lic ie s . N e w t e c h n o lo g ie s t h a t s u p p o r t t h e im p le m e n t a t io n o f s e c u r it y
p o lic ie s in a b e t t e r w a y c a n b e a d o p t e d a s n e e d e d . T h e im p r o v e m e n t s c a n b e in
r e d u c e d c o s t s o r in c r e a s e d b e n e f it s . S e c u r it y s t a n d a r d s w ill m a n if e s t t h e m s e lv e s a s
s e c u r it y - r e la t e d b u ild in g b lo c k s in t h e E n t e r p r is e C o n t in u u m . S e c u r it y p a t t e r n s f o r
d e p lo y in g t h e s e s e c u r it y - r e la t e d b u ild in g b lo c k s a r e r e f e r r e d t o in t h e S e c u r it y G u id a n c e
to P h a s e E .

N ew s e c u rity re q u irem e n ts a ris e fro m m an y so u rces:

1. A n e w s t a t u t o r y o r r e g u la t o r y m a n d a t e
2. A n e w t h r e a t r e a liz e d o r e x p e r ie n c e d
3. A n e w I T a r c h it e c t u r e in it ia t iv e d is c o v e r s n e w s t a k e h o ld e r s a n d / o r n e w
r e q u ir e m e n t s

I n t h e c a s e w h e r e 1 . a n d 2 . a b o v e o c c u r , t h e s e n e w r e q u ir e m e n t s w o u ld b e d r iv e r s f o r
in p u t t o t h e c h a n g e m a n a g e m e n t s y s t e m d is c u s s e d in P h a s e H . A n e w a r c h it e c t u r e
in it ia t iv e m ig h t b e la u n c h e d t o e x a m in e t h e e x is t in g in f r a s t r u c t u r e a n d a p p lic a t io n s t o
d e t e r m in e t h e e x t e n t o f c h a n g e s r e q u ir e d t o m e e t t h e n e w d e m a n d s . I n t h e c a s e o f 3 .
a b o v e , a n e w s e c u r it y r e q u ir e m e n t w ill e n t e r t h e r e q u ir e m e n t s m a n a g e m e n t s y s t e m .

Is o u r s e c u rity g o o d ?

T h is q u e s t io n in e v it a b ly c o m e s f r o m m a n a g e m e n t t o t h e s e c u r it y a r c h it e c t . N o s e c u r it y
m e a s u r e s a r e e v e r p e r f e c t , a n d t h e p o t e n t ia l e x is t s f o r t h e a m o u n t o f m o n e y a n d e f f o r t
e x p e n d e d t o b e c o m e v e r y la r g e f o r litt le a d d it io n a l r e t u r n . S e c u r it y a s s u r a n c e t e s t in g
s h o u ld b e in p la c e s o t h a t t h e s e c u r it y s y s t e m s c a n b e m e a s u r e d t o e n s u r e t h a t t h e y
k e e p t h e s e c u r it y p o lic ie s f o r w h ic h t h e y w e r e d e s ig n e d . S e c u r it y p o lic y a u d it s s h o u ld b e
h e ld a n d m ig h t b e m a n d a t o r y b y s t a t u t e o r r e g u la t io n . T h e s e s e c u r it y a u d it s a n d
p o s s ib le s e c u r it y p o lic y c h a n g e s a r e t h e e x a c t r e a s o n w h y s e p a r a t io n o f p o lic y
e n f o r c e m e n t f r o m a p p lic a t io n c o d e is s o s t r o n g ly e m p h a s iz e d .

N o th in g u s e fu l c a n b e s a id a b o u t a s e c u rity m e a s u r e o u ts id e th e c o n te x t o f a n
a p p lic a tio n , o r a s y s te m a n d its e n v iro n m e n t

T h e e f f ic a c y o f a s e c u r it y m e a s u r e is c o n s id e r e d in r e la t io n t o t h e r is k it m it ig a t e s . A n
e n t e r p r is e c a n n o t d e t e r m in e h o w m u c h it w ill b e w il lin g t o s p e n d o n s e c u r in g a n a s s e t
u n t il it u n d e r s t a n d s t h e a s s e t v a lu e . F o r e x a m p le , t h e u s e o f t h a t a s s e t in a n a p p lic a t io n
a n d t h e c o n c o m it a n t r is k t h e a s s e t is e x p o s e d t o a s a r e s u lt , w ill d e t e r m in e t h e t r u e

J e n n if e r R o x a s -M a g b a n la c , M I T
I n f o r m a t i o n A s s u r a n c e a n d S e c u r i t y 1 P a g e | 4

r e q u ir e m e n t s f o r s e c u r it y . A d d it io n a lly , t h e o r g a n iz a t io n 's t o le r a n c e f o r r is k is a f a c t o r . I n
o t h e r w o r d s , t h e q u e s t io n a s k e d s h o u ld n o t b e : " I s it s e c u r e ? " b u t r a t h e r : " I s it s e c u r e
e n o u g h ? " T h e la t t e r is u lt im a t e ly a q u e s t io n t o b e a n s w e r e d b y r is k a n a ly s is .

P re lim in a ry P h a s e

S c o p e t h e e n t e r p r i s e o r g a n i z a t i o n s i m p a c t e d b y t h e s e c u r i t y a r c h it e c t u r e

 I d e n t if y c o r e e n t e r p r is e ( u n it s ) - t h o s e w h o a r e m o s t a ff e c t e d a n d a c h ie v e m o s t
v a lu e f r o m t h e s e c u r it y w o r k
 I d e n t if y s o ft e n t e r p r is e ( u n it s ) - t h o s e w h o w ill s e e c h a n g e t o t h e ir c a p a b ilit y a n d
w o r k w it h c o r e u n it s b u t a r e o t h e r w is e n o t d ir e c t ly a ff e c t e d
 I d e n t if y e x t e n d e d e n t e r p r is e ( u n it s ) - t h o s e u n it s o u t s id e t h e s c o p e d e n t e r p r is e w h o
w il l n e e d t o e n h a n c e t h e ir s e c u r it y a r c h it e c t u r e f o r in t e r o p e r a b ilit y p u r p o s e s
 I d e n t if y c o m m u n it ie s in v o lv e d ( e n t e r p r is e s ) - t h o s e s t a k e h o ld e r s w h o w ill b e
a f f e c t e d b y s e c u r it y c a p a b ilit ie s a n d w h o a r e in g r o u p s o f c o m m u n it ie s
 I d e n t if y t h e s e c u r it y g o v e r n a n c e in v o lv e d , in c lu d in g le g a l f r a m e w o r k s a n d
g e o g r a p h ie s ( e n t e r p r is e s )

I f t h e b u s in e s s m o d e l o f t h e o r g a n iz a t io n d o e s e n c o m p a s s f e d e r a t io n w it h o t h e r
o r g a n iz a t io n s , t h e e x t e n t o f t h e s e c u r it y f e d e r a t io n s h o u ld b e e s t a b lis h e d a t t h is p o in t in
t h e p r o c e s s . C o n t r a c t u a l f e d e r a t io n a g r e e m e n t s s h o u ld b e e x a m in e d f o r t h e ir s e c u r it y
im p lic a t io n s a n d a g r e e m e n t s . I t m a y b e n e c e s s a r y t o e s t a b lis h jo in t a r c h it e c t u r e
m e e t in g s w it h o t h e r m e m b e r s o f a f e d e r a t io n t o e s t a b lis h in t e r f a c e s a n d p r o t o c o ls f o r
e x c h a n g e o f s e c u r it y in f o r m a t io n r e la t e d t o f e d e r a t e d id e n t it y , a u t h e n t ic a t io n , a n d
a u t h o r iz a t io n .

D e f i n e a n d d o c u m e n t a p p l i c a b l e r e g u l a t o r y a n d s e c u r i t y p o li c y r e q u i r e m e n t s

T h e f r a m e w o r k a n d p r in c ip le s r a r e ly c h a n g e , a n d s o t h e s e c u r it y im p lic a t io n s c a ll e d o u t
in t h e o b je c t iv e s o f t h is p h a s e s h o u ld b e f a ir ly s t r a ig h t f o r w a r d . A w r it t e n s e c u r it y p o lic y
f o r t h e o r g a n iz a t io n m u s t b e in p la c e , a n d t h e r e s h o u ld b e r e g u la r n o t if ic a t io n a n d
e d u c a t io n e s t a b lis h e d f o r e m p lo y e e s . I S O /I E C 1 7 7 9 9 : 2 0 0 5 is a g o o d p la c e t o s t a r t t h e
f o r m a t io n o f a s e c u r it y p o lic y , a n d c a n b e u s e d t o a s s e s s t h e s e c u r it y r e a d in e s s o f a n
o r g a n iz a t io n . W it h o u t a w r it t e n a n d p u b lis h e d s e c u r it y p o lic y , e n f o r c e m e n t is d if f ic u lt .
S e c u r it y p o lic ie s r e f e r t o m a n y a s p e c t s o f s e c u r it y f o r t h e o r g a n iz a t io n - s u c h a s
p h y s ic a l p r e m is e s s e c u r it y - t h a t a r e r e m o t e ly r e la t e d t o s e c u r it y o f s y s t e m s a n d
a p p lic a t io n s . T h e s e c u r it y p o lic y s h o u ld b e e x a m in e d t o f in d r e le v a n t s e c t io n s , a n d
u p d a t e d if n e c e s s a r y . A r c h it e c t u r e c o n s tr a in t s e s t a b lis h e d in t h e s e c u r it y p o lic y m u s t b e
c o m m u n ic a t e d t o t h e o t h e r m e m b e r s o f t h e a r c h it e c t u r e t e a m .

I n a s im ila r f a s h io n , t h e r e m a y b e r e g u la t o r y r e q u ir e m e n t s t h a t s p e c if y o b lig a t io n s t h e
s y s te m m u s t f u lf il o r a c t io n s t h a t m u s t b e t a k e n . W h e t h e r t h e s y s t e m w ill b e s u b je c t t o
r e g u la t io n w i ll d e p e n d u p o n t h e f u n c t io n a lit y o f t h e s y s t e m a n d t h e d a t a c o lle c t e d o r
m a in t a in e d . I n a d d it io n , t h e ju r is d ic t io n w h e r e t h e s y s t e m o r s e r v ic e is d e p lo y e d , w h e r e
t h e u s e r s r e s id e , o r u n d e r w h ic h t h e d e p lo y in g e n t it y is c h a r t e r e d o r in c o r p o r a t e d w ill
in f o r m t h is d e c is io n . It m a y b e w is e t o o b t a in le g a l c o u n s e l r e g a r d in g t h e s e o b lig a t io n s
a t t h e o u t s e t o f a c t iv it ie s .

J e n n if e r R o x a s -M a g b a n la c , M I T
I n f o r m a t i o n A s s u r a n c e a n d S e c u r i t y 1 P a g e | 5

D e f i n e t h e r e q u i r e d s e c u r it y c a p a b i li t y a s p a r t o f A r c h i t e c t u r e C a p a b i li t y

A g r e e m e n t o n t h e r o le o f t h e s e c u r it y a r c h it e c t in t h e e n t e r p r is e a r c h it e c t u r e p r o c e s s
a n d in t h e a r c h it e c t u r e a n d I T g o v e r n a n c e s h o u ld a ls o b e e s t a b lis h e d . S e c u r it y
c o n s id e r a t io n s c a n c o n f lic t w it h f u n c t io n a l c o n s id e r a t io n s a n d a s e c u r it y a d v o c a t e is
r e q u ir e d t o e n s u r e t h a t a ll is s u e s a r e a d d r e s s e d a n d c o n f lic t s o f in t e r e s t d o n o t p r e v e n t
e x p lic it c o n s id e r a t io n o f d if f ic u lt is s u e s . E x e c u t iv e p o lic y d e c is io n s s h o u ld b e
e s t a b lis h e d a t t h is p o in t a b o u t w h a t s e c u r it y p o lic ie s c a n b e n e g o t ia b le a n d w h ic h
p o lic ie s m u s t b e e n f o r c e d f o r r e g u la t o r y o r s t a t u t o r y r e a s o n s .

I m p l e m e n t s e c u r i t y a r c h it e c t u r e t o o l s

T h e le v e l o f f o r m a lit y u s e d t o d e f in e a n d m a n a g e s e c u r it y a r c h it e c t u r e c o n t e n t w ill b e
h ig h ly d e p e n d e n t o n t h e s c a le , s o p h is t ic a t io n , a n d c u lt u r e o f t h e s e c u r it y a r c h it e c t u r e
f u n c t io n .

T h e a p p r o a c h t o s e c u r it y t o o ls m a y b e b a s e d o n r e la t iv e ly in f o r m a l u s a g e o f s t a n d a r d
o f f ic e p r o d u c t iv it y a p p lic a t io n s , o r m a y b e b a s e d o n a c u s t o m iz e d d e p lo y m e n t o f
s p e c ia l is t s e c u r it y a r c h it e c t u r e t o o ls a n d t e c h n iq u e s .

S e c u rity In p u ts

 W r it t e n s e c u r it y p o lic y
 R e le v a n t s t a t u t e s
 L is t o f a p p lic a b le ju r is d ic t io n s

S e c u rity O u tp u ts

 L is t o f a p p lic a b le r e g u la t io n s
 L is t o f a p p lic a b le s e c u r it y p o lic i e s
 S e c u r it y t e a m r o s t e r
 L is t o f s e c u r it y a s s u m p t io n s a n d b o u n d a r y c o n d it io n s

P h a s e A : A rc h ite c tu re V is io n

S e c u r it y c o n s id e r a t io n s h a v e a n im p a c t o n P h a s e s A t o H o f t h e T O G A F A D M . T h e
f o llo w in g s e c u r it y s p e c if ic s a p p r o p r ia t e t o t h e s e c u r it y a r c h it e c t u r e m u s t b e a d d r e s s e d
w it h in e a c h p h a s e in a d d it io n t o t h e g e n e r ic p h a s e a c t iv it ie s .

T h e s t e p s o f t h e A r c h it e c t u r e V is io n p h a s e a r e a p p lic a b le t o e n s u r in g t h a t s e c u r it y
r e q u ir e m e n t s a r e a d d r e s s e d in s u b s e q u e n t p h a s e s o f t h e A D M . S e c u r it y c o n s id e r a t io n s
w il l h a v e a n e f f e c t o n t h e e n t e r p r is e s u c h t h a t a ll e n t e r p r is e a r c h it e c t u r e d e v e lo p m e n t
n e e d s t o b e in f o r m e d a n d u t iliz e t h e s e c u r it y p o lic y , c o n s tr a in t s , g o v e r n a n c e , a r t if a c t s ,
a n d b u ild in g b lo c k s .

A f t e r e s t a b lis h in g a n y e n t e r p r is e a r c h it e c t u r e p r o je c t , t h e f o llo w in g s p e c if ic s e c u r it y -
r e la t e d a c t iv it ie s n e e d t o b e u n d e r t a k e n .

J e n n if e r R o x a s -M a g b a n la c , M I T
I n f o r m a t i o n A s s u r a n c e a n d S e c u r i t y 1 P a g e | 6

D e f in it io n o f r e le v a n t s t a k e h o ld e r s a n d d is c o v e r y o f t h e ir c o n c e r n s a n d o b je c t iv e s w ill
r e q u ir e d e v e lo p m e n t o f a h ig h - le v e l s c e n a r io . K e y b u s in e s s r e q u ir e m e n t s w ill a ls o b e
e s t a b lis h e d t h r o u g h t h is e a r ly s c e n a r io w o r k . T h e T O G A F A D M b u s in e s s s c e n a r io
p r o c e s s m a y b e u s e f u l h e r e a n d a t la t e r s t a g e s .

O b t a i n m a n a g e m e n t s u p p o r t f o r s e c u r it y m e a s u r e s

I n s im ila r f a s h io n t o o b t a in in g m a n a g e m e n t r e c o g n it io n a n d e n d o r s e m e n t f o r t h e o v e r a ll
a r c h it e c t u r e p r o je c t , s o t o o e n d o r s e m e n t o f t h e s e c u r it y - r e la t e d a s p e c t s o f t h e
a r c h it e c t u r e d e v e lo p m e n t e ff o r t s h o u ld b e o b t a in e d . R e c o g n it io n t h a t t h e p r o je c t m ig h t
h a v e d e v e lo p m e n t a n d in f r a s t r u c t u r e im p a c t t h a t a r e n o t r e a d ily v is ib le b y lo o k in g s o le ly
a t t h e s y s t e m s in q u e s t io n s h o u ld b e m a d e c le a r . T h o r o u g h c o n s id e r a t io n a n d m it ig a t io n
o f is s u e s r e la t e d t o r is k a n d s e c u r it y m a y b e p e r c e iv e d a s a w a s t e o f r e s o u r c e s a n d
t im e ; t h e le v e l o f m a n a g e m e n t s u p p o r t m u s t b e u n d e r s t o o d a n d c o m m u n ic a t e d
th ro u g h o u t th e te a m .

D e f i n e n e c e s s a r y s e c u r i t y - r e l a t e d m a n a g e m e n t s i g n - o f f m il e s t o n e s o f t h i s
a rc h ite c tu re d e v e lo p m e n t c y c le

T h e t r a c e a b ilit y o f s e c u r it y - r e la t e d a r c h it e c t u r e d e c is io n s s h o u ld b e d o c u m e n t e d a n d t h e
a p p r o p r ia t e e x e c u t iv e s a n d lin e m a n a g e m e n t w h o n e e d t o b e in f o r m e d o f s e c u r it y -
r e la t e d a s p e c t s o f t h e p r o je c t n e e d t o b e id e n t if ie d a n d t h e fr e q u e n c y o f r e p o r t in g s h o u ld
b e e s t a b lis h e d . I t s h o u ld b e r e c o g n iz e d t h a t t h e t e n s io n b e t w e e n d e liv e r y o f n e w
b u s in e s s f u n c t io n a n d e n f o r c e m e n t o f s e c u r it y p o lic ie s d o e s e x is t , a n d t h a t a p r o c e s s f o r
r e s o lv in g s u c h d is p u t e s t h a t a r is e s h o u ld b e e s t a b lis h e d e a r ly in t h e p r o je c t . S u c h
t e n s io n s o f t e n h a v e t h e r e s u lt o f p u tt in g t h e s e c u r it y a r c h it e c t s e e m in g ly " in t h e w a y o f
c o m p le t in g t h e p r o je c t " . I t n e e d s t o b e u n d e r s t o o d b y m a n a g e m e n t a n d t h e o t h e r
a r c h it e c t s in v o lv e d t h a t t h e r o le o f t h e s e c u r it y a r c h it e c t is t o s a f e g u a r d t h e a s s e t s o f t h e
e n t e r p r is e .

D e te rm in e a n d d o c u m e n t a p p lic a b le d is a s te r re c o v e ry o r b u s in e s s c o n tin u ity

p la n s /re q u ire m e n ts

A n y e x is t in g d is a s t e r r e c o v e r y a n d b u s in e s s c o n t in u it y p la n s m u s t b e u n d e r s t o o d a n d
t h e ir r e la t io n s h ip w it h t h e p la n n e d s y s t e m d e f in e d a n d d o c u m e n t e d .

Id e n tify a n d d o c u m e n t th e a n tic ip a te d p h y s ic a l/b u s in e s s /re g u la to ry

e n v i r o n m e n t ( s ) i n w h i c h t h e s y s t e m ( s ) w i ll b e d e p l o y e d

A ll a r c h it e c t u r e d e c is io n s m u s t b e m a d e w it h in t h e c o n t e x t o f t h e e n v ir o n m e n t s w it h in
w h ic h t h e s y s t e m w ill b e p la c e d a n d o p e r a t e . P h y s ic a l e n v ir o n m e n t s t h a t s h o u ld b e
d o c u m e n t e d m a y in c lu d e b a t t le f ie ld e n v ir o n m e n t s , c o m m e r c ia l e n v ir o n m e n t s , o u t d o o r
e n v ir o n m e n t s , m o b ile e n v ir o n m e n t s , a n d t h e lik e . I n a s im ila r f a s h io n , t h e b u s in e s s
e n v ir o n m e n t m u s t b e d e f in e d . P o t e n t ia l b u s in e s s e n v ir o n m e n t s m a y in c lu d e d if f e r e n t
a s s u m p t io n s r e g a r d in g u s e r s a n d in t e r f a c e s , a n d t h o s e u s e r s o r in t e r f a c e s m a y c a r r y
t h e o n u s o f r e g u la t o r y e n v ir o n m e n t s in w h ic h t h e s y s t e m m u s t o p e r a t e ( u s e r s u n d e r t h e
a g e o f t h ir t e e n in t h e U S , f o r e x a m p le ) .

J e n n if e r R o x a s -M a g b a n la c , M I T
I n f o r m a t i o n A s s u r a n c e a n d S e c u r i t y 1 P a g e | 7

D e te r m in e a n d d o c u m e n t th e c ritic a lity o f th e s y s te m : s a fe ty - c ritic a l/m is s io n -

c r i t i c a l / n o n - c r it i c a l
S a f e t y - c r it ic a l s y s t e m s p la c e liv e s in d a n g e r in c a s e o f f a ilu r e o r m a lf u n c t io n .
M is s io n - c r it ic a l s y s t e m s p la c e m o n e y , m a r k e t s h a r e , o r c a p it a l a t r is k in c a s e o f f a ilu r e .
N o n - c r it ic a l s y s t e m s h a v e lit t le o r n o c o n s e q u e n c e in c a s e o f f a ilu r e .

S e c u rity In p u ts

 L is t o f a p p lic a b le s e c u r it y p o lic i e s
 L is t o f a p p lic a b le ju r is d ic t io n s
 C o m p le t e d is a s t e r r e c o v e r y a n d b u s in e s s c o n t in u it y p la n s

S e c u rity O u tp u ts

 P h y s ic a l s e c u r it y e n v ir o n m e n t s t a t e m e n t
 B u s in e s s s e c u r it y e n v ir o n m e n t s t a t e m e n t
 R e g u la t o r y e n v ir o n m e n t s t a t e m e n t
 S e c u r it y p o lic y c o v e r le t t e r s ig n e d b y C E O o r d e le g a t e
 L is t o f a r c h it e c t u r e d e v e lo p m e n t c h e c k p o in t s f o r s e c u r it y s ig n - o f f
 L is t o f a p p lic a b le d is a s t e r r e c o v e r y a n d b u s in e s s c o n t in u it y p la n s
 S y s t e m s c r it ic a lit y s t a t e m e n t

P h a s e B : B u s in e s s A rc h ite c tu re

D e t e r m i n e w h o a r e t h e l e g i t im a t e a c t o r s w h o w i ll i n t e r a c t w it h t h e
p ro d u c t/s e rv ic e /p ro c e s s

D e v e lo p m e n t o f t h e b u s in e s s s c e n a r io s a n d s u b s e q u e n t h ig h - le v e l u s e - c a s e s o f t h e
p r o je c t c o n c e r n e d w ill b r in g t o a t t e n t io n t h e p e o p le a c t o r s a n d s y s t e m a c t o r s in v o lv e d .
M a n y s u b s e q u e n t d e c is io n s r e g a r d in g a u t h o r iz a t io n w i ll r e ly u p o n a s t r o n g
u n d e r s t a n d in g o f t h e in t e n d e d u s e r s , a d m in is t r a t o r s , a n d o p e r a t o r s o f t h e s y s t e m , in
a d d it io n t o t h e ir e x p e c t e d c a p a b ilit ie s a n d c h a r a c t e r is t ic s . It m u s t b e b o r n e in m in d t h a t
u s e r s m a y n o t b e h u m a n s ; s o ft w a r e a p p lic a t io n s m a y b e le g it im a t e u s e r s . T h o s e
t e n d in g t o a d m in is t r a t iv e n e e d s , s u c h a s b a c k u p o p e r a t o r s , m u s t a ls o b e id e n t if ie d , a s
m u s t u s e r s o u t s id e b o u n d a r ie s o f tr u s t, s u c h a s I n t e r n e t - b a s e d c u s t o m e r s .

A s s e s s a n d b a s e l i n e c u r r e n t s e c u r i t y - s p e c i fi c b u s i n e s s p r o c e s s e s ( e n h a n c e m e n t
o f e x is tin g o b je ctiv e )

T h e b u s in e s s p r o c e s s r e g a r d in g h o w a c t o r s a r e v e t t e d a s p r o p e r u s e r s o f t h e s y s t e m
s h o u ld b e d o c u m e n t e d . C o n s id e r a t io n s h o u ld a ls o b e m a d e f o r a c t o r s fr o m o u t s id e t h e
o r g a n iz a t io n w h o a r e p r o p e r u s e r s o f t h e s y s t e m . T h e o u t s id e e n t it ie s w ill b e d e t e r m in e d
f r o m t h e h ig h - le v e l s c e n a r io s d e v e lo p e d a s p a r t o f P h a s e A .

J e n n if e r R o x a s -M a g b a n la c , M I T
I n f o r m a t i o n A s s u r a n c e a n d S e c u r i t y 1 P a g e | 8

D e t e r m i n e w h o m / h o w m u c h it i s a c c e p t a b l e t o i n c o n v e n i e n c e i n u t il i z i n g s e c u r i t y
m easu res

S e c u r it y m e a s u r e s , w h ile im p o r t a n t , c a n im p o s e b u r d e n o n u s e r s a n d a d m in is t r a t iv e
p e r s o n n e l. S o m e w ill r e s p o n d t o t h a t b u r d e n b y f in d in g w a y s t o c ir c u m v e n t t h e
m e a s u r e s . E x a m p le s in c lu d e a d m in is t r a t o r s f in d in g w a y s t o c r e a t e " b a c k d o o r s " o r
c u s t o m e r s c h o o s in g a c o m p e t it o r t o a v o id t h e p e r c e iv e d b u r d e n o f t h e in f r a s t r u c t u r e .
T h e t r a d e - o ff s c a n r e q u ir e b a la n c in g s e c u r it y a d v a n t a g e s a g a in s t b u s in e s s a d v a n t a g e s
a n d d e m a n d in f o r m e d ju d ic io u s c h o ic e .

Id e n tify a n d d o c u m e n t in te rc o n n e c tin g s y s te m s b e y o n d p ro je c t c o n tro l

E v e r y c y b e r n e t ic o r b u s in e s s s y s t e m m u s t r e ly u p o n e x is t in g s y s t e m s b e y o n d t h e
c o n t r o l o f t h e p r o je c t . T h e s e s y s t e m s p o s s e s s a d v a n t a g e s a n d d is a d v a n t a g e s , r is k s a n d
b e n e f it s . E x a m p le s in c lu d e t h e D o m a in N a m e S y s t e m ( D N S ) t h a t r e s o lv e s c o m p u t e r
a n d s e r v ic e n a m e s t o I n t e r n e t a d d r e s s e s , o r p a p e r c u r r e n c y is s u e d b y t h e lo c a l
t r e a s u r y . T h e a d d r e s s r e t u r n e d b y t h e h o s t o r s e r v ic e D N S m a y n o t a lw a y s b e
t r u s t w o r t h y ; p a p e r c u r r e n c y m a y n o t a lw a y s b e g e n u in e , a n d r e c o u r s e w ill v a r y in
e f f ic a c y b e t w e e n ju r is d ic t io n s . T h e s e in t e r f a c e s m u s t b e u n d e r s t o o d a n d d o c u m e n t e d .

D e t e r m i n e t h e a s s e t s a t r i s k if s o m e t h i n g g o e s w r o n g - " W h a t a r e w e t r y i n g t o
p ro te c t? "

A s s e t s a r e n o t a lw a y s t a n g ib le a n d a r e n o t a lw a y s e a s y t o q u a n t if y . E x a m p le s in c lu d e :
lo s s o f lif e , lo s s o f c u s t o m e r g o o d w ill, lo s s o f a A A A b o n d r a t in g , lo s s o f m a r k e t s h a r e .

D e t e r m i n e t h e c o s t ( b o t h q u a l it a t i v e a n d q u a n t i t a t i v e ) o f a s s e t l o s s /i m p a c t i n
fa ilu re c a s e s

I t m u s t b e r e m e m b e r e d t h a t t h o s e a s s e t s m o s t c h a lle n g in g t o q u a n t if y c a n b e t h e m o s t
v a lu a b le a n d m u s t n o t b e n e g le c t e d . E v e n q u a lit a t iv e e s t im a t e s w ill p r o v e v a lu a b le in
a s s e s s in g c o m p a r a t iv e r is k s .

Id e n tify a n d d o c u m e n t th e o w n e rs h ip o f a s s e ts

A s s e t s m a y b e o w n e d b y o u t s id e e n t it ie s , o r b y in s id e e n t it ie s . I n s id e e n t it ie s m a y b e
o w n e d b y in d iv id u a ls o r b y o r g a n iz a t io n s . D e t e r m in e :

 W h e r e t r u s t is a s s u m e d
 H o w it is e s t a b lis h e d
 H o w it is c o m m u n ic a t e d

A lw a y s t r a c e it t o t h e r e a l w o r ld ; i. e . :

 A s s e s s m e n t ( c r e d it s e a r c h e s , p e r s o n a l v o u c h in g )
 L ia b i lit y ( m o n e t a r y d a m a g e s , ja il t e r m s , s a n c t io n s )

J e n n if e r R o x a s -M a g b a n la c , M I T
I n f o r m a t i o n A s s u r a n c e a n d S e c u r i t y 1 P a g e | 9

A ll s e c u r it y d e c is io n s r e ly u p o n t r u s t t h a t h a s b e e n e s t a b lis h e d in s o m e f a s h io n . N o tr u s t
a s s u m p t io n s h a v e a n y v a lu e if t h e y c a n n o t b e r o o t e d in r e a l - w o r ld a s s e s s m e n t a n d
lia b ilit y . I n m o s t b u s in e s s e n v ir o n m e n t s , t r u s t is e s t a b lis h e d t h r o u g h c o n t r a c t s t h a t
d e f in e lia b ilit y w h e r e t h e t r u s t is b r e a c h e d . T h e o n u s f o r a s s e s s in g tr u s t is t h e
r e s p o n s ib i lit y o f t h o s e c h o o s in g t o e n t e r in t o t h e c o n tr a c t s a n d t h e ir le g a l c o u n s e l. I t is
im p o r t a n t t o n o t e t h a t t e c h n o lo g y ( e . g ., d ig it a l c e r t if ic a t e s , S A M L , e t c . ) c a n n o t c r e a t e
t r u s t, b u t c a n o n ly c o n v e y in t h e e le c t r o n ic w o r ld t h e t r u s t t h a t a lr e a d y e x is t s in t h e r e a l
w o r ld t h r o u g h b u s in e s s r e la t io n s h ip s , le g a l a g r e e m e n t s , a n d s e c u r it y p o lic y
c o n s is t e n c ie s .

D e te rm in e a n d d o c u m e n t a p p ro p ria te s e c u rity fo re n s ic p ro c e s s e s

T o b e a b le t o e n f o r c e s e c u r it y p o lic ie s , b r e a c h e s o f s e c u r it y n e e d t o b e p r o p e r ly
c a p t u r e d s o t h a t p r o b le m d e t e r m in a t io n a n d p o s s ib le p o lic y o r le g a l a c t io n c a n b e t a k e n
a g a in s t t h e e n t it y c a u s in g t h e b r e a c h . F o r e n s ic p r a c t ic e s s u it a b le t o p r o v id e e v id e n c e
w h e r e n e c e s s a r y n e e d t o b e e s t a b lis h e d a n d d o c u m e n t e d . S e c u r it y p e r s o n n e l s h o u ld
b e t r a in e d t o f o llo w t h e f o r e n s ic p r o c e d u r e s a n d t r a in in g m a t e r ia l r e g a r d in g t h e n e e d t o
c o lle c t e v id e n c e s h o u ld b e c o n s id e r e d f o r t h e s t a n d a r d s e c u r it y e d u c a t io n g iv e n t o
e m p lo y e e s .

I d e n t i f y t h e c r it i c a li t y o f t h e a v a i l a b il i t y a n d c o r r e c t o p e r a ti o n o f t h e o v e r a l l
s e rv ic e

T h e r is k s a s s o c ia t e d w it h lo s s o f a v a ila b il it y m a y h a v e a lr e a d y b e e n a d e q u a t e ly
c o n s id e r e d in t h e f o r e g o in g m is s io n - c r it ic a l/ s a f e t y - c r it ic a l a s s e s s m e n t .

D e te rm in e a n d d o c u m e n t h o w m u c h s e c u r it y ( c o s t ) i s j u s ti f i e d b y t h e t h r e a t s a n d
th e v a lu e o f th e a s s e ts a t ris k

A r is k a n a ly s is ( a n u n d e r s t a n d in g o f t h e v a lu e o f a s s e t s a t r is k a n d t h e lik e lih o o d o f
p o t e n t ia l t h r e a t s ) p r o v id e s a n im p o r t a n t g u id e lin e f o r in v e s t m e n t s in m it ig a t io n s tr a t e g ie s
f o r t h e id e n t if ie d t h r e a t s .

R e a s s e s s a n d c o n firm A rc h ite c tu re V is io n d e c isio n s

B u s in e s s a n a ly s is in v o lv e s a n u m b e r o f r ig o r o u s t h o u g h t e x e r c is e s a n d m a y c a ll in t o
q u e s t io n t h e in it ia l a s s u m p t io n s id e n t if ie d i n t h e A r c h it e c t u r e V is io n .

A s s e s s a l i g n m e n t o r c o n f li c t o f i d e n ti f i e d s e c u r i t y p o li c i e s w i t h b u s i n e s s g o a l s

T h e s e c u r it y p o lic ie s id e n t if i e d in t h e P r e lim in a r y P h a s e m a y h a v e p r o v is io n s t h a t a r e
d if f ic u lt o r im p o s s ib le t o r e c o n c ile w it h t h e b u s in e s s g o a ls in lig h t o f t h e id e n t if ie d r is k s .
P o s s ib l e r e s p o n s e s in c lu d e a lt e r a t io n o f a s p e c t s o f t h e b u s in e s s e n v ir o n m e n t ,
m o d if ic a t io n o f t h e in t e n d e d u s e r p o p u la t io n , o r t e c h n ic a l m it ig a t io n o f r is k s ( a d d r e s s e d
in P h a s e C ) .

J e n n if e r R o x a s -M a g b a n la c , M I T
I n f o r m a t i o n A s s u r a n c e a n d S e c u r i t y 1 P a g e | 10

D e te rm in e "w h a t c a n g o w ro n g ? "

P e rfo rm a t h r e a t a n a ly s is t h a t id e n t if ie s t h e h ig h - le v e l t h r e a t s b e a r in g u p o n t h e s y s t e m
a n d t h e ir lik e lih o o d .

S e c u rity In p u ts

 I n it ia l b u s in e s s a n d r e g u la t o r y s e c u r it y e n v ir o n m e n t s t a t e m e n t s
 L is t o f a p p lic a b le d is a s t e r r e c o v e r y a n d b u s in e s s c o n t in u it y p la n s
 L is t o f a p p lic a b le s e c u r it y p o lic i e s a n d r e g u la t io n s

S e c u rity O u tp u ts

 L is t o f f o r e n s ic p r o c e s s e s
 L is t o f n e w d is a s t e r r e c o v e r y a n d b u s in e s s c o n t in u it y r e q u ir e m e n t s
 V a lid a t e d b u s in e s s a n d r e g u la t o r y e n v ir o n m e n t s t a t e m e n t s
 L is t o f v a lid a t e d s e c u r it y p o lic ie s a n d r e g u la t io n s
 L is t o f t a r g e t s e c u r it y p r o c e s s e s
 L is t o f b a s e lin e s e c u r it y p r o c e s s e s
 L is t o f s e c u r it y a c t o r s
 L is t o f in t e r c o n n e c t in g s y s t e m s
 S t a t e m e n t o f s e c u r it y t o le r a n c e f o r e a c h c la s s o f s e c u r it y a c t o r
 A s s e t lis t w it h v a lu e s a n d o w n e r s
 L is t o f t r u s t p a t h s
 A v a ila b il it y im p a c t s t a t e m e n t ( s )
 T h r e a t a n a ly s is m a t r ix

P h a s e C : In fo rm a tio n S y s te m s A rc h ite c tu re s

A s s e s s a n d b a s e l i n e c u r r e n t s e c u r i t y - s p e c i fi c a r c h it e c t u r e e l e m e n t s
(e n h a n c e m e n t o f e x is tin g o b je ctiv e )

A f u ll in v e n t o r y o f a r c h it e c t u r e e le m e n t s t h a t im p le m e n t s e c u r it y s e r v ic e s m u s t b e
c o m p ile d in p r e p a r a t io n f o r a g a p a n a ly s is .

Id e n tify s a fe d e fa u lt a c tio n s a n d failu re s ta te s

E v e r y s t a t e c h a n g e in a n y s y s t e m is p r e c ip it a t e d b y s o m e t r ig g e r . C o m m o n ly , a n
e n u m e r a t e d s e t o f e x p e c t e d v a lu e s o f t h a t t r ig g e r in it ia t e s a c h a n g e in s t a t e . H o w e v e r ,
t h e r e a r e lik e ly o t h e r p o t e n t ia l t r ig g e r in p u t s t h a t m u s t b e a c c o m m o d a t e d in n o n -
n o r m a t iv e c a s e s . A d d it io n a lly , s y s t e m f a ilu r e m a y t a k e p la c e a t a n y p o in t in t im e . S a f e
d e f a u lt a c t io n s a n d f a ilu r e m o d e s m u s t b e d e f in e d f o r t h e s y s t e m in f o r m e d b y t h e
c u r r e n t s t a t e , b u s in e s s e n v ir o n m e n t , a p p lic a b le p o l ic ie s , a n d r e g u la t o r y o b lig a t io n s .
S a f e d e f a u lt m o d e s f o r a n a u t o m o b ile a t z e r o v e lo c it y m a y n o lo n g e r b e a p p lic a b le a t
s p e e d . S a f e f a ilu r e s t a t e s f o r m e d ic a l d e v ic e s w il l d if f e r m a r k e d ly f r o m s a f e f a ilu r e
s t a t e s f o r c o n s u m e r e le c t r o n ic s .

J e n n if e r R o x a s -M a g b a n la c , M I T
I n f o r m a t i o n A s s u r a n c e a n d S e c u r i t y 1 P a g e | 11

Id e n tify a n d e v a lu a te a p p lic a b le re c o g n iz e d g u id e lin e s a n d s ta n d a rd s

S t a n d a r d s a r e ju s t ly c r e d it e d f o r r e d u c in g c o s t , e n h a n c in g in t e r o p e r a b ilit y , a n d
le v e r a g in g in n o v a t io n . F r o m a s e c u r it y s t a n d p o in t , s t a n d a r d p r o t o c o ls , s t a n d a r d o b je c t
lib r a r ie s , a n d s t a n d a r d im p le m e n t a t io n s t h a t h a v e b e e n s c r u t in iz e d b y e x p e r t s in t h e ir
f ie ld s h e lp t o e n s u r e t h a t e r r o r s d o n o t f in d t h e ir w a y in t o im p le m e n t a t io n s . F r o m a
s e c u r it y s t a n d p o in t , e r r o r s a r e s e c u r it y v u ln e r a b ilit i e s .

R e v is it a s s u m p tio n s re g a rd in g in te rc o n n e c tin g s y s te m s b e y o n d p ro je c t c o n tro l

I n lig h t o f t h e r is k a s s e s s m e n t s p e r f o r m e d , a s s u m p t io n s r e g a r d in g in t e r c o n n e c t in g
s y s t e m s m a y r e q u ir e m o d if ic a t io n .

D e t e r m i n e a n d d o c u m e n t t h e s e n s i ti v i t y o r c l a s s if i c a ti o n l e v e l o f i n f o r m a ti o n
s to re d /c re a te d /u s e d

I n f o r m a t io n s t o r e d , c r e a t e d , o r m a n ip u la t e d b y t h e s y s t e m m a y o r m a y n o t b e s u b je c t t o
a n o f f ic ia l c la s s if ic a t io n t h a t d e f in e s it s s e n s it iv it y a n d t h e o b lig a t io n s t o w h ic h t h e
s y s te m a n d it s o w n e r s a r e s u b je c t . T h e a b s e n c e o f a n y o f f ic ia l c la s s if ic a t io n d o e s n o t
n e c e s s a r ily a b s o lv e t h e o n u s o n m a in t a in in g t h e c o n f id e n t ia l it y o f d a t a . C o n s id e r a t io n
m u s t b e m a d e f o r d if f e r e n t le g is la t iv e b u r d e n t h a t m a y h o ld ju r is d ic t io n o v e r t h e s y s t e m
a n d th e d a ta sto re d .

Id e n tify a n d d o c u m e n t c u s to d y o f a s s e ts

A ll a s s e t s o f v a lu e a r e k e p t a n d m a in t a in e d o n b e h a lf o f t h e o w n e r . T h e s p e c if ic p e r s o n s
o r o r g a n iz a t io n s c h a r g e d w it h t h is r e s p o n s ib ilit y m u s t b e id e n t if ie d .

I d e n t i f y t h e c r it i c a li t y o f t h e a v a i l a b il i t y a n d c o r r e c t o p e r a ti o n o f e a c h f u n c ti o n

P r e s u m a b ly , in t h e e v e n t o f s y s t e m f a ilu r e o r lo s s o f f u n c t io n a lit y , s o m e v a lu e is lo s t t o
s t a k e h o ld e r s . T h e c o s t o f t h is o p p o r t u n it y lo s s s h o u ld b e q u a n t if ie d , if p o s s ib le , a n d
d o c u m e n te d .

D e te rm in e th e rela tio n s h ip o f th e s y s te m u n d e r d e s ig n w ith e x istin g b u s in e s s

d is a s te r/c o n tin u ity p la n s

E x is t in g b u s in e s s d is a s t e r / c o n t in u it y p la n s m a y a c c o m m o d a t e t h e s y s t e m under
c o n s id e r a t io n . I f n o t , s o m e a n a ly s is is c a lle d f o r t o d e t e r m in e t h e g a p a n d t h e c o s t if t h a t
g a p g o e s u n f ille d .

Id e n tify w h a t a s p e c ts o f th e s y s te m m u s t b e c o n f i g u r a b l e t o r e fl e c t c h a n g e s i n
p o lic y /b u s in e s s e n v iro n m e n t/a c c e s s c o n tro l

N o e n v ir o n m e n t is s t a t ic a n d s y s t e m s m u s t e v o lv e t o a c c o m m o d a t e c h a n g e . S y s t e m s
a r c h it e c t e d f o r r e a d y r e c o n f ig u r a t io n w ill b e t t e r r e f le c t t h a t c h a n g e a n d r e s u lt in lo w e r
c o s t o v e r t h e lif e o f t h e s y s t e m . S e c u r it y is e n h a n c e d w h e n s e c u r it y - r e la t e d c h a n g e s

J e n n if e r R o x a s -M a g b a n la c , M I T
I n f o r m a t i o n A s s u r a n c e a n d S e c u r i t y 1 P a g e | 12

c a n b e im p le m e n t e d in e x p e n s iv e ly a n d a r e , h e n c e , n o t s id e lin e d . S e c u r it y is a ls o
e n h a n c e d w h e n c h a n g e s r e q u ir e n o c h a n g e s t o c o d e ; c h a n g e s t o c o d e in tr o d u c e b u g s
a n d b u g s in t r o d u c e s e c u r it y v u ln e r a b ilit ie s .

I d e n t i f y l if e s p a n o f i n f o r m a t i o n u s e d a s d e fi n e d b y b u s i n e s s n e e d s a n d r e g u l a t o r y
re q u ire m e n ts

I n f o r m a t io n m a in t a in e d b e y o n d it s u s e f u l lif e s p a n r e p r e s e n t s w a s t e d r e s o u r c e s a n d ,
p o t e n t ia lly , b u s in e s s d e c is io n s b a s e d u p o n s u b o p t im a l d a t a . R e g u la t io n , h o w e v e r ,
s o m e t im e s m a n d a t e s t h e t im e t a b le f o r m a in t e n a n c e o f in f o r m a t io n a s a r c h iv a l d a t a .

D e t e r m i n e a p p r o a c h e s t o a d d r e s s i d e n t i fi e d r i s k s :

 M it ig a t e
 A ccept
 T ra n s fe r
 A v o id

T h e r e a r e s e v e r a l s t a n d a r d w a y s t o a d d r e s s id e n t if ie d a n d q u a n t if ie d r is k . T h e lis t a b o v e
is n o t in t e n d e d t o b e e x h a u s t iv e f o r a ll a p p r o a c h e s .

I d e n t i f y a c ti o n s / e v e n t s t h a t w a r r a n t l o g g i n g f o r l a t e r r e v i e w o r trig g e r in g fo r e n s ic
p ro cesses

A n o m a lo u s a c t io n s a n d s t a t e s w ill o u t n u m b e r p la n n e d a c t io n s a n d s t a t e s . T h e s e
t r a n s it io n s w ill w a r r a n t lo g g in g t o r e c o n s t r u c t c h a in s o f e v e n t s , f a c ilit a t e r o o t c a u s e
a n a ly s is , a n d , p o t e n t ia lly , e s t a b lis h e v id e n c e f o r c iv il o r c r im in a l a c t io n . I t m u s t b e b o r n e
in m in d t h a t lo g s m u s t b e r e g u la r ly r e v ie w e d t o b e in t r o d u c e d a s e v id e n c e in t o a c o u r t o f
la w in s o m e ju r is d ic t io n s .

I d e n t i f y a n d d o c u m e n t r e q u ir e m e n t s f o r r i g o r i n p r o v i n g a c c u r a c y o f l o g g e d
e v e n ts (n o n -re p u d ia tio n )

S in c e m a lic io u s t a m p e r in g o f s y s t e m s is c o m m o n ly a c c o m p a n ie d b y t a m p e r in g o f
lo g g e d d a t a t o t h w a r t in v e s t ig a t io n a n d a p p r e h e n s io n , t h e a b ilit y t o p r o t e c t a n d e s t a b lis h
t h e v e r a c it y o f lo g s t h r o u g h c r y p t o g r a p h ic m e t h o d s w ill r e m o v e u n c e r t a in t y fr o m
in v e s t ig a t io n s a n d b o ls t e r c a s e s in le g a l p r o c e e d in g s .

I d e n t i f y p o t e n ti a l/ l i k e l y a v e n u e s o f a tt a c k

T h in k in g lik e a n a d v e r s a r y w il l p r e p a r e t h e a r c h it e c t f o r c r e a t io n o f a r o b u s t s y s t e m t h a t
r e s is t s m a lic io u s t a m p e r in g a n d , p r o v id e n t ia lly , m a lf u n c t io n a r is in g f r o m r a n d o m e rr o r .

J e n n if e r R o x a s -M a g b a n la c , M I T
I n f o r m a t i o n A s s u r a n c e a n d S e c u r i t y 1 P a g e | 13

D e te rm in e "w h a t c a n g o w ro n g ? "

S e c u rity In p u ts

 T h r e a t a n a ly s is m a t r ix
 R is k a n a ly s is
 D o c u m e n t e d f o r e n s ic p r o c e s s e s
 V a lid a t e d b u s in e s s p o l ic ie s a n d r e g u la t io n s
 L is t o f in t e r c o n n e c t in g s y s t e m s
 N e w d is a s t e r r e c o v e r y a n d b u s in e s s c o n t in u it y r e q u ir e m e n t s

S e c u rity O u tp u ts

 E v e n t lo g - le v e l m a t r ix a n d r e q u ir e m e n t s
 R is k m a n a g e m e n t s t r a t e g y
 D a t a lif e c y c le d e f in it io n s
 L is t o f c o n f ig u r a b le s y s t e m e le m e n t s
 B a s e li n e lis t o f s e c u r it y - r e la t e d e le m e n t s o f t h e s y s t e m
 N e w o r a u g m e n t e d s e c u r it y - r e la t e d e le m e n t s o f t h e s y s t e m
 S e c u r it y u s e - c a s e m o d e ls :
o N o r m a t iv e m o d e ls
o N o n - n o r m a t iv e m o d e ls
 L is t o f a p p lic a b le s e c u r it y s t a n d a r d s :
o P r o t o c o ls
o O b je c t lib r a r ie s
o O t h e r s . ..
 V a lid a t e d in t e r c o n n e c t e d s y s t e m lis t
 I n f o r m a t io n c la s s if ic a t io n r e p o r t
 L is t o f a s s e t c u s t o d ia n s
 F u n c t io n c r it ic a lit y s t a t e m e n t
 R e v is e d d is a s t e r r e c o v e r y a n d b u s in e s s c o n t in u it y p la n s
 R e f in e d t h r e a t a n a ly s is m a t r ix

P h a s e D : T e c h n o lo g y A rc h ite c tu re

A s s e s s a n d b a s e l i n e c u r r e n t s e c u r i t y - s p e c i fi c t e c h n o l o g i e s ( e n h a n c e m e n t o f
e x is tin g o b je c tiv e)
R e v is it a s s u m p tio n s re g a rd in g in te rc o n n e c tin g s y s te m s b e y o n d p ro je c t c o n tro l
Id e n tify a n d e v a lu a te a p p lic a b le re c o g n iz e d g u id e lin e s a n d s ta n d a rd s
Id e n tify m e th o d s to re g u la te c o n s u m p tio n o f re s o u rc e s

E v e ry s y s te m w ill r e ly u p o n r e s o u r c e s t h a t m a y b e d e p le t e d in c a s e s t h a t m a y o r m a y
n o t b e a n t ic ip a t e d a t t h e p o in t o f s y s t e m d e s ig n . E x a m p le s in c lu d e n e t w o r k b a n d w id t h ,
b a t t e r y p o w e r , d is k s p a c e , a v a ila b le m e m o r y , a n d s o o n . A s r e s o u r c e s a r e u t iliz e d
a p p r o a c h in g d e p l e t io n , f u n c t io n a lit y m a y b e im p a ir e d o r m a y f a il a lt o g e t h e r . D e s ig n
s t e p s t h a t id e n t if y n o n - r e n e w a b le r e s o u r c e s , m e t h o d s t h a t c a n r e c o g n iz e r e s o u r c e
d e p le t io n , a n d m e a s u r e s t h a t c a n r e s p o n d t h r o u g h lim it in g t h e c a u s a t iv e f a c t o r s , o r

J e n n if e r R o x a s -M a g b a n la c , M I T
I n f o r m a t i o n A s s u r a n c e a n d S e c u r i t y 1 P a g e | 14

t h r o u g h lim it in g t h e e f f e c t s o f r e s o u r c e d e p le t io n t o n o n - c r it ic a l f u n c t io n a lit y , c a n
e n h a n c e t h e o v e r a ll r e lia b i lit y a n d a v a il a b i lit y o f t h e s y s t e m .

E n g i n e e r a m e t h o d b y w h i c h t h e e f fi c a c y o f s e c u r i t y m e a s u r e s w il l b e m e a s u r e d
a n d c o m m u n ic a te d o n a n o n g o in g b a s is

A s s y s t e m s a r e d e p lo y e d a n d o p e r a t e d in d y n a m ic e n v ir o n m e n t s , s e c u r it y m e a s u r e s
w il l p e r f o r m t o v a r y in g d e g r e e s o f e ff ic a c y a s u n e x p e c t e d t h r e a t s a r is e a n d a s e x p e c t e d
t h r e a t s c h a n g e in t h e e n v ir o n m e n t . A m e t h o d t h a t f a c ilit a t e s o n g o in g e v a lu a t io n o f t h e
v a lu e o f s e c u r it y m e a s u r e s w ill in f o r m o n g o in g c h a n g e s t o t h e s y s t e m in r e s p o n s e t o
c h a n g in g u s e r n e e d s , t h r e a t p a t t e r n s , a n d p r o b le m s f o u n d .

Id e n tify th e tru s t (cle a ra n c e ) le v e l o f:

 A ll u s e r s o f t h e s y s t e m
 A ll a d m in is t r a t o r s o f t h e s y s t e m
 A ll in t e r c o n n e c t in g s y s t e m s b e y o n d p r o je c t c o n t r o l

R e g u la t o r y r e q u ir e m e n t s , in f o r m a t io n c la s s if ic a t io n le v e ls , a n d b u s in e s s n e e d s o f t h e
a s s e t o w n e r s w ill a l l in f lu e n c e t h e r e q u ir e d le v e l o f t r u s t t h a t a ll in t e r a c t iv e e n t it ie s w ill b e
r e q u ir e d t o f u lf il t o q u a lif y f o r a c c e s s t o d a t a o r s e r v ic e s .

Id e n tify m in im a l p riv ile g e s r e q u ir e d fo r a n y e n tity to a c h ie v e a te c h n ic a l o r

b u s in e s s o b je c tiv e

G r a n t in g s w e e p in g c a p a b i lit ie s t o a n y u s e r , a p p lic a t io n , o r o t h e r e n t it y c a n s im p lif y

s u c c e s s f u l t r a n s a c t io n c o m p le t io n a t t h e c o s t o f c o m p lic a t in g o r p r e c lu d in g e f f e c t i v e
c o n t r o l a n d a u d it . M a n y r e g u la t o r y o b lig a t io n s a r e m o r e c h a lle n g in g t o d e m o n s t r a t e
c o m p lia n c e w h e r e p r iv i le g e s a r e s w e e p in g a n d c o n t r o ls a r e lo o s e .

I d e n t i f y m i ti g a t i n g s e c u r it y m e a s u r e s , w h e r e j u s t if i e d b y r i s k a s s e s s m e n t

T h is o b je c t iv e is w h e r e t h e c la s s ic s e c u r it y s e r v ic e s o f id e n t if ic a t io n , a u t h e n t ic a t io n ,
a u t h o r iz a t io n , d a t a c o n f id e n t ia lit y , d a t a in t e g r it y , n o n - r e p u d ia t io n , a s s u r a n c e , a n d a u d it
a r e b r o u g h t in t o p la y , a f t e r t h e ir a p p lic a b i lit y is d e t e r m in e d a n d t h e c o s t/ v a lu e o f
p r o t e c t io n h a s b e e n id e n t if ie d .

D e te rm in e "w h a t c a n g o w ro n g ? "

S e c u rity In p u ts

 L is t o f s e c u r it y - r e la t e d e le m e n t s o f t h e s y s t e m
 L is t o f in t e r c o n n e c t e d s y s t e m s
 L is t o f a p p lic a b le s e c u r it y s t a n d a r d s
 L is t o f s e c u r it y a c t o r s
 R is k m a n a g e m e n t s t r a t e g y
 V a lid a t e d s e c u r it y p o lic ie s

J e n n if e r R o x a s -M a g b a n la c , M I T
I n f o r m a t i o n A s s u r a n c e a n d S e c u r i t y 1 P a g e | 15

 V a lid a t e d r e g u la t o r y r e q u ir e m e n t s
 V a lid a t e d b u s in e s s p o l ic ie s r e la t e d t o t r u s t r e q u ir e m e n t s

S e c u rity O u tp u ts

 B a s e li n e lis t o f s e c u r it y t e c h n o lo g ie s
 V a lid a t e d in t e r c o n n e c t e d s y s t e m s lis t
 S e le c t e d s e c u r it y s t a n d a r d s lis t
 R e s o u r c e c o n s e r v a t io n p la n
 S e c u r it y m e t r ic s a n d m o n it o r in g p la n
 U s e r a u t h o r iz a t io n p o lic ie s
 R is k m a n a g e m e n t p la n
 U s e r t r u s t ( c le a r a n c e ) r e q u ir e m e n t s

P h a s e E : O p p o r t u n i t i e s & S o l u ti o n s

I d e n t i f y e x i s t i n g s e c u r it y s e r v i c e s a v a i l a b l e f o r r e - u s e

F ro m t h e B a s e lin e S e c u r it y A r c h it e c t u r e a n d t h e E n t e r p r is e C o n t in u u m , t h e r e w ill b e
e x is t in g s e c u r it y in f r a s t r u c t u r e a n d s e c u r it y b u ild in g b lo c k s t h a t c a n b e a p p lie d t o t h e
r e q u ir e m e n t s d e r iv e d f r o m t h is a r c h it e c t u r e d e v e lo p m e n t e n g a g e m e n t. F o r e x a m p le , if
t h e r e q u ir e m e n t e x is t s f o r a p p lic a t io n a c c e s s c o n t r o l e x t e r n a l t o a n a p p lic a t io n b e in g
d e v e lo p e d , a n d s u c h a s y s t e m a lr e a d y e x is t s , it c a n b e u s e d a g a in . S t a t u t o r y o r
r e g u la t o r y r e q u ir e m e n t s m a y c a ll f o r p h y s ic a l s e p a r a t io n o f d o m a in s w h ic h m a y
e lim in a t e t h e a b ilit y t o r e - u s e e x is t in g in f r a s tr u c t u r e . K n o w n p r o d u c t s , t o o ls , b u ild in g
b lo c k s , a n d p a t t e r n s c a n b e u s e d , t h o u g h n e w ly im p le m e n t e d .

E n g i n e e r m i t i g a ti o n m e a s u r e s a d d r e s s i n g i d e n t if i e d r i s k s

H a v in g d e t e r m in e d t h e r is k s a m e n a b le t o m it ig a t io n a n d e v a lu a t e d t h e a p p r o p r ia t e
in v e s t m e n t in t h a t m it ig a t io n a s it r e la t e s t o t h e a s s e t s a t r is k , t h o s e m it ig a t io n m e a s u r e s
m u s t b e d e s ig n e d , im p le m e n t e d , d e p lo y e d , a n d / o r o p e r a t e d .

E v a l u a t e t e s t e d a n d r e - u s a b l e s e c u r it y s o f tw a r e a n d s e c u r it y s y s t e m reso u rces

S in c e d e s ig n , c o d e , a n d c o n f ig u r a t io n e r r o r s a r e t h e r o o t s o f m a n y s e c u r it y
v u ln e r a b i lit ie s , t a k in g a d v a n t a g e o f a n y p r o b le m s o lu t io n s a lr e a d y e n g in e e r e d ,
r e v ie w e d , t e s t e d , a n d f ie ld - p r o v e n w ill r e d u c e s e c u r it y e x p o s u r e a n d e n h a n c e r e lia b i lit y .

Id e n tify n e w c o d e /re s o u rc e s /a s s e ts th a t a re a p p ro p ria te fo r re -u s e

P o p u la t e t h e A r c h it e c t u r e R e p o s it o r y w it h n e w s e c u r it y b u ild in g b lo c k s .

J e n n if e r R o x a s -M a g b a n la c , M I T
I n f o r m a t i o n A s s u r a n c e a n d S e c u r i t y 1 P a g e | 16

D e te rm in e "w h a t c a n g o w ro n g ? "

P h a s e F : M i g r a ti o n P l a n n i n g

A s s e s s th e im p a c t o f n ew s e c u rity m e a s u re s u p o n o th e r n e w c o m p o n e n ts o r
e x is tin g le v e ra g e d s y s te m s

I n a p h a s e d im p le m e n t a t io n t h e n e w s e c u r it y c o m p o n e n t s a r e u s u a lly p a r t o f t h e
in f r a s t r u c t u r e in w h ic h t h e n e w s y s t e m is im p le m e n t e d . T h e s e c u r it y in f r a s t r u c t u r e
n e e d s t o b e in a f ir s t o r e a r ly p h a s e t o p r o p e r ly s u p p o r t t h e p r o je c t .

I m p l e m e n t a s s u r a n c e m e t h o d s b y w h i c h t h e e f fi c a c y o f s e c u r it y m e a s u r e s w i ll b e
m e a s u re d a n d c o m m u n ic a te d o n a n o n g o in g b a s is

D u r in g t h e o p e r a t io n a l p h a s e s , m e c h a n is m s a r e u t iliz e d t o m o n it o r t h e p e r f o r m a n c e o f
m a n y a s p e c t s o f t h e s y s t e m . I t s s e c u r it y a n d a v a ila b il it y a r e n o e x c e p t io n .

I d e n t i f y c o r r e c t s e c u r e i n s t a l l a ti o n p a r a m e t e r s , i n i t i a l c o n d i ti o n s , a n d
c o n fig u ra tio n s

S e c u r it y o f a n y s y s t e m d e p e n d s n o t o n d e s ig n a n d im p le m e n t a t io n a lo n e , b u t a ls o u p o n
in s t a lla t io n a n d o p e r a t io n a l s t a t e . T h e s e c o n d it io n s m u s t b e d e f in e d a n d m o n it o r e d n o t
ju s t a t d e p lo y m e n t , b u t a ls o t h r o u g h o u t o p e r a t io n .

I m p l e m e n t d i s a s t e r r e c o v e r y a n d b u s i n e s s c o n t i n u it y p l a n s o r m o d i fi c a t i o n s
D e te rm in e "w h a t c a n g o w ro n g ? "

P h a s e G : Im p le m e n ta tio n G o v e rn a n c e

E s t a b l i s h a r c h i t e c t u r e a r t if a c t , d e s i g n , a n d c o d e r e v i e w s a n d d e f i n e a c c e p t a n c e
c r i t e r i a f o r t h e s u c c e s s f u l i m p l e m e n t a ti o n o f t h e fi n d i n g s

M a n y s e c u r it y v u ln e r a b ilit ie s o r ig in a t e a s d e s ig n o r c o d e e r r o r s a n d t h e s im p le s t a n d
le a s t e x p e n s iv e m e t h o d t o lo c a t e a n d f in d s u c h e r r o r s is g e n e r a lly a n e a r ly r e v ie w b y
e x p e r ie n c e d p e e r s in t h e c r a ft . L o c a t in g s u c h e r r o r s , o f c o u r s e , is t h e f ir s t s t e p a n d
im p le m e n t in g c o r r e c t io n s a t a n a p p r o p r ia t e p o in t in t h e d e v e lo p m e n t lif e c y c le is
n e c e s s a r y t o b e n e f it f r o m t h e in v e s t m e n t . F o llo w - o n in s p e c t io n s o r f o r m a liz e d
a c c e p t a n c e r e v ie w s m a y b e w a r r a n t e d in h ig h - a s s u r a n c e o r s a f e t y - c r it ic a l
e n v ir o n m e n t s .

Im p le m e n t m e th o d s a n d p ro c e d u re s to re v ie w e v id e n c e p ro d u c e d b y th e s y s te m
t h a t r e fl e c t s o p e r a t i o n a l s t a b il i t y a n d a d h e r e n c e t o s e c u r i t y p o li c i e s

W h ile p la n n in g a n d s p e c if ic a t i o n is n e c e s s a r y f o r a ll a s p e c t s o f a s u c c e s s f u l e n t e r p r is e ,
t h e y a r e in s u f f ic ie n t in t h e a b s e n c e o f t e s t in g a n d a u d it t o e n s u r e a d h e r e n c e t o t h a t
p la n n in g a n d s p e c if ic a t io n in b o t h d e p lo y m e n t a n d o p e r a t io n . A m o n g t h e m e t h o d s t o b e
e x e r c is e d a r e :

J e n n if e r R o x a s -M a g b a n la c , M I T
I n f o r m a t i o n A s s u r a n c e a n d S e c u r i t y 1 P a g e | 17

 R e v ie w s y s t e m c o n f ig u r a t io n s w it h s e c u r it y im p a c t w h ic h c a n b e m o d if ie d t o e n s u r e
c o n f ig u r a t io n c h a n g e s h a v e n o t c o m p r o m is e d s e c u r it y d e s ig n
 A u d it t h e d e s ig n , d e p lo y m e n t , a n d o p e r a t io n s a g a in s t s e c u r it y p o lic ie s
 A u d it t h e d e s ig n , d e p lo y m e n t , a n d o p e r a t io n s a g a in s t b u s in e s s o b je c t iv e s
 R u n t e s t c a s e s a g a in s t s y s t e m s t o e n s u r e t h e s e c u r it y s y s t e m s h a v e b e e n
im p le m e n t e d a s d e s ig n e d
 R u n d is a s t e r r e c o v e r y t e s t s
 R u n b u s in e s s c o n t in u it y t e s t s

I m p l e m e n t n e c e s s a r y tr a i n i n g t o e n s u r e c o r r e c t d e p l o y m e n t, c o n f i g u r a ti o n , a n d
o p e r a t i o n s o f s e c u r i t y -r e l e v a n t s u b s y s t e m s a n d c o m p o n e n t s ; e n s u r e a w a r e n e s s
t r a i n i n g o f a l l u s e r s a n d n o n - p r i v il e g e d o p e r a t o r s o f t h e s y s t e m a n d / o r it s
c o m p o n e n ts

T r a in in g is n o t n e c e s s a r y s im p ly t o p r e c lu d e v u ln e r a b ilit i e s in t r o d u c e d t h r o u g h
o p e r a t io n s a n d c o n f ig u r a t io n e r r o r , t h o u g h t h is is c r it ic a l t o c o r r e c t o n g o in g s e c u r e
p e r f o r m a n c e . I n m a n y ju r is d ic t io n s , p r o p e r t r a in in g m u s t b e p e r f o r m e d a n d d o c u m e n t e d
t o d e m o n s t r a t e d u e d ilig e n c e a n d s u b s t a n t ia t e c o r r e c t iv e a c t io n s o r s a n c t io n s in c a s e s
w h e r e e x p lo it s o r e r r o r c o m p r o m is e b u s in e s s o b je c t iv e s o r t o a b s o lv e c o n t r ib u t o r y
r e s p o n s ib i lit y f o r e v e n t s t h a t b r in g a b o u t h a r m o r in ju r y .

D e te rm in e "w h a t h a s g o n e w ro n g ? "

T h e v e r y p u r p o s e o f g o v e r n a n c e is t h e e s t a b lis h m e n t o f a f e e d b a c k lo o p t h a t
d e t e r m in e s t h e e f f ic a c y o f p la n e x e c u t io n a n d im p le m e n t s c o r r e c t io n s , w h e r e r e q u ir e d . I t
m u s t b e b o r n e in m in d t h a t t h e im p e r f e c t io n s in p la n s e x e c u t e d a r e r o o t e d b o t h in
h u m a n p r o c e s s e s a n d c y b e r n e t ic p r o c e s s e s .

P h a s e H : A rc h ite c tu re C h a n g e M a n a g e m e n t

A s s t a t e d in P a r t II , 1 7 . A D M A r c h it e c t u r e R e q u ir e m e n t s M a n a g e m e n t ( R e q u ir e m e n t s
M a n a g e m e n t ) , c h a n g e is d r iv e n b y n e w r e q u ir e m e n t s . C h a n g e s in s e c u r it y
r e q u ir e m e n t s a r e o f t e n m o r e d is r u p t iv e t h a n a s im p lif ic a t io n o r in c r e m e n t a l c h a n g e .
C h a n g e s in s e c u r it y p o lic y c a n b e d r iv e n b y s t a t u t e , r e g u la t io n , o r s o m e t h in g t h a t h a s
g o n e w ro n g .

C h a n g e s in s e c u r it y s t a n d a r d s a r e u s u a lly le s s d is r u p t iv e s in c e t h e t r a d e - o f f f o r t h e ir
a d o p t io n is b a s e d o n t h e v a lu e o f t h e c h a n g e . H o w e v e r , s t a n d a r d s c h a n g e s c a n a ls o b e
m a n d a t e d . S im ila r a p p r o a c h e s t o t h e s e c h a n g e s a s m e n t io n e d a b o v e a r e g o o d r u le s o f
t h u m b f o r s e c u r it y a s w e ll. H o w e v e r , s e c u r it y c h a n g e s a r e o f t e n in fr a s t r u c t u r e c h a n g e s ,
a n d c a n h a v e a g r e a t e r im p a c t . A s e e m in g ly s m a ll s e c u r it y r e q u ir e m e n t c h a n g e c a n
e a s ily t r ig g e r a n e w a r c h it e c t u r e d e v e lo p m e n t c y c le .

D e te rm in e "w h a t h a s g o n e w ro n g ? "

G o o d s e c u r it y f o r e n s ic s p r a c t ic e s in c o n ju n c t io n w it h a w r it t e n p u b lis h e d s e c u r it y p o lic y
m a k e d e t e r m in a t io n o f w h a t h a s g o n e w r o n g p o s s ib le . F u r t h e r , t h e y m a k e e n f o r c e m e n t

J e n n if e r R o x a s -M a g b a n la c , M I T
I n f o r m a t i o n A s s u r a n c e a n d S e c u r i t y 1 P a g e | 18

p o s s ib le . A s t h e g u id a n c e a b o v e s u g g e s t s , m in o r c h a n g e s c a n b e m a d e in t h e c o n t e x t
o f c h a n g e m a n a g e m e n t a n d m a jo r c h a n g e s w ill r e q u ir e a n e w a r c h it e c t u r e e ff o r t.

In c o rp o ra te s e c u rity -rele v a n t c h a n g e s to th e e n v iro n m e n t in to th e re q u ire m e n ts

f o r f u t u r e e n h a n c e m e n t ( e n h a n c e m e n t o f e x i s ti n g o b j e c t i v e )

C h a n g e s t h a t a r is e a s a r e s u lt o f a s e c u r it y p r o b le m o r n e w s e c u r it y t e c h n o lo g y w ill f e e d
in t o t h e R e q u ir e m e n t s M a n a g e m e n t p r o c e s s .

J e n n if e r R o x a s -M a g b a n la c , M I T