TOGAF标准第10版读书会第12场——如何防范企业安全风险，论坛总监来支招！

2022年9月30日19:30pm，TOGAF®标准第10版读书会线上系列动精彩如期继续。活动集聚了行业专家的力量，共同阅读、分享并结合自身实践，实现观点碰撞，以在线研讨的形式搭建一个思维共创的平台。

本场读书会聚焦TOGAF®标准第10版有关“安全架构”的基本内容展开分享，特别邀请到The Open Group安全论坛与开放可信技术论坛总监John Linford带来以《Integrating Risk and Security within a TOGAF® Enterprise Architecture》为主题的精彩演讲，主要围绕企业安全架构打造的必要性与阶段步骤展开，为保障企业安全支招献策。 同时，邀请到BCI Minerals首席架构师Ying Liu老师，一同探讨了在TOGAF®企业架构中的集成风险和安全相关问题。

一起来回顾活动的精彩时刻吧！

RUSH TIME

精彩时刻

信息技术的快速发展，云计算、大数据、人工智能、物联网等新兴技术的落地，在带来机遇的同时，也为信息安全带来了新的挑战。

在此背景下，安全架构的存在显得尤为重要。关于安全架构：

• 以一致的且相互作用的组织的、概念的、逻辑的和物理的部分所组成的结构，以实现和维持一个风险管理的状态；
• 支持/驱动安全、以安全、弹性和可靠的行为，维护整个企业风险领域的隐私；
• 独立存在且可见的，实际上与其他紧密相关。

安全架构和企业架构（EA）之间的关系非常重要。EA帮助创建一个以业务为中心的企业架构，将战略与技术联系起来，而安全必须是EA的一部分。

企业安全架构则更多指的是在最高层面的业务一致性，同时寻求安全措施与业务目标的一致性。

开发企业安全架构的主要原因是确保安全工作以一个标准化的和节省成本的方式与业务实践相结合。架构在抽象层面工作，它提供了一个可供参考的框架。除了安全性之外，这种类型的架构让组织更好地实现互操作性、集成性、易用性、标准化和便于治理性。

值得注意的是，风险是一把双刃剑，对企业的发展来说，一定程度上具备必要性：

• 长期战略层面（业务方向）
• 中期战术层面（转型项目和计划）
• 运营层面（日常决策、流程和实践）

PANEL TIME

圆桌互动

Q1#如何看待安全与风险是集成在TOGAF ADM中的？

John:从细节入手，着眼于集成安全性和风险的细微调整，然后循序渐进地开展。这样当组织需要重新考虑整个企业架构时，还有调整的余地，从而可以更好地看待和衡量并解决风险，最终改善业务和管理企业。

Ying:对于安全的实现，需要注意平衡。抓住机会的同时，管理已经存在的风险，并且从潜在的新风险中找出机会。

Q2#对安全团队规模较小的组织来说，如何集成风险和安全？

John：小的安全团队并不代表没有保障，通常情况下，小的安全团队反而可以更好地做安全架构的倡导者和拥护者，从而贯彻落实。另一方面，可以培养团队成员在安全方面的专业知识，整体提升团队能力。

Ying：非常认同John的观点。有些公司会依靠外包的形式负责监控公司的安全风险，但这不仅无法保证外包团队为公司负责，还会占用大量的人力资源，同时会花费很高的费用。