官方公众号企业安全新浪微博
FreeBuf.COM网络安全行业门户，每日发布专业的安全资讯、技术剖析。
FreeBuf+小程序
- 关注
一、什么是安全架构师？
本章节我们来回答“什么是安全架构师？”的问题。
1.1 什么是架构师？
本文的架构师特指信息系统（如，云系统，IoT系统等）的架构师，在此类系统中，架构师负责的是系统中关键实体，实体之间的关系以及系内外关键反馈循环的定义。当然实际工作中架构师这个岗位有很多具体的工作要完成，如需求分析，概念设计，概要设计，详细设计，仿真设计，仿真验证等诸如此类细项的工作。
架构师的输出成果决定了系统的能力上限，这就要求架构师一定要具有超出常人的视野和系统分析和建设能力。也就是说架构师一定要掌握系统思维的能力，虽然系统思维的专家不一定是好的架构师，但是好的架构师一定是系统思维的专家。这里我们可以参考系统思维的成熟度水平来类推架构师的成熟度水平。
系统思维成熟度水平 | 对应的表现 | 对架构师的认知 |
L0：无知者 | 对相关概念都一无所知 | 要啥架构，都是干出来的 |
L1：炫技者（票友） | 小和尚念经有口无心，可以炫技式的背诵概念，但是无法真正发挥到这些概念的作用。 | 架构师无所不能同时问题的根因肯定是架构问题。 |
L2：爱好者 | 可以看懂真正系统思考者的输出成果的一些关键点和关键挑战。 | 这个架构设计真巧妙，但是让我自己做做不出来 |
L3：新手 | 可以创建初级的因果律关系图，并且解决一些简单和中等复杂度的问题，表现优异者可以流利阅读仿真系统。 | 这几个元素的结构可以这样安排，它们之间不会出现问题。 |
L4：专家 | 1，可以梳理使用高级的系统思维工具创建原始的仿真系统。 2，解决困难的复杂问题。 | 这个系统的复杂度在这些点上，但是可以通过且套的方式来安排，这种方式的优势是XXX，也可以通过另一种方式来安排 |
L5：大师 | 1，可以指导其他人成为专家； 2，对行业内为解决的问题提供了原始的贡献。 | 这些需求导致系统的结构上会有矛盾的特性，但是可以通过一种方式来缓解，也有一种方式可以尝试。 |
上述利用系统思维水平映射架构师的水平是为了给读者一个直观的感受，即使是架构师这种能力也是可以分级和评估的。对于安全架构师的成长和培养也需要定义成长的路径，逐步提高。
1.2 什么是安全架构师？
顾名思义安全架构师是架构师的一个细分业务领域，专门负责架构设计中与安全相关的的内容。在企业中安全架构师通常服务与系统架构师，安全架构师只负责与安全关系紧密的相关实体的定义，以及安全相关实体与其他实体之间关系的定义，部分场景中也关注与安全相关的反馈的回路的定义。
1.2.1 与安全相关的实体有哪些？
系统中与安全相关的实体通常包括注册，认证，授权，审计，实体身份生命周期管理以及秘钥管理6大类实体，和安全通讯相关的实体关系。
1.2.2 安全架构师的客户是谁？
世界上很多东西是被他的反面所定义的，安全就属于这一类，安全架构师所面对是恶意破坏者，无意的错误操作者以及各种可预知以及不可预知的异常事件。也就是说如果一切如你所愿就没有必要考虑安全问题。安全架构师的客户就是那些不能接受上述风险并且愿意为此买单的实体。
1.2.3 安全架构师的核心价值？
安全架构师的核心价值如下：
1，防止出现系统性风险，如防止系统被设计为一个多米勒骨牌的系统，或者被设计为沙堆效应的系统，这些都是需要从宏观的视角出发才能看出问题。
2，定义和度量系统安全能力的基线和上限，安全是人们对恐惧心理的反应，人类的趋利避害性导致人们在心理上会无限原理风险和恐惧，安全架构师需要从理性的角度定义安全能力的基线要求和具体系统实现中合理的上限能力，因为组织不可控的风险就只能交给未来和命运了，而不是因噎废食。安全架构师工作的一个挑战就是如何确定合适的安全方案，这是一个多方博弈的结果。
下接 企业，用户，安全架构师
- 0 文章数
- 0 关注者