Microsoft 安全采用框架（SAF）是一种实际运营模式，用于将业务优先级、风险和 零信任 原则转化为协调行动。 它连接了贯穿策略、体系结构、实现和运维的业务、技术和安全角色。
使用 SAF 定义共享结果、阐明责任、选择重要的领域和技术、实施保护以及衡量混合、多云和多平台环境的进展。
为何使用 SAF？
使用 SAF 可以：
- 使安全工作与业务优先级和风险保持一致。 将业务、技术和安全方面的决策与投资，与组织需要实现和保护的结果关联起来。
- 协调共同责任。 阐明业务、技术和安全角色如何做出决策并共同交付结果。
- 一致地应用零信任。 在战略、治理、架构、实施和运营各方面采用 零信任 原则。
- 将策略连接到实现。 将期望的结果与安全规程、技术和技术解决方案关联起来。
- 评估进展并调整。 跟踪结果，并随着业务需求、技术、威胁和组织能力的变化而进行调整。
SAF 的工作原理
SAF 将业务优先级和风险与协调安全工作和技术实施相联系。 四个相互关联的组件可帮助业务、技术和安全团队了解预期结果、所需的安全工作、必须保护的内容以及如何实施和运行这些保护措施。
四个组件包括：
- 业务场景 将重要的业务或技术举措与期望的结果和风险关联起来。
- 安全规程组织管理风险、制定决策和提升安全能力所需的安全工作。
- 技术 可识别必须保护的内容，包括标识、终结点、应用程序、数据、基础结构、网络和 AI。
- 技术解决方案将安全需求转化为跨产品和平台的实施与可持续运营。
业务优先级和风险提供上下文。 业务场景描述了所需的结果。 安全规程组织团队的工作方式。 技术确定必须保护的内容。 技术解决方案将此方向转化为实施和运维。
零信任原则为所有四个 SAF 组件中的决策提供依据，从业务优先级和治理到体系结构、实现和运营。
角色如何使用 SAF
| 角色组 | 组如何使用 SAF | 常见 SAF 关注点 |
|---|---|---|
| 业务主管和风险所有者 | 定义所需的结果、业务优先级、风险、责任和成功度量值。 | 业务场景、策略和风险 |
| 技术和产品团队 | 将优先事项和安全要求转化为体系结构、工程、交付、实施和可持续运营。 | 技术和技术解决方案 |
| 安全团队 | 提供风险见解、安全专业知识、治理、体系结构、防护措施、验证、检测和响应以及安全度量。 | 安全规章和安全要求 |
这些角色为共同成果作出贡献，并协作实现这些成果。 SAF 提供共享上下文来帮助业务、技术和安全角色协调决策和职责，而不是将安全现代化视为单个团队的工作。 合作伙伴可以贡献专业知识、实施和运营服务。
选择从哪里开始
无需在固定序列中使用 SAF。 选择与当前上下文匹配的起点：
- 当有领导层支持协调现代化工作且组织需要共同的战略方向时，请从战略和转型开始。
- 当紧急差距或高价值机会需要注意时，从优先级风险或问题开始。
- 当特定计划需要跨角色、学科和技术进行协调保护时，请从业务或技术计划开始。
- 当组织必须使安全工作与既定目标或实践保持一致时，从安全标准或框架开始
这些起点很常见，不是必需的阶段。 组织可以将它们合并在一起，或者随着优先级、风险和能力的变化在它们之间切换。
有效使用 SAF 指南
组织可以通过不同的方式使用 SAF，具体取决于其优先级、风险和当前安全成熟度。 无论从何处开始：
- 使工作与业务优先级和风险保持一致。
- 将 零信任 原则应用于业务决策、安全实践、技术设计、交付和运营各个方面。
- 协调业务、技术和安全团队之间的职责。
- 将重点改进连接到更广泛的安全策略和体系结构。
- 衡量结果，并根据优先级、风险和条件变化进行调整。
有关基于目标的和基于角色的阅读路径，请参阅 有效使用 SAF。
现有安全指南如何纳入 SAF
SAF 基于既有的 Microsoft 安全指南，而不是取代它。 一些现有指导已纳入 SAF 结构，而其他资源则保持独立，并通过提供更深入的体系结构、工程、评估、研讨会或运营指导来补充 SAF。
Microsoft在以下几个方面提供补充指导：
- 策略和体系结构：CISO 研讨会和Microsoft网络安全参考体系结构（MCRA）
- 评估和技术实施：零信任 评估和技术实施指南
- 工程：Microsoft 安全开发生命周期（SDL）、DevSecOps 能力模型和Secure Future Initiative（SFI）
- 操作和响应：特权访问指南 和 事件响应操作手册
有关这些和其他 Microsoft 安全资源与 SAF 的关系的详细信息，请参阅现有安全指南如何融入 SAF。
探索 SAF
后续步骤
在有效使用 SAF 中，了解如何选择实用的切入点，并将你的工作贯穿 SAF 关联起来。