Microsoft 安全性 採用框架（SAF）是一個實用的運作模式，將業務優先事項、風險與 零信任 原則轉化為協調行動。 它連結了企業、科技與資安在策略、架構、實施與營運等面向的角色。
利用 SAF 定義共享成果、釐清責任、選擇重要的專業與技術、實施防護措施，並衡量混合、多雲及多平台環境的進展。
為什麼要用SAF？
使用 SAF 來:
- 將資安工作與業務優先事項及風險對齊。 將企業、科技與資安決策與投資與組織需要實現並保護的成果連結起來。
- 協同承擔責任。 釐清業務、科技與資安角色如何共同做決策並交付成果。
- 一致地執行 零信任。 在策略、治理、架構、實施與營運中運用 零信任 原則。
- 將策略與執行連結。 將期望成果與資安領域、技術及技術解決方案連結。
- 衡量進展並調整。 追蹤成果，並隨著業務需求、技術、威脅及組織能力的變化調整。
SAF 運作方式
SAF 將企業優先事項與風險和經協調的安全作業及技術實施連結起來。 四個相互連結的元件幫助企業、科技與資安團隊了解期望的成果、所需的安全工作、必須保護的事項，以及防護措施的實施與運作方式。
四個組成部分為：
- 商業案例 將重要的商業或技術計畫與期望的結果及風險連結起來。
- 資安範疇 用於組織管理風險、決策及提升資安能力所需的安全工作。
- 技術可識別必須保護的項目，包括身分識別、端點、應用程式、資料、基礎結構、網路與人工智慧。
- 技術解決方案 將安全需求轉化為跨產品與平台的實施與永續營運。
企業優先事項與風險提供背景。 商業情境描述期望的結果。 資安領域規範團隊的運作方式。 技術會辨識必須保護的內容。 技術解決方案將此方向轉化為實作與營運。
零信任 原則為 SAF 四個組成部分的各項決策提供依據——從業務優先順序與治理，到架構、執行與營運。
角色如何使用 SAF
| 角色群組 | 團隊如何使用SAF | 常見 SAF 重點 |
|---|---|---|
| 企業領袖與風險負責人 | 定義期望成果、業務優先事項、風險、責任制及成功衡量標準。 | 商業情境、策略與風險 |
| 技術與產品團隊 | 將優先事項與安全需求轉化為架構、工程、交付、實施及永續營運。 | 技術與技術解決方案 |
| 資安團隊 | 提供風險洞察、資安專業知識、治理、架構、護欄、驗證、偵測與回應，以及安全衡量。 | 安全學科 與安全需求 |
這些角色有助於共同達成成果，並合作達成目標。 SAF 提供共享的脈絡，幫助業務、技術與資安角色協調決策與責任，而非將資安現代化視為單一團隊的工作。 合作夥伴可以提供專業技術、執行及營運服務。
選擇從哪裡開始
你不需要固定順序使用 SAF。 選擇一個與你當前情境相符的起點：
- 當有領導層支持協調現代化，且組織需要共同的策略方向時，就從策略與轉型開始。
- 當急需關注的缺口或高價值機會需要留意時，請從優先風險或問題開始。
- 當特定計畫需要跨角色、領域與技術協調保護時，可以從業務或技術倡議開始。
- 當組織必須將安全工作與明確目標或實務對齊時，從安全標準或框架開始。
這些起始點是常見的，而非必須的階段。 組織可以隨著優先順序、風險與能力的變化，將它們合併或在其間切換。
有效使用SAF的指引
組織可依其優先順序、風險及當前安全成熟度，以不同方式使用 SAF。 無論你從哪裡開始：
- 將工作與業務優先順序及風險對齊。
- 將零信任原則應用於商業決策、資安實務、技術設計、交付與營運。
- 協調業務、技術與資安團隊之間的職責分工。
- 將聚焦的改進連結到更廣泛的安全策略與架構。
- 衡量結果，並隨著優先順序、風險與條件的變化調整。
關於目標導向與角色導向的閱讀路徑，請參見 有效運用SAF。
現有安全指引如何融入SAF
SAF 是在既有的 Microsoft 安全指引基礎上建立，而非取代它。 部分現有指導被納入 SAF 架構，而其他資源則保持獨立，並以更深層的架構、工程、評估、工作坊或營運指南補充 SAF。
Microsoft 在多個領域提供互補的指導：
- 策略與架構：CISO 工作坊與 Microsoft 資安參考架構（MCRA）
- 評估與技術實施：零信任 評估與技術實施指引
- 工程：Microsoft 安全性開發週期（SDL）、DevSecOps 能力模型，以及 Secure Future Initiative（SFI）
- 作業與應變：特權存取指引 與 事件應變手冊
關於這些及其他 Microsoft 安全資源與 SAF 的關聯，請參閱現有安全指引如何適用於 SAF。
探索SAF
下一步
學習如何選擇實用的切入點，並在 《有效運用 SAF》 中將你的工作串連到 SAF 的各個部分。