20、软件安全架构与成熟度模型全解析

软件安全架构与成熟度模型全解析

1. 创建参考架构

在组织中，架构审查委员会（ARB）除了之前提到的功能外，还负责审查和批准应在整个组织内实施的架构。不过，并非所有架构设计都需经过 ARB 批准，只有那些具有广泛影响或能为组织节省成本的架构才需要经过审查并达成共识后构建。一个设计良好的 ARB 在处理架构决策时，能为组织带来以下好处：
- 为利益相关者和架构师提供关于新标准、架构和战略方向的可扩展教育。
- 作为沟通渠道，传递包括委员会决策、指标和当前项目在内的文档。
- 审查对业务至关重要、影响架构质量和一致性的高影响项目。

基于这些好处，组织借助 ARB 来批准具有业务影响的跨业务关键架构，这通常被称为参考架构。参考架构用于为特定领域的解决方案提供模板和通用分类法，旨在为开发解决方案创造共性。此外，创建参考架构的目的是使组织的战略围绕特定的工具、标准、指南和实施保持一致，这不仅有助于降低许可成本，还能减少开发时间和精力。

在创建参考架构时，有几个注入安全的机会，例如：
- 联合身份管理
- 加密客户端数据时的机密管理
- 使用 OAuth 的授权模型

这些示例提供了一个机会，将满足组织解决问题需求的架构（如授权模型）整合在一起，同时将安全性融入其中。一旦参考架构开发完成并得到 ARB 的批准，当各个应用程序寻求开发解决方案时，组织就可以使用它。以授权模型为例，构建此参考架构意味着每个应用程序在设计授权时将采用相同的方法。当参考架构在设计时考虑了安全性并被重复使用时，这将减少该应用程序未来的安全问题。此外，如果发现参考架构存在问题或需要进行更改，可以通过 ARB 轻松将这些更改传达给受影响的应用程序