สถาปัตยกรรมความปลอดภัย OSI (OSI Security Architecture) ให้ผู้จัดการที่รับผิดชอบความปลอดภัยขององค์กรในการอธิบายความจำเป็นสำหรับความปลอดภัย สถาปัตยกรรมความปลอดภัย OSI ถูกนำเสนอเป็น "มาตรฐานสากล" (International Standard) ซึ่งอนุญาตให้ผู้ผลิตคอมพิวเตอร์และการสื่อสาร (Communication Vendors) ผลิตผลิตภัณฑ์ที่มีคุณสมบัติความปลอดภัยขึ้นอยู่กับสถาปัตยกรรมนี้
สถาปัตยกรรมความปลอดภัย OSI มีคำอธิบายโครงสร้างของบริการและโครงสร้างสำหรับการสนับสนุนความปลอดภัยให้กับข้อมูลขององค์กร สถาปัตยกรรมความปลอดภัย OSI มุ่งเน้นไปที่ การโจมตีความปลอดภัย (Security Attacks) โครงสร้าง (Mechanisms) และบริการ (Services)
สิ่งเหล่านี้สามารถแสดงได้อย่างกระชับดังนี้:
การโจมตีความปลอดภัย (Security Attack): การโจมตีความปลอดภัยคือการกระทำใดๆ ที่สร้างความเสี่ยงต่อความปลอดภัยของข้อมูลที่องค์กรเป็นเจ้าของ
กลไกความปลอดภัย (Security Mechanism): กระบวนการ (หรือชุดอุปกรณ์ที่รวมกระบวนการดังกล่าว) ที่ออกแบบมาเพื่อตรวจจับ ป้องกัน หรือกู้คืนจาก การโจมตีความปลอดภัย
บริการความปลอดภัย (Security Service): บริการประมวลผลหรือการสื่อสารที่เพิ่มความปลอดภัยของระบบประมวลผลข้อมูลและการมอบหมายข้อมูลขององค์กร บริการเหล่านี้ได้รับการกำหนดไว้ล่วงหน้าเพื่อต่อต้านการโจมตีความปลอดภัย และพวกเขาสร้างความต้องการหนึ่งหรือมากกว่ากลไกความปลอดภัยเพื่อสนับสนุนบริการ
ในบริการความปลอดภัย คำศัพท์ภัยคุกคาม (Threat) และการโจมตี (Attack) มักถูกใช้เพื่อนิยามสิ่งที่คล้ายกันมาก อย่างไรก็ตาม RFC 2828 (RFC ย่อมาจาก Request for Comment - เป็นมาตรฐานความปลอดภัย) แยกความแตกต่างระหว่างภัยคุกคามและการโจมตี
บริการความปลอดภัยหลัก
ความลับของข้อความ (Message Confidentiality): ความลับหรือความเป็นส่วนตัวของข้อความแสดงว่าผู้ส่งและผู้รับยกเว้นความลับ ข้อความที่ส่งผ่านควรทำให้เข้าใจได้เฉพาะผู้รับที่กำหนดไว้ล่วงหน้า (Intended Receiver) เมื่อผู้ใช้เชื่อมต่อกับธนาคาร พวกเขาคาดหวังว่าการสื่อสารเป็นความลับอย่างสมบูรณ์
ความสมบูรณ์ของข้อความ (Message Integrity): ความสมบูรณ์ของข้อความแสดงว่าข้อมูลควรถึงผู้รับอย่างถูกต้องเหมือนกับที่ส่ง ไม่ควรมีการเปลี่ยนแปลงตลอดการส่งผ่าน ไม่ว่าจะเป็นโดยบังเอิญหรือโดยเจตนา เมื่อเครือข่ายการเงินมากขึ้นปรากฏบนอินเทอร์เน็ต ความสมบูรณ์จึงสำคัญ
ภัยคุกคาม (Threat): ภัยคุกคามคือการกระทำ กระบวนการ บริษัท หรือกระบวนการที่ใช้ประโยชน์จากช่องโหว่ (Vulnerability) เพื่อโจมตีสินทรัพย์ (Asset) รวมถึงภัยคุกคามธรรมชาติ ภัยคุกคามที่ไม่คาดคิด ภัยคุกคามจากมนุษย์ที่ไม่ได้ตั้งใจ และภัยคุกคามจากมนุษย์ที่มีเจตนาร้าย
สิ่งเหล่านี้อาจรวมถึงการลดลงของไฟฟ้า การเสียหายทางชีววิทยาหรือการรั่วไหลของสารเคมีอันตราย งานของลักษณะธรรมชาติ หรือความล้มเหลวของฮาร์ดแวร์/ซอฟต์แวร์ การลบข้อมูลหรือการสูญเสียความสมบูรณ์ การทำลาย หรือการขโมยหรือการทำลายเสีย
การโจมตี (Attack): การโจมตีสามารถนิยามได้โดยความสัมพันธ์ระหว่างภัยคุกคาม ช่องโหว่ และความเสียหาย สามารถป้องกันการโจมตีจากไวรัสและการสลัก (Tease) ได้โดยการใช้เวอร์ชันสมัยใหม่ของแอปพลิเคชันป้องกันไวรัส
การโจมตีคือการละเมิดความปลอดภัยของระบบที่เปลี่ยนแปลงจากภัยคุกคามที่สร้างสรรค์ (Creative Threat) นั่นคือ การกระทำที่สร้างสรรค์ซึ่งเป็นการพยายามโดยเจตนา (โดยเฉพาะในแง่ของแนวทางหรือเทคนิค) เพื่อหลีกเลี่ยงบริการความปลอดภัยและรบกวนนโยบายความปลอดภัยของระบบ
