公司的安全框架必须能够维持受控的风险状态，与安全、有弹性、可靠和尊重隐私的行为相对应。TOGAF 版本 10 及其安全架构的企业架构师的角色是什么？
在 TOGAF 版本 10 中，The Open Group ( https://www.opengroup.org/ ) 重组了企业架构内容以提高可读性、可用性和可维护性。选择的解决方案是开发内容的模块化。
好消息，TOGAF 标准部分的大小已从 692（9.1 版）减少到 532 页，并且只包含永久内容。
TOGAF 10 的结构类似于俄罗斯套娃。
TOGAF 10 的基础非常稳定，位于基础部分，指南和库汇集了更多实用方面，并且可以随着时间的推移而发展。
为了在架构中真正整合安全问题，应该采用系统工程方法。这意味着安全和风险在主题的系统工程开发周期中尽可能早地被考虑。在开发生命周期的每个阶段，都要进行适当的安全和风险相关活动。这些活动的范围可以从早期阶段的高级建议和指导，到最后阶段的详细安全检查。通过这种方式，可以实现一个可靠、安全、有弹性和尊重隐私的安全运行系统。
企业安全架构旨在使安全措施与业务目标保持一致。它通过定义不同架构层的组件之间的关系来做到这一点，确保可追溯性和合理性。企业安全架构师通常使用信息安全管理（ISM）和企业风险管理（ERM）流程来开发可交付成果并与利益相关者互动。
根据ISO 31000:2009，风险是指不确定性对实现商业目标的影响。不确定性涉及到对未来结果的预测，因为在做出商业决策时，可用的不完美信息数量有限。
ISO 31000:2009明确指出，风险管理必须深入和牢固地嵌入所有的业务活动中。它还指出，它是一个连续的生命周期，而不是一个孤立的活动。
每个决定都是基于：
- 评估潜在机会和威胁之间的平衡
- 产生有利与不利结果的可能性、
- 这些潜在事件的规模，无论是积极的还是消极的、
- 与每个确定的结果相关的概率。
对这些因素的识别和评估被称为 "风险评估 "或 "风险分析"。风险管理是在决策过程中应用这些概念的艺术和科学。可以从长期战略层面（高层管理）、中期战术层面（转型项目和计划）和操作层面（决策、业务流程）来看待风险。风险管理的目标是优化商业结果，使商业价值最大化，损失最小化。风险可以在业务架构的任何层面上看待，但总是从上而下，由业务价值的评估及其优化来驱动。
安全三要素
对许多专家来说，安全取决于三个基本支柱：
- 保密性、
- 完整性、
- 可用性。
这3个概念也被称为CIA三要素，有一个分类（高-中-低），在金融领域尤其普遍。除了詹姆斯-邦德-007，这些包含了太多含义的复杂术语很少被公司经理使用，他们更愿意谈论对职能部门的访问授权，例如。
为了重新关注业务，TOGAF 10已经整合了SABSA模型（(Sherwood应用商业安全架构)
在TOGAF 10背景下，与企业架构师合作，安全架构师可以依靠SABSA架构。它的分层的、以风险为中心的模型是很容易扩展的。
该方法提供了几个视图：
- 背景 - 业务（决策者）、
- 概念性的（目标和风险）、
- 逻辑的（信息、流程、应用、互动）、
- 物理（数据、传输机制、基础设施）、
- 组件（工具、产品、技术、标准）、
- 与安全服务的横向视野。
SABSA包括一个独立审计和控制过程的观点。
对于每一层，问题是什么？为什么？如何？谁、哪里、什么时候？
例如，可以确定与信息分类、分析和处理风险的方法、应用流和数据交换的映射、IAM（身份和访问管理）方面、信任域及其位置有关的要点。
SABSA架构的例子：
- 认证服务（例如，目录之间的批准情况，根据风险或信息敏感性的认证类型）
- 密码学管理（组织、集中密钥管理的可能性、根据风险可能的加密类型、伪匿名的情况等）
- 通过技术审计进行安全评估的案例
- 将安全问题纳入敏捷方法，如Scrum（产品负责人、Scrum主管、开发团队和安全专家之间的角色分配，如何以及何时将安全问题纳入Sprint规划和每日Scrum会议，适用的标准等）。
- 内部审计的级别