Was ist Sicherheitsarchitektur?
Obwohl es verschiedene Definitionen von Sicherheitsarchitektur gibt, handelt es sich letztlich um eine Sammlung von Sicherheitskonzepten, -verfahren und -modellen, die Chancen und Risiken abwägen. Alles, was Ihr Unternehmen tut, birgt die Möglichkeit von Nutzen und Risiken. Die Risikotoleranz in verschiedenen Geschäftsbereichen ist unterschiedlich. Eine gute Sicherheitsarchitektur trägt Ihren Nutzen- und Risikozielen Rechnung und gewährleistet so ausreichenden Schutz vor Cyberangriffen. Geschäftsanforderungen werden durch Sicherheitsarchitektur in umsetzbare Sicherheitsanforderungen umgesetzt.
Ein Vergleich mit traditioneller Architektur verdeutlicht dies. Die Arbeit eines Sicherheitsarchitekten ähnelt der eines Architekten für Wohnhäuser, Schulen oder Geschäftsgebäude. Sie analysieren das Grundstück, berücksichtigen Aspekte wie Kundenwünsche, Bodenbeschaffenheit, Gelände und Klima (den aktuellen Zustand des Grundstücks) und entwickeln dann eine Strategie, um das gewünschte Ergebnis zu erzielen (den Bauplan). Andere, in diesem Fall Bauunternehmer, errichten die Struktur., unter der Aufsicht des Architekten, um die Zielerreichung zu gewährleisten (Architecture Governance).
Das Ziel der meisten Sicherheitsarchitekturen ist es, das Unternehmen vor Cyber-Bedrohungen zu schützen. Sicherheitsarchitekten arbeiten mit anderen Unternehmensarchitekten in Ihrem Unternehmen für einen bestimmten Zeitraum, um herauszufinden, was Ihre Organisation einzigartig macht. Sie sprechen mit Ihren Führungskräften, Mitarbeitern und Geschäftsarchitekten um mehr über Ihre Unternehmensziele, Systemanforderungen, Kundenwünsche und andere wichtige Aspekte zu erfahren. Anschließend können sie eine Strategie und Beratung entwickeln, die auf die Ziele Ihres Unternehmens zugeschnitten ist und Ihrer erklärten Risikobereitschaft im Bereich Cybersicherheit entspricht.
Es gibt viele Stellenangebote für Unternehmensarchitektur in einem führenden Enterprise-Architektur-Team. Wenn Sie die Rollen erkunden möchten, springen Sie zum verschiedene Enterprise-Architecture-Jobs.
Die vier kritischen Elemente der Sicherheitsarchitektur.
Um die Natur der Sicherheitsarchitektur besser zu verstehen, ist es hilfreich, die Sicherheitsarchitektur in vier kritischen Kontexten zu betrachten.
Es gibt keine eigenständige Sicherheitsarchitektur
Ein wichtiger Bestandteil der Sicherheitsarchitektur ist, dass es keine eigenständige Sicherheitsarchitektur gibt. Es handelt sich um ein ‘Querschnittsthema’. Das bedeutet, dass jeder Aspekt einen Sicherheitsaspekt hat. Domäne der Unternehmensarchitektur. Beispiel: Wenn Sie im Kontext Ihres Unternehmens an Ihre Unternehmenssoftware denken, wird diese eine Sicherheitskomponente haben. Diese könnte als Teil Ihrer Sicherheitsarchitektur und Sicherheitsmaßnahmen betrachtet werden.
Das SABSA-Modell
Die beste Vorgehensweise für die Sicherheitsarchitektur ist SABSA. SABSA ist ein risikoorientiertes Rahmenwerk für die Informationssicherheit von Unternehmen zur Unterstützung wichtiger Geschäftsaktivitäten. Obwohl es nicht direkt mit der Zachman-Framework, SABSA verwendet die Kernstruktur. Das Hauptmerkmal des SABSA-Modells besteht darin, dass alle Aspekte aus einer Untersuchung der geschäftlichen Sicherheitsanforderungen abgeleitet werden müssen, insbesondere der Anforderungen, bei denen Sicherheit als Voraussetzung für die Entwicklung und Nutzung neuer Geschäftsaussichten dient.
Der Prozess analysiert die Geschäftsanforderungen von Anfang an und entwickelt eine Kette, die durch die Phasen Strategie und Konzept, Design, Implementierung sowie kontinuierliches Management und Messen des Lebenszyklus verfolgt werden kann, um die Einhaltung des Geschäftsauftrags sicherzustellen. Die Methode wird durch Framework-Tools unterstützt, die auf praxisorientierten Erfahrungen basieren.
Das SABSA-Modell ist allgemeiner Natur und kann als Ausgangspunkt für jede Organisation verwendet werden. Durch den durch seine Struktur vorgegebenen Analyse- und Entscheidungsprozess wird es jedoch unternehmensspezifisch und schließlich stark auf ein bestimmtes Geschäftsmodell zugeschnitten. Es wird zur Sicherheitsarchitektur des Unternehmens und ist entscheidend für den Erfolg des strategischen Informationssicherheitsmanagementprogramms des Unternehmens.
Das Team von Conexiam hat mit The Open Group und der SABSA-Institut um das branchenübliche EA-Framework TOGAF mit SABSA zu integrieren. Laden Sie eine Kopie von „Integrating Risk & Security with Enterprise Architecture“ herunter für weitere Informationen.
Es dreht sich alles um Risikomanagement
Bei der Sicherheitsarchitektur geht es um Risikomanagement. Risiko ist die Auswirkung von Unsicherheit auf das Erreichen aller Unternehmensziele. Unsicherheit entsteht durch verpasste Chancen und potenzielle Bedrohungen. Sicherheitsarchitektur bietet nicht unbedingt Schutz vor Bedrohungen. Ein Element des Risikomanagements muss integriert werden.
Die Kontrolle von Risiken im Zusammenhang mit dem Einsatz von Informationstechnologie wird als Informationssicherheits-Risikomanagement (ISRM) bezeichnet. Es umfasst das Erkennen, Analysieren und Reagieren auf Bedrohungen für die Vertraulichkeit, Integrität und Verfügbarkeit von Unternehmensressourcen. Ziel dieses Ansatzes ist es, Risiken im Einklang mit der Risikotoleranz des Unternehmens zu adressieren. Unternehmen sollten versuchen, eine akzeptable Gesamtrisikoschwelle für ihr Unternehmen zu bestimmen und einzuhalten, anstatt zu erwarten, alle potenziellen Gefahren auszuschließen.
Typischerweise umfasst das Risikomanagement als Teil der Sicherheitsarchitektur die Identifizierung von Vermögenswerten, die Ermittlung potenzieller Schwachstellen, die Ermittlung von Bedrohungen, die Festlegung von Kontrollen und die regelmäßige Durchführung gründlicher Bewertungen.
Sicherheit und Unternehmensarchitektur müssen integriert werden
Die Entwicklung der Sicherheitsarchitektur muss vollständig in die Entwicklung einer Unternehmensarchitektur integriert werden.
In den meisten Unternehmen ist die Verbesserung der Sicherheit eine unmögliche Aufgabe. Anstatt eine integrierte Sicherheitsarchitektur zu entwickeln, wird wahllos daran gearbeitet, Teile des Unternehmens abzusichern. Oftmals sind andere Unternehmensbereiche leicht zugänglich oder anfällig für Angriffe. Die Gewährleistung einer sicheren Umgebung erfordert präventive, investigative und lösungsorientierte Maßnahmen.
Viele herkömmliche Informationssicherheitsexperten betrachten Sicherheitsarchitektur als nichts weiter als das Vorhandensein von Sicherheitsregeln, -kontrollen, -tools und -überwachung.
Alle Sicherheitsexperten sollten sich der Geschäftsziele bewusst sein und diese durch die Entwicklung geeigneter Sicherheitskontrollen erreichen, die gegenüber den Stakeholdern leicht zu rechtfertigen und mit dem Geschäftsrisiko in Zusammenhang zu bringen sind. Unternehmens-Frameworks wie SABSA und die TOGAF-Standard, helfen bei der Abstimmung von Sicherheits- und Geschäftsanforderungen.
TOGAF verstehen
TOGAF ist ein Rahmen für die Unternehmensarchitektur. Enterprise-Architekten nutzen die TOGAF-Architekturentwicklungsmethode (ADM) um Veränderungen zu fokussieren, Fehler zu reduzieren und die IT mit den Geschäftsbereichen abzustimmen, um qualitativ hochwertige Ergebnisse zu erzielen.
Schauen Sie sich unsere TOGAF vs. SABSA Artikel zum Nachdenken über TOGAF Plus SABSA. Erweitern Sie Ihre Unternehmensarchitektur mit erstklassigem Risiko- und Sicherheitsmanagement.
Warum die Cybersicherheitsarchitektur für ein Unternehmen wichtig ist
Der erste (und offensichtlichste) Vorteil verbesserter Sicherheit ist die Reduzierung von Sicherheitsverletzungen. Viele Angreifer nutzen extrem einfache Angriffstaktiken, die auf häufige Schwachstellen in der Cybersicherheit abzielen, die auch Unternehmen aufweisen, die sich nicht so sehr für die Entwicklung einer soliden Sicherheitsarchitektur einsetzen.
Für Ihr Unternehmen gelten wahrscheinlich verschiedene Informationssicherheitsstandards wie HIPAA, DSGVO und andere. Viele dieser Datensicherheitsstandards erfordern eine robuste und gut verwaltete Sicherheitsarchitektur sowie verschiedene Sicherheitsverfahren. Diese Standards lassen sich leichter erreichen, wenn Sie eine solide Sicherheitsarchitektur als Kernelement Ihres Unternehmens haben. Ein genaues Bild Ihrer Netzwerkarchitektur und insbesondere der vielen integrierten Sicherheitsmaßnahmen erleichtert die Feststellung, ob Sie Gefahr laufen, gegen wichtige Gesetze zu verstoßen.
Vertrauen zu gewinnen erfordert eine starke Sicherheitsarchitektur. Wenn Ihr Unternehmen als führend im Bereich Cybersicherheit anerkannt ist, kann dies dazu beitragen, das Vertrauen anderer zu gewinnen. Dies gilt nicht nur für potenzielle Kunden, sondern auch für mögliche Geschäftspartner und zukünftige Partnerschaften.
Nächste Schritte: Schulung zur Sicherheitsarchitektur
Dieser Kurs vermittelt ein tieferes Verständnis der Sicherheitsarchitektur. Der Lernprozess wird durch praktische Übungen anhand realer Fallstudien vertieft.
Das Ziel des Sicherheitsarchitekten für Informationssysteme besteht darin, Kontrollen zu entwickeln, die die mit Informationen und Informationstechnologie verbundenen Risiken effektiv managen. Das Ziel des Sicherheitsarchitekten ist es, das Unternehmen zu schützen, nicht die Technologie.
Effektive Sicherheitsarchitekturen sind vollständig in die Unternehmensarchitektur integriert. Sicherheitsarchitekten müssen mit den Tools, Praktiken und der Unternehmenskultur arbeiten, nicht gegen sie. Sie müssen das Schutzbedürfnis mit dem Erfolgsstreben in Einklang bringen.
Wichtige Lernziele der Sicherheitsarchitektur:
Nach Abschluss dieses Kurses sind die Studierenden in der Lage:
- Identifizieren und bewerten Sie Geschäftsrisiken im Zusammenhang mit Informationen und Informationstechnologie.
- Verstehen Sie, wie Sie Risiken kommunizieren.
- Beschreiben Sie die wichtigsten Bedenken hinsichtlich der Informationssicherheit hinsichtlich Vertraulichkeit, Integrität und Verfügbarkeit.
- Identifizieren und beschreiben Sie die Funktionen typischer Informationssystemarchitekturen, einschließlich Netzwerken, Betriebssystemen und Anwendungen.
- Beschreiben Sie, wie Sicherheit mit Architektur- und Systementwicklungsmethoden zusammenpasst
- Identifizieren und beschreiben Sie allgemeine Sicherheitskontrollen.
- Verstehen Sie den Zusammenhang zwischen der Sicherheit von Informationssystemen und dem Datenschutz
- Machen Sie sich mit der Landschaft der Sicherheitsstandards für Informationssysteme vertraut.
- Definieren Sie Assurance und verstehen Sie die Rolle der Assurance bei der Sicherheit von Informationssystemen.
- Identifizieren und beschreiben Sie die 20 wichtigsten Sicherheitsvorkehrungen für Informationssysteme.
Schulungskurs zur Sicherheitsarchitektur
Im Lieferumfang enthalten:
- 3 Tage Unterricht
- Vortrag
- Workshop-Übungen
- Übungsüberprüfung
- Elektronische Kopie aller Kurs- und Übungsmaterialien von Conexiam
- Elektronische Kopie aller Navigieren Im Kurs verwendete Vorlagen und öffentliche Architekturtools
- Die Studierenden haben Zugriff auf aktuelle Kursmaterialien, Übungsmaterialien, Navigieren Vorlagen und öffentliche Architekturinhalte seit über einem Jahr
Alle Kursmaterialien werden elektronisch bereitgestellt. Für Präsenzveranstaltungen werden Kursfolien und Übungsmaterialien in einem Ordner bereitgestellt.
Empfohlene Voraussetzungen:
Ein Verständnis für Systeme bzw. Unternehmensarchitektur. Abschluss von TOGAF-Schulung zur Unternehmensarchitektur oder EA mit TOGAF® und Navigieren™ ist ein Vermögenswert.
Wer sollte teilnehmen:
- Sicherheitsingenieure und -designer, die das große Ganze besser verstehen möchten
- Unternehmens- und Systemarchitekten, die sich mit Sicherheit auskennen möchten
Weitere Informationen zu Die maßgeschneiderten Kurse von Conexiam.
