Een optimale security architectuur; 5 aandachtspunten

Een security architectuur bestaat uit een transparant en samenhangend overzicht van modellen, principes, uitgangspunten en condities. Hiermee kan een concretere invulling worden gegeven aan het informatiebeveiligingsbeleid, meestal zonder in specifieke oplossingstermen te spreken. Het bepalen van de optimale architectuur is geen sinecure. In deze blogpost worden enkele handvatten geboden voor het ontwerpen van een gedegen, breed gedragen architectuur.

1 – Ontwerp vanuit een integrale aanpak

Bij het opzetten van een security architectuur is het belangrijk om te kiezen voor een integrale aanpak. In veel gevallen wordt een architectuur ontwikkeld op basis van incidenten die zich hebben voorgedaan in de bedrijfsomgeving. Het is echter veel verstandiger om te kiezen voor een proactieve, risico-gedreven benadering. Hierbij wordt eerst gekeken naar de objecten die beschermd moeten worden. Nadat een inventarisatie van deze zgn. kroonjuwelen heeft plaatsgevonden, worden de objecten gewaardeerd (risicoclassificatie) en wordt beschreven op welke manier met de risico’s dient te worden omgegaan. Door deze integrale, risico gedreven aanpak worden risico’s op alle relevante vlakken inzichtelijk gemaakt.

2 – Ontwerp vanuit je (bedrijfs)doelstellingen

Het gebeurt regelmatig dat binnen een organisatie IT-oplossingen geïmplementeerd worden zonder dat hieraan een weloverwogen keuzeproces is voorafgegaan. Dit kan leiden tot ingebruikneming van oplossingen en systemen die niet aansluiten bij / geen bijdrage leveren aan de bedrijfsdoelstellingen en die afwijken van het IT (beveiligings)beleid. Dit kan voorkomen worden door bij het ontwerpen van de architectuur uit te gaan van de bedrijfsdoelstellingen. De eerste vraag die hiertoe beantwoord moet worden is: wat zijn de belangrijkste drivers in de organisatie om de gestelde doelen te halen? Op basis daarvan kunnen de risicofactoren bepaald worden en kan een policy worden gedefinieerd. Door het vaststellen van een set aan KRI’s, KPI’s en beheersmaatregelen kan vervolgens inzichtelijk worden gemaakt waar wordt afgeweken van de norm. Daarbij mag niet klakkeloos van zgn. “best practices” worden uitgegaan. Alleen best practices die daadwerkelijk bijdragen aan de bedrijfsdoelstellingen mogen tot standaard verheven worden.

3 – Gebruik principes en patronen

De volgende basisprincipes dienen – ook vanuit het oogpunt van de wet- en regelgeving ten aanzien van privacy en datalekken – leidend en richtinggevend te zijn bij het opzetten van een security architectuur:

  1. Need to know – zorg ervoor dat de security architectuur zodanig is opgebouwd dat mensen alleen informatie kunnen inzien of gebruiken waar ze op basis van hun rol of functie toegang toe moeten hebben;
  2. Least priviliged – zorg ervoor dat mensen voldoende informatie hebben om de processen waaraan ze werken goed uit te kunnen voeren. Maar niet meer dan strikt noodzakelijk is.
  3. Keep it simple stupid (KISS) – vermijd complexiteit. Zorg ervoor dat de security architectuur logisch en begrijpelijk is opgezet.

4 – Zorg voor een gedegen organisatorische inrichting

Bij het opzetten van een security architectuur is aandacht voor mens, proces en techniek essentieel. Organisaties worstelen nogal eens met de inrichting van hun informatiehuishouding. Reden hiervoor is vaak dat specifieke functies niet aanwezig zijn of onvoldoende zijn ingevuld. Denk aan het invullen van de CISO-rol door het Hoofd IT of het inzetten van een jurist als parttime privacy officer. Daarnaast vereist een gedegen organisatorische inrichting heldere processen en de juiste technische systemen.

5 – Zorg voor borging van architectuur in het Implementatietraject

Architecten zijn verantwoordelijk voor het ontwerp van een nieuwe omgeving/ infrastructuur. Maar als met de daadwerkelijke bouw wordt begonnen verdwijnt de architectuur-functie vaak uit beeld. Bovendien wordt – nadat de bouw voltooid is – in veel gevallen geen review uitgevoerd om te bepalen of de opgeleverde omgeving conform ontwerp is. Om ervoor te zorgen dat er geen discrepantie ontstaat, dient architectuur betrokken te worden bij de uitvoering van het bouwtraject. Niet alleen om te waarborgen dat er conform ontwerp wordt opgeleverd, maar ook omdat architectuur op die manier de inzichten en ervaringen die zij opdoet kan meenemen bij toekomstige ontwerpen.