Turvallisuusarkkitehtuuri

Turvallisuusarkkitehtuuri on organisaation tai järjestelmän turvallisuuden suunnittelua ja kuvaamista siten, että riskit hallitaan liiketoimintavaatimusten puitteissa. Siinä määritellään, miten ihmiset, prosessit ja teknologia yhdessä suojaavat tietoja, toimintoja ja infrastruktuuria sekä miten turvallisuus on integroitu osaksi arkkitehtuuria sekä lyhyellä että pitkällä aikavälillä. Turvallisuusarkkitehtuuri tukee liiketoiminnan tavoitteita ja riskienhallintaa sekä varmistaa, että ratkaisut ovat kestäviä, luotettavia ja säädösten mukaisia.

Keskeiset periaatteet ovat defense in depth -lähestymistapa, vähiten oikeuksin (least privilege) sekä tarve-tiedon mukaan oikeudet (need-to-know), turva suunnitteluvaiheessa ja oletuspäätösten turvaaminen, läpinäkyvyys ja auditoitavuus, sekä vastuun ja eriyttämisen periaatteet. Arkkitehtuuri pyrkii minimoimaan riskit käyttöönoton ja muutosten aikana sekä tarjoamaan palautumiskyvyn häiriötilanteissa.

Arkkitehtuurin osa-alueet kattavat hallinnon ja riskienhallinnan, turvallisuusvaatimusten määrittelyn, arkkitehtuurin näkökulmien hallinnan, sekä käytännön suojausmekanismit. Tärkeitä osa-alueita ovat identiteetti- ja pääsynhallinta, tietoturva datan sekä siirron suojaaminen, verkko- ja sovellusturvallisuus, pilvi- ja etäpalveluiden turvallisuus, kehitysprosessi (DevSecOps), valvonta sekä kyvykkyys vastata ja palautua uhkista.

Turvallisuusarkkitehtuuri perustuu usein kansainvälisiin standardeihin ja malleihin, kuten ISO/IEC 27001 ja 27002, riskinarviointiin ISO/IEC 27005 sekä NIST SP 800-53 -viitekehyksiin. TOGAFin kaltaiset arkkitehtuurikehykset voivat tukea turvallisuusnäkökulmia osana laajempaa yritysarkkitehtuuria.