tietoturvaarkkitehtuuria

Tietoturva-arkkitehtuuri on organisaation tietoturvatavoitteiden toteuttamiseen tarkoitun viitekehyksen, prosessien ja teknisten ratkaisujen kokonaisuus. Se kuvaa, miten turvallisuuskontrollit suunnitellaan, integroidaan ja hallitaan osana liiketoiminnan arkkitehtuuria. Tavoitteena on suojata tietovarannot, varmistaa luottamuksellisuus, eheys ja saatavuus sekä hallita riskejä liiketoiminnan tarpeiden mukaan.

Keskeisiä periaatteita ovat defense in depth, vähiten etuoikeus (least privilege), tehtävien eriyttäminen ja jatkuva parantaminen. Arkkitehtuuri huomioi sekä tekniset että organisatoriset kontrollit, riskiperustaisen priorisoinnin ja vaatimustenmukaisuuden.

Tyypillisiä kerroksia ja komponentteja ovat identiteetin ja pääsyn hallinta, verkko- ja sovellussuojaus, tietojen salaus ja eheys sekä varmuuskopiointi ja palautus. Hyödynnetään viitekehyksiä kuten ISO/IEC 27001/27002, NIST SP 800-53, SABSA ja TOGAFin turvallisuusarkkitehtuurin laajennukset. Zero Trust -lähestymistapa on keskeinen nykyisissä pilvi- ja hybridiympäristöissä.

Elinkaari ja hallinta: arkkitehtuuria kehitetään alkaen nykytilan kartoituksesta, tavoitteiden ja vaatimusten määrittelystä, standardien ja ohjeiden laatimisesta sekä toteutuksen valvonnasta. Riskien seuranta, auditointi ja sidosryhmien osallistaminen ovat jatkuvia.

Keskeisiä artefakteja ovat turvallisuusarkkitehtuurikuvaus, arkkitehtuuri- ja turvallisuusperiaatteet, tiekartta, turvallisuuskontrollien luettelo sekä riskirekisteri. Roolit kattavat turvallisuusarkkitehdit, tietoturvajohtamisen, IT-johtamisen sekä liiketoiminnan omistajat ja sidosryhmät.