turvallisuusarkkitehtuurin

Turvallisuusarkkitehtuuri on organisaation tieto- ja teknologiaomaisuuden suojaamisen suunnittelua ja hallintaa koskeva kokonaisuus. Sen tavoitteena on laatia turvallisuusnäkökohdat osaksi yritysarkkitehtuuria sekä IT-infrastruktuuria ja ehkäistä riskejä määriteltyjen käytäntöjen sekä teknisten ratkaisujen avulla.

Kokonaisuus kattaa useita osa-alueita, kuten verkko-, sovellus- ja tietoturvallisuuden, identiteetin ja pääsynhallinnan sekä tiedon suojauksen. Lisäksi huomioidaan pilvi-, mobiili- ja fyysinen turvallisuus sekä turvallinen kehitys ja operointi. Toteutuksessa sovelletaan defense in depth -periaatetta, vähiten oikeuksia ja eriyttämistä.

Prosessi sisältää vaatimusten määrittelyn, arkkitehtuurin suunnittelun, uhkien mallintamisen ja riskien arvioinnin sekä turvallisuusvaatimusten integroinnin osaksi kehitystä ja operointia. Käytetään uhkien mallintamista sekä arkkitehtuurikohtaisia turvatoimia ja standardeja.

Tyypillisiä viitekehyksiä ovat ISO/IEC 27001/27002, ISO 27005, NIST Cybersecurity Framework sekä TOGAFin ja SABSA:n turvallisuusmallit. Modernit periaatteet, kuten Zero Trust, voivat ohjata arkkitehtuurin suunnittelua.

Tuloksena syntyy arkkitehtuurikuvaus, turvajärjestelyiden kirjasto, kehityssuunnitelmat ja vaatimustenmukaisuuden osoitukset. Turvallisuusarkkitehtuurin tarkoitus on parantaa organisaation resilienssiä, tukea liiketoimintaa ja mahdollistaa nopean sekä systemaattisen reagoinnin turvallisuusuhkiin.