Qu'est-ce que l'architecture de sécurité de l'information d'entreprise ?

Les dépenses en sécurité et gestion des risques sont en forte hausse dans le monde entier. Mais sur quelles améliorations devriez-vous vous concentrer ensuite pour renforcer au mieux votre programme de cybersécurité ?

Pour de nombreuses organisations, construire une architecture de sécurité de l'information solide devrait être une priorité absolue. Continuez à lire pour apprendre ce qu'est l'architecture de sécurité de l'information et comment elle peut vous aider à protéger vos actifs informatiques critiques contre les menaces de sécurité avec moins d'efforts et d'inquiétudes.

Qu'est-ce que l'architecture de sécurité de l'information d'entreprise ?

Une manière simple de définir l'architecture de sécurité de l'information d'entreprise (EISA) est de dire que c'est la partie de l'architecture d'entreprise (EA) axée sur la sécurisation des données de l'entreprise.

Une définition plus complète est que EISA décrit les principes et procédures de sécurité fondamentaux d'une organisation pour sécuriser les données — incluant non seulement et d'autres systèmes, mais aussi les équipes de personnel et leurs rôles et fonctions. Ces informations sont fournies dans le contexte des exigences organisationnelles, des priorités, de la tolérance au risque et des facteurs connexes, pour aider à garantir que l'EISA reflète à la fois les besoins commerciaux actuels et futurs.

Éléments clés

Voici les éléments clés d'une EISA et la finalité de chacun :

• Contexte commercial— Définit les cas d'utilisation des informations d'entreprise et leur importance pour atteindre les objectifs commerciaux.
• Couche conceptuelle— Fournit une vue d'ensemble, incluant le profil de l'entreprise et les attributs de risque.
• Couche logique— Définit les chemins logiques entre les informations, les services, les processus et l'application
• Mise en œuvre— Définit comment l'EISA doit être mise en œuvre.
• Solutions— Détaille les logiciels, appareils, processus et autres composants utilisés pour atténuer les vulnérabilités de sécurité et maintenir la sécurité pour l'avenir.

Avantages d'une EISA

Disposer d'une EISA solide est inestimable pour guider la planification de la sécurité à tous les niveaux. Elle fournit les informations détaillées nécessaires pour prendre les meilleures décisions concernant les processus et solutions à mettre en œuvre dans l'environnement informatique et comment gérer le cycle de vie de la technologie.

De plus, une architecture de sécurité de l'information d'entreprise soigneusement documentée et publiée est essentielle pour se conformer à de nombreuses normes industrielles modernes et obligations légales.

Défis de la création d'une EISA

Le développement d'une stratégie EISA optimale peut être difficile, en particulier lorsque les facteurs communs suivants sont en jeu :

• Le manque de communication et de coordination entre les différents départements ou équipes lorsqu'il s'agit de gérer les risques et de maintenir la sécurité informatique
• L'échec à exprimer clairement les objectifs de l'EISA
• Manque de compréhension parmi les utilisateurs et les parties prenantes sur la nécessité de prioriser la sécurité de l'information
• Difficulté à calculer le coût et le ROI des outils logiciels de protection des données
• Manque de financement pour traiter correctement les problèmes de sécurité
• Insatisfaction concernant les mesures de sécurité antérieures qui ont été développées, telles que le filtrage des spams qui marque des correspondances valides et critiques
• Les échecs antérieurs à répondre aux exigences réglementaires ou aux objectifs commerciaux,
• Préoccupations concernant l'inefficacité des investissements antérieurs en sécurité informatique

Tâches clés dans la construction d'une EISA

La construction d'une architecture de sécurité de l'information d'entreprise comprend les tâches suivantes :

• Identifiez et atténuez les lacunes et vulnérabilités dans l'architecture de sécurité actuelle.
• Analysez les menaces de sécurité actuelles et émergentes ainsi que les moyens de les atténuer.
• Effectuez régulièrement une évaluation des risques de sécurité. Les risques à prendre en compte incluent les cyberattaques, les logiciels malveillants, les fuites de données personnelles de clients ou d'employés, ainsi que les défaillances matérielles et logicielles.
• Identifiez les technologies spécifiques à la sécurité (telles que Privileged Access Management), ainsi que les capacités de sécurité des solutions non dédiées à la sécurité (telles que les serveurs de courriels), qui peuvent être utilisées dans l'EISA.
• Assurez-vous que l'EISA est aligné avec la stratégie commerciale.
• Assurez-vous que l'EISA vous aide à répondre aux exigences des normes de conformité applicables, telles que SOX, PCI DSS, HIPAA/HITECH et GDPR.

Les 5 étapes vers le succès de l'EISA

Les 5 étapes suivantes vous aideront à développer une EISA efficace :

1. Évaluez votre situation de sécurité actuelle.

Identifiez les processus et normes de sécurité avec lesquels votre organisation fonctionne actuellement. Analysez ensuite où les dispositions de sécurité font défaut pour différents systèmes et comment elles peuvent être améliorées.

2. Analysez les insights de sécurité (stratégiques et techniques).

Associez les connaissances acquises à l'étape 1 à vos objectifs commerciaux. Assurez-vous d'inclure à la fois des mesures techniques et un contexte stratégique pour prioriser vos efforts.

3. Développez la couche de sécurité logique de l'architecture.

Pour créer une architecture logique pour votre EISA basée sur les meilleures pratiques de sécurité, utilisez un cadre établi pour attribuer des contrôles là où la priorité est élevée.

4. Concevez la mise en œuvre de l'EISA.

Transformez la couche logique en un design réalisable. En fonction de votre expertise, des ressources et de l'état du marché, décidez quels éléments développer en interne et quelles choses devraient être gérées par un fournisseur.

5. Considérez l'architecture comme un processus continu.

Étant donné que le paysage des menaces, votre environnement informatique, le marché des solutions et les recommandations des meilleures pratiques évoluent constamment, assurez-vous de revoir et de réviser périodiquement votre architecture de sécurité de l'information.

Choisir des cadres EISA modernes

Il n'est pas nécessaire de repartir de zéro pour construire votre EISA. Au lieu de cela, appuyez-vous sur l'un des nombreux cadres développés au cours de la dernière décennie pour créer une EISA efficace. Adaptez-le selon les besoins pour garantir qu'il fonctionne pour votre organisation unique.

Voici les principaux cadres EISA à choisir :

The Open Group Architecture Framework (TOGAF)

TOGAF fournit un ensemble d'outils pour créer une architecture de sécurité d'entreprise à partir de zéro pour la première fois. Il vous aide à définir des objectifs clairs et à combler le fossé entre les différentes couches de votre EISA. De plus, le cadre est adaptable pour vous soutenir à mesure que les besoins de sécurité de votre organisation changent.

Sherwood Applied Business Security Architecture (SABSA)

SABSA est une méthodologie pour l'EA et l'EISA. Elle est souvent utilisée avec d'autres processus comme COBIT 5.

COBIT 5

COBIT 5, développé par ISACA, est un cadre détaillé qui aide les organisations de toutes tailles à gérer et sécuriser l'infrastructure informatique. Il couvre la logique commerciale, les risques et les exigences des processus.

Cadre d'architecture du Département de la Défense (DoDAF)

Le DoDAF n'est pas uniquement destiné aux agences gouvernementales. Puisqu'il relie les opérations à la sécurité de l'information, il est idéal pour aider les organisations multi-entreprises avec des réseaux informatiques indépendants à résoudre les problèmes d'interopérabilité. Il se concentre sur la visualisation de l'infrastructure pour les différents intervenants de l'entreprise.

Cadre d'architecture d'entreprise fédérale (FEAF)

Le FEAF est l'architecture d'entreprise de référence pour le gouvernement fédéral des États-Unis. Elle a été développée pour aider les agences fédérales à reconnaître les domaines prioritaires et à établir des pratiques commerciales communes malgré leurs besoins, objectifs, opérations et activités uniques. Elle peut aider tant les agences gouvernementales que les organisations privées avec l'EISA ainsi que l'EA.

Cadre Zachman

Le Zachman Framework est un cadre de haut niveau souvent utilisé pour créer des EA, mais il peut également être traduit en une approche EISA descendante. Basé sur les six questions fondamentales — quoi, comment, quand, qui, où et pourquoi — il comporte six couches : Identification, Définition, Représentation, Spécification, Configuration et Instantiation.

Foire aux questions

Qu'est-ce que la cybersécurité d'entreprise ?

La cybersécurité d'entreprise fait référence à l'architecture, aux protocoles et aux outils utilisés pour protéger les actifs d'entreprise, tant internes que sur Internet, contre les cyberattaques internes et externes à l'entreprise.

La cybersécurité d'entreprise se distingue de la cybersécurité générale en ce que les entreprises modernes disposent d'une infrastructure complexe qui nécessite une politique de sécurité, des évaluations constantes et une gestion efficace pour éviter les incidents de sécurité.

Quelle est l'architecture de sécurité d'un système d'information ?

L'architecture de sécurité d'un système d'information définit le cadre, les protocoles, les modèles et les méthodes nécessaires pour protéger les données que le système collecte, stocke et traite.

L'architecture de sécurité fait-elle partie de l'architecture d'entreprise ?

Oui. L'architecture de sécurité est un pilier de l'architecture d'entreprise, car elle évalue et améliore la sécurité et la confidentialité. Sans efforts de sécurité appropriés, toute l'infrastructure d'entreprise — et par conséquent l'ensemble de l'activité commerciale — est à risque.