Werken als Security Architect

Wat doet een Security Architect?

Een Security Architect plant en ontwerpt de beveiligingsmaatregelen voor systemen, diensten en infrastructuur, en legt vast wat er moet gelden voordat iemand ze bouwt. De architect vertaalt wat de organisatie wil bereiken en welke risico's ze loopt naar eisen en een ontwerp. Daarna bewaakt hij dat de bouw bij dat ontwerp blijft, en past hij het aan als er iets verandert.

Stel dat een organisatie een klantenportaal in de cloud wil bouwen. De Security Architect haalt eerst op wat het portaal moet kunnen en welke gegevens erin komen. Met het team loopt hij de dreigingen langs: hoe kan een aanvaller via het portaal bij klantgegevens komen, en wat gebeurt er als een account wordt overgenomen? Daarna komt hij tot een ontwerp. Hij bepaalt welke onderdelen gescheiden worden, hoe klanten en medewerkers zich aanmelden, welke gegevens worden versleuteld en welke logs worden bijgehouden voor het security operations center.

Dat legt hij vast in een architectuurdiagram en een lijst met eisen. Hij presenteert het ontwerp aan het team en aan belanghebbenden, en beantwoordt vragen over kosten en haalbaarheid. Tijdens de bouw beoordeelt hij of het gebouwde nog bij het ontwerp past. Als een eis niet haalbaar blijkt, past hij het ontwerp aan of legt hij uit welk risico overblijft.

Een tweede voorbeeld is de koppeling van een externe leverancier aan het interne netwerk, met brede toegang tot gegevens. De architect beoordeelt wat de koppeling nodig heeft, wat de leverancier mag zien en hoe de toegang wordt beperkt en gecontroleerd.

De titel van de functie verschilt per organisatie. Bij sommige organisaties heet de rol Cloud Security Architect, Solutions Architect (security) of Enterprise Security Architect, en bij andere is het een onderdeel van een brede architectenrol. De Enterprise Architect kijkt naar de hele IT-omgeving van een organisatie, terwijl de Security Architect zich richt op wat daarbinnen veilig moet zijn. Er is overlap tussen die rollen, en de vacature laat zien welke scope de organisatie bedoelt.

Welke taken horen bij de functie?

Het ENISA-profiel beschrijft de hoofdtaken van een Cybersecurity Architect. Dat is de beschrijving van een typische rol, geen functieomschrijving van een bepaalde werkgever. De taken vallen in drie blokken uiteen.

Ontwerpen en vastleggen. De architect ontwerpt een beveiligde architectuur die de strategie van de organisatie ondersteunt en legt die vast in documentatie en specificaties. Hij presenteert het ontwerp op hoofdlijnen aan belanghebbenden.

Begeleiden van de bouw. Tijdens de ontwikkelcyclus van systemen, diensten en producten helpt de architect een veilige werkwijze in te richten. Hij coördineert de ontwikkeling, integratie en het onderhoud van beveiligingscomponenten en werkt samen met andere teams.

Toetsen en bijsturen. De architect analyseert en evalueert de cybersecurity van de architectuur. Via security reviews en certificering borgt hij de beveiliging van oplossingsarchitecturen. Een review betekent dat hij een ontwerp of een oplossing beoordeelt en aangeeft wat er nog moet gebeuren. Ook past hij de architectuur aan opkomende dreigingen aan.

Het profiel noemt twee resultaten. Het Cybersecurity Architecture Diagram is een visuele weergave van de cybersecurityarchitectuur: welke onderdelen er zijn, hoe ze verbonden zijn en waar de beveiligingsmaatregelen zitten. Het Cybersecurity Requirements Report bevat de eisen die nodig zijn om een systeem veilig te houden, zodat iedereen weet waaraan het gebouwde getoetst wordt.

Welke skills heb je nodig?

Het profiel onderscheidt key skills, de vaardigheden die de rol vraagt, en key knowledge, de kennis die erbij hoort. Hieronder de belangrijkste, met een voorbeeld per skill.

• Eisen ophalen en vertalen. Je vraagt wat de gebruiker en het bedrijf nodig hebben en wat dat voor de veiligheid betekent. Bij het portaal is dat de vraag welke gegevens een klant mag zien.
• Systemen ontleden. Je brengt een systeem in onderdelen in kaart en bedenkt hoe een aanvaller het zou kunnen raken.
• Ontwerpen met security by design en privacy by design. Beveiliging en privacy horen in het ontwerp, niet als pleister achteraf. Zie de skillpagina privacy by design.
• Opties afwegen. Je kiest een architectuur op basis van de behoeften en het budget van de belanghebbenden, en legt de keuze uit.
• Single points of failure vermijden. Een beheertoegang die op één account rust, zonder controle, is een voorbeeld van wat je wegwerkt.
• Implementeerders begeleiden. Het profiel noemt "Guide and communicate with implementers and IT/OT personnel". Je legt het ontwerp uit aan wie het bouwt.
• Communiceren, presenteren en rapporteren. Het profiel noemt "Communicate, present and report to relevant stakeholders". Dit weegt zwaar, omdat een ontwerp dat niemand begrijpt, niet wordt gebouwd zoals bedoeld.

Qua kennis gaat het om standaarden, methodieken en kaders voor cybersecurity, de secure development lifecycle, referentiemodellen voor beveiligingsarchitectuur, risico's en dreigingen, wet- en regelgeving en privacyverbeterende technologieën (PET). Je hoeft niet alles zelf te bouwen, maar je moet begrijpen hoe het gebouwd wordt.

Welke kaders en hulpmiddelen gebruikt een Security Architect?

Een kader is een vaste manier van denken die helpt om een ontwerp systematisch te beoordelen. Een architect kan er meerdere gebruiken.

Threat modelling is het systematisch nagaan hoe een aanvaller een ontwerp kan raken, voordat het gebouwd wordt. Je zet de onderdelen van het ontwerp op een rij en loopt per onderdeel langs hoe een aanvaller erbij zou kunnen komen. Zie de skillpagina threat modelling.

Zero trust gaat ervan uit dat aan assets of gebruikersaccounts geen impliciet vertrouwen wordt gegeven. NIST beschrijft in SP 800-207 zero trust als een aanpak die de verdediging verplaatst van statische, netwerkgebaseerde perimeters naar gebruikers, assets en resources. Zie de skillpagina zero trust.

Architectuurframeworks zoals TOGAF zijn methodieken voor enterprise-architectuur. The Open Group omschrijft de TOGAF Standard als een beproefde methodologie en een beproefd framework voor enterprise-architectuur. De actuele editie is de TOGAF Standard, 10th Edition (The Open Group). Een Security Architect kan het kennen, maar het is geen verplichting.

Referentiearchitecturen en standaarden geven een startpunt voor het ontwerp. Een referentiearchitectuur is een voorbeeldontwerp, en een standaard of kader, zoals het NIST Cybersecurity Framework, kan als maatstaf dienen waaraan een ontwerp getoetst wordt.

Diagrammen en documentatie leggen het ontwerp vast, zodat het te lezen, te toetsen en uit te leggen is.

Security Architect of Security Engineer?

Denk aan hetzelfde klantenportaal. De Security Architect bepaalt wat er moet gelden: de database mag alleen vanuit de applicatie bereikbaar zijn en alle toegang wordt gelogd. De Security Engineer stelt de netwerkscheiding in, configureert de aanmelding en koppelt de logs. Komt de engineer een probleem tegen, dan gaat hij terug naar de architect voor een andere oplossing. Hetzelfde project krijgt zo twee rollen, met elk een eigen vraag.

De architect begeleidt de implementeerders, en de Security Engineer bouwt wat de architect heeft vastgelegd. Bij sommige organisaties doet één persoon beide, vooral in kleine teams, en de vacatures voor Security Architect en Security Engineer laten zien welke scope daarbij hoort.

Welke opleiding en certificeringen passen bij een Security Architect?

Een hbo- of wo-opleiding in ICT is gangbaar, en een opleiding in security past ook. Bij sommige organisaties komt de rol pas na ervaring in een uitvoerende functie, zoals Security Engineer, Cloud Security Engineer, IAM Engineer of netwerkbeheer.

De certificeringen hieronder zijn voorbeelden. De CISSP is een brede basis, en ISC2 noemt de CISSP geschikt voor onder meer de Security Architect (ISC2). Voor wie zich in architectuur wil specialiseren, noemt ISC2 de ISSAP een geschikte certificering voor onder meer een chief security architect. Wie op cloudarchitectuur wil werken, kan kijken naar de CCSP. Voor architectuurmethodiek past TOGAF.

Een certificering vervangt ervaring niet. Of een werkgever er waarde aan hecht, bepaalt de werkgever zelf.

Hoe word je Security Architect?

Er zijn meerdere routes naar de rol. Je kunt instromen vanuit de functie van Security Engineer of Cloud Security Engineer, vanuit IT-architectuur, of vanuit IAM of netwerkwerk. Je kunt zelf beginnen met de volgende stappen:

• Kom in een projectteam waar je mag meedenken over het ontwerp.
• Maak een eigen ontwerp, bijvoorbeeld een klein klantenportaal, met een diagram en een lijst met eisen.
• Laat een collega het beoordelen en verwerk de kritiek.
• Oefen threat modelling op een bestaand systeem.
• Leer uitleggen aan mensen die niet technisch zijn.

Dat laat je zien in een gesprek: het ontwerp, de review en de manier waarop je het uitlegt. Het is geen garantie op een overstap, maar het laat zien wat je kunt.

Waar werk je en waar groei je naartoe?

Security Architecten werken bij organisaties met een eigen IT-omgeving en meerdere teams die bouwen, bij dienstverleners en consultancy, en bij softwarebedrijven die producten bouwen en beveiligen. Sectoren waar security-teams voorkomen zijn financiële dienstverlening, de rijksoverheid en energie en infrastructuur. Zorg en life sciences kennen ook security-teams.

Doorgroei loopt in een aantal richtingen:

• Naar de Chief Information Security Officer: je bent verantwoordelijk voor strategie en verantwoording voor de hele organisatie. Zie de rolgids CISO en het artikel over het verschil tussen een Information Security Officer en een CISO.
• Naar Head of Security of Security Manager: je stuurt een team aan en bepaalt het beleid. Zie de rolgids Security Manager.
• Een specialistische weg, zoals cloud- of OT-architectuur, waarin je dieper in het vak gaat.

Dit is een overzicht van rollen, geen belofte. Welke route openstaat, hangt af van de organisatie en van wat je laat zien.

Vacatures en werkgevers

Op de vacaturepagina voor Security Architecten zie je welke vacatures openstaan. Op de werkgeverspagina zie je welke werkgevers Security Architecten zoeken. De titel verschilt per organisatie, dus lees in de vacature welke scope erbij hoort.