Cos'è l'Enterprise Information Security Architecture?

Le spese per la sicurezza e la gestione dei rischi sono in aumento in tutto il mondo. Ma su quali miglioramenti dovresti concentrarti per rafforzare al meglio il tuo programma di cybersecurity?

Per molte organizzazioni, costruire una solida architettura di sicurezza delle informazioni dovrebbe essere in cima alla lista. Continua a leggere per scoprire cos'è l'architettura di sicurezza delle informazioni e come può aiutarti a proteggere i tuoi asset IT critici dalle minacce alla sicurezza con meno lavoro e preoccupazioni.

Cos'è l'architettura della sicurezza delle informazioni aziendali?

Un modo semplice per definire l'architettura della sicurezza delle informazioni aziendali (EISA) è dire che è il sottoinsieme dell'architettura aziendale (EA) focalizzato sulla protezione dei dati aziendali.

Una definizione più completa è che EISA descrive i principi e le procedure di sicurezza fondamentali di un'organizzazione per la protezione dei dati — includendo non solo e altri sistemi, ma anche le squadre di personale e i loro ruoli e funzioni. Queste informazioni sono fornite nel contesto dei requisiti organizzativi, delle priorità, della tolleranza al rischio e di altri fattori correlati, per aiutare a garantire che l'EISA rifletta sia le esigenze aziendali attuali che future.

Elementi chiave

Ecco gli elementi chiave di un'EISA e lo scopo di ciascuno:

• Contesto aziendale— Definisce i casi d'uso delle informazioni aziendali e la loro importanza per il raggiungimento degli obiettivi di business.
• Strato concettuale— Fornisce una visione generale, inclusi il profilo aziendale e gli attributi di rischio.
• Strato logico— Definisce i percorsi logici tra informazioni, servizi, processi e applicazioni
• Implementazione— Definisce come dovrebbe essere implementata l'EISA.
• Soluzioni— Descrive il software, i dispositivi, i processi e altri componenti utilizzati per mitigare le vulnerabilità di sicurezza e mantenere la sicurezza per il futuro.

Benefici di un EISA

Avere un solido EISA è inestimabile per guidare la pianificazione della sicurezza a tutti i livelli. Fornisce le informazioni dettagliate necessarie per prendere le migliori decisioni su quali processi e soluzioni implementare in tutto l'ambiente IT e come gestire il ciclo di vita della tecnologia.

Inoltre, un'architettura di sicurezza delle informazioni aziendali accuratamente documentata e pubblicata è fondamentale per la conformità con molti standard industriali moderni e mandati legali.

Sfide nella creazione di un EISA

Lo sviluppo di una strategia EISA ottimale può essere difficile, specialmente quando i seguenti fattori comuni sono in gioco:

• La mancanza di comunicazione e coordinamento tra i vari dipartimenti o team quando si tratta di gestire i rischi e mantenere la sicurezza informatica
• Il mancato chiarimento degli obiettivi dell'EISA
• Mancanza di comprensione tra utenti e parti interessate riguardo la necessità di dare priorità alla sicurezza delle informazioni
• Difficoltà nel calcolare il costo e il ROI degli strumenti software per la protezione dei dati
• Mancanza di fondi per affrontare adeguatamente le questioni di sicurezza
• Insoddisfazione per le precedenti misure di sicurezza sviluppate, come il filtraggio dello spam che segnala corrispondenza valida e critica
• Mancate conformità precedenti ai requisiti normativi o agli obiettivi aziendali,
• Preoccupazioni riguardo l'inefficacia degli investimenti precedenti in sicurezza IT

Compiti principali nella costruzione di un'EISA

La costruzione di un'architettura di sicurezza delle informazioni aziendali include i seguenti compiti:

• Identificare e mitigare le lacune e le vulnerabilità nell'attuale architettura di sicurezza.
• Analizza le minacce alla sicurezza attuali ed emergenti e come mitigarle.
• Eseguire regolarmente una security risk assessment. I rischi da considerare includono cyberattacchi, malware, perdite di dati personali di clienti o dipendenti e eventi di guasto hardware e software.
• Identificare tecnologie specifiche per la sicurezza (come Privileged Access Management), così come le capacità di sicurezza di soluzioni non specifiche per la sicurezza (come i server di posta elettronica), che possono essere utilizzate nell'EISA.
• Assicurati che l'EISA sia allineata con la strategia aziendale.
• Assicurati che l'EISA ti aiuti a soddisfare i requisiti degli standard di conformità applicabili, come SOX, PCI DSS, HIPAA/HITECH e GDPR.

I 5 passi per il successo EISA

I seguenti 5 passaggi ti aiuteranno a sviluppare un'EISA efficace:

1. Valuta la tua attuale situazione di sicurezza.

Identificate i processi di sicurezza e gli standard con cui la vostra organizzazione sta attualmente operando. Poi analizzate dove mancano le disposizioni di sicurezza per i diversi sistemi e come possono essere migliorate.

2. Analizzare gli spunti sulla sicurezza (strategici e tecnici).

Collega le intuizioni ottenute nel passo 1 con gli obiettivi aziendali. Assicurati di includere sia misure tecniche che contesto strategico per dare priorità ai tuoi sforzi.

3. Sviluppare il livello di sicurezza logica dell'architettura.

Per creare un'architettura logica per il tuo EISA basata sulle migliori pratiche di sicurezza, utilizza un framework consolidato per assegnare controlli dove la priorità è alta.

4. Progettare l'implementazione EISA.

Trasforma il livello logico in un design attuabile. Sulla base della tua esperienza, risorse e dello stato del mercato, decidi quali elementi sviluppare internamente e quali cose dovrebbero essere gestite da un fornitore.

5. Trattare l'architettura come un processo continuo.

Poiché il panorama delle minacce, l'ambiente IT, il mercato delle soluzioni e le raccomandazioni sulle migliori pratiche sono in costante evoluzione, assicurati di rivedere e aggiornare periodicamente l'architettura della sicurezza delle informazioni.

Scegliere moderni framework EISA

Non c'è bisogno di partire da zero quando si costruisce la propria EISA. Invece, affidati a uno dei diversi framework sviluppati nell'ultimo decennio per creare un'EISA efficace. Personalizzalo come necessario per garantire che funzioni per la tua organizzazione unica.

Ecco i principali framework EISA tra cui scegliere:

The Open Group Architecture Framework (TOGAF)

TOGAF fornisce un insieme di strumenti per creare un'architettura di sicurezza aziendale da zero per la prima volta. Aiuta a definire obiettivi chiari e a colmare il divario tra i diversi livelli della tua EISA. Inoltre, il framework è adattabile per supportarti man mano che le esigenze di sicurezza della tua organizzazione cambiano.

Sherwood Applied Business Security Architecture (SABSA)

SABSA è una metodologia per EA e EISA. È spesso utilizzata insieme ad altri processi come COBIT 5.

COBIT 5

COBIT 5, sviluppato da ISACA, è un framework dettagliato che aiuta le organizzazioni di tutte le dimensioni a gestire e proteggere l'infrastruttura IT. Copre la logica aziendale, i rischi e i requisiti dei processi.

Department of Defense Architecture Framework (DoDAF)

Il DoDAF non è solo per le agenzie governative. Poiché collega le operazioni con la sicurezza delle informazioni, è ideale per aiutare le organizzazioni multi-aziendali con reti IT indipendenti ad affrontare problemi di interoperabilità. Si concentra sulla visualizzazione dell'infrastruttura per i diversi stakeholder dell'impresa.

Federal Enterprise Architecture Framework (FEAF)

Il FEAF è l'architettura aziendale di riferimento per il Governo Federale degli Stati Uniti. È stata sviluppata per aiutare le agenzie federali a riconoscere le aree prioritarie e a costruire pratiche commerciali comuni nonostante le loro esigenze, obiettivi, operazioni e attività uniche. Può aiutare sia le agenzie governative che le organizzazioni private con EISA così come con EA.

Zachman Framework

Il Zachman Framework è un framework di alto livello spesso utilizzato per creare EA, ma può anche essere tradotto in un approccio EISA top-down. Basato sulle sei domande fondamentali — cosa, come, quando, chi, dove e perché — ha sei strati: Identificazione, Definizione, Rappresentazione, Specificazione, Configurazione e Istanza.

Domande frequenti

Cos'è la cybersecurity aziendale?

La cybersecurity aziendale si riferisce all'architettura, ai protocolli e agli strumenti utilizzati per proteggere gli asset aziendali, sia interni che su internet, dagli attacchi informatici interni ed esterni all'impresa.

La cybersecurity aziendale differisce dalla cybersecurity generale in quanto le moderne imprese dispongono di un'infrastruttura complessa che richiede una solida politica di sicurezza, valutazioni costanti e una gestione efficace per evitare incidenti di sicurezza.

Qual è l'architettura di sicurezza di un sistema informativo?

L'architettura di sicurezza di un sistema informativo definisce il quadro, i protocolli, i modelli e i metodi necessari per proteggere i dati che il sistema raccoglie, memorizza ed elabora.

La sicurezza architettonica fa parte dell'architettura aziendale?

Sì. L'architettura della sicurezza è un pilastro dell'architettura aziendale, poiché valuta e migliora la sicurezza e la privacy. Senza un adeguato impegno per la sicurezza, l'intera infrastruttura aziendale — e di conseguenza l'intero business — è a rischio.