O que é a Arquitetura de Segurança da Informação Empresarial?

Os gastos com segurança e gestão de riscos estão disparando em todo o mundo. Mas exatamente em quais melhorias você deve se concentrar a seguir para fortalecer melhor o seu programa de cibersegurança?

Para muitas organizações, construir uma arquitetura de segurança da informação sólida deve estar no topo da lista. Continue lendo para aprender o que é arquitetura de segurança da informação e como ela pode ajudá-lo a proteger seus ativos críticos de TI contra ameaças à segurança com menos trabalho e preocupação.

O que é a arquitetura de segurança da informação empresarial?

Uma maneira simples de definir a arquitetura de segurança da informação empresarial (EISA) é dizer que é o subconjunto da arquitetura empresarial (EA) focado na proteção dos dados da empresa.

Uma definição mais abrangente é que EISA descreve os princípios e procedimentos de segurança essenciais de uma organização para a proteção de dados — incluindo não apenas e outros sistemas, mas também equipes de pessoal e suas funções e atribuições. Essas informações são fornecidas no contexto das necessidades organizacionais, prioridades, tolerância a riscos e fatores relacionados, para ajudar a garantir que o EISA reflita tanto as necessidades comerciais atuais quanto as futuras.

Elementos-chave

Aqui estão os elementos-chave de um EISA e o propósito de cada um:

• Contexto empresarial— Define casos de uso de informações empresariais e sua importância para alcançar objetivos de negócios.
• Camada conceitual— Fornece uma visão geral, incluindo o perfil da empresa e os atributos de risco.
• Camada lógica— Define os caminhos lógicos entre informações, serviços, processos e aplicação
• Implementação— Define como o EISA deve ser implementado.
• Soluções— Detalha o software, dispositivos, processos e outros componentes usados para mitigar vulnerabilidades de segurança e manter a segurança para o futuro.

Benefícios de um EISA

Ter uma EISA sólida é inestimável para orientar o planejamento de segurança em todos os níveis. Ela fornece as informações detalhadas necessárias para tomar as melhores decisões sobre quais processos e soluções implementar em todo o ambiente de TI e como gerenciar o ciclo de vida da tecnologia.

Além disso, uma arquitetura de segurança da informação empresarial cuidadosamente documentada e publicada é vital para a conformidade com muitos padrões industriais modernos e mandatos legais.

Desafios na criação de um EISA

O desenvolvimento de uma estratégia EISA ótima pode ser difícil, especialmente quando os seguintes fatores comuns estão em jogo:

• Falta de comunicação e coordenação entre os vários departamentos ou equipes quando se trata de gerenciar riscos e manter a segurança de TI
• A falha em articular claramente os objetivos do EISA
• Falta de compreensão entre usuários e partes interessadas sobre a necessidade de priorizar a segurança da informação
• Dificuldade em calcular o custo e o ROI de ferramentas de software de proteção de dados
• Falta de financiamento para abordar adequadamente as questões de segurança
• Insatisfação com medidas de segurança anteriores que foram desenvolvidas, como a filtragem de spam que marca correspondências válidas e críticas
• Falhas anteriores em atender aos requisitos regulatórios ou objetivos de negócios,
• Preocupações com a ineficácia dos investimentos anteriores em segurança de TI

Tarefas principais na construção de um EISA

Construir uma arquitetura de segurança da informação empresarial inclui as seguintes tarefas:

• Identifique e mitigue lacunas e vulnerabilidades na arquitetura de segurança atual.
• Analise as ameaças de segurança atuais e emergentes e como mitigá-las.
• Realize avaliações regulares de security risk assessment. Os riscos a considerar incluem ciberataques, malware, vazamentos de dados pessoais de clientes ou funcionários e eventos de falha de hardware e software.
• Identifique tecnologias específicas de segurança (como Privileged Access Management), bem como as capacidades de segurança de soluções não específicas de segurança (como servidores de email), que podem ser utilizadas na EISA.
• Garanta que o EISA esteja alinhado com a estratégia de negócios.
• Garanta que a EISA ajude você a atender aos requisitos de padrões de conformidade aplicáveis, como SOX, PCI DSS, HIPAA/HITECH e GDPR.

Os 5 passos para o sucesso do EISA

Os seguintes 5 passos ajudarão você a desenvolver um EISA eficaz:

1. Avalie sua situação de segurança atual.

Identifique os processos e padrões de segurança com os quais sua organização está operando atualmente. Em seguida, analise onde as provisões de segurança estão deficientes para diferentes sistemas e como elas podem ser melhoradas.

2. Analise insights de segurança (estratégicos e técnicos).

Vincule as percepções obtidas na etapa 1 aos seus objetivos de negócio. Certifique-se de incluir tanto medidas técnicas quanto contexto estratégico para priorizar seus esforços.

3. Desenvolva a camada de segurança lógica da arquitetura.

Para criar uma arquitetura lógica para sua EISA baseada nas melhores práticas de segurança, utilize um framework estabelecido para atribuir controles onde a prioridade é alta.

4. Projete a implementação do EISA.

Transforme a camada lógica em um design implementável. Com base em sua experiência, recursos e no estado do mercado, decida quais elementos desenvolver internamente e quais coisas devem ser gerenciadas por um fornecedor.

5. Trate a arquitetura como um processo contínuo.

Uma vez que a paisagem de ameaças, o seu ambiente de TI, o mercado de soluções e as recomendações de melhores práticas estão em constante evolução, certifique-se de revisar e atualizar periodicamente a sua arquitetura de segurança da informação.

Escolhendo frameworks modernos EISA

Não há necessidade de começar do zero ao construir sua EISA. Em vez disso, confie em um dos vários frameworks desenvolvidos na última década para criar uma EISA eficaz. Adapte-o conforme necessário para garantir que funcione para sua organização única.

Aqui estão os principais frameworks da EISA para escolher:

The Open Group Architecture Framework (TOGAF)

TOGAF fornece um conjunto de ferramentas para criar uma arquitetura de segurança empresarial do zero pela primeira vez. Ajuda a definir objetivos claros e a preencher a lacuna entre as diferentes camadas da sua EISA. Além disso, o framework é adaptável para apoiá-lo à medida que as necessidades de segurança da sua organização mudam.

Sherwood Applied Business Security Architecture (SABSA)

SABSA é uma metodologia para EA e EISA. É frequentemente utilizada com outros processos como COBIT 5.

COBIT 5

COBIT 5, desenvolvido pela ISACA, é um framework detalhado que ajuda organizações de todos os tamanhos a gerir e proteger a infraestrutura de TI. Abrange lógica empresarial, riscos e requisitos de processo.

Department of Defense Architecture Framework (DoDAF)

O DoDAF não é apenas para agências governamentais. Como ele vincula operações com segurança da informação, é ideal para ajudar organizações multiempresariais com redes de TI independentes a lidar com questões de interoperabilidade. Ele se concentra na visualização da infraestrutura para diferentes partes interessadas na empresa.

Federal Enterprise Architecture Framework (FEAF)

A FEAF é a arquitetura empresarial de referência para o Governo Federal dos EUA. Foi desenvolvida para ajudar as agências federais a reconhecer áreas prioritárias e construir práticas comerciais comuns apesar de suas necessidades, objetivos, operações e atividades únicas. Pode auxiliar tanto agências governamentais quanto organizações privadas com EISA bem como EA.

Zachman Framework

O Zachman Framework é um framework de alto nível frequentemente utilizado para criar EA, mas também pode ser traduzido para uma abordagem EISA de cima para baixo. Baseado nas seis perguntas fundamentais — o quê, como, quando, quem, onde e por quê — possui seis camadas: Identificação, Definição, Representação, Especificação, Configuração e Instanciação.

Perguntas frequentes

O que é cibersegurança empresarial?

A cibersegurança empresarial refere-se à arquitetura, protocolos e ferramentas usadas para proteger os ativos empresariais, tanto internos quanto na internet, contra ataques cibernéticos internos e externos à empresa.

A cibersegurança empresarial difere da cibersegurança geral pelo fato de que as empresas modernas possuem uma infraestrutura complexa que exige uma política de segurança, avaliações constantes e uma gestão eficaz para evitar incidentes de segurança.

Qual é a arquitetura de segurança de um sistema de informação?

A arquitetura de segurança de um sistema de informação define a estrutura, protocolos, modelos e métodos necessários para proteger os dados que o sistema coleta, armazena e processa.

A arquitetura de segurança faz parte da arquitetura empresarial?

Sim. A arquitetura de segurança é um pilar da arquitetura empresarial, pois avalia e melhora a segurança e a privacidade. Sem os devidos esforços de segurança, toda a infraestrutura empresarial — e, consequentemente, todo o negócio — está em risco.