Estabelecer uma disciplina de arquitetura de segurança

Este artigo ajuda as equipes de segurança e tecnologia a estabelecer e modernizar uma disciplina de Arquitetura de Segurança que fornece uma visão técnica clara e de ponta a ponta para a segurança em toda a organização.

As disciplinas de segurança são agrupamentos de trabalhos de segurança relacionados que ajudam as organizações a fornecer resultados de segurança consistentemente em toda a propriedade tecnológica. No modelo de adoção de segurança, as disciplinas ajudam a fornecer uma ponte entre cenários de negócios e implementação técnica, garantindo que os investimentos em segurança se traduzam em resultados reais mensuráveis como parte do modelo de adoção de segurança.

Por que essa disciplina?

As abordagens de arquitetura de segurança tradicionais geralmente são:

• Centrado em rede ou focado em perímetro
• Fragmentado entre equipes e ferramentas
• Limitado a diagramas estáticos ou documentos de referência
• Desconectado do design, da implementação e das operações diárias

Essas limitações dificultam o gerenciamento da segurança como um sistema. Em vez disso, as organizações acabam otimizando ferramentas ou plataformas individuais isoladamente, o que leva a inconsistências, lacunas, conflitos e aumento do risco.

A disciplina arquitetura de segurança moderniza esse modelo estabelecendo uma visão técnica coerente e de ponta a ponta que conecta pessoas, processos e tecnologia. Em vez de se concentrar em controles individuais isoladamente, essa disciplina garante que todos os controles e funcionalidades de segurança trabalhem juntos como um sistema integrado alinhado aos princípios Confiança Zero.

Sem uma disciplina efetiva de Arquitetura de Segurança em vigor, as organizações geralmente experimentam:

• Equipes de segurança e tecnologia que operam em silos.
• Soluções de segurança fragmentadas e duplicadas.
• Lacunas e sobreposições em controles de segurança.
• Prevenção, detecção e resposta lentas e ineficazes.
• Incidentes repetidos causados por fraquezas sistêmicas não resolvidas.
• Aumento do risco organizacional e do impacto nos negócios.

Uma arquitetura de segurança madura supera essas limitações:

• Usando uma arquitetura comum: verifique se controles e decisões se alinham a um modelo de arquitetura compartilhado em vez de soluções técnicas isoladas.
• Conectando a estratégia à execução. Uma arquitetura de segurança comum converte estratégia de segurança, políticas e padrões em uma abordagem técnica coordenada que orienta o design, a implementação e as operações em todo o ciclo de vida de segurança.
• Aplicando Confiança Zero de forma consistente. Garantir que os princípios do Confiança Zero sejam aplicados uniformemente em todos os esforços de planejamento, design e implementação de segurança.

O diagrama a seguir ilustra como a arquitetura de segurança permite resiliência em toda a empresa com princípios de Confiança Zero.

Missão e resultados

A disciplina arquitetura de segurança fornece clareza técnica e estrutura para como os recursos de segurança se encaixam em toda a organização. Ele permite que as organizações:

• Defina um estado final claro: estabeleça uma compreensão compartilhada de como plataformas de segurança, controles e tecnologias funcionam em conjunto para proteger os ativos de negócios.
• Integre a segurança em toda a propriedade tecnológica: verifique se identidades, dispositivos, redes, infraestrutura, aplicativos, dados e tecnologias emergentes são protegidos por meio de uma arquitetura coerente e de ponta a ponta.
• Melhorar a consistência e a integração: reduza a fragmentação orientando as equipes a implementar controles que se alinham aos princípios arquitetônicos em vez de decisões pontuais ou específicas de ferramentas.
• Permita uma priorização eficaz: concentre os esforços nos riscos de maior impacto usando uma abordagem alinhada ao Confiança Zero e orientada por dados, em vez de reagir aos problemas mais visíveis ou urgentes.
• Reduzir a frequência e o impacto dos incidentes: melhore a resiliência eliminando fraquezas sistêmicas, acelerando a resposta e reduzindo os incidentes repetidos ao longo do tempo.

Como aplicar essa disciplina

Para aplicar a disciplina de Arquitetura de Segurança efetivamente, concentre-se em estabelecer uma abordagem consistente em toda a organização:

1. Estabelecer princípios arquitetônicos e padrões de design
   Forneça diretrizes claras que garantam que os controles de segurança e as tecnologias sejam projetados e implementados de forma consistente entre sistemas e ambientes.
2. Integrar arquitetura em design, implementação e operações
   Verifique se as diretrizes arquitetônicas estão inseridas em processos de tomada de decisão, não tratadas como uma atividade estática ou isolada.
3. Alinhar a arquitetura entre disciplinas e áreas de tecnologia
   Verifique se a identidade, a infraestrutura, os aplicativos e as proteções de dados funcionam em conjunto como parte de um sistema coeso em vez de soluções independentes.
4. Refinar continuamente a arquitetura com base em riscos e comentários
   Use informações sobre a postura de segurança, incidentes e mudanças nos requisitos de negócios para evoluir a arquitetura ao longo do tempo.

Gerenciar alterações por meio da arquitetura

Para fornecer esse suporte e avançar na modernização, uma disciplina moderna de Arquitetura de Segurança deve se concentrar em muitas áreas.

Cobertura abrangente

A arquitetura de segurança deve considerar a complexidade de ponta a ponta em toda a organização. Isso requer a integração de disciplinas de segurança individuais em um todo coerente e a manutenção de uma compreensão compartilhada de como as tecnologias e controles de segurança funcionam em conjunto para proteger os ativos empresariais. A cobertura abrangente reduz áreas de baixa visibilidade, impede silos e garante que as decisões de segurança considerem o sistema mais amplo, não apenas componentes individuais.

Priorização implacável

A arquitetura de segurança deve direcionar continuamente a priorização para que os recursos limitados se concentrem nos riscos mais impactantes. Sem uma priorização clara, as organizações desperdiçam esforços em distrações de baixo valor (e aparentemente urgentes) ou soluções excessivamente complexas que pouco fazem para melhorar os resultados reais de segurança.

Priorização controlada por dados

A priorização efetiva é fundamentada em dados e se concentra em três fatores:

• Ataques baratos, fáceis e eficazes: Aborde as técnicas de ataque mais fáceis de os adversários executarem e com maior probabilidade de sucesso. Isso maximiza a interrupção das ações do invasor e o retorno sobre o investimento em segurança.
• Impacto nos negócios: priorize as defesas que protegem os ativos de negócios de maior valor ou tenham amplo impacto organizacional.
• Mitigações eficazes e eficientes: para os riscos mais importantes, invista primeiro nas mitigações mais simples, baratas e eficazes para reduzir o risco de forma rápida e mensurável.

Melhoria contínua

A arquitetura de segurança deve avançar por meio de melhorias contínuas e incrementais, em vez de tentar criar soluções perfeitas antecipadamente. A melhoria contínua reconhece que:

• A segurança deve melhorar a cada dia, mesmo de um ponto de partida abaixo do ideal.
• O trabalho nunca termina, e os projetos devem evoluir à medida que as ameaças, a tecnologia e o negócio evoluem.
• Vitórias rápidas combinadas com investimentos de longo prazo mantêm a segurança avançando e evitando a estagnação.

O gráfico a seguir mostra como a disciplina arquitetura de segurança se concentra em toda a empresa.

Funções de disciplina e colaboradores

Arquitetos de segurança e arquitetos empresariais possuem principalmente a disciplina de Arquitetura de Segurança.

Em organizações maiores, essas responsabilidades são distribuídas entre funções formais e suportadas por processos de arquitetura documentados. Em organizações menores, as funções podem ser combinadas e tratadas de forma mais informal. Em todos os casos, é recomendável documentar a arquitetura de segurança conforme ela se desenvolve, formal ou informalmente.

A entrega efetiva depende da estreita colaboração com:

• Estratégia de segurança, integração e disciplina de governança: alinhe a arquitetura à estratégia, à política, aos padrões e à postura de risco, ao mesmo tempo em que fornece comentários técnicos para garantir que a estratégia seja prática e acionável.
• Equipes de tecnologia e engenharia: implemente diretrizes de arquitetura e forneça comentários sobre viabilidade e impacto operacional.
• Funções de arquitetura de domínio: Alinhar identidade, aplicativo, infraestrutura, dados e arquiteturas de rede aos princípios e padrões de arquitetura de segurança.
• Disciplina de operações de segurança (SecOps): forneça comentários contínuos de incidentes, detecções e comportamento de invasor para informar melhorias arquitetônicas.

A disciplina de arquitetura de segurança oferece a clareza técnica que mantém as equipes de projeto, engenharia e operações alinhadas a uma visão comum, garantindo que as decisões arquitetônicas reforcem — e não fragmentem — o programa de segurança.

O diagrama a seguir mostra a amplitude da arquitetura de segurança e a contrasta com especialistas técnicos e de engenharia que tendem a se concentrar em tecnologias individuais.

Alinhamento com outras disciplinas

Juntas, essas disciplinas permitem aprimoramento contínuo entre estratégia, arquitetura e operações de segurança.

O diagrama a seguir ilustra essas relações.

Alinhamento com pilares de tecnologia

A arquitetura de segurança garante que os controles em todos os pilares de tecnologia se alinhem a um design coerente baseado em Confiança Zero e permaneçam consistentes ao longo do tempo. O alinhamento com os pilares da tecnologia é o seguinte:

• Identities: garante que sistemas de identidade e controles de acesso privilegiado se alinhem a Confiança Zero e protejam o acesso a todos os ativos.
• Terminais: protege dispositivos usados como base operacional por invasores por meio de gerenciamento consistente do ciclo de vida.
• Infraestrutura: protege plataformas locais e de nuvem que sustentam cargas de trabalho e sistemas de identidade.
• Aplicativos: aplica controles de segurança consistentes em aplicativos SaaS, empacotados e personalizados e seus canais de comunicação.
• Dados: protege dados comercialmente críticos contra roubo, manipulação e extorsão.
• Rede: garante que os controles de rede ofereçam suporte a modelos de acesso centrados em identidade ao mesmo tempo em que mitigam ataques clássicos baseados em rede.
• IA: integra novas habilidades, ferramentas e controles para gerenciar riscos relacionados à IA e o uso de IA por invasor.

Próximas Etapas 

Microsoft Unified oferece arquiteturas de referência de segurança cibernética, diretrizes de Confiança Zero e workshops liderados por especialistas para ajudar as organizações com arquitetura de segurança de ponta a ponta.

• Saiba mais sobre Microsoft arquiteturas de referência de segurança cibernética.
• Saiba mais sobre workshops do SAF (Security Adoption Framework).
• Examine outras disciplinas de segurança.