Security-Architektur
Wie IT-Sicherheitsarchitekten Unternehmen gegen Cyberangriffe wappnen
Berufsbild des IT-Sicherheitsarchitekten
Von Ben Kröger, Technische Leitung Cyber Security bei Axians IT Security
Unternehmen öffnen im Zuge der Digitalisierung zahlreiche Datenschnittstellen, beispielsweise zu Kunden, Partnern und Lieferanten. Dadurch steigt das Sicherheitsrisiko Cyberangriffen zum Opfer zu fallen. Es ist höchste Zeit, dass IT-Abteilungen ihr Fachpersonal aufrüsten und sich Hilfe von Expert:innen holen. Hier können IT-Sicherheitsarchitekt:innen (IT-SA) eine essenzielle Rolle einnehmen, denn sie analysieren die individuellen Umstände und Anforderungen und entwickeln angelehnt daran maßgeschneiderte Security-Konzepte.
Mit der zunehmenden Vernetzung der Unternehmen, finden auch Kriminelle immer häufiger Angriffspunkte, um in die IT-Infrastruktur der Firmen einzudringen. Heute gilt es daher dringlicher denn je, Sicherheitsmodelle und -architekturen zu entwickeln, die Unternehmensnetzwerke vor Hackerangriffen schützen und die individuellen Anforderungen der IT-Infrastruktur berücksichtigen. Oftmals verfügt das IT-Fachpersonal nur über geringe Ressourcen, sodass hier IT-Sicherheitsarchitekt:innen Abhilfe schaffen können. Sie verfügen über jahrelange Expertise und Know-how in der Cyber Security und besitzen ein breites Skillset.
Welche Rolle übernehmen IT-Sicherheitsarchitekt:innen?
Vergleichbar mit Architekt:innen für Gebäudeplanung übernehmen IT-Sicherheitsarchitekt:innen die technische und gestalterische Planung der IT-Sicherheits-Infrastruktur, des Security-Netzwerkes und der Prozesse im Unternehmen. Zudem verantworten sie sämtliche Fragen in Bezug auf die Funktionalität und wirtschaftliche Planung einer IT-Architektur. Sie sollten des Weiteren auch kaufmännische Fähigkeiten besitzen, denn ein Teil des Aufgabengebietes beinhaltet, die Kosten für Leistungen und Produkte zu evaluieren. Üblicherweise haben IT-SA ein Studium im IT-Bereich absolviert und können zusätzliche fachspezifische Weiterbildungen aufweisen. Besonders empfiehlt es sich dabei ISO 27001 zertifizierte Fachkenntnisse zu erwerben, die die Norm für Informationssicherheits-Managementsysteme in Deutschland darstellen. Der übliche Werdegang beginnt mit einer Tätigkeit als Administrator:in, der:die eine Security-Architektur zunächst nur bedient und verwaltet. Mit zunehmender Erfahrung folgt die Berufsstufe als Sicherheits-Expert:in, der:die Funktionalitäten installieren und konfigurieren und darüber hinaus auch Umbauten in der Architektur bewerkstelligen kann. Darauffolgend und mit reichlicher Erfahrung folgt die Berufsstufe des Consultants und dann schließlich des:der Sicherheitsarchitekt:in.
Auf das passende Skillset kommt es an
IT-Sicherheitsarchitekt:innen sollten generell über einen breiten Wissensstand verfügen, wobei es hier weniger auf spezifisches Detailwissen ankommt. Sie müssen zudem darüber informiert sein, welche Firewalls im Umlauf sind und Grundkenntnisse im Programmieren besitzen. Wichtig ist es in dem Beruf die Bedürfnisse und Herausforderungen der Kunden gut einschätzen zu können. Denn nur so können Sicherheitsarchitekt:innen eine passende Lösung wie beispielsweise eine Zero-Trust-Architektur aber auch pragmatischere, weniger komplexe Konstrukte ableiten. Prinzipiell ist es für eine:n IT-SA essenziell, laufend auf dem neusten Stand der Cyber Security und den geläufigen Netzwerktechnologien zu bleiben. Dies gilt sowohl für die IT Security als auch für die organisatorische Sicherheit. Institutionen wie das National Institute of Standards and Technology (NIST), Open Security Collaborative Development oder The Internet Engineering Task Force gehören für IT-Sicherheitsarchitekt:innen dabei zu den üblichen Quellen, wenn es darum geht sich über die aktuellen Protokoll-Standards, Tools sowie Produkte zu informieren.
Aber auch an den richtigen Softskills darf es den IT-SA nicht fehlen. So sollte er:sie in jedem Fall über diplomatisches Beratungsgeschick und empathisches Einfühlvermögen verfügen. Denn nur Sicherheitsarchitekt:innen, die Zugang zu den Menschen haben und ihr Team von Inhalten überzeugen können, sind letztendlich erfolgreich.
Übliche Vorgehensweise bei einem Kunden
Wird ein:e IT-Sicherheitsarchitekt:in in ein Unternehmen bestellt, beginnt diese:r zunächst mit einer Analyse des Ist-Zustandes. Dabei macht er:sie üblicherweise von dem Testing Maturity Model (TMM) Gebrauch. Zusammen mit dem CSO, dem Hauptansprechpartner für Cyber Security im Unternehmen, wird zunächst der Status-quo überprüft und untersucht, wo das Unternehmen aktuell in Sachen Cybersicherheit steht. Angelehnt daran werden Ziele und Prioritäten definiert. Insgesamt muss der:die IT-SA einen Überblick über alles behalten und ein Gesamtkonstrukt daraus ableiten und verantworten.
Sobald alles Wesentliche gesichtet und die Nachrecherche beendet ist, beginnt der:die Sicherheitsarchitekt:in mit Testbauten und anschließend mit der Erarbeitung des Designs. Hier ist vor allem Kreativität gefragt sowie die Fähigkeit, eine individuelle, maßgeschneiderte Architektur zu entwickeln. Die große Herausforderung ist dabei immer sämtliche Anforderungen und Umstände im Blick zu behalten und darauf einzugehen – denn die erforderliche Security-Architektur unterscheidet sich von Branche zu Branche vollkommen.
Ausblick: Welche Rolle IT-Sicherheitsarchitekt:innen zukünftig einnehmen werden
Heute lassen sich Unternehmen in den meisten Fällen von externen Dienstleistern wie Axians IT Security beraten. Doch Cyber- und Daten-Sicherheit wird bei Unternehmen in Zukunft eine immer entscheidendere und größere Rolle spielen. Institutionen im Gesundheitswesen oder auch Banken und Versicherungen müssen schon lange ein robustes Sicherheitsgerüst aufweisen. Je größer die Nachfrage wird, desto eher empfiehlt es sich, dass IT-Abteilungen eigene IT-Sicherheitsarchitekt:innen einstellen. Diese können dann direkt und zu jeder Zeit das Security-Design auf aktuelle Anforderungen anpassen und sind Expert:innen für das eigene Unternehmen – durch längere Erfahrung in IT-Abteilungen kennen sie die Produkte und Dienstleistungen ihres Unternehmens am besten und können passgenaue Änderungen vornehmen.
Über den Autor
Ben Kröger ist seit 2002 Senior Security Consultant und Leiter Support & Managed Service bei Axians IT Security. Seit 2014 verantwortet er gesamten technischen Bereich mit den Schwerpunkten Firewalling, Sandboxing, E-Mail-, Proxy- und Surf-Security.
