Een firewall, back-ups en detectietools volstaan niet altijd om een onderneming te beschermen. Wanneer applicaties, netwerken en gegevens zich los van elkaar ontwikkelen, kunnen er kwetsbaarheden tussen de systemen ontstaan. Wie heeft toegang tot wat? Welke gegevensstromen moeten worden toegestaan? Hoe kan een essentiële activiteit na een aanval worden voortgezet? Om deze vragen te beantwoorden, is een totaalvisie nodig: die van de cybersecurity architect.
Deze specialist ontwerpt een beveiligingsarchitectuur die aansluit bij de werkelijke werking van het informatiesysteem. Zijn werk verbindt technische beslissingen, bedrijfsrisico’s en toepasselijke vereisten, met name die van de GDPR en, voor de betrokken organisaties, NIS2. In een omgeving waarin cloud, infrastructuren op locatie en uitbestede diensten samenkomen, helpt zijn tussenkomst om een opeenstapeling van slecht op elkaar afgestemde oplossingen te voorkomen.
Moet dit profiel daarom intern worden aangeworven? Voor een kmo of een middelgrote onderneming kan de expertise van een dienstverlener eveneens aan de behoefte beantwoorden. Bij ALL4IT maken de activiteiten op het vlak van cybersecurity, systeembeheer, hosting en uitbesteed IT-beheer het mogelijk om deze vragen te benaderen met aandacht voor de dagelijkse werking van het informatiesysteem.
Het doel is om beveiligingskeuzes te verbinden met de infrastructuren en applicaties die de onderneming daadwerkelijk gebruikt. Om het belang van deze begeleiding te begrijpen, moeten we eerst kijken naar de taken van een cybersecurityarchitect, de vaardigheden die hij inzet en de garanties die van een partner moeten worden gevraagd.
Cybersecurityarchitect: wat houdt dit beroep in?
De cybersecurityarchitect ontwerpt, structureert en ontwikkelt de beveiliging van het informatiesysteem. Hij richt zich op netwerken, applicaties, gegevens, werkstations en omgevingen in de cloud of op locatie. Zijn doel is te bepalen hoe deze onderdelen met elkaar moeten communiceren, beschermd moeten worden en moeten blijven functioneren wanneer zich een incident voordoet.
Hij werkt zowel aan bestaande systemen als aan nieuwe projecten. Vóór een cloudmigratie onderzoekt hij bijvoorbeeld de toegang tot gegevens, de uitwisseling met interne applicaties en de verantwoordelijkheden van de leverancier. Wanneer een onderneming partners toegang verleent, beoordeelt hij de gevolgen van deze verbinding voor de rest van de infrastructuur.
Een andere visie dan die van de operationele teams
Een cybersecurityanalist kan meldingen onderzoeken, verdachte activiteiten opsporen en bijdragen aan de analyse van een incident. Een cybersecuritytechnicus configureert en beheert onder meer beveiligingstools. De architect bepaalt het kader waarbinnen deze tools en teams werken.
Deze overkoepelende visie onderscheidt de architect ook van een cybersecurityconsultant die met een eenmalige opdracht belast is. Een consultant kan zeker over architectuurvaardigheden beschikken, maar de benaming van zijn dienstverlening volstaat niet om zijn rol te verduidelijken. De verwachte resultaten moeten worden onderzocht: een diagnose, architectuurschema’s, toegangsregels, technische keuzes en een stappenplan.
Een schakel tussen beveiliging, de IT-directie en bedrijfsbehoeften
De architect werkt samen met de IT-directie, de technische teams en, indien aanwezig, de verantwoordelijke voor informatiebeveiliging. Hij moet de beperkingen van de bedrijfsactiviteiten begrijpen om maatregelen te vermijden die onmogelijk toe te passen zijn. Een applicatie die voortdurend beschikbaar moet blijven, wordt niet op precies dezelfde manier beschermd als een testomgeving. Ook een noodzakelijke toegang voor een dienstverlener moet worden beveiligd zonder een essentiële handeling te blokkeren.
Zijn rol bestaat erin afwegingen toe te lichten, beslissingen te documenteren en maatregelen voor te stellen die in verhouding staan tot de risico’s.
Cybersecurityarchitect: wat zijn zijn concrete taken?
De beveiligingsarchitectuur van het informatiesysteem ontwerpen
De eerste taak is de systemen en hun onderlinge interacties in kaart brengen. De architect identificeert kritieke applicaties, gevoelige gegevens, toegangspunten en uitwisselingen tussen omgevingen. Vervolgens kan hij vertrouwenszones bepalen, bepaalde netwerksegmenten van elkaar scheiden en vastleggen welke gegevensstromen daartussen zijn toegestaan.
Neem het voorbeeld van een onderneming die een SAP-applicatie, een database op locatie en verschillende diensten in de cloud gebruikt. De architect onderzoekt de verbindingen tussen deze omgevingen: welke gebruikers hebben toegang tot de applicatie, welke bevoegdheden krijgen zij en welke uitwisselingen met de database zijn noodzakelijk? Hij controleert ook hoe beheerderstoegang kan worden beschermd zonder handelingen die onmisbaar zijn voor de bedrijfsactiviteit ingewikkelder te maken.
Dit voorbeeld illustreert het verband tussen verschillende expertisegebieden die ALL4IT aanbiedt: systemen, cloudhosting, SAP-autorisaties en cybersecurity. Een beslissing over toegangsrechten moet rekening houden met de werking van de applicatie; een wijziging van de gegevensstromen moet de noodzakelijke uitwisselingen tussen de systemen behouden. Het doel is een samenhangende architectuur vast te leggen die de teams kunnen beheren en verder ontwikkelen.
Deze aanpak voor de structurering van het informatiesysteem voorkomt dat een technische uitzondering een permanente opening wordt. Ze vergemakkelijkt ook de integratie van nieuwe diensten: elk project kan worden beoordeeld op basis van bekende regels, in plaats van telkens vanaf nul te beginnen. Ze maakt het bovendien mogelijk om verantwoordelijkheden te verduidelijken voordat er problemen ontstaan in de productieomgeving.
Risico’s en kwetsbaarheden in kaart brengen
Een relevante architectuur vertrekt van de werkelijke risico’s. De architect inventariseert de essentiële bedrijfsmiddelen en onderzoekt wat hun vertrouwelijkheid, integriteit of beschikbaarheid kan bedreigen. Hij analyseert bijvoorbeeld de blootstelling van toegang op afstand, de afhankelijkheid van een leverancier of de gevolgen van het uitvallen van een applicatie die door verschillende afdelingen wordt gebruikt.
Een cybersecurityaudit biedt hiervoor een feitelijke basis. Die kan te ruime toegangsrechten, onvoldoende van elkaar gescheiden systemen of herstelprocedures die nooit zijn gecontroleerd aan het licht brengen. De architect koppelt deze bevindingen aan hun impact op de bedrijfsactiviteiten om de correcties te prioriteren. Een kwetsbaarheid in een secundaire omgeving vereist niet noodzakelijk dezelfde reactie als een tekortkoming die klantgegevens of de productie raakt.
Beveiligingsbeleid en beveiligingsnormen vastleggen
Na de diagnose legt de architect principes vast die in projecten kunnen worden toegepast: het beheer van accounts met verhoogde rechten, de scheiding van omgevingen, versleutelingsvereisten, de traceerbaarheid van toegang of de goedkeuring van nieuwe gegevensstromen. Deze regels moeten voldoende nauwkeurig zijn om de teams te begeleiden en tegelijk aangepast blijven aan de activiteiten van de onderneming.
Hij draagt ook bij aan nalevingstrajecten. De GDPR verplicht organisaties om voor persoonsgegevens een beveiliging te voorzien die afgestemd is op de risico’s. NIS2 voorziet in risicobeheersmaatregelen voor entiteiten die binnen het toepassingsgebied vallen. ISO/IEC 27001 biedt op zijn beurt een kader voor het beheer van informatiebeveiliging. De precieze verplichtingen hangen af van de organisatie en het betrokken land; een ISO-certificering vormt op zichzelf geen bewijs dat aan alle regelgeving wordt voldaan.
Bij zoekopdrachten naar een ‘ISO-norm voor cybersecurity’ komt ISO/IEC 27001 vaak naar voren. De waarde ervan ligt in de gestructureerde aanpak die de norm stimuleert: risico’s beoordelen, maatregelen kiezen, hun doeltreffendheid opvolgen en werkwijzen verbeteren. De architect vertaalt deze logica naar technische beslissingen die toepasbaar zijn op het informatiesysteem.
Beveiligingsoplossingen selecteren en integreren
Firewalls, EDR, versleuteling of identiteits- en toegangsbeheer: geen van deze onderdelen lost op zichzelf alle problemen op. De architect bepaalt welke nodig zijn, waar ze moeten worden geplaatst en hoe ze samenwerken. Hij controleert ook of de teams ze kunnen beheren en bij een incident de nodige informatie kunnen ontvangen.
Een sterkere authenticatie biedt bijvoorbeeld weinig bescherming als serviceaccounts over buitensporige bevoegdheden beschikken. Ook verliest een detectietool zijn waarde als de meldingen nooit worden onderzocht. De architectuur verbindt productkeuzes daarom met processen, verantwoordelijkheden en operationele mogelijkheden.
Beslissingen moeten worden gedocumenteerd: het afgedekte toepassingsgebied, aanvaarde uitzonderingen, verantwoordelijken voor de systemen en geplande controles.
De incidentrespons en bedrijfscontinuïteit voorbereiden
De architect leidt niet noodzakelijk elke interventie tijdens een crisis. Hij bereidt wel de technische voorwaarden voor die de teams in staat stellen te reageren. Hij onderzoekt de mogelijkheid om een gecompromitteerde omgeving te isoleren, de afhankelijkheden tussen applicaties, de back-ups en de volgorde waarin de diensten moeten worden hersteld.
Een onderneming kan bijvoorbeeld over back-ups beschikken zonder te weten hoeveel tijd nodig is om een essentiële applicatie te herstellen. De architect werkt samen met de betrokken verantwoordelijken om prioriteiten vast te leggen en technische obstakels te identificeren. Zo draagt hij bij aan incidentrespons- en continuïteitsplannen en vervolgens aan de herziening ervan na oefeningen of wijzigingen in de infrastructuur.
Cybersecurityarchitect: waarom is dit profiel strategisch en moeilijk aan te werven?
Cybersecurity in ondernemingen beperkt zich niet langer tot het beschermen van een lokaal netwerk. Systemen omvatten vaak applicaties die bij verschillende leveranciers worden gehost, toegang op afstand en uitwisselingen met partners. Elke verbinding vraagt om een beslissing over rechten, monitoring en ieders verantwoordelijkheid.
Risico’s die de hele organisatie raken
Een aanval kan de verkoop, de productie of de toegang tot klantendossiers onderbreken. Zelfs zonder incident maakt een onoverzichtelijke architectuur projecten ingewikkelder en vertraagt ze correcties. De architect helpt de directie om beveiligingsinvesteringen te verbinden met de diensten die werkelijk belangrijk zijn voor de bedrijfsactiviteit.
Hij belooft niet om elk risico weg te nemen. Hij maakt de keuzes duidelijker: welke systemen moeten eerst worden beschermd, welke afhankelijkheden moeten worden verminderd en welke resterende risico’s moeten aan de besluitvormers worden voorgelegd? Deze aanpak maakt het mogelijk om middelen in te zetten waar ze het meeste effect hebben.
Wettelijke vereisten vertalen naar concrete maatregelen
Regelgeving en referentiekaders beïnvloeden beslissingen, maar bieden op zichzelf geen technisch schema voor een onderneming. Een organisatie waarop NIS2 van toepassing is, moet bepalen welke risicobeheersmaatregelen geschikt zijn voor haar toepassingsgebied. De GDPR vraagt om rekening te houden met de risico’s van de verwerking van persoonsgegevens. De architect helpt om deze vereisten om te zetten in controles, bewijsstukken en operationele verantwoordelijkheden.
Daarvoor werkt hij samen met de verantwoordelijken voor naleving en gegevensbescherming. De beveiliging van een dienst hangt niet alleen af van de hosting: ook gebruikerstoegang, gegevensuitwisseling en interne procedures spelen een rol.
Een combinatie van vaardigheden die moeilijk te vinden is
Deze functie vereist kennis van infrastructuren, de cloud, applicaties en de principes van risicobeheer. Ze vraagt ook om het vermogen met specialisten te overleggen, een beslissing aan de directie uit te leggen en afwegingen te maken tussen beveiliging, beschikbaarheid en kosten. Ervaring die in verschillende projecten is opgedaan, speelt daarom een doorslaggevende rol.
Het aanwerven van een cybersecurityexpert met deze visie kan tijd kosten. Na zijn komst moet de onderneming hem bovendien toegang geven tot de juiste informatie en zijn vaardigheden actueel houden. Voor een organisatie waarvan de behoeften naargelang de projecten verschillen, is het creëren van een specifieke functie niet altijd het meest geschikte model.
Cybersecurityarchitect: intern aanwerven of deze expertise uitbesteden?
Beide benaderingen kunnen beantwoorden aan een reële behoefte. De keuze hangt af van de complexiteit van het informatiesysteem, het aantal projecten, de reeds aanwezige vaardigheden en de frequentie waarmee architectuurbeslissingen moeten worden genomen.
Wanneer een interne aanwerving zinvol is
Een architect in loondienst volgt de ontwikkelingen van het informatiesysteem dagelijks op. Hij kent de teams, de geschiedenis van de technische keuzes en de beperkingen die eigen zijn aan de bedrijfsactiviteiten. Deze nabijheid vergemakkelijkt het overleg wanneer veel projecten tegelijk lopen of wanneer de organisatie over een bijzonder complexe omgeving beschikt.
Daartegenover staat dat een seniorfunctie moet worden gefinancierd, zijn samenwerking met andere verantwoordelijken moet worden georganiseerd en hij de mogelijkheid moet krijgen om technologische ontwikkelingen te blijven volgen. Eén persoon kan ook niet alle specialismen even grondig beheersen, van cloudomgevingen tot de meest specifieke bedrijfsapplicaties.
Wanneer uitbesteding relevant is
Een dienstverlener kan worden ingeschakeld voor een eerste diagnose, een herontwerp van de architectuur, een migratie of regelmatige begeleiding. De onderneming zet dan de nodige vaardigheden in volgens het tempo van haar projecten. Een extern team kan ook ervaring inbrengen die bij verschillende organisaties is opgedaan en de overwogen keuzes toetsen aan andere technische situaties.
Voor een onderneming die deze begeleiding met ALL4IT overweegt, kan de behoefte vanuit een concrete moeilijkheid worden geformuleerd: een cloudmigratie beveiligen, de toegang tot een kritieke applicatie herzien of de bescherming van systemen beter afstemmen op hun uitbesteed beheer. De activiteiten van ALL4IT op het vlak van cybersecurity, systemen en hosting bieden aanknopingspunten om deze onderwerpen samen te onderzoeken.
Het toepassingsgebied van de opdracht moet vervolgens de verwachte resultaten verduidelijken: een diagnose van de bestaande situatie, geprioriteerde aanbevelingen, gedocumenteerde toegangsregels of ondersteuning bij de uitvoering. Deze elementen moeten worden overeengekomen volgens de behoeften van de onderneming en de gekozen dienstverlening. Voor de IT-directie is het voordeel dat zij beschikt over begrijpelijke en toepasbare beslissingen, rekening houdend met de beperkingen van de infrastructuur en de teams die deze dagelijks beheren.
Deze flexibiliteit vereist een duidelijke afbakening. Voordat een cybersecuritydienst wordt gekozen, moeten het toepassingsgebied van de tussenkomst, de op te leveren resultaten, de contactpersonen, de beschikbaarheid en de wijze van kennisoverdracht worden vastgelegd. Een opdracht zonder toegang tot nuttige informatie of zonder interne verantwoordelijke dreigt aanbevelingen op te leveren die moeilijk toe te passen zijn.
De controle over beslissingen behouden
Het uitbesteden van expertise draagt niet alle verantwoordelijkheden over. De directie en de IT-directie bepalen de bedrijfsprioriteiten, keuren de middelen goed en beslissen welke risico’s zij aanvaarden. De dienstverlener licht de opties en hun gevolgen toe en begeleidt vervolgens de uitvoering volgens het overeengekomen contract.
Een doeltreffende werking voorziet in opvolgmomenten, gedocumenteerde beslissingen en een herbeoordeling na grote wijzigingen in het informatiesysteem. Zo blijft architectuur een levende praktijk, in plaats van een schema dat na de audit in een dossier wordt opgeborgen.
Cybersecurityarchitect: wat moet een dienstverlener garanderen?
Een bruikbare audit en een uitvoerbaar stappenplan
Het vertrekpunt is een diagnose van de bestaande situatie: kritieke bedrijfsmiddelen, gegevensstromen, toegang, reeds ingevoerde maatregelen en moeilijkheden waarmee de teams worden geconfronteerd. De dienstverlener moet vervolgens begrijpelijke bevindingen presenteren, dringende acties onderscheiden van geleidelijke verbeteringen en haalbare stappen voorstellen.
Een nuttige cybersecurityaudit stopt niet bij een lijst van kwetsbaarheden. Hij legt de mogelijke gevolgen uit, verduidelijkt de afhankelijkheden tussen maatregelen en geeft aan welke personen bij de beslissingen moeten worden betrokken. Bij ALL4IT maakt de expertise in systemen en infrastructuur en cybersecurity het mogelijk om deze vragen te onderzoeken in de context van het dagelijkse beheer van het informatiesysteem.
Een certificering waarvan het toepassingsgebied controleerbaar is
De certificering ISO/IEC 27001 bevestigt dat een managementsysteem voor informatiebeveiliging binnen een bepaald toepassingsgebied voldoet aan de vereisten van dit referentiekader. Ze vormt een indicator van de werkwijze, maar garandeert niet dat een klant automatisch aan de regels voldoet of tegen alle incidenten beschermd is.
ALL4IT geeft aan ISO/IEC 27001-gecertificeerd te zijn voor zijn activiteiten op het vlak van hosting en uitbesteed IT-beheer. Deze precisering is belangrijk: het exacte toepassingsgebied van een certificering moet worden onderzocht voordat ze aan een bepaalde dienstverlening wordt gekoppeld. Om een partner te beoordelen, moet ook worden gevraagd hoe hij risico’s beheert, wijzigingen documenteert en de acties opvolgt die met zijn klanten zijn afgesproken.
Begeleiding die is afgestemd op de toepasselijke verplichtingen
De dienstverlener moet kunnen helpen om de vereisten te identificeren die op de organisatie van toepassing zijn en deze vervolgens te vertalen naar technische en organisatorische maatregelen. Voor NIS2 betekent dit dat eerst moet worden gecontroleerd of de entiteit binnen het toepassingsgebied van de geldende regels valt. Voor de AVG moeten beveiligingsmaatregelen aansluiten bij de gegevensverwerkingen en de bijbehorende risico’s.
De begeleiding moet na de eerste beoordeling worden voortgezet. Nieuwe projecten, leveranciers en toegangen veranderen geleidelijk het toepassingsgebied dat moet worden beschermd. Regelmatige evaluaties maken het mogelijk om te controleren of eerdere beslissingen relevant blijven en of de geplande acties daadwerkelijk zijn uitgevoerd.
Ervaring met gevoelige en kritieke omgevingen
De gezondheidszorg, de financiële sector, de industrie en SAP-applicaties kennen verschillende beperkingen, met name op het vlak van beschikbaarheid en toegangsbeheer. Vraag de dienstverlener naar voorbeelden van vergelijkbare situaties en naar de manier waarop hij de verantwoordelijkheden tussen zijn teams en die van de klant verdeelt.
ALL4IT presenteert expertise in de hosting van gezondheidsgegevens, met een HDS-certificering, en ervaring met SAP-omgevingen. Deze domeinen kunnen nuttig zijn wanneer de beveiligingsarchitectuur rekening moet houden met gevoelige gegevens, kritieke applicaties en hun dagelijkse beheer. Het HDS-toepassingsgebied en de verplichtingen die specifiek zijn voor elk project moeten echter vóór elke beslissing worden gecontroleerd.
Cybersecurityarchitect: een duurzame bescherming structureren
De cybersecurityarchitect verbindt risico’s, bedrijfsbehoeften en technische keuzes. Zijn bijdrage wordt zichtbaar in beter omschreven toegang, systemen waarvan de uitwisselingen worden begrepen, duidelijke beveiligingsprioriteiten en een sterkere voorbereiding op incidenten. Dit werk moet samen met het informatiesysteem evolueren.
Intern aanwerven is geschikt voor sommige organisaties; voor andere brengt de tussenkomst van een dienstverlener de nodige vaardigheden op het juiste moment. ALL4IT kan deze afweging begeleiden dankzij zijn activiteiten op het vlak van cybersecurity, systemen, hosting en uitbesteed IT-beheer. De eerste stap bestaat erin uw omgeving, uw beperkingen en de architectuurbeslissingen die vandaag moeten worden genomen, te onderzoeken.