SABSA

Architecture d’entreprise dans le Cloud

Le guide de référence d’architecture d’entreprise dans le Cloud est un document maintenu par la Cloud Security Alliance (CSA). Il est au programme des certifications CCSK et CCSP. Il est basé sur l’utilisation de quatre modèles : TOGAF, ITIL, SABSA et JERICHO. Il complète la CCMutilisée en particulier pour les certifications STAR. Ce guide d’architecture ou Entreprise Architecture Reference Guide (EARG) peut être utilisé aussi bien par les fournisseurs que par les clients de solutions Cloud. Il peut servir de guide  pour un plan d’amélioration, une feuille de route, une évaluation de différents fournisseurs ou pour identifier les services à mettre en place.

COBIT et gouvernance sécurité

COBIT est un référentiel de gouvernance publié par l’ISACA pour aligner l’IT au métier. La dernière mise à jour de 2019 peut être mise à profit pour améliorer la gouvernance cyber. Le référentiel comprend quatre publications principales consacrées à une description méthodologique, aux objectifs de gouvernance et de management, à la mise en œuvre et à l’optimisation des solutions de gouvernance. Une publication particulière est dédiée à COBIT pour appliquer le référentiel cyber du NIST, de plus en plus utilisé aux Etats-Unis mais aussi en Europe.

Gouvernance de la cybersécurité

Le programme du CISSP en vigueur depuis le 1er mai 2021 aborde dans le domaine 1 plusieurs concepts fondamentaux qui font partie des basiques de la fonction du CISO (voir les 10 conseils pour bien démarrer dans cette fonction, parties 1 et 2). Il s’agit notamment des aspects gouvernance, conformité, régulation, documentation, gestion des sous-traitants et programmes de sensibilisation. La norme ISO 27014 fournit une série de bonnes pratiques pour mettre en place une gouvernance en cybersécurité. D’autres référentiels font partie du programme du CISSP comme COBIT, SABSA, la norme ISO 38500 (gouvernance IT), le NIST CSF, le référentiel CIS et COSO ERM et bien entendu la certification ISO 27001.

SABSA pour les architectes sécurité : acteurs plutôt que censeurs

La plupart des groupes vivent au quotidien des transformations digitales structurantes. L’objectif est de développer le business avec des outils performants et sécurisés, de le faire vite, avec agilité et en maitrisant les coûts. Il faut créer de la valeur et la protéger. La sécurité doit évidemment accompagner cette transformation, sans la freiner mais avec des garanties que les risques sont traités et sous contrôle. On a de plus en plus besoin de professionnels de la sécurité qui participent activement aux phases de conception et de développement afin d’intégrer la sécurité de manière continue aux différents projets. Le travail des architectes sécurité est facilité si un cadre méthodologie est défini et adapté aux besoins et au contexte business de l’entité. Cet article examine comment utiliser le référentiel SABSA pour mettre en place ce cadre et faciliter le travail des architectes sécurité au sein des programmes de transformation (migrations vers des plateformes Cloud publics et privés, agilité dans les cycles de développement logiciel, initiatives « big data », test des technologies blockchain, utilisation des containers, développement d’API pour automatiser l’orchestration…).