Architectuur

Security architectuur is het gestructureerde ontwerp van beveiligingsmaatregelen, controles en technologieen binnen de IT-infrastructuur van een organisatie. Het beschrijft hoe beveiligingscomponenten samenhangen, hoe ze data en systemen beschermen en hoe ze aansluiten bij de bedrijfsdoelstellingen en het risicoprofiel. Volgens het NIST is een security architectuur een integraal onderdeel van de enterprise architectuur dat de structuur en het gedrag beschrijft van de beveiligingsprocessen, informatiesystemen en organisatieonderdelen van een organisatie, en hoe deze zijn afgestemd op de missie en strategische plannen.

Een goede security architectuur is geen losstaand document dat in een la verdwijnt, maar een levend onderdeel van de algehele cybersecurity-strategie. Het verbindt strategische beveiligingsdoelen met tactische maatregelen en operationele controles op alle niveaus van de organisatie. Frameworks zoals SABSA (Sherwood Applied Business Security Architecture), TOGAF en het NIST Cybersecurity Framework bieden gestructureerde methoden om een security architectuur op te bouwen die past bij de omvang, het risicoprofiel en de volwassenheid van de organisatie.

Waarom is security architectuur belangrijk?

Zonder een coherente security architectuur worden beveiligingsmaatregelen ad hoc geimplementeerd, wat leidt tot gaten in de verdediging, onnodige overlap tussen tools en een onbeheersbare complexiteit die het security-team overweldigt. Een architecturale aanpak zorgt ervoor dat elke maatregel een duidelijke plek heeft in het geheel en meetbaar bijdraagt aan de algehele beveiligingshouding van de organisatie. Het voorkomt dat je investeert in technologie die niet aansluit bij je dreigingslandschap of die overlap heeft met bestaande oplossingen.

De toenemende complexiteit van moderne IT-omgevingen maakt een architecturale aanpak noodzakelijk. Organisaties werken met hybride cloudomgevingen, microservices, IoT-apparaten, remote werkplekken en tientallen SaaS-applicaties. Elk van deze componenten heeft specifieke beveiligingsbehoeften en introduceert unieke risico's. Een security architectuur brengt structuur aan door beveiligingszones te definieren, datastromen te classificeren op basis van gevoeligheid en controles toe te wijzen op basis van risico en bedrijfswaarde.

Vanuit compliance-perspectief helpt een security architectuur bij het aantonen van passende maatregelen aan toezichthouders en auditors. Regelgeving zoals NIS2, ISO 27001 en de AVG vereist dat organisaties een risicogebaseerde aanpak hanteren voor informatiebeveiliging. Een gedocumenteerde security architectuur maakt inzichtelijk welke maatregelen zijn getroffen, waarom ze zijn gekozen en hoe ze samenwerken om risico's te mitigeren. Dit vereenvoudigt audits aanzienlijk en demonstreert due diligence aan alle belanghebbenden.

Hoe pas je security architectuur toe?

Begin met het vaststellen van de context: wat zijn de bedrijfsdoelstellingen, welke assets moeten worden beschermd, welke dreigingen zijn relevant voor je sector en welke wettelijke eisen gelden? Dit vormt de basis voor het architectuurontwerp. Gebruik een risicoanalyse om prioriteiten te stellen en beveiligingsinvesteringen te richten op de gebieden met het hoogste risico en de grootste potentiele impact op de bedrijfsvoering.

Definieer beveiligingszones en -domeinen als kern van je architectuur. Segmenteer je netwerk in zones met verschillende vertrouwensniveaus: een publieke zone voor webservers, een DMZ voor applicatieservers, een interne zone voor gebruikerswerkstations en een beveiligde zone voor databases met gevoelige data. Elk zonepaar heeft gedefinieerde firewall-regels en toegangscontroles die bepalen welk verkeer is toegestaan. Dit is het principe van defense in depth vertaald naar een concrete netwerkarchitectuur.

Pas het Zero Trust-model toe als leidend architectuurprincipe. Zero Trust gaat ervan uit dat geen enkele gebruiker, apparaat of netwerklocatie standaard wordt vertrouwd, ongeacht of deze zich binnen of buiten het bedrijfsnetwerk bevindt. Elke toegangspoging wordt geverifieerd op basis van identiteit, apparaatstatus, locatie en context. Dit model is bijzonder relevant in moderne omgevingen waar de traditionele netwerkperimeter is vervaagd door cloudadoptie en remote werken.

Documenteer de architectuur met behulp van architectuurdiagrammen, dataflow-schema's en een controlemaatrix die per component aangeeft welke beveiligingscontroles zijn geimplementeerd en welke risico's ze adresseren. Gebruik een framework als SABSA om de architectuur te structureren van strategisch niveau (waarom beschermen we dit?) via conceptueel (wat beschermen we?) en logisch (hoe beschermen we het?) naar fysiek niveau (waarmee beschermen we het?). Review en actualiseer de architectuur minimaal jaarlijks of bij significante wijzigingen in het IT-landschap, het dreigingsbeeld of de bedrijfsstrategie.

Security architectuur in de praktijk

Een middelgrote zorginstelling ontwikkelt een security architectuur voor hun nieuwe elektronisch patientendossier (EPD). Het architectuurteam begint met een dreigingsanalyse die uitwijst dat patientgegevens het primaire doelwit zijn voor aanvallers vanwege hun hoge waarde op de zwarte markt. Ze definieren vier beveiligingszones: een publieke zone voor het patientenportaal, een applicatiezone voor het EPD zelf, een databasezone voor patientgegevens en een beheerzone voor systeembeheerders met verhoogde rechten.

Tussen elke zone plaatsen ze filtering en strikte access controls op basis van het principe van least privilege. Het EPD draait in een geisoleerd netwerksegment dat alleen bereikbaar is via een reverse proxy met web application firewall die kwaadaardige verzoeken filtert. Toegang tot patientgegevens vereist multifactorauthenticatie en wordt uitgebreid gelogd conform NEN 7510. De architectuur documenteert ook encryptie-eisen: data at rest wordt versleuteld met AES-256 en alle data in transit wordt beschermd met TLS 1.3.

Bij een latere audit kan de instelling precies aantonen welke maatregelen op welke plek zijn geimplementeerd, waarom ze zijn gekozen en hoe ze samenwerken om patientgegevens te beschermen. De security architectuur dient als referentiedocument voor nieuwe projecten en wijzigingen, waardoor beveiliging consistent wordt toegepast in plaats van per project opnieuw bedacht. Dit bespaart tijd, voorkomt inconsistenties en zorgt voor een uniform beveiligingsniveau in de hele organisatie.

Veelgestelde vragen over security architectuur

Wat is het verschil tussen security architectuur en een beveiligingsbeleid?

Een beveiligingsbeleid beschrijft de regels en richtlijnen voor informatiebeveiliging op strategisch niveau. De security architectuur vertaalt dit beleid naar een technisch ontwerp met concrete maatregelen, componenten en hun onderlinge relaties. Het beleid zegt wat je beschermt en waarom, de architectuur zegt hoe je dat doet.

Welke frameworks zijn er voor security architectuur?

De meest gebruikte frameworks zijn SABSA (risico-gedreven, gelaagd), TOGAF (enterprise architectuur met security-extensie), het NIST Cybersecurity Framework (identify, protect, detect, respond, recover) en Zero Trust Architecture (NIST SP 800-207). De keuze hangt af van organisatiegrootte, sector en volwassenheid.

Hoe vaak moet je een security architectuur updaten?

Review de architectuur minimaal jaarlijks en bij elke significante wijziging in het IT-landschap, zoals een cloudmigratie, fusie of overname, introductie van nieuwe applicaties of veranderde regelgeving. De architectuur moet het actuele dreigingslandschap en de huidige IT-omgeving weerspiegelen.

Heeft een MKB-organisatie een security architectuur nodig?

Ja, al verschilt de diepgang met die van een enterprise-organisatie. Een klein bedrijf heeft geen SABSA-framework nodig, maar profiteert wel van een basis-architectuur die netwerksegmentatie, toegangscontrole en dataclassificatie beschrijft. Begin eenvoudig en bouw uit naarmate de organisatie groeit.

Wat is defense in depth?

Defense in depth is een architectuurprincipe waarbij meerdere beveiligingslagen worden gestapeld zodat het falen van een enkele laag niet tot een volledig compromis leidt. Denk aan firewalls, IDS/IPS, endpoint protection, encryptie en toegangscontrole die samen een weerbare verdediging vormen.

Meer weten over beveiligingsadvies? Vergelijk Consultancy & Advies aanbieders op IBgidsNL.