Security Architect

Was macht ein Security Architect?

Er entwirft, bevor gebaut wird. Die Aufgabe ist, für ein Unternehmen oder ein Vorhaben festzulegen, wie Sicherheit strukturell aussehen soll: Zonen und Übergänge im Netz, Vertrauensgrenzen, Verschlüsselung und Schlüsselverwaltung, Authentisierung und Rechtevergabe, Protokollierung, Absicherung von Schnittstellen und Zugängen von außen. Daraus entstehen Zielbilder, Vorgaben und Mustervorlagen, an die sich Projekte halten sollen.

Der zweite Teil ist Prüfung. Vorhaben werden gegen die Architektur gelegt, Bedrohungsanalysen erstellt, Abweichungen bewertet und Ausnahmen dokumentiert. Der dritte Teil ist Auswahl: Welche Produkte und Dienste kommen ins Haus, was löst sie ab, was wird abgeschaltet. Die Stelle schreibt selten Konfigurationen, muss aber jede Entscheidung so weit verstehen, dass sie sie gegen den Betrieb verteidigen kann.

Wie wird man Security Architect?

Nicht als Berufseinstieg. Fast alle Stellen setzen mehrere Jahre praktische Arbeit voraus – als Security Engineer, Netzwerker, Systemarchitekt oder Entwickler. Der Grund ist einfach: Ein Zielbild von jemandem, der nie etwas in Betrieb genommen hat, wird im Betrieb nicht umgesetzt, sondern umgangen. Verlangt wird in der Regel ein Studium der Informatik oder der Elektrotechnik; eine IT-Ausbildung mit langer Praxis wird in vielen Häusern anerkannt.

Bei den Nachweisen ist CISSP verbreitet und passt zur Breite dieser Rolle; es verlangt fünf Jahre Berufserfahrung in zwei von acht Domänen, ohne die man zunächst nur Associate wird. Daneben zählen plattformbezogene Architekturzertifikate zu AWS, Azure oder den eingesetzten Netzherstellern. In regulierten Häusern kommt die Kenntnis der Rahmenwerke dazu – ISO 27001, IT-Grundschutz, in Industrie und Fahrzeugbau IEC 62443 und ISO/SAE 21434.

Was der Beruf verlangt

Die Fähigkeit, einen Entwurf gegen Widerstand zu begründen. Eine Architektur ist immer eine Einschränkung; wer sie nicht erklären kann, bekommt Ausnahmen, bis nichts mehr übrig ist. Das verlangt Standfestigkeit und die Bereitschaft, an der richtigen Stelle nachzugeben – ein Zielbild, das niemand einhalten kann, ist wertlos.

Der zweite Punkt wird oft unterschätzt: die langsame Rückmeldung. Eine gute Entscheidung zeigt ihre Wirkung nach Jahren, eine schlechte auch. Anders als im Betrieb gibt es hier kein Erfolgserlebnis am Ende des Tages. Wer das braucht, ist im laufenden Betrieb besser aufgehoben. Dazu kommt viel Schriftliches: Entwürfe, Bewertungen, Gremienvorlagen. Die Arbeitszeiten sind regulär, Reisetage entstehen bei verteilten Standorten und im Industrieumfeld.

Aussichten

Die Nachfrage ist hoch und das Angebot klein, weil diese Rolle Erfahrung verlangt, die sich nicht abkürzen lässt. Zwei Entwicklungen treiben sie: der Wechsel in Cloud-Umgebungen, in denen das alte Bild aus innen und außen nicht mehr trägt, und die Verbreitung von Zero-Trust-Modellen, die Architekturarbeit voraussetzen statt sie zu ersetzen. Weiterwege führen in die Leitung der Informationssicherheit, in die IT-Architektur des gesamten Hauses und in die Beratung, wo Architekturarbeit gut bezahlt wird.