Cyber Resilience Architect

En cyber resilience architect designer for det tidspunkt, hvor noget går galt. Målet er ikke kun at holde angribere ude. Målet er, at forretningen kan køre videre og komme tilbage bagefter.

Rollen ligger mellem tre felter: sikkerhedsarkitektur, it-drift og beredskab. Beredskabsdelen kaldes på engelsk business continuity og disaster recovery.

Typiske opgaver:

• Lave konsekvensanalyser (BIA) og fastsætte RTO og RPO for kritiske systemer
• Designe backup, som en angriber ikke kan slette (uforanderlige og offline kopier)
• Bygge genopretningsplaner for Active Directory, Entra ID og andre identitetsplatforme
• Segmentere netværk, så ransomware ikke spreder sig fra kontor-it til produktionsanlæg (OT)
• Planlægge og facilitere krisescenarier med ledelsen, såkaldte tabletop-øvelser
• Kortlægge afhængigheder af leverandører, SaaS-tjenester og enkelte cloud-regioner
• Oversætte krav fra NIS2, DORA og ISO 22301 til konkrete tekniske krav
• Godkende arkitekturændringer, før de sættes i drift

En typisk dag starter ofte med et arkitekturmøde. Her gennemgår arkitekten en ny løsning og spørger til fejlscenarier. Hvad sker der, hvis identitetsplatformen er kompromitteret? Hvor ligger backup, og hvem kan slette den?

Resten af dagen går med design, workshops og test. Arkitekten skriver designbeskrivelser og krav til leverandører. Om eftermiddagen kan der være en genopretningstest af et enkelt system. Efter en øvelse skrives en liste over alt det, der ikke virkede.

Arkitekten taster sjældent selv. Ansvaret er design, krav og dokumentation. Driftsteams og udviklere bygger og kører løsningen.

En stor del af arbejdet er oversættelse. Arkitekten skal forklare tekniske fejlscenarier som risiko og kroner over for direktion og bestyrelse.

Rollen findes især i banker og pensionsselskaber, energi- og forsyningsselskaber, hospitaler og regioner, transport, teleselskaber, shipping og medicinalindustri. Konsulenthuse og it-outsourcingleverandører sælger også rollen som en ydelse til deres kunder.

Hvilken lovgivning dækker denne rolle?
Faget kræver ingen autorisation, men det er i høj grad skabt af lovkrav. EU's NIS2-direktiv stiller krav om risikostyring, backup, krisestyring og beredskabsplaner. Danmark har gennemført direktivet i NIS2-loven, og Center for Cybersikkerhed er tilsynsmyndighed på flere områder. For finansielle virksomheder gælder EU's DORA-forordning, som Finanstilsynet fører tilsyn med. DORA kræver blandt andet test af digital modstandsdygtighed og kontrol med it-leverandører. Databeskyttelsesforordningen (GDPR) artikel 32 kræver desuden, at man kan genskabe adgangen til data efter en hændelse.

Der findes ingen uddannelse, der hedder cyber resilience architect. Rollen nås gennem en teknisk uddannelse plus mange års erfaring.

Den almindelige vej:

• Datamatiker på erhvervsakademi, cirka 2,5 år. Adgangskravet er typisk en gymnasial eksamen med matematik C.
• Professionsbachelor i softwareudvikling eller it-sikkerhed, cirka 1,5 år oven på datamatiker.
• Bachelor og kandidat i datalogi, softwareteknologi eller cybersikkerhed. DTU, Aalborg Universitet, Syddansk Universitet og IT-Universitetet udbyder relevante uddannelser.
• Akademi- og diplomuddannelser i it og it-sikkerhed på deltid, hvis man allerede er i job.

Uddannelsen alene rækker ikke. De fleste i rollen har 8-12 års erfaring bag sig. Det er en seniorrolle og næsten aldrig et første job.

Typiske job før rollen:

• Systemadministrator eller infrastrukturarkitekt med ansvar for backup og servere
• Netværksspecialist med erfaring i segmentering og firewalls
• SOC-analytiker eller incident responder, som har set rigtige angreb
• Beredskabskoordinator eller risk manager fra en driftstung branche
• GRC-konsulent, som vil have mere teknisk dybde

Den tekniske vej er den hyppigste. Man har selv genoprettet en server klokken tre om natten. Den erfaring er svær at læse sig til.

Certificeringer, arbejdsgivere ofte beder om:

• CISSP fra ISC2, som kræver fem års dokumenteret erfaring
• CISM fra ISACA for den ledelsesnære del
• SABSA eller TOGAF fra The Open Group for arkitekturmetode
• CBCP fra DRI International eller Lead Implementer i ISO 22301 for beredskab
• Microsoft Azure Solutions Architect Expert eller AWS Solutions Architect Professional

Certificeringer er ikke lovkrav. De bruges som filter i rekruttering og i udbud til det offentlige.

Kendskab til rammeværk er lige så vigtigt. Center for Cybersikkerhed udgiver vejledninger om cyberberedskab og beskyttelse mod ransomware. Digitaliseringsstyrelsen stiller krav til statslige myndigheder om at arbejde efter ISO 27001.

Videre herfra:
Mange bliver Head of Security Architecture eller principal architect. Andre går videre som CISO eller bliver selvstændige konsulenter. Nogle specialiserer sig i OT-sikkerhed hos energiselskaber og industri.

Backup og genopretning: Veeam, Rubrik, Cohesity, Commvault, Azure Backup og Zerto. Uforanderlig backup og offline kopier er blevet et standardkrav efter ransomware-bølgen.

Cloud og platform: Microsoft Azure, AWS, Entra ID, Active Directory, VMware og Kubernetes. Azure Site Recovery bruges til failover mellem datacentre.

Overvågning og hændelser: Microsoft Sentinel, Splunk, CrowdStrike, Microsoft Defender og ServiceNow til hændelseshåndtering.

Netværk og segmentering: firewalls fra Palo Alto eller Fortinet, mikrosegmentering og zero trust-principper.

OT og industri: Purdue-modellen for netværkszoner og standarden IEC 62443 for industrielle styresystemer.

Rammeværk: NIST Cybersecurity Framework 2.0, hvor funktionen Recover er kernen i faget. Dertil ISO 22301 for beredskab, ISO 27001 for styring, CIS Controls og MITRE ATT&CK.

Tegning og dokumentation: ArchiMate, Sparx Enterprise Architect, Visio, draw.io og Confluence. En stor del af leverancen er diagrammer og designbeskrivelser.

Test: genopretningstest af enkeltsystemer, tabletop-øvelser med ledelsen og kaosforsøg (chaos engineering). I finanssektoren indgår arkitekten også i TIBER-DK-tests, som koordineres af Danmarks Nationalbank.