Há seis meses lançamos este blog com uma breve história de como nasceu a SABSA. Agora, com o lançamento do novo portal do Instituto SABSA com instalações completas de adesão, é hora de pegá-lo novamente e contar a história do que aconteceu a seguir.

Durante 1996 eu estava trabalhando principalmente para a S.W.I.F.T., auxiliando Erik Guldentops, Diretor de Segurança da Informação Global, com o desenvolvimento de sua estratégia de segurança. O modelo de arquitetura era uma parte central disso, embora não a única parte. Por exemplo, desenvolvemos um método de benchmarking de segurança baseado nos conceitos da Universidade Carnegie Mellon, Instituto de Engenharia de Software, Modelo de Maturidade de Capacidade (CMM) e usamos isso como uma ferramenta para Erik apresentar uma justificativa ao Conselho da S.W.I.F.T. para obter sua aprovação para o orçamento mega-BEF.

Desenvolvemos uma estrutura de medição e traçamos quatro métricas de maturidade de segurança: onde está o setor bancário hoje? Onde estão os padrões internacionais? Onde está a S.W.I.F.T.? E finalmente, onde a S.W.I.F.T. quer estar? Este último foi baseado no benchmarking da indústria e do cenário padrão internacional e fazer escolhas sobre a maturidade do nosso estado-alvo. Em seguida, identificamos as lacunas entre o estado atual e o estado-alvo e projetos planejados para fechar as lacunas. Por fim, classificamos os projetos de acordo com o tipo: estratégico, tático, organizacional e processual. Avaliamos cada um por seu impacto benéfico e seu custo/risco e os traçamos em um gráfico do quadrante para priorizá-los. Aqueles com alto impacto, o quadrante de baixo custo/risco foram de maior prioridade.

Erik levou todo esse material para o Conselho junto com as estimativas orçamentárias para cada projeto. Os slides estavam no acetato (sem PowerPoint na época) e eram quase todos diagramas – muito poucas palavras. Em surpreendeu-os e ele voltou da reunião do Conselho com aprovação total. Aprendemos que medir o benefício de segurança é um aspecto essencial para convencer a alta administração a investir nele. A medição se tornaria uma das características diferenciadoras da SABSA, embora tenha levado alguns anos para desenvolvermos o perfil Business Attributes como ferramenta.

Eu estava de volta à S.W.I.F.T. em 1998 como Arquiteto Chefe de Segurança em um projeto chamado Next Generation. Na época, a S.W.I.F.T. tinha uma rede construída sobre a tecnologia X.25 – totalmente criptografada na camada física. Durante nossa pesquisa em 1996, perguntamos à equipe de gestão executiva da S.W.I.F.T. o que eles achavam que seria o futuro da rede S.W.I.F.T. Alguma vez mudaria para a tecnologia IP? Nunca em mil anos nos disseram - não seguro o suficiente. Bem, levou apenas dois anos e um novo CIO para mudar tudo isso. A Próxima Geração era sobre a construção de uma infraestrutura IP totalmente nova que tinha que ser segura para os níveis esperados pela S.W.I.F.T. em seus compromissos comerciais. Fazer parte desse projeto foi uma grande honra e um grande zumbido. As tecnologias eram a pilha TCP/IP e pki, os principais serviços eram diretório, gerenciamento de serviços e vários aplicativos, e a arquitetura conceitual era um modelo de três camadas: rede, middleware e camada de aplicativos, cada um para ser protegido independentemente e não contar com a segurança da camada abaixo. Foi um trabalho incrível – inovador e desafiador – muito emocionante. Foi implementado em etapas como SWIFTNet entre 2001 e 2005 e permanece em jogo até hoje.

Durante o projeto Next Generation fui enviado para uma conferência de Arquitetura Empresarial em São Francisco. Foi lá que conheci John Zachman e ouvi sua apresentação no Zachman Framework – a primeira vez que encontrei seu trabalho. Foi um momento de percepção de que o que tínhamos no modelo em camadas da SABSA era conceitualmente o mesmo que as camadas de Zachman. Sua linguagem era diferente e ele tinha analisado as camadas em seis colunas, mas de outra forma era tão semelhante. Voltei ao S.W.I.F.T. e refiro o modelo para alinhar a terminologia. A Figura 1 mostra como a linguagem da camada SABSA foi posicionada em 1998 após Zachman e como ela evoluiu desde então.®

Figura 1: Evolução da Terminologia de Camadas SABSA

O próximo passo na jornada da SABSA ocorreu em 2000, depois que David Lynas e eu nos juntamos à Netigy Corporation, uma empresa de consultoria dot.com que atua na área de networking e segurança. Fui Diretor Executivo de Arquitetura e David foi Diretor de Relações Profissionais, ambos na Prática de Segurança Global. Havia um grupo de trabalho sobre desenvolvimento de arquitetura que abrangeva tanto a prática de segurança quanto a prática de networking. Uma ideia que surgiu do grupo foi voltada primeiro para o networking. Era um conceito chamado eAttributes em que definimos dezesseis atributos de rede e os usamos para medir o desempenho da rede. O impulso do trabalho foi criar mensurabilidade. Eu peguei isso e defini uma série de 83 atributos de segurança em uma taxonomia de sete colunas, que também adotamos. Quando a Netigy entrou em colapso em 2001 e toda a SABSA IPR reverteu para mim, essa taxonomia tornou-se o que hoje é a taxonomia sabsa business attributes™. O conceito tem sido muito estendido desde aqueles dias. Agora, personalizamos taxonomias e perfis de atributos de negócios de várias camadas™.

Eu tinha percebido em 1998 que tínhamos algo especial. Comecei então a escrever um livro sobre arquitetura de segurança porque havia uma lacuna óbvia no mercado para tal trabalho. Eu sabia que nunca alcançaria meu objetivo como solitário e que precisava de apoio. Eu conhecia Andy Clark desde 1985, quando entrei para a Open Computer Security e estava trabalhando sob a liderança de Andy no desenvolvimento de soluções criptográficas para o setor bancário. Eu também conhecia David Lynas desde o primeiro evento cosac em 1993, no qual eu era um dos apresentadores. Eu tinha usado David na S.W.I.F.T. como consultor associado e nós dois tínhamos feito um extenso trabalho lá. Estes foram os dois amigos e associados muito bons que escolhi convidar para participar do meu projeto de livro. Devo muito a eles pelo apoio que deram. Andy assumiu a coisa toda sobre lidar com editores e David era meu principal revisor. Estávamos todos trabalhando em tempo integral em nossos vários negócios e houve períodos de até seis meses que nem uma única palavra foi escrita para o livro. Eventualmente tivemos uma versão completa em 2003, mas levou mais dois anos de negociação com editores, edição, correção, reformulação e formatação para levá-la ao mundo. Foi finalmente lançado no COSAC 2005 em Naas, República da Irlanda, sete anos depois de começarmos. A fotografia registra o evento de lançamento do livro. Andy, David e John da esquerda para a direita.

Desde aquele momento, o livro, intitulado Enterprise Security Architecture: A Business Driven Approach, tem desfrutado de alguma popularidade em todo o mundo. Algumas pessoas carinhosamente se referem a ele como O Livro Azul ou mesmo A Bíblia Azul e tornou-se um trabalho definitivo sobre o assunto. O livro descreve sabsa como era por volta de 2003 e como tal está um pouco desatualizado. A SABSA é uma coisa viva e crescente que beneficia o tempo todo de membros da Comunidade SABSA aplicando em seu trabalho e encontrando novas peças para adicionar a ele. Como uma estrutura para o desenvolvimento da arquitetura de segurança em um mundo de negócios digitais em mudança dinâmica, ela nunca será concluída.

Durante a escrita do livro tomei muitas decisões sobre conteúdo. Anteriormente, sabsa tendia a ser fluido e mudava dependendo dos meus pensamentos em um determinado dia. Se eu puder citar por um momento do nosso próprio livro, na página 58 diz:

É um truísmo que se você não pode escrevê-lo, você não pensou nisso. Muitas vezes se vivencia apresentações onde novos projetos estão sendo descritos nos estágios iniciais do planejamento onde o apresentador realmente não entendeu o escopo e as interdependências do sistema que estão propondo. O simples ato de escrever essas primeiras ideias para baixo força você a identificar todo o contexto do sistema e identificar áreas problemáticas.

Essa foi certamente a minha experiência em escrever o livro. Tive que considerar as várias versões das ideias e fazer escolhas sobre o que entraria na versão publicada. O mesmo processo ainda está acontecendo hoje. À medida que escrevemos cada vez mais white papers da SABSA e outros documentos semelhantes, temos que decidir qual será a versão definitiva. Também significa que com o tempo nossas ideias amadurecem e às vezes precisamos publicar atualizações e novas versões. Este ano (2018) vai ver muito desse tipo de atividade. Em particular, publicamos um grande refresco da Matriz™ SABSA e seu companheiro a Matriz™ de Gestão SABSA. Estes foram atualizados pela última vez em 2009. Depois de nove anos de uso intensivo, eles precisavam de uma grande revisão.

Vou acabar com essa conta histórica aqui em 2005 por enquanto, com um livro didático à venda e pessoas começando a espalhar a notícia sobre a SABSA. David Lynas já estava em plataformas de conferências ao redor do mundo desde 1997 evangelizando sobre a SABSA, mas sua próxima grande ideia era desenvolver um programa de treinamento e educação para a SABSA. Ele imaginou o Instituto™ SABSA em seu núcleo e um esquema de certificação pelo qual os arquitetos de segurança poderiam ser reconhecidos por seu profissionalismo. Vou te contar tudo sobre isso na próxima parcela.

Artigo Original