L'architecture de sécurité est la discipline qui consiste à concevoir la manière dont les systèmes, les réseaux et les mesures de sécurité s'articulent, afin que la protection fasse partie de leur structure plutôt que d'y être greffée plus tard. Un architecte travaille au niveau des plans et des normes, en décidant de la façon dont les frontières de confiance, l'identité, la segmentation, le chiffrement et la supervision doivent être organisés dans un environnement. L'objectif est de faire des choix sécurisés l'option par défaut, de sorte que les équipes qui construisent et exploitent les systèmes héritent d'une protection solide sans avoir à la réinventer à chaque fois. Comme ces décisions façonnent une organisation pendant des années, le poste convient aux personnes capables de raisonner en termes de structure, d'arbitrages et d'horizons lointains.
Au quotidien, le travail consiste moins à manipuler des outils qu'à orienter des décisions. Un architecte examine les systèmes et les changements proposés, modélise les menaces qui comptent pour eux, et définit les mesures et les modèles qui doivent s'appliquer. Une grande partie de la production prend la forme d'architectures de référence, de normes de conception et de principes documentés que d'autres équipes suivent, ainsi que des discussions de revue qui maintiennent les projets réels en cohérence avec ces principes. Un architecte met en balance la sécurité avec le coût, la facilité d'utilisation et la rapidité de livraison, et doit souvent expliquer aux ingénieurs et aux dirigeants pourquoi une conception donnée est solide ou en quoi résident ses risques. L'influence de ce rôle passe par le raisonnement et la persuasion plutôt que par un contrôle direct sur les systèmes.
Le poste exige une étendue de connaissances dans de nombreux domaines techniques, associée au discernement nécessaire pour comprendre comment ils interagissent. Un architecte a besoin d'une compréhension pratique des réseaux, des systèmes d'exploitation, des applications, de l'identité et, de plus en plus, des plateformes cloud, ainsi que d'une bonne connaissance des référentiels reconnus et des catalogues de mesures qui donnent aux conceptions un langage commun. Tout aussi importantes sont les compétences que l'on a tendance à sous-estimer : une rédaction claire, la capacité à réaliser des schémas, et l'aptitude à défendre une position dans un débat de conception tout en restant ouvert aux contraintes. Les bons architectes sont à l'aise avec l'ambiguïté et avec la réalité selon laquelle la plupart des décisions sont des arbitrages plutôt que des réponses nettes.
L'architecture de sécurité est rarement un premier emploi. La plupart des architectes y arrivent après des années passées dans un domaine opérationnel comme l'ingénierie de la sécurité, l'ingénierie réseau ou système, le développement logiciel ou les opérations défensives, où ils ont acquis la connaissance concrète de la façon dont les systèmes se comportent et défaillent réellement. À partir de là, les praticiens évoluent souvent vers des postes d'architecte senior ou principal, se spécialisent dans un domaine comme l'architecture cloud ou applicative, ou progressent vers l'architecture d'entreprise et des rôles de direction stratégique. Ce poste côtoie ses voisins et s'en nourrit : il s'appuie sur la profondeur opérationnelle de la sécurité applicative et cloud, il est éclairé par les mesures et les obligations que définissent les travaux de gouvernance et de gestion des risques, et il dépend de la conception de l'identité et des accès comme l'un de ses éléments constitutifs centraux.