Un architecte sécurité d'entreprise est un praticien senior qui définit la manière dont la sécurité est structurée à l'échelle de toute une organisation, plutôt qu'au sein d'un système ou d'un projet unique. Le rôle fixe l'état cible de la sécurité, exprimé sous forme de principes, d'architectures de référence et de normes, et veille à ce que les contrôles retenus dans chaque programme s'additionnent pour former un ensemble cohérent et défendable. Là où d'autres architectes se concentrent sur un produit, une plateforme ou un domaine, l'architecte sécurité d'entreprise adopte la vue la plus large, reliant la stratégie métier, l'appétence au risque et les obligations réglementaires aux décisions techniques et organisationnelles qui les mettent en œuvre.
Au quotidien, le travail consiste moins à construire qu'à façonner et à gouverner. Un architecte sécurité d'entreprise élabore et maintient l'architecture de référence de sécurité, examine les initiatives majeures pour confirmer qu'elles s'inscrivent dans le modèle visé, et arbitre les tensions entre conceptions concurrentes afin que l'organisation n'accumule pas des contrôles incohérents ou redondants. Le rôle contribue aux feuilles de route qui éliminent les faiblesses héritées et financent de nouvelles capacités, définit les normes que les architectes de domaine et de solution appliquent dans leurs propres périmètres, et conseille la direction sur les implications de sécurité des grandes décisions telles qu'une migration vers le cloud, une acquisition ou une nouvelle ligne d'activité. Une grande partie de la valeur réside dans la traduction, qui consiste à transformer le risque métier en orientations architecturales claires et à expliquer les compromis techniques aux dirigeants dans des termes qu'ils peuvent évaluer.
Le rôle exige de l'étendue et de l'ancienneté plutôt qu'une spécialisation poussée sur un outil particulier. Un architecte sécurité d'entreprise a besoin d'une bonne maîtrise de la sécurité de l'identité, du réseau, des applications, des données et du cloud, d'une familiarité avec la gestion des risques et la gouvernance, ainsi que d'une aisance avec au moins un cadre d'architecture reconnu tel que SABSA, TOGAF ou les recommandations de l'Open Group que de nombreux programmes adoptent. Tout aussi importants sont le discernement, la communication écrite et la capacité à influencer sans autorité directe, car l'architecte est rarement propriétaire des systèmes concernés et guide plutôt de nombreuses équipes vers une conception commune. L'aisance face à l'ambiguïté et aux horizons de temps longs compte, puisque les décisions d'architecture façonnent l'organisation pour des années.
On accède généralement à ce rôle après une expérience substantielle plutôt que d'y entrer directement. Les parcours courants passent par l'ingénierie de sécurité, l'architecture de solutions ou un rôle d'architecture axé sur un domaine, souvent renforcés par des certifications telles que CISSP, CISSP-ISSAP ou les certifications SABSA, conjuguées à un historique de livraison de systèmes sécurisés à grande échelle. À partir de là, un architecte peut évoluer vers un poste d'architecte en chef, de responsable de l'architecture de sécurité, ou un rôle de direction plus large tel que RSSI, et certains approfondissent plutôt un travail de conseil spécialisé. Le rôle se situe au-dessus et aux côtés de ses voisins : il s'appuie sur l'ingénieur sécurité pour mettre en œuvre les contrôles, confie des problèmes concrets à l'architecte de solutions travaillant sur une initiative donnée, et dépend des architectes sécurité de domaine pour porter ses normes dans des périmètres spécialisés, tandis qu'un architecte sécurité sans le qualificatif « d'entreprise » opère habituellement sur un périmètre plus restreint que le mandat à l'échelle de l'organisation décrit ici.