Architecture TOGAF : structurer l’architecture d’entreprise

Le référentiel TOGAF fournit un langage commun aux architectes informatiques. Cet article se penche sur l’intérêt du référentiel TOGAF, ses domaines d’application et la pertinence d’une éventuelle certification.

Sommaire

1. Qu’est-ce que le TOGAF ?
2. Pertinence de l’architecture d’entreprise
3. Domaines
4. ADM (Architecture Development Method) TOGAF
5. Certification
6. TOGAF et les autres référentiels

Qu’est-ce que le TOGAF ? Introduction pratique

Le référentiel TOGAF Framework, acronyme de The Open Group Architecture Framework, est une méthode largement utilisée pour planifier, façonner et gouverner l’architecture d’entreprise. Géré par The Open Group, le référentiel TOGAF fournit aux sociétés une structure partagée qui permet de relier les décisions informatiques aux orientations de l’entreprise grâce à une terminologie commune et à des principes d’architecture TOGAF bien définis. Si l’on veut définir simplement la raison d’être de ce référentiel, on peut dire qu’au lieu d’apporter des réponses techniques fermes, TOGAF propose une méthode pour organiser le travail d’architecture de façon qu’elle puisse être développée, revue et ajustée au fil du temps.

Le référentiel TOGAF a été créé en 1995 à partir du Technical Architecture Framework for Information Management (TAFIM) du ministère de la Défense des États-Unis. Depuis, le Forum d’architecture de The Open Group ne cesse de le perfectionner. The Open Group compte, aujourd’hui, plus de 900 organisations membres dans le monde entier.

À la base, le référentiel TOGAF répond à trois questions pratiques : où en est l’entreprise à l’heure actuelle ? Quel est son objectif ? Et comment doit-elle faire pour l’atteindre ? Le référentiel TOGAF précise comment développer, gérer et affiner systématiquement les architectures dans différents domaines de l’entreprise. Utilisé de manière cohérente, le référentiel TOGAF peut aider à éviter les doublons, à améliorer la coordination entre les équipes informatiques et commerciales, et à prendre les décisions stratégiques avec une plus grande transparence.

TOGAF 10 : quoi de neuf ?

En avril 2022, The Open Group a publié TOGAF 10, la version qui, à ce jour, comporte le plus de nouveautés. Trois changements s’avèrent particulièrement importants pour les RSSI et les responsables informatiques :

• Structure modulaire : la norme, qui était jusqu’ici monolithique, a été divisée en modules autonomes. Les entreprises ont ainsi la liberté d’appliquer les parties du référentiel TOGAF qui correspondent le mieux à leur contexte sans pour autant avoir à intégrer l’ensemble du référentiel en une seule fois.
• Conseils pour la livraison agile et la transition : TOGAF 10 comprend davantage de conseils pour les entreprises agiles et les initiatives de transition numérique. Le référentiel TOGAF est plus pratique dans les environnements où le travail d’architecture doit prendre en charge une livraison plus rapide et une évolution continue.
• Des conseils d’implémentation plus pratiques : la nouvelle version ajoute au modèle conceptuel davantage de contenu pratique et appliqué. Le référentiel TOGAF est donc plus accessible pour les petites équipes et pour les professionnels qui l’utilisent pour la première fois.

Pertinence du TOGAF : intérêt et limites de son utilisation en entreprise

Le référentiel TOGAF est généralement plus utile dans les grandes entreprises comptant de nombreux services, où des initiatives informatiques et des paysages de systèmes se sont développés au fil du temps, se chevauchant les unes les autres. Il arrive souvent, dans ce type d’environnement, que les décisions en matière d’architecture soient prises de manière isolée : une équipe optimise l’architecture localement, une autre travaille selon un modèle différent et les exigences de sécurité sont appliquées de façon disparate dans l’ensemble de la structure. Dans ces cas de figure, le référentiel TOGAF, s’il est bien utilisé peut fournir à ces entreprises une base plus claire pour coordonner leur architecture et lui donner plus de cohérence.

Les entreprises plus petites et les équipes très agiles parviennent souvent à une conclusion différente. Trop de structure peut ralentir la livraison et lorsqu’on a trop d’artefacts, ils risquent de finir sur une étagère. Si le référentiel TOGAF est traité comme un simple formulaire dont il faut cocher les cases, c’est souvent précisément ce qu’il se produit. Mais s’il est utilisé de manière plus sélective comme un outil de réflexion pratique, le référentiel TOGAF peut générer une réelle valeur ajoutée sans surcharger les équipes de livraison.

Les RSSI doivent répondre à une question particulièrement importante : à quel niveau, dans l’architecture d’entreprise, les exigences en matière de sécurité sont-elles ancrées pour s’appliquer de manière cohérente ? Pour y répondre, deux éléments de l’architecture TOGAF sont particulièrement utiles.

Architecture content framework (ACF)

L’Architecture Content Framework (ACF) définit les artefacts qui sont créés dans une initiative d’architecture d’entreprise et les liens qui existent entre eux. Il couvre le métamodèle, les blocs de construction et les livrables qui donnent sa structure au travail architectural. Pour les RSSI, cela a une importance directe : les exigences de sécurité, les évaluations des risques et les obligations de conformité peuvent être intégrées en tant qu’artefacts architecturaux reconnus au lieu d’être isolés dans des silos organisationnels distincts. Lorsque la sécurité est intégrée dans le référentiel TOGAF par le biais de l’ACF, il est plus facile de s’assurer qu’elle guide toutes les grandes décisions d’architecture. L’ACF est, en ce sens, indispensable à l’élaboration d’une architecture TOGAF efficace.

Continuum d’entreprise

Le continuum d’entreprise est un modèle de classification pour les artefacts d’architecture et de solution. Il va des modèles de référence génériques aux implémentations spécifiques à l’entreprise. Il favorise un développement plus systématique des architectures existantes et permet d’identifier plus facilement les actifs réutilisables. Pour les responsables informatiques, ce modèle présente un avantage pratique : il définit un lien plus clair entre la vision stratégique et la livraison opérationnelle. Les modèles d’architecture de sécurité peuvent également être documentés comme des actifs réutilisables dans le continuum et appliqués à de futures initiatives pour assurer une plus grande cohérence au sein du référentiel TOGAF.

Le tableau de bord de gestion du risque humain de SoSafe peut être intégré dans un référentiel TOGAF en tant que composant opérationnel, pour aider les entreprises à mettre en place une évaluation et une surveillance plus cohérente du risque humain au point de jonction entre l’architecture stratégique et la gestion quotidienne de la sécurité.

Donner de la visibilité au risque humain

Demander une démo

Découvrez comment le tableau de bord de gestion du risque humain de SoSafe peut faciliter l’évaluation du risque humain et en assurer le suivi au sein de votre architecture d’entreprise.

Domaines TOGAF : présentation des quatre couches d’architecture

Le référentiel TOGAF organise l’architecture d’entreprise en quatre couches bien définies qui couvrent l’ensemble du paysage informatique d’une entreprise. Ces domaines TOGAF fournissent la base structurelle de l’Architecture Development Method (ADM) et des décisions en matière d’architecture dans toute l’entreprise. En pratique, les quatre couches sont souvent regroupées sous l’acronyme BDAT : Business (Métier), Data (Données), Application et Technology (Technologie). Au sein du référentiel TOGAF, chaque domaine traite une partie distincte de l’entreprise tout en restant étroitement connecté aux autres. C’est ce qui donne toute sa cohérence à l’architecture TOGAF.

Architecture Business de TOGAF

L’architecture Business de TOGAF est le point de départ de toute architecture d’entreprise. Elle définit la stratégie commerciale, les structures, les capacités, les processus et le modèle de gouvernance de l’entreprise. Il s’agit d’une couche du référentiel TOGAF particulièrement importante pour les RSSI, car les exigences de sécurité doivent être liées à des priorités d’entreprise plus larges. Lorsque l’on connaît les capacités et les processus les plus essentiels pour l’entreprise, il est plus facile de décider où placer des contrôles en priorité et à quel niveau les investissements en matière de sécurité auront le plus d’efficacité.

Architecture Data de TOGAF

L’architecture Data de TOGAF définit quelles données sont présentes dans toute l’entreprise, comment elles sont structurées, où elles sont stockées et comment elles sont transférées d’un système à l’autre. Dans le référentiel TOGAF, ce domaine crée une base importante pour la protection des données, la conformité et la gestion des accès. Dans les environnements qui doivent répondre à des exigences comme le RGPD ou NIS2, une architecture Data bien documentée peut favoriser une gouvernance plus cohérente et aider à définir plus clairement les responsabilités liées aux flux d’informations.

Architecture Application de TOGAF

L’architecture Application de TOGAF s’intéresse au paysage des applications : quels sont les systèmes utilisés, comment ils interagissent et quelles fonctions métier ils prennent en charge. Dans le référentiel TOGAF, ce domaine aide les responsables de la sécurité à identifier les surfaces de frappe, à comprendre les dépendances et à placer des contrôles là aux points de jonction des différents systèmes. Si l’architecture Application est manquante ou obsolète, il peut être plus difficile d’identifier les faiblesses des interfaces, des responsabilités ou des relations entre les systèmes.

Architecture technologique de TOGAF

L’architecture Technology de TOGAF couvre l’infrastructure physique et logique qui soutient le reste du parc, y compris les réseaux, les serveurs, les environnements cloud, les intergiciels et les composants de sécurité. Dans le cadre du référentiel TOGAF, ce domaine définit la base technique dont dépendent toutes les autres couches architecturales. Il peut fournir aux responsables informatiques un aperçu plus clair de la maturité technique de l’entreprise et mettre en évidence les domaines dans lesquels les investissements en sécurité peuvent avoir le plus grand impact opérationnel.

ADM TOGAF : les huit phases de développement d’architecture

L’ADM (Architecture Development Method) ou méthode de développement d’architecture est le principal processus du référentiel TOGAF. Souvent appelée ADM TOGAF, elle définit la manière dont l’architecture d’entreprise est développée, implémentée, gouvernée et continuellement affinée. Grâce à cette méthode, le référentiel TOGAF donne au travail d’architecture une structure reproductible ce qui évite de le limiter à un exercice de conception unique. Comme le processus est itératif, le référentiel TOGAF favorise l’amélioration continue au lieu de se terminer après un seul cycle.

Le processus commence par une phase préparatoire et une fonction centrale de gestion des exigences qui reste active à toutes les étapes. Le référentiel TOGAF passe ensuite par les phases A à H :

Au quotidien, le référentiel TOGAF est rarement suivi de bout en bout, en suivant rigoureusement toutes les étapes. Les équipes qui sont en train d’agrandir une architecture existante peuvent rejoindre le cycle à mi-chemin, tandis que d’autres, soumises à la pression de la livraison, peuvent être amenées à fusionner des phases ou à moins entrer dans les détails. La méthode est conçue pour permettre ce type d’adaptation. C’est en partie ce qui fait qu’elle reste réalisable dans la pratique.

De
l’architecture à l’implémentation

Demander une démo

Le tableau de bord de gestion du risque humain de SoSafe aide à améliorer la visibilité du facteur humain dans votre architecture informatique et à en faciliter la gestion.

Certification TOGAF : coûts, niveaux et avantages

The Open Group propose deux niveaux de certification. Le niveau 1 couvre les principes fondamentaux, tels que la terminologie, les concepts de base et la structure du référentiel TOGAF. Le niveau 2 se concentre davantage sur son utilisation pratique. Les candidats doivent travailler sur des scénarios, évaluer l’architecture et montrer qu’ils peuvent appliquer le référentiel au-delà de la théorie. La certification TOGAF est donc particulièrement pertinente pour les architectes d’entreprise, les responsables informatiques et les consultants qui doivent avoir plus qu’un aperçu global de la situation.

Les examens de certification peuvent être passés ensemble ou séparément. Selon la grille tarifaire publiée par The Open Group, les certifications pour les parties 1 et 2 coûtent 405 dollars chacune, tandis que l’examen combiné coûte 610 dollars. Le coût final de la certification TOGAF peut cependant s’avérer plus élevé si l’on inclut les frais de formation. Les fournisseurs de formation agréés fixent en effet leurs propres prix.

La certification TOGAF est-elle utile pour les équipes de sécurité ?

Pour les spécialistes de la sécurité occupant des postes opérationnels aux fonctions rigoureusement définies, la certification TOGAF n’est pas toujours essentielle. Pour les RSSI, les architectes de sécurité et les autres personnes qui travaillent à la gouvernance, à l’architecture et à la gestion du risque, c’est autre chose. Une connaissance pratique du référentiel TOGAF peut leur être utile puisqu’elle permet d’intégrer les questions de sécurité plus tôt dans les discussions globales en lien avec l’architecture.

C’est en grande partie le poste occupé par le professionnel qui détermine si la certification peut ou non lui être utile. Pour les professionnels spécialisés dans les opérations techniques, le coût de la certification TOGAF peut dépasser le bénéfice immédiat. Pour ceux qui sont chargés de concevoir une stratégie de sécurité à l’échelle de toute l’entreprise ou qui travaillent à la jonction de l’architecture et de la conformité, le référentiel peut fournir un contexte structurel utile. Le cadre TOGAF Framework ne remplace pas des normes telles que ISO/CEI 27001, mais il peut faciliter le travail architectural de base pour intégrer plus efficacement les différentes exigences dans l’ensemble de l’entreprise.

TOGAF et les autres référentiels du point de vue de la gouvernance

Le référentiel TOGAF ne fait pas concurrence à d’autres référentiels tels que ISO/CEI 27001, NIST ou COBIT. Il opère à un niveau plus large et peut fournir une couche de gouvernance afin de mieux définir comment et à quel niveau il convient d’appliquer les autres normes dans l’architecture d’entreprise. Le tableau comparatif ci-dessous met en évidence les rôles respectifs des différents référentiels :

Lorsque le référentiel TOGAF est considéré non pas tant comme un règlement rigide, mais plutôt comme une référence, il peut contribuer à mieux harmoniser la sécurité, la conformité et les objectifs de l’entreprise au fil du temps.