„Sicherheitsverantwortliche können gar nicht paranoid genug sein“ Das Ende der Unschulds­vermutung in der IT-Sicherheit

Anbieter zum Thema

Fujitsu Technology Solutions GmbH

TXOne Networks

mongoDB

Wie können Unternehmen und Organisationen sich gegen immer raffiniertere Cyberangriffe wappnen? Ist Sicherheit im Umfeld immer komplexerer Software-Architekturen überhaupt noch realisierbar? Ja, denn eine Zero-Trust-Strategie und die richtigen Datenlösungen können das Risiko eines Insider-Angriffs begrenzen und lassen unlautere Akteure selbst dann alt aussehen, wenn sie „Insider“ sind.

Für IT-Sicherheitsexperten war 2022 ein arbeitsreiches Jahr. Zu den vorhandenen Cyberrisiken durch Datenschutzverletzungen oder Ransomware-Attacken kamen vor dem Hintergrund der angespannten geopolitischen Situation neue. Zu den üblichen Cybercrime-Verdächtigen, denen es in der Regel um Geld geht, traten im Kontext einer „hybriden Kriegsführung“ verstärkt auch Geheimdienste und Staaten auf den Plan mit dem Ziel, Informationen zu erlangen, falsche zu streuen oder kritische Systeme lahmzulegen und Verunsicherung zu schüren.

Tech-Legende Dwight Merriman brachte die Herausforderung für CIOs, CISOs und Entwickler so auf den Punkt: „Die Komplexität moderner Software bietet immer mehr Angriffsvektoren. Gleichzeitig werden die Angreifer professioneller. Kurz gesagt: Als Sicherheitsverantwortliche können Sie gar nicht paranoid genug sein.“

Abwehr gestiegener Cyberrisiken durch Zero-Trust

Eine Möglichkeit, der veränderten Bedrohungslage zu begegnen, ist die Implementierung eines Zero-Trust-Ansatzes. Dahinter steckt der Abschied von der Annahme, dass jedes Gerät und jeder Benutzer innerhalb eines Netzwerks vertrauenswürdig ist. Kurz gesagt: Betrachten Sie alles und jeden bis auf Weiteres als potenzielles Sicherheitsrisiko.

In traditionellen Sicherheitskonzepten gilt der Grundsatz, dass Geräte und Benutzer innerhalb des eigenen Netzwerks vertrauenswürdig sind, außerhalb jedoch als mögliche Bedrohung eingestuft werden. Dieses Modell gerät allein durch den Trend zur Heim- und Distanzarbeit an seine Grenzen, weil immer mehr Mitarbeiter außerhalb der gezogenen „Vertrauenssphäre“ tätig sind.

Verdächtig bis zum Beweis des Gegenteils

Zero-Trust schafft die Vorstellung einer solchen Vertrauenssphäre ab. Jede Zugriffsanfrage auf ein Netzwerk oder eine Anwendung wird zunächst auf Basis vorliegender Risikoinformationen einer Überprüfung unterzogen und individuell bezüglich ihres Risikos eingestuft. Erst dann erfolgt die Validierung.

Die folgenden drei Prinzipien sind dabei von zentraler Bedeutung:

• Never trust, always verify: Alle Akteure, die auf Unternehmensdaten zugreifen, werden beim Zugriff überprüft, egal ob intern oder extern.

• Netzwerksegmentierung: Daten werden mit Hilfe von Clustern verteilt und isoliert, anstatt sie an einem zentralen Ort zu speichern.

• Möglichst wenig Privilegien gewähren: Beschränkung der Zugriffsrechte auf Daten, die für die Ausführung einer bestimmten Aufgabe erforderlich sind (Principle of Least Privilege).

Netzwerksegmentierung und beschränkte Zugriffsrechte als zentrale Bausteine

Im Rahmen der Zero-Trust-Architektur werden Netzwerke segmentiert. Jedes einzelne dieser Segmente wird mit eigenen Sicherheitsmechanismen ausgestattet, um zu gewährleisten, dass innerhalb des Segments nur autorisierte Verbindungen zustande kommen. Eine wichtige Rolle spielt dabei das so genannte Identitäts- und Zugriffsmanagement (IAM) zur Verwaltung von Identitäten und Zugriffsberechtigungen und zur Authentifizierung.

Auch das so genannte Software Defined Perimeter (SDP)-Prinzip ist zentral für die Implementierung des Zero-Trust-Konzepts. Dabei werden Zugriffsrechte und Verbindungen nach dem Need-to-know-Prinzip aufgebaut: So viel wie nötig, so wenig wie möglich. Geräte-Authentifikation, identitätsbasierter Zugang auf Anwendungsebene, eine kontinuierliche Risikobewertung im Verlauf von Sessions und dynamisch bereitgestellte Konnektivität sind zentrale Säulen dieses Prinzips.

Wie steht es um die Implementierung?

Das Thema Zero-Trust ist mittlerweile in Chefetagen angekommen. Laut dem jährlichen globalen State of Zero-Trust Security Report von Okta steigen die Budgets für die Einrichtung entsprechender Sicherheitsarchitekturen in 85 Prozent der Unternehmen. 97 Prozent gaben an, dass sie Zero-Trust-Konzepte eingeführt haben oder dies in den nächsten 12 bis 18 Monaten vorhaben. Das entspricht einem Anstieg von mehr als 500 Prozent seit 2018.

Unternehmen im EMEA-Raum sind zögerlicher: Nur 36 Prozent geben hier an, bereits über eine Strategie für eine Zero-Trust-Initiative zu verfügen. Doch die Region holt auf und liegt bei der Steigerung der Budgets für Zero-Trust-Strategien ganz vorne. 90 Prozent der Unternehmen im EMEA-Raum geben an, in Zero-Trust investieren zu wollen.

Das sollten Unternehmen beachten: Schritte zu Zero-Trust

Damit ein Zero-Trust-Modell funktioniert, muss zunächst eine entsprechende Netzwerkarchitektur bereitgestellt werden. SDP gewährleistet dabei den sicheren Zugriff. SDP kann auch Teil einer größeren Secure Access Service Edge-Plattform (SASE) sein.

Als nächstes folgt die Netzwerksegmentierung, die eine sorgfältige Planung und enge Abstimmung zwischen den Bereichen erfordert.

Danach ist festzulegen, wer Zugriff auf welche Segmente haben muss. Bei der Vergabe der Berechtigungen wird nach dem Least-Privilege-Ansatz vorgegangen – es wird das Mindestmaß an Rechten eingeräumt, das es Nutzern ermöglicht, ihre Aufgabe zu erledigen. Die Implementierung strenger, mehrstufiger Authentifizierungsverfahren und die Verifizierung von Geräten runden das Konzept ab.

Die Vorteile

Die Vorteile einer erfolgreich abgeschlossenen Zero-Trust-Initiative liegen in Zeiten hoher Cyberrisiken klar auf der Hand:

• 1. Sicherheit: Der Ansatz reduziert das Risiko von Datenverletzungen und anderen Cyberattacken deutlich. Unternehmen, die Zero-Trust implementieren, verzeichnen signifikant weniger Datenschutzverletzungen.

• 2. Datenhoheit: Unternehmen können besser kontrollieren, wer Zugang zu ihren Systemen und Daten hat (oder sich zu verschaffen versucht).

• 3. Schadensbegrenzung: Die Segmentierung wirkt wie ein Kollisionsschott bei einem Wassereinbruch. Selbst wenn ein Gerät oder Benutzer kompromittiert wird, kann dieses Gerät oder dieser Benutzer nur auf einen Teil des Netzwerks zugreifen.

• 4. Flexibilität: Die Segmentierung ist es auch, die für Agilität und Skalierbarkeit sorgt, denn die Segmente erlauben es Unternehmen, ihre Netzwerke bei Bedarf um weitere Segmente zu erweitern oder sie zu reduzieren, ohne dass die Sicherheit leidet.

• 5. Compliance: Die strengere Kontrolle über den Datenzugang macht es deutlich einfacher, die Anforderungen der zahlreichen komplexen Datenschutzgesetze zu erfüllen und regulatorische Auflagen umzusetzen. Mit der Integration einer Verschlüsselungstechnologie wie Queryable Encryption in ihre Zero-Trust-Strategie können Unternehmen in dieser Hinsicht sogar noch mehr profitieren.

Fazit

Im Umfeld gestiegener Cyberrisiken, zunehmender Digitalisierung mit Implikationen wie Distanzarbeit und strenger Datenschutz- und Cybersicherheitsauflagen kommen Sicherheitskonzepte an ihre Grenzen. Zero-Trust-Architekturen geben Unternehmen die Möglichkeit, einige dieser Herausforderungen zu adressieren und dabei zusätzlich eine einfach skalierbare Netzwerkarchitektur zu schaffen. Nötige Investitionen amortisieren sich dabei schnell, denn die Kosten eines Datenlecks oder einer Datenschutzverletzung sind immens: Laut der letzten Bitkom-Studie zum Thema entsteht allein der deutschen Wirtschaft ein jährlicher Schaden von rund 203 Milliarden Euro durch Diebstahl von IT-Ausrüstung und Daten, Spionage und Sabotage. Zum Vergleich: 2018/2019 waren es noch 103 Milliarden Euro.

Über die Autorin Lena Smart ist CISO bei MongoDB.

(ID:49537590)