Managed SASE liegt im Trend SASE vereint Sicherheit und Netzwerk

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Fsas Technologies GmbH

Wollen Fertigungsunternehmen auch in Zukunft sichere OT-Infrastrukturen betreiben, müssen sie sich auf den Schutz des Zugangs zu den OT-Geräten und -Controllern konzentrieren, für deren Verwaltung, Aktualisierung und Kommunikation mit anderen Geräten ein Netzwerkzugang benötigt wird. Herkömmliche Ansätze wie die Isolierung der Operational Technology von der IT und dem Internet sind nicht mehr praktikabel.

Das traditionelle Rechenzentrum hat ausgedient. Applikationen laufen immer häufiger in der Cloud in Form von Software-as-a-Service (SaaS). Und auch die Mitarbeitenden sitzen nicht mehr im Büro und arbeiten innerhalb sicherer lokaler Unternehmensnetzwerke, sondern „fully remote“ oder „hybrid“. Die Folge: Der bisher bekannte Sicherheitsperimeter verschiebt sich drastisch. Dieses Phänomen betrifft auch Fertigungsbetriebe. Sie erweitern ihre bis dato praktisch abgeschirmten OT (Operational Technology)-Anlagen mittlerweile reihenweise durch IoT (Internet of Things)-Anwendungen, die ihnen Produktionssteigerungen und planbarere Wartungsfenster ermöglichen. Letztere beugen insbesondere Ausfällen der Anlage und damit mitunter horrenden Verlusten vor. Die Kehrseite der Medaille ist allerdings, dass Fertigungsstraßen wie jeder andere Teil der IT-Infrastruktur der Gefahr durch Cyberangriffe ausgesetzt sind.

Die Virtualisierung des Netzwerks

Was die Kommunikation zwischen Clients, Applikationen, Clouds und dem Internet sowie zwischen IT und OT ermöglicht, sind natürlich Netzwerke. Früher haben Unternehmen noch einen recht geringen Aufwand gehabt, sie einzurichten und abzusichern: Es genügten virtuelle private Netzwerke (VPNs), um den Zugriff zu regulieren, und MPLS (Multiprotocol Label Switching)-Lösungen, um den Datenverkehr optimal zwischen allen Knoten und Endpunkten zu routen. Dieser Ansatz ist jedoch teuer und nicht mehr zeitgemäß, weil es nur ganz wenige zentrale Knotenpunkte gibt, über welche die Mitarbeiter Zugriff auf die Applikationen und das Internet haben. Da sich der Sicherheitsperimeter drastisch verschoben hat, ist dieser traditionelle Ansatz nicht flexibel und agil genug und führt zudem zu einer schlechten User Experience. An seine Stelle tritt daher folgerichtig mehr und mehr das SD-WAN, also das softwaredefinierte Wide Area Network. Die Virtualisierung des Netzwerks sorgt dafür, dass Unternehmen beispielsweise auf Softwareebene entscheiden können, welche Applikationen oder Clients über welche Verbindungen kommunizieren. In diesem Zusammenhang geht es insbesondere um die Priorisierung von Netzwerkapplikationen, sodass unternehmenskritische Anwendungen optimal ausführbar sind – immerhin hängt die Sicherheit der Unternehmens-IT maßgeblich von einem sicheren Netzwerk ab. SD-WAN ist somit der entscheidende Faktor, um zusammenzuführen, was zusammengehört. Um höchste Sicherheit in hoch vernetzten IT-Umgebungen zu erreichen, müssen Unternehmen den Datenverkehrsfluss virtualisieren und an den virtuellen Knotenpunkten die Schutzmaßnahmen durchsetzen. Die Virtualisierung steigert die Agilität, Flexibilität und führt zudem noch zu einem kosteneffektiven Ansatz, um die User Experience und somit die Produktivität zu steigern.

Sicherer durch SASE

Die schlechte Nachricht: Um den Schutz der IT- und gegebenenfalls OT-Infrastruktur sowie ein optimales Unternehmensnetzwerk wirklich flächendeckend zu gewährleisten, bedarf es einiger Tools und Services, die Experten unter dem Begriff Secure Access Service Edge (SASE) zusammenfassen. Neben dem SD-WAN benötigen Unternehmen natürlich eine Firewall, mit der sie ihr Netzwerk in unterschiedliche Sicherheitszonen segmentieren und den Datenverkehr insgesamt überprüfen können. Das ist auch im Zusammenhang mit einem Zero-Trust-Ansatz von entscheidender Bedeutung, der sich leider nicht mit einem einzigen Produkt implementieren lässt. Auf Netzwerkebene sollten Unternehmen ihn beispielsweise in Form eines Zero Trust Network Access (ZTNA) durchsetzen, der eine anwendungszentrierte Zugriffskontrolle realisert und auf diese Weise das traditionelle VPN für Clients ablöst. ZTNA sorgt in erster Linie dafür, dass kein „goldener Schlüssel“ für das Unternehmensnetzwerk mehr existiert. Konnten Mitarbeitende früher nach der Verbindung mit dem VPN quasi ungehindert agieren, lässt sich mit ZTNA der Zugang auf bestimmte Netzwerkapplikationen feingranular konfigurieren. Wird ein Account gehackt können Unternehmen den potenziellen Schaden somit minimieren.

Da viele Firmen SaaS- und Cloud-Lösungen einsetzen, benötigen sie einen Cloud Access Security Broker (CASB). Er stellt zwei essenzielle Funktionalitäten bereit: Zum einen erhöht er die Visibilität des IT-Teams und versorgt sie mit den dringend notwendigen Informationen darüber, welche SaaS-Lösungen die Mitarbeiter überhaupt nutzen. Das sind oft mehr, als die Administratoren erwarten, in großen Firmen kann die Zahl an Services in die Tausende gehen. Zum anderen bietet CASB auch die Möglichkeit der Regulierung. Über den Broker kann das IT-Team die Nutzung bestimmter SaaS- oder Cloud-Lösungen einschränken oder ganz verbieten. Das geht zum Teil sogar auf Funktionsebene, sodass zum Beispiel das Herunterladen von Daten aus einer bestimmten Cloud möglich, das Hochladen allerdings verboten ist. Das letzte Puzzlestück sind Secure Web Gateways (SWGs), die den Internet-Traffic überwachen und filtern. Sie sind in der Lage, Gefahren aus dem Web zu erkennen und deren Schadenspotenzial auf diese Weise zu reduzieren.

SASE und seine Herausforderungen

Unternehmen, die diese fünf essenziellen Sicherheits-Tools implementieren, dürfen sich mit Fug und Recht als „SASE First“ bezeichnen. Es ist jedoch so, dass die Implementierung und der Betrieb eines Secure Access Service Edge in Eigenregie nicht gerade einfach ist. Die praktische Umsetzung eines SASE-Projekts dauert in der Regel zwischen sechs und zwölf Monaten, sofern ein entsprechend großes Team vorhanden ist. Das sollte nicht weniger als acht Personen umfassen, um auch später den Betrieb rund um die Uhr in einem gesunden Maß durchführen zu können. Diese 24/7-Bereitschaft ist notwendig, denn Netzwerke und die IT-Infrastruktur haben keinen Feierabend und auch Cyberattacken finden nicht nur während allgemeiner Geschäftszeiten statt. Allein der Fachkräftemangel macht dieses Unterfangen bereits schwierig, zudem sind die Kosten für ein solch großes Network Operation Center (NOC) für die wenigsten Unternehmen zu bezahlen.

Darüber hinaus müssen Unternehmen sich entscheiden, ob sie einen „Best of Breed“-Ansatz oder eine Tool-Konsolidierung bevorzugen. Beide Varianten haben ihre Vor- und Nachteile: Während ersterer den Einsatz der maßgeschneidertsten Lösungen für die jeweiligen Aufgaben ermöglicht, müssen diese Lösungen auch – jede für sich – verwaltet und konfiguriert werden. Außerdem müssen die IT-Experten sich spezielles Fachwissen über die jeweilige Lösung aneignen. Eine konsolidierte SASE-Lösung, die alle essenziellen Bestandteile von einem Anbieter enthält, erleichtert den Betrieb maßgeblich. Allerdings müssen Unternehmen gegebenenfalls Kompromisse schließen oder beim Anbieter bestimmte Funktionen zusätzlich einkaufen. Doch egal ob konsolidiertes Tool-Set oder „Best of Breed“: Beide Varianten gibt es auch als Software-as-a-Service. Somit haben Unternehmen vier Herangehensweisen, aus denen sie wählen können.

Managed SASE liegt im Trend

Die meisten Unternehmen zwischen 1.000 und 20.000 Mitarbeitenden tendieren mittlerweile zum sogenannten Managed SASE mit konsolidiertem Tool-Set. Bei der Wahl des Anbieters sollten sie allerdings eine sehr intensive Evaluierung vornehmen: SASE ist aktuell ein großes Buzzword. Einige Service Provider schreiben es sich gerne auf die Fahnen, haben dann allerdings in einigen Bereichen nicht genügend Know-how, um die speziellen Bedürfnisse von Unternehmen abzudecken. Die beste Vorgehensmethode ist, bereits vor einem Request for Proposals klare Service Level Agreements (SLAs) zu formulieren. Managed SASE ist überdies ein absolutes Vertrauensgeschäft, da Unternehmen sehr viel ihrer eigenen IT an den externen Service Provider auslagert. Daher sollten sie auch prüfen, ob der Partner über ähnliche Werte verfügt und ob dessen Business Roadmap den eigenen Vorstellungen entspricht.

Was Unternehmen, die auf Managed SASE setzen wollen, nicht vergessen dürfen, ist die interne Kommunikation mit ihren IT-Experten. Es ist elementar wichtig, ihnen zu vermitteln, dass sie sich um ihren Job keine Sorgen machen brauchen. Auch wenn Managed SASE bedeutet, vieles zu externalisieren, ist das für die internen Mitarbeitenden etwas Positives: Sie haben dann endlich Freiraum und Ressourcen, um das Unternehmen strategisch und durch wertschöpfende Tätigkeiten voranzutreiben. Somit wertet die verlängerte Werkbank des Networkings und der Security ihre Stellung eher auf, anstatt ab.

Über den Autor: Stefan Keller ist Chief Product Officer bei Open Systems.

(ID:49948603)