Zero-Trust-Strategien für die moderne Arbeitswelt Vertrauen Sie niemandem, wenn Sie hybrid arbeiten!

Anbieter zum Thema

Fujitsu Technology Solutions GmbH

TXOne Networks

Die Cyberkriminalität entwickelt sich mit dem technologischen Fortschritt weiter, und Cyberkriminelle entdecken und entwickeln ständig neue Taktiken, um sich Zugang zu Systemen zu verschaffen. Glücklicherweise steht auch die Cybersicherheitsbranche nicht still. Es werden ständig neue Methoden und Technologien entwickelt, um Cyberkriminalität zu verhindern. Eine der bekanntesten Methoden, die von Unternehmen zur Stärkung ihrer Cybersicherheitsposition eingesetzt wird, ist Zero Trust.

Der Zero-Trust-Ansatz ist weltweit anerkannt und wird von vielen wichtigen Organisationen empfohlen. Letztes Jahr unterzeichnete Präsident Joe Biden sogar eine Durch­führungs­verordnung zur Verbesserung der Cybersicherheit in den USA mit Schwerpunkt auf der Sicherheitsstrategie „Zero Trust“. Darüber hinaus wurde die Methodik kürzlich auch von der niederländischen Regierung empfohlen. Dies ist nicht überraschend, da die Zahl der Cyberangriffe von Jahr zu Jahr steigt. Die niederländische Polizei registrierte 14.000 Fälle von Cyberkriminalität. Das ist ein Anstieg um fast ein Drittel im Vergleich zum Vorjahr und dreimal so viel wie im Jahr 2019. Der jüngste Sicherheitsmonitor von Statistics Netherlands zeigt, dass fast 2,5 Millionen Niederländer ab 15 Jahren im vergangenen Jahr Opfer von Online-Betrug geworden sind. Dabei geht es um Dinge wie Kaufbetrug, Hacking, Phishing und Cybermobbing.

Das Null-Vertrauens-Modell funktioniert nach dem Prinzip „vertraue nie, überprüfe immer“. Unabhängig davon, woher die Anfrage kommt oder an welche Quelle sie sich wendet. Mit Zero Trust wird jede Zugriffsanfrage als potenziell bösartig behandelt und daher vollständig überprüft, bevor der Zugriff gewährt wird. Es ist daher eine leistungsstarke, flexible und granulare Methode zur Kontrolle des Zugriffs auf alle Daten innerhalb und im Umfeld der IT-, Netzwerk- und Sicherheitslandschaft eines Unternehmens.

Virtual Private Networks funktionieren nicht mehr

Das Aufkommen des hybriden Arbeitens ist einer der Hauptgründe für die Beliebtheit der Zero Trust-Methode. Früher investierten Unternehmen in Virtual Private Networks (VPN), um ihre Unternehmensdaten zu schützen. Ein VPN baut einen sicheren Tunnel zwischen zwei Punkten auf, durch den der Internetverkehr so geleitet wird, dass Dritte keinen Zugriff darauf haben. Persönliche Daten werden auf diese Weise abgeschirmt und durch sichere Server geschützt. Auch wenn VPN eine praktische Lösung zu sein scheint, so ist sie doch nicht mehr angemessen, da sie einfach nicht für die Cloud konzipiert ist. Ein VPN ist eine Alles-oder-Nichts-Lösung und verfügt nicht über die Flexibilität und Granularität, um genau zu kontrollieren und zu sehen, was Benutzer tun und auf welche Anwendungen sie zugreifen können. Sobald ein Benutzer Zugang erhält, kann er auf alles im Netzwerk zugreifen. Sollte sich ein Cyberkrimineller Zugang zu einem individuellen Konto oder einem Gerät verschaffen, das ein VPN verwendet, hat er erheblichen Zugriff auf die Unternehmenssysteme. Dies bedeutet eine Zunahme von Sicherheitslücken und Problemen bei der Durchsetzung von Richtlinien.

Außerdem sind die Endgeräte der Hybrid-Mitarbeiter nicht immer über ein VPN mit dem Unternehmensnetzwerk verbunden. Das macht es wahrscheinlicher, dass jemand auf eine Phishing-E-Mail klickt oder auf andere Weise Malware einschleust. Sobald ein infizierter Endpunkt über ein VPN mit dem Unternehmensnetzwerk verbunden ist, kann Malware das restliche Netzwerk nach weiteren Schwachstellen durchsuchen. Darüber hinaus ist ein VPN nicht unbedingt benutzerfreundlich, da die Mitarbeiter das VPN oft selbst aktivieren müssen. Dies kann für technisch weniger versierte Benutzer schwierig sein.

Eine Alternative zum VPN kann die Implementierung eines Zero Trust Network Access (ZTNA) sein. Dies ist sicherer und benutzerfreundlicher, da in einer ZTNA-Umgebung jeder als unsicher gilt. Sowohl die Geräte von Hybrid-Mitarbeitern als auch von Mitarbeitern, die vor Ort arbeiten, werden daher individuell kontrolliert. Außerdem gehen Zero Trust-Architekturen im Gegensatz zu VPNs davon aus, dass der Zugang zu Daten nicht einheitlich ist. So können regulierte Branchen wie das Gesundheits- oder Finanzwesen Zero-Trust-Architekturen implementieren, ohne dass sensible Daten für alle Mitarbeiter des Unternehmens zugänglich sind. Zero Trust ermöglicht „jederzeit und überall“ sicheres Arbeiten durch kontinuierliche und strenge Authentifizierung. Auf diese Weise erhalten Sie überall privilegierten Zugang, ohne dass dieser für jedermann zugänglich ist.

Erste Schritte mit Zero Trust

Doch allzu oft stellen wir fest, dass viele Unternehmen Zero Trust nicht richtig umsetzen. Um dies zu erleichtern, beschreibe ich hier einige wichtige Tipps.

Das erste Element, das bei der Einführung von Zero Trust zu berücksichtigen ist, ist der Aufbau eines hoch motivierten Teams. Die Änderung der Art und Weise, wie ein Unternehmen an das Thema Sicherheit herangeht, ist ein langer und komplexer Prozess. Der Aufbau eines internen Kernteams, das die Methodik vorantreibt, ist daher unerlässlich. Sie können alle relevanten Interessengruppen aufklären, begeistern und für den Übergang mobilisieren. Darüber hinaus ist es wichtig, dass das Team weiß, was Zero Trust wirklich ist. Es gibt viele Irrtümer und Missverständnisse rund um Zero Trust. Außerdem definieren nicht alle Anbieter Zero Trust auf dieselbe Weise. Es ist wichtig, einen Anbieter zu finden, der Zero Trust wirklich anwendet. Es ist daher von entscheidender Bedeutung, dass alle Mitglieder des Kernteams verstehen, was Zero Trust wirklich bedeutet.

Zero Trust ist nicht einfach eine weitere Sicherheitslösung, die schnell eingeführt werden kann. Um es erfolgreich zu implementieren, muss sorgfältig geprüft werden, ob die aktuelle Sicherheitspolitik zu Zero Trust passt oder ob Anpassungen vorgenommen werden müssen. Das wichtigste Element dabei ist ein tiefes Verständnis der Struktur. Auf diese Weise werden Unternehmen später keine Überraschungen erleben. Außerdem ist es wichtig, dass Unternehmen, die mit Zero Trust beginnen, eine Bereitschaftsbewertung durchführen. Eine solche Bewertung hilft CIOs, CISOs und IT-Abteilungen, die Lücke zwischen dem Bewusstsein für Cybersicherheit, dem Engagement der Mitarbeiter, der Finanzierung, den Richtlinien und den technologischen Maßnahmen zu verwalten und zu überwachen. Dieser Ansatz ermöglicht es den Kunden, eine umfassende und einfach zu handhabende Lückenanalyse zu erstellen. Dadurch erhalten sie verwertbare Erkenntnisse über die Wirksamkeit und Geschwindigkeit ihrer Cybersicherheit.

Achten Sie auch genau darauf, welche Lösungen gekauft werden. In den letzten Jahren ist eine große Anzahl von Lösungen auf den Markt gekommen, die überhaupt nicht auf Zero Trust basieren, aber behaupten, es zu sein. Um sicher zu sein, dass ein Produkt auf Zero Trust basiert, ist es ratsam zu prüfen, ob die Lösung dem Zero Trust-Prinzip „never trust, always verify“ entspricht. Prüfen Sie zum Beispiel, ob die Lösung identitätsorientiert ist. Ein ZTNA-Tool sollte in der Lage sein, Benutzern den Zugriff auf möglichst wenige Netzwerkressourcen zu ermöglichen. Prüfen Sie daher, ob die ZTNA-Lösung eine Multi-Faktor-Authentifizierung (MFA) verwendet. MFA ist wesentlich sicherer, da die Benutzer zusätzliche Aktionen durchführen müssen, um auf ein Konto zuzugreifen. Das Hinzufügen eines weiteren Faktors zum Verifizierungsprozess erhöht die Sicherheit Ihrer Konten und erschwert es einem Angreifer, Zugang zu Daten zu erhalten. Wenn die Lösung über MFA verfügt, stellen Sie sicher, dass die Administratoren die Flexibilität haben, mehrere MFA-Anbieter zu verwenden, ohne sie in verschiedenen Umgebungen einsetzen zu müssen. Dies vereinfacht die Verwaltung des Prozesses für IT-Administratoren und führt zu mehr Flexibilität, weniger Zeit, Aufwand und Kosten.

Vergewissern Sie sich auch, ob es Möglichkeiten gibt, vorgegebene Identitäten, Rollen und Berechtigungen festzulegen. Prüfen Sie außerdem, ob das Produkt kontinuierlich die Einhaltung der vordefinierten Sicherheitsrichtlinien überprüft (welche Komponente darf was tun) und nach dem Prinzip der „Standardverweigerung“ alle nicht erlaubten Aktionen blockiert. Neben der Identität berücksichtigen ZTNA-Produkte auch kontextbezogene Kriterien wie Datum, Uhrzeit, geografischer Standort, Netzwerkverbindung und Gerätestatus, bevor sie den Zugriff gewähren. So kann z. B. ein untypisches und unzulässiges Benutzerverhalten, wie der Versuch, sich nachts oder von einem anderen Land aus bei einer Anwendung anzumelden, zu einer Verweigerung führen.

Kein Fahrplan

Auch wenn die oben genannten Tipps Unternehmen helfen können, die ersten Schritte zu unternehmen, gibt es keine feste Vorgehensweise. Schließlich ist Zero Trust eine Strategie und jedes Unternehmen ist anders. Die Grundlagen bleiben jedoch immer dieselben: Alle zu sichernden Elemente müssen benannt werden, oder anders ausgedrückt: „never trust, always verify“.

Über den Autor: Prashant Ketkar ist Chief Technology & Product Officer bei Alludo.

(ID:49632311)