Mythen und übersteigerten Erwartungen Weg mit drei Zero-Trust-Mythen

Anbieter zum Thema

Mimecast Germany GmbH

TXOne Networks

Specops Software GmbH

Netskope Inc.

Im Unternehmensumfeld gehört „Zero Trust“ bereit seit einiger Zeit ohne Zweifel zu den angesagtesten Begriffen. Wie bei so vielen anderen Buzzwords in der IT ranken sich darum aber eine Reihe von Mythen. Zeit, damit aufzuräumen.

Eine in diesem Jahr veröffentlichte Studie der Cloud Security Alliance kommt zu dem Schluss, dass 80 Prozent der Führungskräfte in Unternehmen „Zero Trust“ eine mittlere bis hohe Priorität einräumen. 77 Prozent wollen in den kommenden 12 Monaten beschleunigt an diesem Thema arbeiten. Zero-Trust-Netzwerke haben also offenbar einen Nerv getroffen. Doch wie so oft in der Branche sind mit Zero Trust eine ganze Reihe falscher Vorstellungen verbunden. Solche Missverständnisse und Mythen führen schnell dazu, dass von dem Ansatz wahre Wunder erwartet werden. Dies war auch im Falle von KI oder der Blockchain so. Mythen und übersteigerten Erwartungen sind in der Regel das Resultat der überzeugend geschriebenen Marketingmaterialien von Lösungsanbietern, die in der Sache aber nicht präzise genug sind. Es scheint also an der Zeit, mit diesen falschen Vorstellungen aufzuräumen.

Mythos 1: Zero Trust ist eine Technologie

Zero Trust ist, anders als es Marketingtexte versprechen, kein Produkt oder eine Technologie, die Unternehmen einfach kaufen können. Es gibt also keine Lizenz, die erworben wird und schon ist das Zero-Trust-Netzwerk fertig. Es handelt sich stattdessen um ein Prinzip, das Architekturen und Sicherheitsrichtlinien bestimmt. Faktisch bedeutet dies, dass ein Unternehmen selbst den eigenen Mitarbeitenden misstraut. Werden Entscheidungen über Datenzugriffe getroffen, bedeutet „Zero-Trust“ buchstäblich kein Vertrauen. Der Zugriff wird erst auf der Basis kontinuierlicher, adaptiver und vom Kontext abhängiger Entscheidungen gewährt.

Wenn ein Unternehmen eine „Zero-Trust“-Strategie nutzt, bildet Secure Access Service Edge (SASE) den damit verbundenen Rahmen. Und Security Service Edge (SSE) beschreibt letztlich eine Produktgattung, deren Lösungen erworben werden können. Aus Erkenntnissen über das Benutzerverhalten, der Identität, dem Anwendungsrisiko, der Daten und dem genutzten Gerät wird dann Zugriff eingeräumt. Aber das ist eben nur ein Baustein einer solchen Strategie.

Mythos 2: ZTNA ist das Ziel und die Lösung

Zero Trust wird oftmals vorschnell ausschließlich mit dem Netzwerkzugang assoziiert. Es geht im Kern aber um mehr. Denn im Zeitalter hybrider Arbeitsmodelle und BYOD-Strategien sollte sich der Zero-Trust-Gedanke auf die gesamte Infrastruktur beziehen. Zero-Trust-Network-Access (ZTNA) ist insofern ein guter Ausgangspunkt für eine Zero-Trust-Strategie, die aber umfassender sein sollte.

• 1. In der ersten Phase definieren Unternehmen die Basis des Zero Trusts. Alle Zugriffsebenen innerhalb der Organisation sind klassifiziert, alle Anwendungen inventarisiert und Datenbestände identifiziert. Es geht um nichts anderes, als einen Zustand zu erreichen, in dem ein anonymer Zugang auf keine Ressource möglich ist. Laterale Bewegungen im Netzwerk sind eingeschränkt, Anwendungen vor Port-scannern oder Fingerprinting verborgen und SSO mit Multifaktor-Authentifizierung erweitert.

• 2. In der zweiten Phase kann die Zugriffskontrolle adaptiv ergänzt werden. Signale von Anwendungen und Benutzern werden ausgewertet und adaptive Richtlinien erlassen, die dann etwa eine zusätzliche Authentifizierung erfordern. In dieser Phase müssen Unternehmen lernen und umsetzen, wie Zugriffsrichtlinien mit einem Kontext versehen werden können, um so den Zugriff in Abhängigkeit von bestimmten Bedingungen zuzulassen. Handelt es sich um ein intern verwaltetes Gerät, das nur lesend auf eine lokale Anwendung zugreift, ist das Risiko anders zu bewerten, als bei einem Fernzugriff von Anwender:innen, die Inhalte löschen wollen.

• 3. Phase drei widmet sich dem Schutz risikobehafteter Ziele und nutzt explizite Vertrauenskontrollen. On-Demand-Isolierung, d. h. eine Isolierung, die sich bei hohem Risiko automatisch einfügt, schränkt etwa den Aktionsradius von gefährdeten Be-nutzern und gefährlichen oder riskanten Websites ein.

• 4. Die vierte Phase beseitigt „überschüssiges“ Vertrauen, in dem konsequent eine Richtlinie der geringsten Privilegien verfolgt wird. Die Bewegungen sensibler Daten innerhalb des Netzwerks werden verfolgt und der Datenabfluss möglichst unterbunden. Das ist zugleich gelebter Datenschutz.

• 5. Die fünfte Phase schließlich verfeinert die Richtlinien kontinuierlich. Dafür sind Analysen in Echtzeit unerlässlich. Auf Basis von Benutzertrends, Anomalien bei Zugriffen oder Änderungen an Anwendungen werden die Zugriffe restriktiver gehandhabt.

Mythos 3: Zero Trust ist ein reines Sicherheitsthema

Eines der größten Missverständnisse um Zero Trust liegt sicherlich darin, dass es als reines Sicherheitsthema verstanden wird. Die Strategie mag von Sicherheitsteams initiiert sein und die Verbesserung der Sicherheit in einem Unternehmen ist wahrscheinlich auch der Hauptantrieb zur Einführung von Zero Trust. Die Strategie reicht aber weit über den Aspekt der Sicherheit hinaus. Denn dieser Weg kann auch ein Wegbereiter für mehr geschäftliche Agilität sein. Wird Zero Trust richtig konzipiert und umgesetzt, helfen die Initiativen den CIOs bei der Konsolidierung von Anbietern und Lösungen, verbessern die Transparenz bei der Service-Integration und steigern damit die betriebliche Effizienz.

Da, wie in den Phasen der Strategieumsetzung erwähnt, alle eingesetzten Anwendungen, Netzwerkzugänge, Datenspeicher und Geräte berücksichtigt werden, erstrecken sich Zero-Trust-Initiativen über Sicherheits-, Cloud- und Netzwerkteams. Das kann als Katalysator für mehr funktionsübergreifende Zusammenarbeit genutzt werden.

Erfolgreich umgesetzt, schaffen die Prinzipien von Zero Trust eine Sicherheitslage, die Unternehmen viele Vorteile bietet:

• Die geografische Lage von Benutzer:innen und Daten sind keine limitierenden Faktoren mehr, womit Unternehmen flexibler bei der Wahl von Standorten werden.

• Für Business-Teams wird es einfacher, neue Partner einzubinden und neue Geschäftsmodelle zu erkunden, ohne dass dies das Risikoprofil des Unternehmens erhöht.

• Es wird leichter, neue digitale Lösungen zu testen, um Produktivitätssteigerungen zu erzielen, ohne erst monatelang neue Sicherheitsrichtlinien und Security-Systeme anzupassen.

Zero Trust ist also viel mehr als ein reines modisches Schlagwort und es wirkt positiv auch über den reinen Sicherheitsaspekt hinaus. Es ist nur eben leider kein Produkt, das Firmen einfach kaufen können. Und auch den Weg zum Ziel müssen Unternehmen genauso individuell finden und beschreiten.

Über die Autorin: Ilona Simpson ist Chief Information Officer EMEA bei Netskope. Seit über 15 Jahren ist sie als CIO in diversen internationalen Unternehmen für die Initiierung und Leitung der Umsetzung neuer Geschäfts- und Technologiestrategien sowie Betriebsmodelle verantwortlich. Besonders in den Bereichen der Automobilindustrie und Supply Chain ist ihr Branchenwissen tief verankert.

(ID:48667164)