Schützen Sie Ihre Organisation mit Zero-Trust-Sicherheit

Das neue Zero-Trust-Sicherheitsframework

Früher setzten Unternehmen auf das Sicherheitsmodell "Burg und Burggraben", um die Netzwerksicherheit zu gewährleisten. Nutzern und Geräten innerhalb des Netzwerkperimeters wurde standardmäßig vertraut, Nutzern und Geräten außerhalb nicht. Das ergab Sinn, solange alle oder fast alle Nutzer und Geräte vor Ort arbeiten und somit eine klare Netzwerkgrenze gezogen werden konnte.

Im vergangenen Jahrzehnt haben Cloud-Computing und mehr Mobilität IT-Umgebungen von Organisationen radikal verändert und die Grenzen der "Burg", des Netzwerkperimeters, immer weiter verwischt. Die COVID-19-Pandemie versetzte dem Burg-und-Burggraben-Modell den endgültigen Todesstoß. Sie zwang Organisationen dazu, sehr schnell ihre Netzwerke und Sicherheitsvorkehrungen anzupassen und hochzuskalieren, um dem massiv gestiegenen Fernarbeitsbedarf gerecht zu werden.

Das Netzwerkperimeter war nicht mehr nur unklar, es war komplett verschwunden. Die Burg lag in Schutt und Asche, der Graben war trockengelegt. Organisationen begannen damit, auf moderne Zero-Trust-Netzwerksicherheit zu setzen.

Zero-Trust besser verstehen

Das Zero-Trust-Sicherheitsfamework fußt auf drei Kernprinzipien: Datenpanne annehmen, explizite Verifizierung und Einhaltung des Least-Privilege-Zugangs.

Anstatt allen Nutzern Geräten innerhalb des Netzwerkperimeters zu vertrauen, vertraut Zero-Trust keinem einzigen davon. Zero-Trust nimmt an, dass alle Nutzer und Geräte potenziell kompromittiert sind, und dass sich alle Personen und Geräte verifizieren müssen, bevor sie auf ein Netzwerk zugreifen können. Nach dem Zugriff auf das Netzwerk sollten Nutzer nur die absolut notwendigen Berechtigungen zur Durchführung ihrer Arbeit erhalten.

Bei ordentlicher Einrichtung des Zero-Trust-Modells erhalten IT-Administratoren umfassende Einblicke über alle Nutzer, Systeme und Geräte, können die Einhaltung von Industrie- und gesetzlichen Standards gewährleisten und es hilft bei der Verhinderung von Cyberangriffen durch kompromittierte Nutzerzugangsdaten.

Deshalb passen VPN und Zero-Trust nicht zusammen

Mit Ausbruch der COVID-19-Pandemie waren Organisationen gezwungen, ihre Netzwerk- und Sicherheitsfähigkeiten rasch zu skalieren, um die massenhafte Fernarbeit ihrer Mitarbeitenden zu ermöglichen. Da diese Veränderung sehr plötzlich eintraf, setzten viele Organisationen einfach nur noch stärker auf die Mittel, die sie ohnehin bereits nutzten. Häufig bedeutete das noch mehr VPN-Einsatz zur Sicherung der Verbindungen.

Also VPN nur für sehr spezielle Einsatzszenarien verwendet wurden, funktionierten sie verhältnismäßig gut, aber als Organisationen damit begannen, sie für alle Mitarbeitenden zu nutzen, zeigten sich schnell die Schwachstellen der Systeme.

VPN können nur unzureichend skaliert werden. Sie sind teuer, verursachen Verzögerungen, haben Zuverlässigkeits- und Verfügbarkeitsprobleme, erfordern enormen administrativen Aufwand und sind für Endnutzer sehr schwierig zu nutzen. Am problematischsten ist aber, dass sie keinen Zero-Trust-Netzwerkzugriff unterstützen.

So verwirklichen Sie Zero-Trust

Es gibt noch keine universellen Standards für die "Zero-Trust-Implementierung". Die Frage, wo man nun beginnen soll, kann bereits eine sehr große Herausforderung sein. Im Folgenden finden Sie bewährte Methoden, damit Zero-Trust für Ihr Unternehmen leichter umsetzbar ist.

• Zero-Trust auf lange Sicht: Technologien, Arbeitsabläufe und Bedrohungsumgebungen verändern sich stetig und werden immer komplexer. Die Zero-Trust-Architektur ist da keine Ausnahme.
• Überzeugte Führungskräfte: Alle Führungsebenen müssen davon überzeugt sein und ein starkes Bedürfnis haben, Zero-Trust zu implementieren. Eine CRA-Studie fand heraus, dass Organisationen umso erfolgreicher bei der Einführung von Zero-Trust waren, wenn sie durch leitende Führungskräfte Unterstützung erfuhren. Organisationen, in denen diese Unterstützung fehlte, hatten Probleme mit der Einführung.
• Klein anfangen: Beginnen Sie mit der Zero-Trust-Einführung bei risikoarmen Unternehmensressourcen und arbeiten Sie sich Schritt für Schritt zu stärker gefährdeten Bereichen vor. So kann Ihr Team Erfahrungen sammeln und den Prozess besser verstehen.
• Erst auf IAM konzentrieren: CRA fand heraus, dass die Identitäts- und Zugriffsverwaltung (Identity and Access Management, IAM) zu den Komponenten zählt, für die die erfolgreichsten Organisationen Zero-Trust eingerichtet haben. 86 % dieser Organisationen haben Zero-Trust für ihre IAM-Prozesse und -Kontrollen eingeführt.