Zero Trust ist ein identitätsorientiertes Sicherheitsframework, das Identitäts- und Zugriffsmanagement (IAM), Mikrosegmentierung und das Prinzip der geringsten Rechte nutzt, um Benutzeranfragen unabhängig zu prüfen, bevor es ihnen Zugriff auf Unternehmensressourcen gewährt. Diese Strategie gilt unabhängig davon, ob die Anfrage innerhalb oder außerhalb des Netzwerkperimeters des Unternehmens gestellt wird.
Das Zero-Trust-Modell basiert auf dem Grundsatz, niemandem und nichts zu vertrauen, bis eine Verifizierung erfolgt ist. Standardmäßig geht Zero Trust davon aus, dass ein Gerät oder Benutzer nicht vertrauenswürdig ist und keinen Zugriff auf das Unternehmensnetzwerk erhalten darf, solange keine Authentifizierung erfolgt ist. Eine Zero-Trust-Architektur unterteilt Netzwerke in Mikrosegmente und nutzt Multi-Faktor-Authentifizierung (MFA) sowie andere granulare Kontrollen, um Zugriff nach dem Need-to-know-Prinzip zu gewähren. Dieses erhöhte Sicherheitsniveau hilft Unternehmen, Cyberbedrohungen zu bewältigen und das Netzwerk zukunftssicher zu machen.
Die COVID-19-Pandemie hatte weitreichende Auswirkungen darauf, wie Unternehmen arbeiten. Viele Unternehmen waren gezwungen, das hybride Arbeitsmodell einzuführen, bei dem ein erheblicher Teil der Belegschaft außerhalb des sicheren Büroperimeters arbeitete. Darüber hinaus beschleunigte die Pandemie die Bemühungen um die digitale Transformation, da Unternehmen die Vorteile des Wechsels zu cloudbasierten Modellen erkannten.
Die schnelle Umstellung auf neue Arbeitsmethoden führte jedoch zu größeren Herausforderungen bei der Cybersicherheit. Infolgedessen traten Sicherheitsvorfälle häufiger auf und fielen gravierender aus. Laut dem 2021 IBM Cost of a Data Breach Report kosteten Datenschutzverletzungen Unternehmen durchschnittlich 4,24 Millionen US-Dollar pro Vorfall – der höchste Wert in der 17-jährigen Geschichte des Berichts. Dennoch hob der Bericht hervor, dass die Einführung von Automatisierung, künstlicher Intelligenz (KI) und der Aufbau einer Zero-Trust-Implementierung Sicherheitsvorfälle in erheblichem Umfang reduzieren kann.
Siehe auch: Die besten Zero-Trust-Networking-Lösungen
Die Prinzipien von Zero Trust
Historisch haben Unternehmen ihre Netzwerke mit virtuellen privaten Netzwerken (VPNs) abgesichert, bei denen Daten durch sichere Tunnel innerhalb des Unternehmensnetzwerks übertragen werden. Diese Methode erfüllt ihren Zweck jedoch nicht gut, wenn Mitarbeiter über den gesamten Globus verteilt sind. Wie lassen sich Netzwerke angesichts dieser neuen Veränderungen also absichern?
„Zero Trust ist ein Trend, der in den vergangenen Jahren kontinuierlich an Bedeutung gewonnen hat“, sagte Tommy Gallahger, Gründer von Top Mobile Banks. „Dieser Ansatz bietet viele Vorteile, darunter mehr Sicherheit, schnellere Reaktionszeiten auf Cyberkriminalitätsszenarien und verbesserte Compliance-Standards. Außerdem ermöglicht er es Unternehmen, autonom zu agieren, ohne auf Drittanbieter oder Vermittler angewiesen zu sein.“
Unternehmen müssen sich bewusst machen, dass Zero Trust kein einzelnes Tool ist, das ihre Endgeräte und Netzwerke auf magische Weise absichern kann. Vielmehr ist Zero Trust eine Methodik, die unsere bisherige Herangehensweise an die Netzwerksicherheit grundlegend verändert.
Zero Trust basiert auf den folgenden Prinzipien:
- Für alle Ressourcen ist vor der Zugriffsgewährung eine obligatorische Authentifizierung wie MFA erforderlich.
- Alle Daten werden identifiziert und in Mikrosegmente unterteilt, um den durch lateralen Datenverkehr verursachten Schaden zu begrenzen.
- Für alle Konten und Sitzungen ist ein kontinuierliches Sicherheitsmanagement erforderlich.
- Zugriff wird nach dem Need-to-know-Prinzip gewährt.
- Das Prinzip der geringsten Rechte wird vom Unternehmen durchgesetzt.
- Alle Endpunkte werden validiert.
- Alle Aktivitäten werden dokumentiert und der gesamte Datenverkehr innerhalb des Netzwerks wird überprüft.
Siehe auch: Schritte zum Aufbau eines Zero-Trust-Netzwerks
Zero Trust in der Zukunft
Herausforderungen durch die Pandemie, etwa Homeoffice- und Bring-your-own-Device-(BYOD)-Richtlinien, haben die Cybersicherheitsrisiken erhöht. Zudem ist die Absicherung von Endpunkten deutlich schwieriger geworden. Zusammengenommen hat dies zu einem wachsenden Interesse an Zero-Trust-Network-Access (ZTNA) beigetragen. Unternehmen wünschen sich ZTNA inzwischen nicht nur für ihre Remote-Mitarbeiter, sondern wollen es auch in ihren Büros implementieren.
Angesichts des Wandels hin zu einem verteilten Unternehmen und der damit naturgemäß vergrößerten Angriffsfläche ist es nicht verwunderlich, dass Gartner prognostiziert, dass ZTNA bis 2023 auf 31 % anwachsen wird. Gartner berichtet außerdem, dass bis 2025 mindestens 70 % der Remote-Implementierungen ZTNA einsetzen werden – gegenüber weniger als 10 % Ende 2021.
Außerdem ist erwähnenswert, dass die US-Bundesregierung große Anstrengungen unternommen hat, Zero Trust als Teil der Verbesserung der US-amerikanischen Cybersicherheit zu etablieren. In der Executive Order heißt es:
„Die US-Bundesregierung muss bewährte Sicherheitsverfahren übernehmen, die Zero-Trust-Architektur vorantreiben, den Wechsel zu sicheren Cloud-Diensten beschleunigen … Analysen zur Erkennung und Verwaltung von Cybersicherheitsrisiken vorantreiben und sowohl in Technologie als auch in Personal investieren, um diese Modernisierungsziele zu erreichen.“
Die Herausforderungen von Zero Trust bewältigen
Während sich die Sicherheit über das traditionelle Burggraben-und-Burg-Konzept hinaus auf alle Endpunkte konzentrieren muss, können mehrere Herausforderungen ihre Einführung behindern. Mit den richtigen Maßnahmen lassen sich diese Herausforderungen jedoch leicht bewältigen.
Flickwerk aus Zero-Trust-Lösungen
Eine Zero-Trust-Lösung kann die Cybersicherheitsprobleme eines Unternehmens verringern. Unternehmen kaufen ein Flickwerk aus Zero-Trust-Produkten und glauben, damit alle angemessenen Vorkehrungen getroffen zu haben. Dadurch bleiben jedoch Sicherheitslücken im Netzwerk, die Cyberkriminelle leicht ausnutzen können.
Um einer Überfülle an Tools entgegenzuwirken, sollten Sie Tools kaufen, die mehrere Probleme lösen können. Ermitteln Sie außerdem die Lücken in Ihrer Sicherheitslage, die sofortige Aufmerksamkeit erfordern, und schließen Sie sie schnell.
Altlastenprobleme
Zero Trust beinhaltet eine neue Art, Ressourcen zu schützen. Unternehmen mit Altsystemen haben jedoch leider Schwierigkeiten, sich an Zero Trust anzupassen.
Unternehmen müssen Zero Trust nicht in einem einzigen Schritt einführen. Stattdessen können sie klein anfangen und mit den kritischsten Bereichen beginnen. Sobald sie Vertrauen aufgebaut haben, können sie Zero Trust schrittweise auf das gesamte Netzwerk ausweiten.
Anforderungen an das laufende Management
Bei Zero Trust kann man die Lösung nicht einfach implementieren und dann vergessen. Sie erfordert eine kontinuierliche Überwachung von Systemen und Ressourcen. Oft verfügen Unternehmen, insbesondere kleine und mittlere Unternehmen (KMU), nicht über die Mittel, in ein laufendes Management zu investieren.
Regelmäßige Prüfungen sind notwendig, um sicherzustellen, dass alle Patches installiert sind und Maßnahmen gegen Zero-Day-Angriffe vorhanden sind. Automatisierungstools können Unternehmen dabei helfen, Angriffe zu überwachen und den Angreifern stets einen Schritt voraus zu sein.
Produktivitätshemmnisse
Das kontinuierliche Management von Netzwerken hat einen weiteren Nachteil. Die Überwachung und Fehlerbehebung bei Netzwerkproblemen kann die Produktivität der Mitarbeiter beeinträchtigen.
„Heute sagen manche, dass Zero Trust die Produktivität beeinträchtigen kann. Das kann der Fall sein, wenn Back-End-Managementprozesse und Governance-Abläufe manuell durchgeführt werden“, sagte der CTO von StrongDM, Justin McCarthy. „In Zukunft müssen Zero-Trust-Technologien auch die Benutzererfahrung berücksichtigen und sowohl die Produktivität als auch die Sicherheit verbessern.
„Ein Beispiel dafür ist, die Gewährung und Überprüfung von Zugriffsrechten einfach zu gestalten. Diese Art von Zero-Trust-Architektur kann das allgemeine Sicherheitsniveau erhöhen, den Zugriff vereinfachen und den Betriebsaufwand reduzieren.“
Siehe auch: Den Zero-Trust-Ansatz für Netzwerksicherheit verstehen
Zero Trust in den kommenden Jahren
Angesichts des anhaltenden Trends zur digitalen Transformation, der durch die Veränderungen infolge der COVID-19-Pandemie noch verstärkt wurde, findet Zero Trust in vielen Branchen zunehmend Verbreitung. Trotz der Herausforderungen lässt sich nicht leugnen, dass Zero-Trust-Richtlinien die Netzwerke von Unternehmen vor zahlreichen Cybersicherheitsbedrohungen schützen – neben vielen weiteren Vorteilen.
Da Unternehmen der Cybersicherheit und dem Datenschutz größere Bedeutung beimessen, wird auch die Bedeutung von Zero Trust weiter zunehmen.