Zero Trust: eine geschäftliche Notwendigkeit, um ein sicheres, hybrid arbeitendes Unternehmen zu ermöglichen

Geschrieben von Mark Cooke, Chief Operating Officer, Xalient

Der Fall für Veränderung

Ohne Zweifel wird die Cybersicherheit auch im Jahr 2022 ein Thema bleiben, das ganz oben auf der Agenda der C-Suite steht. Mit sich verschärfenden Handelsstreitigkeiten, einer eskalierenden Bedrohungslandschaft, einer stark verteilten Belegschaft, Lieferketten, die durch die Pandemie bis zum Zerreißen belastet sind, und zusätzlichem Druck Aufgrund der anhaltenden Auswirkungen des Brexit und anderer geopolitischer Probleme wird es von größter Bedeutung sein, über einen sicheren, produktiven, flexiblen und kostengünstigen Sicherheitsrahmen zu verfügen.

Es ist offensichtlich, dass die heutigen Unternehmen Geschäfte tätigen und digitale Technologien auf eine Weise nutzen, die sich ständig weiterentwickelt. Diese digitale Transformation macht die traditionelle Perimeter-basierte Cybersicherheits-IT-Infrastruktur überflüssig. Die Zeiten, in denen jedem Benutzer und jedem Gerät, das innerhalb der Räumlichkeiten oder der Firewall eines Unternehmens operiert, automatisch vertraut werden konnte, sind endgültig vorbei.

Die letzten zwei Jahre haben die globale Umstellung auf die Cloud beschleunigt, da Unternehmen auf die digitale Transformation und die durch die Pandemie noch stärker in den Fokus gerückte Notwendigkeit von geschäftlicher Agilität und höherer Produktivität blicken und sich gleichzeitig an das neue „Here for Good“-Modell anpassen des hybriden Arbeitens. Und damit kommen neue Herausforderungen für die Cybersicherheit.

Traditionelle Sicherheit ist weniger effektiv

Der traditionelle Sicherheitsperimeter wird in dieser neuen Welt wirkungslos, und die meisten Legacy-Sicherheitssysteme, die eher für ein Rechenzentrum als für eine Cloud-zentrierte Welt entwickelt wurden, sind gleichermaßen unwirksam. Dies liegt daran, dass der Datenverkehr zwischen einem Mitarbeiter und einer Cloud-basierten Anwendung jetzt den traditionellen Sicherheitsperimeter zusammen mit allen bestehenden Sicherheitskontrollen oder -richtlinien vollständig umgehen kann. Das Netzwerk ist kein gesichertes Unternehmensnetzwerk mehr. Stattdessen ist das unsichere Internet schnell zum neuen Unternehmensnetzwerk geworden. Es ist an der Zeit, dass Unternehmen Maßnahmen ergreifen, um Angreifer fernzuhalten und ihre Unternehmen und Mitarbeiter zu schützen.

Der geografische Standort spielt keine Rolle – und ein VPN ist nicht mehr die Antwort

Da sich das Arbeiten von zu Hause aus inzwischen weltweit verbreitet hat, werden Sicherheitstechnologien und -prozesse, die nur auf dem festgelegten geografischen Standort basieren, irrelevant. Millionen von Arbeitnehmern auf der ganzen Welt wechselten von der Arbeit im Büro zur Arbeit von zu Hause aus, wo sie Breitbandverbindungen mit Familie und Freunden teilen. Bei einer Remote-Belegschaft erhöht die Verwendung potenziell ungesicherter Wi-Fi-Netzwerke und -Geräte die Sicherheitsrisiken exponentiell. Die veränderten Erwartungen der Arbeitnehmer in Bezug auf die Möglichkeit, von zu Hause aus zu arbeiten, bedeutet, dass Fernarbeit wahrscheinlich kein vorübergehender Trend sein wird. Folglich sind diese Herausforderungen und Risiken in Bezug auf Konnektivität und Sicherheit langfristig vorhanden.

Eine beliebte, aber inzwischen veraltete Option zur Bereitstellung einer sicheren Verbindung zu Unternehmensanwendungen war die Verwendung eines Virtual Private Network (VPN). Während dies den Datenverkehr zwischen einem Gerät und einer Anwendung verschlüsselt und eine Authentifizierungsebene bereitstellt, bietet ein VPN Zugriff auf das Unternehmensnetzwerk sowie die Anwendungen, die von ihm bedient werden. Infolgedessen kann dies zu unangemessenen Zugriffsebenen auf Anwendungen und Funktionen führen, die außerhalb der Jobrolle oder des Profils eines Mitarbeiters liegen. Dies erhöht das Risiko eines Cybersicherheitsvorfalls erheblich. Für die anspruchsvollen Bedrohungsakteure von heute ist es eine triviale Aufgabe, daraus zu schließen, dass ein Unternehmen eine zentralisierte Firewall verwendet und einen DDoS-Angriff über einen Onlinedienst startet, der die Produktivität ernsthaft beeinträchtigt. Wenn VPNs also nicht mehr zweckdienlich sind, gibt es einen besseren Weg?

Zero Trust – ein adaptives Modell, das für die Cloud entwickelt wurde

Kurz gesagt, ja, das gibt es. In diesem neuen Umfeld verfolgen immer mehr Unternehmen einen Zero-Trust-Ansatz. Zero Trust ist ein Sicherheitskonzept, das auf der Überzeugung basiert, dass Organisationen nichts innerhalb oder außerhalb ihres Perimeters automatisch vertrauen sollten und stattdessen alles und jeden überprüfen müssen, was versucht, sich mit ihren Systemen zu verbinden, bevor sie Zugriff gewähren. Zero Trust wendet die Prinzipien „Niemals vertrauen“ und „Immer überprüfen“ an und bietet Benutzern eine sichere Plattform für den Zugriff auf Anwendungen von überall aus, ob in Rechenzentren oder in der Cloud. Bei der Sicherheit dreht sich alles um den Kontext – wo sich ein Benutzer befindet, welche Rolle er hat, welche Daten er wann benötigt – und nicht um den Standort – innerhalb oder außerhalb der Firewall des Unternehmens. Und Zero Trust sorgt für ständig anpassbare Vertrauensniveaus und Überprüfungen, wenn sich diese Parameter ändern.

Da der Druck zum Schutz von Unternehmenssystemen und -daten erheblich zunimmt und Angriffe immer ausgefeilter werden, rücken CIOs und CISOs die Implementierung von Zero Trust in allen Aspekten ihrer Infrastruktur ganz nach oben auf die Unternehmensagenda. Durch die Abschaffung des zentralisierten Ansatzes zur Durchsetzung von Richtlinien und den Übergang zu einem verteilten Modell, bei dem Sicherheit über die Cloud bereitgestellt wird, können Unternehmen damit beginnen, zu einem Modell überzugehen, bei dem Benutzer und Geräte sicher und effizient mit Anwendungen und Daten verbunden werden können – unabhängig von der Region.

Herausforderungen und Vorteile

Es ist zweifellos eine Herausforderung für die meisten großen Unternehmen mit etablierten IT-Teams, die auf einer „Vertrauen, aber überprüfen“-Basis mit Unternehmens-Firewalls und VPNs gearbeitet haben, die Richtung zu ändern und sich in Richtung eines Zero-Trust-Frameworks zu bewegen. Unserer Ansicht nach bringt dieser Ansatz jedoch erhebliche Vorteile.

Ohne das Konzept eines festen Netzwerkperimeters können Benutzer überall und auf jedem Gerät sein. Es gilt heute auch, dass die Geräte, die Mitarbeiter verwenden, viel seltener Geräte sind, die ihnen vom Arbeitgeber zugewiesen wurden. Arbeitgebereigene Laptops und Telefone werden traditionell verwaltet, gepatcht und mit Sicherheitstools und -richtlinien auf dem neuesten Stand gehalten. Im Zeitalter der Fernarbeit vergessen Mitarbeiter jedoch möglicherweise grundlegende Cyberhygienefähigkeiten und beginnen oder werden sogar aktiv dazu ermutigt, ihre eigenen Geräte für den Zugriff auf Unternehmensressourcen zu verwenden. Wenn das Unternehmen zu einem Zero-Trust-Ansatz übergeht, können CISOs die Angriffsfläche des Unternehmens verringern, indem sie Mitarbeitern nur Zugriff auf die Anwendungen gewähren, mit denen sie arbeiten müssen.

Ein modularer Ansatz für Zero Trust

Unserer Erfahrung nach lautet eine der Schlüsselfragen bei der Einführung eines Zero-Trust-Ansatzes: „Wo fangen wir an?“

Bei dem Versuch, wichtige Meilensteine ​​auf dem Weg zwischen einem Mitarbeiter (oder häufiger einem Sensor oder einem anderen IoT-Gerät) und einer Anwendung zu sichern, kann sich die schiere Menge an technologischen Berührungspunkten als überwältigend erweisen. Die meisten Unternehmen verfügen in der Regel über eine Teilmenge vorhandener Tools, die einige Schlüsselaspekte des Vertrauens adressieren, z. B. Multifaktor-Authentifizierung, Identitäts- und Zugriffsverwaltung, Netzwerkzugriffskontrolle. Die Ausweitung des Ansatzes auf mehrere Technologietürme ist jedoch eine Herausforderung. Hier kann ein modularer Ansatz effektiv funktionieren. Das Aufteilen von Schlüsselfunktionen oder „Reisen“ in Module kann einen fokussierteren Ansatz für die Anwendung einer Sicherheitsrichtlinie ermöglichen, sowohl aus Beschaffungs-, Implementierungs- als auch aus Budgetsicht.

Obwohl jedes Unternehmen seine eigenen Prioritäten haben wird, die den geeigneten Ausgangspunkt und Weg bestimmen, gibt es unserer Ansicht nach vier Schlüsselbereiche auf einer Zero-Trust-Reise, die berücksichtigt werden müssen.

Identität und Zugang

Erstens, Identität und Zugriff, mit denen Sie den Benutzer- und Gerätezugriff erkennen und authentifizieren und sicherstellen können, dass angemessene Zugriffsebenen abhängig von rollenbasierten Richtlinien und nicht vom Standort gewährt werden. Wenn Ihre aktuelle Landschaft von IDAM-Systemen heute komplex ist, da so viele auf Übernahmen, Veräußerungen und globale Reorganisationen folgen, können diese jetzt mit einem einzigen Cloud-Overlay vereinfacht werden. Dies reduziert die Komplexität, fungiert als zentrales Repository für Benutzer und Geräte, verwaltet Starter und Abgänger und vieles mehr.

Das Netzwerk

Die zweite Überlegung ist das Netzwerk selbst, das sicherstellt, dass Sie Benutzer und Geräte über einen leistungsstarken, sicheren und ständig optimierten Weg mit Apps und Daten verbinden können – zum Beispiel mit Cloud-Lösungen wie SD-WAN. Und natürlich ist es wichtiger denn je, den gesamten Pfad überwachen zu können, um Probleme zu erkennen, zu vermeiden oder zu beheben, bevor sie sich auf Ihren Geschäftsbetrieb auswirken. Wir verwenden ein fortschrittliches, proprietäres, KI-gestütztes Tool namens Martina, das dies nicht nur tut, sondern auch automatisch Probleme behebt; in vielen Fällen sogar, bevor ein Benutzer ein Problem sieht. Die Überwachung dieser neuen komplexen Datenpfade ist sowohl für die Leistung als auch für die Sicherheit von entscheidender Bedeutung.

Sicherer Service-Edge

Der dritte Bereich, auf den wir uns konzentrieren, ist der Secure Service Edge – dieser gewährleistet ein sicheres Gateway zur Cloud und hilft Ihnen dabei, Benutzer mithilfe von Cloud-On-Ramp-Lösungen schnell, effizient und sicher ins und aus dem Internet zu bringen und gleichzeitig eine qualitativ hochwertige digitale Lösung zu gewährleisten Erfahrung.

Anwendungen und Daten

Schließlich sehen wir uns Ihre Apps und Daten an, ein wichtiger Schritt, um sicherzustellen, dass diese richtig segmentiert sind, um vor Kreuzinfektionen zu schützen, falls ein Virus auftritt.

Wenn beispielsweise das Netzwerk selbst Ihr dringendster Handlungsbereich ist, sehen wir SD-WAN als eine zentrale Lösungskomponente auf dem Weg zu Zero Trust. Es vereinfacht die Verwaltung der Netzwerkinfrastruktur und ermöglicht es der IT, komplexe Netzwerksicherheitsarchitekturen zu vermeiden und gleichzeitig höchste Sicherheit durch ein Cloud-bereitgestelltes Modell zu bieten. Der gesamte Datenverkehr wird unabhängig vom Verbindungstyp – Mobilfunk, Satellit oder Heimbreitband – sicher über einen Cloud-Dienst verbunden. Und da die Intelligenz des Netzwerks softwaregesteuert und zentral orchestriert ist, kann es die Reise des Benutzers durch ein unsicheres Internet zum Standort der Anwendung verwalten und gleichzeitig andere Anwendungen komprimieren, um das Benutzererlebnis zu verbessern.

Eine SD-WAN-Lösung kann als eigenständige Initiative beschafft und implementiert werden – aber der echte Zero-Trust-Wert entsteht, wenn sie als Teil einer umfassenden Sicherheits- und Netzwerklösung integriert wird, die oft als SASE, Secure Access Service Edge, bezeichnet wird.

Wenn Sie alle vier oben beschriebenen Bereiche angehen, wird Ihr Unternehmen sicher, belastbar, agil und vernetzt – und bietet eine solide Grundlage für eine erfolgreiche digitale Transformation. Bei Xalient nennen wir das unser Zero-Trust-Framework – und durch die Verwendung dieses Frameworks stellen wir sicher, dass wir jede Phase der Reise durch die Linse von Zero Trust betrachten. Wir sind auch davon überzeugt, dass Unternehmen sich den Herausforderungen der Sicherheitstransformation von Anfang an stellen müssen, um eine erfolgreiche und kontinuierliche digitale Transformation zu erreichen.

Der CIO- und CISO-Imperativ

Jetzt ist es an der Zeit, dass CIOs und CISOs zusammenarbeiten, um ihre Zero-Trust-Reise gemeinsam zu gestalten – indem sie in moderne Technologien investieren, anstatt zu versuchen, Altsysteme nachzurüsten, um sicherzustellen, dass ihre Organisationen in der heutigen Arbeit von überall aus erfolgreich und sicher sind Cloud-zentrierte Welt.