Was ist Zero Trust? Ein revolutionärer Ansatz für Cyber Security oder nur ein Marketing-Hype?
Würden Sie sich einen Picasso ins Haus hängen und nur Ihre Haustüre abschließen? Diese Situation ist ähnlich zu dem, was viele Unternehmen jeden Tag tun – sie schließen die Haustür mit einer Firewall ab um ihre eigenen Assets, ihren Picasso, zu schützen. Dabei vergessen Sie – es gibt viele Wege ins Haus und ist ein unerwünschter Gast erst einmal drinnen, so ist das Gemälde so gut wie weg. Dieser sinnbildliche Vergleich unterstreicht, was viele schon wissen, aber einige vielleicht nicht wahrhaben wollen: Der Kampf zum Schutz von Unternehmens-Assets wird längst nicht mehr nur an der Firewall des Unternehmensnetzwerks geführt, sondern im Internet, in der Cloud und zu Hause im Home-Office.
Wie bereits in unserem letzten Blogartikel „Zero-Trust-Access – Wie sieht die sichere Authentisierung der Zukunft aus“ erörtert, sind Kunden mehr denn je auf der Suche nach Identitäts- und Zugangsverwaltungslösungen, die Benutzerfreundlichkeit, Automatisierung, niedrige Betriebskosten und Auswahlmöglichkeiten bieten. Wer heutzutage weiterhin nur versucht den Perimeter seines Unternehmens-Netzes zu schützen, muss sich wie Don Quijote im Kampf gegen die Windmühlen vorkommen. Eine Zero Trust Architektur (ZTA) hingegen adressiert genau diese Probleme, die mit klassischen Ansätzen kaum lösbar scheinen.
Zero Trust hat sich in den letzten Jahren in Branchenkreisen zu einem Schlagwort entwickelt, das viel Aufmerksamkeit auf sich zieht. Der Kern dieses Konzepts umfasst die dynamische Überprüfung und Authentifizierung von allen Geräten, Anwendern und Diensten, unabhängig von deren Aufenthalt innerhalb oder außerhalb des Unternehmensnetzwerks und verschiebt somit die Cyber-Sicherheit weg von den Netzwerkgrenzen der Unternehmen. Die Implementierung von Zero-Trust-Kontrollen und -Technologien erfolgt über sechs grundlegende Elemente hinweg: Identitäten, Geräte, Anwendungen, Daten, Infrastruktur und Netzwerke.
Jedes dieser sechs Grundelemente ist eine Informationsquelle, eine Kontrollebene für die Durchsetzung und eine kritische Ressource, die es zu schützen gilt.
Wo soll man anfangen? Wie setzt man eine Zero Trust Architektur erfolgreich um?
Für die Einführung eines Zero Trust Sicherheitsansatzes oder einer Zero Trust Architektur (ZTA) gibt es kein einheitliches Framework und keinen Blue Print. Zero Trust ist kein Produkt, kein Service und keine Technologie, die man einfach einführen oder zu der man kurzfristig migrieren kann; es ist ein Architekturbild, das auf bestimmten Prinzipien beruht, z.B. eben dem, dass per se keinem Datenfluss automatisch das Vertrauen erteilt wird. Demzufolge nimmt das Identity- und Access-Management (IAM) neben einem gründlichen Asset-Management und etablierten analytischen Kompetenzen auch eine Schlüsselrolle ein auf dem Weg hin zu einer ZTA. Getreu dem Leitsatz "Vertraue niemandem" ist bei Zero-Trust der Name auch Programm. Die schützenswerten Assets - vor allem Daten - eines Unternehmens sollen den Mitarbeitern bei der Wertschöpfung natürlich zur Verfügung stehen, aber gleichzeitig vor unerlaubtem Zugriff geschützt werden. Aktuelle Lösungen für dieses Problem sind verschachtelte Schutzwälle aus Firewalls, Intrusion Detection & Prevention-Systemen, Netzwerksegmentierungen und vielen mehr. Es bleiben jedoch stets wunde Punkte in der Sicherheitsarchitektur.
Single Sign-On (SSO) und Multi-Faktor-Authentifizierung (MFA) sind aus unserer Sicht daher zentrale Funktionen, um das Schutzniveau zu erhöhen. Je nachdem, welche Rolle der Nutzer innehat und wie kritisch die Daten sind, mit denen er arbeitet, bieten sich sogenannte adaptive Faktoren an. Dabei werden, je nach ermitteltem Risiko (Risk-Scoring), zusätzliche Authentifizierungsfaktoren für den Zugriff hinzugezogen. Darunter fallen etwa biometrische Merkmale, Token oder Smart Cards. Für die Risikobewertung kommen Parameter wie der Standort, das Gerät oder der Service, von dem aus zugegriffen wird, zum Einsatz.
Wenn Sie Fortschritte auf Ihrem Weg hin zu Zero Trust machen und Ihre Nutzer, Anwendungen und die Zukunft Ihres Unternehmens schützen möchten, empfehlen wir Ihnen die folgenden Schritte:
Wie kann die MTRIX helfen beim Start von Zero-Trust Konzepten
Wir erstellen Ihnen gerne ein individuelles, genau auf Ihre Bedürfnisse abgestimmtes Angebot. Je nachdem, ob Sie auf der Suche nach einer sicheren, leistungsstarken sowie biometrie-basierten Multi-Faktor-Authentifizierung, die über Active Directory verwaltet werden kann, oder ob Sie eine flexible Authentifizierungs-Lösung suchen, die Desktop-Authentisierung und Remote-Authentisierung in einer Lösung vereint – wir beraten Sie gerne und entwickeln gemeinsam mit Ihnen die richtige Strategie.