Die aktuelle Cyberbedrohungslage verlangt nach einem Sicherheitsansatz, der auf implizites Vertrauen verzichtet. Die Lösung: Zero Trust.
In einem von raffinierten Cyberattacken geprägten Umfeld funktioniert der herkömmliche Ansatz, einem User nach einer Anmeldung per User-ID und Passwort prinzipiell zu vertrauen und ohne weitere Prüfung Zugriff auf alle relevanten Ressourcen im Firmennetz zu gewähren, nicht mehr. Vor diesem Hintergrund hat sich unter dem Begriff Zero Trust ein neuer Ansatz etabliert, der das implizite Vertrauen eliminiert. In einer Zero-Trust-Umgebung wird jeder Zugriff auf Unternehmensressourcen kontinuierlich verifiziert und nötigenfalls unterbunden. Dies gilt nicht nur für die Zugriffskontrolle der Benutzer:innen, sondern auch für Anwendungen, Cloud-Dienste, Microservices und die gesamte Infrastruktur – von den Geräten der User bis hin zu Cloud- und IoT-Ressourcen.
Vier Prinzipien
Eine wirksame Zero-Trust-Strategie basiert auf vier Prinzipien:
1. Explizite Verifizierung
Jede Zugriffsanfrage und die Ausführung von Anwendungen und Services müssen geprüft und genehmigt werden – auch unternehmensintern.
2. Geringstmögliche Berechtigungen
Einmal grundsätzlich erteilt, darf der Zugriff nur auf diejenigen Ressourcen möglich sein, die für eine Aufgabe wirklich benötigt werden.
3. Annahme, dass ein Sicherheitsvorfall jederzeit vorkommen kann
Mit dem ständigen Bewusstsein, dass ein Breach (Datendiebstahl) möglicherweise schon passiert ist, ist man grundsätzlich auf der sicheren Seite. Denn dann ist klar, dass jede Aktivität inspiziert und überwacht werden muss.
4. Inventar der vorhandenen Ressourcen
Ein vollständiges, stets aktuelles Inventar aller relevanten Systeme, Anwendungen, Cloud-Dienste, Nutzer:innen und Berechtigungen sollte Bestandteil jeder Zero-Trust-Strategie sein.
Der Aufbau einer Zero-Trust-Architektur ist ein eigentlicher Transformationsprozess. Gut zu wissen, dass eine Umsetzung in einzelnen Schritten erfolgen kann – beginnend mit einem soliden Konzept, einem Inventar der vorhandenen Ressourcen sowie Identitäts- und striktem Zugriffsmanagement für menschliche Nutzer:innen samt Mehrfaktor-Authentifizierung.
Schreibe einen Kommentar