Was ist Zero Trust und warum entscheiden sich Unternehmen dafür?
Ob Ihr Unternehmen die Sprache, die Aktivitäten, die Architektur und die randlose Sicherheit von Zero Trust übernimmt oder nicht: Die übergreifenden Prämissen der einzelnen Elemente sind stets dieselben. In jedem Fall geht es um eine Sicherheitsstrategie und um einen IT-Rahmen, die von den Benutzern innerhalb und außerhalb des Firmennetzes verlangen, stets lückenlos authentisiert, zugelassen und validiert zu sein. Andernfalls verwehrt das System den Zugriff auf Applikationen und Daten. Zero Trust bettet die Sicherheit in die gesamte Architektur ein und verhindert so den Zugriff bösartiger Parteien auf Ihre kritischen Güter.
Wie aktuelle Untersuchungen zeigen, erwägen 44 % der Unternehmen aus Sicherheitsgründen die Einführung eines Zero-Trust-Netzwerks oder eines per Software definierten Randbereichs („Perimeters“). Dieser Wandel hin zu Zero-Trust-Rahmenstrukturen ergibt sich aus der wachsenden Einsicht, dass Netzwerke heute keine Ränder im herkömmlichen Sinne mehr besitzen. Vielmehr stellen sich die Unternehmen zunehmend „randlosen“ Bedrohungen und einem dementsprechenden Sicherheitsbedarf.
Zero Trust: sowohl eine Denkweise als auch technische Lösungen
Das Einführen und Durchsetzen eines wirksamen, auf der „Zero-Trust“-Denkweise basierenden Modells erfordert eine fortlaufende Schulung und proaktive Bestätigung im Unternehmen. Zero-Trust-Prinzipien bedeuten nicht, Ihren Angestellten nicht zu trauen: Vielmehr geht es um die sichere Arbeit an jeder Stelle: vor Ort, in der Cloud oder auch in einem Hybrid-System. Es handelt sich um ein echtes „Win-win“-Geschäft für die Beschäftigten, denn jetzt können sie überall arbeiten – nicht nur im Büro.
Dem Zero-Trust-Sicherheitsmodell liegt das Leitprinzip „niemals vertrauen, immer prüfen“ zugrunde. Im Wesentlichen bedeutet das, die vielfältigen, täglich aktiven Benutzer, vernetzten Geräte, Applikationen und Systeme nicht von vorneherein und per se als sicher zu erachten. Diese Prämisse erfordert sowohl einen Wandel der Firmenphilosophie in diesem Punkt als auch eine vielschichtige Sicherheitslösung, die Tag für Tag rund um die Benutzer, Verbindungen, Geräte und Transaktionen tätig ist.
Außerdem gilt die Zero-Trust-Denkweise auch für Unternehmens-Netzwerke (LAN), für virtuelle private Netzwerke (VPN) und selbst nach vorab geprüfter Sicherheit. Mit Zero Trust gewährleisten Unternehmen, dass ihre Benutzer und die zum Speichern, Verarbeiten und Senden von Daten dienenden Geräte und Prozesse stets identifiziert und authentisiert sind – ganz egal, wo sie sich befinden und wann sie ursprünglich zugelassen wurden. Zero Trust erachtet und kalkuliert ein, dass Datenverletzungen weiterhin geschehen werden, sich die Schäden aber eindämmen lassen. Die Abhilfemaßnahmen nach einer Datenverletzung sind effizienter und wirksamer, wenn das richtige Modell der Cybersicherheit beteiligt ist.
Verwandte Inhalte: Wie und warum man eine Zero-Trust-Architektur über mehrschichtige Sicherheit implementiert
Wie arbeitet ein Zero-Trust-Sicherheitsmodell?
Die Einführung eines Zero-Trust-Frameworks als Cybersicherheits-Strategie umfasst Sicherheitsvorkehrungen, die vom Kontext abhängen. Herkömmliche Sicherheitsmaßnahmen wie etwa Netzwerk-basierte Systeme und Firewalls verweigern Unbefugten den Netzzugriff. Darüber hinaus müssen heutige Cybersicherheits-Strategien auch Hybrid- und Cloud-Umgebungen erfassen.
Heute ist dieser erweiterte Rahmen wichtiger denn je. Eine wachsende Zahl von Angestellten arbeitet von zu Hause, wo die Umgebung per se anfälliger und verletzlicher ist. Ob Ihr Unternehmen nach wie vor gänzlich vor Ort arbeitet, ob bei Ihnen aufgrund zunehmender Heimarbeit schon Büros leerstehen oder ob Ihre gegenwärtige Situation irgendwo dazwischen liegt: Zero-Trust-Sicherheit erfordert Kontrolle und eine für Sie sichtbare und transparente Arbeitsumgebung. Nur dann können Sie firmeninterne und nach außen führende Datenbewegungen überwachen und prüfen.
Überraschenderweise ist bei Firmen, die erstmals eine Zero-Trust-Architektur erörtern, das Netzwerk selbst nicht die größte Cyber-Gefahr. Bei Unternehmen von heute gibt es typischerweise keinen Netzwerkrand (network edge) mehr. Vielmehr richtet sich Zero Trust an die Bedrohungen der Cybersicherheit der Daten selbst, sei es in den Firmeneinrichtungen vor Ort, in einem Datenzentrum oder in einer Cloud- oder Multi-Cloud-Umgebung.
Zugangskontrollen: die Basis von Zero Trust
Die Kontrolle gemäß den niedrigsten Zugriffsrechten ist ein entscheidender Zero-Trust-Grundsatz. Mit einer strengen Authentisierung der Benutzer vermeiden Sie die inhärenten Gefahren der a priori angenommenen Vertrauenswürdigkeit. Ausgehend von Richtlinien der niedrigsten Zugriffsrechte erhält jeder Benutzer nur den Mindestzugriff, der seinen/ihren Aufgaben und Verantwortlichkeiten entspricht. So schränken Sie Bewegungen und unbefugte Zugriffe ein und stimmen den Zugang auf die Aufgabenbereiche, Standorte, Geräte und benötigten Daten der jeweiligen Benutzer ab. Jegliche unbefugten Datenzugriffe und Dateien- oder Datenbewegungen lassen sich im gesamten Unternehmen automatisch sperren.
Mit Zero Trust erstellen Sie Schutzzonen mit garantierter Sichtbarkeit. Außerdem sichern, verwalten und überwachen IT-Mechanismen Ihre Geräte, Netzwerke, Applikationen und Datenpakete in einer Netzwerk-Umgebung und an ihrem Rand.
Eine Zero-Trust-Arbeitsweise betrachtet alles, was in ein Netzwerk eintritt und dieses verlässt, und sogar alles, was sich bereits im Inneren befindet, von vorneherein als Bedrohung und richtet die Sicherheitsebenen dementsprechend ein. So gewährleisten Sie die Sperre jeglicher Kommunikation, bis sie gemäß den vorgegebenen Richtlinien oder Attributen validiert ist. Multi-Faktor-Authentifizierung, Attribute auf der Grundlage der Identität, Einmal-Codes und andere Elemente lassen sich übermittelten Daten mit auf den Weg geben. Das gilt auch über die Grenzen unterschiedlicher Netzwerk-Umgebungen hinweg.
Ein schrittweise verlaufender, vereinfachter Zero-Trust-Ansatz
Der Prozess hin zu einer Zero-Trust-Architektur kann erdrückend wirken. Dann hilft ein Schritt für Schritt fortführender Ansatz, der die Cybersicherheit mit der Zeit langsam ausbaut. John Grancarich, der stellvertretende Vorstandsvorsitzende von Fortra, umreißt den Verwaltungsablauf hin zu Zero Trust:
Prinzipien des Zero-Trust-Modells
Anhand dreier Grundprinzipien kann ein Unternehmen sein Zero-Trust-Model entwerfen und dabei sicher sein, die strengen, seit 2021 für US-Behörden geltenden NIST-800-207-Vorschriften über Zero-Trust-Einführungen zu erfüllen. Diese Regelungen haben eine ausführliche Validierung durchlaufen. Sie beinhalten Beiträge diverser Behörden, Anbieter und Handelspartner und dienen Privatunternehmen als Leitfaden. Die drei Grundprinzipien lauten wie folgt:
Alle Verbindungen abbrechen
Herkömmliche Firewall-Technologien inspizieren ins Netzwerk eingehende Dateien. Oftmals wird ein Eindringling oder eine bösartige Datei zu spät festgestellt. Ein aktives Zero Trust jedoch unterbricht sämtliche Verbindungen und den Datenverkehr in Echtzeit – auch die verschlüsselten Übermittlungen. Diese Inspektionen vor Ankunft an der Zielstelle beugen dem Eindringen von Ransomware, Malware und sonstigen Bedrohungen vor.
Automatische, kontinuierliche und auf den Kontext gegründete Datenschutz-Richtlinien anwenden
Anstelle voreingestellter Vertrauensbeziehungen für den Zugriff fordern Zero-Trust-Richtlinien das Verifizieren der Zugriffsanfragen. Jegliche gewährten Rechte gründen sich auf den Kontext, die Art der Inhalte, die Benutzer-Identifizierung, das verwendete Gerät und die Art der angeforderten Applikation und Nutzung. Unter anderem gewährleistet die ständige Prüfung der Benutzer-Zugriffsrechte, dass bei jeder Transaktion der Kontext berücksichtigt wird.
Das Beseitigen der Angriffsfläche verringert die Gefahr
Bei einer Zero-Trust-Architektur stellen die Benutzer direkt die Verbindung zu den benötigten Applikationen und Daten her, nicht erst zu den Netzwerken. Dieser Direktansatz bezüglich der Verbindungen vermeidet das „lateral movement“, also die Bewegungen von Cyber-Angreifern im Netzwerk. Bei Datenverletzungen verhindert dieses Vorgehen, dass ein angegriffenes Gerät weitere Vorrichtungen infiziert.
Warum sollte ich mich für ein Zero-Trust-Modell entscheiden?
Möchten Sie herausfinden, ob ein Zero-Trust-Modell für die Cybersicherheits-Bedürfnisse Ihres Unternehmens sinnvoll ist? Dann berücksichtigen Sie die Zunahme der Cyberkriminalität; sie ist insbesondere auf das wachsende Geschäftsvolumen in Cloud-Umgebungen zurückzuführen. Können Sie einen Diebstahl oder die Zerstörung Ihrer Daten riskieren, oder womöglich ihre „Entführung“ mit Lösegeld-Forderung? Gestohlene oder bloßgelegte personenbezogene Daten (PII) oder sonstige sensible Daten, etwa über Gesundheit oder Finanzen: Überstehen Sie die Auswirkungen eines solchen Vorfalls auf das Bild und den Ruf Ihrer Firma in der Öffentlichkeit?
Datenverletzungen und Gefahren für die Cybersicherheit werden in der nahen und weiteren Zukunft weiterhin ein zu beachtender Faktor sein. Zero Trust ist eine wirksame Strategie, die zum Minimieren derartiger Risiken beiträgt. Wenn Sie die Angriffsfläche verkleinern, verringern sich bei einer Datenverletzung das Ausmaß der Folgen, die Kosten und der Ressourcenaufwand.
Fallstudien zu Zero Trust
Unterstützung zum Erfüllen der Vorschriften (Compliance)
Möglicherweise muss Ihr Unternehmen Vorschriften wie NIST 800-207 der US-Regierung, PCI DSS der Kreditkartenbranche oder HIPAA und HITECH im Gesundheitswesen erfüllen. Dann sind die zunächst gesperrten Verbindungen bei Zero Trust ein wichtiger Schritt, um den Missbrauch privater und sonstiger sensibler Daten zu verhindern. Mit Zero Trust können Sie Kontrollmechanismen einrichten, die Daten segmentieren und Daten, die bestimmten Regelungen unterliegen, separat behandeln. Außerdem verbessern Sie die Transparenz bei Audits und verringern die Folgen möglicher Datenverletzungen.
Verwandte Inhalte: Die wichtigsten Erkenntnisse aus Bidens umfassender Durchführungsverordnung zur Cybersicherheit
Möglicherweise muss Ihr Unternehmen Vorschriften wie NIST 800-207 der US-Regierung, PCI DSS der Kreditkartenbranche oder HIPAA und HITECH im Gesundheitswesen erfüllen. Dann sind die zunächst gesperrten Verbindungen bei Zero Trust ein wichtiger Schritt, um den Missbrauch privater und sonstiger sensibler Daten zu verhindern. Mit Zero Trust können Sie Kontrollmechanismen einrichten, die Daten segmentieren und Daten, die bestimmten Regelungen unterliegen, separat behandeln. Außerdem verbessern Sie die Transparenz bei Audits und verringern die Folgen möglicher Datenverletzungen.
Verwandte Inhalte: Die wichtigsten Erkenntnisse aus Bidens umfassender Durchführungsverordnung zur Cybersicherheit
Das Gesamtrisiko verringern
Das Leitprinzip „niemals vertrauen, immer prüfen“ von Zero Trust sperrt die Kommunikation von Applikationen und Serviceleistungen, bis die Situation anhand voreingestellter Prinzipien wie Authentisierung und Berechtigungsvorgaben geprüft ist. Zero Trust bietet Einblicke in die Inhalte eines Netzwerkes und in die Kommunikation zwischen den Gütern und verringert so die Gefahren. Darüber hinaus ist diese Strategie auch in der Lage, fortlaufend zu bestätigen, inwieweit miteinander kommunizierende Elemente akzeptabel sind. So vermeiden Sie die Überlastung von Software und Serviceleistungen.
Das Leitprinzip „niemals vertrauen, immer prüfen“ von Zero Trust sperrt die Kommunikation von Applikationen und Serviceleistungen, bis die Situation anhand voreingestellter Prinzipien wie Authentisierung und Berechtigungsvorgaben geprüft ist. Zero Trust bietet Einblicke in die Inhalte eines Netzwerkes und in die Kommunikation zwischen den Gütern und verringert so die Gefahren. Darüber hinaus ist diese Strategie auch in der Lage, fortlaufend zu bestätigen, inwieweit miteinander kommunizierende Elemente akzeptabel sind. So vermeiden Sie die Überlastung von Software und Serviceleistungen.
Den Zugriff auf Cloud-Umgebungen besser kontrollieren
Wenn Sie Arbeitsabläufe in die Cloud ausgelagert haben oder in Hybrid-Umgebungen tätig sind, ist die Furcht vor Kontroll- und Transparenz-Verlust nicht unbegründet. Mit einem aktiven Zero-Trust-Modell validieren Sie die Identitäten kommunizierender arbeitender Stellen anhand von Sicherheitsrichtlinien.
Auf diese Weise halten Sie besonders die Sicherheit der am stärksten schutzbedürftigen Güter im Blick, und Sie vermeiden Auswirkungen auf Netzwerk-Sicherheitselement wie IP-Adressen, Protokolle und Ports. Mit Zero-Trust-Lösungen ist der Schutz an die Arbeitsabläufe gekoppelt. So bleibt die Sicherheit intakt – auch dann, wenn sich die Umgebung ändert.
Wenn Sie Arbeitsabläufe in die Cloud ausgelagert haben oder in Hybrid-Umgebungen tätig sind, ist die Furcht vor Kontroll- und Transparenz-Verlust nicht unbegründet. Mit einem aktiven Zero-Trust-Modell validieren Sie die Identitäten kommunizierender arbeitender Stellen anhand von Sicherheitsrichtlinien.
Auf diese Weise halten Sie besonders die Sicherheit der am stärksten schutzbedürftigen Güter im Blick, und Sie vermeiden Auswirkungen auf Netzwerk-Sicherheitselement wie IP-Adressen, Protokolle und Ports. Mit Zero-Trust-Lösungen ist der Schutz an die Arbeitsabläufe gekoppelt. So bleibt die Sicherheit intakt – auch dann, wenn sich die Umgebung ändert.
Die Gefahr von Datenverletzungen vermindern
Cybersicherheits-Experten sagen: „Die Frage ist nicht, ob eine Datenverletzung stattfindet, sondern wann das geschieht.“ Zero-Trust-Zugriffsrechte betrachten zunächst alle Stellen als feindlich. Ein Unternehmen kann ruhig und gelassen arbeiten, wenn klar ist, dass alle Transaktionen, Benutzer und ihre Geräte vor der Einstufung als vertrauenswürdig immer Inspektionen durchlaufen. Auf diese Validierungen folgen kontinuierliche Auswertungen, die veränderte Geräte, Standorte oder Datenanforderungen wahrnehmen.
Falls es einem Angreifer dennoch gelingt, in Ihr Netzwerk oder Ihre Cloud-Umgebung einzudringen, erschöpfen sich sehr bald seine/ihre Möglichkeiten zum Erreichen und Stehlen sensibler Daten, denn gemäß den Zero-Trust-Prinzipien sind die Systeme segmentiert und interne („laterale“) Bewegungen sind nicht möglich.
Cybersicherheits-Experten sagen: „Die Frage ist nicht, ob eine Datenverletzung stattfindet, sondern wann das geschieht.“ Zero-Trust-Zugriffsrechte betrachten zunächst alle Stellen als feindlich. Ein Unternehmen kann ruhig und gelassen arbeiten, wenn klar ist, dass alle Transaktionen, Benutzer und ihre Geräte vor der Einstufung als vertrauenswürdig immer Inspektionen durchlaufen. Auf diese Validierungen folgen kontinuierliche Auswertungen, die veränderte Geräte, Standorte oder Datenanforderungen wahrnehmen.
Falls es einem Angreifer dennoch gelingt, in Ihr Netzwerk oder Ihre Cloud-Umgebung einzudringen, erschöpfen sich sehr bald seine/ihre Möglichkeiten zum Erreichen und Stehlen sensibler Daten, denn gemäß den Zero-Trust-Prinzipien sind die Systeme segmentiert und interne („laterale“) Bewegungen sind nicht möglich.
So hilft Fortra mit einem Zero-Trust-Sicherheitsmodell weiter
Wenn es gilt, eine Zero-Trust-Umgebung zu unterstützen, bietet Fortra die bewährten und besten Lösungen ihrer Art. Damit sind und bleiben Ihre am meisten geschätzten Werte – nämlich Ihre kritischen geschäftlichen Daten – stets sicher.
Verwaltung der Rechte im Rahmen der SFT (sicheren Dateiübertragung)
Eine Zero-Trust-Umgebung gewährleistet die Sicherheit der Dokumente sowohl an den Ablagestellen als auch bei der Übermittlung. Die Systeme der sicheren Dateiübertragung (SFT) wie GoAnywhere MFT können das anspruchsvolle Verlagern von Dateien sicher bewerkstelligen. In Verbindung mit dem Clearswift Secure ICAP Gateway und Digital Guardian Secure Collaboration wird der Schutz von Daten weiter verstärkt. Mit einem solchen DRM-System, das auf verwaltete Dateiübertragungen (MFT) wirkt, erweitern Sie die Kontrolle und verstärken den Schutz, denn die Zugriffskontrollen bewegen sich mit den verschlüsselten Dateien fort und lassen sich jederzeit widerrufen: Das ist eine Schlüsseleigenschaft von Zero Trust.
Weitere Lösungen von Fortra
Bei Zero Trust geht es um mehr als um Netzwerksegmentierung. Fortra kann Ihnen dabei helfen, Daten zu verschlüsseln und sicher mit autorisierten Personen auszutauschen und sie gleichzeitig vor Viren und Malware zu schützen.
Wie Fortra die Zero Trust-Reise unterstützt
Fortra arbeitet mit Kunden aus allen Branchen auf ihrem Weg zu Zero Trust zusammen. Anstatt alle Teile des Zero Trust-Puzzles zu lösen, dienen wir als Verbündete und Partner in diesem Prozess. Wir helfen Ihnen zunächst dabei, die Probleme zu identifizieren, die Sie lösen müssen, und dann zu bestimmen, welche Kontrollen für Ihr Problem geeignet sind. Sehen Sie sich das Datenblatt für weitere Informationen an.