Modernisierung der Sicherheit mit sechs Fähigkeiten von Zero-Trust-Architekturen

Sicherheitsmodernisierung ist für die meisten Organisationen oberstes Gebot, insbesondere angesichts zunehmend komplexer hybrider Umgebungen und der Notwendigkeit, eine Remote-Belegschaft zu unterstützen. Gleichzeitig schrumpfen aber die IT-Budgets in vielen Organisationen, und die Wartungskosten für veraltete Infrastruktur steigen weiter an. 

Zur Dämpfung steigender Kosten wenden sich viele Organisationen, auch im öffentlichen Sektor, Cloud-basierten Lösungen zu, um stellungsabhängigen, bedingten Zugang und Zero-Day-Bedrohungsaustausch umzusetzen. Großunternehmen müssen die Sicherheitsumgebung durch eine plattformübergreifende Automation vereinfachen, die sicheren Zugriff auf Anwendungen und Daten ermöglicht. 

Zwar gibt es kein Tool, das all diese Fähigkeiten bietet, aber ein Zero Trust Network Access (ZTNA)-Modell beinhaltet allgegenwärtige, auf Identität basierte Richtlinien – d. h. die Benutzer erhalten an jedem Verbindungsort dieselbe Erfahrung. Dies sorgt für Konsistenz innerhalb von Organisationen und gibt Benutzern die Möglichkeit, nahtlos auf Anwendungen und Daten in Cloud-Umgebungen und Rechenzentren zuzugreifen, während die IT Sicherheit und Kontrollen abstimmen kann.

Es gibt sechs Kernfähigkeiten von Zero Trust, die Organisationen zur Modernisierung ihres Sicherheitsumfelds einsetzen können: 
 

1) Nahtloser direkter Zugriff auf externe und interne Anwendungen

Zero Trust ermöglicht Usern einen nahtlosen direkten Zugriff auf externe (Internet, SaaS) und interne (Rechenzentrum, IaaS, PaaS) Anwendungen, remote und sicher. Statt den Traffic über virtuelle private Netzwerke (VPNs) zurückzuleiten, reduziert das Zero-Trust-Modell Traffic und Latenzen und verbessert so letztendlich die Nutzererfahrung. Angesichts der Tatsache, dass Remote-Arbeit immer mehr zunimmt, müssen User in der Lage sein, von zu Hause aus auf Daten in Rechenzentren und Clouds zuzugreifen.
 

2) Kontextbezogener Zugang

Richtlinien sollten auf Benutzer, Gerät, Anwendung und andere Aspekte der Umgebung abgestimmt werden. Wenn Organisationen Richtlinien für einen kontextbezogenen Zugang zu Daten und Informationen erstellen, sollten sie Anbieter, Architekten, Benutzer sowie Datenschutz- und Compliance-Teams in die Entscheidungsfindung einbeziehen. Es ist wichtig, alle betroffenen Teams zu beteiligen, um eine symbiotische Beziehung und eine einheitliche Organisation aufzubauen.

User sollten nur Zugang zu Ressourcen und Anwendungen erhalten, die für ihre Arbeitsaufgaben erforderlich sind. Bei einem Zero-Trust-Sicherheitsmodell wird lediglich authentifizierten Usern Zugriff auf die Anwendungen gewährt, zu deren Nutzung sie ausdrücklich berechtigt sind. Angesichts zunehmend verteilter Umgebungen vergrößern sich Angriffsflächen. Zero Trust kann die Ost-West-Bewegung von Traffic im Netzwerk begrenzen, sodass User keine Anwendungen erreichen können, die nicht für sie bestimmt sind.  
 

3) Flexibles Deployment für alle User und Standorte

Ein Cloud-basierter Zero-Trust-Service kann eine skalierbare Umgebung bieten, ohne das IT-Team übermäßig zu belasten. Organisationen benötigen andere Richtlinienvoraussetzungen, die ein flexibles Deployment erlauben und es ihnen ermöglichen, diese Tools so schnell wie möglich einzusetzen. Kapazitäten sollten nahtlos nach oben oder unten skaliert werden können, ohne dass neue On-Premise-Hardware oder zusätzliche Lizenzen bereitgestellt werden müssen.

Das Deployment kann einfach sein – viele Organisationen haben bereits gewisse Aspekte von Zero Trust in ihrer Infrastruktur, einschließlich Endgeräteverwaltung, kontinuierliche Diagnose und Schadensminderung, softwaredefiniertes Networking, Mikrosegmentierung und Cloud-Überwachung.

Teams sollten zunächst ihren signifikantesten Schmerzpunkt identifizieren und einen Anwendungsfall für Zero Trust definieren, der das betreffende Problem angeht. Anschließend können sie mehrere Anwendungsfälle für eine Lösung implementieren, die sich über verschiedene Szenarien und Benutzergruppen erstreckt.
 

4) Nahtlose User Experience

Es ist wichtig, sich auf die Anwendererfahrung zu konzentrieren und die Sicherheit und den Zugang so transparent wie möglich zu machen, insbesondere beim Zugriff auf kritische Anwendungen von Behörden und wesentliche Kollaboration-Tools. Herkömmliche VPNs leiten den Traffic über den Security-Stack zurück, was zu einer schlechten Anwendererfahrung und erheblichen Latenzen führt – insbesondere angesichts der Zunahme von Remote-Arbeit. Zero-Trust-Verbindungen hingegen bieten direkten, sicheren Zugriff auf Anwendungen an jedem beliebigen Standort.
 

5) Umfassende Transparenz und Fehlerbehebung, die eine schnelle Lösung von Userproblemen ermöglicht

Zero Trust bietet IT-Administratoren eine zentrale Ansicht zum Verwalten und Protokollieren von Usern an einem Ort. Zero-Trust-Technologien bieten im Hinblick auf eine verteilte Umgebung volle Transparenz und Kontrolle. Sie optimieren die Transparenz und Fehlerbehebung von Administratoren zur Verbesserung der Anwendererfahrung und fördern die Effizienz in der Agentur.
 

6) Sicherheits- und Compliance-Tools zur Eindämmung von Cyber-Bedrohungen und zum Schutz von Anwendungen und Daten

Mithilfe der Cloud-basierten Sicherheits- und Compliance-Tools eines Zero-Trust-Sicherheitsmodells können Organisationen Daten und Anwendungen schützen, ohne regelmäßige Aktualisierungen vornehmen zu müssen. Dies gibt Teams mehr Zeit, um sich kritischeren Bedürfnissen und der Verbesserung von Richtlinien zu widmen, statt Sicherheitslöcher zu stopfen.

Im Zuge der technologischen Weiterentwicklung sind Cloud und Mobilität für die digitale Transformation bahnbrechend und beschleunigen sie. Für Remote-Arbeit ist ein moderner Sicherheitsansatz erforderlich und Cloud-basierte SASE-Modelle (Security Access Service Edge) verschieben die Sicherheit von einer netzwerkzentrierten Kontrolle zu einem user- und anwendungszentrierten Sicherheitsansatz. Dieser ist auf die Unterstützung weit verstreuter Teams ausgelegt, die über den herkömmlichen Netzwerkperimeter hinaus tätig sind. Durch diese neue Normalität wird die IT zum Förderer des digitalen Geschäfts. Sie führt neue Sicherheitstools und -technologien in der Cloud ein, sodass Unternehmen ihre Ziele erreichen und die digitale Transformation vorantreiben können.
 

Stan Lowe ist Global Chief Information Security Officer bei Zscaler