Warum sollten Unternehmen auf Zero-Trust-Sicherheit setzen?

Dieser Beitrag erschien ursprünglich auf Medium.

Chris Wloch von Zscaler definiert Zero Trust folgendermaßen:

„In einem Haus hat ein Einbrecher uneingeschränkten Zugang zu jedem Raum, sofern nicht auch alle Zimmertüren verriegelt sind.

Jede Tür muss verriegelt werden und ein Zugang ist nur per Überprüfung des Fingerabdrucks möglich. So erkläre ich meinem Großeltern Zero Trust. “

Wir befinden uns nun im zweiten Jahr des „digitalen Jahrzehnts“. Viele herkömmliche Branchen, Funktionen, Produkte und Services wurden ins Internet verlagert – entweder im Zuge der digitalen Weiterentwicklung von Unternehmen oder aufgrund neuer betrieblicher Anforderungen, die durch COVID-19 in den vergangenen zwölf Monaten notwendig geworden sind. Unternehmen aller Branchen (Behörden, Texilindustrie, Töpferei, Versicherungen, Finanzen und alles dazwischen) werden digital. Deshalb ist das Thema Sicherheit und Datenschutz in den Mittelpunkt der Aufmerksamkeit von Führungskräften gerückt. 

Aufgrund höherer Erwartungen von Kunden (und End-Usern!) sind Unternehmen gezwungen, digital zu werden. Bei Sicherheit und Datenschutz zeichnet sich eine ähnliche Entwicklung ab. Genau hier können sich eine Philosophie, Plattformen und Services im Zusammenhang mit einem Zero-Trust-Sicherheitsansatz auf die Bereitstellung von Services, die Markenentwicklung, die Kundenerfahrung, die Geschwindigkeit beim Vorantreiben von Veränderungen, die Erleichterung der Geschäftstätigkeit und sogar den Ruf auswirken.

Netzwerk- und Sicherheitsarchitekturen aus der Ära nach dem Dot-com-Boom waren auf Stabilität, Härte und Kontrolle ausgelegt. Sie bieten jedoch nicht die Agilität, die für eine schnelle Weiterentwicklung von Unternehmen notwendig ist. Sie sind definitionsgemäß der Inbegriff fehlender Flexibilität. Eine Zunahme der Datenmenge erfordert eine Erhöhung der Bandbreite. Kommt es zu Spitzenzeiten im Traffic? Das führt zu weiteren Anforderungen. Es wird jetzt von zu Hause aus gearbeitet? Noch mehr Anforderungen. Dazu kommt, dass es bei der Beschaffung von VPNs wahrscheinlich zu Engpässen kommt und die Lieferung sich deshalb verzögert. Für Unternehmen, die doppelte Stacks von Sicherheitsappliances betreiben, bleiben die Ideale Betriebsgenauigkeit, Leistungsoptimierung und geschäftliche Agilität ein Wunschtraum.

Verzögerte Patches sorgen in Unternehmen für unnötige Angriffsrisiken

Veränderungen sind schwierig. Einfacher ist es, wenn die IT-Abteilung an das Althergebrachte klammert: Schließlich bietet der Hardwarestack am Ende des Korridors die Illusion von Kontrolle und leicht verfügbarer Infrastruktur. Ebenso einfach ist es, sich an das zu halten, „was man kennt“. Die vorhandenen Sicherheitszertifizierungen eines IT-Unternehmens können verständlicherweise dazu führen, dass Entscheidungen zugunsten älterer, hardwarebasierter Technologien getroffen werden.

Diese Komplexität ist jedoch tödlich. Die Umsetzung veränderter Anforderungen – beispielsweise Sicherheitspatches, neue gesetzliche oder Compliance-Workflows – in einer Umgebung mit einer großen Menge an Hardware erfordert eine umfangreiche globale Koordination – und zwar eine umfangreiche manuelle globale Koordination. Das führt zu Fehlern und letztendlich zu einem höheren Risiko.
 

Was genau ist Zero Trust eigentlich?

Eine Zero-Trust-Architektur (ZTA) ist die Cloud-basierte Weiterentwicklung veralteter Netzwerksicherheitsmodelle. Moderne Unternehmen transformieren ihren IT-Betrieb digital, um ZTA einzuführen. In einem durch ZTA geschützten Unternehmen wird Sicherheit unmittelbar inline an der Cloud-Edge bereitgestellt – zwischen User und Internet (über Web-Proxy) oder zwischen User und Anwendung. Aufgrund einer Minimierung des Datenverkehrs wird die Performance optimiert. Verbindungen sind direkt, kurzlebig und sicher. Es spielt dabei keine Rolle, ob die Verbindungen von User zu Anwendung, Anwendung zu Anwendung oder System zu System hergestellt werden. Es gibt keine Grenzen, die durchbrochen werden müssen, und da die Systeme im offenen Internet nicht sichtbar sind, verkleinert dies die Angriffsfläche. Es gibt keinen Burggraben und keine metaphorische Festung (oder benachbarte Festungen), die Angreifer plündern könnten (nach Ost-West-Manier). 
 

Wie lässt sich Zero Trust geschäftlich rechtfertigen?

Mit zwei Worten: sichere Agilität. Durch ZTA verlegt sich der Schwerpunkt der Sicherheit auf gemeinsame Geschäftsziele. So kann ZTA die IT von einer Institution, die Innovationen einschränkt, zu einer Instanz, die Lösungsansätze bietet, machen.

Die Vorteile einer digitalen Transformation durch eine Zero-Trust-Architektur mit Sicherheit auf Unternehmensniveau liegen für IT-Abteilungen auf der Hand: mehr Sicherheit, mehr Widerstandsfähigkeit, höhere Performance und niedrigere Kosten.

Im digitalen Wettbewerb zählt Geschwindigkeit, und Veränderungen müssen rasch vorangetrieben werden. In herkömmlichen Umgebungen ist jede Änderung an der bestehenden DMZ-Firewall-Infrastruktur ein mühsamer Prozess, der nur am Wochenende und bei niedrigem Traffic durchgeführt werden kann. Eine Cloud-basierte ZTA ist hingegen dynamisch, da eine richtlinienbasierte Sicherheit spontan anpassbar ist. Man kann es sich nicht leisten, einmal pro Monat Änderungen umzusetzen, wenn digital weiter entwickelte Wettbewerber am Tag zwanzig Änderungen implementieren.
 

Effizienz, Kosteneinsparungen, Zeit: die indirekten Auswirkungen von ZTA

Eine Cloud-basierte ZTA ist der nächste Schritt in der Unternehmenssicherheit. Doch diese einfache Tatsache sollte nicht über die spürbaren Auswirkungen auf das Kundenunternehmen hinwegtäuschen: ZTA ist eine Unternehmenslösung, die Vorteile für Unternehmen bietet. Vergleichen wir dazu zwei Beispiele: National Oilwell Varco und „Unternehmen A“.

Einhundert Laptops. Auf so vielen Rechnern musste das IT-Team von CIO Alex Philips bei National Oilwell Varco (NOV) jeden Monat ein Reimaging durchführen. In Einzelfällen war dies auf ein technisches Problem zurückzuführen, doch zumeist waren die Rechner mit Malware infiziert. Jeder Laptop musste an die Firmenzentrale gesendet werden, alle Daten darauf wurden gelöscht und das Gerät wurde daraufhin vollkommen neu konfiguriert. Die 100 Laptops waren ein Durchschnittswert: Zwischen 2013 und 2016 mussten in manchen Monaten teilweise bis zu 200 Geräte von Malware befreit werden.

Aus Unternehmenssicht verursachte Malware bei NOV also hohe Kosten. Es versteht sich von selbst, dass Reimaging ein manueller Vorgang ist, bei dem jeder Laptop individuell bearbeitet werden muss. Von Ausfallzeiten über die Bereitstellung von Leihgeräten bis hin zum Ersetzen von Computern – jede Phase bei der Wiederherstellung eines infizierten Laptops hatte für NOV messbare negative Folgen: Daten gingen verloren, die Produktivität litt, Kosten wurden verursacht und Aufwand musste betrieben werden, um Mitarbeitern so schnell wie möglich wieder einen funktionierenden Laptop zur Verfügung zu stellen. Philips malte sich aus, wie es wäre, wenn dies auch anders ginge. Und ab August 2016 war es dann auch soweit.

Unternehmen A verlässt sich zum Schutz des unternehmensweiten Datenverkehrs auf seine alte Netzwerk- und Sicherheitsinfrastruktur. Das IT-Team von Unternehmen A nutzt einen Stack veralteter Hardware-Appliances in seinem Hauptsitz, um seinen den Perimeter seines Unternehmensnetzwerks zu sichern. Jedes Einzelfunktionsgerät in diesem Stack wird in den 30 regionalen Niederlassungen rund um den Globus repliziert.

Im Unternehmen A setzt sich der Hardwarestack jeder einzelnen DMZ aus 12 unterschiedlichen Produkten zusammen. Jede Appliance erfüllt hierbei eine eigenständige Netzwerk- oder Sicherheitsfunktion. Beispiele für Funktionen/Appliances sind Firewall, URL-Filterung, Antivirus, DLP, SSL-Überprüfung, Lastenausgleich, Schutz vor DDoS-Angriffen, VPN-Konzentration, Sandboxing und viele mehr. Jede der 30 DMZs von Unternehmen A erfordert jeweils zwei Vollzeitkräfte zur Wartung und zum Betrieb der Netzwerk- und Sicherheitshardwareinfrastruktur. Jede einzelne Appliance an jedem Standort muss gewartet werden, wobei Sicherheitspatches manuell (und sofort) zu aktualisieren sind. Für die Bereitstellung solcher Geräte sind Anbieter- und Produktbewertungen, Beschaffungsabläufe, unternehmensübergreifende administrative Unterstützung und umfassende Vorausplanung erforderlich.

Der CTO von Unternehmen A hat mehr als 60 Mitarbeiter unter sich und ist für den Kauf, die Wartung und den Betrieb von 360 einzelnen Netzwerk- und Sicherheitshardware-Appliances verantwortlich. Das jährliche Einzelpostenbudget des CTOs beläuft sich auf mehrere zehn Millionen US-Dollar.

Was bekommt der CTO in Unternehmen A für sein hohes Budget? Jedenfalls nicht mehr Sicherheit und auch kein sorgloses Leben. Stattdessen befindet sich der CTO in einem endlosen Hamsterrad. Er reagiert unermüdlich auf jede neue Bedrohung, Hardware-Schwachstelle oder Gefährdung, nur um mit Hackern mitzuhalten, die jederzeit zuschlagen können. Diese Hacker sind übrigens finanzkräftig, teilweise staatlich gefördert, feilen ihre Methoden mit der Zeit immer mehr aus und verfolgen immer destruktivere Absichten.
 

„Und warum sind Sie im Bereich der Netzwerksicherheit tätig?“

Führungskräfte, die sich an veraltete Sicherheitsmodelle klammern oder dies ihrer IT-Abteilung stillschweigend zulassen, tun dies auf eigene Gefahr und schaffen ein hohes Risiko für ihren Lebensunterhalt und das gesamte Unternehmen. Sie schränken dadurch die Agilität des Unternehmens ein, verursachen unnötige Kosten, behindern das Wachstum und erschweren das Betriebsmanagement.

Das Festhalten an veralteter Hardware bedeutet auch, dass die IT-Organisation eines Unternehmens direkt in die Netzwerksicherheit eingebunden ist. Im Zuge dessen verpflichtet sich der CTO zum Betrieb eines Netzwerkbetriebszentrums und einer Infrastruktur, die eine wachsende Zahl von Angreifern abwehren sollen.

Führungskräfte, die eine unsichere, veraltete Infrastruktur aufrechterhalten, haben die Verantwortung, entweder veraltete Praktiken zu rechtfertigen oder zu modernisieren: Warum ist das Unternehmen im Bereich der Netzwerksicherheit tätig? Kann es seine Unternehmensdaten, User, Vermögenswerte und Ressourcen besser schützen als ein Cloud-Edge-Service-Anbieter mit Tausenden von Sicherheitsexperten, die rund um die Uhr daran arbeiten, die neuesten Bedrohungen zu blockieren? Kann es die nächste Bedrohung für die Lieferkette vorhersehen? Kann es Patches sofort installieren? Wirklich sofort?

Abbildung 1. Im März 2016 griffen Hacker einen Kunden von Zscaler an, der über eine Zero-Trust-Architektur verfügte. Zscaler Cloud Sandbox analysierte die Bedrohungen und blockierte sie innerhalb von 30 Sekunden für diesen Kunden und für die Millionen von Usern der Cloud-basierten Zscaler Zero Trust Exchange weltweit.

Die Zero-Trust-Architektur: Die neuen (niedrigeren) Kosten der Geschäftsabwicklung

Alex Philips, CIO bei NOV, kennt die praktischen Auswirkungen, die eine Zero-Trust-Architektur mit sich bringt. Er leitete die sichere digitale Transformation von NOV und führte im August 2016 ein Zero-Trust-Modell ein. Durch den Wechsel zu einer über Edgecomputing-Webproxy bereitgestellten Sicherheit wurde die DMZ von NOV vollkommen überflüssig. NOV reduzierte seine Abhängigkeit von MPLS-Netzwerken und hardwarebasierter Sicherheit und „sparte [bei der IT] mehrere zehn Millionen Dollar ein“. Die Mitarbeiter von NOV profitieren jetzt von besserer (also schnellerer) Konnektivitätsleistung, besserer Sicherheit (mit vollständiger SSL/TLS-Überprüfung) und besserem Zugriff von Mobilgeräten aus (das war besonders hilfreich, als das Unternehmen letztes Jahr auf Remote-Arbeit überging). Seit Philips und NOV eine Zero-Trust-Architektur eingeführt haben, führt sein IT-Team bei nur noch ein oder zwei Laptops pro Monat ein Reimaging durch. Dadurch können sich die Mitarbeiter auf strategische, geschäftskritische Ziele konzentrieren.

Wie das vergangene Jahr gezeigt hat, ist die Fähigkeit, sich schnell an veränderte Umstände anzupassen, ein wesentlicher Wettbewerbsvorteil für Unternehmen. In jeder Branche nutzen neue Akteure ihre Agilität als bahnbrechenden Vorteil. Eine Zero-Trust-Architektur sorgt für Agilität, mehr Sicherheit und mehr Leistung. Die Stakeholder müssen Führungskräfte stärker fordern: Wenn diese Führungskräfte die betriebliche Infrastruktur, die Arbeitsabläufe und den Betrieb von Grund auf neu konzipieren müssten, würde das Unternehmen dann noch so aussehen wie heute? Und wenn diese Führungskräfte eine Zero-Trust-Architektur einsetzen könnten, um mehr Sicherheit, mehr Flexibilität, erheblich geringere Kosten und ein deutlich reduziertes Risiko zu erzielen, warum tun sie es dann nicht?