Winning Over the Boardroom By Enabling the Business Ecosystem

Die Verwaltung flexibler Hybridkonzepte mit einem Mix aus Remote- und Präsenzarbeit stellt Cybersicherheitsbeauftragte bereits vor beträchtliche Herausforderungen. Die massive Bedrohung durch Lieferkettenangriffe vervielfacht diese Sicherheitsrisiken noch, wie der im Dezember 2020 bekannt gewordene SolarWinds-Hack nachdrücklich unter Beweis stellte. Besonders bedenklich ist dabei die Gefahr der Eskalation kleiner, isolierter Sicherheitslücken zu systemischen Risiken, die das gesamte Ökosystem der Organisation gefährden.

Die Zusammenarbeit mit externen Geschäftspartnern innerhalb digitaler Ökosysteme spielt für viele Unternehmen eine immer wichtigere Rolle. Sie trägt zur Optimierung der Lieferketten bei, erschließt Ihnen Zugang zu neuen Märkten, verkürzt die Produktionszeiten und Lieferfristen und steigert dadurch die Kundenzufriedenheit und Markenbindung. Angesichts der zunehmenden Komplexität und geografischen Verteilung dieser Ökosysteme ist es Aufgabe der IT-Verantwortlichen, die Geschäftsführung umfassend über die damit verbundenen Cybersicherheitsrisiken zu informieren und im Hinblick auf geeignete Maßnahmen zu ihrer Bewältigung zu beraten. Der Schweregrad dieser Risiken darf auf keinen Fall unterschätzt werden. 
 

Cyberrisiken durch Drittparteien in digitalen Ökosystemen

Studien von Gartner zufolge werden bei über 80 % aller Unternehmen im Zuge von Due-Diligence-Prüfungen Cyberrisiken durch Drittparteien aufgedeckt, die in 31 % der Fälle wesentliche Geschäftsauswirkungen haben. 

Als Drittparteien gelten in diesem Zusammenhang sämtliche externen Geschäftspartner des Unternehmens. Dazu gehören u. a. Serviceanbieter, Lieferanten, Anbieter, Vertragshersteller, Vertriebspartner, Reseller und Prüfer. 

Seit jeher zählt es zu den Kernaufgaben der IT, unbefugte Zugriffsversuche auf interne Unternehmensnetzwerke durch den Einsatz von Firewalls und virtuellen privaten Netzwerken (VPNs) zu blockieren. Im Zuge der zunehmenden Digitalisierung gibt es jedoch zahlreiche Szenarien, in denen es notwendig wird, bestimmten Drittusern Zugriff auf die vertraulichen Daten der Organisation zu gewähren. Zu diesem Zweck werden B2B-Anwendungen und -Services übers Internet für Lieferkettenpartner und Kunden zugänglich gemacht. Sage und schreibe 82 % aller Unternehmen geben Drittusern Zugriff auf sämtliche cloudbasierten Daten. Das ist insofern problematisch, als Sie nur sehr begrenzten Einblick in – geschweige denn Einfluss auf – die Sicherheitsprotokolle Ihrer Geschäftspartner oder die Geräte haben, die für den Zugriff auf Ihre IT- und OT-Netzwerke verwendet werden. 
 

Vergrößerte Angriffsfläche durch Einsatz von VPNs

Traditionell sind VPNs eine gängige Methode, um externe User mit Backend-Systemen zu verbinden. VPNs platzieren User direkt im Netzwerk und geben ihnen uneingeschränkten Zugriff auf sämtliche Ressourcen innerhalb des Netzwerks, einschließlich private Unternehmensanwendungen und -daten.

Dieser Ansatz ist in zweifacher Hinsicht problematisch – erstens deshalb, weil er die User Experience beeinträchtigt. 

Das VPN leitet den Traffic zunächst zu einem Zugangspunkt und dann im Backhauling-Verfahren zur Sicherheitskontrolle in einem zentralen Rechenzentrum oder einer öffentlichen Cloud-Umgebung. Der User wird also über einen Umweg mit dem Netzwerk verbunden, der seine Internetverbindung erheblich verlangsamt.  

Das zweite Problem ist die Vergrößerung der Angriffsfläche. VPNs werden mit einem eingehenden VPN-Gateway an der Netzwerk-Edge aufgebaut, das auf eingehende Pings wartet, um die Erreichbarkeit zu bestätigen. Zur Gewährleistung einer hohen Verfügbarkeit ist zudem ein Clustering und Lastenausgleich dieser Stacks an mehreren Eingangspunkten erforderlich. Eine derartige Architektur vergrößert die Angriffsfläche des Unternehmens sowohl durch den offenen Port als auch durch die uneingeschränkte Bewegungsfreiheit des Drittusers innerhalb des Netzwerks. 
 

Langfristige Wertschöpfung durch effiziente Verwaltung Ihres Drittuser-Risikos

Externe Drittuser sind sich der potenziellen Auswirkungen und Risiken ihrer unnötigen Zugriffsberechtigungen nicht unbedingt bewusst. Dadurch können sie unwissentlich Ihr gesamtes System und Ihre Betriebsabläufe gefährden. Es ist also höchste Zeit, VPNs durch eine bessere Alternative zu ersetzen, die auch unter den heutigen Vorzeichen distribuierter Daten und Anwendungen sicheren Zugriff für Drittuser gewährleisten kann. Zur effektiven Bewältigung der Risiken durch Drittparteien empfiehlt sich ein dynamischer und iterativer Ansatz, der auf den Grundsätzen des Zero-Trust-Konzepts basiert:

• Sicherer Anwendungszugriff ohne Netzwerkzugang. Externe Drittuser dürfen niemals direkt im Netzwerk platziert werden. Unnötige Zugriffsberechtigungen auf geschäftskritische Anwendungen, Daten und Systeme müssen eliminiert werden. 
• Minimierung externer und interner Angriffsflächen. Im ersten Schritt sollte die Angriffsfläche mithilfe unseres Analysetools bewertet werden. Durch Mikrosegmentierung von Anwendungen und richtlinienbasierten Zugriff für sämtliche Verbindungen können Risiken minimiert werden. Es empfiehlt sich, segmentierte Zero-Trust-basierte Verbindungen zwischen einem einzelnen User und der jeweils angeforderten Anwendung herzustellen. 
• Überwachung verdächtiger Aktivitäten. Kein User oder Gerät darf automatisch als vertrauenswürdig oder sicher eingestuft werden. Stattdessen müssen Sie unbedingt den Überblick über sämtliche Ressourcen behalten, auf die ein User zugreift. Ebenfalls muss die Identität des Users kontinuierlich verifiziert und überprüft werden, dass seine Aktivitäten im Netzwerk auf seinen jeweiligen Aufgabenbereich beschränkt sind. 

Vier Fragen, die Sie zum Risiko durch Drittuser stellen müssen

IT-Verantwortliche leisteten einen wesentlichen Beitrag zur Bewältigung der enormen Belastungstests, denen Unternehmen im Zuge der COVID-Pandemie ausgesetzt waren. Dadurch konnten sie ihren Einfluss und Aufgabenbereich innerhalb der Unternehmen beträchtlich ausweiten. Daraus wiederum ergeben sich neue Chancen, die digitale Transformation des gesamten Ökosystems federführend mitzugestalten und langfristige Wertschöpfung zu unterstützen. In der Praxis bedeutet das vor allem, eine produktive Zusammenarbeit mit Geschäftspartnern zu ermöglichen, ohne das Unternehmen einem erhöhten Risiko durch Cyberangriffe auszusetzen.

Um dies gewährleisten zu können, müssen Sie vier Fragen an Ihre Teams stellen:

1. Wie schnell können externe Anbieter oder Geschäftspartner aktuell Zugriff auf unsere Systeme erhalten?  
2. Welche Drittuser benötigen Zugriff auf unsere Daten, Anwendungen und andere vertrauliche Informationen, und welche Folgen hätte es, wenn sie kompromittiert würden?
3. Wie gehen wir vor, um Drittusern in den verschiedenen Phasen der Zusammenarbeit Zugriff auf unsere Systeme zu gewähren (Due Diligence vor Vertragsabschluss, Vertragsabschluss, Onboarding, laufende Überwachung und Vertragsablauf)? 
4. Ist es überhaupt notwendig, Drittusern Zugriff aufs Netzwerk zu geben?    

Zero Trust als Garant für eine sichere Zusammenarbeit mit externen Partnern

Die Zscaler Zero Trust Exchange ist ein zukunftsfähiger Ansatz, durch zügige und sichere Verbindungen eine produktive Zusammenarbeit mit externen Geschäftspartnern in aller Welt zu ermöglichen. Die Plattform beruht auf dem Zero-Trust-Prinzip der minimalen Rechtevergabe und gewährleistet umfassende Sicherheit durch kontextbezogene Identitätsprüfung und Richtliniendurchsetzung.

Zscaler stellt eine überzeugende Lösung für Organisationen bereit, die das Problem des sicheren Zugriffs für Drittuser bewältigen müssen. Die Zero Trust Exchange wird in 150 Rechenzentren weltweit betrieben. Dadurch lässt sich die Verfügbarkeit in der Nähe der User sowie in Colocation mit häufig genutzten Cloud-Anbietern und Anwendungen gewährleisten. Organisationen profitieren von einer hervorragenden Anwendererfahrung, da Verbindungen auf dem kürzestmöglichen Pfad zwischen Usern und Anwendungen hergestellt werden. Mit Zscaler senken Sie Kosten durch Eliminierung teurer VPNs, minimieren Risiken und potenzielle Angriffsvektoren und ermöglichen die produktive Zusammenarbeit mit externen Partnern. 

Mit Zero Trust Network Access zum Schutz privater Unternehmensanwendungen können Sie Sicherheitsrisiken durch Drittuser minimieren und das Wertschöpfungspotenzial Ihres Geschäftspartner-Ökosystems voll ausschöpfen. Wir beraten Sie gerne bei den nächsten Schritten Ihrer digitalen Transformation.
 

Zum Lösungsprofil: Zscaler Private Access für sicheren Zugriff für Drittuser

Überzeugen Sie sich selbst: Zscaler Private Access Interactive