Das Konzept von „Zero Trust“

Man kann sich seiner Informationssicherheit nie zu 100 % sicher sein. Die Entwicklung neuer Arten von Datenschutz hebt die Informationstechnologie auf ein höheres Niveau. Multi-Faktor-Authentifizierung, privilegierte Benutzer und Biometrie für den Zugriff – all das ist inzwischen selbstverständlich geworden. In einer Unternehmensumgebung vertrauen wir Personen innerhalb des Netzwerks standardmäßig, Personen außerhalb hingegen nicht. Heute befassen wir uns mit dem relativ neuen Konzept „Zero Trust“ und seinem Nutzen für den Unternehmensperimeter sowie für Cloud- und Mobilsicherheit.

Was ist „Zero Trust“?

Standardmäßig gelten alle Benutzer, Geräte, Clouds, Systeme und Netzwerke als kompromittiert, unabhängig davon, ob sie durch eine Firewall geschützt sind. Das Zero-Trust-Konzept sieht eine sehr strenge Zugriffskontrolle auf Systeme vor, sodass selbst authentifizierte Benutzer mehrere Prüfstufen durchlaufen. Diese Methode trägt dazu bei, die Wahrscheinlichkeit eines erfolgreichen Angriffs auf das System erheblich zu senken.

Indem der Zugriff verschiedener Benutzer auf Segmente des Unternehmensnetzwerks eingeschränkt wird, haben Hacker weniger Möglichkeiten, an geschützte oder vertrauliche Daten zu gelangen. Der zentrale Wert des Zero-Trust-Konzepts ist natürlich die Multi-Faktor-Authentifizierung (ein Sicherheitsmechanismus, der eine zusätzliche Echtzeit-Authentifizierungsmethode mittels einer vom Benutzer unabhängigen Datenkategorie erfordert).

Unternehmensnetzwerk vs. „Zero Trust“

Wie bereits erwähnt, geht die veraltete Methode zum Schutz des Unternehmensperimeters davon aus, dass jeder Benutzer innerhalb des Unternehmensnetzwerks standardmäßig eine „vertrauenswürdige Person“ ist, während jeder Benutzer außerhalb des Unternehmensnetzwerks entsprechend als „nicht vertrauenswürdig“ gilt. Dieses Modell besteht und bewährt sich seit 20 Jahren, um zu rechtfertigen, dass nur bestimmte Personen Zugriff auf Programme und Anwendungen haben. Mit der Zeit hat sich dieses Modell der Perimetersicherheit jedoch als zunehmend weniger wirksam erwiesen, insbesondere aufgrund der enormen Fortschritte bei Cloud-Technologien, Mobiltechnologien, Datenschutzsystemen und dem weit verbreiteten Übergang von Mitarbeitern zur Remote-Arbeit. Infolgedessen existiert das Konzept einer „vertrauenswürdigen Person“ innerhalb und außerhalb des Unternehmensnetzwerks in der neuen Umgebung nicht mehr. Das neue Modell behandelt alle Benutzer standardmäßig als „nicht vertrauenswürdig“ und zwingt sie, unabhängig von ihren Berechtigungen alle Schritte zur Zugriffserlangung zu durchlaufen. Die „Zero Trust“-Richtlinie wurde erstmals Mitte der 2000er Jahre diskutiert, wobei die Grundidee darin bestand, das Unternehmen zu „deperimetrisieren“ und zu einer Strategie überzugehen, die Unternehmensdaten auf allen Ebenen mittels Verschlüsselung und Multi-Faktor-Authentifizierung schützt.

Die Entwicklung von „Zero Trust“

2010 prägte John Kindervag, Analyst bei Forrester Research, den Begriff der „Zero Trust“-Richtlinie, deren Grundgedanke das Misstrauen gegenüber jedem Benutzer innerhalb und außerhalb des Unternehmens war. Das Unternehmen muss jeden, der versucht, sich mit dem Netzwerk zu verbinden, überprüfen, bevor Zugriff gewährt wird. Die „Zero Trust“-Richtlinie stellt das Schutzmodell einer Firewall zwischen internen und externen Netzwerken infrage. Eine solche Sicherheitsstrategie bricht zusammen, wenn ein Hacker das System innerhalb des Perimeters kompromittiert und vertrauliche Informationen stehlen will. In einem konventionellen System müssen Informationssicherheitsverantwortliche daher alle Ressourcen manuell überprüfen und schützen sowie Zugriffe für jeden Benutzer einzeln gewähren und entziehen.

Cloud- und Mobilsicherheit im Rahmen von „Zero Trust“

Die drei Grundprinzipien des Zero-Trust-Sicherheitskonzepts:

• Unternehmen müssen sicheren Zugriff auf ihre Netzwerke gewährleisten, unabhängig vom Standort des Unternehmens oder Mitarbeiters;

• Organisationen müssen den Benutzerzugriff so kontrollieren, dass Benutzer nur auf die von ihnen benötigten Ressourcen zugreifen können. Zudem müssen Unternehmen verhindern, dass Benutzer auf potenziell sensible Informationen zugreifen, und Rollen für Mitarbeiter klar definieren. Dies stellt sicher, dass vertrauliche Daten auch nach einer Kündigung im Unternehmen verbleiben;

• Unternehmen müssen den Datenverkehr prüfen und protokollieren, um sicherzustellen, dass Benutzer rechtmäßig handeln.

Mit der wachsenden Anzahl an Geräten, die mit Unternehmensnetzwerken verbunden sind, setzen immer mehr Organisationen spezielle Softwarelösungen ein, die die „Zero Trust“-Richtlinie unterstützen. Jeder hat wahrscheinlich schon von DLP-Systemen gehört – spezieller Software, die entwickelt wurde, um das Durchsickern vertraulicher Informationen zu verhindern und die Aktivität von Mitarbeitern während der Arbeitszeit zu überwachen. Werfen wir einen kurzen Blick darauf, wie ein solches System funktioniert, am Beispiel von Anexet Ultimate von Scinero Software Limited.

Beispiel des Anexet Ultimate DLP-Systems von Scinero Software Limited

Anexet Ultimate ist ein DLP-System, das Unternehmen vor durch Mitarbeiter verursachten Datenlecks schützt, deren Computeraktivität überwacht, potenzielle Bedrohungen erkennt und im Falle eines Vorfalls dem Informationssicherheitsteam der Organisation umgehend einen Verstoß meldet oder einen Vorfall sogar von vornherein verhindert.

Die Anwendung Anexet Ultimate Agent wird auf dem Computer installiert, wo sie gesendete und empfangene Nachrichten und Dateien abfängt und alle auf dem Computer durchgeführten Aktionen überwacht. Alle abgefangenen Informationen werden an Ihren Anexet-Server gesendet und dort intelligent analysiert. Wird ein Verstoß festgestellt, kann das System eine Aktion blockieren und den Informationssicherheitsdienst des Unternehmens benachrichtigen.

Das DLP-System kann in lokalen Unternehmensnetzwerken, Netzwerken mit komplexer Architektur, geografisch verteilten Büros und mobilen Arbeitsplätzen eingesetzt werden. Diese Softwarelösung arbeitet somit nach den Prinzipien einer „Zero Trust“-Richtlinie und hilft, die Wahrscheinlichkeit des Verlusts vertraulicher Daten einer Organisation erheblich zu senken.

Im Einklang mit „Zero Trust“ ist auch die Nutzung eines VPN beim Arbeiten in einer Unternehmensumgebung obligatorisch. Unternehmen verfügen heute in der Regel über ein eigenes Unternehmens-VPN, das mit anderen technischen Methoden des Datenschutzes zusammenwirkt.

Die Zukunft von Zero Trust

Da sich die Technologie täglich weiterentwickelt und Angreifer zunehmend raffiniertere Methoden für Angriffe auf Systeme entwickeln, hat die globale IT-Community die absolute Gültigkeit des „Zero Trust“-Konzepts bereits anerkannt und implementiert dieses Modell in großem Umfang in Unternehmen. Große Technologieunternehmen erkennen das Potenzial von „Zero Trust“ naturgemäß als Erste. Analysten gehen insgesamt davon aus, dass sich das „Zero Trust“-Modell bis 2025-2030 weltweit durchsetzen wird.

Diejenigen, für die der Schutz vertraulicher Unternehmensdaten Priorität hat, wechseln als Erste zu „Zero Trust“ und DLP-Systemen. All dies wirkt zusammen, um maximale Sicherheit für Unternehmensdaten zu gewährleisten.