In den letzten Jahren haben Unternehmen damit begonnen, Daten an verschiedenen Orten zu speichern, in traditionellen Netzwerken oder in Cloud Speichern. Mit der Zunahme von Home-Office Arbeitsplätzen, in virtuellen Infrastrukturen wie Desktop-as-a-Service (DaaS) und auf mitarbeitereigenen Geräten musste diese Entwicklung stattfinden. Diese Diversifizierung der Datenspeicherorte ist nicht mit den traditionellen Netzwerksicherheitsmodellen vereinbar, die den Schutz der Daten vor Bedrohungen von außen, aber das volle Vertrauen in die Insider voraussetzen. Dieser Paradigmenwechsel hat zur Entstehung eines neuen Sicherheitsmodells geführt: Zero Trust.
Traditionelle IT-Netzwerksicherheit basiert auf einem so genannten „Castle-and-Moat“-Ansatz, der die Verteidigungsmaßnahmen eines Systems gegen den Zugriff von außen aufbaut, aber standardmäßig allen Personen innerhalb des Netzwerks vertraut. Dies wird zum Problem, wenn es Angreifern gelingt, in das Netzwerk einzudringen: Nichts hindert sie daran, Daten zu stehlen oder das gesamte Netzwerk zu infizieren.
Wenn er richtig implementiert ist, schützt der „Castle-and-Moat“-Ansatz die Daten effektiv, bietet aber nur wenig Spielraum für Flexibilität. Die Daten müssen innerhalb des Netzwerks bleiben, um geschützt zu sein. Sobald sie aus dem Netzwerk herausgenommen werden, z. B. wenn ein Mitarbeiter von zu Hause aus arbeitet, sind die Daten auf diesem Gerät anfällig für Diebstahl oder Verlust.
Das Konzept der De-Perimeterization oder Zero Trust kam auf, als Datenschutzverletzungen zu einem Hauptanliegen von Informationssicherheitsexperten wurden. Bei Zero Trust ist der gesamte Netzwerkverkehr nicht vertrauenswürdig. Alle Ressourcen müssen verifiziert und gesichert werden, die Zugriffskontrolle muss strikt durchgesetzt werden, und der gesamte Netzwerkverkehr muss überprüft und protokolliert werden.
Als IT-Sicherheitsmodell angewandt, beinhaltet Zero Trust eine strenge Identitätsüberprüfung für jede Person und jedes Gerät, die auf Ressourcen in einem privaten Netzwerk zugreifen, unabhängig davon, ob sie sich innerhalb oder außerhalb des Netzwerkperimeters befinden. Als Ansatz für die Cybersicherheit bedeutet Zero Trust nicht die Verwendung einer einzigen spezifischen Technologie, sondern umfasst mehrere verschiedene Prinzipien.
Da die Kosten für Datenschutzverletzungen sprunghaft angestiegen sind und im Jahr 2020 bei 3,86 Millionen US-Dollar pro Verletzung liegen werden, haben Unternehmen die Notwendigkeit erkannt, sich von einem traditionellen netzwerkorientierten Sicherheitsmodell wegzuentwickeln und sind dazu übergegangen, Zero-Trust-Sicherheitsrichtlinien einzuführen. Doch wo können Unternehmen mit Zero Trust beginnen? Hier sind die ersten Schritte!
Schutz der Daten zu jeder Zeit
Daten sollten zu jeder Zeit geschützt werden, egal ob sie im Ruhezustand, bei der Übertragung oder bei der Verwendung sind. Daten bei der Übertragung und Daten im Ruhezustand haben unterschiedliche Schwachstellen, die eine effektive Zero Trust-Sicherheitsrichtlinie adressieren sollte. Traditionelle Sicherheitsmodelle konzentrieren sich auf Daten, die das Netzwerk verlassen, vernachlässigen aber oft lokal gespeicherte Daten, da sie sich innerhalb der Sicherheit des Netzwerks selbst befinden.
Doch genau hier versagt ein „Castle-and-Moat“-Ansatz zur Cybersicherheit beim Schutz der Daten. Wenn das Netzwerk durchbrochen wird, gibt es nichts, was Cyberkriminelle davon abhält, große Mengen ungeschützter Daten zu stehlen. Es gibt auch nichts, was Insider daran hindert, Daten zu stehlen oder zu missbrauchen. Daher ist es für Unternehmen unerlässlich, nach Möglichkeiten zum Schutz von Daten zu suchen, unabhängig davon, in welchem Zustand sie sich befinden.
Dieser Schritt gilt nicht nur für Endgeräte, sondern sollte auch auf Daten angewendet werden, die auf Software-as-a-Service (SaaS), DaaS und Cloud-Diensten gespeichert sind. Sensible Daten, die aus diesen Diensten exportiert werden, sollten während ihres gesamten Lebenszyklus gesichert bleiben.
Erweiterte Zugriffskontrolle
Zugriffskontrolle ist ein wichtiger Bestandteil von Zero Trust-Sicherheitsrichtlinien. Wenn Mitarbeiter jedoch jedes Mal, wenn sie eine andere Anwendung verwenden, aufgefordert werden, sich anzumelden, kann dies die Produktivität beeinträchtigen und die Zufriedenheit der Benutzer mindern. Die Single Sign-On (SSO)-Technologie ermöglicht es den Benutzern, sich einmal mit ihren Anmeldedaten anzumelden und Zugriff auf alle Webanwendungen zu erhalten. Dies reduziert die Anzahl der Passwörter, die Mitarbeiter täglich verwenden müssen, und die Wahrscheinlichkeit von schwachen Passwörtern.
Als zusätzliche Sicherheitsebene kann SSO durch eine Multi-Faktor-Authentifizierung (MFA) ergänzt werden. Das bedeutet, dass Benutzer neben der Eingabe eines Benutzernamens und Passworts zusätzliche Faktoren wie eine per SMS gesendete PIN oder eine Authentifizierung über mobile Apps benötigen, wenn sie versuchen, sich anzumelden. SSO sorgt zusammen mit MFA für ein Sicherheitsniveau, das den Anforderungen von Zero Trust-Sicherheitsrichtlinien entspricht.
Viele Softwareanbieter haben damit begonnen, SSO- und MFA-Technologien in ihre Produkte einzuführen, um Unternehmen bei der Einführung von Zero-Trust-Sicherheitsmodellen zu unterstützen. Unsere eigene Data Loss Prevention (DLP)-Lösung, Endpoint Protector, hat in ihrem neuesten Update SSO und MFA für Azure Active Directory integriert, was es für Administratoren einfacher macht, sich mit nur einem Satz von Anmeldedaten sicher zu authentifizieren.
Datentransparenz und Protokollierung
Zero Trust-Sicherheit impliziert eine verbesserte Datentransparenz und die Überwachung von Datenbewegungen. Dies ist besonders wichtig für sensible Datenkategorien wie persönlich identifizierbare Informationen (PII) und geistiges Eigentum, die das Ziel der meisten Datenschutzverletzungen sind.
Eine granulare Protokollierung und Berichterstattung sollte alle Bewegungen von sensiblen Daten sowie die dafür verantwortlichen Geräte, Anwendungen oder Mitarbeiter aufzeichnen. Anhand von Protokollen können Unternehmen verdächtiges Verhalten erkennen, das ein Anzeichen für Datenexfiltration sein könnte, sowie potenzielle Schwachstellen im internen Umgang mit Daten und gleichzeitig einen Beitrag zu Audit- und Compliance-Bemühungen leisten.
