Andrey Popov - stock.adobe.com
Zero Trust erfordert einen Wandel der Organisationsstruktur
Mit der Einführung von Zero Trust werden sich auch Rollen und Verantwortlichkeiten anpassen müssen. Eine erfolgreiche Umsetzung dieses Ansatzes kann nicht aus einer Hand erfolgen.
Sicherheitsexperten müssen sich stetig mit technologischen Entwicklungen, allgegenwärtigen Cyberbedrohungen und neuen Arbeitsweisen auseinandersetzen, damit Mitarbeiter einen sicheren und zugleich leistungsstarken Zugang zu Daten, Systemen und Anwendungen erhalten.
Zero Trust setzt dafür einen Prozess des Wandels in Gang und bietet das Rahmenwerk, anhand dessen der Nutzerzugriff autorisiert werden kann. Dabei können eine reibungslose Erfahrung und Risikominimierung gewährleistet werden. Führungskräfte, die sich mit Zero Trust auseinandersetzen, erkennen jedoch bald, dass dieser Ansatz mit klassischen Organisationsstrukturen nicht zu bewerkstelligen ist. Nur durch eine übergreifende Koordination innerhalb verschiedener Funktionen des Unternehmens kann eine solche Transformation gelingen.
Vertrauen muss sich vom Netzwerk zur Identität verlagern
Früher bezog sich ein auf Vertrauen basierter Ansatz auf das Netzwerk. Befanden sich Anwender im Netzwerk, wurde ihnen das Vertrauen entgegengebracht, auf alle Anwendungen, Daten und Server zugreifen zu können und alle Inhalte einsehen zu dürfen. Heutzutage bewegen sich Mitarbeiter oft mehr im Internet als im Unternehmensnetzwerk und greifen von überall auf Anwendungen und Daten zu. Wegen der Cloud werden Anwendungen und Daten zunehmend verteilt vorgehalten und befinden sich außerhalb der traditionellen Netzwerkgrenzen in SaaS-Anwendungen, wie Microsoft 365, Salesforce oder Workday.
Das Zero-Trust-Modell dagegen geht davon aus, dass keinem Benutzer und keiner Anwendung implizit vertraut werden sollte. Vielmehr dominiert die Sichtweise, dass kein Vertrauensvorschuss mehr eingeräumt werden darf, sondern Vertrauen auf Basis der Anwender-Identität und des Kontextes erst etabliert wird. Richtlinien mit definierten Zugriffsberechtigungen fungieren als Aufpasser für jeden Schritt des Nutzers. Mit einem solchen Zero-Trust-Modell wird nicht nur eine neue Technologie eingeführt, sondern auch die Transformation der IT-Architektur erforderlich, damit das Konzept effizient umgesetzt werden kann.
Die Maxime der Sicherheit wird zum Zünglein an der Waage des Zugangs. Schließlich hat das verteilte Arbeiten das Firmennetzwerk unendlich erweitert und der anstehende 5G-Funkstandard mit seinem Geschwindigkeitsvorteil bedeutet, dass Organisationen zukünftig ohne Kabel oder Netzwerke auskommen könnten.
Zero Trust erfordert viele Zuständigkeiten
Wenn wir jedoch die aktuellen Rollen und Verantwortlichkeiten innerhalb einer Organisation betrachten, wird offensichtlich, dass die Regelung der Zugangssicherheit ein Problem mit sich bringt. Es gibt keine singuläre Zuständigkeit für Zero Trust und die verschiedenen funktional Beteiligten am Konzept haben einzeln gesehen nicht die Mittel zur Umsetzung in der Hand. Zero Trust ist ein umfassender Sicherheitsansatz, der den Benutzer, den Zugangsweg zu einer Anwendung, das genutzte Endgerät, die Zielumgebung für den Zugriff und die Workload für das Assessment der Zugriffsberechtigung einbezieht.
„Für die Implementierung eines Zero-Trust-Ansatzes müssen verschiedene Funktionsträger innerhalb einer Organisation zusammenarbeiten, um den Wandel umzusetzen.“
Marc Lueck, Zscaler
Um den Zuständigkeitsbereichen von Zero Trust auf den Grund zu gehen, müssen zunächst die inhärenten Faktoren von Zero Trust betrachtet werden und im nächsten Schritt muss überlegt werden, wie sich diese auf Organisationsstrukturen übertragen lassen. Unabhängig von der Begrifflichkeit geht es bei Zero Trust um das Vertrauen, das überprüft werden muss, um ein höheres Maß an Validierung zu erreichen als jemals zuvor. In einem Zero-Trust-Modell muss eine Aktivität deshalb in jeder der folgenden Phasen einen Vertrauenstest bestehen:
Die Identität: Hier erfolgt der Aufbau von Vertrauen in die Person auf der einen Seite und die Anwendung auf der anderen Seite der Verbindung. Zuständigkeiten für die Identität liegen einerseits bei der Personalabteilung, basierend auf der Rolle des Mitarbeiters, andererseits ist die Festlegung der Identität in der Regel eine IT-Funktion.
Der Zugangsweg: Die vertrauenswürdige Identität wird genutzt und ihre damit verbundenen Zugriffsrechte auf das Ziel müssen umgesetzt werden. Wichtig ist, dass kein inhärentes Vertrauen mehr in weitergeleitete IP-Adressen besteht. Die Verantwortung für diesen Teil liegt bei den Netzwerkverantwortlichen.
Der Endpunkt: Hier kommt die Zuständigkeit für Sicherheitskontrollen ins Spiel: Der Internet-Zugang verringert das Vertrauen in den Firmenperimeter und erfordert, dass diese Schutzfunktion stattdessen um das Gerät angesiedelt ist. Das Vertrauen in den Endpunkt muss kontinuierlich neu bewertet werden, was durch die rasante Entwicklung der Endpunktkontrolle ermöglicht wird. Beispielsweise sollte einem intelligenten Gerät, das von München eine Verbindung zu einer Anlage herstellt und dann einen Moment später dies von New York aus erneut tut, nicht vertraut werden. Dafür ist das Team für die Endgeräteverwaltung oder eine ähnliche Abteilung zuständig.
Die Cloud: Cloud-Umgebungen lösen das implizite Vertrauen in Server-Standorte ab. Wegen der neuen Multi-Cloud-Standorte muss das Vertrauen in die IT-Umgebung und das Hostmanagement kontinuierlich bewertet und Berechtigungen für Remote Workloads durchgesetzt werden. Dies ist Aufgabe der IT-Verwaltung, des Servermanagements und des Rechenzentrumsbetriebes.
Der Workload: Heute gilt es Workloads zu schützen, anstelle von Vertrauen in die lokalen Netzwerke und Interprozesskommunikation zu legen. Wenn ein Paket eintrifft, das für ein lokales Gerät im Netzwerk bestimmt ist, wird es nicht von vorneherein auf Basis des Netzwerks als vertrauenswürdig eingestuft. Stattdessen werden Logik und Kontrollmechanismen angewendet, um sicherzustellen, dass dieses Vertrauen berechtigt ist. Die Verantwortung für diese Funktion liegt in der Regel bei den Fachabteilungen für die Anwendungen oder Daten, oder bei den Verantwortlichen für Services.
Der Ruf nach funktionsübergreifender Koordination
Für die Implementierung eines Zero-Trust-Ansatzes müssen verschiedene Funktionsträger innerhalb einer Organisation zusammenarbeiten, um den Wandel der Sicherheitsinfrastruktur umzusetzen. Jede benötigte Abteilung trägt dabei nur einen Teil der Verantwortung für das Konstrukt. Eine Zusammenarbeit muss für die erfolgreiche Einführung demnach als die Abteilungen übergreifend geplant werden, um Projekte nicht zum Scheitern zu verurteilen.
Zero Trust wird dementsprechend im Lauf der Zeit einen weiteren Wandel einläuten. Rollen und Verantwortlichkeiten innerhalb der Organisation werden sich anpassen müssen, um dem multifunktionalen Ansatz mit seinen Auswirkungen auf Abteilungen zu spiegeln. Dabei steht weniger die Infrastruktur als solche im Mittelpunkt, sondern vielmehr die Regelwerke für den berechtigten Zugang, welche die Grundlage von Zero Trust bilden. Da diese Regeln den Bedarf der unterschiedlichen Einheiten erfüllen müssen, haben sie übergreifende Bedeutung.
Ungeachtet einer grundlegenden Bearbeitung der Organisationsstruktur müssen sich Unternehmen mit Zero-Trust-Initiativen am Laufen stets bewusst sein, dass die Umsetzung nicht aus einer Hand erfolgen kann. Diese Projekte werden die Zusammenarbeit und Koordination zwischen den Abteilungen für Identity Management, Netzwerke, Endpunktsicherheit, Anwendungsverantwortung sowie dem IT-Management erfordern. Daher ist sowohl ein strategisches als auch ein programmatisches Denken für den Erfolg von Zero-Trust-Projekten unerlässlich.
Die Autoren sind für den Inhalt und die Richtigkeit ihrer Beiträge selbst verantwortlich. Die dargelegten Meinungen geben die Ansichten der Autoren wieder.
