Im letzten Blogbeitrag zu Zero Trust Security haben wir fünf Prinzipien des Frameworks betrachtet. Nun wollen wir uns anschauen, wie man bei der Implementierung von Zero Trust Security im Unternehmen vorgehen sollte und was man dabei beachten muss. Beim Zero Trust Security Framework geht es grundsätzlich darum, explizit zu verifizieren, den Zugriff mit geringstmöglichen Rechten gewährleisten und von der Tatsache einer Sicherheitsverletzung auszugehen.
Implementierungsphasen von Zero Trust
Die Implementierung von Zero Trust ist grundsätzlich in drei Phasen aufgeteilt. Als Erstes geht es um die Visualisierung. Dies beinhaltet die Entwicklung des Verständnisses für Ihre Organisation. Dabei wird betrachtet, welche Ressourcen vorhanden sind und wie deren Zugriffe geschehen. Des Weiteren geht es darum, Risiken zu visualisieren. Als zweiten Schritt werden die Risiken entschärft. Hierbei werden Gefahren identifiziert und gestoppt. Die Auswirkungen von Angriffen für den Fall einer Sicherheitsverletzung werden minimiert. Als Letztes geht es um die Optimierung der Sicherheitsorganisation. Dabei wird die Sicherheit der IT-Infrastruktur und der Ressourcen erhöht. Gleichzeitig wird die User Experience für Endbenutzer, Security Teams und die IT verbessert. Ein wichtiger Bestandteil hierfür ist das Thema Automatisierung.
1. Ihre Organisation visualisieren
Wie eingangs erwähnt, geht es bei der Visualisierung Ihrer Organisation darum, ein generelles Verständnis zu entwickeln. Dies umfasst die Ressourcen und deren Zugriffe sowie eine Visualisierung von möglichen Risiken. Doch nicht nur das! Das Verständnis muss in verschiedensten Bereichen geschaffen werden. Wie beispielsweise auch in der Netzwerkarchitektur oder im Monitoring. Organisationen müssen die Ist-Situation verstehen, um daraus weitere nötige Schritte zu entwickeln. Für diesen Fall lohnen sich Maturitätsmodelle oder Zero Trust Security Assessments, die dabei helfen, dieses Verständnis für die Organisation zu entwickeln.
2. Gefahren für Ihre Organisation entschärfen
Hierbei geht um die effektive Implementierung und Operationalisierung des Zero Trust Security Frameworks. Anhand der Tätigkeiten aus der ersten Phase werden konkrete Maßnahmen und Handlungen definiert. Die Maßnahmen müssen natürlich mit der vorzufindenden Situation in der Organisation abgestimmt sein, um dadurch die größtmögliche Wirkung erzielen zu können. Generell sollen Gefahren identifiziert und gestoppt und Auswirkungen eines potenziellen Angriffs minimiert werden.
Oftmals stellt sich aber die Frage, wo man anfangen soll. Ein erster empfehlenswerter Schritt ist die Konfiguration des Default-Zugriffs zu “Kein Zugriff”. Dies ist einer der essenziellen Bausteine von Zero Trust – man vertraut nicht mehr. Danach sollten Methoden zur Authentifizierung von Benutzern und Geräten implementiert werden, die bei den Netzwerkzugriffen ausgeführt werden. Ein Beispiel dazu ist die Multi-Faktor-Authentifizierung (MFA) oder das Single Sign-On. MFA reduziert die Effektivität einer Identitätsattacke bereits um mehr als 99 %. Als Nächstes geht es darum, mittels Echtzeit Aufzeichnung gefährliche Aktivitäten und Bedrohungen zu identifizieren. Dabei sind vor allem Benutzer- und Gerätezugriffe im Fokus.
3. Ihre Organisation optimieren
Nachdem die Maßnahmen und Vorhaben implementiert wurden, müssen sich Organisationen auf die Optimierung konzentrieren. Dies betrifft unter anderem die Erhöhung des Schutzes in jedem Aspekt der IT Infrastruktur und allen Ressourcen. Des Weiteren darf die User Experience für Endbenutzer, die IT-Organisation und Security Teams nicht vernachlässigt werden. Ein wichtiger Faktor hierzu ist die Automatisierung von Prozessen. Hierfür kann beispielsweise die künstliche Intelligenz eingesetzt werden, um Bedrohungsmitteilungen zu beurteilen und entsprechend zu reagieren. Dadurch können sich IT-Sicherheitsexperten auf wesentlichere Arbeiten fokussieren. Nicht nur die Automatisierung von Prozessen, sondern auch die Automatisierung über Sicherheitssäulen hinweg, beispielsweise Endpoints, Identitäten und Daten, ist wichtig. Ein weiterer Punkt sind dynamische Policies, die nach der Gewährung des Zugriffs gegen missbräuchliche Aktivitäten schützen.
Was Organisationen nicht vernachlässigen dürfen, ist die Ausrichtung auf die geltende Cybersecurity-Strategie. Diese gilt es zu verfolgen und in der Organisation zu festigen. Dies betrifft beispielsweise Softwareentwicklungs- oder DevOps-Teams, die für Zero Trust Prinzipien sensibilisiert werden müssen. Konkret handelt es sich hier zum Beispiel um “Built-in Connectoren” oder APIs.
Bei Fragen oder Anregungen zum Thema Zero Trust Security, IT-Security oder Security Governance stehen wir Ihnen gerne beratend zur Seite. Wir freuen uns auf Ihre Kontaktaufnahme.
