Traditionell war die Cybersicherheit eine Branche, die von Barrieren dominiert wurde. Je besser eine Technologie war, um das Gute vom Bösen zu trennen und alle Arten von Türen, Wassergräben und Mauern zu bauen, desto besser. Unternehmen gaben 120 mehr als 2018 Milliarden Euro aus, um Angriffe zu verhindern, aber es gab weiterhin Verstöße: Schätzungsweise 765 Millionen Menschen waren allein im April, Mai und Juni letzten Jahres von Cyberangriffen betroffen.
Unternehmen beginnen zu erkennen, dass Technologie allein weder Risiken eliminiert noch die Sicherheit Ihrer Informationen gewährleistet. Sie erkennen allmählich, dass das traditionelle Modell, Dutzende von Anbietern über Monate hinweg umfassend zu evaluieren, zu einer Sisyphos-Aufgabe wird, ohne dass zuvor die richtige Strategie und Best Practices implementiert werden. Für viele bedeutet das Zero Trust.
Zero Trust ist in den letzten zwei Jahren zu einem neuen Schlagwort geworden, da es bei CSOs und Technologieanbietern immer beliebter wird. Die Kernphilosophie von Zero Trust lautet „Niemals vertrauen, immer überprüfen“ und basiert auf dem Prinzip, dass man die „Guten“ nicht von den „Bösen“ trennen kann. Herkömmliche Ansätze, die sich darauf konzentrierten, eine solide Abgrenzung zu schaffen, um Bösewichte fernzuhalten, funktionieren nicht mehr. Ressourcen (Daten, Anwendungen, Infrastruktur, Geräte) sind zunehmend hybrid oder vollständig außerhalb dieses Perimeters. Mit Zero Trust wird Vertrauen aus der Gleichung eliminiert und der Fokus liegt auf der kontinuierlichen Überprüfung.
Es hat drei Hauptmieter:
- Verifizieren Sie jeden Benutzer, jedes Mal
- Validieren Sie jedes Gerät
- Beschränken Sie den Zugriff intelligent
Es ist ein ganzheitlicher und strategischer Sicherheitsansatz, der sicherstellt, dass jede Person und jedes Gerät, die für den Zugriff auf ein Netzwerk, eine Anwendung oder einen Dienst berechtigt sind, die Person und das ist, für die sie sich ausgeben.
Eine Wolke sprengte den Umkreis
Zero Trust hat sich so schnell fest im Sicherheitsethos verankert, zum Teil, weil das Versprechen einer Technologiebarriere als ultimative Lösung zum Stoppen von Bedrohungen und zur Minderung von Risiken im Zeitalter der Cloud unmöglich geworden ist. Da Unternehmen immer mehr Infrastruktur und Dienste in die Cloud verlagern, immer mehr mobile Geräte einführen und alle Arten von Remote-Mitarbeitern unterstützen, schaffen sie tatsächlich Löcher (oder zumindest potenzielle Löcher) in ihren eigenen Firewalls.
Ich habe letztes Jahr auf dem Zero Trust Summit gesprochen und beobachtet, wie Forrester-Analyst Dr. Chase Cunningham dem Publikum wiederholt sagte, dass es im Zeitalter der digitalen Transformation keine Grenzen mehr gibt. Die alten Sicherheitsansätze sind mit der Komplexität heutiger Bedrohungen nicht vereinbar.
„Die Leute werden sagen: ‚Wir machen Dinge.‘ Wir arbeiten daran“, sagte Dr. Cunningham. „Nun, raten Sie mal, welche Strategie Target vor dem Verstoß verfolgte? Schützen, erkennen, abschrecken, reagieren. Erraten Sie, welche Strategie OMB vor dem Verstoß verfolgte? Schützen, erkennen, abschrecken, reagieren. Es ist keine Strategie.
„Wenn Sie aufstehen und sagen: ‚Unsere Sicherheitsstrategie besteht darin, auf eine Zero-Trust-Infrastruktur hinzuarbeiten.‘ „Das ist alles“, fuhr er fort. "Ein Satz. Jeder kann dahinterstecken.
Es kommt auf den Kontext an
In Ermangelung effektiver Perimeter sind die größten Waffen, die Unternehmen gegen böswillige Akteure haben, Informationen. Im Kern geht es bei Zero Trust um Informationen: genügend Kontext über Benutzer, Geräte und Verhalten zu haben, um definitiv festzustellen, dass jemand der ist, für den er sich ausgibt.
Wie Cunningham erwähnte, ist dies im Zeitalter der Cloud und der Mobiltelefone unerlässlich. Vor zehn Jahren basierten Sicherheitsstrategien auf einem einzigen Signal: Kam eine Anfrage von innerhalb oder von außerhalb der Firewall? Und es hat funktioniert ! Die meisten Benutzer haben sich von ihrem Desktop bei der Arbeit oder vielleicht einem Laptop zu Hause über ein VPN mit Netzwerken, Apps und Diensten verbunden.
Das ist nicht der Fall. Die Menschen benötigen Zugriff von ihren Schreibtischen, während sie auf Kaffee warten, oder aus 30 Fuß Höhe in einem Flugzeug. Sie stellen eine Verbindung von Desktop-Computern, Laptops, Telefonen und Tablets her. Statt eines einzigen Signals braucht es Hunderte, um endgültig zu entscheiden, ob man jemandem Zutritt gewährt oder nicht. Zero Trust stellt sicher, dass der Kontext jederzeit und für jeden Benutzer bereitgestellt wird.
Hat jemand die richtigen Anmeldeinformationen, aber befindet er sich auf einem vertrauenswürdigen Gerät? Sie haben Anmeldeinformationen und verwenden ein vertrauenswürdiges Gerät, aber befinden sie sich an einem ungewöhnlichen Ort oder melden sie sich zu einer ungewöhnlichen Zeit an? Diese Signale sind wertvolle Kontextelemente, die dazu beitragen, Informationen in der heutigen Umgebung sicher zu halten. Ein Zero-Trust-Ansatz, gepaart mit der richtigen Technologie, stellt sicher, dass Unternehmen in der Lage sind, diese Fragen zu beantworten.
Laut dem Data Breach Report 2018 von Verizon sind mehr als 81 % der Datenschutzverletzungen auf schwache oder gestohlene Passwörter zurückzuführen. Mit diesen Informationen ist es für Unternehmen unverantwortlich, sich nur durch Benutzernamen und Passwörter geschützt zu fühlen. Da die Online-Identität immer komplexer und für Unternehmen und Verbraucher immer wichtiger wird, wird sich der Zero-Trust-Ansatz fest im Vokabular aller CSOs verankern.
Ja, es ist heute ein Schlagwort, aber es ist auch eine entscheidende Cybersicherheitsstrategie für das Cloud-Zeitalter.
Corey Williams, VP of Strategy bei Idaptive(Wird in einem neuen Tab geöffnet)