Im Monat März diskutieren wir mit Security-Spezialisten die Frage: „Welche Bausteine sind bei Unternehmen nötig, um eine Zero Trust Architektur umzusetzen?“. Dazu bezieht Richard Werner, Business Consultant bei Trend Micro, klar Stellung.
Die Grundidee einer Zero Trust-Architektur ist, dass kein Nutzer und kein Gerät auf Daten zugreifen kann, ohne vorher einen Sicherheitscheck positiv zu bestehen. Wichtig ist dabei auch, dass sich der Sicherheitsstatus eines Gerätes oder Nutzers jederzeit durch neue Erkenntnisse (z.B. Malware-Funde) ändern kann.
Deshalb ist es sinnvoll, zusätzlich Mechanismen einzubauen, die in einem solchen Falle eine bestehende Verbindung terminieren. Neben Multifaktor-Authentifizierung und Zugangsmanagement ist deshalb auch der technologische Sicherheitsstatus des anfragenden Systems wichtig. Darüber hinaus müssen Prozesse definiert werden, wie mit ungewöhnlichen Situationen umgegangen werden soll. Ist beispielsweise die Nutzer-Authentifizierung erfolgreich, aber das System unbekannt und/oder in einem Hochrisiko Gebiet wie Russland oder China, stellt sich die Frage, ob tatsächlich der Zugang zu hochsensiblen Daten gewährleistet werden soll.
Um ein erfolgreiches Zero Trust-Konzept umzusetzen, muss deshalb zunächst geklärt werden, was damit erreicht werden soll. Ferner gilt es festzulegen, in welchem Rahmen sich Nutzer und Geräte bewegen dürfen. Wie der Name schon sagt, kann keiner der Komponenten vertraut werden – entsprechend müssen die Überprüfungsmechanismen organisiert sein.
Im Geräteumfeld kann dies durch Security-Agenten relativ einfach erreicht werden. Diese bieten heute schon viele Möglichkeiten der Statusüberwachung. Künstliche Intelligenz überprüft beispielsweise auf ungewöhnliche Anomalien und kann so eine möglicherweise bösartige Einflussnahme von außen erkennen. Dadurch wird der Status auf „bedenklich“ oder „bedrohlich“ gesenkt.
Quelle: Trend MicroRichard Werner ist Business Consultant bei Trend Micro.
Ist dies mit den Zero Trust-Systemen verbunden, können Warnungen ausgesprochen oder die Zugänge zu den Daten unterbunden werden. Eine vergleichbare Technologie bezogen auf Mitarbeitende ist ein so genanntes SASE (Secure Access Service Edge). Die Technologie bietet dabei den Anfragenden verschiedene Optionen der Verifizierung und erlaubt, statusbedingt, den Zugriff auf Daten. Hier wird beispielsweise geregelt, ob und inwieweit unbekannte Systeme Zugriff auf Daten haben können.
Das klassische Beispiel ist der Abruf von E-Mail-Daten auf Privatgeräte. Ein SASE kann den Zugriff je nach Bedingungen der Anfrage beschränken oder untersagen. Es regelt dabei die Verbindungen sowohl zu internen Ressourcen als auch zu Software as a Service (SaaS)-Komponenten.
In einer idealen Welt interagieren alle technischen Komponenten miteinander, sodass ein SASE auch den Status eines anfragenden Systems erhält, sowie Informationen über sicherheitsrelevante Bedenken. Dadurch können Entscheidungen beschleunigt und zum Teil automatisiert werden, um unnötige menschliche Interaktionen zu minimieren.
Richard Werner ist Business Consultant bei Trend Micro.
