Entlarvt: 6 Mythen über Zero-Trust-Sicherheit

Das Sicherheitsmodell Zero Trust ist nicht neu. Es gibt sie, seit John Kindervag von Forrester Research 2010 sein Paper „No More Chewy Centers: Introducing the Zero Trust Model of Information Security“ schrieb.

Der Zero-Trust-Ansatz basiert auf der Überzeugung, dass keinem Benutzer oder keiner Anwendung grundsätzlich vertraut werden sollte, selbst denen, die sich bereits innerhalb des Netzwerkperimeters befinden.

Diese Idee wird bereits von großen Unternehmen und Organisationen wie Google, Coca-Cola und der NSA aufgegriffen, um die wachsende Bedrohung durch Cyberangriffe zu bekämpfen. Es gibt jedoch immer noch Hindernisse, die seine allgemeine Einführung behindern.

Mythen über Zero-Trust-Sicherheit

Da das Interesse von Unternehmen am Ansatz des Zero-Trust-Modells zunimmt, stehen einige Missverständnisse über die Grundprinzipien des Frameworks der Einführung im Weg. Hier sind ein paar Mythen, die Sie nicht glauben sollten.

Mythos Eins: Zero Trust schafft eine Kultur des Misstrauens

Ein weit verbreitetes Missverständnis über Zero Trust ist, dass es die Idee fördert, Ihren Mitarbeitern nicht zu vertrauen. Während das Zero-Trust-Framework von Unternehmen verlangt, Benutzer beim Zugriff auf ihre Netzwerkressourcen zu überprüfen, sollte es nicht als etwas Persönliches missinterpretiert werden.

Tatsache ist, dass Vertrauen eine Schwachstelle darstellt, die Ihr Unternehmen einem Angriffsrisiko aussetzen kann. Cyberkriminelle nutzen Vertrauen gezielt aus, um Unternehmen anzugreifen, und Zero Trust bietet eine Möglichkeit, dies zu entschärfen. Es ist gleichbedeutend mit einem Schlüsselkarteneintritt, anstatt jedem zu erlauben, ein Gebäude zu betreten.

Durch nach dem Prinzip der geringsten Berechtigung (POLP) können Organisationen ihre Schwellenwertrichtlinien personalisieren, sodass Benutzern basierend auf dem Vertrauen, das sie erworben haben, nur Zugriff auf die Ressourcen gewährt wird, die sie benötigen.

Mythos 2: Zero Trust ist ein Produkt

Zero Trust ist eine Strategie oder ein Framework, kein Produkt. Es basiert auf der Idee, niemals zu vertrauen und immer zu überprüfen.

Die verschiedenen Produkte, die von Anbietern angeboten werden, können dazu beitragen, Zero Trust zu erreichen; Sie sind jedoch keine Zero-Trust-Produkte. Sie sind lediglich Produkte, die in der Zero-Trust-Umgebung gut funktionieren. Wenn Sie also ein Anbieter auffordert, sein Zero-Trust-Produkt zu kaufen, ist dies ein Hinweis darauf, dass er das zugrunde liegende Konzept nicht versteht.

Verwandt: Was ist ein Zero-Trust-Netzwerk und wie schützt es Ihre Daten?

Bei richtiger Integration in die Zero-Trust-Architektur können verschiedene Produkte die Angriffsfläche effektiv minimieren und den Explosionsradius im Falle eines Verstoßes eindämmen. Einmal vollständig implementiert, kann eine Zero-Trust-Lösung mit kontinuierlicher Verifizierung die Angriffsfläche vollständig eliminieren.

Mythos drei: Es gibt nur einen Weg, Zero Trust zu implementieren

Zero Trust ist eine Sammlung von Sicherheitsprinzipien, die eine ständige Überprüfung, das Prinzip des Least-Privilege-Zugriffs und die Verringerung der Angriffsfläche beinhalten.

Im Laufe der Jahre haben sich zwei Ansätze herauskristallisiert, um mit einem Zero-Trust-Modell zu beginnen. Der erste Ansatz beginnt mit der Identität und beinhaltet eine Multi-Faktor-Authentifizierung, die schnelle Ergebnisse liefert.

Verwandt: Was ist Zwei-Faktor-Authentifizierung? Hier ist, warum Sie es verwenden sollten

Der zweite Ansatz ist netzwerkzentriert und beginnt mit der Netzwerksegmentierung. Das Konzept beinhaltet das Erstellen von Netzwerksegmenten, um den Datenverkehr innerhalb und zwischen diesen Segmenten zu steuern. Netzwerkadministratoren können dann für jedes Segment eine separate Autorisierung aufrechterhalten und so die Ausbreitung seitlicher Bedrohungen in einem System begrenzen.

Mythos vier: Zero Trust dient nur großen Unternehmen

Google war eines der ersten Unternehmen, das die Zero-Trust-Architektur als Reaktion auf die Operation Aurora im Jahr 2009 implementierte. Dabei handelte es sich um eine Reihe von Angriffen, die sich gegen große Unternehmen wie Google, Yahoo, Morgan Stanley und Adobe Systems richteten.

Als Google unmittelbar nach den Angriffen das Zero-Trust-Modell übernahm, dachten (und glauben immer noch) viele Unternehmen, dass es nur für große Organisationen gilt. Diese Vorstellung wäre nur zutreffend, wenn Cyberangriffe auf große Unternehmen beschränkt wären, was nicht der Fall ist. In Wirklichkeit ca 46 Prozent der Datenschutzverletzungen im Jahr 2021 richteten sich an kleine Unternehmen.

Während die Medien in der Regel über Datenschutzverletzungen berichten, die große Unternehmen betreffen, steht außer Frage, dass auch kleine Unternehmen Schutz vor Cyberangriffen benötigen.

Die gute Nachricht ist, dass kleine Unternehmen nicht die Bank sprengen müssen, um das Zero-Trust-Modell zu implementieren. Da es sich nicht um ein Produkt handelt, können Unternehmen es schrittweise einführen, indem sie eine bescheidene jährliche Investition in die Zero-Trust-Architektur zuweisen.

Mythos fünf: Zero Trust beeinträchtigt die Benutzererfahrung

Eines der Hindernisse für die Einführung von Zero Trust ist die wahrgenommene Auswirkung auf die Benutzererfahrung. Es ist verständlich anzunehmen, dass die Produktivität und Agilität der Benutzer leiden würde, wenn die Identität der Benutzer kontinuierlich überprüft wird. Bei entsprechender Implementierung kann Zero Trust jedoch eine benutzerfreundliche Erfahrung bieten.

Unternehmen können Benutzerprofile bewerten und risikobasierte Authentifizierung mit maschinellem Lernen kombinieren, um Risiken zu identifizieren und schnelle Zugriffsentscheidungen zu treffen. Wenn das Risiko hoch ist, erfordert das System möglicherweise einen zusätzlichen Authentifizierungsschritt oder blockiert den Zugriff vollständig, um seine Ressourcen zu schützen. Im Gegenteil, es kann Authentifizierungsprobleme eliminieren, wenn das Risiko gering ist.

Ein Zero-Trust-Ansatz reduziert auch die Komplexität auf der administrativen Seite. Auftragnehmer und Mitarbeiter sind keine Sicherheitsverbindlichkeiten mehr, falls sie die Geschäftstätigkeit mit Ihnen einstellen. Im Rahmen eines effizienten Zero-Trust-Modells beendet das System sofort den Zugriff auf wichtige Assets und eliminiert Hintertüren.

Mythos 6: Zero Trust ist auf die lokale Umgebung beschränkt

Viele Unternehmen betrachten Zero Trust immer noch als ein Modell, das nur lokal verwaltet werden kann. Dies wird zu einem großen Problem, da sich sensible Daten jetzt in Hybrid- und Cloud-Umgebungen befinden. Mit zunehmenden Cyberangriffen und Hacks, die sich auf die On-Prem-Architektur auswirken, wechseln immer mehr Unternehmen in die Cloud.

Die gute Nachricht ist, dass Zero Trust schnell damit vorankommt.

Verwandt: Die häufigsten Datenschutzverletzungen in der Cloud der letzten Jahre

Durch die Einrichtung einer Zero-Trust-Architektur in der Cloud können Unternehmen sensible Daten schützen und die Gefährdung anfälliger Assets in ihrem Netzwerk reduzieren.

Da sich die Kultur der Fernarbeit intensiviert und Cyberkriminelle neue Wege zur Ausnutzung von Schwachstellen entwickeln, riskieren Unternehmen, die sich auf lokale Infrastrukturen verlassen, Störungen.

Vertraue niemals; Immer überprüfen

Basierend auf der Anzahl der Datenschutzverletzungen, die auf Unternehmen abzielen, ist es offensichtlich, dass der Sicherheitsansatz der alten Schule nicht ausreicht. Während viele glauben, dass Zero Trust teuer und zeitaufwändig ist, ist es ein fantastisches Gegenmittel für die aktuellen Sicherheitsprobleme.

Das Zero-Trust-Modell versucht, vertrauensbasierte Systeme einfach zu entfernen, weil sie zu oft bei Cyberangriffen ausgenutzt werden. Es funktioniert nach dem Prinzip, dass jeder und alles überprüft werden sollte, bevor Zugriff auf die Netzwerkressourcen erlangt wird. Dies ist ein lohnendes Unterfangen für Unternehmen, die Risiken reduzieren und ihre Sicherheitslage verbessern möchten.

Wie kann Zero-Trust-Sicherheit Ransomware-Angriffe verhindern?

Das traditionelle Sicherheitsmodell hat sich gegen Ransomware als unwirksam erwiesen. Erfahren Sie, warum Zero-Trust der beste Ansatz ist, um Cyberangriffe abzuwehren.

Lesen Sie weiter

Über den Autor