Was ist Zero Trust für die Cloud?

Zero Trust ist ein IT-Sicherheitsmodell, das den Begriff des Vertrauens eliminiert, um Netzwerke, Anwendungen und Daten zu schützen. Dies steht in krassem Gegensatz zum traditionellen Perimeter-Sicherheitsmodell, das davon ausgeht, dass sich böse Akteure immer auf der nicht vertrauenswürdigen Seite des Netzwerks und vertrauenswürdige Benutzer immer auf der vertrauenswürdigen Seite befinden. Mit Zero Trust werden diese Annahmen außer Kraft gesetzt und alle Benutzer werden als nicht vertrauenswürdig eingestuft.

Laut Forrester Research, einem führenden Forschungs- und Beratungsunternehmen, muss eine Zero Trust Lösung:

• Stellen Sie sicher, dass nur bekannter, erlaubter Datenverkehr oder legitime Anwendungskommunikation zugelassen wird, indem Sie eine Segmentierung vornehmen und Layer 7-Richtlinien aktivieren.

• Nutzen Sie eine Strategie des am wenigsten privilegierten Zugriffs und setzen Sie die Zugriffskontrolle streng durch.

• Überprüfen und protokollieren Sie den gesamten Datenverkehr. Andernfalls kann es für einen Angreifer recht einfach sein, sich Zugang zum Netzwerk eines Unternehmens zu verschaffen.

Diese Prinzipien mögen in einem Unternehmensnetzwerk einfach zu implementieren sein, aber wie lassen sie sich auf die Cloud anwenden? Sie können die gleichen Konzepte auf die Cloud anwenden, indem Sie den Zugriff über ein Security Gateway für einen sicheren Least-Privileged-Zugriff steuern. Es hat sich jedoch gezeigt, dass die Implementierung eines Gateways für Zero Trust in der Cloud nicht ausreicht. Ihre Implementierung muss den gesamten Datenverkehr für alle Anwendungen prüfen, sonst bietet sie nicht wirklich Zero Trust.

Warum Unternehmen in einer Cloud-Umgebung Null Vertrauen brauchen

Die Implementierung von Zero Trust in einem Unternehmensnetzwerk setzt voraus, dass die Organisation selbst das Netzwerk kontrolliert. Es legt fest, wo Grenzen gesetzt werden können, und erzwingt Zugriffskontrollen, um sensible Anwendungen, z. B. in Rechenzentren vor Ort, vor unbefugtem Zugriff und seitlichen Bewegungen zu schützen.

Heute ist es oft kostengünstiger, eine Anwendung in der Cloud statt in einem Rechenzentrum zu hosten. Laut IDG, einem führenden Technologie-Medienunternehmen, verfügen mehr als 73 % der Unternehmen über Anwendungen oder Infrastrukturen in der Cloud.1 Diese Cloud-Umgebungen, die von Cloud-Service-Providern und SaaS -Anbietern betrieben werden, sind nicht Teil des Netzwerks einer Organisation, so dass die gleiche Art von Netzwerkkontrollen nicht gilt.

Das Ergebnis ist, dass die meisten Unternehmen:

• Sie haben Anwendungen und Daten, die über mehrere Standorte verteilt sind. 

• Sie verlieren den Durchblick:
  

  • Wer auf ihre Anwendungen und Daten zugreift, oder sogar welche Geräte für den Zugriff verwendet werden (z.B. Smartphones, Tablets, Laptops usw.), da die meisten ihrer Assets auf der Infrastruktur von Drittanbietern liegen.

  • Wie die Daten genutzt und weitergegeben werden.

Um diese Probleme zu lösen, verwenden Unternehmen oft eine Vielzahl von Zugangstechnologien, je nachdem, wo sich ihre Anlagen befinden. Die meisten Unternehmen verwenden eine Mischung aus:

Dieser Technologie-Mix führt zu einer fragmentierten Sicherheitsarchitektur, bei der es schwierig ist, sicher zu sein, welche Richtlinien zum Schutz bestimmter Daten in der Cloud vorhanden sind. Cloud-Umgebungen unterscheiden sich grundlegend von herkömmlichen Netzwerken und verändern sich kontinuierlich. Das bedeutet, dass der Sicherheitsansatz eines Unternehmens sowohl umfassend als auch anpassungsfähig sein muss.

Aus diesem Grund sind 9 von 10 Cybersecurity-Experten derzeit besorgt über die Sicherheit in der Cloud. Die drei größten Herausforderungen sind: Schutz vor Datenverlusten und -lecks (67%), Bedrohungen des Datenschutzes (61%) und Verletzung der Vertraulichkeit (53%). Sie kämpfen auch mit Problemen der Sicherheitskontrolle, wie z.B. der Transparenz der Infrastruktursicherheit (43%), der Compliance (38%) und der Einführung konsistenter Sicherheitsrichtlinien in Cloud- und On-Premise-Umgebungen (35%).2

Um erfolgreich zu sein, müssen Unternehmen daher eine einzige, einheitliche Sicherheitsarchitektur einrichten, die:

• Ermöglicht Benutzern einen sicheren Zugriff auf die Anwendungen und Daten eines Unternehmens über die öffentliche Cloud, SaaS-Anwendungen und private Clouds/Rechenzentren.

• Kontrolliert und begrenzt, wer Zugang zu diesen Vermögenswerten hat und wie sie genutzt werden können.

• Überprüft den Datenverkehr und setzt die Sicherheitsrichtlinien laufend durch.

Wenn Organisationen in die Cloud wechseln, ist es wichtig, Zero Trust in das Design der neuen Cloud-Infrastruktur einzubauen. Im Folgenden finden Sie einige Ideen, wie Sie beginnen können.

Implementierung von Zero Trust für die Cloud mit einer 5-stufigen Methodik

Bevor Sie beginnen, sollten Sie die Ziele Ihres Unternehmens für die Implementierung von Zero Trust in der Cloud sowie die gewünschten Geschäftsergebnisse definieren.

• Schritt 1: Stellen Sie fest, welche Art von Anwendungen (z. B. öffentlich, privat, SaaS usw.) und Daten (z. B. vertraulich, sensibel, unwichtig) Ihr Unternehmen besitzt, wo sie sich befinden und wer auf sie zugreift und sie nutzt. Definieren Sie dann Ihre Schutzfläche: die Daten, Anwendungen, Anlagen und Dienste, die für Ihr Unternehmen am wichtigsten sind.

• Schritt 2: Bilden Sie die Transaktionsflüsse ab (d.h. wie Ihre Anwendungen tatsächlich funktionieren).

• Schritt 3: Bauen Sie die neue Cloud-Infrastruktur auf und schaffen Sie Grenzen zwischen Benutzern und Anwendungen.

• Schritt 4: Entwickeln Sie die Zero-Trust-Richtlinien Ihres Unternehmens auf der Grundlage der Frage, wer auf was zugreifen darf, und setzen Sie kontextbezogene Zugriffskontrollen auf der Grundlage der Least-Privilege-Prinzipien durch. Informieren Sie die Benutzer über die Sicherheitsrichtlinien Ihres Unternehmens und darüber, was von ihnen erwartet wird, wenn sie auf die Anwendungen und Daten Ihres Unternehmens in der Cloud zugreifen und diese nutzen.

• Schritt 5: Überwachen und pflegen Sie Ihre Zero Trust Umgebung. Das bedeutet, dass der gesamte Datenverkehr kontinuierlich untersucht und protokolliert wird, um ungewöhnliche Aktivitäten zu erkennen und zu entscheiden, wie die Richtlinien sicherer gemacht werden können. Mit aktiver Überwachung kann Ihre Schutzfläche wachsen, so dass Sie Änderungen an der Architektur vornehmen können, um Ihre Sicherheit weiter zu verbessern.

Tipps für die Anwendung von Zero Trust in einer Cloud-Umgebung

Um die Aufrechterhaltung von Zero Trust in der Cloud zu erleichtern:

• Nutzen Sie aus der Cloud bereitgestellte Sicherheitsmaßnahmen, um Zero Trust in der Cloud zu implementieren.

• Bieten Sie Ihren Benutzern ein sicheres, konsistentes und nahtloses Erlebnis, unabhängig davon, wo sie sich befinden, wie sie sich verbinden oder welche Anwendungen sie nutzen möchten. Andernfalls, wenn die Benutzererfahrung zu kompliziert ist oder zu viele Änderungen erfordert, wenn sie von einem neuen Standort aus arbeiten oder eine andere Anwendung verwenden, werden sie diese nicht akzeptieren.

• Verringern Sie die Angriffsfläche, indem Sie den Benutzerzugriff kontextabhängig einschränken.

Vorteile

Einige der Vorteile der Bereitstellung von Zero Trust für die Cloud sind:

• Bessere Übersicht über Daten, Vermögenswerte und Risiken.

• Konsistente und umfassende Sicherheit.

• Schnelligkeit und Agilität, um den sich entwickelnden Technologien immer einen Schritt voraus zu sein.

• Geringere Betriebskosten und Komplexität.

Weitere Zero Trust Artikel:

• Der Zero-Trust-Ansatz für die Cloud?

• Ausdehnung von Zero Trust auf die Cloud