New Work benötigt Zero Trust

Während sich viele Arbeitgeber daran gewöhnt haben, ihren Mitarbeitern die Arbeit von zu Hause aus zu gestatten, gerät die erforderliche IT-Infrastruktur durch die zunehmenden Cyberangriffe unter Druck. Zwar ging es im ersten Lockdown um die Bereitstellung verschiedenster Technologien: vom VPN-Zugang, über Hardware bis hin zu videobasierten Meetings. Doch die künftige Remote-Arbeit benötigt ausgefeiltere Tools. Gefragt ist eine stärker integrierte IT-Infrastruktur, die mehr unterschiedliche Geräte und Plattformen bedient und mehr Transaktionen durchführt – zumal Remote-Arbeitsplätze ein bevorzugtes Ziel für Hacker sind.

Vor der Pandemie erfolgte die Sicherung der IT-Infrastruktur an einem zentralisierten Arbeitsplatz vor Ort und nach einem klar definierten Modell: Die Kontrolleinheit war die IP-Adresse, und ein Netzwerkperimeter verlief durch Firewalls, Hardware-Sicherheitsmodule, Security Information and Event Management (SIEM) und andere Zugriffsbeschränkungen. Dies gilt jedoch nicht für Remote-Arbeitsumgebungen. Diese werden vielmehr unter Verwendung elastischer und dynamischer, Cloud-basierter und Software-definierter Infrastrukturen erstellt, die je nach Last beliebig nach oben und unten skaliert werden. Das macht es schwierig, sie mit einem IP-basierten System abzusichern. Dienste überschreiten zunehmend die von der internen IT abgesicherten Grenzen, während die Anzahl der Transaktionen zunimmt, was bedeutet, dass IP-Adressen wiederverwendet werden und die Auditierbarkeit immer schwieriger wird. Da sich Remote-Mitarbeiter von verschiedenen Geräten aus bei Diensten anmelden, führt das zu einem höheren Bedarf an IP-Adressen und daher höherer Komplexität.

IP-basierte Sicherheitssysteme sind auch mit praktischen Herausforderungen verbunden, denn deren Erstellung, Implementierung und Betrieb erfordern viel Erfahrung und Aufwand – insbesondere im großen Maßstab bei Großunternehmen. Der eigentliche Knackpunkt dabei ist: Wenn die Anmeldedaten eines Benutzers gestohlen werden oder ein Gerät kompromittiert wird, kann der IP-Adresse nicht mehr vertraut werden, was wiederum negative Folgen auf die Produktivität der Mitarbeiter hat.

Von Zentralisierung zur Automatisierung

Die neue Arbeitswelt benötigt Zero Trust – ein neues Modell, das auf der Annahme basiert, dass jede Identität überprüft werden muss. Zero Trust wird durch einheitliche Tools, Arbeitsabläufe und Prozesse umgesetzt, die als gemeinsame, zentral verwaltete und automatisierte Dienste bereitgestellt werden. Dies bedeutet, Richtlinien und Verfahren für die Autorisierung und den Zugriff über die Technologie-Stacks, Domänen und Dienstanbieter hinweg zu kodifizieren, aus denen die IT-Infrastruktur besteht.

Richtlinien und Verfahren werden ebenso wie die für die Zugangskontrolle verwendeten Ressourcen wie Token, Benutzernamen, Passwörter, Zertifikate und kryptographische Schlüssel zentral verwaltet. Dies bietet mehrere Vorteile.

Mehr Schutz: Verteilte Vermögenswerte, wie in Klartext verschlüsselte Passwörter für Datenbanken oder in einem Dropbox-Konto gespeicherte Konfigurationsdateien werden geschützt und in ein System von Autorisierungs- und Zugriffskontrollen eingebunden.

Agile Sicherheit und Compliance durch den Einsatz einer Plattform zur Verwaltung des Lebenszyklus von Autorisierung und Zugriff: Ändert sich die IT-Infrastruktur durch neue, geänderte oder eingestellte Dienste, dann können Abhängigkeiten über Gateways, Middleware und Geräte hinweg problemlos geändert werden. Automatisierung: Dadurch lassen sich Richtlinien in großem Umfang anwenden und durchsetzen. IT- und Sicherheitsteams können eine Vielzahl von Aufgaben effizienter ausführen – z.B. Verwaltung des Lebenszyklus von Credentials, Erstellung von Richtlinien, Durchsetzung, Kodifizierung und Anwendung diverser Sicherheitsmaßnahmen.

Dies ist ein Artikel aus unserer Print-Ausgabe 10/2022. Bestellen Sie ein kostenfreies Probe-Abo.

Diese Aufgaben müssen unabhängig vom Cloud-Anbieter in einem einzigen Arbeitsablauf ohne menschliches Eingreifen und im erforderlichen Umfang und Tempo ausgeführt werden. Um letztlich das Umfeld von Remote-Arbeitsplätzen zu sichern, muss ein hochvertrauenswürdiges Schutzmodell zugunsten von Zero Trust aufgegeben werden. Dieser Ansatz erfordert ein echtes Umdenken in der IT-Organisation: Statt auf ein IP-Adressenbasiertes Konzept sollte auf ein erhebliches Maß an Automatisierung unter Einbindung von Identitäten gesetzt werden.

Bildquelle: Hashicorp