Warum Zero Trust in ICT Umgebungen der neue Standard sein sollte

Unternehmen, die auf Zero Trust setzen, sind weniger anfällig für Angriffe von aussen und Bedrohungen von innen. Aus diesem Grund sollten Unternehmen einen Aktionsplan festlegen, um die Zero-Trust-Prinzipien bei zukünftigen Investitionen zu berücksichtigen. Auf diese Weise kann geklärt werden, welche Massnahmen für eine erfolgreiche und wirksame Umsetzung des Zero-Trust-Modells erforderlich sind. Vor diesem Hintergrund entscheiden sich immer mehr Unternehmen für die Anwendung von Zero-Trust-Prinzipien, wenn es um die Absicherung ihrer IT-Infrastruktur geht. Denn sie benötigen ein Sicherheitsmodell, das sich effektiv an die komplexen modernen Umgebungen anpassen kann. In solchen Umgebungen müssen Geräte und Daten geschützt werden, und zwar unabhängig vom Standort oder vom Typ der verwendeten Geräte.

Der Zero-Trust-Ansatz befähigt Unternehmen, die Risiken dieser neuen Situation zu begrenzen. Das Modell bietet Massnahmen, mit denen die Mängel traditioneller Sicherheitsarchitekturen behoben werden können. So werden beispielsweise laterale Bewegungen innerhalb des Netzwerkes erschwert – also unerwünschte Bewegungen zwischen Systemen, um auf kritische Daten zuzugreifen.

Das Zero-Trust-Sicherheitsmodell umfasst eine Reihe von Prinzipien, mit denen Angriffe und Datenschutzverletzungen verhindert werden können. Ihm liegt die Erkenntnis zugrunde, dass herkömmliche Sicherheitsmodelle auf einer überholten Annahme beruhen: dass man innerhalb eines Unternehmensnetzwerks allem und jedem vertrauen kann. Zero Trust steht im Gegensatz dazu unter dem Motto "Never trust, always verify" und ist somit auf den Schutz moderner digitaler Umgebungen ausgerichtet.

Es setzt auf eine engmaschige Netzwerksegmentierung und bietet einen individuellen Bedrohungsschutz für die einzelnen Segmente. Darüber hinaus vereinfacht Zero Trust die komplexe Kontrolle des bedingten Benutzerzugriffs.

Eine Zero-Trust-Architektur kommt dann zustande, wenn die folgenden Gestaltungsgrundsätze befolgt werden:

• Bestimmung der kritischen Bereiche der IT-Infrastruktur und Sicherung aller Pfade zu diesen Bereichen.
• Der Zugriff auf Informationen wird standortunabhängig nur über sichere Verbindungen gewährt.
• Sicherstellung, dass der Zugriff auf "Need to know"-Basis erfolgt.
• Bestimmung der Zugriffsrechte auf Grundlage einer Vertrauensbasis, die sich aus verschiedenen Eigenschaften der Zugriffsanfrage ergibt: Konto, Gerät, IP-Adresse und Standort.
• Umfassende Überwachung, Automatisierung und Protokollierung.
   

Derzeit gibt es in der Branche viele Diskussionen darüber, ob bestimmten Lieferanten vertraut werden sollte, wenn der Verdacht besteht, dass diese Lieferanten enge Verbindungen zu einem Staat, einer Organisation oder einer Person haben bzw. unter deren Einfluss stehen. Um diese Bedenken auszuräumen und entsprechende Risiken zu mindern, sind mehr Kontrollen erforderlich.

Infolgedessen sollte das Zero-Trust-Prinzip auch auf Lieferketten angewendet werden, beispielsweise mit Vertrauenswürdigkeitszusicherungen der Lieferanten sowie entsprechenden Produktprüfungen und -zertifizierungen. Diese sollten von all jenen Lieferanten durchgeführt werden, die Produkte oder Dienstleistungen für kritische Infrastrukturen bereitstellen.

Derartige Vertrauenswürdigkeitszusicherungen könnten zum Beispiel Folgendes umfassen: Verpflichtung zur Nichteinmischung Dritter, Verbleib der Daten im Land, transparente Lieferketten, “No backdoor“-Verpflichtungen, verantwortungsvolle Offenlegung von Schwachstellen, Sanktionen bei Nichteinhaltung usw. Durch solche Zusicherungen könnten wir wirklich gleiche Wettbewerbsbedingungen für alle Lieferanten schaffen.

Ein weiterer Aspekt eines solchen Zero-Trust-Modells wäre die Prüfung/Zertifizierung von Produkten. Dabei werden sowohl der Produktlebenszyklus als auch die Produkte selbst von unabhängigen, akkreditierten Stellen nach den technischen Normen für solche Produkte geprüft. Ein gutes Beispiel für solch einen Ansatz ist die von der GSMA veröffentlichte 5G Security Knowledge Base. Hier liegt der Schwerpunkt auf der Eindämmung identifizierter Bedrohungen und der Umsetzung von Elementen des Zero-Trust-Ansatzes. Das Konzept anerkennt, dass Sicherheit eine geteilte Verantwortung ist. Weitere gute Beispiele für die Überprüfung/Zertifizierung von Netzwerken bieten das Network Equipment Assurance Scheme (NESAS) und die SeCurity Assurance Specifications (SCAS).

Bei NESAS/SCAS handelt es sich um ein standardisiertes Rahmenwerk zur Überprüfung, Gewährleistung und Verbesserung der Sicherheit in der Mobilfunkbranche. Es wurde gemeinsam von GSMA und 3GPP entwickelt, den weltweit wichtigsten Gremien für die Standardisierung im Mobilfunk. Es umfasst Bedrohungsanalysen, Definitionen kritischer Assets, sowie eine Methodik für und allgemeine Anforderungen an die Gewährleistung der Sicherheit.

Wenn der Zero-Trust-Ansatz bei neuen Investitionen in der Informations- und Kommunikationstechnik strukturell umgesetzt und mit Vertrauenswürdigkeitszusicherungen, der 5G Security Knowledge Base und der NESAS/SCAS-Überprüfung kombiniert würde, könnte die Sicherheit auf ein höheres Niveau gebracht werden. Auf diese Weise könnte auch das Lieferantenrisiko unabhängig von der Produktherkunft effizient gesteuert werden.