New Work, aber sicher!

Cloud und Remote Work sind für Unternehmen Fluch und Segen zugleich. Zum einen steigert der Digital Workplace in Zeiten von COVID-19 die Produktivität, fördert die Work-Life-Balance und reduziert Kosten. Zum anderen sind die Auswirkungen auf die IT, vor allem im Bereich Security, gewaltig und die damit verbundenen Risiken in Unternehmen oft noch unbekannt. Die Einführung von Zero Trust als Security-Leitbild ermöglicht es, diese Risiken aktiv anzugehen und zu minimieren. Doch bei der Einführung lauern einige Herausforderungen und Fallstricke. 

Wohl jeder Mensch und jede Firma hat Angst vor Einbrechern. Fenster schliessen, Türen absperren und um das Firmengelände eine Mauer bauen. Diese Taktik kommt auch in der IT seit langer Zeit zum Einsatz – in Form des Perimeterschutzes für Netzwerke, der Unternehmensressourcen sichert. Doch diese Mauern müssen durchlässig werden, um von den Vorteilen und Chancen der Cloud und des Arbeitsplatzes der Zukunft zu profitieren. Deswegen müssen Unternehmen jederzeit in der Lage sein, Zugriffe bewerten und einstufen zu können. Wie ist beispielsweise damit umzugehen, wenn jemand am Abend sensible Unternehmensdaten im ERP-System aus dem öffentlichen WLAN in einem Café abruft? Ist es ein legitimer Zugriff eines Mitarbeitenden oder ein ausgeklügelter Cyber-Angriff durch Identitätsdiebstahl mit Schadenspotenzial in Millionenhöhe? 

In dieser Situation gibt es letztlich nur einen Weg, um eine hohe Sicherheit zu gewährleisten: Vertraue niemandem! Dies gilt sowohl für Nutzer als auch für Geräte. Denn auf dem Laptop oder Smartphone eines unbedarften Mitarbeitenden kann sich Malware befinden. Auch IoT-Geräte sind oft nur unzureichend abgesichert oder mit herkömmlichen Mitteln kaum zu schützen. Die konsequente Verfolgung des Zero-Trust-Leitbildes ist die Lösung. 

Dies gilt unabhängig davon, wo sich die zugreifende Person befindet oder ob das Zielsystem im Unternehmensrechenzentrum steht oder bereits in der Cloud ist. Dabei kommt das Prinzip „never trust, always verify“ in Kombination mit einem Least-Privilege-Access-Ansatz zur Anwendung. Durch Letzteren erhält jeder Nutzer und jedes Gerät nur die Zugriffsrechte, die für die jeweilige Rolle und Aufgabe nötig sind. 

Am Beispiel des abendlichen Zugriffs auf das ERP-System aus einem Café wird dies deutlich:

Bei Zero Trust handelt es sich um ein Leitbild, mit dem Unternehmen kontinuierlich ihre Sicherheit optimieren. Dazu gibt es verschiedene Ansätze, deren Anwendung vom Unternehmenskontext abhängig ist. Die Ansätze unterscheiden sich in Komplexität und Aufwand – der vergleichsweise simpelste Ansatz für die meisten Unternehmen ist die optimierte Identitätsgovernance. 

Doch wie führen Unternehmen Zero Trust am besten ein? Viele Remote-Work- und Cloud-Initiativen wurden durch die COVID-Krise beschleunigt eingeführt, die notwendigen Sicherheitsaspekte aber vernachlässigt. Um schnell Erfolge zu erzielen und die angehäufte Sicherheitsschuld zu reduzieren, liegt der Fokus im ersten Schritt auf dem digitalen Arbeitsplatz und dem identitätsbasierten Ansatz. Hier stellt Zero Trust die Integrität der Identitäten und Geräte sicher und folgt dem Least-Privilege-Access-Ansatz. Dazu zählen die Integration der Geräte ins IAM (Identity and Access Management) und die Einführung von Multi-Faktor-Authentifizierung, zumindest für Admin-Accounts. Dafür sind keine komplexen Umbauten im Netzwerk nötig. 

Parallel dazu sollte ein ganzheitlicher Zero-Trust-Ansatz implementiert werden. Dazu empfehlen sich folgende sechs Schritte: 

Cloud, Remote Work, IoT und weitere Trends machen die Burgmauer um das Unternehmensnetzwerk zum Schweizer Käse. Wer in der immer stärker vernetzten Welt vor ausgefeilteren IT-Angriffen umfassend geschützt sein will, muss jetzt handeln. Durch neue, kostengünstige Angebote sind die entsprechenden Massnahmen mittlerweile für alle Unternehmen finanziell erschwinglich. Doch das Konzept Zero Trust muss als eine Art Leitbild für die IT-Security in der IT-Strategie verankert, top-down vorangetrieben und mit Change Management begleitet werden.