Wo ist Großbritannien in einer Zero-Trust-Welt?
Die Executive Order von Präsident Biden hat die Türen zu Zero Trust geöffnet, aber wird Boris Johnson diesem Beispiel folgen? Tony Scott, Vorstandsmitglied, Farbtoken, ehemaliger Bundes-CIO der Obama-Regierung, bietet seinen Einblick.
Ob Sie ein Unternehmen oder eine Einzelperson sind, Sie sind ein Ziel. Für wen? Nun, es ist schwierig, die weitgehend maskierten Gesichter zu benennen, aber die Bruderschaft der Cyberkriminellen, die weltweit rund um die Uhr operiert, kümmert sich nicht wirklich um ihre Opfer. Sicher, ein großer Ransomware-Angriff auf ein großes Unternehmen kann einen ordentlichen Gewinn bringen, aber das können auch unzählige kleinere Ransomware-Angriffe auf die breite Öffentlichkeit. Es scheint kein Tag zu vergehen, ohne dass eine weitere Schlagzeile Cybersicherheitsversagen anerkennt.
Cyberkriminelle hatten ihren Spaß an verschiedenen GDPR-Verstößen, wobei einige atemberaubende Bußgelder gegen die betreffenden Organisationen verhängt wurden, und haben kürzlich begonnen, alle Arten von Superstar-Zielen anzugreifen – den NHS, Microsoft, LinkedIn usw. Marriott Hotels und sogar Garmin. Und all diese Vorfälle dienen dazu, die (weitgehend) ineffektiven Cyber-Abwehr- und Reaktionslösungen zu veranschaulichen, die von diesen Organisationen eingesetzt werden. Beispielsweise zielte der weithin gemeldete Solar Winds-Hack Ende 2020 auf das Heimatschutzministerium, das Finanzministerium und sehr prominente Opfer ab. Dieser spezielle Hack verdeutlichte den im Allgemeinen vergeblichen Ansatz einer reaktiven Reaktion, anstatt proaktiv zu sein und anzunehmen, dass bereits ein Verstoß stattfindet. Sich auf den Rücken zu klopfen, weil man es geschafft hat, das Scheunentor zu verriegeln, lange nachdem das Pferd weggelaufen ist, reicht hier nicht ganz aus.
Und allzu oft wird mit dem Finger auf die Mitarbeiter gezeigt: Ihnen wird mangelnde Sicherheitshygiene vorgeworfen; sie sind Saugnäpfe für einen zwielichtigen Phishing-Link; sie nutzen Arbeitsgeräte für private Aufgaben; usw. Und ja, all diese Dinge mögen etwas Wahres an sich haben, aber in Wirklichkeit sollten wir das Unternehmen dafür verantwortlich machen. Ihre IT-Netzwerke sind darauf ausgelegt, Informationen auf eine Weise auszutauschen und zu nutzen, die Cyberkriminellen tatsächlich eine massive Angriffsfläche bietet, die sich lateral über solche Netzwerke ausbreiten und nach allem suchen können, was für sie von Interesse ist. Um Öl ins Feuer zu gießen, geben Sie COVID-19 ein. Mit einer fast über Nacht erfolgten Umstellung auf Remote-Arbeit (oder Hybridmodelle) setzte die Pandemie die ohnehin schon gestressten IT-Abteilungen unter enormen Druck, die digitale Transformation zu beschleunigen. Diese IT-Infrastrukturen wurden nicht für eine weitgehend remote arbeitende Belegschaft entwickelt. Cyberkriminelle rieben sich jedoch vor Freude die Hände: perfekte Bedingungen und größere Möglichkeiten für ihre schändlichen Aktivitäten.
Wenn Cyberdiebe unbemerkt ihren (schlechten) Geschäften nachgehen können, indem sie vertrauenswürdige Prozesse ausnutzen, dann sind diese Systeme nicht für ihren Zweck geeignet. Es ist an der Zeit, die Torpfosten zu verschieben und niemandem zu vertrauen. Eingeben Zero Trust.
Das Zero-Trust-Konzept
Die Umstellung auf Remote-Arbeit bedeutet, dass Mitarbeiter häufig Zugriff auf Daten benötigen, die sich in den Rechenzentren Ihres Unternehmens befinden. Um diesen Zugang zu erleichtern, nutzen Unternehmen regelmäßig virtuelle private Netzwerke (VPNs). Die Verwendung eines VPN öffnet Ihre Infrastruktur jedoch für Netzwerke und Geräte, die Sie letztendlich nicht kontrollieren können. Sie müssen wissen, wer sich mit Ihren Apps verbindet und welche Art von Gerät sie verwenden. und damit verbundene Zugangsvoraussetzungen. Das ist das zugrunde liegende Konzept hinter Zero Trust Network Access (ZTNA): die Bereitstellung einer ununterbrochenen Verbindung zu Ihren Apps ohne jegliches Risiko für Ihre Daten. Durch die Verwendung von ZTNA kann eine Organisation Apps effektiv außerhalb des öffentlichen Internets verbergen, wobei nur autorisierten Benutzern Zugriff gewährt wird. Bei Zero Trust lautet das entscheidende Mantra, niemandem von Anfang an zu vertrauen: Jeder ist eine potenzielle Bedrohung.
Biden kauft sich ein
Nach dem Debakel von Solar Winds wurde weithin berichtet, dass die US-Regierung erwäge, ihren Cybersicherheitsansatz neu zu organisieren, indem sie das Cyber Command von der National Security Agency unabhängig mache. So war es nicht verwunderlich, dass US-Präsident Joe Biden mit einem seine volle Unterstützung für den Zero-Trust-Ansatz aussprach Executive Order das darauf abzielt, die Cybersicherheit des Landes zu verbessern, mit besonderem Schwerpunkt auf der Zero-Trust-Architektur. Die Zero-Trust-Sicherheitsarchitektur bietet die effektivste und praktischste Lösung für die anhaltende Eskalation von Cyberbedrohungen. Durch kontinuierliche Überwachung und Kontrollen wird die IT-Infrastruktur immer mehr zu einer Festung – es ist schwierig, hineinzukommen, und noch schwieriger, unentdeckt zu bleiben.
WEITERLESEN:
- 7 starke Authentifizierungspraktiken für Zero Trust
- 17 IT-Führungskräfte darüber, warum Ihr Unternehmen Zero Trust braucht, mit Tipps zur Implementierung
- Zahlen Sie kein Lösegeld: Zero Trust Data Management von Rubrik
- Zero-Trust-Architektur ist nicht nur „nice to have“
Was ist mit Großbritannien?
Unabhängig von Bidens Executive Order wird Zero Trust bereits zum De-facto-Ansatz für Organisationen auf der ganzen Welt. Also, was ist mit Großbritannien? Nun, derzeit gibt es keine Billigung der Zero-Trust-Technologie von 10 Downing Street. War es ein Gesprächsthema während Boris Johnsons letztes Treffen von Angesicht zu Angesicht mit dem US-Präsidenten? Wer weiß, aber es wäre schön zu glauben, dass es angesichts der Störungen und des Chaos, die ein größerer Cyberangriff für Einzelpersonen, Unternehmen und sogar die Regierung verursachen kann – und ja, dazu gehören Sie, Herr Premierminister. Wir können nur hoffen, dass die bekannte Nachahmertaktik, die Großbritannien nach den US-Stempeln anwendet, auch für Zero Trust gilt.
Die Zero-Trust-Sicherheit denkt das Schlimmste und geht davon aus, dass Netzwerke nicht sicher sind, sofern nicht das Gegenteil bewiesen wird. Die britische Regierung muss ihr Engagement für Cybersicherheit demonstrieren, indem sie Unternehmen empfiehlt, den Zero-Trust-Ansatz zu übernehmen.
Folge uns auf LinkedIn und Twitter
