-
Sicherheitskonzept Minimum Viable Zero Trust in 90 Tagen einführen
- Zero Trust als Kontrollsystem statt als Produkt
- Sicherheitsmaßnahmen: Übersichtlichkeit im Fokus
- Umgang mit Bots und anderen Auffälligkeiten
- 90 Tage Umsetzung: Ergebnisse und Nachweise
- Fazit
Die Einführung von Zero Trust in Unternehmen oder Organisationen wird in der Praxis häufig als Großprojekt begonnen – und später als Großprojekt beendet. Die Ursachen liegen meist in einem zu breit gewählten Anwendungsbereich (Scope), in Abhängigkeiten zwischen Teams und Systemen sowie in der Erwartung, dass sich Zero Trust wie ein Produkt einführen lässt.
In vielen Organisationen und Unternehmen aus dem deutschsprachigen Raum kommt dazu, dass die typische Ausgangslage aus historisch gewachsenen Identitätslandschaften besteht (oft Active Directory plus mehrere Identity Provider und mehrere Cloud-Tenants), dass außerdem Schatten-IT durch SaaS, uneinheitliche Adminpfade und Legacy-Authentifizierung existieren und die Engineering-Kapazitäten begrenzt sind. Genau hier ist ein Minimalansatz sinnvoll. Minimum Viable Zero Trust (MVZT) beschränkt den Geltungsbereich bewusst so, dass innerhalb von 90 Tagen Risiken messbar reduziert werden, ohne Buzzword-Architektur und ohne Vendor-Vorgaben.
- Zero Trust ist kein Produkt, sondern ein Konzept, das darauf basiert, grundsätzlich erst einmal keinem Netzwerkzugriff zu vertrauen. Folgerichtig wird es so umgesetzt, dass jeder Zugriff auf jedes Gerät kontrolliert und nur unter festgelegten Bedingungen gestattet wird.
- Minimum Viable Zero Trust bedeutet nicht, dass jede Anwendung Zero-Trust-konform sein muss. Das Konzept setzt dort an, wo das Schadenspotenzial am größten ist: beim Adminpfad und den privilegierten Identitäten.
- In einem Zeitrahmen von 90 Tagen lassen sich fünf Kernmaßnahmen umsetzen, die ein Grundgerüst von Zero Trust etablieren, das Risiken messbar reduziert und bei Bedarf die Basis für einen Ausbau des Konzepts und weitere Verfeinerungen bildet.
Marcel Küppers verfügt über mehr als zwanzig Jahre Erfahrung in der Cybersicherheit und war als CISO, Ethical Hacker etc. tätig. Heute ist er Unternehmer, Berater und Gründer von Cycademy und gibt sein Fachwissen weiter.
MVZT versteht Zero Trust nicht als Aktion, bei der ein Netzwerk umgerüstet wird, sondern als Kontrollsystem. Entscheidend ist nicht, ob ein VPN ersetzt oder ein Gateway modernisiert wird, sondern ob sich kontrollieren lässt, wer auf welche Ressource zugreift, von welchem Gerät, unter welchen Bedingungen – und ob sich eine Sitzung schnell beenden lässt, wenn diese Bedingungen verletzt werden. Ein Zero-Trust-Programm gewinnt dann an Bodenhaftung, wenn Identität, Gerätezustand, Policy und Telemetrie ein zusammenhängendes System bilden.
Das war die Leseprobe unseres heise-Plus-Artikels "Sicherheitskonzept Minimum Viable Zero Trust in 90 Tagen einführen". Mit einem heise-Plus-Abo können Sie den ganzen Artikel lesen.
English (US) ·