Seien Sie vorsichtig, wenn Sie das Thema VPNs (virtuelle private Netzwerke) gegenüber Anton Chuvakin, dem Leiter der Strategie für Sicherheitslösungen bei „ “ bei Google Cloud, ansprechen. Er mag sie nicht besonders. „Sie gehen kaputt“, sagt er. „Sie gehen oft kaputt. „Und gerade in den schlimmsten Zeiten.“
Chuvakins Skepsis ist durchaus begründet. In den vergangenen zehn Monaten hat er ein ungeplantes Experiment in Echtzeit miterlebt. Ein Google-Mitarbeiter, der über einen Zero-Trust-Zugang auf die Arbeitsressourcen von Google zugegriffen hatte (was in den meisten Fällen die Authentifizierung jedes Geräts und jedes Nutzers erfordert, bevor der Netzwerkzugang gewährt wird), hatte keinerlei Verbindungsprobleme. Unterdessen hatte die Ehefrau des Mannes, die für den Zugriff auf ihre Arbeitsdaten ein VPN nutzte, mindestens einmal täglich mit Problemen bei der Netzwerkverbindung zu kämpfen. Die Frustration, wenn man versucht, auf diese Weise zu arbeiten, so Chuvakin, „ist Ihr Gehirn im VPN-Modus.“
Die Schwierigkeiten bei der Nutzung von VPNs und die Sicherheitsrisiken, die diese für die Mitarbeiter im Homeoffice mit sich bringen – VPNs sind hervorragend, wenn sie ordnungsgemäß gewartet und konfiguriert werden, bieten jedoch keinen Schutz vor Bedrohungen, die über das Heimnetzwerk eingeschleust werden – beschäftigen Chuvakin ebenso sehr wie die anderen Herausforderungen, denen die Unternehmens-IT im vergangenen Jahr gegenüberstand. Da sich die Mitarbeiter plötzlich außerhalb ihrer Firewalls befanden, bemühten sich die Sicherheitsteams, sie mit der Anti-Malware-Software und den Überwachungssystemen zu schützen, die zuvor das Büronetzwerk bereitgestellt hatte.
Da sich das Arbeiten im Homeoffice weltweit zunehmend als neue Normalität etabliert, müssen diese Teams nun sicherstellen, dass die Authentifizierung unternehmensweit fundiert, sicher und benutzerfreundlich ist. Viele müssen dies in komplexen Hybrid-Cloud-Umgebungen unter tun oder haben mit Altsystemen und veralteten Anwendungen zu kämpfen.
[Lesen Sie auch: Warum Komplexität nicht der Feind der Sicherheit ist]
Es ist Chuvakins Aufgabe, den dringenden Bedarf an sicherem Fernzugriff zu decken. Er bringt für diese Rolle einen beeindruckenden Werdegang mit. Er war nicht nur zuvor als Leiter der Sicherheitsstrategie bei Google Chronicle tätig, sondern auch als Forschungsvizepräsident und renommierter Analyst beim Marktforschungsunternehmen Gartner. Dort befasste er sich unter anderem mit den Bereichen Sicherheitsinformations- und Ereignismanagement, Protokollmanagement, Sicherheitsüberwachung, Sicherheitsoperationszentren, Sicherheitsanalytik sowie der Analyse des Verhaltens von Benutzern und Entitäten. Chuvakin, ein Physiker, hat sich zudem durch seinen Twitter-Account „ “ ( ) und seine Online-Beiträge unter „“ () eine beeindruckende Online-Fangemeinde aufgebaut.
Chuvakin sprach kürzlich mit Endpoint-, um die Sicherheitsherausforderungen zu erörtern, denen Unternehmen gegenüberstehen, wenn sie sich auf eine Zukunft mit Mitarbeitern einstellen, die auch weiterhin im Homeoffice arbeiten werden, sowie darüber, wie Sicherheitsteams auf das Zero-Trust-Modell setzen, um Mitarbeiter und Netzwerke zu schützen.
Inwiefern steht ein Zero-Trust-Sicherheitsmodell im Einklang mit den aktuellen Prioritäten des CISO?
Als Unternehmen im vergangenen Jahr auf Homeoffice umstellten, nutzten viele ihre VPN-Server, um den Fernzugriff zu ermöglichen. Es erwies sich jedoch als problematisch, als sie feststellen mussten, dass sie von 1 000 auf 50 000 Mitarbeiter im Homeoffice aufstocken mussten. Es war eine heikle Situation, denn sie mussten nicht nur für zusätzliche VPN-Zugänge aufkommen, sondern diese Systeme auch anders skalieren.
Das Ziel des „ “-Ansatzes im Rahmen des Zero-Trust- s besteht darin, Computernetzwerke vor böswilligen Angriffen zu schützen. Dies geschieht dadurch, dass jedes Gerät, das versucht, sich anzumelden, als potenzielle Bedrohung behandelt wird. „Zero Trust“ ist eine einfachere Lösung für das Problem des Fernzugriffs als VPNs.
Deshalb ist jetzt ein guter Zeitpunkt dafür. Wir leben in einer Zeit, in der ein effektiver, einfacher, sicherer, stabiler und auf dem Zero-Trust-Prinzip basierender Fernzugriff ein absolutes Muss ist. Das ist der Hauptgrund. Doch es gibt noch andere.
Was sind das?
Dazu gehört die Anzahl der Anwendungen und Dienste, auf die Unternehmen über Browser zugreifen – diese ist bereits relativ hoch und nimmt weiter zu. Früher nutzten Sie das VPN, wenn Sie direkten Netzwerkzugang benötigten, und sobald Sie einmal drin waren, waren Sie drin, und konnten auf viele Dinge zugreifen. Wir sind der Ansicht, dass es in der heutigen Welt der Browser-Apps und des Zugriffs über APIs [Application Programming Interface] für Sicherheitsteams wesentlich einfacher ist, einen sicheren Zugriff auf diese Anwendungen zu gewährleisten, und dass es für Mitarbeiter wesentlich einfacher ist, auf diese Anwendungen zuzugreifen.
[Lesen Sie auch: Experten geben Tipps für den Einstieg in Zero Trust]
Dies ist einer jener seltenen Fälle, in denen sich Einfachheit und Sicherheit in Einklang bringen lassen. Und das ist ein entscheidender Punkt. Ich weiß, das klingt wie die Propaganda eines Anbieters: „Oh, es ist sicher und einfach.“ Aber wir können es beweisen. Es ist sicherer, da Sie über detailliertere Zugriffskontrollen verfügen und den Benutzern keine pauschalen Berechtigungen erteilt werden. Es ist ganz einfach, da sich die Nutzer keine Gedanken darüber machen müssen, einen VPN-Client zu starten, digitale Zertifikate zu konfigurieren oder Ähnliches. Das ist alles bereits geregelt.
Inwiefern unterstützt Zero Trust Unternehmen bei der Verwaltung komplexer Hybridumgebungen?
„Hybrid Cloud“ bedeutet, dass sich bestimmte Anwendungen vor Ort, bestimmte Anwendungen in der privaten Cloud und bestimmte Anwendungen in mehreren Clouds befinden. Ich beziehe das Konzept der „Multicloud“ in die Hybrid-Cloud mit ein, auch wenn dies nicht immer den Erwartungen entspricht.
Dies ist Teil einer großen Herausforderung. Die heutige Unternehmens-IT besteht aus einer Anhäufung von Elementen aus früheren Jahren, auf die weitere Technologien aufgesetzt wurden. Kaum eine Technologie verschwindet jemals ganz. Denken Sie einmal darüber nach: Mainframes sind nicht verschwunden. Kunden sprechen mit uns über die Komplexität ihrer gesamten Umgebungen. Sie verfügen über Unix-Server, Windows-Server, Rechenzentren sowie Cloud-Lösungen von Amazon und Google. Sie möchten wissen, was sie tun müssen, um all dies besser zu bewältigen.
Zu meiner Zeit bei Gartner habe ich viele Kunden erlebt, die große Angst davor hatten, die Umgebungen zu verwalten und abzusichern, in denen ihre Systeme auf den Plattformen 1970s, 1980s, 1990s, 2000s, 2010s und mittlerweile auch 2020s betrieben wurden – von Mainframes bis hin zu Containern.
Für mich ist die Herausforderung der Hybrid-Cloud ein Teilbereich dieser umfassenderen Herausforderung.
Zero Trust und insbesondere unser Produkt „ “ BeyondCorp Enterprise erweisen sich in diesen Umgebungen als nützlich, da wir Anwendungen innerhalb der Google Cloud abdecken. Sowie in Cloud-Umgebungen im Allgemeinen und vor Ort. Mit BeyondCorp Enterprise können Sie entweder auf die Cloud umsteigen oder Hybridumgebungen nutzen. Das ist das Wichtigste.
Bei der Entwicklung von haben Sie gemeinsam mit Ihren Kunden daran gearbeitet, auf das Zero-Trust-Modell umzustellen. Welche Erkenntnisse haben Sie daraus gewonnen?
Unternehmen sagen oft zu uns: „Nun, Sie haben dieses großartige System, das gut funktioniert.“ Es ist butterweich. Es ist sicher. „Damit erhalten Sie alle Telemetriedaten, die Sie benötigen.“ Was dabei oft vergessen wird, ist, dass Google – mit einigen der besten Ingenieure der Welt – rund zehn Jahre gebraucht hat, um dieses butterweiche, äußerst sichere und äußerst benutzerfreundliche System zu entwickeln.
Kunden geben zudem an, dass Google nie mit umfangreichen Alttechnologien zu kämpfen hatte. Das ist richtig. Niemand bei Google besitzt einen Großrechner.
Sollten Sie jedoch ein Versicherungsunternehmen im Mittleren Westen sein, würden Sie über eine recht komplexe IT-Umgebung verfügen, die auch einige wirklich veraltete Technologien umfasst.
Die Frage lautet also: Kann ein Zero-Trust-Zugang dort funktionieren? Ich sage, dass es schwierig werden wird, doch die Motivation, dies zu tun, ist noch stärker, ja sogar noch wichtiger. Denn wenn sie dies nicht tun, wird die Pyramide der Komplexität sie unter sich begraben.
Welchen Rat geben Sie ihnen?
Das ist wirklich schwierig. Das ist ein immer wiederkehrendes Thema bei vielen Kunden, denen ich begegne. Letztendlich müssen sie jedoch auf dieses Modell umstellen. Sollten sie dies nicht tun, ist es sehr wahrscheinlich, dass alle IT-Ebenen mit all ihren individuellen Authentifizierungs- und Zugriffsmethoden bei ihnen zusammenbrechen würden.
Sie müssen diese risikoreichen Umgebungen auf moderne Weise absichern, und zwar mithilfe des Zero-Trust-Ansatzes. Es ist nicht praktikabel, hier ein VPN und dort ein anderes zu nutzen. Letztendlich würde Sie diese Komplexität umbringen.
