Als die Pandemie eintrat, war PPG Industries, ein 137 Jahre alter Hersteller von industriellen Beschichtungen und Farben, bereit, den Betrieb fortzusetzen. Ein Jahrzehnt zuvor, als der Gipfel G8 nach Pittsburgh kam, baten Stadtbeamte unter Angabe von Sicherheitsbedenken das Unternehmen, die 12 000 Mitarbeiter in seinem Büro in der Innenstadt von zu Hause aus arbeiten zu lassen.
„Wir waren wirklich nervös über unsere Fähigkeit, all die Menschen zu unterstützen, die nicht im Büro arbeiten konnten“, sagt Dan Connelly, die für die Remote-Zugriffsbemühungen des Unternehmens verantwortlich ist.
Das hat das Unternehmen zum Nachdenken gebracht: Was würde es tun, wenn ein anderes plötzliches Ereignis eine noch größere Umstellung auf WFH erzwingen würde? Infolge dieser Übung kaufte das Unternehmen siebenmal mehr Remote-Zugriffskapazität, als es damals benötigte. Und es hat seine Sicherheitspraktiken verschärft, um den Netzwerkzugriff auf Personen zu beschränken, die ihre Identität und den Zustand ihres Geräts jedes Mal nachweisen konnten, wenn sie sich anmeldeten.
Als COVID-19 auftrat, „lagen wir dem Spiel voraus und mussten nicht viele Hoops durchspringen“, sagt Connelly.
Jetzt nähert sich PPG diesem Take-no-Chances-Ansatz für Sicherheit. Das Modell, das als Zero Trust bekannt ist, entwickelt sich schnell als Best Practice für die Pandemie. Ziel ist es, Computernetzwerke vor böswilligem Eindringen zu schützen, indem jedes Gerät, das versucht, sich anzumelden, als potenzielle Bedrohung behandelt wird.
Da Millionen Remote-Mitarbeiter jeden Tag auf Unternehmensnetzwerke zugreifen – und IT-Teams von der Menge an Datenverkehr und unzähligen unbekannten Geräten überfordert sind – ist Zero Trust plötzlich ein dringendes C-Suite-Problem.
„In der heutigen WFH-Welt ist Zero Trust unerlässlich“, sagt John Pescatore, Director of Emerging Security Trends am SANS Institute. „Es ist wie in der Öffentlichkeit eine Maske zu tragen. Wenn Sie dies nicht tun, besteht das Risiko, dass Sie sterben oder jemand anderen sterben. Mehr denn je kann schlechte Sicherheitshygiene katastrophal sein.“
Viele Führungskräfte und IT-Teams haben diese Botschaft bereits erhalten. Laut einer September 2020 Deloitte-Umfrage beschleunigen etwa 37 % der Führungskräfte in Organisationen mit Zero-Trust-Sicherheitsinitiativen ihre Bemühungen. Zu den Gründen: 60 % der von Enterprise Management Associates (EMA) befragten gaben auch an, dass sie während der Pandemie eine Zunahme der Anzahl an Sicherheitsproblemen erlebt haben.
Heute ist die Möglichkeit, aus der Ferne zu arbeiten, kein seltenes Privileg mehr, das bestimmten Führungskräften und Außendienstmitarbeitern gewährt wird. Jetzt benötigt fast jeder Remote-Zugriff auf das Netzwerk, um zu arbeiten. Laut der EMA-Umfrage hat sich der Prozentsatz der Mitarbeiter, die sich hauptsächlich im Homeoffice anmelden, seit Beginn der Pandemie auf 62 % verdoppelt. Und zwei Drittel der befragten Unternehmen gaben an, dass sie mehr mitarbeitereigene Geräte in das Unternehmensnetzwerk zugelassen hatten.
Dieses wachsende Geräteuniversum gibt Angreifern potenziell gefährdetere Ziele. Seit Beginn der Pandemie meldeten 63 % der Cybersicherheitsexperten, die von der Enterprise Strategy Group befragt wurden , einen Anstieg der versuchten Cyberangriffe. Historisch gesehen sind mehr als 90 % aller Angriffe mit Phishing verbunden, bei dem Mitarbeiter auf eine kunstvoll geschriebene E-Mail klicken, die es dem Absender ermöglicht, Zugangsdaten oder schlimmeres zu stehlen. Aber die Arbeit von zu Hause aus mit Ehepartnern, Kindern und Haustieren, manchmal über unsichere WLAN-Netzwerke, verschlimmert das Problem. „Alle Arten von Dingen können passieren“, sagt Gus Hunt, ehemaliger CTO der Central Intelligence Agency, „einschließlich meines Kindes, das eine unsichere Anwendung auf meinen PC herunterlädt.“
Erstellen eines Zero-Trust-Modells
Selbst unter den besten Umständen ist der Aufbau einer Zero-Trust-Umgebung schwierig. Sie erfordert eine Vorausplanung aus einer breiten Gruppe von Personen. Dazu gehören Führungskräfte der obersten Ebene, die verstehen, was Mitarbeiter tolerieren werden, sowie Softwareentwickler, die wissen, wie sie Code schreiben, der diese Managereinblicke in narrensichere Prozesse automatisiert, um sicherzustellen, dass jeder die Sicherheitsregeln befolgt – ohne die Arbeit zu verlangsamen.
Um dies zu erreichen, erfordert Zero Trust auch, dass Unternehmen ein anderes Schlagwort genauso ernst nehmen: DevSecOps. Anstatt als eigenständige Teams mit ihren eigenen Traditionen und Praktiken zu arbeiten, müssen diese Entwickler kontinuierlich mit den IT-Mitarbeitern zusammenarbeiten, die das Netzwerk und die darauf ausgeführten Anwendungen betreiben, und den Sicherheitsexperten, die wissen, wie neue Bedrohungen erkannt und darauf reagiert werden können.
Während Zero-Trust-Sicherheit schwierig ist, ist das grundlegende Konzept, wie sie funktioniert, ziemlich einfach.
- Vertrauen Sie niemals, überprüfen Sie immer: Die IT muss mit allen Geschäftsbereichen zusammenarbeiten, um sicherzustellen, dass jeder Mitarbeiter und Auftragnehmer ordnungsgemäß bilanziert wird, einschließlich der Zugriffsebene, die er auf welche Teile des Unternehmens und welche Anwendungen haben sollte. Erst dann kann ihre Identität bei jeder Anmeldung authentifiziert werden. Ohne Authentifizierung erhält niemand Zugriff auf ein Zero-Trust-Netzwerk.
- Kennen Sie Ihre Geräte: Zero-Trust-Sicherheit bedeutet, nicht nur zu identifizieren, wer versucht, Zugriff zu erhalten, sondern auch über welches Gerät. Im Rahmen dieses Modells wird nur zuvor verifizierten Geräten Zugriff gewährt. Aber bevor das passiert, muss das System mehrere Dinge bestätigen: Ist das Gerät richtig konfiguriert? Handelt es sich um Firmen- oder Mitarbeitereigentum? Wenn es sich um Letztere handelt, verfügt sie über die richtige Partitionierungssoftware, um arbeitsbezogene Aktivitäten zu sichern und personenbezogene Daten privat zu halten? Werden Betriebssystem und Anwendungen aktualisiert? Haben sie alle neuesten Sicherheitspatches? Läuft es nicht genehmigte Anwendungen oder wurde es verwendet, um auf nicht autorisierte Websites zuzugreifen?
Überraschenderweise treffen nur wenige Unternehmen diese Vorkehrungen, insbesondere diejenigen, die nach dem Eintreten der Pandemie in Eile sind, WFH entgegenzukommen. Mehr als die Hälfte der Mitarbeiter nutzen jetzt ihre privaten Laptops und PCs für die Arbeit, aber nur 39 % haben Technologie von ihren Arbeitgebern erhalten, um sicherzustellen, dass sie ordnungsgemäß gesichert sind, so eine Studie von IBM zu Home-Arbeit.
„Sie müssen immer den Status jedes Geräts kennen, einschließlich dessen, was darauf heruntergeladen wurde und wer der Benutzer ist“, sagt Hunt. „Nur dann können Sie ein System erstellen, das gute, automatisierte Entscheidungen darüber treffen kann, wer was tun kann.“
- Maßnahmen ergreifen: Eine Zero-Trust-Architektur erkennt nicht nur potenzielle Bedrohungen. Sie kann darauf reagieren, indem sie beispielsweise ein automatisches Software-Update auslöst, einen Sicherheitsmitarbeiter über eine Malware informiert oder ein System unter Quarantäne stellt, um das Gerät von sensiblen Daten zu trennen.
Beginnen Sie mit guter Governance
Hunt sagt, die schwierigste Aufgabe bei der Implementierung eines Zero-Trust-Modells ist die Festlegung der Richtlinien darüber, wer wann und warum Zugriff erhält. Dieser erste Schritt, fügt er hinzu, ist derjenige, der am häufigsten falsch verwaltet wird. Das liegt daran, dass Unternehmen nicht genug Zeit benötigen, um zu verstehen, wie ihre Mitarbeiter Technologie nutzen. Wenn sich ein Benutzer beispielsweise von einem ungewöhnlichen Standort oder mit einem unbekannten Gerät anmeldet, bedeutet dies nicht, dass der Benutzer eine Bedrohung darstellt. Regeln sind nur erforderlich, um diesen Arbeiter aufzunehmen.
„Wenn es wirklich ungerade für Gus ist, sich an einem Sonntagmorgen von einem Starbucks anzumelden, sollte mich das System vielleicht einlassen, aber nur meine Zeitkarte ausfüllen und mir keinen Zugriff auf das HR-System oder andere sensible Daten gewähren“, sagt Hunt exemplarisch.
[Lesen Sie auch: Aufbau einer Zero-Trust-Zukunft]
Mit anderen Worten, der Kontext ist entscheidend. Wenn also ein Gerät einen Link zu einer unbekannten Website hat, der Benutzer aber als CEO des Unternehmens verifiziert wird, sollten Sie Regeln festlegen, die sie noch in das CRM-System einbinden. Unterdessen könnte ein Subunternehmer mit wenig Unternehmensgeschichte direkt in Quarantäne gehen.
Die Festlegung dieser detaillierten Richtlinien erfordert eine stärkere Zusammenarbeit, als Unternehmen erwarten. Normalerweise erstellen Unternehmen, um den Zero-Trust-Pfad zu starten, ein Data-Governance-Board, aber sie weisen zu oft die Personen nicht zu, die wissen, wie Mitarbeiter arbeiten. Das bedeutet, dass Sie neben IT- und Softwareentwicklungsleitern auch Line-of-Business-Führungskräfte einbeziehen müssen, die ihre Teams kennen.
„Dies ist der schwierigste Teil“, sagt Hunt. „Richtlinien und Governance-Probleme müssen weit im Voraus durchdacht werden. Sie können nicht einfach entscheiden, dass Sie null Vertrauen schaffen und es zusammenschlagen.“
Zero-Trust reibungslos machen
Obwohl sie seit Jahren an dem Problem gearbeitet haben, hat selbst Pittsburgh Plate Glass einen langen Weg vor sich, sagt Connelly von PPG. In gewisser Weise hat seine Abteilung den einfachen Weg gefunden, indem sie nur Laptops mit Unternehmensausgabe, die mit Sicherheitssoftware vorinstalliert sind, in das Unternehmensnetzwerk zugelassen hat. Das bedeutet, dass Mitarbeiter ihre eigenen PCs, Macs oder Smartphones nicht verwenden können.
Aber auf andere Weise war es nicht vorsichtig genug. Wenn PPG-Mitarbeiter beispielsweise das Netzwerk nutzen, haben sie die Möglichkeit, die meisten Anwendungen zu verwenden und die meisten Daten einzusehen. Ein perfektioniertes Zero-Trust-System würde nur Zugriff auf das bieten, wofür sie zugelassen sind.
Connelly sagt, dass Mitarbeiter in Zukunft erwarten werden, viele Geräteoptionen zu haben, und Unternehmen müssen eine feinere Kontrolle darüber behalten, wie, wann und wo sie verwendet werden.
„Wir glauben nicht, dass der Wunsch der Menschen, von zu Hause aus zu arbeiten, jemals nachlässt“, sagt Connelly, deren Unternehmen allmählich von seinen eigenen Rechenzentren auf cloudbasierte Infrastruktur und Dienste verlagert. „Wenn wir in die Cloud wechseln, wird Zero Trust für uns eine hohe Priorität sein“, sagt er.
Angesichts der zusätzlichen Komplexität der Sicherheit in einer WFH-Welt müssen Unternehmen besonders darauf achten, die Sicherheit und die Mitarbeitererfahrung in Einklang zu bringen. Stört die IT die Arbeitsweise von Mitarbeitern, indem sie zu viele Hindernisse schafft? Genauso wie ein Gast nicht jedes Mal, wenn er die Tür betritt, in ein Restaurant gehen möchte, das sie auf COVID-19 getestet hat, möchten die Arbeiter nicht zu viele Login-Probleme durchmachen oder zu lange auf Statusprüfungen warten, bevor sie Arbeiten erledigen können.
Wenn der tägliche Sicherheitsaufwand, sich einfach anzumelden, zu belastend wird, riskieren Unternehmen, den Mitarbeitern einen Grund zu geben, über das Springen des Schiffes nachzudenken – oder schlimmer noch, sie nach Abkürzungen zu suchen, die Schwachstellen wieder öffnen. „Wenn Menschen frustriert werden, suchen sie nach Workarounds“, sagt Hunt.
Dennoch können Unternehmen und Arbeiter kein Zero-Trust mehr auf permanente Wartestellung setzen. „Sie können nicht nur hoffen, dass Ihnen Verstöße nicht passieren werden. Das ist keine Möglichkeit zu leben“, sagt Pescatore, Analyst des SANS Institute. „Zero Trust kann Angriffe verhindern, die Ihr gesamtes Unternehmen verunsichern können. Sie kann nicht mehr als optional angesehen werden.“
