Was ist Zero Trust / Was ist Zero Trust nicht?

Nach einer kleinen Zeitreise in die Vergangenheit möchten wir erklären was Zero Trust ist und was Zero Trust nicht ist.

Was ist Zero Trust eigentlich?

Zero Trust ist ein Sicherheitskonzept oder ein strategisches Leitprinzip. Das Konzept basiert auf dem Grundsatz, dass keinem Gerät, Benutzer oder Prozess ohne Authentifizierung vertraut werden soll. Gemäss dem Motto «Never Trust, Always Verify» erfordert jede Abfrage im System eine neue Verifizierung. Nach erfolgreicher Verifizierung, wird ein policy basierter, granularer und zeitlich begrenzter Zugang zum Netzwerk, System oder der Datenablage gewährt.

Zero Trust gibt Antworten auf neue technologische Herausforderungen. Das Prinzip adressiert das ortsunabhängige Arbeiten, wie auch das Arbeiten von Zuhause und gibt den IT-Abteilungen das Framework für den Aufbau einer hybriden Infrastruktur. Ob hybride Infrastruktur oder Cloud-Only betriebene Infrastruktur, es macht keinen Unterschied, wo sich die Ressourcen befinden. Das Sicherheitskonzept ist für alle Einsatzgebiete passend. Das traditionelle und auf dem Perimeter basierende Konzept (z.B. mittels DMZ und Unternehmens-Firewall) der Sicherheitsverwaltung wird mit dem Aufbau einer temporären Vertrauensstellung zwischen einzelnen Ressourcen und Identitäten für jede Verbindungsanfrage abgelöst.

Das Vertrauensstellung muss kontinuierlich aufgebaut werden. Am Anfang besteht diese nicht, das heisst Zero Trust. Sobald die Vertrauensstellung vorhanden ist, wird der Zugriff gewährt, aber dieser erfolgt ausschliesslich auf die für den Benutzer berechtigen Applikationen, nie auf das ganze Netz. Die anderen Anwendungen und Ressourcen sind zu diesem Zeitpunkt für diese Verbindung nicht sichtbar.

Die Basis einer solchen Strategie können bereits bestehende Sicherheitskomponenten bilden. Diese werden ausgebaut und vernetzt, mit dem Ziel, dass jede Anfrage einzeln ausgewertet werden kann. Dazu muss neu eine Entscheidungsinstanz mit einem Regelwerk geschaffen werden, welche die verschiedenen Parameter auswertete, eine kontextbasierte Entscheidung für die Vertrauensstellung fällt und den Verbindungsaufbau zulässt.

Falls die Vernetzung bestehender Komponenten zu komplex wird, kann auch auf neue, Cloud-basierende Lösungen zurückgegriffen werden, welche sowohl die Netzwerkebene also auch die Sicherheitsebene steuern und eine Entscheidungsinstanz liefern. Hier kommt der neue Begriff «SASE – Secure Access Service Edge» ins Spiel, auf welchen wir später noch genauer eingehen werden.

Was Zero Trust nicht ist

Zero Trust kann man nicht kaufen, es ist kein fertiges Produkt und kein in den Stein gemeisselte Lösung. Ebenso kann Zero Trust nicht einfach implementiert und abgeschlossen werden. Mittlerweile gibt es eine Vielzahl von Anbietern, welche mit dem Begriff Zero Trust werben und damit einzelne Sicherheitskomponenten mit einem Bezug zu Zero Trust anbieten. Aber erst der gesamtheitliche Ansatz mit der Auswertung einzelner Parameter und einer kontextbasierten Entscheidung ermöglichen einen «vollwertigen» Zero Trust-Ansatz, welcher einen Sicherheitsgewinn bietet.

Zero Trust ist eine lange Reise, auf welcher die Einstellungen bezüglich Sicherheit auf organisatorischer, strategischer und technischer Ebene angepackt werden müssen. Im grösseren Sinne ist ein «Culture Change» nötig, bei welchem bei allen beteiligten Personen dasselbe IT-Verständnis bzw. Sicherheitsverständnis aufgebaut werden muss. Aus diesem Grund gibt es auch nicht nur ein Konzept, dass man aus einer Schublade ziehen kann. Das Sicherheitskonzept muss individuell auf die Bedürfnisse und Anforderungen der Unternehmung angepasst werden.