Da gespeicherte Daten zu den kritischsten Vermögenswerten eines Unternehmens gehören, sollten Unternehmen erwägen, eine Zero-Trust-Architektur für ihre Speichersysteme und ihre gesamte technologische Infrastruktur zu implementieren.
Der Zero-Trust-Ansatz für die IT-Infrastruktur von Unternehmen setzt bei niemandem im Netzwerk Vertrauen oder gute Absichten voraus. Im Gegensatz zu früheren Technologieansätzen, die es Benutzern nach dem erstmaligen Zugriff erlauben, zwischen Anwendungen im Netzwerk zu wechseln, wird nicht davon ausgegangen, dass ein Benutzer vertrauenswürdig ist, nur weil er die erste Verifizierung bestanden hat. Der Ansatz ist jedoch keineswegs übermäßig misstrauisch, sondern verbessert die Zugriffskontrolle und Verantwortlichkeit im gesamten Team.
Zero Trust nutzt Technologien wie Mikrosegmentierung , um innerhalb der Infrastruktur eine feingranulare Kontrolle zu erreichen: Einzelne Anwendungen, einschließlich Speichersoftware, werden durch Barrieren voneinander getrennt. Eine solche Barriere kann traditionelle Sicherheitstechnologie wie eine Firewall oder fortschrittlichere Anforderungen wie Multi-Faktor-Authentifizierung (MFA).
Dieser Leitfaden zur Implementierung von Zero Trust in einer vollständigen Unternehmensspeicherinfrastruktur bietet Unternehmen, die ihre Daten und Zugriffskontrollen erfassen möchten, entsprechende Richtlinien:
So implementieren Sie einen Zero-Trust-Ansatz für die Datenspeicherung
Als zentrale Datenbestände innerhalb des Unternehmens erfordern Speichersysteme insbesondere einen umfassenden Schutz. Ein Zero-Trust-Ansatz für alle Speichersysteme hilft Ihrem Unternehmen, den Datenzugriff auf diejenigen zu beschränken, die ihn benötigen und dazu berechtigt sind. Zero Trust sorgt außerdem für mehr Verantwortlichkeit im Unternehmen: Alle Mitarbeiter müssen sich unabhängig von Rang oder Position authentifizieren. Wenn jemand auf ein System zugreift, für das er keine Berechtigung hat, führt das zu Fragen wie:
- Wie ist dieser Benutzer in das Netzwerk gelangt?
- Hat die Authentifizierungsanfrage ordnungsgemäß funktioniert? Falls nicht, warum?
- Wie kann unser Unternehmen sicherstellen, dass dieses System künftig geschützt ist?
Der Netzwerkzugriff nach dem Zero-Trust-Prinzip ist ein guter Ausgangspunkt für Speichersysteme in Unternehmen. Um in das Netzwerk zu gelangen, in dem sich die Speicherlösung befindet, sollten alle autorisierten Mitarbeiter mindestens ein Authentifizierungsverfahren vorweisen müssen. Anschließend sollten sie bei jeder neuen Anwendungssitzung im Netzwerk zur Eingabe ihrer Zugangsdaten aufgefordert werden.
Obwohl Zero Trust keine perfekte Sicherheitsmethode ist, eignet es sich zur Absicherung von Netzwerken und Systemen und zur kontinuierlichen Verbesserung der Verantwortlichkeit eines Unternehmens beim Anwendungszugriff. Wenn Ihr Unternehmen die Implementierung einer Zero-Trust-Architektur für seine Speichersysteme erwägt, sollten Sie am besten alle Speichersysteme eindeutig identifizieren, sämtliche Mitarbeiterzugriffe verwalten und das gesamte Unternehmen über Ihren Sicherheitsansatz informieren.
Alle gespeicherten Daten und sämtliche Zugriffspunkte identifizieren
Um eine auf Zero Trust basierende Infrastruktur zu entwickeln, sollte Ihr Speicherteam wissen, an welchen Orten Geschäftsdaten gespeichert sind und über welche Zugriffspunkte auf diese Daten zugegriffen werden kann. Zu den Speicherorten zählen Cloud-Speicher wie AWS oder Google Cloud, aber auch so einfache Lösungen wie ein Google Sheet oder eine Excel-Tabelle. Vergessen Sie keine wichtigen Daten, insbesondere wenn sie sensibel sind. Enthält dieses Google Sheet vertrauliche Vertriebsdaten, muss es ebenfalls geschützt werden.
Die Identifizierung von Zugriffspunkten kann etwas schwieriger sein. Speicherpersonal erhält nur über eine Anmeldung Zugriff auf Cloud-Speicher-Buckets, und auch eine Speichersoftwarelösung erfordert eine Anmeldung. Daten, die in unternehmensweit verteilten Tabellen, Dokumenten und Ordnern gespeichert sind, lassen sich jedoch schwieriger absichern. Wenn das Mitglied des Vertriebsteams, das das erwähnte Google Sheet ursprünglich erstellt hat, eine Freigabeberechtigung wie „Jeder, der Zugriff auf diesen Link hat, kann die Datei ansehen“ ausgewählt hat, kann jeder, der das Sheet in seinem Google Drive sehen kann, auch auf die Daten zugreifen. Jeder mit Bearbeitungsberechtigung könnte die Datei außerdem außerhalb des Unternehmens freigeben. In einer Zero-Trust-Architektur sollten Menschen ihr Zugriffsrecht überprüfen, statt blind als vertrauenswürdig zu gelten.
Die Identifizierung von Zugriffspunkten auf Daten ist schwierig, aber für Unternehmen, die eine echte Zero-Trust-Infrastruktur aufbauen möchten, gehört sie zu den wichtigsten ersten Schritten. Wenn Zugriffspunkte nicht ordnungsgemäß identifiziert werden, könnte ein unbefugter Benutzer oder sogar ein Angreifer eine Hintertür finden – oder die Tür weit geöffnet vorfinden –, um auf die Daten zuzugreifen.
Ihre Speichersysteme kennen
Ebenso sollte das gesamte Speicherpersonal mit jedem Speichersystem im Unternehmen bestens vertraut sein. Dazu gehören:
- Speicherhardware (All-Flash-Arrays, alte Bandsysteme, externe Offline-Laufwerke)
- Speichersoftware (Managementkonsolen für Hardware, softwaredefinierte Systeme, Cloud-Objektspeicher)
- Speichernetzwerke (NAS, SAN)
Neue und ältere Systeme gleichermaßen müssen erfasst werden. Wenn Speicherteams mit der Funktionsweise ihrer Systeme vertraut sind, wissen sie besser, wer unbedingt Zugriff benötigt und wie diese Systeme geschützt werden können.
Den Zugriff aller Mitarbeiter auf gespeicherte Daten nachverfolgen und verwalten
Wenn die übergeordnete Perspektive auf Zero Trust lautet: „Nichts vertrauen, alles überprüfen“, sollte an jedem Punkt, an dem Mitarbeiter auf gespeicherte Daten zugreifen können, eine Verifizierung erforderlich sein. Zu den Verifizierungsmethoden gehören ein einfacher Benutzername und ein Passwort, Zwei-Faktor-Authentifizierung (2FA) oder Single Sign-on (SSO). Passwortmanager sind ebenfalls hilfreiche Werkzeuge zur Verwaltung von Zugriffen: Sie verwenden Verschlüsselungsschlüssel, um Anmeldeinformationen zu schützen, einschließlich der Informationen über die Anbieter, die die Software entwickelt haben.
Alle Teams sollten diesen Zugriffsanforderungen unterliegen, einschließlich der Speicher-, IT-, Datenmanagement- und Data-Science-Teams. Niemand sollte davon ausgenommen sein, auch Führungskräfte nicht. Alle Benutzer sollten sich beim Zugriff auf eine Speicherlösung verifizieren müssen – sei es einfach über einen Passwortmanager oder durch die Vorlage biometrischer Daten.
Das Prinzip der geringsten Privilegien im gesamten Unternehmen umsetzen. Traditionell haben Unternehmen mehreren Mitarbeitern Zugriff auf Netzwerke, Anwendungen und Speichersysteme gewährt, selbst wenn sie diesen Zugriff für ihre Arbeit nicht unbedingt benötigten. Dieser Ansatz führt jedoch zu Verwirrung und erschwert auch die Einhaltung regulatorischer Standards wie der DSGVO, wenn das Unternehmen nicht weiß, wer auf gespeicherte Daten zugreift. Die Beschränkung des Speicherzugriffs auf Benutzer, die ihn für ihre Arbeit unbedingt benötigen, verringert das Risiko von Sicherheitsverletzungen und verbessert zugleich die Compliance-Position des Unternehmens.
Weitere Informationen zur Authentifizierung finden Sie bei Enterprise Networking Planet: Authentifizierung für die Netzwerksicherheit nutzen
Das gesamte Unternehmen informieren, insbesondere Speicher- und Sicherheitspersonal
Wenn die Umstellung auf Zero Trust im Unternehmen neu ist, sollten die federführenden Teams dafür sorgen, dass das gesamte Unternehmen über das Vorgehen informiert bleibt. Auch wenn andere Teams wie Marketing und Personalwesen niemals auf einen AWS-Bucket zugreifen oder eine Fortinet-Firewall konfigurieren werden, sollten sie zumindest über Zero Trust Bescheid wissen. Es ist sinnvoll, diese Informationen als Ausgangspunkt für unternehmensweite Schulungen zu nutzen. Je mehr der Rest des Unternehmens über Schwachstellen und darüber weiß, wie eine Zero-Trust-Architektur diese entschärft, desto besser können die übrigen Mitarbeiter die Arbeit der Speicher- und Sicherheitsteams unterstützen.
Eine Kultur der Transparenz in den Speicherteams etablieren
Auf den ersten Blick mag das widersprüchlich klingen: Transparenz? Ich dachte, wir sollten niemandem vertrauen. Auch wenn das Prinzip von Zero Trust tatsächlich darin besteht, keinem Benutzer zu vertrauen, bevor er sein Zugriffsrecht verifiziert hat, sollten sich Mitarbeiter dennoch daran gewöhnen, offen über Sicherheit, Phishing und Insider-Bedrohungen zu sprechen. Transparenz bedeutet etwas anderes, als Passwörter blind an alle Kollegen weiterzugeben. Transparenz zeigt sich beispielsweise in:
- Offenen Gesprächen mit dem Speicherpersonal, auch mit den jüngsten Mitgliedern, über neue Erwartungen
- Der ausführlichen Darstellung des gesamten Plans zur Implementierung von Zero Trust und ausreichend Zeit für Fragen der Mitarbeiter
- Der Schaffung eines Umfelds, in dem sich Menschen wohlfühlen und Fragen stellen wie: „Ich habe gesehen, dass Personen in meiner Abteilung dies tun. Ist das eine kluge oder sichere Idee?“
Transparenz führt zu mehr Sichtbarkeit. Sie zeigt Bereiche innerhalb der Speicher- und Sicherheitsteams auf, in denen noch Arbeit erforderlich ist, und kann Mitarbeiter sogar dazu befähigen, noch nicht abgesicherte Bereiche im Netzwerk aufzudecken. Wenn Transparenz anerkannt und gefördert wird, messen die Menschen ihr eher Priorität bei.
Die Architektur kontinuierlich überwachen und verbessern
Keine Sicherheitsinfrastruktur ist eine einmalige Angelegenheit: Sie muss kontinuierlich analysiert werden, damit ein Unternehmen weiß, ob sie tatsächlich funktioniert und in welchen Bereichen Verbesserungen erforderlich sind. Zero Trust als moderne Methode der Cybersicherheit muss insbesondere auf Erfolge und Misserfolge hin untersucht werden. In den frühen Phasen der Implementierung und Nutzung sollten Speicher- und Sicherheitsteams gemeinsam prüfen, ob die Authentifizierungsverfahren für Geräte, Netzwerke und Speichersysteme ein funktionierendes Zugangstor bilden.
Zero-Trust-Tools für Unternehmen
Wenn Ihr Unternehmen in einen hochwertigen Zero-Trust-Anbieter investieren kann, der die gesamte Infrastruktur abdeckt, sollten Sie diese langfristige Investition tätigen. Überprüfen Sie außerdem, ob der ausgewählte Anbieter tatsächlich Zero-Trust-Technologie einsetzt. Zero Trust ist ein beliebter Begriff, mit dem Sicherheitsanbieter gern um sich werfen. Das bedeutet jedoch nicht zwangsläufig, dass eine Lösung tatsächlich eine Zero-Trust-Architektur hervorbringt.
Die folgenden Sicherheitsanbieter genießen hohes Ansehen und bieten Lösungen zum Schutz des Zugriffs auf Unternehmenssysteme, in denen Daten gespeichert sind.
Palo Alto Networks bietet Zero-Trust-Lösungen, die sein Portfolio an Sicherheitsdiensten umfassen, darunter Identity and Access Management (IAM), Extended Detection and Response (XDR) sowie cloudbasierte Sicherheitsdienste.
Check Point Software Technologies bietet Infinity, eine Lösung, mit der Unternehmen Zero-Trust-Sicherheit implementieren können. Zu den Technologien gehören Richtlinien für den Zugriff nach dem Prinzip der geringsten Privilegien auf Sicherheits-Gateways sowie ZTNA als Service.
Für die Bereitstellung der Zero-Trust-Lösung von CrowdStrike ist nur ein Agent erforderlich. CrowdStrike Zero Trust schützt Identitätsspeicheranwendungen wie Microsoft Active Directory und unterstützt Unternehmen dabei, sowohl verwaltete als auch nicht verwaltete Endpunkte zu identifizieren.
Forcepoint Zero Trust bietet ZTNA, die Unterscheidung zwischen verwalteten und nicht verwalteten Geräten sowie Anwendungssegmentierung. Forcepoint ermöglicht es Unternehmen, die Datenübertragungsrechte von Benutzern dynamisch auf Grundlage ihres Verhaltens im Unternehmensnetzwerk einzuschränken.
Weitere Informationen zu Zero-Trust-Lösungen finden Sie in diesem umfassenden Leitfaden von eSecurity Planet.