Von Ravit Greitser
Am 12. Mai unterzeichnete die Biden-Administration eine Durchführungsverordnung, die einen völlig neuen Ansatz für die Cybersicherheit vorstellte. Zum ersten Mal wurde Zero Trust als eine Sicherheitsanforderung genannt, die alle Bundesbehörden übernehmen und einhalten müssen.
Hier sind einige der Highlights, die Zero Trust und Segmentierungsanbieter betreffen:
Cybersicherheit ist eine der wichtigsten nationalen Prioritäten der US-Regierung.
Gleich zu Beginn wird der Ton angegeben: „Es ist die Politik meiner Regierung, dass die Prävention, Erkennung, Bewertung und Behebung von Cyber-Vorfällen oberste Priorität hat und für die nationale und wirtschaftliche Sicherheit unerlässlich ist.“
Modern werden und Zero Trust einführen
„Um mit der heutigen dynamischen und immer ausgefeilteren Cyber-Bedrohungslage Schritt zu halten, muss die Bundesregierung entscheidende Schritte unternehmen, um ihren Ansatz zur Cybersicherheit zu modernisieren…. Die Bundesregierung muss Sicherheits-Best-Practices übernehmen, sich in Richtung Zero-Trust-Architektur bewegen und den Übergang zu sicheren Cloud-Diensten beschleunigen … und sowohl in Technologie als auch in Personal investieren, um diese Modernisierungsziele zu erreichen.“
Danach heißt es weiter, dass die Leiter jeder Bundesbehörde innerhalb von 60 Tagen einen Plan zur Implementierung einer Zero-Trust-Architektur innerhalb ihrer Organisation entwickeln müssen.
Ordnung bezieht sich sowohl auf IT als auch auf OT
„Der Umfang des Schutzes und der Sicherheit muss sowohl Systeme umfassen, die Daten verarbeiten (Informationstechnologie (IT)), als auch solche, die die lebenswichtige Maschinerie betreiben, die unsere Sicherheit gewährleistet (Betriebstechnologie (OT)).“
Von der Erkennung und Vorbeugung zur Bekämpfung von Sicherheitsverletzungen
Zero Trust ist ein völlig anderer Ausgangspunkt als traditionelle Netzwerksicherheitsmodelle. „Das Sicherheitsmodell der Zero Trust Architecture geht davon aus, dass ein Verstoß unvermeidlich ist oder wahrscheinlich bereits stattgefunden hat, daher beschränkt es den Zugriff ständig auf das Notwendige und sucht nach anomalen oder bösartigen Aktivitäten.“
Vorbei sind die Zeiten, in denen man sich auf herkömmliche, perimeterbasierte Firewalls verlassen musste, um Einbrüche zu verhindern. Die Notwendigkeit, die zunehmende Komplexität von Workloads zu bewältigen, die sich über Rechenzentrums- und Cloud-Umgebungen bewegen, hat in Verbindung mit massiven Ransomware-Angriffen die Unzulänglichkeit herkömmlicher Sicherheitsmodelle offengelegt.
Die Cloud ist die Plattform der Wahl und muss ebenfalls auf Zero Trust basieren
Die Notwendigkeit des Umstiegs auf die Cloud wird in der gesamten Durchführungsverordnung erwähnt, hier ein Beispiel: „Die CISA soll ihre aktuellen Cybersicherheitsprogramme, -dienste und -fähigkeiten modernisieren, um mit Cloud-Computing-Umgebungen und der Zero Trust Architecture voll funktionsfähig zu sein“.
Die Cloud-Migration sollte auf Zero-Trust-Prinzipien basieren, um eine nahtlose Migration von Workloads zwischen Plattformen und einen Benutzerzugriff mit geringsten Rechten zu ermöglichen.
Kritische Software, wie die Software-Lieferkette, muss Segmentierung und Zero Trust übernehmen.
Die Leiter der Agenturen müssen innerhalb der nächsten 60 Tage Least-Privilege-Praktiken, Netzwerksegmentierung und eine ordnungsgemäße Konfiguration implementieren.
Angriffe von „pandemischem“ Ausmaß wie SolarWinds, Microsoft Exchange und zuletzt Colonial Pipeline sind möglicherweise nicht mehr so leicht zu starten, sobald der „Least Privilege“-Ansatz angewendet wird.
Neues Gremium zur Untersuchung von „großen“ Vorfällen
Das Department of Homeland Security wurde angewiesen, ein Cyber Security Review Board einzurichten, das „signifikante Cyber-Vorfälle“ untersuchen und darüber berichten soll.
Das bedeutet, dass vielleicht das nächste Mal, wenn ein Unternehmen ein Lösegeld zahlt, wie z. B. die 5-Millionen-Dollar-Zahlung von Colonial Pipeline an die DarkSide-Hackergruppe, die Zahlungen öffentlich gemacht werden, wodurch die Öffentlichkeit besser über das Ausmaß des Ransomware-Problems informiert wird.
Benötigen Sie Hilfe bei Zero Trust?
Wir praktizieren diese Prinzipien seit Jahren und helfen Unternehmen jeder Größe dabei, ihre geschäftskritischen Anwendungen zu schützen und auf Basis der Zero-Trust-Segmentierung in die Cloud zu migrieren. Kontaktieren Sie uns!
Sie möchten nach ☁ migrieren? Adoptieren Sie Zero Trust auf die richtige Weise mit Centra