Operationalisierung von Zero Trust – Schritte 2 und 3: Bestimmen Sie, auf welche Zero-Trust-Säule Sie sich konzentrieren möchten, und legen Sie die genaue Kontrolle fest

Diese Blogreihe erweitert die Ideen aus meinem März-Beitrag „ Zero Trust ist nicht schwer … wenn man pragmatisch ist“.

In diesem Beitrag habe ich sechs Schritte skizziert, um Zero Trust zu erreichen. Im Folgenden werde ich mich eingehender mit zwei der sechs Schritte befassen, die skizziert wurden, um einen soliden Rahmen zu schaffen, der von Mikrosegmentierungspraktikern in großen und kleinen Organisationen genutzt werden kann, um ihre Projekte erfolgreicher zu gestalten. Bevor ich beginne, hier eine visuelle Darstellung der einzelnen Schritte:

Schritt 2: Bestimmen Sie, auf welche Zero-Trust-Säule Sie sich konzentrieren möchten

Im ersten Teil dieser Serie habe ich mich mit dem Thema „Identifizierung der zu schützenden Daten“ befasst und empfohlen, dass es für das Erreichen Ihres langfristigen Ziels – der unternehmensweiten Einführung von Zero Trust – ratsam ist, klein anzufangen und nach Kandidatenanwendungen zu suchen, die idealerweise mindestens 2 der 3 unten aufgeführten Kriterien erfüllen:

• Haben Sie einen starken Antrieb für die Einführung von Zero-Trust-Sicherheitsprinzipien – z. B. eine Compliance- oder regulatorische Anforderung, ein Audit-Ergebnis, das behoben werden muss, oder eine Reaktion auf eine Sicherheitsverletzung.
• Werden als kritische Anwendungen markiert.
• Seien Sie bereit, Versuchskaninchen zu sein.

Angenommen, ich habe in meinem Unternehmen recherchiert und eine Anwendung gefunden, die PCI-Daten verarbeitet und daher den PCI-DSS-Anforderungen entsprechen muss. Es gibt darüber hinaus einen Prüfbericht zum Thema „übermäßiger Netzwerkzugriff“, es ist als kritische Komponente in meinem Kundenzahlungssystem gekennzeichnet, und nach langem Zureden hat das Anwendungsteam zugestimmt, mit mir bei der Einführung eines Zero-Trust-Frameworks zusammenzuarbeiten, um ihre Anwendung angemessen zu sichern. Wenn ich kurz meine Liste der Auswahlkriterien überfliege, sehe ich, dass meine ausgewählte Bewerbung alle drei Anforderungen erfüllt.

Jetzt gehe ich dazu über, zu bestimmen, auf welche Zero-Trust-Säule ich mich in dieser Iteration konzentrieren soll – hier sind die Säulen:

Genauso wie Sie bei der Identifizierung der zu schützenden Anwendungen in dieser Phase einen sehr fokussierten Ansatz verfolgen sollten, sollten Sie eine ähnliche Haltung einnehmen, wenn Sie bestimmen, wie Sie Zero Trust selbst angehen. Der Versuch, jede einzelne Säule in einem Zyklus anzugehen, wäre ehrgeizig und unrealistisch – da Sie wahrscheinlich eine Vielzahl von Kontrollen und Technologien implementieren müssten, was das empfohlene Ziel, relativ schnelle und messbare Fortschritte zu erzielen, behindern würde.

Forrester bietet ein Zero Trust Maturity Model Assessment Tool an, um Praktikern dabei zu helfen, Lücken bei der Einführung von Zero Trust in ihrer Organisation zu identifizieren. Mithilfe dieser Ergebnisse können die spezifischen Säulen von Zero Trust ermittelt werden, auf die man sich konzentrieren sollte. Nehmen wir an, Sie haben diese Bewertung für meine ausgewählte Anwendung durchgeführt und dabei erhebliche Lücken im Schutz der Workloads, auf denen die Anwendung läuft, festgestellt – insbesondere wird hervorgehoben, dass diese von meinem gesamten Netzwerk aus leicht zugänglich sind. Dies würde Sie dazu veranlassen, sich in dieser speziellen Iteration auf den Schutz der Workloads zu konzentrieren, auf denen Ihre Anwendung läuft, und Ihnen so eine hervorragende Transparenz in diesem Bereich zu ermöglichen.

Schritt 3: Festlegen des genauen Steuerelements

Der Workload-Schutz umfasst viele Sicherheitsfunktionen, einschließlich, aber nicht beschränkt auf die effektive Sicherung und das Patchen des Betriebssystems und aller installierten Anwendungen, hostbasierte Bedrohungsschutzkontrollen wie Antivirus, EDR, Überwachung der Dateiintegrität, hostbasierte Firewalls usw.

Schritt 2 der Zero Trust Maturity Assessment hat übermäßigen Netzwerkzugriff auf die Anwendungsworkloads als die größte Lücke in Zero Trust identifiziert. Daher empfehle ich, sich auf hostbasierte Firewalls oder allgemeiner auf Mikrosegmentierung zu konzentrieren, um Ihre Anwendung auf ihrem Weg zu Zero Trust einen Schritt weiter voranzubringen.

Aus meiner eigenen Erfahrung als Praktiker vor meinem Eintritt bei Illumio weiß ich, dass man für die effektive Implementierung von Mikrosegmentierung eine ausgezeichnete Transparenz über die Upstream- und Downstream-Abhängigkeiten der Anwendung benötigt, damit man über die richtigen Informationen verfügt, um die Least-Privilege-basierten, Whitelist-basierten Zero-Trust-Richtlinien zu erstellen und zu validieren, die die Workloads schützen.

Wenn Sie sich also auf den Schutz der Arbeitslast und die damit verbundene Transparenz und Analytik konzentrieren und klargestellt haben, dass Sie in dieser Phase nurMikrosegmentierungskontrollen aufbauen wollen, sind Sie nun bereit, die Eingangsdaten zu identifizieren, die erforderlich sind, um diese Vision zu verwirklichen. Und genau darauf werde ich mich in der nächsten Ausgabe dieser Serie konzentrieren.

Du kannst es kaum erwarten, meinen nächsten Beitrag zu lesen, um mehr zu erfahren? Besuchen Sie unsere Seite darüber, wie Sie Ihre Zero-Trust-Strategie mit Mikrosegmentierung operationalisieren können, um einen Einblick zu erhalten.