Zero Trust ist die am stärksten übervermarktete Idee der Security und eine der am seltensten tatsächlich umgesetzten. Ein Produkt mit „Zero Trust“ auf der Verpackung zu kaufen verschafft euch genauso wenig Zero Trust, wie der Kauf von Laufschuhen euch zum Läufer macht. Das Prinzip ist einfach; am Durchhalten scheitern die Organisationen.
Was Zero Trust wirklich bedeutet
Streicht man die Anbietersprache, ist Zero Trust ein Satz: Vertraue einer Anfrage niemals aufgrund ihrer Herkunft. Im Unternehmensnetz zu sein, auf einem Firmen-Laptop oder hinter dem VPN gewährt nichts. Jede Anfrage authentifiziert sich, jede Anfrage wird gegen Richtlinien autorisiert, und jede Anfrage wird protokolliert.
Wo Umsetzungen ins Stocken geraten
Die Technologie ist selten der Blocker. Der schwierige Teil sind Inventar und Identität.
- Ihr könnt keine Ressourcen schützen, die ihr nicht erfasst habt — und die meisten Unternehmen können nicht jeden Service auflisten, der ihre Daten hält.
- Maschine-zu-Maschine-Identität ist meist ein Durcheinander aus langlebigen Schlüsseln, die niemand rotieren will.
- Legacy-Anwendungen setzen ein vertrauenswürdiges Netz voraus und sträuben sich dagegen, hinter einen Policy Enforcement Point gestellt zu werden.
Zero Trust ist eine Migration, kein Einkauf. Die Teams, die Erfolg haben, wählen eine hochwertige Anwendung und beweisen das gesamte Muster durchgängig, bevor sie die nächste anfassen.
Ein pragmatischer Startpunkt
Wir raten Kunden, mit identitätsbewusstem Zugriff auf eine einzige sensible Anwendung zu beginnen: stellt sie hinter einen Proxy, der bei jeder Anfrage Nutzeridentität und Geräte-Zustand prüft, entfernt ihre Ausnahmen auf Netzwerkebene und beobachtet die Logs einen Monat lang. Diese eine Migration lehrt die Organisation mehr über ihre eigenen Abhängigkeiten als jedes Architekturdiagramm — und macht aus Zero Trust vom Slogan ein wiederholbares Playbook.