Umsetzung des Reifegradmodells der US-Regierung für die Zero-Trust-Transformation

Das US-amerikanische Heimatschutzministerium und die Cybersecurity and Infrastructure Security Agency (CISA) haben kürzlich ein Reifegradmodell veröffentlicht, das verschiedene Komponenten und Funktionen definiert, die Behörden mithilfe von Tools und Prozessen einführen sollten, um die in der Executive Order 14028 („Improving the Nation's Cybersecurity“) festgelegten Anforderungen für Zero Trust zu erfüllen. Im Januar 2022 stellte das United States Office of Management and Budget (OMB) die Federal Zero Trust Strategy vor, um Regierungsbehörden bei der Entwicklung einer entsprechenden Strategie zu unterstützen. Diese kann durch die Weiterentwicklung bestehender Cybersicherheitssysteme realisiert werden und umfasst darüber hinaus weitere Maßnahmen, die Regierungsbehörden ergreifen können, um ein verlässliches Zero-Trust-Sicherheitsmodell aufzubauen.

Diese Leitlinien und dieses Modell verdeutlichen, dass es sich bei Zero Trust nicht um ein einzelnes Produkt handelt, sondern um eine Reihe von Konzepten und Prinzipien, die darauf ausgerichtet sind, den unbefugten Zugriff auf Daten und Services zu unterbinden und die Durchsetzung der Zugriffskontrolle so granular wie möglich zu gestalten. Dieser Ansatz unterscheidet sich deutlich von den perimeterbasierten Verteidigungsmaßnahmen, die in der Regel in den Netzwerken der Behörden zum Einsatz kommen. Die Umstellung auf Zero Trust stellt eine große Herausforderung dar, die jedoch bewältigt werden muss, um Daten, Systeme und somit auch die Bürger und Interessen der USA zu schützen.  

Die Herausforderung verstehen

Im Rahmen eines Zero-Trust-Konzepts steigen Organisationen von einem standortbezogenen Modell auf einen datenorientierten Ansatz um, der den verteilten, hybriden Belegschaften von heute gerecht wird. Der Übergang zu einer Zero-Trust-Architektur (ZTA) stellt dabei nicht nur eine technische Herausforderung dar, sondern bringt auch einen kulturellen Wandel im Bereich der Cybersicherheit mit sich. 

Legacy-Systeme beruhen auf „implizitem Vertrauen“, einem Konzept, das dem Grundprinzip der adaptiven Vertrauensprüfung in einer ZTA zuwiderläuft. Daher müssen bestehende Infrastrukturen, die auf implizitem Vertrauen basieren, entweder neu aufgebaut oder ersetzt werden. 

Die Herausforderung meistern

Die Umstellung auf Zero Trust wird einige Zeit in Anspruch nehmen, aber mit den richtigen Tools kann dieser Prozess beschleunigt werden. Wir bei Zscaler sind stolz darauf, eine Reihe von Produkten anbieten zu können, deren zugrunde liegende Sicherheitsarchitektur auf Zero Trust basiert. In dieser Blogreihe werden wir alle Anforderungen der CISA genauer beleuchten und erläutern, wie Zscaler Behörden bei der Migration ihrer Architekturen zu einem Zero-Trust-Ansatz unterstützen kann. 

Wie die CISA in ihrem Modell darlegt, kann jede Komponente in ihrem eigenen Tempo entwickelt werden und darf dabei einen höheren Reifegrad aufweisen als andere. Zu einem bestimmten Zeitpunkt müssen die Komponenten jedoch aufeinander abgestimmt werden, um Interoperabilität zu gewährleisten, Abhängigkeiten zu erkennen und letztlich Kompatibilität sicherzustellen. Auf diese Weise können Organisationen einen Zero-Trust-Ansatz Schritt für Schritt einführen, wobei Kosten und Arbeitsaufwand über einen längeren Zeitraum verteilt werden. 

Wir werden einen Beitrag zu jeder Komponente veröffentlichen und erklären, wie Sie die folgenden Aspekte mithilfe des Modells optimal ausbauen:

• Identität: Einführung identitätsbasierter minimaler Zugriffsrechte
• Daten: Umstellung auf einen „datenorientierten“ Ansatz für die Cybersicherheit, beginnend mit der Identifizierung, Kategorisierung und Inventarisierung von Datenbeständen 
• Geräte und Endgeräte: Gewährleistung der Integrität der für den Zugriff auf Daten und Services verwendeten Geräte
• Netzwerk und Umgebung: Anpassung der Netzwerksegmentierung und -schutzmaßnahmen an die Anforderungen des Anwendungsworkflows anstelle des impliziten Vertrauens, das der herkömmlichen Netzwerksegmentierung zugrunde liegt
• Anwendungen und Workloads: Verstärkte Integration von Schutzmaßnahmen in Anwendungsworkflows, wobei der Zugriff auf Anwendungen auf Grundlage von Identität, Geräte-Compliance und anderen Kriterien erfolgt
• Transparenz und Analysefunktionen: Möglichkeit, Daten zu Transaktionen zu erfassen und in übersichtlichen Dashboards und Berichten darzustellen
• Automatisierung und Orchestrierung: Implementierung von API-basierten Lösungen, mit denen sich Richtlinien dynamisch anpassen und durchsetzen lassen

Lesen Sie auch gerne unsere folgenden Beiträge zu dem Thema, um mehr über die genannten Aspekte zu erfahren, den aktuellen Status Ihrer Organisation zu analysieren und herauszufinden, wie Zscaler Sie bei der Umstellung auf die gewünschte Zero-Trust-Architektur unterstützen kann.