Cyber-Security in der „neuen Realität: Mit Zero Trust & Zero Touch zu „Zero Risk“

Die COVID-19-Pandemie hat die Arbeitsrealität für viele Angestellte grundlegend verändert. Nun stellt sich die Frage, ob diese „neue Realität“ Tür und Tor für eine neue Art von Bedrohungsszenario öffnet. Denn bei einer aktuellen Umfrage von AT&T gaben 55 Prozent von insgesamt 3.000 in Deutschland und Großbritannien befragten Angestellten an, während der Remote Arbeit Opfer von Cyberkriminellen geworden zu sein. Dazu gehörten auch Beschäftigte, die ihre Firmengeräte für private Zwecke nutzen. Damit zeigt sich, was viele Entwickler von Sicherheitslösungen und IT-Sicherheitsbeauftragte in Unternehmen bisher nicht bedacht haben: Mehr noch als die Endpunkte, sind die Mitarbeiter, die sich auf die Endpunkttechnologie ihrer Arbeitgeber verlassen, durch Cyber-Attacken gefährdet. Vor dem Hintergrund, dass die Zahl der Cyber-Angriffe weiter zunehmen wird, stellt diese Endpunkt-Problematik ein immenses Risiko für Unternehmen dar. Um diesem erfolgreich zu begegnen, müssen neben den für Remote Arbeit genutzten Computern weitere Endpunkte in den Fokus rücken. Wertvolle Dienste dabei leistet das Zero Trust & Zero Touch Prinzip, indem es eine von Künstlicher Intelligenz (KI) gestützte Sicherheitsarchitektur erschafft.

Endpunkt-Problematik: Wie sich in der AT&T-Studie zeigte, verbinden 35 Prozent der Befragten ihre Arbeitsgeräte, beispielsweise ihr Smartphone oder Laptop, mit Smart-Home-Geräten. Zu den beliebtesten vernetzten Heimgeräten gehören Sprachassistenten und intelligente Lautsprecher (jeweils 14 Prozent), Fitnessmonitore (13 Prozent), intelligente Beleuchtung und intelligente Küchengeräte (jeweils 12 Prozent). Mehr als ein Viertel der Befragten aus Deutschland nutzt das Firmengerät zudem, um persönliche E-Mails abzurufen und zu beantworten. Auch dieses Verhalten erhöht das Risiko eines Angriffs. Ein weiteres durchaus erschreckendes Ergebnis der Studie ist, dass jeder fünfte Beschäftigte (20 Prozent) angab, dass er nicht motiviert werden könne, sich um Cyber-Security-Risiken zu kümmern.

Kein Unternehmen kann diese 20 Prozent seiner Angestellten ignorieren, und gleichzeitig erwarten, dass Cyber-Angriffe keine immense Bedrohung darstellen. Doch wie lässt sich dieser Herausforderung mit dem Zero Trust & Zero Touch Prinzip begegnen? Wie kann ein Unternehmen damit seine Technologie, seine Mitarbeiter und die Endgeräte an mitunter weltweit verteilten Standorten ohne aktive Zusammenarbeit erfolgreich vor Cyber-Bedrohungen schützen?

Sicherheit mit Doppel-Null-Prinzip

Angestellte können bei der Arbeit im Homeoffice zweifach gegen Angriffe von Cyber-Kriminellen geschützt werden. Zum einen, indem bei jedem Zugriff auf Unternehmensressourcen der Zero-Trust-Ansatz greift. Zum anderen, indem Sicherheits-Lösungen zum Einsatz kommen, die die Bedrohungsrisiken an den Endgeräten der Mitarbeiter kontinuierlich bewerten, und dabei unsichtbar bleiben.

Diese Zero Trust genannte, nicht-intrusive Form personalisierter Cyber-Sicherheit für Beschäftigte in Unternehmensnetzwerken wird durch die jüngsten Fortschritte auf dem Gebiet der künstlichen Intelligenz erst möglich. Die Idee dahinter ist einfach: Zero Trust ist, wie der englische Name schon sagt, ein Sicherheitsmodell, bei dem jeder Standort und jedes von externen Mitarbeitern verwendete Gerät zunächst standardmäßig mit dem Vertrauenswert Null eingestuft wird. Alles, was mit Unternehmensressourcen interagieren möchte, muss zunächst ein gewisses Maß an Vertrauen aufbauen. Wenn Interaktionen, zum Beispiel nicht-intrusive, aber gängige Maßnahmen wie die Zwei-Faktor-Authentifizierung zwischen der Unternehmensinfrastruktur und einem anderen Akteur stattfinden, kann der Vertrauenswert steigen oder fallen. Die Vertrauensbewertung und der Umfang des Zugriffs, der einem Akteur gewährt wird, ändern sich in Echtzeit.

Mitarbeiter kontinuierlich und sicher produktiv

Zero Trust löst das Sicherheitsproblem bei der Anbindung von privaten Anwendungen an Arbeitsplatzgeräte. Doch die durch die menschliche Natur bedingten Schwachstellen müssen auch abgedeckt werden. Wie kann man eine sichere Umgebung schaffen, wenn Mitarbeiter der Produktivität Vorrang vor Cyber-Sicherheit geben und zudem 20 Prozent der Beschäftigten zusätzliche Sicherheitsmaßnahmen gleichgültig sind? Die Antwort: Mit der Implementierung des Zero Touch-Ansatzes. Wie der Name schon sagt, zielt Zero Touch darauf ab, den Anwendern einen sofortigen Zugriff ohne Zwischenschritte auf ihre Arbeitsmittel zu ermöglichen. Mitarbeiter, die ihre Aufgaben erledigen können, ohne, dass sie Time-Outs erleben, Passwörter eingeben, spezielle Berechtigungen anfordern oder sich mehrfach authentifizieren müssen, neigen weniger dazu, Abkürzungen oder Workarounds zu suchen. Gibt es keine zusätzlichen Sicherheitsaufgaben für den Benutzer, spielt es keine Rolle, ob sie von 20 Prozent der Mitarbeiter ignoriert werden.

Der Zero Touch-Ansatz geht Hand in Hand mit Zero Trust. Benutzer etablieren vertrauenswürdige Routinen und Interaktionen mit der Arbeitsplatzinfrastruktur. Vertrauliche Aufgaben können sie ohne Unterbrechung durch sicherheitsrelevante Anwendungen durchführen. Falls eine ungewöhnliche Aktivität auftritt, muss das Vertrauen in das System durch eine minimal eingreifende Überprüfung gewonnen oder wiederhergestellt werden. Das Ergebnis: Die Unternehmensinfrastruktur ist kontinuierlich gesichert, während die Mitarbeiter kontinuierlich weiterarbeiten können.

Ganzheitliche Lösungen gefragt

Dadurch, dass viele Mitarbeiter im Homeoffice arbeiten, ist das Cyber-Security-Risiko stärker gestiegen, als die Experten vorhergesehen haben. Die Zahlen aus der AT&T-Studie sollten daher ein Weckruf für jeden Cyber-Security-Spezialisten sein. CISOs und Sicherheitsanalysten sollten über traditionelle Endpoint Detection and Response-Lösungen hinausblicken und anfangen, in Begriffen der erweiterten Erkennung und Reaktion (XDR) zu denken. Während die Sicherung von Endpunkten für den Schutz der Umgebung entscheidend ist, erfordert der heutige Arbeitsplatz ganzheitliche Lösungen. Diese umfassen auch Netzwerktelemetrie, Verhaltensanalyse und kontinuierliche Authentifizierung.

Autor: Ulf Baltin, Managing Director DACH bei BlackBerry