3 Erkenntnisse zu Zero Trust aus der Executive Order 14028

Im Mai 2021 erließ die Biden-Administration die Executive Order (EO) 14028, in der die Bundesbehörden mit der Aufgabe betraut wurden, die Cybersicherheit zu verbessern, und insbesondere Zero-Trust-Sicherheitspraktiken empfahl.  

Die EO folgte auf die COVID-19-Pandemie, die die digitale Transformation für viele Organisationen im öffentlichen und privaten Sektor beschleunigte. Fast über Nacht stellten Unternehmen auf Remote-Arbeit um, und die Cloud-Migration wurde zu einer unmittelbareren Anforderung.

Darüber hinaus wirkten sich mehrere hochkarätige Cyberangriffe erheblich auf die Lieferketten aus, darunter SolarWinds, Colonial Pipeline und JBS Meat Processing. 

Jetzt, ein Jahr nach EO 14028, ist es möglich, zurückzublicken und zu sehen, welche Fortschritte bei der Implementierung von Zero Trust in allen Bundesbehörden erzielt wurden.  

Gary Barlet, Federal Field CTO von Illumio, diskutierte gemeinsam mit Nicolas M. Chaillan, ehemaliger CISO der U.S. Air Force und Space Force, in einem Webinar, das vom Institute of Critical Infrastructure Technology (ICIT) organisiert wurde, über die Auswirkungen von EO 14028.  

Sehen Sie sich das Webinar hier an:

Lesen Sie weiter, um drei wichtige Erkenntnisse aus ihrer Diskussion zu erfahren.

EO 14028 trug zur Verbesserung der Zero-Trust-Implementierung bei 

Sowohl Barlet als auch Chaillan sind sich einig, dass es seit der Durchführungsverordnung vom vergangenen Mai Fortschritte in Richtung Zero Trust gegeben hat. Die Anordnung hat den Sicherheitsteams von Bundesbehörden – und privaten Organisationen – geholfen, die Gespräche fortzusetzen und Finanzmittel für Zero-Trust-Initiativen zu erhalten.  

Wie Barlet und Chaillan sagten: "Eine Executive Order schadet nie." 

Am wichtigsten ist, dass Sicherheitsteams jetzt über staatlich gesicherte Nachweise für Zero-Trust-Sicherheitsstrategien verfügen.  

"Für diejenigen, die versuchen, Zero Trust zu implementieren, ist es viel hilfreicher, etwas zu haben, auf das sie verweisen und das sie als Referenz verwenden können", sagte Barlet.  

Und für viele Behörden begannen die Diskussionen über Zero Trust mit der Executive Order. Laut Challain hat es dazu beigetragen, die Meinung der Menschen über Zero Trust zu ändern und den Konsens weg von traditionellen Cybersicherheitsmodellen hin zu modernen Best Practices zu bewegen. 

Dies folgt auf den wachsenden Erfolg von Zero Trust im privaten Sektor in den letzten Jahren – und zeigt, wie weit die Bundesregierung und das Militär bei der Cybersicherheit hinterherhinken. 

"Die nächsten Jahre werden eine interessante Zeit mit weiteren Zero-Trust-Erfolgen sein. Es ist ein Mentalitätswandel, der notwendig ist, um in Zukunft erfolgreich zu sein", erklärte Barlet.  

Bundesbehörden nutzen Zero Trust, um die Auswirkungen unvermeidlicher Sicherheitsverletzungen zu minimieren

Über eine Durchführungsverordnung hinaus bietet Zero Trust echte Vorteile für den Schutz von Unternehmen vor den ausgeklügelten Cyberbedrohungen von heute.

Ältere Sicherheitstools haben sich auf den Perimeter konzentriert, aber die verteilte, hypervernetzte Natur moderner Netzwerke bedeutet, dass der Perimeter nicht mehr so existiert wie früher. Dies macht Netzwerke anfällig für Angriffe. 

"Geschichte für Geschichte, Jahr für Jahr hören wir, wie Menschen all dieses Geld ausgeben, um eine Sicherheitsverletzung zu verhindern , aber es gibt keine Diskussion darüber, was nach einer Sicherheitsverletzung passiert", sagte Barlet.  

Eine Zero-Trust-Strategie geht davon aus, dass es zu Sicherheitsverletzungen kommen wird , und bietet Möglichkeiten, die Auswirkungen eines Angriffs zu mildern, sobald er auftritt.  

Sowohl Barlet als auch Challain sind sich jedoch einig, dass es einige Verwirrung darüber gab, was Zero Trust in der Praxis bedeutet – und wie es sich in bestehende Sicherheitsarchitekturen einfügt.  

"Zero Trust scheint zu implizieren, dass man nicht versuchen wird, Sicherheitsverletzungen zu verhindern – und das ist nicht der Fall", erklärt Barlet. "Wir werden nicht aufgeben, einen Verstoß zu verhindern, aber lassen Sie uns auch für den einen Fehler oder die Schwachstelle planen, die es einem Verstoß ermöglicht, einzudringen, und wie wir einen katastrophalen Angriff verhindern können."  

Insgesamt empfahlen Barlet und Challain den Behörden, Einblick in die Netzwerkabläufe zu erhalten, unnötige Kommunikation zu unterbinden und Zero-Trust-Segmentierung, auch bekannt als Mikrosegmentierung, zu implementieren, um die Ausbreitung einer Sicherheitsverletzung zu begrenzen.  

Zero-Trust-Segmentierung für Bundesbehörden: Fangen Sie einfach irgendwo an 

Obwohl die Idee, das Netzwerk zu segmentieren, schon seit Jahren existiert, diskutierten Barlet und Challain darüber, wie die heutigen weitläufigen Netzwerke traditionelle Segmentierungsmethoden mit IP-Adressen oder VLANs nahezu unmöglich machen. Beide plädieren dafür, die Segmentierung in einem viel kleineren Maßstab zu gestalten.  

Barlet sagte insbesondere, dass Netzwerke eine Zero-Trust-Segmentierung benötigen, um sich vor der ständig wachsenden Anzahl von Benutzern, Anwendungen und Umgebungen zu schützen, die Angreifern Schwachstellen eröffnen.  

Trotz des dringenden Bedarfs an Zero-Trust-Segmentierung stellten Barlet und Challain fest, dass viele Behörden mit dem Prozess überfordert sind.  

"Sie müssen wissen, wer wo und wann auf was zugreift. Dann müssen Sie wissen, welche dieser Kommunikationsflüsse unnötig sind und blockiert werden können. Wenn man all diese Fragen als Ganzes betrachtet, ist das sehr entmutigend", sagte Barlet. 

Es ist nicht erforderlich, ein komplettes Zero-Trust-Segmentierungsprojekt auf einmal abzuschließen. Barlet und Challain empfehlen einen inkrementellen Ansatz , um hohe Kosten, Verwirrung und potenzielle administrative Aufblähungen zu vermeiden. 

"Versuchen Sie nicht, alles auf einmal zu machen. Fangen Sie einfach irgendwo an", sagte Barlet.  

Durch die Eingrenzung des Umfangs eines Zero-Trust-Segmentierungsprojekts zu Beginn waren sich Barlet und Challain einig, dass Agenturen: 

• Vermeiden Sie es, von den Details überwältigt zu werden. 
• Verbessern Sie sofort ihre Cybersicherheitslage . 
• Erhalten Sie die Möglichkeit, die Wirksamkeit von Zero Trust für zukünftige Initiativen unter Beweis zu stellen. 

"Der einzige Weg, um auf Ihrem Weg zu Zero Trust etwas zu erreichen, besteht darin, anzufangen. Erfolg führt zum Erfolg", sagte Barlet. 

Erfahren Sie mehr über Illumio und Zero Trust Segmentierung:  

• Erfahren Sie mehr darüber, wie Regierungsorganisationen die Ausbreitung von Sicherheitsverletzungen mit Illumio stoppen können.
• Laden Sie die Forrester Wave-Berichte herunter, in denen Illumio sowohl in den Bereichen Zero Trust als auch Mikrosegmentierung als führend eingestuft wird.   
• Nehmen Sie am Zero Trust Impact Assessment von ESG teil , um zu erfahren, wie Sie mehr aus Ihrer Zero-Trust-Strategie herausholen können. 
• Kontaktieren Sie uns noch heute, um eine Beratung und Demonstration zu vereinbaren.