4 Wege, wie Cybersicherheitsexperten von Behörden die Missionssicherheit mit Zero Trust gewährleisten

Für Sicherheitsteams auf Bundesebene ist die Missionssicherung von entscheidender Bedeutung. Anwendungen müssen jederzeit verfügbar sein, um den Erfolg der Mission zu gewährleisten.  

Der beste Weg, um Ausfallsicherheit zu erreichen, sind die Zero-Trust-Prinzipien. Basierend auf der Denkweise, dass Sicherheitsverletzungen unvermeidlich sind, und dem Mantra "Niemals vertrauen, immer überprüfen", kann Zero Trust Regierungsbehörden dabei helfen, die Missionssicherung in ihre Sicherheitsstrategie zu integrieren.  

Um Zero-Trust-Strategien und Best Practices für die Missionssicherung auszutauschen, setzten sich die Cybersicherheitsexperten Gary Barlet, Federal CTO bei Illumio und ehemaliger CIO beim Office of the Inspector General des U.S. Postal Service, Mark Stanley, Enterprise Cybersecurity Architecture bei der NASA, und David Bottom, CIO der Securities and Exchange Commission, zu einem Webinar mit dem Federal News Network zusammen.

Sehen Sie sich das vollständige Webinar hier an.

Lesen Sie weiter, um eine Zusammenfassung der Diskussion und die wichtigsten Empfehlungen für die Implementierung von Zero Trust in Ihrer Behörde zu erhalten.  

Warum müssen Bundesbehörden Zero Trust für die Missionssicherung einführen?

Eine Zero-Trust-Sicherheitsstrategie hilft Behörden, die Frage zu beantworten: Wie können wir erfolgreich sein, wenn etwas schief geht?

"Wenn alle Systeme normal funktionieren, ist das großartig", erklärte Barlet. "Aber was ist, wenn Dinge angegriffen werden?"

Zero Trust geht davon aus, dass es nur eine Frage der Zeit ist, bis es zu einer Sicherheitsverletzung kommt. Diese Denkweise schafft Sicherheit, die Teams nicht nur dabei hilft, einen Angriff zu erkennen und zu stoppen, sondern auch die Systeme am Laufen zu halten, sei es intern oder für die Öffentlichkeit.  

Barlet weist darauf hin, dass "die NASA nicht einfach mitten in einem Start abschalten kann", und das können auch fast alle anderen Agenturen nicht. Wenn Systeme aufgrund eines Angreiferangriffs abgeschaltet werden, kann das Leben von Mitarbeitern und Bürgern in Gefahr geraten und die Behörden verlieren das Vertrauen der Stakeholder.

Die Diskussionsteilnehmer waren sich einig, dass ein Set-and-Forget-Ansatz für die Cybersicherheit nicht ausreicht, um die Funktionsfähigkeit der Systeme stabil zu halten.

"Die Missionssicherung ist keine statische Übung", sagte Bottom. "Die Erwartungen und Anforderungen ändern sich ständig. Sie müssen in die Planung einbezogen werden, die wir durchführen."  

Nach Ansicht der Diskussionsteilnehmer muss ein Teil dieser Planung eine Zero-Trust-Infrastruktur beinhalten, die die Fähigkeit der Angreifer einschränkt, sich seitlich durch das Netzwerk zu bewegen. Dies trägt dazu bei, den Explosionsradius – oder die Auswirkungen – eines Angriffs auf das System zu begrenzen und die Ausfallsicherheit während eines aktiven Angriffs aufrechtzuerhalten.  

"Eine der wichtigsten Stärken von Zero Trust ist die Möglichkeit, den Explosionsradius zu begrenzen", erklärt Stanley. "Wenn jemand, der versucht, einen Malware-Angriff auszuführen, in der Lage ist, mein Konto zu kompromittieren, kann er in einem Zero-Trust-Szenario mit den geringsten Rechten nur gegen die Dinge vorgehen, auf die ich Zugriff habe, und nicht mehr." Zero Trust, fügte er hinzu, "eliminiert die seitliche Bewegung im Netzwerk".

Wie Barlet erklärte, ist diese Arbeit nicht etwas, das jemals endet oder vollständig erreicht wird. Zero-Trust-Sicherheit ist ein fortlaufender Prozess.

"Es wird nie ein Ende der Zero-Trust-Reise geben", sagte Barlet. "Die Bedrohungen, denen man ausgesetzt ist, nehmen kein Ende. Die Reise von Zero Trust wird also nie enden."

4 Voraussetzungen für den Aufbau von Mission Assurance mit Zero Trust

Laut den Diskussionsteilnehmern sind dies ihre vier wichtigsten Empfehlungen für Behörden, die Zero Trust implementieren:

1. Verschaffen Sie sich End-to-End-Transparenz

Entscheidend für diese nie endende Reise: "Eine gute, starke Transparenz im gesamten Unternehmen zu haben", so Barlet. Das Wort Unternehmen ist entscheidend. Es bedeutet Transparenz nicht nur für Infrastrukturelemente, wo Behörden traditionell Perimeterschutzmaßnahmen installiert haben. Die Transparenz erstreckt sich auf Anwendungen, Daten und die Art und Weise, wie sie miteinander interagieren.

"Anwendungen haben eine innere Konnektivität, für die Behörden oft blind sind", sagte Barlet. Um die von der CISA genannten fünf Säulen von Zero Trust zu sichern, müssen die Behörden "zunächst verstehen, was in ihrem Unternehmen vor sich geht und wie die Dinge tatsächlich miteinander verbunden sind".

"Man braucht einen objektiven Blick nicht darauf, was die Leute denken, was vor sich geht, sondern darauf, was tatsächlich vor sich geht", sagte Barlet. "Man muss in Echtzeit sehen, diese Verbindungen und den fließenden Verkehr." Er fügte hinzu, wenn Illumio einem Kunden diese Abhängigkeiten und Zusammenhänge zeigt, "sind sie in der Regel so unterschiedlich, dass sie einen Herzinfarkt bekommen, um ehrlich zu sein."

2. Bauen Sie eine flexible, anpassungsfähige Architektur auf

Die heutigen Netzwerke verändern sich ständig. Sicherheitsteams können sich nicht mehr auf das traditionelle Modell statischer Netzwerke verlassen, die sich nur langsam ändern.  

"Jedes Zero-Trust-Modell oder jede Zero-Trust-Architektur muss in der Lage sein, sich an all diese schnellen Veränderungen anzupassen", sagte Barlet.

Wenn Behörden virtuelle Maschinen erstellen und entfernen oder Einstellungen neu konfigurieren, muss die Cybersicherheit diesen Änderungen konsequent folgen.  

3. Setzen Sie Zero Trust in allen Umgebungen ein, einschließlich Endpunkten, OT und IoT

Alle drei Experten waren sich einig, dass Zero Trust sich auf Benutzergeräte erstrecken muss, nicht nur auf Benutzer, sowie auf OT und IoT, die mit dem Netzwerk interagieren.

Laut Stanley überwacht sein Team ständig die Geräteaktivität der NASA-Systeme. Sie suchen nach Anomalien, die das Konfidenzniveau bei einem bestimmten Zugriffsversuch ändern können.

"Das Schöne an Zero Trust ist, dass es die Aktivitäten überwacht und die Bewertungen in Echtzeit anpasst", sagte Stanely.  

Dadurch wird sichergestellt, dass alle Probleme schnell erkannt, priorisiert und vom Sicherheitsteam der NASA behoben werden, um sicherzustellen, dass die Mission fortgesetzt werden kann.

4. Integrieren Sie Zero-Trust-Sicherheit in Entwicklungsprozesse

Barlet empfahl, dass Zero-Trust-Prinzipien in DevSecOps-Prozessen in die Entwicklung neuer Anwendungen einfließen sollten. Entwickler verwenden Open-Source-Code, und die Cybersicherheit muss Zero Trust integrieren, um diese Anwendungen zu schützen.  

"Die Realität in der heutigen Codeentwicklung ist, dass niemand mehr jede einzelne Codezeile selbst schreibt. Sie laden Module herunter und verwenden Open-Source-Code", erklärte Barlet. "All diese Softwareteile haben Abhängigkeiten und Verbindungen, die die Behörde kennen und in das Zero-Trust-System integrieren muss."

Behörden können diese Abhängigkeiten erkennen, indem sie Einblick in die Netzwerkkommunikationsflüsse erhalten. Dann können sie Sicherheitsrichtlinien festlegen, die sicherstellen, dass alle Schwachstellen geschlossen werden und nur der Zugriff erlaubt ist, der erforderlich ist.

Kontaktieren Sie uns noch heute , um zu erfahren, wie Illumio Ihre Behörde absichern kann.