John Kindervag darüber, was Sicherheitsverantwortliche in Bezug auf Zero Trust noch vermissen

John Kindervag hatte nicht vor, eine Bewegung zu schaffen. Er dachte nur, die Firewall sei dumm.

Damals wiesen die Firewalls, mit denen er arbeitete, jeder Schnittstelle Vertrauensstufen zu. Wenn Sie von der "vertrauenswürdigen" Seite des Netzwerks zur "nicht vertrauenswürdigen" Seite wechselten, brauchten Sie nicht einmal eine Regel.  

John, damals Penetrationstester, wusste genau, wie gefährlich das war. Und als er sich zu Wort meldete, wurde er vom Kunden, seinem Unternehmen und dem Firewall-Anbieter scharf kritisiert.

Aber er konnte den Gedanken nicht abschütteln: Warum bauen wir Netzwerke auf etwas so Vages (und ehrlich gesagt, bedeutungslosem) Thema wie "Vertrauen" auf?

Diese Frage löste das aus, was wir heute Zero Trust nennen. Und Jahrzehnte später ist John, jetzt Chief Evangelist bei Illumio, immer noch dabei, veraltete Annahmen zu zerstören und die Cybersicherheitsbranche dazu zu bringen, anders zu denken.

In diesem Blogbeitrag werden wir die Weisheiten aus Johns jüngstem Gespräch mit Dr. Chase Cunningham im No Trust-Podcast From Theory to Practice: The Zero Trust Journey with John Kindervag and Dr. Chase Cunningham aufschlüsseln, in dem er die wichtigsten Zero-Trust-Prinzipien teilte, die seiner Meinung nach noch fehlen.  

Schluss mit zähen Zentren: Die Geburtsstunde von Zero Trust

Als John zu Forrester kam, hatte er endlich den Raum, diese große Idee zu erforschen, und die Analystenschulung des Unternehmens förderte sie.

"Sie haben unsere Stellenbeschreibung auf die Tafel geschrieben", sagte er. "'Denke große Gedanken.' Also sagte ich, ich möchte das Vertrauen in digitale Systeme untersuchen."

Dies führte zu zwei Jahren Primärforschung, einschließlich Gesprächen mit dem Jericho Forum (das ursprünglich gegen Zero Trust war), Prototyp-Architekturen und endlosem Herumstochern von Branchenexperten, die versuchten, das Konzept zu brechen.

Aber keiner konnte es.

Schließlich veröffentlichte John seine bahnbrechende Arbeit No More Chewy Centers, in der er Zero Trust vorstellte. In einem Folgepapier mit dem Titel "Build Security Into Your Network's DNA: The Zero Trust Network Architecture" wurde eine Vision vorgestellt, die die Segmentierung in den Vordergrund stellte, ein Konzept, das John seit langem als Kern von Zero Trust ansieht.

"Um eine Oberfläche zu schützen, braucht man eine Segmentierung", sagte er. "Deshalb bin ich jetzt bei Illumio."

Der Eisberg der Sichtbarkeit

Wenn sich Zero Trust so anfühlt, als wäre es vor ein paar Jahren plötzlich auf den Plan getreten, sagt John, dass man nur die Spitze des Eisbergs sieht.

"Die Leute denken, dass es 2021 wieder entfacht wurde, aber es war schon immer da", erklärte er. "Man hatte einfach keine Sicht."

Er verweist auf die Target-Verletzung von 2013 und die OPM-Verletzung von 2015 als kritische Momente, die Zero Trust auf den Radar der US-Regierungsbehörden brachten.  

Hinter den Kulissen begann die Adoption zu einem Schneeballeffekt zu werden, insbesondere in Bundeskreisen. Aber die Unternehmen waren nervös, es zuzugeben.

"Als ich darum bat, Fallstudien zu machen, sagten die Rechts- und PR-Teams nein", sagte er. "Wir wollen nicht, dass die Leute wissen, dass wir Zero Trust machen. Das könnte uns zur Zielscheibe machen.'"

Das änderte sich mit der Durchführungsverordnung von Präsident Biden aus dem Jahr 2021 , die Zero Trust für Bundesbehörden vorschreibt. Plötzlich gewann die bis dahin stille Bewegung an öffentlicher Dynamik.

"Ich folge Drohungen nicht mehr"

Eine von Johns widersprüchlichsten Überzeugungen ist, dass er Bedrohungen nicht verfolgt.

"Ich studiere nicht die neueste Malware oder Angriffskampagnen", sagte er. "Denn in einer gut gestalteten Zero-Trust-Umgebung spielen sie keine Rolle."

Warum? Denn Zero Trust geht davon aus, dass Sicherheitsverletzungen unvermeidlich sind, und baut Kontrollen auf, um das zu schützen, was wichtig ist, anstatt jeder Warnung hinterherzujagen.

"In einer Zero-Trust-Umgebung gibt es keine Richtlinie, die es einer unbekannten Ressource aus dem Internet erlaubt, eine unbekannte Nutzlast auf Ihrem Protect Surface abzulegen", erklärte er.

Ich studiere nicht die neuesten Malware- oder Angriffskampagnen, weil sie in einer gut gestalteten Zero-Trust-Umgebung keine Rolle spielen.

Die Protokolle, die Angreifer verwenden, haben sich nicht geändert. Und die gleichen grundlegenden Angriffsvektoren, wie Phishing-Links oder schlechte Passwörter, dominieren immer noch.

"Angreifer verwenden immer noch die gleichen Tools wie vor 20 Jahren", sagte er. "Das ist nicht die kinetische Welt. Im Cyber-Bereich stecken sie immer noch in denselben TCP/IP-Schienen fest."

Anstatt Bedrohungsinformationen hinterherzujagen, konzentriert sich John auf durchsetzbare Richtlinien und den Schutz von Oberflächen.

Bei Zero Trust geht es nicht unbedingt darum, schneller zu reagieren. Es geht darum, die Optionen des Angreifers von vornherein zu entfernen.

Vergessen Sie die Säulen: Befolgen Sie das 5-Stufen-Modell für Zero Trust

Ein Grund, warum so viele Zero-Trust-Bemühungen ins Stocken geraten, ist, dass Unternehmen versuchen, starren Frameworks zu folgen, die mit Schlagworten und Säulen gefüllt sind. John sagt, es sei an der Zeit, zu vereinfachen.

"Ich verwende das Fünf-Stufen-Modell. Immer. Beginnen Sie mit der Schutzoberfläche, nicht mit einer Produktliste", ermutigte er.

Zu den fünf Schritten, die in Regierungsveröffentlichungen wie dem NSTAC-Bericht an den Präsidenten über Zero Trust und Trusted Identity Management beschrieben werden, gehören:

1. Definieren der Schutzfläche
2. Zuordnen von Transaktionsflüssen
3. Aufbau einer Zero-Trust-Architektur
4. Richtlinie erstellen
5. Überwachen und warten

John warnt davor, Zero Trust auf einmal anzugehen oder zu denken, dass es sich um eine lineare Reifephase handelt.

"Die Leute denken: 'Wir kümmern uns zuerst um die Identität, dann um die Geräte, dann um das Netzwerk'", sagte er. "Auf diese Weise wird man nie etwas erreichen."

Stattdessen empfiehlt er, dass Teams das Projekt in Schutzoberflächen aufteilen, bei denen es sich um kleine, hochwertige Teile Ihres Netzwerks handelt, die durchgängig gesichert werden können.

Und beginnen Sie immer mit der wichtigsten Frage: Was schützen wir?

Zero Trust ist ein Führungsimperativ

Auf die Frage, wie man die Dynamik von Zero Trust aufrechterhalten kann, sagte John eine einfache Wahrheit: "Holen Sie sich die Zustimmung der Führungskräfte. Alles ändert sich, wenn sie an Bord sind."

Das ist es, was falsch ausgerichtete Anreize in Angleichung verwandelt.

"Mir haben so viele Leute gesagt: 'Wir werden hier niemals Zero Trust machen.' Und dann sagt der CEO, wir machen das, und plötzlich passiert es."

Der einzige Weg, um die Denkweise von kurzfristigen Wertpapierkäufen hin zu einer langfristigen Strategie zu ändern? Machen Sie es zu einer Führungspriorität.

"Cybersicherheit ist kein vierteljährlicher Budgetposten", sagte John. "Es ist das Ding, das dein Geschäft am Laufen hält." Oder wie er es unverblümt ausdrückte: "Wenn der Computer ausfällt, fliegen die Flugzeuge nicht."

Cybersicherheit ist kein vierteljährlicher Budgetposten. Es ist das Ding, das Ihr Geschäft am Laufen hält.

Zero Trust: nicht trendy oder optional

Zero Trust ist zum Mainstream geworden. Man sieht es in behördlichen Anordnungen, Lieferantenkampagnen und auffälligen Whitepapers. Aber das meiste davon geht am Kern vorbei.

Was John Kindervag seit fast 20 Jahren teilt, ist weder ein Produkt-Pitch noch ein Marketing-Rahmen. Es ist ein Mentalitätswandel. Eine, die Unternehmen dazu zwingt, nicht mehr zu reagieren und mit der Architektur zu beginnen. Eine, die auf einer echten Strategie beruht und nicht auf angstbasierten Ausgaben.

In einer Welt ständiger Angriffe, sich überschneidender Werkzeuge und des Drucks, schnell zu handeln, ist Johns Stimme eine erdende. Es erinnert uns daran, dass es bei Cybersicherheit nicht darum geht, Trends zu folgen – es geht darum, das zu schützen, was am wichtigsten ist.

Genau aus diesem Grund ist Zero Trust nicht mehr optional. Es ist von vornherein operativ antifragil.

Möchten Sie mehr Podcasts von Zero-Trust-Führungskräften wie John hören? Abonnieren Sie unseren preisgekrönten Podcast Das Segment: Ein Zero-Trust-Leadership-Podcast.