John Kindervag erzählt die Entstehungsgeschichte von Zero Trust

Wir sind zurück mit einer weiteren Staffel von The Segment: A Zero Trust Leadership Podcast! Nachdem wir unsere erste Staffel mit Branchengrößen wie dem ehemaligen Forrester-Analysten Chase Cunningham, dem CSO der Southern Methodist University und Bestsellerautor George Finney und Microsofts Corporate VP of Security Business Development Ann Johnson abgeschlossen hatten, landete unsere erste Staffel in den Top 15 % aller Podcasts und brachte uns einen MarCom Gold Award 2023 für die beste branchenorientierte Podcast-Serie ein.

Wir sind so stolz darauf, wie unser erster Versuch mit Podcasting gelungen ist. Und das alles verdanken wir Zuhörern (und Lesern) wie Ihnen!

Auf vielfachen Wunsch sind wir stolz darauf, unsere zweite Staffel mit noch mehr Zero-Trust-Anekdoten und Cybersicherheitsperspektiven von einigen der führenden CISOs, CTOs und Cyber-Architekten der Branche zu beginnen.  

Zum Auftakt habe ich mich mit dem Godfather of Zero Trust höchstpersönlich und dem Chief Evangelist von Illumio, John Kindervag, zusammengesetzt. In dieser Zusammenfassung unseres Gesprächs erfahren Sie, wie Johns Idee von Zero Trust entstanden ist, wie er zu frühen Zero-Trust-Best-Practices geforscht hat und welche Ratschläge er Unternehmen auf ihrem Weg zu Zero Trust gibt.

Über John Kindervag: Der Schöpfer von Zero Trust

John ist ein Mann, der in der Welt von Zero Trust nicht vorgestellt werden muss. Für diejenigen, die es nicht wissen, hier ein kurzer Blick auf seinen beeindruckenden und ziemlich umfangreichen Lebenslauf.  

Mit über 25 Jahren Erfahrung als Praktiker und Branchenanalyst gilt John Kindervag als einer der weltweit führenden Cybersicherheitsexperten, der vor über einem Jahrzehnt bei Forrester Research für die Entwicklung des revolutionären Zero-Trust-Modells der Cybersicherheit bekannt ist.

Im Jahr 2021 wurde John in das Zero Trust Sub-Committee des National Security Telecommunications Advisory Committee (NSTAC) des US-Präsidenten berufen und war einer der Hauptautoren des NSTAC Zero Trust-Berichts , der dem Präsidenten vorgelegt wurde. Im selben Jahr wurde er vom CISO Magazine zur Cybersecurity Person of the Year ernannt.  

Heute ist John als Chief Evangelist bei Illumio dafür verantwortlich, das Bewusstsein zu schärfen und die Einführung von Zero-Trust-Segmentierung in allen Branchen voranzutreiben.  

Wie hat Zero Trust angefangen?

Für John beruht das gesamte Zero-Trust-Framework auf der Bekämpfung oder Eindämmung des traditionellen Trust-Modells , das in den Anfängen der Firewall-Technologie implizit vorhanden war.  

John sagt: "Der Beginn des Prozesses der Installation von Firewalls führte wirklich zu Zero Trust, denn in der Firewall-Technologie gab es das Konzept eines Trust-Modells, bei dem sich das Internet auf der nicht vertrauenswürdigen Schnittstelle befand und die Schnittstelle, die zum internen Netzwerk führte, vertrauenswürdig war. Und aufgrund dieser Vertrauensstellung benötigten Sie keine Richtlinienanweisung, um Datenverkehr aus dem internen oder vertrauenswürdigen Netzwerk in das externe oder nicht vertrauenswürdige Netzwerk zu verschieben."

Johannes sah das und dachte: "Das ist Wahnsinn! Die Leute werden Daten von hier aus exfiltrieren. Und [Organisationen] sagten: 'Nein, das werden sie nicht. Du kannst nicht..." Und ich sagte, alle Vertrauensschnittstellen, alle Schnittstellen sollten das gleiche Vertrauen haben und es sollte Null sein. Und das ist wirklich der Ursprung von Zero Trust. Es ist nur ein Widerstand gegen die Art und Weise, wie wir Firewalls gebaut haben, die sich auf die Politik auswirkten, und es gab keinen Grund dafür."

In diesem Sinne stammt Zero Trust im Wesentlichen aus der Infragestellung der damaligen Volksmeinung. John erkannte, dass es einen Weg gab, Cybersicherheit besser zu machen als den Status quo. Wie John sagt: "Du musst die Dinge, die jeder sagt, validieren und sehen, ob sie wahr sind. Ich war die einzige Person, die fragte: 'Was ist die Definition von Vertrauen?' und das ist wirklich schwer zu definieren."  

Zero-Trust-Experimente und -Forschung

Obwohl John eines der bemerkenswertesten Frameworks der Branche geschaffen hat, bringt er so viel Bescheidenheit in unser Gespräch ein. Ich fragte ihn, ob er jemals damit gerechnet hätte, dass Zero Trust so durchstarten würde.  

Seine Antwort? "Meine Erwartungen waren ziemlich niedrig. Ich denke, man merkt, dass man in dieser Rolle [als Analyst] nur versucht, eine Idee zu verbreiten, die vielleicht durchsickert. Ich hätte nicht gedacht, dass sich dieses Zero-Trust-Zeug so durchsetzen würde. Es fing sicherlich nicht früh Feuer, aber dann... Mir wurde klar: Wow, es gibt mehr Leute, die das lesen und hören und jetzt darüber sprechen wollen, als mir bewusst war."

Der langsamere Aufwärtstrend im Vorfeld gab ihm auch mehr Zeit, mit dem Framework zu experimentieren und es zu verfeinern. "Ich mochte, dass der Aufschwung langsam war, weil ich eine Zeit lang die einzige Person war, die es tat. Also musste ich alle Fehler selbst machen und dann über diese Fehler schreiben und dir sagen, was sie sein würden, damit du sie nicht selbst machen musst. Und ich dachte, das wäre eine wertvolle Sache für jemanden in meiner Position", erklärte Kindervag.  

Die größten Zero-Trust-Fehler

Eine meiner Lieblingsfragen, die ich unseren Gästen stelle, lautet: "Was machen Unternehmen auf ihrem Weg zu Zero Trust falsch?"

John sagt: "Der größte Fehler, den ich gesehen habe, war, zu groß und zu schnell zu fahren. Jeder versucht jetzt, alles auf einmal für seine gesamte Organisation zu tun."

Außerdem, so John, kann das Konzept von Zero Trust entmutigender klingen, als es ist, was zu einer langsameren (und letztendlich weniger erfolgreichen) Einführung führen kann.  

"Ich denke, viele Leute lassen es schwieriger klingen, als es ist, und machen es komplexer", sagte John. "Es ist ganz einfach, oder? Es gibt vier Designprinzipien und es gibt ein Fünf-Stufen-Modell, um dies zu tun... Es ist so konzipiert, dass es sehr, sehr einfach ist..."  

Johns größter Ratschlag für Neinsager? "Geh einfach raus und mach es... Das ist erfahrungsbasiert. Unser gesamtes Geschäft ist erfahrungsorientiert."  

Je mehr Unternehmen einen Fuß vor den anderen setzen können, wenn sie ihre Zero-Trust-Ziele erreichen, desto weiter werden sie auf ihrem Weg zur Cyber-Resilienz sein.  

Hören, abonnieren und rezensieren Sie The Segment: A Zero Trust Podcast

Möchten Sie meine vollständige Diskussion mit John hören? Hören Sie sich die Folge dieser Woche auf Apple Podcasts, Spotify oder wo auch immer Sie Ihre Podcasts bekommen, an. Sie können auch ein vollständiges Transkript der Episode lesen.

Wir melden uns bald mit weiteren Einblicken in Zero Trust zurück!