Was wir 2024 über die Zero-Trust-Dynamik auf Bundesebene gelernt haben – und was als nächstes im Jahr 2025 kommt

Je tiefer die Bundesbehörden auf ihrem Weg zu Zero Trust vordringen, desto mehr verlagert sich der Fokus vom Warum auf das Wie.  

In den heutigen Diskussionen geht es nicht darum, Zero Trust zu rechtfertigen. Es geht darum, Zero-Trust-Strategien zu entwickeln, die in der komplexen Cybersicherheitslandschaft der Bundesregierung funktionieren.  

Letzten Monat teilte Gary Barlet, CTO des öffentlichen Sektors von Illumio, seine Erkenntnisse über die Zero-Trust-Dynamik auf Bundesebene in der Webinar-Reihe des Federal Executive Forum, die vom Federal News Network veranstaltet wurde. In seiner Diskussion mit anderen Cybersicherheitsexperten der Regierung betonte er, wie wichtig es für die Behörden sein wird, im neuen Jahr von der Theorie zur Tat überzugehen.

Hier erfahren Sie, wie Führungskräfte auf Bundesebene diese Lektionen anwenden können, um widerstandsfähige Zero-Trust-Architekturen für 2025 und darüber hinaus aufzubauen.

Von "Was ist Zero Trust" bis "Wie man es operationalisiert"

Laut Barlet hat sich der Dialog über Zero Trust in der Cybersicherheit von Behörden im Laufe des Jahres 2024 weiterentwickelt.  

"Ich treffe mich nicht mehr mit Regierungschefs und muss damit beginnen, zu erklären, was Zero Trust ist und warum es wichtig ist", erklärte er während des Webinars. "Jetzt führen wir Gespräche darüber, was es ist oder was ich tun sollte, sondern wie ich es tun sollte."

Diese Verschiebung zeigt eine reifende Landschaft, in der Zero-Trust-Prinzipien weithin akzeptiert sind.  

Für Cyber-Führungskräfte auf Bundesebene sollte der Schwerpunkt auf der strategischen Umsetzung von Zero Trust liegen. Dazu gehört, auf diese drei Schlüsselbereiche zu achten:

1. Sicherung des Nord-Süd- und Ost-West-Verkehrs

Ost-West-Netzwerkverkehr ist die interne Bewegung von Daten innerhalb einer Organisation. Herkömmliche Sicherheitstools konzentrieren sich auf den Nord-Süd-Datenverkehr am Netzwerkperimeter. Dadurch ist der Ost-West-Datenverkehr innerhalb des Netzwerks nicht sicher und anfällig für Sicherheitsverletzungen.

"Es geht nicht nur darum, wer in das Netzwerk gelangt, sondern auch darum, wohin er geht, wenn er einmal drin ist", erklärte Barlet.

Diese Nuance wird oft übersehen, ist aber entscheidend, um zu verhindern, dass sich Cyberkriminelle über das Netzwerk ausbreiten, was auch als laterale Bewegung bezeichnet wird.

Wie schützen Sie den Ost-West-Verkehr? Mikrosegmentierung.

Mikrosegmentierung ist die Grundlage jeder Zero-Trust-Strategie. John Kindervag, der Erfinder von Zero Trust, hat sich vor einem Jahrzehnt in seinem zweiten Bericht über Zero Trust mit der Segmentierung befasst:

"Nehmen wir an, dass etwas Schlimmes passieren wird", sagte Barlet. "Wie können wir die Auswirkungen minimieren? Wie können wir sicherstellen, dass sich eine kleine schlechte Sache nicht in eine komplette Cyber-Katastrophe verwandelt? Die Antwort ist Mikrosegmentierung."

Bundesbehörden müssten der Mikrosegmentierung Vorrang einräumen, um Netzwerkumgebungen zu unterteilen, erklärte er. Durch die Segmentierung von Workloads und die Durchsetzung granularer Richtlinien können Behörden Sicherheitsverletzungen eindämmen, bevor sie zu größeren Cybervorfällen werden können.  

2. Verständnis des wahrgenommenen vs. tatsächlichen Netzwerkverhaltens

Eine der auffälligsten Beobachtungen, die Barlet teilte, war die Kluft zwischen wahrgenommenem und tatsächlichem Netzwerkverhalten.  

"Wenn wir zur Tür hereinkommen und [Kunden] eine Karte aller Verbindungen zeichnen, die in ihrem Unternehmen stattfinden, sind sie oft überrascht", sagte er. "Sie sagen: 'Meine Jungs haben mir eine PowerPoint-Folie mit einer Linie gezeigt, die von Punkt A nach Punkt B führt.' Und wir müssen ihnen sagen: 'Das zeigt euch nicht alles.'"

Behörden können nicht schützen, was sie nicht sehen können. Dies unterstreicht, wie wichtig Echtzeit-Transparenz ist, die ein genaues, dynamisches Bild der Vorgänge im Netzwerk liefern kann. Transparenz ist der Eckpfeiler jeder Zero-Trust-Strategie.

3. Eine Denkweise zur Eindämmung von Sicherheitsverletzungen annehmen

Barlet betonte auch die Notwendigkeit eines Umdenkens – von der Verhinderung von Sicherheitsverletzungen hin zu deren Eindämmung.

Während die Verhinderung von Sicherheitsverletzungen das Ideal ist, ist die Realität, dass entschlossene Angreifer oft Wege finden, um einzudringen. Die Frage ist dann: Wie begrenzen Sie den Schaden?

"Die Agenturen fangen an, aufzuwachen und sich zu fragen: 'Okay, gehen wir davon aus, dass etwas Schlimmes passieren wird. Wie stellen wir sicher, dass es nicht außer Kontrolle gerät?'", bemerkte er.  

Durch die Konzentration auf die Reduzierung des Explosionsradius einer Sicherheitsverletzung können Behörden ihre Ausfallsicherheit erheblich verbessern und Betriebsunterbrechungen vermeiden. Das bedeutet, dass die Sicherheitsverletzungen klein bleiben und nur minimale Auswirkungen auf Ihre Behörde haben.

Wichtige Zero-Trust-Erkenntnisse für Bundesbehörden im Jahr 2025

Barlet und die anderen Cybersicherheitsexperten des Bundes teilten ihre wichtigsten Erkenntnisse für Behörden, die sich im neuen Jahr auf den Aufbau von Zero Trust konzentrieren:

1. Profitieren Sie von Echtzeit-Transparenz: Behörden müssen in Tools investieren, die einen umfassenden Überblick über den Ost-West-Verkehr und die Abhängigkeiten zwischen ihren Netzwerken bieten. Diese Erkenntnisse sind wichtig, um Schwachstellen zu verstehen und zu beheben.

2. Priorisieren Sie die Mikrosegmentierung: Durch die Segmentierung von Workloads und die Durchsetzung granularer Zugriffskontrollen können Behörden die laterale Bewegung von Angreifern begrenzen und sensible Daten schützen.

3. Eindämmung von Sicherheitsverletzungen: Gehen Sie davon aus, dass es zu Sicherheitsverletzungen kommen wird, und konzentrieren Sie sich darauf, deren Auswirkungen zu reduzieren. Dazu gehören die Planung von Worst-Case-Szenarien und der Aufbau von Systemen, die Bedrohungen effektiv eindämmen können.

4. Teamübergreifend zusammenarbeiten: Die Implementierung von Zero Trust ist nicht nur eine technische, sondern auch eine kulturelle. Behörden benötigen die Unterstützung der Führung und der Zusammenarbeit zwischen IT-, Sicherheits- und Betriebsteams.

5. Automatisierung nutzen: Automatisierung ist entscheidend für die Skalierung von Zero-Trust-Strategien. Von der kontinuierlichen Überwachung bis hin zur dynamischen Durchsetzung von Richtlinien können automatisierte Tools Behörden dabei helfen, Bedrohungen einen Schritt voraus zu sein.

Blick in die Zukunft: Die Rolle der Führung bei Zero Trust

Einer der ermutigendsten Trends, die Barlet bis ins Jahr 2025 beobachtet hat, ist das wachsende Engagement der Bundesführung für den Aufbau von Zero Trust.  

"Von den oberen Führungsebenen abwärts beginnen sie wirklich, diese Konzepte anzuerkennen und anzunehmen", sagte er. Diese Top-down-Unterstützung ist entscheidend, um den Wandel voranzutreiben und sicherzustellen, dass Zero Trust in der Agenturkultur verankert wird.

Auf dem Weg ins Jahr 2025 haben die Bundesbehörden die einmalige Gelegenheit, auf den in den letzten Jahren erzielten Fortschritten aufzubauen. Indem sie ihren Weg zu Zero Trust fortsetzen, können sie widerstandsfähige Systeme schaffen, die selbst den raffiniertesten Bedrohungen standhalten.

Zero Trust ist kein Modewort mehr, sondern ein strategisches Gebot.  

Sehen Sie sich die vollständiges Webinar des Federal Executive Forum: Zero Trust Strategies in Government Progress and Best Practices 2024.

Learn more darüber, wie Illumio Zero Trust Segmentation Ihrer Behörde helfen kann, granulare Transparenz zu erhalten, Sicherheitsverletzungen einzudämmen und Risiken zu reduzieren.