Verbessern Sie Ihre IP-Sicherheit mit Zero Trust – 5 Leitprinzipien, um Ihre IP effektiv zu schützen

Zero Trust ist das neue Schlagwort im Bereich Cybersicherheit. Seitdem John Kindervag, Forrester Analyst, in seinem Artikel „Zero Trust Architecture“ den Begriff Zero Trust eingeführt hat, sind traditionelle Sicherheitsmaßnahmen überholt. Das Konzept des Zero Trust ist ein Sicherheitsrahmen, der auf dem Prinzip „Ich vertraue niemandem“ basiert. Es spielt keine Rolle, ob sich der Benutzer innerhalb oder außerhalb der Organisation befindet. Einem Benutzer wird kein Zugriff gewährt, es sei denn, er wird zuerst authentifiziert und autorisiert.

Laut dem Bericht „Verschlüsselung, Datenschutz im Internet – Trends“ von 2019 werden jetzt mehr Daten in der Cloud gespeichert als auf privaten Unternehmensservern oder Consumer-Geräten. Da Angreifer jetzt auf in der Cloud gespeicherte Daten abzielen, ist es für Unternehmen mit vertraulichen Forschungsinformationen oder geistigem Eigentum (IP) wichtig, eine Zero Trust-Architektur zu wählen, um ihre Daten zu schützen.

Es gibt fünf Leitprinzipien, bevor Sie beginnen, Ihre IP durch die Implementierung einer Zero Trust-Architektur effektiv zu schützen.

Prinzip 1 – Identifizieren Sie, welcher Teil Ihrer IP am kritischsten ist.

Dies ist der erste und kritischste Schritt. Das Erkennen der vertraulichen Daten Ihres Unternehmens mag einfach klingen, ist es in der Praxis jedoch nicht. Systeme sind komplex und ändern sich ständig. Es ist wichtig zu wissen, welche Systeme die Daten enthalten, welche am kritischsten sind, und welche Datenbanken eine bestimmte Kombination sensibler Daten enthalten, die sie einem höheren Risiko aussetzen. Eine Möglichkeit, festzustellen, welcher Teil Ihrer IP-Adresse am kritischsten ist, besteht darin, sie zu klassifizieren. Es sind unzählige Variablen zu berücksichtigen, da unterschiedliche Daten unterschiedliche Behandlungen erfordern. Denken Sie auch daran, dass dies kein einmaliges Projekt ist, da sich kritische Daten ständig ändern und eine ständige Nachverfolgung erfordern. Es sind drei Ebenen der Datenklassifizierung erforderlich:

Eingeschränkt – Dies sind die kritischsten Daten, die bei einer Gefährdung ein großes Risiko verursachen können. Der Zugang darf nur auf Bedarfsbasis erfolgen.

Vertraulich oder privat – Dies sind mäßig sensible Daten. Der Zugriff erfolgt intern innerhalb des Unternehmens oder der Abteilung, der der Eigentümer angehört.

Öffentlich – Dies sind nicht vertrauliche Daten, die beim Zugriff nur ein geringes oder gar kein Risiko darstellen. Die Zugangskontrolle ist lose oder nicht kontrolliert.

Denken Sie daran, je sensibler Ihre Daten sind, desto mehr Kontrollebenen müssen Sie in Betracht ziehen, um die Daten zu schützen.

Prinzip 2 – Identifizieren Sie, welche Anwendung betroffen ist.

Sobald Sie herausgefunden haben, welche Daten vertraulich sind, ist es jetzt an der Zeit, die Risiken zu bewerten. Unternehmen sollten auch darüber nachdenken, wie sich der Verlust der Vertraulichkeit, Integrität oder Verfügbarkeit dieser Informationen im Falle eines Datenverstoßes auf das Unternehmen auswirken würde. Sie benötigen eine solide Risikobewertung. Sobald Sie wissen, wo Ihre größten Schwachstellen liegen, können Sie Ihren Sicherheitsplan gestalten.

Prinzip 3 – Identifizieren Sie den Benutzer.

Das nächste Prinzip besteht darin, den Benutzer zu identifizieren. Wie überprüfen Sie, ob Ihre Benutzer diejenigen sind, die sie vorgeben zu sein? Die Authentifizierung von Benutzern, das Wissen, wer sie sind, wo sie sich befinden und wie sie auf Ihre Anwendungen und Netzwerke zugreifen, ist wichtig, um eine Zero-Trust-Sicherheit zu gewährleisten. Die Multi-Faktor-Authentifizierung (MFA) kann zur Authentifizierung der Identität eines Benutzers verwendet werden, und das Vertrauen kann mithilfe von Kennwörtern oder biometrischen Daten hergestellt werden. MFA macht Folgendes:

  1. Gibt an, ob der Benutzer derjenige ist, der er vorgibt, zu sein
  2. Gibt an, ob dieser Benutzer das Recht hat, auf die vertraulichen Daten zuzugreifen
  3. Gibt an, ob das Gerät des Benutzers sicher und vertrauenswürdig ist

Prinzip 4 – Stellen Sie fest, ob der Zugriff erforderlich ist

Viele Organisationen gewähren einer Reihe von Mitarbeitern und Insidern privilegierten Zugriff auf vertrauliche Daten. Transaktionen sind sicher, wenn die Person, die auf die Daten zugreift, wirklich auf die Daten zugreifen muss. Unternehmen sind sich der Details der Personen, die Zugriff auf vertrauliche Daten haben, und der Gründe, warum sie Zugriff benötigen, überhaupt nicht bewusst. Dies ist ein großes Risiko. Daher müssen Organisationen den Datenzugriff einschränken. Sie sollten bestimmen, wer Zugriff benötigt, und sicherstellen, dass sie nur auf die Informationen zugreifen, die sie benötigen, und nicht auf alle anderen im System vorhandenen Details. Dies kann durch Erzwingen der Zugriffskontrolle sichergestellt werden.

Da die meisten Unternehmen heutzutage in hybriden Umgebungen arbeiten, in denen Daten von der lokalen Ebene in die Cloud, in Privathaushalte, Büros usw. mit offenen WLAN-Hotspots übertragen werden, kann die Durchsetzung der Zugriffskontrolle eine entmutigende Aufgabe sein. Die gebräuchlichste Zugriffssteuerungsmethode ist die attributbasierte Zugriffssteuerung (ABAC), bei der jedem Benutzer eine Reihe von Attributen zugewiesen wird, z. B. die Tageszeit. Position, Ort usw. werden verwendet, um eine Entscheidung über den Zugriff auf vertrauliche Informationen zu treffen.

Prinzip 5 – Identifizieren Sie, was mit den Daten passiert, wenn auf sie zugegriffen wird

Datenverletzungen sind eine ständige Bedrohung für jedes Unternehmen. Selbst nachdem Unternehmen strenge Richtlinien, Verfahren und Strategien durchgesetzt haben, treten Datenverletzungen auf. Daher ist es wichtig, geschützt zu bleiben und alles zu tun, um Datenverletzungen zu verhindern. Unternehmen sollten über einen guten Wiederherstellungsplan verfügen, falls ein Datenverstoß auftritt.

Sobald ein Verstoß festgestellt wird, ist es wichtig, ihn schnell einzudämmen. Das Trennen von Kontenverletzungen und das Vorhandensein mehrerer Ebenen der Sicherheitsinfrastruktur können dazu beitragen, den Angriff schnell und effizient zu lokalisieren und zu isolieren. Untersuchen und bewerten Sie den verursachten Schaden. Sobald der Schaden erkannt wurde, benachrichtigen Sie die betroffenen Benutzer, einschließlich Drittanbieter. Führen Sie abschließend eine Sicherheitsüberprüfung durch und passen Sie Ihre bestehenden Konzepte in der Form an, dass zukünftige Angriffe nicht möglich sind.

Die oben genannten fünf Leitprinzipien sind für die Verwaltung sensibler oder intellektueller Daten erforderlich. Darüber hinaus müssen Unternehmen Transparenz schaffen, indem sie den Datenfluss automatisch überwachen. Durch die vollständige Sichtbarkeit der Daten können Führungskräfte sehen, wie die Daten in den einzelnen Geschäftsprozessen isoliert und vollständig fließen. Dies bietet eine durchgängige Sichtbarkeit der Daten

Bei SECUDE bieten wir einen beratungsorientierten Ansatz, mit dem SAP-Kunden Transparenz erhalten, Risikopotenziale bewerten und ihre Sicherheitsstandards für Geschäftsprozesse ändern können, wenn dies zum Schutz ihrer sensiblen Daten erforderlich ist.

Um mehr darüber zu erfahren, wie wir Datensicherheit implementieren, erreichen Sie mich unter:

Matthias Possehl

Director IP-Protection Solutions
SECUDE International AG