Torsten Wiedemeyer, Regional Sales Director DACH bei Adaptiva in München
Inhaltsverzeichnis 1. Eine Inventur durchführen 2. Zugriffshierarchie bestimmen 3. Die Umstände bedenken 4. Das Budget für Tools und Zeit einplanen 5. Realistisch bleiben
Die klassische IT-Security bedient sich oft eines Perimeter-Ansatzes. Das Sicherheitspersonal schirmt hierbei die internen Bereiche des Systems gegen die Bedrohungen von außen ab. Die beiden Hauptprobleme sind offensichtlich: Zum einen sind nicht sämtliche Bedrohungen externer Natur und zum anderen sind Verteidigungsmaßnahmen nicht immer undurchdringlich. Schafft es ein Angreifer, die Mauern zu durchbrechen, kann er sich im System über lange Zeiträume komplett frei bewegen und entsprechend großes Unheil anrichten. Gegen Angreifer, die sich bereits im System bewegen dürfen, bringt dieser Security-Ansatz also wenig. Zero Trust hingegen setzt auf strikte Zugriffskontrollen und Authentifizierungsmechanismen – auf jeder Ebene. Da dieser Ansatz nicht leicht zu verfolgen ist, hat Adaptiva fünf Punkte zusammengestellt, die Unternehmen vor der Umsetzung beachten sollten.
VDMA veröffentlicht Leitfaden IEC 62443 für Industrial Security
Eine Inventur durchführen
Da es wenig Sinn ergeben würde, die bestehende Sicherheitsinfrastruktur komplett neu aufzusetzen, sollten Unternehmen zunächst die sensibelsten Geschäftsbereiche absichern. Daher ist es zu Beginn ratsam, eine Übersicht zu schaffen, welche Assets, Workflows, Netzwerk-Accounts in diese Kategorie fallen. Das Management muss hierfür mit dem SecOps-Team an einer Priorisierung arbeiten.
Zugriffshierarchie bestimmen
Auf die Priorisierung der wichtigsten Geschäftsbereiche folgt die Beantwortung der Frage, wer auf was Zugriff haben soll. Die Wahrscheinlichkeit ist hoch, dass nicht jede Anwendung und alle Daten sämtlichen Personen zugänglich gemacht werden sollen – es sollte generell keine Carte Blanche verteilt werden. Freelancer und externe Auftragnehmer haben zum Beispiel bestenfalls Zugriff auf die Ressourcen, die auch innerhalb ihres unmittelbaren Aufgabenfeldes notwendig sind. Die Planung der Zugriffshierarchie wird einige Zeit brauchen und Flexibilität voraussetzen. Dabei sollten die Entscheidungsträger im Hinterkopf behalten, dass Zugriffsprotokolle sowie Authentifizierungspraktiken sich ständig im Wandel befinden werden. Fluktuation ist im Unternehmen Normalität und manchmal ändern sich Zuständigkeiten und Positionen der Mitarbeiter.
