Operationalisierung von Zero Trust – Schritte 2 und 3: Bestimmen Sie, auf welche Zero-Trust-Säule Sie sich konzentrieren möchten, und legen Sie die genaue Kontrolle fest

This blog series expands on ideas introduced in my March post, “Zero Trust is not hard … If you’re pragmatic”.

In diesem Beitrag habe ich sechs Schritte skizziert, um Zero Trust zu erreichen. Im Folgenden werde ich mich eingehender mit zwei der sechs Schritte befassen, die skizziert wurden, um einen soliden Rahmen zu schaffen, der von Mikrosegmentierungspraktikern in großen und kleinen Organisationen genutzt werden kann, um ihre Projekte erfolgreicher zu gestalten. Bevor ich beginne, hier eine visuelle Darstellung der einzelnen Schritte:

Schritt 2: Bestimmen Sie, auf welche Zero-Trust-Säule Sie sich konzentrieren möchten

In part 1 of this series, I looked at “Identifying what to protect” and recommended that to achieve your long-term goal – enterprise-wide adoption of Zero Trust – it was wise to start small, and look for candidate applications that ideally matched at least 2 out of the 3 criteria listed below:

• Haben Sie einen starken Antrieb für die Einführung von Zero-Trust-Sicherheitsprinzipien – z. B. eine Compliance- oder regulatorische Anforderung, ein Audit-Ergebnis, das behoben werden muss, oder eine Reaktion auf eine Sicherheitsverletzung.
• Werden als kritische Anwendungen markiert.
• Seien Sie bereit, Versuchskaninchen zu sein.

Imagine I have hunted round my organisation and have found an application that handles PCI data and, hence, needs to be compliant with PCI-DSS requirements. It also happens to have an audit finding around ‘excessive network access’, is marked as a critical component in my customer payments system, and, after much convincing, the application team has agreed to work with me in adopting a Zero Trust framework to properly secure their application. If I quickly scan back to my list of selection criteria, I can see that my chosen application ticks all 3 requirements.

Jetzt gehe ich dazu über, zu bestimmen, auf welche Zero-Trust-Säule ich mich in dieser Iteration konzentrieren soll – hier sind die Säulen:

Genauso wie Sie bei der Identifizierung der zu schützenden Anwendungen in dieser Phase einen sehr fokussierten Ansatz verfolgen sollten, sollten Sie eine ähnliche Haltung einnehmen, wenn Sie bestimmen, wie Sie Zero Trust selbst angehen. Der Versuch, jede einzelne Säule in einem Zyklus anzugehen, wäre ehrgeizig und unrealistisch – da Sie wahrscheinlich eine Vielzahl von Kontrollen und Technologien implementieren müssten, was das empfohlene Ziel, relativ schnelle und messbare Fortschritte zu erzielen, behindern würde.

Forrester actually provide a Zero Trust Maturity Model Assessment Tool to help practitioners identify gaps in their organisation’s adoption of Zero Trust and these results can be used to identify the specific Zero Trust pillar(s) to focus on. Let’s assume you have run this assessment against my chosen application and it identifies significant gaps in the protection of workloads running the application – and specifically it highlights that they are easily accessible from across my network. This would lead you to focus this particular iteration on protecting the workloads that host your application, ensuring that you gain excellent visibility in this area.

Schritt 3: Festlegen des genauen Steuerelements

Der Workload-Schutz umfasst viele Sicherheitsfunktionen, einschließlich, aber nicht beschränkt auf die effektive Sicherung und das Patchen des Betriebssystems und aller installierten Anwendungen, hostbasierte Bedrohungsschutzkontrollen wie Antivirus, EDR, Überwachung der Dateiintegrität, hostbasierte Firewalls usw.

Step 2 of the Zero Trust Maturity Assessment has identified excessive network access to the application workloads as the most significant gap in Zero Trust, so I recommend focusing on host-based firewalling, or more generally micro-segmentation, as the security control to apply in order to move your application one step further forward in its Zero Trust journey.

From my own personal experience as a practitioner before joining Illumio, I know that in order to effectively implement micro-segmentation, you need excellent visibility into your application’s upstream and downstream dependencies, so that you have the right information with which to build and validate the least privilege, whitelist-based, Zero Trust policies that will protect your workloads.

So, when you focus on workload protection and the visibility and analytics associated with this, and have further clarified that you plan to only build micro-segmentation controls at this stage, you are now ready to identify the input data needed to make this vision a reality. And that’s exactly what I will focus on in the next edition of this series.

Du kannst es kaum erwarten, meinen nächsten Beitrag zu lesen, um mehr zu erfahren? Besuchen Sie unsere Seite darüber, wie Sie Ihre Zero-Trust-Strategie mit Mikrosegmentierung operationalisieren können, um einen Einblick zu erhalten.