Zero Trust Assessment & Architecture

Ihre Expertin für Fragen

Dr. Silvia Knittl
Director, Cyber & Privacy bei PwC Deutschland
Tel.: +49 151 1548-0524
E-Mail

Warum Unternehmen ihren Sicherheitsansatz überdenken sollten

Die traditionelle IT-Sicherheit wird durch die rasant fortschreitenden technologischen Entwicklungen und neuen Arbeitsweisen zunehmend geschwächt. So sind die bestehende Infrastruktur sowie die IT-Systeme oft nicht mehr zuverlässig und herkömmliche Perimeter-basierte Sicherheitsstrategien bieten keinen umfassenden Schutz vor den heutigen Cyberbedrohungen. Der erhebliche Wandel hinsichtlich der traditionellen IT-Sicherheit wird durch folgende Faktoren verursacht:

• Organisationen integrieren immer mehr Dienste, die im Internet verfügbar sind und die einen Zugang über ein nicht vertrauenswürdiges Netzwerk anbieten.
• Nutzer greifen immer öfters mittels unterschiedlicher Endgeräte auf die On-Premise-IT-Systeme und Cloud-Anwendungen von Unternehmen zu.
• Die verschiedenen Benutzergruppen – Mitarbeitende, Externe oder Dienstleister – arbeiten immer häufiger an mehreren Standorten.

Diese vielfältigen Anwendungsfälle vergrößern die potenzielle Angriffsfläche und resultieren in neuen Schwachstellen, die Angreifern neue Möglichkeiten bieten, wertvolle Daten abzugreifen oder kritische Unternehmensabläufe sowie Infrastrukturen zu stören. Damit wachsen die geschäftlichen Herausforderungen, mit denen Unternehmen konfrontiert werden, um kritische Vermögenswerte, Daten und Ressourcen zu schützen. Aus diesem Grund sollten IT- und Sicherheitsverantwortliche moderne, umfassende Lösungen für ihre Architektur suchen und einen grundlegenden Wandel in Betracht ziehen. Eine Empfehlung? Zero Trust.

Zero Trust − Erfolgsfaktor für die sichere digitale Transformation

Was ist Zero Trust?

Zero Trust beschreibt ein Konzept der Cyber Security zur Sicherung von Daten und Infrastrukturen, die in Verbindung mit geeigneten Sicherheitswerkzeugen den Zustand der gesamten Architektur kontrollieren und überwachen sowie auf der Grundlage von Echtzeitinformationen intelligente Entscheidungen treffen. Das Zero-Trust-Modell basiert auf dem Prinzip „Vertrauen ist gut, Kontrolle ist besser“ und misstraut grundsätzlich allen Diensten, Benutzern und Geräten innerhalb und außerhalb eines Netzwerks. Ziel ist es, Risiken zu minimieren sowie interne und externe Bedrohungen auszuschließen. Daher verlangt Zero Trust eine umfassende Authentifizierung und Autorisierung sowohl im internen also auch beim Zugriff auf externe Netzwerke. Somit adressiert das Zero-Trust-Modell die modernen Herausforderungen der digitalen Transformation der Geschäftswelt, einschließlich der Sicherung von Mitarbeitenden an entfernten Standorten, von personenbezogenen Daten, von hybriden Cloud-Umgebungen sowie den Schutz vor Cyber-Bedrohungen.

Warum unsere Kunden Zero Trust umsetzen?

Für Unternehmen bedeutet die digitale Transformation insbesondere, dass die Zahl der kritischen Geschäftsprozesse und IT-Systeme, die wesentlich von einer funktionsfähigen IT-Infrastruktur abhängig sind, zunehmend steigen. Dabei fungiert das Netz (Intra- wie Internet) als Bindeglied, welches das Ökosystem aus Kund:innen, Geschäftspartner:innen, Mitarbeiter:innen, Anwendungen und Daten verbindet. Daraus resultiert der steigende Bedarf an Sicherheitslösungen, die gegebenenfalls auch über neue Servicemodelle wie etwa Cloud bereitgestellt werden können. Die Gründe, warum Kunden ihren aktuellen Sicherheitsansatz überdenken und Zero Trust implementieren, sind vielfältig.

So umfasst das Zero-Trust-Modell die Einrichtung hochgradig widerstandsfähiger Netze bei gleichzeitiger Nutzung bereits vorhandener Technologien. Ein weiteres Argument, warum Unternehmen eine Zero-Trust-Sicherheitsstrategie in ihre Unternehmensarchitektur integrieren sollten, ist die Reduzierung des „Tool-Wildwuchs“ und der herkömmlichen Kosten für Cyber Security. Somit wird die digitale Transformation vorangetrieben, die Nutzererfahrung optimiert und eine reibungslose Interaktion zur Verbesserung der Kundenbindung gefördert.

PwCs Zero-Trust-Architektur-Ansatz

Unsere Zero-Trust-Architektur basiert auf dem Prinzip des „verify all“. Das bedeutet, dass Richtlinien beziehungsweise Policies bestimmen, wer wann welche Zugriffe haben darf. In der Architektur bilden Policy Administrative Points, Decision und Enforcement Points die konzeptionelle Grundlage. Das kann ein Single Point Gateway sein, welches jeden Zugriffsversuch auf Ressourcen durch Geräte oder Personen (Identitäten) streng kontrolliert. Der sichere und standortunabhängige Zugriff auf Ressourcen und Daten basiert auf risikobezogenen Echtzeit-Entscheidungen. Die Entscheidung, ob ein Benutzer mit den angefragten Assets interagieren kann, wird für jede einzelne Anfrage individuell getroffen. Dabei werden alle Aktivitäten überwacht, um Abweichungen von einem sicheren Zustand festzustellen und Korrekturen zu ermöglichen. Dabei liegt der Fokus nicht wie bei herkömmlichen Sicherheitsmodellen ausschließlich auf den internen Rechenzentren eines Unternehmens, sondern auch auf der Zugangskontrolle und Überwachung des Datenverkehrs zu ausgelagerten Cloud-, Web- und IT-Diensten.

Warum PwC für Zero Trust?

Vertrauen, Unabhängigkeit & Expertise

Eine erfolgreiche Zero-Trust-Implementierung basiert auf datenzentrierten Sicherheitsstrategien, Sicherheitsrichtlinien, Datenklassifizierungsstandards und Identity- und Access-Management-Lösungen. PwC verfügt über umfangreiche Kompetenzen in der Arbeit mit interdisziplinären Teams, länderübergreifende Zero-Trust-Expertise sowie Allianzen mit wichtigen Technologieanbietern, um so eine erfolgreiche digitale Transformation in Ihrem Unternehmen voranzutreiben. Aufgrund der Herstellerunabhängigkeit und den regulatorischen Verpflichtungen garantiert PwC ein hohes Maß an Integrität und agiert als unabhängiger „Trusted Technology Advisor“. Mit folgenden Services unterstützt PwC Ihr Unternehmen bei der Planung und Umsetzung einer individualisierten Zero-Trust-Strategie:

• Unterstützung bei der Identifizierung kritischer oder sensibler Schwachstellen innerhalb Ihrer Unternehmensarchitektur
• Anwendung von Datenkategorisierung und -klassifizierung sowie Unterstützung bei der Implementierung von Datenschutzlösungen und -prozessen
• Bereitstellung von Architekturrichtlinien zur Integration von Zero Trust in die Sicherheitsarchitektur und die darauf abgestimmte Unternehmensarchitektur
• Unterstützung bei der Überwachung der Einhaltung von Vorgaben und Vorschriften