Managed Security Services Zero Trust: Der einfachste Weg hierzu führt über den MSSP

Anbieter zum Thema

Zscaler Germany GmbH

d.velop AG

xSuite Group GmbH

Yorizon GmbH & Co. KG

Die Digitalisierung und der Weg in die Cloud eröffnen immer neue Angriffsflächen und Cybergefahren. Die Aufrechterhaltung der IT-Sicherheit stellt besonders für mittelständische Unternehmen einen Kraftakt dar. Für die Einführung eines Zero-Trust-Sicherheitskonzepts fehlen vielfach Know-how und Ressourcen. Managed Security Services bieten einen Ausweg.

Der Mittelstand hat längst die Cloud für sich entdeckt, um die Komplexität im Betrieb der IT-Infrastruktur abzubauen. Software-as-a-Service hilft diesen Unternehmen nicht nur bei der Umsetzung einer Cloud First-Strategie. Sie zeigt weitere Möglichkeiten auf, um sich durch die Abkehr von Hardware und deren Verwaltung auf die eigentliche Kernkompetenz zu fokussieren. Ein solch reiner Cloud-Betrieb bietet sich dabei gerade für die Cybersecurity an. Mit einem Sicherheitsansatz aus der Cloud entfällt nicht nur die Administration von Appliances, sondern Sicherheit wird auch als kompletter Service konsumiert. Managed Security Service Provider (MSSP) haben längst den Vorteil eines modernen Zero-Trust-Ansatzes adaptiert und helfen damit, die Angriffsflächen auf die Unternehmens-IT zu minimieren. 

Zero-Trust-Ansatz ersetzt klassische Netzwerksicherheit

Zero Trust geht mit dem Vorurteil einher, dass die Umsetzung komplex sein kann, wenn die Expertise für die Sicherheitstransformation inhouse nicht vorhanden ist. Gerade wenn interne IT-Sicherheitsspezialisten fehlen, wagt der Mittelstand die Aktualisierung auf ein neues Sicherheitsparadigma nur zögerlich. Mit dem ganzheitlichen Zero-Trust-Ansatz geht die Ablösung der klassischen Netzwerksicherheit einher und größere Umstrukturierungen der IT-Architektur werden erforderlich. Letztlich vereinfacht Zero Trust nicht nur die Sicherheit, sondern auch die gesamte Konnektivität in einer modernen Cloud-basierten Umgebung. Anstelle der Netzwerksicherheit in Form von Appliances am Perimeter tritt das Modell des Least Privileged Access.

User oder Anwendungen werden dabei nicht von vornherein als vertrauenswürdig eingestuft. Zugang auf Daten und Applikationen in Netzwerk- oder Cloud-Umgebungen wird erst dann ermöglicht, wenn die Identität und der Kontext von einer Cloud-basierten Sicherheitsplattform als Broker verifiziert wurden. Die sichere Verbindung zu einer Anwendung kommt dann auf Basis von Richtlinien zustande. Durch die Zugangsberechtigung auf Anwendungsebene wird sichergestellt, dass unbefugter Zugriff auf Applikationen oder Workloads in der Cloud und laterale Bewegungen im Netzwerk verhindert werden.  

Im Mittelpunkt eines solchen Sicherheitsmodells stehen die Richtlinien für die granularen Zugangsberechtigungen, die auf Basis der User-/ Applikation-Identität erstellt werden. Auch die Datenbestände gilt es zu kategorisieren und damit für die verschiedenen Zugangsberechtigungen vorzubereiten. Da gerade hier die Knackpunkte bei der Umsetzung eines Zero Trust-Ansatzes liegen, kann ein Partner mit entsprechender Expertise in der Beratung und Umsetzung seine Stärken ausspielen.

Wie der MSSP bei der Umsetzung helfen kann

Bei der Implementierung eines solchen Sicherheitskonzepts kann der zertifizierte Managed Security Service Provider seinen Kunden zur Seite stehen. Er besitzt die Expertise aus unterschiedlichsten Kundenprojekten und kann darauf aufbauend schnell das passende Konzept für jeden spezifischen Unternehmensbedarf entwickeln. Die Dienstleistung des MSSP kann dabei verschiedene Ausprägungen annehmen, je nachdem, wie weit der Kunde im operativen Betrieb des Services involviert sein möchte. Die Einstiegshürde für den Kunden ist am niedrigsten bei einem vollständig integrierten Servicemodell als Add-on zur Telekommunikationsdienstleistung, das ausgehend von einer Portal-Buchung automatisch ausgerollt wird.

Ein solches Angebot eignet sich für Kleinstunternehmen bis zu zehn Mitarbeitern, deren gesamter Datenverkehr nach der Einrichtung über eine Sicherheitsplattform geroutet wird. Für den Mittelstand werden Managed Service-Pakete angeboten, die von der Beratung über die standardisierte Installation bis zum Support reichen. Hier wird der Sicherheitsservice vollständig an den MSSP outgesourced. Veränderungen können dabei zum Beispiel vom Kunden über einen ITIL standardisierten Change Request eingereicht werden. 

Möchte ein Unternehmen den laufenden Betrieb selbst in die Hand nehmen, kommt für ihn ein Paket in Frage, das lediglich das Deployment umfasst. Hier kann der Partner seine Expertise beim Aufsetzen der Richtlinien und Kategorisierung der Daten und Applikationen einbringen und somit die nötige Starthilfe geben, bis der Kunde selbstständig zurechtkommt. Dabei kommen Best Practises zum Tragen, auf die der MSSP bei der Einrichtung der Richtlinien zurückgreifen kann. Das Monitoring der Datenströme übernimmt der Kunde Inhouse und greift auch bei der Bewertung von Anomalien oder Warnmeldungen selbst ein.

Zero Trust: Verschiedene Ausprägungen des Service-Modells

Die Königsdisziplin für den MSSP ist schließlich ein Service-Modell, das vollständig an den Bedarf des Kunden ausgerichtet ist. Nach der Beratung und der Installation kann der Partner auf Wunsch auch den laufenden Betrieb übernehmen. Ein solches Modell ist ressourcenschonend für den Kunden, denn hier muss weder die Komplexität der Transformation intern gestemmt werden noch das laufende Monitoring oder fortlaufende Anpassungen und Support-Tickets. Ein solch individualisierter Service geht oftmals mit dem Wunsch nach einem möglichst infrastrukturlosen Betrieb der IT-Sicherheit einher. Der Kunde konzentriert sich auf seine Kernkompetenz und ist nicht mehr mit der Administration von Hardware in seiner eigenen IT-Umgebung befasst. 

Im Zuge der Vereinfachung der IT-Infrastruktur kann gleichzeitig die Partnerlandschaft reduziert werden. Kunden entscheiden sich heute für additive Services, bei denen beispielsweise der Telekommunikationsanbieter zusätzlich den Aspekt der Sicherheit der Datenströme abdeckt. Greifen die Services harmonisch ineinander, kann der MSSP zusätzliche Geschäftsmodelle für sich erschließen.

Wie ein ERP-Anbieter ein Zero-Trust-Framework adaptiert hat

Die proAlpha GmbH hat sich im Zuge der Implementierung einer Cloud First-Strategie für ein Security-as-a-Service-Modell mit der Zero Trust Exchange-Plattform von Zscaler entschieden. Aufgrund der weltweit verteilten Standorte suchte man nach einer Komplexitätsreduktion der Infrastruktur und nahm in diesem Zug Abstand von einem traditionellen Hardware-basierten Security Stack. Zu Beginn hat die IT-Abteilung die komplette Projektumsetzung intern übernommen und erst auf Umwegen zum Managed Security Service-Modell gefunden, nicht zuletzt aufgrund des Fachkräftemangels im IT-Sicherheitsumfeld. Heute profitiert der mittelständische Software-Entwickler von der Betreuung durch einen kompetenten Sicherheitspartner, der nach einem Redesign des Dienstes auch temporär alle Facetten des Betriebs abdeckt. 

Mit Zero Trust die Angriffsfläche des Unternehmens reduzieren

Bei der Modernisierung der IT-Sicherheit war bei dem Software-Entwicklungshaus der Wunsch ausschlaggebend, unabhängiger von eigener Hardware-Infrastruktur zu werden. Da sich die Geschäftsleitung der Haftungsverantwortung in puncto Security bewusst war, lautete der Auftrag an die IT-Abteilung, bei der Aktualisierung der Security auf das Zero-Trust-Konzept zu setzen und die Angriffsfläche des Unternehmens damit zu reduzieren und somit eine höhere Sicherheit zu erreichen. Die Entscheidung für die Cloud-basierte Sicherheitsplattform war schnell gefällt worden. Ein Software-Entwicklungsunternehmen kann darauf aufbauend ein New Normal-Arbeitsmodell anbieten, bei dem alle Mitarbeitenden die Möglichkeit haben, von zu Hause aus zu arbeiten. Eine hohe Homeoffice-Quote ist nur deshalb möglich, da die User performant und zugleich sicher auf alle benötigten Arbeitsumgebungen zugreifen können.

Michael Hoffmann, Leiter IT-Infrastruktur bei der proAlpha GmbH, fasst die Erfahrungswerte zusammen: „Nach dem ersten Deployment des Security Services hatten wir allerdings mit unzufriedenen Anwendern zu kämpfen. Die Gefahr besteht darin, dass sich User alternative Wege für den Zugriff suchen, wenn die Performance nicht gegeben ist“,. „Heute läuft jeglicher Datenverkehr Richtung Cloud über das Internet und wird nicht mehr über das Rechenzentrum umgeleitet, damit die Mitarbeitenden vernünftig von zu Hause aus arbeiten können. Performance-Probleme gehören der Vergangenheit an und wir konnten zusätzlich Leitungskapazität für Full-Tunnels einsparen.“ 

Wachsende Aufgaben für den MSSP

Da sich die IT-Abteilung auf ihre Kernaufgaben konzentrieren wollte, holte sich Michael Hoffmann mit der Avantec einen zertifizierten Security-Spezialisten als Partner ins Haus, der einen Health Check der Installation der Cloud Security-Plattform vornahm und darauf aufbauend beratend tätig wurde. In einem ersten Schritt wurden nach der Gap-Analyse lediglich Deployment Services wahrgenommen, um das volle Potenzial des Cloud Security Services auszuschöpfen und die benötigte Mitarbeiterzufriedenheit für die Akzeptanz des Sicherheitsservices herzustellen.

In der Folge war die IT-Abteilung in der Lage, alle Datenströme durch die Zero Trust Exchange-Plattform zu leiten und damit lückenlos auf Schadcode zu überwachen. „Wir waren überwältigt von der Menge an Malware, die uns durch die Cloud-Sicherheitsplattform angezeigt wurde. Allerdings standen intern nicht die Ressourcen zur Verfügung, um diesen Alerts nachzugehen und auf Kritikalität zu untersuchen.“ Aus Mangel an Security-Experten im Team entschied man sich dafür, weitere Services rund um die Bewertung der Alerts durch den Partner in Anspruch zu nehmen. 

Fortlaufende Verbesserung der IT-Umgebung

Michael Hoffmann erläutert: „Wenn wir Themen an einen Dienstleister auslagern, dann fällen wir diese Entscheidung deshalb, weil wir diese Workload intern nicht abdecken können. Die Avantec stellt uns Expertenwissen für die Analyse der Sicherheitsvorfälle zur Verfügung und war darüber hinaus flexibel genug, uns bei einem temporären Ressourcenengpass auch im operativen Betrieb zu unterstützen. Auf diese Weise können wir Belastungsspitzen innerhalb des Teams abfedern.“ Für das Unternehmen war es von Vorteil, dass sich der Partner durch die Gap-Analyse bereits bestens mit der IT-Umgebung auskannte. Heute ist der MSSP auch mit der fortlaufenden Verbesserung und der Aktivierung neuer Features betraut und leistet letztlich den kompletten Support rund um die Zero Trust-Plattform.

Die Erhöhung der IT-Sicherheit war die entscheidende Anforderung beim Wechsel auf einen Sicherheitsservice. Erst im Nachgang erwies es sich auf Grund des Ressourcenmangels auch von Vorteil, zu einem Managed Security Service überzugehen, bei dem der Partner das technische Know-how für die kontinuierliche Bewertung des laufenden Betriebs mitbringt. Der Service kann dadurch lückenlos aufrechterhalten werden und auch mit dem anorganischen Wachstum des Unternehmens Schritt halten.