Von Mhicole A. Moral, Special Features and Content Writer

Während Unternehmen ihre digitalen Abläufe beschleunigen, hat sich Identität zu einer prägenden Priorität in der Enterprise-Cybersicherheit entwickelt. Immer mehr Unternehmen verlassen sich auf Identity and Access Management (IAM), um zu steuern, wer auf kritische Informationen zugreifen kann, wann dieser Zugriff genehmigt wird und wie er fortlaufend überwacht wird. Verstärkt wird dieser Wandel durch die breite Einführung von Cloud-Diensten und die Verbreitung von Software-as-a-Service-Anwendungen, die die Zahl der Benutzerkonten und Zugriffswege, die Sicherheitsteams verwalten müssen, deutlich vergrößert haben.

Während der dritten Paneldiskussion des BusinessWorld Cybersecurity Summit — mit dem Titel „Identity and Access Management in the Enterprise“ — erörterten Technologieverantwortliche, warum stärkere Identitäts- und Zugriffssysteme für moderne Organisationen unverzichtbar geworden sind.

Mehr als Passwörter und Multi-Faktor-Authentifizierung

Catherine Anne Paleracio, Chief Information Security Officer (CISO) bei Tonik, sagte, die Identitätslandschaft habe sich parallel zur wachsenden Zugänglichkeit digitaler Dienste verändert. Während sich Unternehmen früher stark auf herkömmliche Authentifizierungsmethoden stützten, verlange das aktuelle Bedrohungsumfeld, über Benutzernamen, Passwörter und Multi-Faktor-Authentifizierung hinauszudenken.

„About 30% of attacks are credential-based“, sagte Ms. Paleracio. „This calls for organizations to act according to the landscape that we're in right now, and it triggers us to think about a different strategy on how we're usually approaching IAM.“

Jan Martin Encina, Director of Information Security bei Maya Philippines, Inc., betonte, dass Identity and Access Management seit Langem ein Kernthema für Sicherheits- und Audit-Teams sei, da die Kontrolle von Zugriffsrechten die Grundlage für den Schutz von Unternehmensressourcen bilde.

Obwohl Zugriffsmanagement routinemäßig erscheinen könne, sollten Organisationen robuste Praktiken aufbauen, um Vorteile weit über die Verringerung von Cyberrisiken hinaus zu erzielen, erklärte er.

„If an organization is able to get their IAM right, it serves as a very important value driver for that organization“, sagte er. „You're able to make your process a lot more efficient, and really be able to engage your employees.“

Dieser geschäftliche Nutzen erklärt auch, warum Angreifer häufig Identitäten ins Visier nehmen, bevor sie technisch ausgefeiltere Angriffe versuchen.

„Access is like the first choice of our adversaries, simply because it's so basic that everyone has it“, sagte Mr. Encina. „Before a threat actor attempts any sort of complicated, sophisticated exploit, they will try to gain access first. If you can get that password from that administrator, from that finance manager who can transfer funds, from someone who can escalate your privileges, there's nothing technical about that. It's all social engineering.“

Die Herausforderung der Remote-Endpunkte

Mark Anthony P. Almodovar, Executive Director von Risk Services — Cybersecurity and Privacy bei PwC Philippines, wies darauf hin, dass Unternehmen ihre Sicherheitsstrategie von der Konzentration auf Unternehmensbüros auf den Schutz Tausender Remote-Endpunkte verlagern mussten.

Während der COVID-19-Pandemie etwa ließen viele Unternehmen Mitarbeitende ihre Desktop-Computer mit nach Hause nehmen, damit der Betrieb weiterlaufen konnte, wodurch sich die Zahl der Umgebungen, die Sicherheitsteams schützen mussten, drastisch erhöhte.

„The endpoint is actually tied up to an individual“, erklärte Mr. Almodovar. „So it's really hard as well to protect it. We still rely on the trust basis.“

Unternehmen gingen in der Regel davon aus, dass die Person, die sich in ein Unternehmenskonto einloggt, auch der autorisierte Mitarbeiter ist; diese Annahme täglich über Tausende Nutzer hinweg zu verifizieren, bleibe jedoch schwierig.

Menschen als schwächstes Glied

Fortschritte in der Unternehmenssicherheit haben auch das Verhalten von Angreifern verändert. Als Unternehmen ihre technischen Abwehrmaßnahmen durch bessere Technologien und ein breiteres Sicherheitsbewusstsein stärkten, richteten Bedrohungsakteure ihre Aufmerksamkeit stärker auf Menschen und Zugangsdaten.

„The weakest thing sometimes in the chain is not the process, it's not the technology, but it's really the people“, erklärte Mr. Encina. „Even if you have the most sophisticated security systems, if your admins are giving out their passwords, then just forget your multimillion-dollar investment in security.“

Mr. Almodovar teilte diese Einschätzung und sagte, dass Zugriffskontrolle die grundlegendste Information-Security-Kontrolle bleibe, weil Angreifer Menschen leichter manipulieren könnten als Technologie zu überwinden.

„For the most part, people are still the most vulnerable“, sagte er. „At least, the technology is playing a good part in terms of enforcing people to use, to some extent, a more sophisticated authentication.“

Ms. Paleracio ergänzte, dass Phishing-Kampagnen zu den einfachsten, zugleich aber wirksamsten Angriffsmethoden gehörten, weil sie auf Personen zielen, die bereits wertvolle Zugriffsrechte besitzen. Angreifer würden sich wahrscheinlich auf Administratoren, Lieferanten und Mitarbeitende mit Zugriff auf kritische Informationen konzentrieren, da die Kompromittierung eines vertrauenswürdigen Kontos einen direkten Weg in Systeme eröffnen könne, ohne komplexe technische Exploits zu erfordern.

„Zero Trust“ als schrittweiser Weg

Während Identität zum Schwerpunkt der Unternehmenssicherheit geworden ist, stimmten die Panelisten darin überein, dass die Umsetzung von Zero Trust ein schrittweiser Prozess bleibt, der ebenso stark von Governance und geschäftlicher Abstimmung abhängt wie von der Technologie selbst. Das Konzept, formalisiert in der U.S. National Institute of Standards and Technology Special Publication 800-207, verlagert Sicherheit weg von implizitem Vertrauen auf Basis des Netzwerkstandorts hin zu einer fortlaufenden Überprüfung jeder Zugriffsanfrage.

Ms. Paleracio beschrieb Zero Trust als solides Sicherheitskonzept, betonte jedoch, dass die Umsetzung im Tagesgeschäft anhaltende Investitionen und sorgfältige Planung erfordert. Unternehmen unterscheiden sich zudem deutlich in ihrer Fähigkeit, das Modell einzuführen, da die Skalierung die Komplexität direkt beeinflusst. Ein kleineres Unternehmen kann Zero-Trust-Kontrollen beispielsweise schneller einführen, während Organisationen mit Tausenden Mitarbeitenden deutlich mehr Nutzer, Systeme und Zugriffsbeziehungen verwalten müssen.

„The challenge is basically defining what you really need and limiting it based on the business needs“, fügte Ms. Paleracio hinzu. „At the end of the day, it will be everyone's role, everyone's responsibility to have cybersecurity in place. We need to make sure we become enablers while we're putting up the security controls.“

Ebenso betonte Mr. Encina, dass Zero Trust nur dann erfolgreich sein kann, wenn alle Beteiligten am Prozess mitwirken.

„Security is everybody's responsibility because Zero Trust can only be implemented if all of the stakeholders are actually doing it“, sagte er.

Er erläuterte, dass Sicherheitskontrollen wirkungslos werden, wenn Mitarbeitende sie umgehen. Übermäßig restriktive Richtlinien könnten Nutzer dazu verleiten, private Geräte, nicht genehmigte Anwendungen für künstliche Intelligenz oder nicht autorisierte Technologie zu verwenden, was zusätzliche Risiken schaffe, die Unternehmen nicht überwachen könnten.

Statt Kontrollen erst nach der Entwicklung von Systemen aufzuerlegen, plädierte Mr. Encina dafür, Sicherheit bereits in den frühesten Entwicklungsphasen durch einen Secure-by-Design-Ansatz zu verankern. Unternehmen sollten daher IAM-Anforderungen definieren, bevor sie neue Technologien auswählen oder einführen. Systeme, die sich nicht in unternehmensweite Identitätsplattformen integrieren lassen, erfüllten von Beginn an nicht die geschäftlichen Anforderungen, statt nach der Einführung als Sicherheitsausnahme behandelt zu werden.

Executive Support und Governance

Auch die Unterstützung durch das Management sei entscheidend, sagte Mr. Almodovar, denn Richtlinien könnten ohne echtes organisatorisches Commitment nicht erfolgreich sein. Er erinnerte an Gespräche mit Unternehmen, die ihre Authentifizierungsrichtlinien verschärfen wollten, obwohl Führungskräfte die Notwendigkeit stärkerer Kontrollen infrage stellten, nachdem es jahrelang keinen Sicherheitsvorfall gegeben hatte. Diese Zurückhaltung verzögere Sicherheitsinvestitionen oft so lange, bis Unternehmen tatsächlich Verluste erlitten.

„Access control is the most basic and most fundamental control in information security“, sagte Mr. Almodovar. „Most of the time, only when they experience it, when they are compromised, when they lose money, their accounts have been taken over, that's the time when they will start implementing it.“

Die Panelisten kehrten immer wieder zu Führung und Unternehmenskultur als den entscheidenden Faktoren für erfolgreiche Sicherheitsprogramme zurück. Da jeder Mitarbeitende über einen gewissen Zugriff auf Systeme, Anwendungen und Informationen verfügt, trägt jede einzelne Person zur gesamten Sicherheitslage des Unternehmens bei.

„Every single person in the organization has access. Every single person in the organization has a role to play in your systems“, sagte Mr. Encina.

Er betonte, dass wirksames Identity and Access Management Executive Sponsorship erfordert, weil Sicherheitsprogramme Technologie, Geschäftsprozesse und Mitarbeiterverhalten zugleich beeinflussen. Ohne sichtbare Unterstützung durch die Führung scheitern Unternehmen häufig daran, eine konsistente Identitäts-Governance über verschiedene Abteilungen hinweg zu etablieren.

Zudem warnte er davor, Compliance-Anforderungen als alleinigen Maßstab für Sicherheit zu betrachten.

„It's extremely dangerous to have people implement technology without having the right set of policies and governance“, erklärte er. „But it's also ineffective to be all governance and not do anything about technology.“

Mr. Almodovar unterstrich, dass der Schutz von Unternehmen letztlich vom Schutz der Menschen abhängt. Da viele Cyberkriminelle Personen mit geringem Cybersecurity-Bewusstsein ausnutzen, sollten Führungskräfte Programme für stärkere Kontrollen einführen, die weit über Passwörter und Einmal-PINs hinausgehen. Selbst dann könne Technologie schlechte Sicherheitsgewohnheiten nicht ausgleichen.

„Before implementing technology, the governance and management parts are still the first requirement“, sagte Mr. Almodovar. „How can we secure something if we don't understand what we are trying to secure?“

Er betonte, dass Unternehmen zuerst ein klares Verständnis ihrer Assets, Genehmigungsprozesse, Eigentumsverantwortlichkeiten und Entscheidungsstrukturen entwickeln müssten, bevor sie das Identitätsmanagement automatisieren.

Die Panelisten waren sich einig, dass Unternehmen zunächst ihre eigenen Risiken, ihre wahrscheinlichen Angreifer und das Sicherheitsbewusstsein in der Belegschaft verstehen müssen, statt davon auszugehen, dass regulatorische Compliance allein ausreichenden Schutz bietet.