Die SASE-Lösung für den komplizierten Beziehungsstatus zwischen Netzwerk und Sicherheit

Wenn unsere Freunde Sicherheit und Netzwerk auf Facebook wären, würden sie wahrscheinlich beide ihren Beziehungsstatus mit „Es ist kompliziert“ angeben. Manchmal ist alles großartig, aber hin und wieder können die Dinge etwas seltsam, unklar oder unangenehm werden.

In vielen Organisationen gibt es traditionell eine Barriere zwischen den Sicherheits- und Netzwerkteams. Jedes Team hat seine eigenen Ziele – und manchmal können diese Ziele im Widerspruch zueinander stehen. Die Durchsetzung der Sicherheit wirkt sich auf die Fähigkeit des Netzwerkteams aus, seine Arbeit zu erledigen und die Anforderungen der Benutzer zu erfüllen. Gleichzeitig wirken sich die Anforderungen und Erwartungen der Vernetzung auch direkt auf das Sicherheitsteam aus. Diese Reibung kann dazu führen, dass es zu Konflikten zwischen Vernetzung und Sicherheit kommt. Dieser Konflikt kann Unternehmen echtes Geld kosten und digitale Transformationsprojekte gefährden.

Im letzten Jahr hat diese Reibung für zusätzliche Hitze gesorgt. Während der COVID-19-Pandemie hatten Netzwerkteams alle Hände voll zu tun, um die Remote-Belegschaft zu unterstützen. Den Sicherheitsteams fiel die doppelte Verantwortung zu, einerseits für die Geschäftskontinuität zu sorgen und andererseits ihre Organisationen vor opportunistischen Angriffen zu schützen. Dieser erhöhte Spannungszustand im Netzwerk-/Sicherheitsverhältnis wird nicht verschwinden.

Verschiedene Teams mit unterschiedlichen Anforderungen

Die Aufgabe des Netzwerkteams besteht traditionell darin, die Konnektivität bereitzustellen, damit Endbenutzer auf die benötigten Ressourcen zugreifen können. Um die Zufriedenheit der Benutzer und die Produktivität des Unternehmens zu gewährleisten, muss das Netzwerk zuverlässig verfügbar und schnell sein.

Gleichzeitig muss das Sicherheitsteam die Unternehmensdaten schützen. Um dies zu erreichen, musste die Sicherheit bisher strenge Kontrollen implementieren, die den Zugriff eines Benutzers auf Ressourcen beeinträchtigen konnten. Der herkömmliche Prozess der Filterung des Netzwerkverkehrs auf Bedrohungen und der Durchsetzung von Zugriffskontrollen führte in der Regel dazu, dass Benutzer eine verlangsamte Leistung erlebten oder der Zugriff auf eine Anwendung oder Datei vollständig blockiert wurde. Wenn die Sicherheitsabteilung unter dem Vorwand des Unternehmensschutzes den Zugriff auf eine Ressource blockiert, kann diese Blockierung zu Problemen für das Netzwerkteam führen, das dafür zuständig ist, dem Benutzer den für seine Arbeit erforderlichen Zugriff zu gewähren.

Diese komplizierte Situation ist die eigentliche Wurzel des Problems – und schon seit Langem ein Streitthema zwischen Netzwerk- und Sicherheitsteams. Sie haben es jahrelang für das Wohl des Unternehmens zum Laufen gebracht – aber keiner spürt die Liebe.

SASE bringt Vernetzung und Sicherheit zusammen

Technologie könnte das Problem lösen. Dank Secure Access Service Edge (SASE) werden die Dinge in Bezug auf Sicherheit und Vernetzung endlich deutlich einfacher. Aus technologischer Sicht vereint SASE einen modernen Satz an Cloud-basierten Sicherheitsfunktionen mit modernen Netzwerkfunktionen. Sowohl Netzwerk- als auch Sicherheitstechnologien verändern sich, um einer Welt besser gerecht zu werden, in der es außerhalb des Unternehmensnetzwerks mehr Anwendungen, Benutzer und Daten gibt als innerhalb des Netzwerks.

Bei SASE handelt es sich um einen Technologiewandel, der bereits im Gange ist. Aber diese Geschichte hat noch eine andere Seite. Die digitale Transformation bringt mit sich, dass Benutzer von überall aus und mit ihren eigenen Geräten arbeiten möchten und uneingeschränkten Zugriff auf alles haben, was sie benötigen. Zu diesem Zweck übernimmt SASE auch die Rolle des „Eheberaters“ für Netzwerke und Sicherheit und bringt beide Teams mit dem gemeinsamen Ziel zusammen, jedem Benutzer auf jedem Gerät, das auf jede Internetressource zugreift, einen schnellen und sicheren Zugriff zu ermöglichen.

SASE legt eine Reihe von Anforderungen fest, anhand derer die Netzwerk- und Sicherheitsarchitekturen weiterentwickelt werden können, um beiden Seiten bessere Dienste zu leisten und so beide Teams zufriedener zu machen. Der Beziehungsstatus hat sich plötzlich geändert und sie können harmonischer zusammenarbeiten als je zuvor.

Die Magie zurückbringen: „allow“ ist der neue Block

Der ultimative Endzustand mit SASE ist, dass die Sicherheit nicht mehr im Weg steht. Es ist tatsächlich integriert. Es hat keinen Einfluss auf das Benutzererlebnis und verlangsamt die Dinge auch nicht. Und es steht nicht im Weg wie die alten Firewalls und Secure Web Gateways (SWGs), die vorsichtshalber den Zugriff auf alles blockieren.

Anstatt alles zu blockieren, was ein potenzielles Risiko darstellt, kann die Sicherheit jetzt sehr normativ und präzise sein. SASE blockiert den Zugriff nur auf Grundlage tatsächlicher Risiken, die durch detaillierte, richtlinienbasierte Kontrollen definiert werden. Der Zugriff wird harmlosen oder einfach unbekannten Benutzern nicht willkürlich verweigert, nur um sicherzugehen, was in vielen Organisationen bekanntermaßen zu Problemen geführt hat. Bei einer SASE-Architektur ist „allow“ der neue Block.

Auf der Netzwerkseite wurde die Sicherheit in der Vergangenheit zwangsweise in die Architektur integriert. Da Sicherheit eine zwingende Anforderung war, musste das Netzwerkteam den Verkehr über die Sicherheitsgeräte im Rechenzentrum umleiten. Durch diese Art der „Haarnadelkurve“ des gesamten Netzwerkverkehrs entsteht jedoch ein Sicherheitsengpass, der die Leistung des Benutzers erheblich beeinträchtigt.

Mit SASE können Benutzer direkt dorthin gehen, wo sie hin möchten. Eine „Direct-to-Net“-Netzwerkarchitektur wird dadurch ermöglicht, dass die Sicherheit am Netzwerkrand, so nah wie möglich am Benutzer, implementiert wird.

Gleichberechtigte Partner bauen eine dauerhafte Beziehung auf

Einige Unternehmen führen SASE bereits ein, modernisieren ihre Architektur und bauen eine bessere Beziehung zwischen den Teams auf. Aber wie bei allem wird es immer Nachzügler geben. Manche Organisationen tun sich mit der Einführung schwer, weil sie sich selbst im Weg stehen. Oder es liegt ein langsamer, bürokratischer Prozess der Neuentwicklung von Vorschriften vor. Und bei manchen größeren Unternehmen (wie großen, monolithischen Finanzinstituten) wird ein gemäßigterer und schrittweiser Einführungsprozess nötig sein, bevor sie sich damit abfinden, die generelle Sperrung des Zugriffs auf alle Funktionen aufzugeben.

In puncto Sicherheit ist SASE eher so, als würde man ein Skalpell als einen Vorschlaghammer verwenden. Organisationen können sofort von der groben „Alles blockieren“-Sicherheit zu feinkörnigen Kontrollen übergehen. Ein weiterer Bereich, der sich in diesem Zusammenhang weiterentwickelt, ist Zero Trust. Zero Trust bedeutete traditionell „traue niemandem“, aber im SASE-Zeitalter hat sich das Zero Trust-Konzept zu etwas Anpassungsfähigerem weiterentwickelt. Dazu trägt auch die Entwicklung künstlicher Intelligenz (KI) und maschinellen Lernens (ML) bei, die die Zugriffskontrolle und den Datenschutz intelligenter und automatisierter machen.

Der Grund, warum sich SASE durchsetzen wird, liegt darin, dass es nicht dafür konzipiert wurde, Sicherheit gegenüber der Vernetzung zu bevorzugen oder umgekehrt. SASE ist eine vereinfachte und elegantere Dacharchitektur. Es bietet jedem Benutzer überall und auf jedem Gerät schnellen und sicheren Zugriff auf alles, was er benötigt. Aus Sicherheitsperspektive werden die Sichtbarkeits-, Kontroll- und Inspektionspunkte so nah wie möglich an den Benutzer herangebracht. Wohin sie auch gehen, das System folgt ihnen. Und das Netzwerk wird dabei zu einem ganz wichtigen Teil, weil Sie es nicht mehr mit Entitäten zu tun haben, die sich an einem physischen Standort befinden. Sie sind mittlerweile allgegenwärtig, daher spielt das Netzwerk selbst eine ebenso wichtige Rolle wie die Sicherheit.

Und diese Gleichwertigkeit in der Partnerschaft zwischen Netzwerk und Sicherheit hat schon sehr lange gefehlt.

Dieser Artikel erschien ursprünglich auf VentureBeat.