Security Service Edge und die Zukunft der Cloud-Sicherheit

Sundaram Lakshmanan, CTO of SASE Products bei Lookout, erklärt, was SSE ist, seine drei Kernprinzipien und wie es sich von SASE (Secure Access Service Edge) unterscheidet. Außerdem erläutert er, wie Unternehmen durch die Integration von Endpunktsicherheit und erweiterten Benutzer- und Datenschutzfunktionen den größten Nutzen aus SSE ziehen können. [...]

Um ein effizientes Unternehmen zu führen, in dem Mitarbeiter von überall aus arbeiten können, ist es fast unmöglich geworden, keine Cloud-Technologie zu nutzen. Egal, ob es sich um Software-as-a-Service (SaaS)-Anwendungen wie Microsoft 365, Salesforce, Google Workplace, Servicenow und Slack oder Infrastructure-as-a-Service (IaaS) wie Amazon Web Services, Azure und Google Cloud Platform handelt: Die meisten Unternehmen haben mittlerweile Dutzende von Anwendungen, mit denen sich Mitarbeiter verbinden und sensible Daten austauschen.

Um Daten zu schützen und gleichzeitig Initiativen für ortsunabhängiges Arbeiten zu ermöglichen, hat sich ein neues Sicherheits-Framework entwickelt, das aus der Konvergenz und Konsolidierung von cloudbasierten Netzwerksicherheitsfunktionen in einer Plattform besteht, die als Security Service Edge (SSE) bekannt ist.

Vor nur einem Jahrzehnt noch zögerten viele Unternehmen bei der Einführung von Cloud-Technologien, weil sie befürchteten, dass sie die Überwachung des Netzwerkperimeters aufgeben müssten und damit die Kontrolle über die Sicherheit verlieren würden. Im Laufe der Zeit, mit dem technologischen Fortschritt und dem wachsenden Bewusstsein für die Vorteile der Cloud, erwies sich dieses Denken mit dem Voranschreiten der digitalen Transformation als überholt.

Seitdem hat sich jedoch gezeigt, dass die zunehmende Cloud-Konnektivität zusätzliche Herausforderungen für traditionelle Sicherheitsstrategien mit sich bringt. Um den neuen Anforderungen an den Datenschutz gerecht zu werden, müssen Unternehmen die Cloud für die Sicherheit nutzen, so wie sie es für den Betrieb getan haben. Sicherheitstechnologien, die bisher vor Ort (On-Premises) eingesetzt wurden, müssen in der Cloud zusammengeführt werden.

Abgrenzung von SASE und SSE

Als der Begriff SASE im Jahr 2019 von Gartner geprägt wurde, hatten viele Unternehmen Schwierigkeiten, die Sicherheitsanforderungen einer Cloud-gesteuerten Welt zu erfüllen, was durch die Pandemie noch verstärkt wurde. Die Unternehmen mussten eine ortsunabhängige Belegschaft unterstützen, um den Geschäftsbetrieb und die allgemeine Produktivität aufrechtzuerhalten. Da sich Daten und Anwendungen in der Cloud befinden und die Benutzer von überall aus eine Verbindung herstellen, konnten sie sich nicht mehr auf herkömmliche Sicherheitsgrenzen verlassen, um Transparenz und Kontrolle über ihre Daten zu erlangen.

SASE, ein Framework, das Networking-as-a-Service (NaaS)- und Security-as-a-Service (SaaS)-Technologie in einer nahtlosen Architektur kombiniert, versuchte, dieses Problem zu lösen. Dieser Ansatz umfasst Secure Web Gateway (SWG), Cloud Access Security Broker (CASB) und Zero Trust Network Access (ZTNA), um den Zugang zum Internet, zu Cloud-Diensten und privaten Anwendungen zu sichern und gleichzeitig eine nahtlose Konnektivität zu diesen Zielen über lokale Direct-to-Internet-Breakouts mit Software-Defined Wide Area Network (SD-WAN) zu ermöglichen, was die Netzwerkarchitektur des Unternehmens weiter vereinfacht. Die Motivation hinter SASE war es, einen intelligenten Zero-Trust-Zugang zu ermöglichen, der Daten von überall her schützt, ohne die Produktivität zu beeinträchtigen.

Viele Unternehmen haben erkannt, dass ihre aktuellen Sicherheitstools die neueren Anwendungsfälle des ortsunabhängigen Arbeitens nicht unterstützen. Sie haben begonnen, ihre Sicherheitstechnologien zu konsolidieren, indem sie Cloud-Lösungen von wenigen Anbietern auswählen. Während die Sicherheitsservices allmählich konvergieren, haben die meisten Unternehmen ihre Netzwerk- und Sicherheitsdienste noch nicht von einem einzigen Anbieter konsolidiert. Wenn Unternehmen die Wahl haben, bevorzugen sie zu Recht die besten Technologien ihrer Art. Um mit diesen Markttrends Schritt zu halten, hat Gartner im Jahr 2021 das SSE-Framework entwickelt, das sich ausschließlich auf die Sicherheitsfunktionen von SASE konzentriert.

Was ist SSE?

SSE wurde entwickelt, um Daten zu schützen und Risiken durch eine einzige Plattform zu reduzieren, die Zugangskontrolle, Schutz vor Bedrohungen, Datensicherheit, Sicherheitsüberwachung und Kontrollfunktionen für akzeptable Nutzung kombiniert. Sicherheitsteams sind oft unterfinanziert, fühlen sich ausgelaugt und verfügen nicht über die notwendigen Ressourcen, um jede Datenbewegung, jede Anwendung, jede Endpunktnutzung und jedes Benutzerverhalten zu überwachen. Durch die Einhaltung des SSE-Frameworks können Sicherheitsteams die Arbeit von überall aus effektiv unterstützen und gleichzeitig Daten schützen.

Da immer mehr Länder Datenschutz- und Datensicherheitsgesetze wie die DSGVO und CCPA umsetzen, wird der Bedarf an SSE weiter steigen. Solide SSE-Plattformen müssen integrierte Datenschutzfunktionen bieten, die es Unternehmen ermöglichen, sich auf ihre Geschäftsabläufe und Produktivität zu konzentrieren.

SSE und Datenschutz

Daten befinden sich nicht mehr innerhalb der traditionellen Grenzen, daher ist eine Sicherheitsschicht, die sie verfolgt und schützt, unerlässlich. Daher gilt es bei der Auswahl einer SSE-Plattform darauf zu achten, dass sie eine effektive Endpunktsicherheit sowie erweiterte Benutzer- und Datenschutzfunktionen bietet. Wichtig sind insbesondere die folgenden Punkte:

• User Entity and Behaviour Analytics (UEBA): Dies ist das Verständnis von bösartigem Verhalten innerhalb des Systems, sei es ein Hacker, der einen kompromittierten Berechtigungsnachweis ausnutzt, ein Insider, der versehentlich Inhalte mit falschen Parteien teilt, oder ein Insider, der zu einer Bedrohung für das Unternehmen geworden ist.
• Data Loss and Prevention (DLP): Muss in jeder SSE-Plattform enthalten sein, da es den Sicherheitsteams und dem Unternehmen insgesamt ermöglicht, zu verstehen, welche Art von Daten in allen Architekturen gespeichert werden: On-Premises und in Cloud-Anwendungen. DLP kann auch Beschränkungen durchsetzen, Daten schwärzen oder mit Wasserzeichen versehen.
• Enterprise Digital Rights Management (EDRM): Die letzte wichtige Ebene ist die Automatisierung der Verschlüsselung. Wenn ein Unternehmen über Richtlinien zur proaktiven Verschlüsselung von Daten verfügt, von denen es weiß, dass sie sensibel sind und auf jeden Fall eingeschränkt werden müssen, dann ist es für Insider oder kompromittierte Konten sehr schwierig, diese Informationen zu stehlen, da sie keine Befugnis zur Entschlüsselung haben.

Letztlich hat sich die Art und Weise, wie wir arbeiten, verändert. Die digitale Transformation und der Trend zur Public Cloud haben sich auf die Art und Weise ausgewirkt, wie Geschäfte abgewickelt werden. Für viele Unternehmen ist das hybride Arbeiten nun ein fester Bestandteil, ebenso wie der Wandel in der Art und Weise, wie sie über Produktivität und Geschäftsprozesse denken. Die Sicherheit muss sich weiterentwickeln, um den Schutz der Daten zu gewährleisten.

Derzeit verlassen sich viele Unternehmen noch auf netzzentrierte Zugangstechnologien, um die Arbeit an entfernten Standorten zu ermöglichen. Wenn Benutzer jedoch einen infrastrukturweiten Zugriff erhalten, besteht das Risiko, dass sich Insider oder kompromittierte Konten seitlich innerhalb des Unternehmens bewegen. Der Zugang sollte nicht schwarz oder weiß sein, sondern eine Abstufung, die mit einem vollständigen Einblick in Ihre Endgeräte, Benutzer, Anwendungen und Daten erfolgt. Um die vielen Bedrohungsvektoren zu überwinden, müssen Unternehmen in die notwendigen Tools und Frameworks wie SSE und SASE investieren, um Sicherheit zu bieten, die Daten von überall aus schützt.

*Sundaram Lakshmanan ist CTO of SASE Products bei Lookout.