Wie man eine Zero-Trust-Umgebung in Finanzdienstleistungen schafft (Boris Bialek)

Vor nicht allzu langer Zeit schützten Sicherheitsprofis ihre IT ähnlich wie mittelalterliche Wächter eine ummauerte Stadt – sie machten es so schwer wie möglich hineinzukommen. Aber sobald jemand die Grenze überschritten hatte, hatte er großzügigen Zugang
zu den darin enthaltenen Reichtümern. Im Finanzsektor bedeutet dies den Zugriff auf personenbezogene Daten (PII), die einen „marktfähigen Datensatz“ mit Kreditkartennummern, Namen, Sozialversicherungsinformationen und mehr umfassen. Leider gibt es viele Fälle
wo die Burg gestürmt wurde und die Endbenutzer im Rückstand waren. Am bekanntesten ist immer noch die

Equifax-Vorfall, wo ein kleiner Verstoß zu jahrelang unzufriedenen Kunden geführt hat. 

Seitdem hat sich die Denkweise geändert, da Benutzer zunehmend auf Netzwerke und Anwendungen von überall, auf jedem Gerät und auf in der Cloud gehosteten Plattformen zugreifen – die klassische Punkt-zu-Punkt-Sicherheit ist veraltet. Der Umfang hat sich geändert, also verlassen Sie sich darauf
Eine Barriere zu sein, die alles schützt, hat sich ebenfalls verändert.

Zero Trust stellt ein neues Paradigma für Cybersicherheit dar. In einer Zero-Trust-Umgebung wird angenommen, dass der Perimeter verletzt wurde, es keine vertrauenswürdigen Benutzer gibt und kein Benutzer oder Gerät nur aufgrund seines physischen oder Netzwerkstandorts Vertrauen erlangt. Jeder Benutzer,
Gerät und Verbindung müssen kontinuierlich verifiziert und auditiert werden. 

Das ist selbstverständlich, aber angesichts der riesigen Menge an vertraulichen Kunden- und Kundendaten, mit denen die Finanzdienstleistungsbranche täglich zu tun hat, und der strengen Vorschriften, muss dies eine noch größere Priorität haben. Der wahrgenommene Wert von
Diese Daten machen auch Finanzdienstleistungsunternehmen zu einem primären Ziel für Datenschutzverletzungen. 

Folgendes müssen Sie bedenken, um eine Zero-Trust-Umgebung zu schaffen. 

Sicherung der Daten 

Während sichergestellt wird, dass der Zugriff auf Banking-Apps und Online-Dienste von entscheidender Bedeutung ist, ist es tatsächlich die Datenbank, die das Backend dieser Anwendungen ist, die ein Schlüsselelement bei der Schaffung einer Zero-Trust-Umgebung ist. Die Datenbank enthält so viele sensible,
und regulierte Informationen sowie Daten, die möglicherweise nicht sensibel sind, aber für die Aufrechterhaltung des Unternehmensbetriebs von entscheidender Bedeutung sind. Aus diesem Grund ist es unerlässlich, dass eine Datenbank bereit und in der Lage ist, in einer Zero-Trust-Umgebung zu arbeiten. 

Da immer mehr Datenbanken zu Cloud-basierten Diensten werden, besteht ein großer Teil davon darin, sicherzustellen, dass die Datenbank standardmäßig sicher ist, d. h. sie ist sofort einsatzbereit. Dadurch wird den Administratoren ein Teil der Verantwortung für die Sicherheit entzogen
Die höchsten Sicherheitsstufen sind von Anfang an vorhanden, ohne dass die Aufmerksamkeit von Benutzern oder Administratoren erforderlich ist. Um den Zugriff zu gewähren, müssen Benutzer und Administratoren proaktiv Änderungen vornehmen – nichts wird automatisch gewährt. 

Je mehr Finanzinstitute die Cloud nutzen, desto komplizierter kann dies werden. Die Sicherheitsverantwortlichkeiten sind zwischen der eigenen Organisation des Kunden, den Cloud-Anbietern und den Anbietern der genutzten Cloud-Dienste aufgeteilt. Dies ist bekannt als die
Modell der geteilten Verantwortung. Dies entfernt sich vom klassischen Modell, bei dem die IT die Härtung der Server und der Sicherheit besitzt, dann die Software darüber härten muss – sagen wir die Version der Datenbanksoftware – und dann den eigentlichen Anwendungscode härten muss.
Bei diesem Modell liegt die Hardware (CPU, Netzwerk, Speicher) ausschließlich im Bereich des Cloud-Anbieters, der diese Systeme bereitstellt. Der Dienstanbieter für ein Data-as-a-Service-Modell liefert dann die Datenbank gehärtet an den Client mit einem designierten Endpunkt.
Erst dann kommt das eigentliche Kundenteam mit seinen Anwendungsentwicklern und dem DevOps-Team für die eigentliche „Lösung“ ins Spiel. 

Sicherheit und Resilienz in der Cloud sind nur möglich, wenn sich alle über ihre Rollen und Verantwortlichkeiten im Klaren sind. Geteilte Verantwortung erkennt an, dass Cloud-Anbieter sicherstellen, dass ihre Produkte standardmäßig sicher sind, während sie noch verfügbar sind, aber auch das
Unternehmen ergreifen geeignete Maßnahmen, um die Daten, die sie in der Cloud aufbewahren, weiterhin zu schützen.

Authentifizierung für Kunden und Benutzer 

In Banken und Finanzorganisationen wird immer viel Wert auf die Kundenauthentifizierung gelegt, um sicherzustellen, dass der Zugriff auf Gelder so sicher wie möglich ist. Aber es ist auch wichtig sicherzustellen, dass der Zugriff auf die Datenbank auf der anderen Seite sicher ist. Eine IT-Organisation
kann eine beliebige Anzahl von Methoden verwenden, um Benutzern zu ermöglichen, sich gegenüber einer Datenbank zu authentifizieren. Meistens beinhaltet dies einen Benutzernamen und ein Passwort, aber angesichts der zunehmenden Notwendigkeit, die Vertraulichkeit vertraulicher Kundeninformationen durch Finanzdienstleistungsunternehmen zu wahren
Dies sollte nur als Basisschicht betrachtet werden. 

Auf der Datenbankebene ist es wichtig, über Transportschichtsicherheit und SCRAM-Authentifizierung zu verfügen, wodurch der Datenverkehr von Clients zur Datenbank während der Übertragung authentifiziert und verschlüsselt werden kann.

Auch die passwortlose Authentifizierung sollte in Betracht gezogen werden – nicht nur für Kunden, sondern auch für interne Teams. Dies kann auf verschiedene Weise mit der Datenbank erfolgen, entweder automatisch generierte Zertifikate, die für den Zugriff auf die Datenbank benötigt werden, oder
Erweiterte Optionen für Organisationen, die bereits X.509-Zertifikate verwenden und über eine Zertifikatsverwaltungsinfrastruktur verfügen. 

Protokollierung und Auditierung 

Als stark regulierte Branche ist es auch wichtig, Ihre Zero-Trust-Umgebung zu überwachen, um sicherzustellen, dass sie in Kraft bleibt und Ihre Datenbank übertrifft. Die Datenbank sollte in der Lage sein, alle Aktionen zu protokollieren oder über Funktionen zum Anwenden von Filtern zum Erfassen zu verfügen
nur bestimmte Ereignisse, Benutzer oder Rollen. 

Mit der rollenbasierten Überwachung können Sie Aktivitäten von bestimmten Rollen, wie z. B. userAdmin oder dbAdmin, in Verbindung mit allen Rollen, die von jedem Benutzer geerbt werden, protokollieren und melden, anstatt die Aktivitäten für jeden einzelnen Administrator extrahieren zu müssen. Dieser Ansatz macht es einfacher
für Unternehmen, um eine durchgängige Betriebskontrolle durchzusetzen und den für Compliance und Berichterstattung erforderlichen Einblick zu bewahren. 

Verschlüsselung 

Bei großen Mengen wertvoller Daten müssen Finanzinstitute auch sicherstellen, dass sie die Verschlüsselung nutzen – während der Übertragung, im Ruhezustand und sogar während der Nutzung. Das Sichern von Daten mit clientseitiger Verschlüsselung auf Feldebene ermöglicht Ihnen den Wechsel zu verwalteten Diensten im
Cloud mit mehr Vertrauen. Die Datenbank funktioniert nur mit verschlüsselten Feldern und Organisationen kontrollieren ihre eigenen Verschlüsselungsschlüssel, anstatt sie vom Datenbankanbieter verwalten zu lassen. Diese zusätzliche Sicherheitsebene erzwingt eine noch feinere Trennung
von Pflichten zwischen denen, die die Datenbank nutzen, und denen, die sie verwalten und verwalten. 

Da mehr Daten in der Cloud übertragen und gespeichert werden – einige davon hochsensible Workloads – werden zusätzliche technische Optionen zur Kontrolle und Einschränkung des Zugriffs auf vertrauliche und regulierte Daten benötigt. Diese Daten müssen jedoch weiterhin verwendet werden.
Daher ist es wichtig sicherzustellen, dass die Verschlüsselung der verwendeten Daten Teil Ihrer Zero-Trust-Lösung ist. Dies ermöglicht es Unternehmen auch, vertrauliche Daten sicher zu speichern und Compliance-Anforderungen zu erfüllen, während gleichzeitig verschiedene Bereiche des Unternehmens Zugriff erhalten und
Erkenntnisse daraus. 

In einer Welt, in der die Sicherheit von Daten immer wichtiger wird, gehören Finanzdienstleister zu denen, die am meisten zu verlieren haben, wenn sie in die falschen Hände geraten. Die Perimeter-Mentalität aufgeben und sich in Richtung Zero Trust bewegen – insbesondere als
mehr Cloud- und As-a-Service-Angebote sind in die Infrastruktur eingebettet – das ist die einzige Möglichkeit, ein so wertvolles Gut wirklich zu schützen.