NCSC veröffentlicht Leitfaden zur Umsetzung von ZTNA nach Zero-Trust-Prinzipien

Das britische National Cyber Security Centre hat einen neuen Leitfaden für Organisationen veröffentlicht, die Zero Trust Network Access (ZTNA) als Teil umfassender Zero-Trust-Strategien einsetzen. Im Mittelpunkt steht die Frage, wie Zugriffssysteme so gestaltet werden können, dass sie nicht einfach ältere, netzwerkbasierte Vertrauensmodelle mit moderneren Werkzeugen nachbilden.

ZTNA wird häufig eingesetzt, um den Zugriff von Benutzern auf interne Anwendungen und Cloud-Dienste zu modernisieren. Laut NCSC basieren einige Implementierungen jedoch weiterhin zu stark auf einem vertrauensbasierten Standortmodell. Dadurch können weitreichende Zugriffspfade bestehen bleiben, selbst wenn die Technologie fortschrittlicher erscheint. Der neue Leitfaden soll Teams dabei helfen, diese Falle zu vermeiden.

Inhalt des Leitfadens

Die Veröffentlichung erläutert, wie ZTNA in eine Zero-Trust-Architektur eingebettet ist und wie es sich von traditionellen „umgrenzten Gärten“ unterscheidet. Außerdem werden die Grundlagen beschrieben, die Organisationen vor der Einführung schaffen sollten, sowie Designanforderungen, die eine Implementierung prägen sollten.

• eine Referenzarchitektur für den Zugriff auf private Anwendungen und Software-as-a-Service-Plattformen
• Beispiele für gängige Anti-Patterns, die ZTNA-Implementierungen schwächen
• Empfehlungen dazu, wie technische Entscheidungen an den Anforderungen und Risiken einer Organisation ausgerichtet werden können

Das NCSC betont, dass das Material weder als Checkliste noch als Compliance-Framework gedacht ist. Stattdessen soll es Architekturentscheidungen unterstützen, die die Benutzer, Systeme, Bedrohungslage und betrieblichen Einschränkungen einer Organisation berücksichtigen.

Für wen der Leitfaden gedacht ist

Der Leitfaden richtet sich hauptsächlich an Architekten, Sicherheitsfachleute und technische Entscheidungsträger, die für die Zugriffsarchitektur verantwortlich sind. Er kann für Organisationen nützlich sein, die ZTNA erstmals einführen, ihre Abhängigkeit von herkömmlichen Netzwerkperimetern verringern oder bestehende Implementierungen daraufhin überprüfen möchten, ob sie den erwarteten Sicherheitsgewinn bieten.

Die Behörde empfiehlt, zunächst die einführenden Abschnitte zu lesen und anschließend mit den Voraussetzungen und Designanforderungen fortzufahren. Besonders wichtig sei der abschließende Abschnitt zu häufigen Fehlern, da viele Implementierungen nicht wegen fehlender Funktionen scheitern, sondern weil alte Annahmen über Vertrauen in neue Systeme übertragen werden.

Nach Einschätzung des NCSC sollte ZTNA als Bestandteil eines umfassenderen Zero-Trust-Ansatzes und nicht als eigenständige Sicherheitslösung betrachtet werden.