Zum ersten Mal hat Gartner einen Hype Cycle Report für einen der wichtigsten aufkommenden Bereiche im Bereich der Cybersicherheit erstellt: die digitale Identität.
Die Hype Cycles von Gartner bieten eine grafische Darstellung des Reifegrads und der Akzeptanz von Technologien und Anwendungen sowie ihrer potenziellen Relevanz für die Lösung echter Geschäftsprobleme und die Nutzung neuer Chancen.
"Transformationstechnologien, die in diesem Hype Cycle behandelt werden, drehen sich um Technologien, die das Vertrauen in digitale Identitäten herstellen, vermitteln und verwalten, während sie es den Benutzern ermöglichen, ihre digitale Identität zu "besitzen". Wir glauben, dass das Verständnis dieser aufkommenden und etablierten Tools Sicherheitsverantwortlichen dabei helfen kann, mehr Flexibilität, Agilität und Risikoabdeckung in der digitalen Identitätslandschaft zu erreichen.
Für uns sind die im Gartner Hype Cycle for Digital Identity beobachteten Trends Teil einer umfassenderen Diskussion im Bereich des Identity Access Management (IAM). IAM-Frameworks diktieren die Systemprozesse, durch die Personen und Maschinen identifiziert, Rollen zugewiesen und erkannt, sensible Daten geschützt und Zugriffsebenen zugewiesen werden.
Im Gartner Hype Cycle for Digital Identity heißt es: "Aufgrund von Cyber-Bedrohungen und Datenschutzgesetzen müssen die Verantwortlichen für das Sicherheits- und Risikomanagement (SRM) Anwendungsfälle unterstützen, die digitale Geschäfte ermöglichen und gleichzeitig den Datenschutz gewährleisten." Im Folgenden werden wir uns auf die wichtigsten Erkenntnisse aus zwei Bereichen der digitalen Identität konzentrieren, die in dem Bericht erwähnt werden: Maschinelles Identitätsmanagement und IoT Authentifizierung.
Maschinen-Identitätsmanagement & IoT Authentifizierung
Maschinenidentitäten sind digitale Schlüssel, Geheimnisse und Zertifikate, die die Gültigkeit digitaler Transaktionen belegen.
Machine Identity Management (MIM) wurde erstmals 2020 im Gartner Hype Cycle für Identity Access Management erwähnt und hat seitdem als Cybersicherheitsinitiative an Bedeutung gewonnen. Während Unternehmen seit langem der Sicherung der Identitäten menschlicher Benutzer, die auf Systeme zugreifen, Priorität einräumen, fehlt ihnen oft eine Strategie zur Validierung von Maschinenidentitäten im gesamten Unternehmen.
1. Die schiere Menge an Maschinenidentitäten stellt für Unternehmen ein wachsendes Problem dar.
Die Definition des Begriffs "Maschine" ist inzwischen sehr weit gefasst und umfasst nicht nur Geräte wie Laptops und Server, sondern auch APIs, Algorithmen, Anwendungen, Cloud-Infrastrukturen, Container und Dutzende andere.
Es ist keine Überraschung, dass die Zahl der maschinellen Identitäten im Durchschnitt 10 zu 1 höher ist als die Zahl der menschlichen Identitäten. Kleine Unternehmen benötigen Tausende von maschinellen Identitäten, während Global-500-Unternehmen Millionen benötigen.
Obwohl die Werkzeuge für die Erstellung digitaler Identitäten schon recht ausgereift sind, stellt die Verwaltung dieser Identitäten eine große Herausforderung dar, insbesondere wenn sie manuell erfolgt.
2. Die Sicherheitsteams kennen sich nicht immer gut mit der Identität von Maschinen aus.
Bösewichte wissen, dass die Rechneridentität einer der am wenigsten verstandenen Sicherheitsaspekte ist, was sie zu einer beliebten Schwachstelle macht, die ausgenutzt werden kann. Neue Malware, die auf Schwachstellen in der Rechneridentität abzielt, ist auf dem Vormarsch, ebenso wie die schiere Anzahl der Malware-Angriffe auf Zertifikate. Diese Angriffe nahmen von 2017 bis 2021 um 400 % zu, und im Jahr 2020 waren 50 % der Cloud-Sicherheitsausfälle auf eine unzureichende Verwaltung von Rechneridentitäten und Berechtigungen zurückzuführen.
Laut Gartner unterscheiden sich die Anforderungen von Maschinen und Menschen in Bezug auf Beobachtbarkeit, Eigentum und Automatisierung". Unternehmen müssen daran arbeiten, diese Unterschiede zu verstehen, um ihre Strategien effektiv umzusetzen.
3. IoT ist die nächste Welle für MIM geworden.
Vernetzte Produkte stellen einen völlig neuen Anwendungsfall und eine neue Umgebung für MIM dar. Sie bringen die Vorteile der digitalen Infrastruktur in physische Prozesse ein, die Produktionsdaten in Echtzeit generieren, Bediener auf anstehende Wartungsarbeiten hinweisen, Anlagen verfolgen und vieles mehr.
Laut Gartner "bilden diese vernetzten Geräte eine Brücke zwischen der Cyber- und der physischen Welt und eröffnen neue Bedrohungsvektoren". Wir sind davon überzeugt, dass eine robuste MIM-Strategie der Schlüssel zur Verhinderung von Datenschutzverletzungen in hochgradig reglementierten Branchen wie dem Finanz- und Gesundheitswesen sein wird. Dies wird dazu beitragen, Angriffe auf "industrielle Geräte zu verhindern, die zu betrieblichen Beeinträchtigungen und möglicherweise zu katastrophalen Ereignissen in sicherheitskritischen Produktionsbereichen führen."
IoT Bereiche stellen besondere Anforderungen und Herausforderungen in Bezug auf die Einhaltung von Vorschriften und die Gestaltung. Während die Öffentlichkeit bei der Definition von Ansätzen für die IoT Authentifizierung Fortschritte gemacht hat, gibt es noch viel zu tun. Laut Gartner "sind die meisten IIoT-Systeme in sich geschlossen und verwenden native, proprietäre Mittel zur Authentifizierung. Außerdem sind einige Authentifizierungsmethoden keine guten Kandidaten für bestimmte IoT Geräte, die aufgrund ihrer geringen Rechenleistung und begrenzten sicheren Speicherkapazität nur über begrenzte Ressourcen oder Funktionen verfügen", empfiehlt Gartner. "Evaluieren und übernehmen Sie Authentifizierungs-Frameworks, die eine Reihe von Gerätetypen in den IoT Bereichen unterstützen."
4. Die unterstützende Infrastruktur rund um die Maschinenidentitäten ist noch im Aufbau begriffen.
Neben der größeren Vielfalt und Menge an Maschinen gibt es auch unterschiedliche Anwendungsfälle in den verschiedenen Geschäftsbereichen und Abteilungen. Diese weit verbreitete Nutzung erfordert eine Reihe zentraler Standards, um MIM im gesamten Unternehmen einheitlich zu gestalten und gleichzeitig den Abteilungen die Flexibilität zu geben, MIM auf eine Art und Weise zu implementieren, die ihrem jeweiligen Kontext entspricht.
Frameworks und Governance zur Unterstützung von Best Practices im MIM-Bereich sind jedoch noch im Entstehen begriffen. Der Hype Cycle identifiziert ein "Henne-Ei-Problem": "Die Zielanwendungen warten darauf, dass sich ein Standard durchsetzt, und die IAM-Anbieter warten auf breite Unterstützung in ihren Zielanwendungen."
Laut Gartner "gibt es nur eine teilweise Konvergenz der Tools. Viele Tools haben unterschiedliche Ansätze in Bezug auf Benutzeroberflächen, Integrationen, Erkennung, Berichtsfunktionen, Reichweite und Latenzzeiten. Dies führt zu einer Best-of-Breed-Strategie mit mehreren Tools. Gartner empfiehlt: "Bestimmen Sie die Gesamtabhängigkeit von Maschinenidentitäten, indem Sie Erkennungsprozesse einrichten. Evaluieren Sie einen Mix aus mehreren Tools, die eine kontinuierliche Beobachtung von Maschinen in Ihrer hybriden und Multi-Cloud-Umgebung ermöglichen."
Neue MIM-Plattformen und Servicemodelle erleichtern den Unternehmen die Verwaltung von Maschinenidentitäten und Public-Key-Infrastrukturen. Diese zentralisierten Plattformen bieten einen Knotenpunkt für den MIM-Status im gesamten Unternehmen und schaffen die Voraussetzungen für die Automatisierung. Sie schaffen auch Kostenvorteile. In der Vergangenheit benötigte jede Geschäftseinheit, die Maschinenidentitäten verwaltete, ihre eigene Zertifizierungsstelle (CA), und jede CA benötigte ihren eigenen Server. Moderne MIM-Plattformen können mehrere CAs auf einem Server hosten. Diese Angebote sind bereits mit Datenbanken und Integrationen ausgestattet, so dass die Benutzer nicht mehr auf einen Anbieter angewiesen sind. PKI-as-a-Service-Angebote ermöglichen es Unternehmen, MIM über ein effizientes SaaS-Abonnementmodell vollständig auszulagern.
5. MIM ist von entscheidender Bedeutung, um flexiblere Arbeitsabläufe in den Bereichen Design, Entwicklung und Sicherheitsbetrieb zu ermöglichen.
Agile und DevOps-Prozesse nutzen in hohem Maße Cloud-Systeme und andere dezentrale Plattformen, um eine iterative Entwicklung und schnelle Feedbackschleifen zu ermöglichen. Aus der Sicherheitsperspektive bedeutet dies eine höhere Geschwindigkeit digitaler Anfragen und Transaktionen, die gesichert werden müssen, ohne zu einem Engpass zu werden.
Sicherheits-, software Test- und Compliance-Phasen werden oft als Bremsklötze für Agilität und Innovation angesehen. Der "Shift Left"-Trend macht diese heiklen Phasen jedoch zu Beschleunigern, indem er die Interessenvertreter für Sicherheit, Tests und Compliance bereits in den frühesten Phasen in die Entwicklungsgespräche einbezieht - ein Ansatz, der als DevSecOps bekannt ist. Mit den richtigen Tools lassen sich unserer Meinung nach wichtige DevOps-Grundsätze, wie die Automatisierung, auf Sicherheit und MIM ausweiten.
6. MIM legt den Grundstein für Zero Trust.
Zero Trust ist die neueste Entwicklung in der Unternehmenssicherheit. Traditionell gilt ein Benutzer oder ein Rechner, sobald er die Firewall passiert hat, als "vertrauenswürdig" und kann sich ungehindert durch die Systemlandschaft bewegen. Bei einem Zero-Trust-Ansatz wird jede Anfrage so verifiziert, als käme sie aus einem offenen, ungesicherten Netzwerk.
Zero Trust ist eine Strategie, kein Werkzeug. Um diese Strategie zu ermöglichen, ohne die Geschäftsprozesse zu verlangsamen, müssen Unternehmen über die Architektur und die Rahmenbedingungen für eine effiziente Verwaltung von Maschinenidentitäten verfügen.
Was kommt als Nächstes?
Wenn es um Maschinenidentitäten geht, ist der Zug bereits abgefahren. Zertifikate und Schlüssel sind bereits in jedem Unternehmen im Einsatz und bilden einen integralen Bestandteil jeder modernen digitalen Infrastruktur.
Es ist unwahrscheinlich, dass Ihre Hauptaufgabe als Unternehmen darin besteht, einen effizienten MIM-Prozess zu schaffen. Wir glauben, dass die herkömmliche Methode zur Verwaltung von Maschinenidentitäten mühsam, manuell und oft missverstanden ist und Ihr Sicherheitsteam davon abhalten kann, sich auf seine übergeordneten Ziele zu konzentrieren.
Der Bereich MIM und sein Dach, IAM, hat sich in aufregende neue Unterbereiche aufgespalten, die MIM nicht nur als nachhaltig, sondern auch als Mehrwert für Ihr Unternehmen positionieren. Hier kommt Keyfactor ins Spiel. Wir helfen Unternehmen dabei, die Kontrolle zurückzuerlangen und jede Maschinenidentität zu sichern, damit sie sich auf die Steigerung des Geschäftswerts konzentrieren können. Lassen Sie sich von uns zeigen, wie unsere Cloud-first-Plattform die Verwaltung und den Schutz aller Schlüssel und Zertifikate in Ihrem Unternehmen vereinfacht - vereinbaren Sie eine Demo, um mehr zu erfahren.
Gartner, Hype Cycle for Digital Identity, 2022, Felix Gaehtgens, 25. Juli 2022
Gartner und Hype Cycle sind eingetragene Marken und Dienstleistungsmarken von Gartner, Inc. und/oder seinen Tochtergesellschaften in den USA und international und werden hier mit Genehmigung verwendet. Alle Rechte vorbehalten. Gartner unterstützt keinen der in seinen Forschungspublikationen dargestellten Anbieter, Produkte oder Dienstleistungen und rät Technologieanwendern nicht, nur die Anbieter mit den höchsten Bewertungen oder anderen Bezeichnungen auszuwählen. Die Forschungspublikationen von Gartner geben die Meinung der Forschungsorganisation von Gartner wieder und sollten nicht als Tatsachenbehauptungen ausgelegt werden. Gartner lehnt jede ausdrückliche oder stillschweigende Gewährleistung in Bezug auf diese Studie ab, einschließlich jeglicher Gewährleistung der Marktgängigkeit oder Eignung für einen bestimmten Zweck.
