Warum Unternehmen sich um das Identitätsmanagement von Maschinen kümmern müssen

Machine Identity Management (MIM) ist ein wesentlicher Bestandteil des Cybersicherheitsprogramms eines Unternehmens. Maschinenidentitäten liegen in Form von kryptografischen Schlüsseln und digitalen Zertifikaten vor, die zur Identifizierung und sicheren Verbindung praktisch aller Elemente im Netzwerk eines Unternehmens verwendet werden - Arbeitslasten, Dienste, Geräte und mehr. Moderne Unternehmen stützen sich heute auf Tausende von Geräten und Anwendungen, um ihre täglichen Aufgaben zu erfüllen. Ähnlich wie die Menschen, aus denen sich ein Unternehmen zusammensetzt, benötigt jedes Gerät seine eigene Identität, und die Sicherheitsteams müssen es ordnungsgemäß verwalten und schützen.

Die größte Herausforderung bei der ordnungsgemäßen Verwaltung von Maschinenidentitäten besteht darin, dass die Lebensdauer von vertrauenswürdigen Zertifikaten nur 13 Monate beträgt. Verständlicherweise haben viele IT-Teams weder die Zeit noch die Ressourcen, um Hunderttausende von Zertifikaten in einem Unternehmen zu überwachen. Wenn jedoch Maschinenidentitäten nicht als kritische Infrastruktur für die Sicherheit eines Unternehmens behandelt werden, besteht für diese Unternehmen das Risiko von Ausfällen. Und in einigen Fällen können Ausfälle unwiderlegbare Schäden verursachen - nicht nur für das Unternehmen, sondern auch für den Ruf seiner Marke.

Dennoch erkennen viele Unternehmen erst jetzt die Notwendigkeit eines maschinellen Identitätsmanagements. Aber warum fangen Unternehmen an, sich mehr Gedanken zu machen? Und ist Ihr Unternehmen dort, wo es sein sollte - bevor es zu spät ist?

In einer Folge des EM360 Podcastsprach Redakteur Matt Harris mit Chris Hickman, Chief Security Officer bei Keyfactor, darüber, warum Unternehmen der maschinellen Identität mehr Aufmerksamkeit schenken und welche Trends Unternehmen jetzt nutzen müssen, um für die Zukunft gerüstet zu sein. Hier sind einige der aufschlussreichen Punkte aus ihrem Gespräch.

Chris Hickman: Die meisten Unternehmen haben viel Zeit und Mühe darauf verwendet, ihre menschlichen Identitäten zu rationalisieren. Aber jetzt, wo sie verstehen, wer Menschen sind, wie sie miteinander interagieren und wie sie sich sicher authentifizieren, ist es an der Zeit, den gleichen Ansatz auch bei Maschinen zu verfolgen.

Mehrere Initiativen, wie zum Beispiel Zero Trust und die Verlagerung in die Cloud, erhöhen den Bedarf der Unternehmen an einem Identitätsmanagement für Maschinen. Unternehmen entwickeln ein besseres Verständnis für die Sicherheit der von ihnen verwendeten Geräte, die Kommunikation zwischen diesen Geräten und die mit ihnen verbundenen Frontend- und Backend-Systeme. Sie erkennen, dass die Geräteidentität vom Standpunkt des Lebenszyklus- und Vorfallsmanagements aus gesehen effektiv, effizient und flexibel sein kann.

Chris: Die maschinelle Identität ist in den Vordergrund gerückt, weil die Unternehmen beginnen, die verschiedenen Teams, die die Identität verwalten, zu konsolidieren. Zum Beispiel, PKI und X.509-Zertifikate waren traditionell die Domäne einer bestimmten Sicherheitsgruppe. Zunehmend werden jedoch die Zuständigkeiten für die Ausstellung von Zertifikaten an das Identitätsmanagementteam übertragen. Diese Verlagerung hin zur Konsolidierung fördert den Gedanken, dass es bei der Identität nicht nur um Sicherheit geht, und veranlasst Unternehmen dazu, sich Gedanken darüber zu machen, wie sie die Identität innerhalb des Unternehmens ganzheitlich verwalten.

Chris: Die Gemeinsamkeit, die wir sehen, ist, dass es nur ein sehr geringes Verständnis dafür gibt, wo sich Anmeldedaten und Identitäten innerhalb eines Unternehmens befinden, so dass sie nicht herausfinden können, wie groß das Problem ist. Die Unternehmen haben Schwierigkeiten, Fragen wie diese zu beantworten:

• Wie viele Zertifikate habe ich in meinem Unternehmen?
• Wie viele SSH-Schlüssel habe ich?
• Wo werden die Zertifikate aufbewahrt? 
• Wofür werden sie verwendet?
• Wo werden sie ausgestellt?
• Entsprechen die Zertifikate dem aktuellen Standard? 
• Verfügen sie über ein gutes Lebenszyklusmanagementprotokoll?

Die Antworten auf diese Fragen sind umso wichtiger, je größer eine Organisation wird und je mehr Zertifikate verwendet werden. Laut der jährlichen Studie von KeyfactorZustand des Maschinen-Identitätsmanagements geben 70 % der Unternehmen an, dass die Zunahme von Schlüsseln und Zertifikaten den betrieblichen Aufwand erhöht hat. Unternehmen wenden sich der Automatisierung zu, um diese Belastung zu verringern, damit sie ihr Geschäft weiter ausbauen können.

Chris: Wir beginnen mit einer vollständigen Bestandsaufnahme des Unternehmens, um die Grundlagen des Problems der Maschinenidentität zu ermitteln. Dann befassen wir uns mit der Zuweisung von Eigentumsrechten, der Bildung von funktionsübergreifenden Gruppen und der Definition der Eigentümer der Berechtigungsnachweise, denn ein einzelner Berechtigungsnachweis kann mehrere Eigentümer haben. So kann beispielsweise ein Berechtigungsnachweis einen Webserver repräsentieren, aber auf diesem Webserver befindet sich auch eine Anwendung. Wenn der Server ausfällt, fällt auch die Anwendung aus. Der Besitz kann also über mehrere verschiedene Teams verteilt sein.

Als Nächstes passen wir die Richtlinien und Praktiken an die neue Struktur an, um diese Denkweise zu einem Teil der etablierten Kultur zu machen. Zu guter Letzt geht es darum, die Prozesse zu automatisieren. Denn wenn Sie die Automatisierung erst einmal eingeführt haben und Anmeldedaten nicht mehr manuell erneuern und bereitstellen müssen, ist das Unternehmen viel besser in der Lage, zu skalieren und die Sicherheit des Unternehmens zu gewährleisten.

Chris: Im Moment sind mehrere Dinge im Gange, insbesondere die Entwicklung der Quantencomputer und der Reifung der kryptografischen Standards. Die Quanteninformatik wird so weit zur Realität, dass sie bestehende kryptografische Algorithmen brechen könnte. Diese Quantenbedrohung befindet sich noch in der Entwicklung, wird aber bald dazu führen, dass Unternehmen die Art und Weise ändern müssen, wie Maschinenidentitäten mithilfe der Kryptografie abgeleitet werden. Das potenzielle Risiko führt zu einer Änderung der kryptografischen Standards und Protokolle, auf die sich Unternehmen jetzt vorbereiten müssen. Andernfalls werden sie im Nachteil sein und erheblichen Sicherheitsrisiken ausgesetzt sein.

Mehr als eintausend Unternehmen vertrauen Keyfactor bei der Ausstellung, Verwaltung und dem Schutz von Maschinenidentitäten in ihrem Unternehmen. Die Plattform Keyfactor wurde entwickelt, um Ihre aktuellen und zukünftigen Anforderungen an die Maschinenidentität mit integrierter PKI, digitalem Signieren und Maschinenidentitätsmanagement zu erfüllen.

Kontaktieren Sie uns noch heute, um mehr zu erfahren.