Sicheres Remote- und Hybrid-Arbeiten mit Zero Trust

Als Teil der Anleitung zur Einführung von Zero Trust beschreibt dieser Artikel das Geschäftsszenario zur Sicherung von Remote- und Hybridarbeit. Beachten Sie, dass die Sicherung Ihrer Geschäftsdaten und Ihrer Infrastruktur Themen separater Geschäftsszenarien sind und nicht in dieser Anleitung enthalten sind.

Der Übergang zu einem hybriden Arbeitsstil zwingt Unternehmen zu einer schnellen Anpassung. Remotemitarbeiter erledigen ihre Arbeit auf ihre eigene Weise, z. B. mit persönlichen Geräten, Zusammenarbeit über Clouddienste und Freigabe von Daten außerhalb des Unternehmensnetzwerkperimeters. Hybrid-Mitarbeiter arbeiten sowohl in Unternehmens- als auch in Heimnetzwerken und wechseln zwischen geschäftlichen und privaten Geräten.

Da die Heimnetzwerke der Mitarbeiter den Umfang des Unternehmensnetzwerks ausdehnen und verschiedene Geräte diesem Netzwerk beitreten, vervielfachen sich die Sicherheitsbedrohungen und werden immer ausgefeilter, während sich die Angriffsvektoren weiterentwickeln.

Das folgende Diagramm veranschaulicht den Wandel vom traditionellen Schutz mit Netzwerkkontrollen auf der linken Seite (von begrenzten bekannten Standorten) zum modernen Schutz mit Zero Trust auf der rechten Seite (zu unbekannten Standorten), bei dem der Schutz unabhängig davon angewendet wird, wo sich Benutzer und Geräte befinden.

Die Anleitung in diesem Artikel beschreibt, wie Sie mit Ihrer Strategie zur Sicherung von Remote- und Hybridarbeit beginnen und diese umsetzen.

Wie Unternehmensführer über die Sicherung von Remote- und Hybridarbeit denken

Bevor Sie mit technischen Arbeiten beginnen, ist es wichtig, die unterschiedlichen Beweggründe für Investitionen in die Sicherung von Remote- und Hybridarbeit zu verstehen, da diese Beweggründe dazu beitragen, die Strategie, Ziele und Erfolgsmaßnahmen zu beeinflussen.

In der folgenden Tabelle finden Sie Gründe, warum Führungskräfte im gesamten Unternehmen in die Sicherung von Remote- und Hybridarbeit investieren sollten.

Zusätzlich zu den Beweggründen für Unternehmensleiter erwarten viele Mitarbeiter Flexibilität und möchten von überall, jederzeit und von jedem Gerät aus arbeiten.

Microsoft ist eine von vielen Großunternehmen, die zu Beginn der COVID-19-Pandemie auf Remote- und Hybridarbeit setzten. Auf Seite 87 des Microsoft Digital Defense Report 2022 betont Microsoft, dass diese Geschäftsmöglichkeit Risiken mit sich bringt und mit Sicherheitsmaßnahmen gepaart werden muss, um die Widerstandsfähigkeit gegen Angriffe zu erhöhen:

• Cybersicherheit ist ein zentraler Faktor für den technologischen Erfolg. Innovation und höhere Produktivität können nur durch die Einführung von Sicherheitsmaßnahmen erreicht werden, die Unternehmen so widerstandsfähig wie möglich gegen moderne Angriffe machen.
• Die Pandemie hat uns vor die Herausforderung gestellt, unsere Sicherheitspraktiken und -technologien anzupassen, um die Mitarbeiter von Microsoft zu schützen, egal wo sie arbeiten. Im vergangenen Jahr nutzten Bedrohungsakteure weiterhin Schwachstellen aus, die während der Pandemie und der Umstellung auf eine hybride Arbeitsumgebung aufgedeckt wurden.

Dieser Bericht betont, dass die überwiegende Mehrheit erfolgreicher Cyberangriffe durch den Einsatz grundlegender Sicherheitshygiene verhindert werden kann.

Der Einführungszyklus zur Sicherung von Remote- und Hybridarbeit

Zur Absicherung von Remote- und Hybridarbeit mit Zero Trust gehört die Bereitstellung grundlegender Sicherheitsmaßnahmen, die gleichzeitig einen hochentwickelten Schutz bieten. Technisch gesehen umfasst dieses Ziel die Durchsetzung und Überwachung aller Zugriffe auf die Ressourcen Ihrer Organisation mit einem vollständigen End-to-End-Lebenszyklusansatz.

In diesem Artikel wird dieses Unternehmensszenario anhand derselben Lebenszyklusphasen wie im Cloud Adoption Framework für Azure betrachtet („Definieren der Strategie“, „Planen“, „Bereit“, „Einführung“ und „Betrieb“), allerdings angepasst an Zero Trust.

Die folgende Tabelle ist eine barrierefreie Version der Abbildung.

Weitere Informationen zum Zero-Trust-Einführungszyklus finden Sie in der Übersicht über das Zero Trust-Einführungsframework.

Strategiephase festlegen

Die Phase der Strategiedefinition ist entscheidend, um unsere Bemühungen zur Begründung dieses Szenarios zu definieren und zu formalisieren. In dieser Phase verstehen wir das Szenario aus geschäftlicher, IT-, operativer und strategischer Perspektive.

Wir definieren die Ergebnisse, anhand derer der Erfolg im Szenario gemessen werden soll, und sind uns darüber im Klaren, dass Sicherheit eine inkrementelle und iterative Reise ist.

Dieser Artikel schlägt Motivationen und Ergebnisse vor, die für viele Organisationen relevant sind. Nutzen Sie diese Vorschläge, um die Strategie für Ihre Organisation auf der Grundlage Ihrer individuellen Bedürfnisse zu verfeinern.

Sichere Motivation für Remote- und Hybridarbeit

Die Beweggründe für die Sicherstellung von Remote- und Hybridarbeit sind klar, aber verschiedene Teile Ihres Unternehmens werden unterschiedliche Anreize für die Durchführung dieser Arbeit haben. Die folgende Tabelle fasst einige dieser Motivationen zusammen.

Sichere Ergebnisse für Remote- und Hybrid-Arbeitsszenarien

Um produktiv zu sein, müssen Benutzer Folgendes verwenden können:

• Ihre Benutzerkonto-Anmeldeinformationen, um ihre Identität zu überprüfen.
• Ihr Endpunkt (Gerät), z. B. ein PC, Tablet oder Telefon.
• Die Anwendungen, die Sie ihnen zur Verfügung gestellt haben.
• Die zur Erfüllung ihrer Aufgabe erforderlichen Daten.
• Ein Netzwerk, über das der Datenverkehr zwischen Geräten und Anwendungen fließt, unabhängig davon, ob sich der Benutzer und sein Gerät vor Ort oder im Internet befinden.

Jedes dieser Elemente ist das Ziel von Angreifern und muss mit dem „Niemals vertrauen, immer überprüfen“-Prinzip von Zero Trust geschützt werden.

Die folgende Tabelle enthält Ziele und deren Ergebnisse für das sichere Remote- und Hybrid-Arbeitsszenario.

Planphase

Einführungspläne wandeln die ehrgeizigen Ziele einer Zero Trust-Strategie in einen umsetzbaren Plan um. Ihre gemeinsamen Teams können den Einführungsplan nutzen, um ihre technischen Bemühungen zu leiten und diese an der Geschäftsstrategie Ihrer Organisation auszurichten.

Die Motivationen und Ergebnisse, die Sie gemeinsam mit Ihren Führungskräften und Teams definieren, unterstützen die Begründung für Ihre Organisation. Diese werden zur besten Lösung oder Leitziel Ihrer Strategie. Als nächstes folgt die technische Planung, um die Motivationen und Ziele zu erreichen.

Nutzen Sie die folgenden Übungen, um die Umsetzung der Technologiestrategie Ihres Unternehmens zu planen. Diese Übungen unterstützen die Einführungsbemühungen von Zero Trust durch die Erfassung priorisierter Aufgaben. Am Ende dieses Prozesses verfügen Sie über einen Cloud-Einführungsplan, der den in der Cloud-Einführungsstrategie definierten Kennzahlen und Motivationen entspricht.

Die technische Einführung zur Absicherung von Remote- und Hybridarbeit erfordert einen abgestuften Ansatz, um sicherzustellen, dass die Zero-Trust-Prinzipien auf Identitäten, Geräte und Anwendungen angewendet werden, indem Folgendes gefordert wird:

• Die Multifaktor-Authentifizierung (MFA) mit bedingtem Zugriff wird auf alle Benutzeridentitäten angewendet, die auf die Umgebung zugreifen.
• Geräte werden in der Geräteverwaltung registriert und auf ihren Zustand überwacht.
• Der Zugriff auf Anwendungen und deren Daten erfordert die Überprüfung von Identitäten, fehlerfreien Geräten und angemessenem Datenzugriff.

Viele Organisationen können diese Bereitstellungsziele mit einem vierstufigen Ansatz erreichen, der in der folgenden Tabelle zusammengefasst ist.

Wenn dieser mehrstufige Ansatz für Ihre Organisation funktioniert, können Sie Folgendes verwenden:

• Dieser herunterladbare PowerPoint-Foliensatz zum Präsentieren und Melden Ihres Fortschritts für diese Phasen und Ziele für Führungskräfte und andere Projektbeteiligte. Hier sehen Sie die Folie für dieses Geschäftsszenario.

  

• Diese Excel-Arbeitsmappe, um Besitzer zuzuweisen und Ihren Fortschritt für diese Phasen, Ziele und deren Aufgaben nachzuverfolgen. Hier sehen Sie das Arbeitsblatt für dieses Geschäftsszenario.

  

Wenn Ihre Organisation eine bestimmte Strategie für Governance Risk & Compliance (GRC) oder Security Operations Center (SOC) anwendet, ist es wichtig, dass die technische Arbeit Konfigurationen enthält, um diese Anforderungen zu erfüllen.

Verstehen Sie Ihre Organisation

Die Bedürfnisse und Zusammensetzung jeder Organisation sind unterschiedlich. Ein multinationales Unternehmen mit vielen Anwendungen und hochgradig standardisierter Sicherheit wird Sicherheit anders implementieren als ein agiles Startup oder eine mittelständische Organisation.

Unabhängig von der Größe und Komplexität Ihrer Organisation gelten die folgenden Maßnahmen:

• Inventarisieren Sie Benutzer, Endpunkte, Apps, Daten und Netzwerke, um den Sicherheitszustand zu verstehen und den Aufwand abzuschätzen, der für die Umgestaltung des Bestands erforderlich ist.
• Dokumentieren Sie die Ziele und planen Sie eine schrittweise Einführung basierend auf Prioritäten. Ein Beispiel ist die Sicherung von Identitäten und Microsoft 365-Diensten, gefolgt von Endpunkten. Als nächstes sichern Sie Apps und SaaS-Dienste mithilfe moderner Authentifizierungsmethoden und Segmentierungsfunktionen, die durch Conditional Access bereitgestellt werden.
• Um den Grundsatz der Verwendung des Zugriffs mit geringsten Privilegien zu berücksichtigen, erfassen Sie, wie viele Konten über privilegierten Zugriff verfügen, und reduzieren Sie diese auf die geringstmögliche Anzahl von Konten. Konten, die privilegierten Zugriff erfordern, sollten Just-in-Time und Just-Enough-Access (JIT/JEA) verwenden, um ständige Administratorrechte einzuschränken. Sollte es zu einer Verletzung kommen, werden die gefährdeten Konten begrenzt, wodurch der Explosionsradius minimiert wird. Mit Ausnahme eines Kontos für den außerordentlichen Notfall sollte kein ständiger Administratorzugriff für hoch privilegierte Rollen zulässig sein, einschließlich Anwendungsverwaltungsrollen für Produktivitätsdienste wie SharePoint, Exchange und Teams.

Organisatorische Planung und Ausrichtung

Die Implementierung und Steuerung einer sicheren Zugriffsmethode betrifft mehrere sich überschneidende Bereiche und wird typischerweise in der folgenden Reihenfolge implementiert:

1. Identities
2. Endpunkte (Geräte)
3. Apps
4. Network

Der Schutz von Daten ist auch für die Absicherung von Remote- und Hybridarbeit wichtig. Dieses Thema wird unter Sensible Geschäftsdaten identifizieren und schützen ausführlicher behandelt.

Diese Tabelle fasst die Rollen zusammen, die beim Aufbau eines Sponsoringprogramms und einer Projektmanagementhierarchie empfohlen werden, um Ergebnisse zu ermitteln und voranzutreiben.

Das PowerPoint-Foliendeck mit Ressourcen für diesen Einführungsinhalt enthält die folgende Folie mit einer Stakeholder-Ansicht, die Sie für Ihre eigene Organisation anpassen können.

Technische Planung und Fertigkeitenbereitschaft

Microsoft stellt Ressourcen bereit, die Sie bei der Priorisierung dieser Arbeit, beim Einstieg und bei der Weiterentwicklung Ihrer Bereitstellung unterstützen. In dieser Phase nutzen wir diese Ressourcen als Planungsaktivitäten, um die Auswirkungen der vorgeschlagenen Änderungen zu verstehen und einen Implementierungsplan zu erstellen.

Zu diesen Ressourcen gehören präskriptive Leitlinien, die Sie als empfohlene Ausgangspunkte für Ihre eigene Organisation verwenden können. Passen Sie die Empfehlungen an Ihre Prioritäten und Anforderungen an.

Resource	Beschreibung
Checkliste für Schneller Modernisierungsplan (RaMP): Vertrauenswürdigkeit für alle Zugriffsanfragen explizit validieren	Diese Reihe von Checklisten listet die technischen Ziele jedes Sicherheitseinsatzbereichs in der Reihenfolge ihrer Priorität auf und dokumentiert die Schritte, die Sie unternehmen müssen, um diese zu erreichen. Außerdem werden die Projektmitglieder aufgeführt, die für jeden Bereich einbezogen werden müssen. Mithilfe dieser Ressource können Sie schnelle Erfolge erzielen.
Zero-Trust-Konfigurationen für den Identitäts- und Gerätezugriff	In diesem Lösungsleitfaden wird eine Reihe von dentitäts- und Gerätezugriffsrichtlinien empfohlen, die gemeinsam getestet wurden. Sie hat folgenden Inhalt: Richtlinien auf Startpunkt-Ebene, die Ihnen den Einstieg erleichtern und keine Geräteverwaltung erfordern. Für Zero Trust werden Richtlinien auf Enterprise-Ebene empfohlen. Dies erfordert die Registrierung von Geräten für die Endpunktverwaltung. Nutzen Sie diese Empfehlungen als Startpunkt und passen Sie die Richtlinien bei Bedarf an Ihre individuelle Umgebung und Ihre Ziele an.
Verwalten Sie Geräte mit Intune	Dieser Lösungsleitfaden führt durch die Phasen der Geräteverwaltung, von Aktionen, die keine Registrierung von Geräten für die Verwaltung erfordern, bis hin zur vollständigen Geräteverwaltung. Diese Empfehlungen werden mit den oben genannten Ressourcen koordiniert.
Intune-Registrierungsoptionen PDF | Visio Aktualisiert im Juni 2022	Dieses Posterset bietet einen leicht zu scannenden Vergleich der Geräteregistrierungsoptionen pro Plattform.
MFA-Bereitstellungsplan	Dieser Bereitstellungsleitfaden zeigt Ihnen, wie Sie die Einführung der Microsoft Entra Multifaktor-Authentifizierung planen und implementieren.

Zusätzlich zu diesen Ressourcen werden in den folgenden Abschnitten Ressourcen für spezifische Aufgaben in den vier zuvor definierten Phasen hervorgehoben.

Phase 1

Phase 2

Phase 3

Phase 4

Cloudeinführungsplan

Ein Einführungsplan ist eine wesentliche Voraussetzung für die erfolgreiche Einführung von Zero Trust. Ein Zero Trust-Einführungsplan ist ein iterativer Projektplan, der einem Unternehmen beim Übergang von traditionellen Sicherheitsansätzen zu einer ausgereifteren und ausgefeilteren Strategie hilft, die Änderungsmanagement und Governance umfasst.

Identitäten, Endpunkte, Apps und Netzwerke fallen in den Geltungsbereich dieser Planungsphase. Jeder von ihnen hat die Anforderung, den bestehenden Bestand zu sichern, und plant außerdem, die Sicherheit auf neue Unternehmen auszudehnen, sobald diese im Rahmen eines größeren Onboarding-Prozesses hinzukommen.

Bei der Planung sicherer Remote- und Hybrid-Arbeitslösungen wird berücksichtigt, dass Organisationen über bestehende Identitäten verfügen, die gesichert werden müssen, und dass neue Identitäten erstellt werden müssen, die den Sicherheitsstandards entsprechen.

Ein Einführungsplan umfasst auch die Schulung Ihrer Mitarbeiter in einer neuen Arbeitsweise, um zu verstehen, was zur Unterstützung Ihrer Organisation erforderlich ist. Dazu kann Folgendes gehören:

• Schulung von Administratoren in neuen Arbeitsweisen. Privilegierte Zugriffsmethoden unterscheiden sich vom ständigen Administratorzugriff und können zunächst zu Problemen führen, bis eine allgemeine Akzeptanz erreicht ist.
• Ausstattung des Helpdesk- und IT-Personals auf allen Ebenen mit der gleichen Botschaft zur Nutzenrealisierung. Zunehmende Sicherheit erhöht die Reibungspunkte für Angreifer, was durch die Vorteile eines sicheren Arbeitens ausgeglichen wird. Stellen Sie sicher, dass diese Botschaft auf allen Ebenen verstanden und kommuniziert wird.
• Erstellen von Benutzerakzeptanz- und Schulungsmaterialien. Sicherheit wird allgegenwärtig als gemeinsame Verantwortung übernommen und die Sicherheitsvorteile im Einklang mit den Geschäftszielen müssen den Benutzern kommuniziert werden. Stellen Sie sicher, dass die Benutzerakzeptanz für Sicherheit auf der gleichen Ebene erreicht wird wie die Benutzerakzeptanz für neue Technologien.

Weitere Informationen zum Cloud Adoption Framework finden Sie unter: Plan für die Cloud-Einführung.

Bereitschaftsphase

Dieses Szenario (Sicherung von Remote- und Hybridarbeit) wertet und sichert Identitäten, Geräte und Daten über die Netzwerke, die sie nutzen. Da die Technologien möglicherweise störend sein können, wird ein stufenweiser Ansatz empfohlen, der mit kleinen Projekten beginnt, die schnelle Erfolge bieten, die Vorteile Ihrer bestehenden Lizenzierung nutzen und nur minimale Auswirkungen auf die Benutzer haben.

Beginnen Sie mit der Erstellung eines Plans und testen Sie den Plan anschließend. Führen Sie dann schrittweise neue Konfigurationen und Funktionen ein. Dies bietet die Möglichkeit, den Plan zu verbessern, während Lehren gezogen werden. Stellen Sie sicher, dass Sie einen Kommunikationsplan entwickeln und Änderungen bekannt geben, wenn Sie Ihren Einsatzbereich erweitern.

Das folgende Diagramm veranschaulicht die Empfehlung, ein Projekt mit einer kleinen Gruppe zu starten, um die Änderungen zu bewerten. Diese kleine Gruppe kann aus Mitgliedern Ihres IT-Teams oder einem Partnerteam bestehen, das am Ergebnis beteiligt ist. Pilotieren Sie dann die Änderungen mit einer größeren Gruppe. Während die Abbildung eine dritte Phase der vollständigen Bereitstellung umfasst, wird dies häufig dadurch erreicht, dass der Umfang der Bereitstellung schrittweise erweitert wird, bis Ihre gesamte Organisation abgedeckt ist.

Bei der Registrierung von Geräten wird beispielsweise die folgende Anleitung empfohlen.

Die Sicherung von Identitäten beginnt mit der Einführung von MFA und der Segmentierung des Zugriffs mithilfe von Microsoft Entra Conditional Access. Diese Funktionen unterstützen das Prinzip der expliziten Verifizierung, erfordern jedoch einen schrittweisen Einführungsprozess. Abhängig vom Ansatz muss die MFA-Methodik möglicherweise vor dem Einschaltdatum eingeführt und den Benutzern kommuniziert werden, insbesondere für eine bestehende Belegschaft, die es gewohnt ist, nur Kennwörter zu verwenden.

Bei der Planung dieses Szenarios wurden die folgenden Elemente berücksichtigt:

• Abhängig von der MFA-Methodik muss möglicherweise die Zustimmung des Benutzers für die Verwendung mobiler anwendungsbasierter MFA im Vergleich zur Verwendung eines FIDO2- oder anderen tokenbasierten Ansatzes angestrebt werden. Dies gilt auch für Windows Hello for Business.
• Richtlinien für bedingten Zugriff können hinsichtlich ihrer Bewertungs- und Entscheidungskriterien komplex sein. Dies erfordert, dass der bedingte Zugriff pilotiert und schrittweise in der gesamten App- und Benutzerlandschaft eingeführt wird.
• Der bedingte Zugriff kann den relativen Zustand und den Patch-Status des Endpunkts sowie die Standorte des Benutzers als bedingte Parameter berücksichtigen. Wenn Endpunkte verwaltet werden müssen, um sie als Zugriffsbedingung für den Zugriff auf eine App oder einen Dienst zu qualifizieren, müssen Endpunkte für die Verwaltung registriert werden.
• Moderne Apps, die moderne Authentifizierungsmethoden unterstützen, lassen sich problemlos in MFA-basierte Authentifizierung und Richtlinien für bedingten Zugriff integrieren. Es ist von entscheidender Bedeutung, die Anzahl der Anwendungen und ihre Authentifizierungsmethoden zu verstehen.

Nutzen Sie bei der Planung und Bereitstellung der Schutzebenen zum Aufbau von Zero Trust die von Microsoft bereitgestellten Ressourcen. Um Remote- und Hybridarbeit zu sichern, bietet Microsoft eine Zusammenstellung von allgemeinen Richtlinien für Zero Trust-Identitäts- und -Gerätezugriff. Hierbei handelt es sich um eine Reihe von Richtlinien, die getestet wurden und bekanntermaßen gut zusammenarbeiten.

Hier sind die Richtlinien für drei Schutzstufen.

Dieser Richtliniensatz umfasst eine Schutzstuf Startpunkt mit minimalen Auswirkungen auf den Benutzer. Für diese Richtlinien ist keine Registrierung von Geräten für die Verwaltung erforderlich. Wenn Sie bereit sind und Geräte registriert haben, können Sie die Enterprise-Ebene bereitstellen, die für Zero Trust empfohlen wird.

Zusätzlich zu diesen Schutzstufen können Sie den Umfang der Richtlinien auf folgende Weise schrittweise erhöhen:

• Wenden Sie den Umfang der Richtlinien zunächst auf eine kleine Gruppe von Benutzern an und erweitern Sie dann den Umfang der einbezogenen Benutzer. Die Benutzersegmentierung ermöglicht eine Risikominderung bei Dienstausfällen oder Benutzerunterbrechungen, da nur bestimmte Benutzer oder Geräte betroffen sind.
• Fügen Sie zunächst Microsoft 365-Apps und -Dienste zum Geltungsbereich der Richtlinien hinzu. Fügen Sie dann weitere SaaS-Apps hinzu, die Ihre Organisation verwendet. Wenn Sie bereit sind, schließen Sie Apps, die Sie in Azure oder anderen Cloud-Anbietern erstellt haben, in den Geltungsbereich der Richtlinien ein.

Vergessen Sie schließlich nicht Ihre Benutzer. Die Benutzereinführung und -kommunikation sind bei der Implementierung von Sicherheit für Identitäten wichtig, ähnlich der Bedeutung der anfänglichen Benutzerakzeptanz beim Wechsel von rechenzentrumsbasierten Diensten zu Microsoft 365. Einphasige Ansätze sind bei der Implementierung von Sicherheitsdiensten selten erfolgreich. Sicherheitsinitiativen scheitern oft an der erhöhten Reibung für Benutzer, wenn Änderungen störend sind und schlecht kommuniziert und getestet werden. Hier funktioniert das Sponsoring von Sicherheitsinitiativen durch Führungskräfte am besten. Wenn Führungskräfte ihre Unterstützung zeigen, indem sie sie bereits in der Bereitstellungsphase übernehmen, ist es für die Benutzer einfacher, ihnen zu folgen.

Um die Benutzerschulung und -akzeptanz zu unterstützen, stellt Microsoft Rollout-Vorlagen und Materialien für Endbenutzer bereit, die Sie herunterladen können. Dazu gehören Anweisungen, wie Sie diese umbenennen können, und Empfehlungen, wie Sie diese mit Benutzern teilen können. Siehe https://aka.ms/entratemplates.

Produzieren und testen

Nachdem Sie Ihr Team zusammengestellt, die empfohlenen technischen Ressourcen überprüft und einen Plan für die Durchführung Ihrer Projekte und Bereitstellung entwickelt haben, verfügen Sie hoffentlich über einen gut dokumentierten Plan. Stellen Sie vor der formellen Annahme des Plans sicher, dass Sie die Konfigurationen in einer Testumgebung erstellen und testen.

Jeder technische Bereich, beispielsweise ein Richtliniensatz für bedingten Zugriff, kann durch die Aktivierung der Funktionalität im gesamten Mandanten gesichert werden. Eine falsch konfigurierte Richtlinie kann jedoch weitreichende Folgen haben. Beispielsweise kann eine schlecht geschriebene Richtlinie für bedingten Zugriff dazu führen, dass alle Administratoren von einem Mandanten ausgeschlossen werden.

Um das Risiko zu mindern, sollten Sie die Bereitstellung eines Test- oder QA-Mandanten in Betracht ziehen, um die einzelnen Funktionen zu implementieren, sobald Sie sich damit vertraut machen, oder sie zum ersten Mal einzuführen. Ein Test- oder QA-Mandant sollte auf angemessene Weise repräsentativ für Ihre aktuelle Benutzerumgebung und genau genug sein, damit Sie QA-Funktionen durchführen können, um zu testen, ob die aktivierte Funktionalität verstanden wird und die gesicherte Funktion unterstützt.

Mit der RAMP-Checkliste können Sie Ihren Fortschritt verfolgen. Es listet sowohl Planungs- als auch Umsetzungsschritte auf. Der QA-Mandant ist die Testumgebung der Implementierungsaktionen, wenn diese zum ersten Mal ausgeführt werden.

Das Ergebnis dieser Phase sollte eine dokumentierte Konfiguration sein, die zunächst für den QA-Mandanten erstellt und getestet wird, mit Plänen für den Übergang zur Einführung im Produktionsmandanten, wo die Änderungen schrittweise eingeführt werden, während neue Erkenntnisse auf den Plan angewendet werden.

Sorgen Sie bei der Einführung neuer Konfigurationen in Ihrer Produktionsumgebung für konsistente Benutzernachrichten und behalten Sie den Überblick darüber, wie sich diese Änderungen auf Ihre Benutzer auswirken. Die Implementierung von Sicherheitsfunktionen hat möglicherweise nur geringe Auswirkungen auf die Technologie, wie etwa die Ermöglichung des Just-in-Time-Zugriffs, hat aber im Gegenzug hohe Auswirkungen auf den Prozess, etwa wenn Administratoren zur Erfüllung ihrer Aufgaben Zugriff auf Dienste über einen Genehmigungsworkflow anfordern müssen.

Ebenso hat die Geräteregistrierung nur geringe Auswirkungen auf die Benutzererfahrung, während die Implementierung von bedingtem Zugriff auf der Grundlage von Gerätekonformität und Gesundheitsanforderungen dramatische Auswirkungen auf die Benutzerbasis haben kann, da Benutzer nicht auf Dienste zugreifen können.

Das Testen jedes Dienstes, um die Auswirkungen des Dienstes und der geplanten Änderung zu verstehen, ist entscheidend für den Erfolg. Beachten Sie, dass einige Auswirkungen möglicherweise erst vollständig sichtbar werden, wenn Sie mit der Pilotierung in der Produktion beginnen.

Verfolgen Sie Governance- und Verwaltungsänderungen

Das eigentliche Ziel von Zero Trust besteht darin, die Sicherheit schrittweise zu erhöhen und Änderungen in der Umgebung umzusetzen, die dieses Ziel erreichen. Diese Veränderungen erfordern Änderungen in den Verwaltungs- und Governance-Modellen der Umgebung. Achten Sie beim Testen und Bereitstellen darauf, die Änderungen und Auswirkungen auf das Verwaltungs- und Governance-Modell zu dokumentieren.

Übernahmephase

In der Übernahmephase implementieren Sie Ihre Strategie und Bereitstellungspläne schrittweise in allen Funktionsbereichen. Die Übernahmephase ist eine umfassendere Umsetzung des Proof-of-Concept. Der Bereitstellungsplan wird ausgeführt und die Einführung erfolgt in aufeinanderfolgenden Wellen, basierend auf der Benutzersegmentierung und den Bereichen, auf die Sie in Ihrem gesamten digitalen Bestand abzielen.

Stellen Sie gemäß Empfehlung jede neue Konfiguration im Produktionsmandanten als begrenzten Proof of Concept bereit (im folgenden Diagramm als „Bewerten“ bezeichnet).

Auch wenn Sie die neuen Konfigurationen bereits in einer QA-Umgebung getestet haben, stellen Sie sicher, dass Ihre Produktionsbereitstellungspläne auch dokumentieren, was Sie testen und bewerten sowie die Akzeptanzkriterien für die Erfolgsmessung in jeder Phase. Wählen Sie idealerweise eine Teilmenge von Benutzern, Endpunkten und Apps mit geringer Auswirkung zum Testen aus, bevor Sie die Bereitstellung erweitern. Nach der gleichen Methodik lernen Sie aus den Erfolgen und Misserfolgen der Implementierung und aktualisieren die Pläne.

Beachten Sie, dass einige der bereitgestellten Funktionen, auch wenn sie auf eine begrenzte Zielgruppe ausgerichtet sind, Auswirkungen auf den gesamten Dienst haben können. Sie können diese Auswirkungen abmildern, indem Sie Risiken während der QA-Tests identifizieren und sicherstellen, dass ein Rollback-Plan vorhanden ist.

Ein erfolgreicher Bereitstellungsplan umfasst die folgenden Elemente:

• Einführungs- und Rollout-Plan zur Einbeziehung der Benutzerkommunikationsstrategie
• Aufnahme- und Einführungsplan der Geschäftsleitung, um die Unterstützung der Geschäftsleitung sicherzustellen
• Benutzeraufnahme- und Einführungsplan
• Projektmanagement- und Governance-Artefakte
• Benutzersegmentierung nach Geschäftsbereich oder Benutzerauswirkung
• Gerätesegmentierung nach Geschäftsbereich oder Benutzerauswirkung
• Apps sortiert nach Kritikalität und Komplexität der Implementierung
• Entwerfen Sie Aktualisierungen für Änderungen im täglichen Management und der Governance

Steuerung und Management von Phasen

Sicherheitsgovernance ist ein iterativer Prozess. Für Organisationen mit bestehenden Richtlinien, die die Sicherheit im gesamten digitalen Bereich regeln, bietet die Einführung einer Zero Trust-Strategie den Anreiz, diese Richtlinien weiterzuentwickeln. Mit der Weiterentwicklung von Sicherheitsstrategien und -richtlinien entwickeln sich auch die Cloud-Governance-Prozesse und -Richtlinien weiter.

In der Planungsphase wurden neue Funktionalitäten anhand eines Testmandanten getestet, in dem Verwaltungsaktivitäten stattfanden. Es muss beachtet werden, dass die Implementierung der Features, die Zero Trust-Prinzipien unterstützen, eine andere Verwaltung des resultierenden Endzustands erfordert.

Hier sind einige Beispiele für neue Anforderungen für dieses Szenario:

• Richten Sie einen Prozess ein, um den Administratorzugriff bei Bedarf zu genehmigen, im Gegensatz zum ständigen Administratorzugriff.
• Aktualisieren Sie das Lebenszyklusmanagement der Benutzer, wenn sie die Organisation betreten, nutzen und verlassen.
• Aktualisieren Sie das Lebenszyklusmanagement von Geräten.
• Aktualisieren Sie die Veröffentlichungskriterien für neue Apps, um sicherzustellen, dass diese in den Geltungsbereich der Richtlinien für bedingten Zugriff fallen.

Während der Einführungsplan voranschreitet, führt die Verwaltung der resultierenden Umgebung zu Änderungen an der Management- und Governance-Methodik. Wie die Umgebung aufgrund von Zero Trust-Änderungen überwacht wird.

Da Zero Trust Sicherheitsrisiken in der Umgebung angeht, ist die Lebenszyklusverwaltung von Identitätsobjekten nicht mehr optional. Die Objektbescheinigung ist eine Manifestation des Objektlebenszyklus und verlagert die Verantwortlichkeit in das Unternehmen und weg von der IT als alleinigem Verwalter des Objektlebenszyklus.

Zero Trust erfordert eine höhere Reife der resultierenden Verwaltung des Bestands, einschließlich der Art und Weise, wie Benutzer und Administratoren mit dem eingeführten Endzustand interagieren. Ein Beispiel für mögliche Änderungen finden Sie in der folgenden Tabelle.

Zu den zusätzlichen Ressourcen für die tägliche Verwaltung und den Betrieb gehören:

• Microsoft Entra-Berichte und Überwachungsdokumentation

• Dokumentation zu Microsoft Entra ID-Governance

  Erörtert andere Governance-Bereiche und Tools, die mehrere Bereiche abdecken. Aufgrund unterschiedlicher organisatorischer Anforderungen sind nicht alle in diesem Dokument genannten Governance-Funktionen auf alle Organisationen anwendbar.

Nächste Schritte

• Übersicht über das Zero Trust-Einführungsframework
• Modernisieren Sie schnell Ihren Sicherheitsstatus
• Identifizieren und schützen Sie sensible Geschäftsdaten
• Verhindern oder Reduzieren von Unternehmensschäden durch eine Sicherheitsverletzung
• Erfüllen regulatorischer und Compliance-Anforderungen

Ressourcen zur Fortschrittsnachverfolgung

Für jedes der Zero Trust-Geschäftsszenarien können Sie die folgenden Fortschrittsverfolgungsressourcen verwenden.

Ressource zur Fortschrittsnachverfolgung	Dies hilft Ihnen bei Folgendem…	Entwickelt für
Planungsraster mit Phasen für das Übernahmeszenario zum Herunterladen Visio-Datei oder PDF	Verstehen Sie mühelos die Sicherheitsverbesserungen für jedes Geschäftsszenario und den Aufwand für die Phasen und Ziele der „Planen“-Phase.	Projektleiter für Geschäftsszenarios, Führungskräfte und andere Projektbeteiligte.
Zero Trust Einführungstracker als PowerPoint-Präsentation zum Herunterladen	Verfolgen Sie Ihren Fortschritt durch die Phasen und Ziele der „Planen“-Phase.	Projektleiter für Geschäftsszenarios, Führungskräfte und andere Projektbeteiligte.
Ziele und Aufgaben des Geschäftsszenarios als Excel-Arbeitsmappe zum Herunterladen	Weisen Sie Verantwortung zu, und verfolgen Sie Ihren Fortschritt über die Phasen, Ziele und Aufgaben der „Planen“-Phase hinweg.	Projektleiter für Geschäftsszenarios, IT-Führungskräfte und IT-Implementierende.

Weitere Ressourcen finden Sie unter Zero Trust-Bewertungs- und Fortschrittsverfolgungsressourcen.