Laut Ergebnissen einer globalen Studie leben CIOs in unruhigen Zeiten. Details zeigen, dass die digitale Transformation die Anzahl der Maschinenidentitäten um durchschnittlich 42 % pro Jahr erhöht. Da CIOs oft nur einen begrenzten Einblick in die Anzahl der Maschinenidentitäten in ihren Netzwerken haben und diese kritischen Sicherheitsressourcen in den IAM- und Sicherheitsbudgets keine Priorität haben, sollten CIOs mit einem starken Anstieg von Ausfällen und Sicherheitsverletzungen im Zusammenhang mit Maschinenidentitäten rechnen.

Beim Identitätsmanagement von Maschinen geht es um Gerätschaften wie  zum Beispiel Server, mobile Endgeräte, Anwendungen, Webseiten, Software, APIs (Application Programming Interfaces), virtuelle Maschinen (VMs) sowie auch IoT-Geräte (Internet of Things). Alle diese Maschinen benötigen eine durch den Einsatz von digitalen Zertifikaten und kryptographischen Schlüsseln überprüfte Identität, um ihre Funktion sicher erfüllen zu können.

Maschinenidentitäten ermöglichen eine sichere Verbindung und Authentifizierung für jeden Teil der IT-Infrastruktur, von physischen und virtuellen Servern und IoT-Geräten bis hin zu Softwareanwendungen, APIs und Containern. Jedes Mal, wenn sich zwei Maschinen gegenseitig authentifizieren müssen, ist eine Maschinenidentität erforderlich. Hundert Prozent der CIOs geben an, dass die digitale Transformation zu einem dramatischen Anstieg der Zahl der benötigten Maschinenidentitäten in ihren Unternehmen führt. Ohne ein automatisiertes Programm zur Verwaltung von Maschinenidentitäten leiden Unternehmen unter Ausfällen, die durch abgelaufene Maschinenidentitäten verursacht werden, und unter Sicherheitsverletzungen, die durch den Missbrauch oder die Kompromittierung von Maschinenidentitäten entstehen.

Laut einer CIO-Studie ⁽¹⁾ verwendete die durchschnittliche Organisation bis Ende 2021 fast eine Viertelmillion (250.000) Maschinenidentitäten. Das ist eine überraschende Zahl, denn die Experten  stellten fest, dass Unternehmen den Bestand an Maschinenidentitäten anfangs um 50 % oder mehr unterschätzen, da sie nur einen sehr begrenzten Einblick in die von ihrem Unternehmen benötigten Maschinenidentitäten haben.

Bei den derzeitigen Wachstumsraten können dieselben Organisationen davon ausgehen, dass sich ihr Bestand an Maschinenidentitäten bis 2024 auf mindestens 500.000 mehr als verdoppeln wird. Darüber hinaus gaben drei Viertel der befragten CIOs an, dass sie davon ausgehen, dass Initiativen zur digitalen Transformation die Anzahl der Maschinenidentitäten in ihren Unternehmen um 26 % erhöhen werden, wobei mehr als ein Viertel (27 %) einen Prozentsatz von mehr als 50 % angibt.

Zu den wichtigsten Ergebnissen der Umfrage gehören:

• 83 % der Unternehmen hatten in den letzten 12 Monaten einen Ausfall im Zusammenhang mit Maschinenidentitäten zu verzeichnen; mehr als ein Viertel (26 %) gab an, dass kritische Systeme betroffen waren.
• 57 % der Unternehmen erlebten im gleichen Zeitraum mindestens eine Datenschutzverletzung oder einen Sicherheitsvorfall im Zusammenhang mit kompromittierten Maschinenidentitäten (einschließlich TLS- und SSH-Schlüssel sowie Code Signing-Schlüssel und -Zertifikate).

Auch Krankenhäuser sind mittlerweile zu Softwareunternehmen angewchsen. Das bedeutet, dass sich die Prioritäten des Identity und Access Managements (IAM) auf den Schutz der Maschinenidentitäten verlagern müssen, die für Initiativen zur digitalen Transformation erforderlich sind, da diese Initiativen die Motoren für Innovation und Wachstum sind.  Realität jedoch ist, dass die meisten von ihnen nicht in der Lage sind, alle benötigten Computeridentitäten zu verwalten. Diese schnell wachsende Lücke hat eine neue Angriffsfläche eröffnet – von Software-Build-Pipelines bis hin zu Kubernetes-Clustern –, die für Angreifer attraktiv ist.

Ein zentrales Management der Maschinenidentitäten kann jedoch die Entwicklung und den Einsatz von Maschinen, Anwendungen und Diensten verlangsamen. Um dies zu vermeiden, sollte es ausgewählten Abteilungen erlaubt sein, selbst das Provisioning, Erneuern und Zurückziehen von Zertifikaten zu erledigen. Nichtsdestotrotz sollte die IT-Abteilung für diese Prozesse sehr enge Grenzen setzen. So darf ein Selbstsignieren von Zertifikaten keinesfalls erlaubt werden. Die Richtlinien sollten zudem vorgeben, dass etwa Microservices und Container über Zertifikate zur Identifizierung, Authentifizierung und Verschlüsselung von Daten verfügen. Diese Maßnahme ermöglicht eine sichere Kommunikation mit anderen Containern, Microservices, der Cloud und dem Internet.

Die steigende Anzahl von Maschinen in Unternehmensnetzwerken macht veraltete Verfahren zur Verwaltung der Maschinenidentität sichtbar. Fast zwei Drittel (64 %) der CIOs geben an, dass ihre Unternehmen statt einer umfassenden Lösung für die Verwaltung von Maschinenidentitäten mehrere Lösungen und Prozesse kombinieren, darunter Punktlösungen von Zertifizierungsstellen und öffentlichen Cloud-Anbietern, selbst entwickelte Lösungen und manuelle Prozesse. Dieser Ansatz bietet weder einen unternehmensweiten Überblick über alle Maschinenidentitäten noch die erforderlichen Mechanismen zur Durchsetzung von Konfigurations- oder Richtlinienanforderungen.

Das Management von Maschinenidentitäten ähnelt bislang oft noch dem, was vor einigen Jahren mit der Identität von Kunden und Mitarbeitern geschah, aber es ist um ein Vielfaches größer und der Wandel vollzieht sich viel schneller. Die Herausforderungen durch die Verwaltung menschlicher Identitäten sind geringer im Vergleich zu den Herausforderungen der Verwaltung von Maschinenidentitäten. Diese CIO-Studie verweist auf die Notwendigkeit, Programme zur Verwaltung der Maschinenidentität zu bewerten, um die Initiativen zur digitalen Transformation zu schützen.

⁽¹⁾ Coleman Parkes Research-Umfrage im Auftrag von Venafi

Symbolbild: Pixabay/geralt