Welche Aussage beschreibt eine Zugriffskontrolle nach dem Ansatz von Zero Trust richtig?

Antwort: A. Allein der Aufenthalt im internen Netzwerk begründet kein Vertrauen; bei jeder Anfrage werden der Zustand von Benutzer und Endgerät geprüft und nur der minimal nötige Zugriff erlaubt

Die herkömmliche Perimeterverteidigung betrachtete das interne Netzwerk als vertrauenswürdiges Inneres und wehrte Eindringlinge von außen an der Grenze ab. Durch Cloud-Nutzung und Telearbeit reichen die zu schützenden Ressourcen über das Unternehmen hinaus, und ein Angreifer, der die Grenze überwunden hat, kann sich frei bewegen; deshalb hat sich Zero Trust verbreitet, das kein Vertrauen allein aufgrund des Netzwerkstandorts gewährt. Das US-amerikanische NIST nennt in der 2020 veröffentlichten SP 800-207 als Prinzipien unter anderem, kein implizites Vertrauen aufgrund des Netzwerkstandorts zu gewähren, den Zugriff auf Ressourcen für jede Anfrage einzeln zu erlauben und auf Grundlage dynamischer Richtlinien zu entscheiden, die etwa den Zustand von Benutzer und Endgerät berücksichtigen. Zusammengefasst wird das als „Niemals vertrauen, immer überprüfen“ (Never trust, always verify).