Google Beyond Corp

Google möchte die Prinzipien der IT-Security auf den Kopf stellen und will seine eigene Enterprise-IT, a.k.a. seine ERP-Systeme, offen ins Internet stellen. Schließlich ist man ja ein Internet-Unternehmen und muss das Netz nehmen, wie es es ist: offen eben, von überall erreichbar und kreuzgefährlich. Das klingt für die einen banal und für manche andere wie ein Aprilscherz. Heute betreiben alle Firmen und Verwaltungen Ihre abgeschlossenen und gesicherten Netze und platzieren vor den kritischen Geschäftssysteme mächtige Firewalls, die nur authentifizierten und autorisierten Traffic durchlassen.

Lässt man diese Schranken fallen, braucht man theoretisch auch keine Domains mehr, vielmehr will Google den Weg gehen, den Aspekten der Security benutzerzentrisch Rechnung zu tragen. Das bedeutet, dass abgeprüft wird, welcher User mit welcher Device auf welches System welche Zugriffsrechte hat. Das erfordert einerseits eine enorm hohe Integrations- und Automatisierungsleistung bei den sich ergebenen hochgradig nicht trivialen Abhängigkeiten, andererseits kann mit Mechanismen gearbeitet werden, die wir aus der Zugangskontrolle zu Cloud-Applikationen bereits kennen. Gängige Praxis dort sind beispielsweise schon heute die Zwei-Faktor-Authentifzierung, lokationsabhängige zusätzliche Sicherheitsabfragen oder eingeschränkte Vertrauensstellungen für Geräte mit unzureichenden Patchständen des verwendeten Betriebssystems.
Rory Ward und Betsy Beyer beschreiben diesen revolutionären Ansatz in Ihrem Paper mit dem passenden Titel "Beyond Corp". Unter dem Strich ist es dann völlig unerheblich, ob ein User das ERP-System aus einem Büro, von einem öffentlichen Internet-Cafè oder von einem privaten Tablet benutzt.