Sichern Sie den Werkszugriff ohne Cloud. Fünf Zscaler-Alternativen, für OT bewertet.

Nicht für das, was Zscaler am besten kann. Wenn Ihre Aufgabe darin besteht, eine mobile Belegschaft mit SaaS zu verbinden, passt Zscaler gut, und Access Gate versucht das gar nicht zu sein. Access Gate ist für die andere Hälfte des Problems da: die Absicherung von On-Premise-IT- und OT-Assets, einschließlich SPS und HMI, die keinen Agenten ausführen können und oft keinen Pfad zur Cloud haben. Viele Standorte betreiben beides.

Ja. Die Durchsetzung erfolgt im Netzwerk, neben dem Gerät, nicht auf dem Endpunkt. Ein moderner Proxy beendet die Sitzung, authentifiziert die Identität, wendet die Enklave-Richtlinie an und zeichnet die Sitzung auf, dann leitet er eine saubere Anfrage an das Gerät weiter. Ein zwanzig Jahre altes PLC erhält dieselbe Zero Trust-Behandlung wie eine moderne Workstation, ohne dass etwas darauf installiert wird.

Ja. Access Gate läuft vollständig on-premise als Appliance, die an Ihr bestehendes Netzwerk angebunden ist. Es gibt keine Cloud-Steuerungsebene und keinen Cloud-Point-of-Presence zu erreichen, sodass es auf einem isolierten oder air-gapped Segment weiterarbeitet. Cloud-basierte Zero-Trust-Dienste sind darauf angewiesen, das Netzwerk ihres Anbieters zu erreichen.

Ja, und das ist der übliche Aufbau. ZPA kümmert sich weiter um Notebooks und SaaS. Access Gate steht vor dem Anlagennetz: Wer über ZPA hereinkommt, trifft trotzdem auf eine Identitätsprüfung, eine Richtlinie pro Anlage und eine aufgezeichnete Sitzung, bevor er eine SPS oder ein HMI erreicht. Die beiden überschneiden sich nicht: Das eine entscheidet, wer ins Netz darf, das andere, was jemand an einer Maschine tun darf, sobald er drin ist.

Access Gate setzt die Richtlinie über die Protokolle auf der Leitung durch, nicht nur über die Ports. Für ein Protokoll wie Modbus, das keine native Authentifizierung besitzt, kann ein protokollbewusster Proxy den Zugriff an die Identität binden, einschränken, welche Funktionscodes und Register eine Quelle nutzen darf, und jede Transaktion aufzeichnen, ohne den Controller zu berühren.

Ein Standort, ein Datenfluss, eine Woche. Die Appliance kommt neben den Anlagen-Switch, hört ein paar Tage mit, wer was erreicht, dann wird ein Fernzugriffs-Fluss (meist eine Lieferantensitzung zu einer Steuerung) erst im Report-only-Modus, dann in der Durchsetzung darüber geführt. An der Steuerung ändert sich nichts, und der alte Pfad bleibt als Rückfall verfügbar, bis Sie ihn abschalten. Läuft dieser eine Fluss, ist der Rest Wiederholung.

Es ordnet sich den Familien für Zugriffskontrolle, System- und Kommunikationsschutz sowie Audit zu, die diese Rahmenwerke bewerten: identitätsgebundener Zugriff, Segmentierung, MFA auf Netzwerkebene und manipulationssichere Protokolle, die am Durchsetzungspunkt generiert werden. Betrachten Sie es als eine dokumentierte Kontrolle innerhalb eines umfassenderen Programms, nicht als Compliance-Häkchen für sich allein.

Access Gate wird von Trout Software, einem französischen Unternehmen, entwickelt und läuft vollständig vor Ort: Zugriffsentscheidung, Protokolle und Inventar verlassen die Anlage nie, und es gibt keinen Cloud-Tenant unter ausländischer Rechtsordnung. Für NIS2-, LPM- und öffentliche Käufer, die eine souveräne Option brauchen, beschreibt der französische Leitfaden zu souveränen Alternativen zu Fortinet und Zscaler für OT die Kriterien im Detail.

Gehen Sie von Ihren Endpunkten aus. Sind es Laptops, die auf SaaS zugreifen, passt ein Cloud-ZTNA wie Zscaler, Prisma Access, Netskope oder Cloudflare. Sind es SPS, HMI, RTU oder air-gapped Server, passt eine On-Premise-Appliance wie Access Gate. Sie wird an Ihr bestehendes Netzwerk angebunden und benötigt weder Agent noch Cloud. Die Tabelle oben zeigt, wo jede einzelne steht.