Zero Trust is geen product. Het is een keuze over hoe je tegen beveiliging aankijkt.

Vraag tien leveranciers wat zero trust inhoudt en je krijgt tien verschillende antwoorden, waarvan de meeste zijn ingegeven door het product dat ze proberen te verkopen. Daardoor is de term lastiger geworden om mee te werken – doordrenkt met de marketingpraatjes van leveranciers, verstoken van precisie, en met begrijpelijke scepsis bekeken door beveiligingsprofessionals die al te vaak trends hebben zien opduiken die als revoluties werden verkocht.

En dat is jammer, want het onderliggende idee is degelijk en steeds noodzakelijker. Zero trust is het waard om serieus te nemen – alleen niet in de vorm waarin het in de meeste marketingmateriaal wordt gepresenteerd.

Wat zero trust eigenlijk betekent

Het kernprincipe van zero trust is simpel: verleen geen toegang op basis van netwerklocatie. Het traditionele beveiligingsmodel ging ervan uit dat alles binnen de perimeter van het bedrijfsnetwerk te vertrouwen was – een redelijke aanname toen werknemers nog op kantoor werkten, applicaties in on-premise datacenters draaiden en de netwerkgrens relatief goed gedefinieerd was. Die aanname gaat niet langer op.

Cloudapplicaties, werken op afstand, toegang door derden, mobiele apparaten en steeds complexere toeleveringsketens hebben de perimeter doen verdwijnen. De netwerkgrens die ooit een zinvolle beveiligingscontrole bood, is nu per definitie poreus. Alles binnen die grens als betrouwbaar beschouwen en alles daarbuiten als onbetrouwbaar, is geen beveiligingsmodel – het is een comfortabele fictie.

Zero Trust vervangt die aanname door een andere: vertrouw standaard niets, verifieer alles expliciet en verleen de minimale toegang die nodig is om een specifieke functie uit te voeren. Identiteit wordt de nieuwe perimeter. Elk toegangsverzoek – van een gebruiker, een apparaat, een applicatie of een dienst – wordt in context beoordeeld voordat toegang wordt verleend, ongeacht waar het verzoek vandaan komt.

“De perimeter is niet van de ene op de andere dag verdwenen. Hij is geleidelijk uitgehold, één cloudapplicatie, één telewerker, één integratie van een derde partij tegelijk. De meeste organisaties beginnen nu pas te beseffen wat dat betekent voor de manier waarop ze de toegang beheren.”

Waarom het nu belangrijk is

Zero Trust wordt al als concept besproken sinds John Kindervag de term in 2010 bij Forrester introduceerde. De reden dat het de afgelopen jaren aanzienlijk aan operationeel momentum heeft gewonnen, is niet dat het idee nieuw is – het is dat de omstandigheden die het noodzakelijk maken onvermijdelijk zijn geworden.

De verschuiving naar cloud- en hybride werken is tijdens de pandemie versneld en heeft zich niet omgekeerd. Regelgevingskaders zoals NIS2 en DORA dwingen organisaties tot explicietere toegangscontroles en strengere identiteitsbeheer. En de aanvalspatronen die Zero Trust specifiek is ontworpen om te beperken – laterale bewegingen na een eerste inbreuk, aanvallen op basis van inloggegevens, bedreigingen van binnenuit – zijn de dominante technieken geworden bij ernstige inbreuken.

Wanneer een aanvaller voet aan de grond krijgt in een perimetergebaseerde omgeving, biedt het interne netwerk hem een aanzienlijke mate van vrijheid. Hij kan zich lateraal verplaatsen, privileges escaleren en toegang krijgen tot systemen die nooit bedoeld waren om bereikbaar te zijn vanaf het eerste compromitteringspunt – omdat het interne netwerk impliciet werd vertrouwd. Zero Trust-architectuur neemt die vrijheid weg door toegangscontroles af te dwingen op elke laag, niet alleen aan de rand.

De reis, niet de bestemming

Een van de hardnekkigste misvattingen over zero trust is dat het iets is dat je implementeert – een project met een startdatum, een einddatum en een moment waarop je kunt zeggen dat je klaar bent. Dat is niet zo. Zero trust is een architecturale richting, en de meeste organisaties zullen jarenlang dat pad bewandelen, waarbij ze stapsgewijs vooruitgang boeken op verschillende gebieden.

Die invalshoek is eigenlijk heel nuttig. Het betekent dat er geen voorwaarden zijn om te beginnen. Je hoeft identiteitsbeheer niet opgelost te hebben voordat je aan netwerksegmentatie begint, of andersom. Je kunt zinvolle vooruitgang boeken op één gebied terwijl andere nog in ontwikkeling zijn. De organisaties die het meest vooruitgang hebben geboekt met zero trust, zijn meestal degenen die een gebied hebben gekozen waar het risico het hoogst was of de quick wins het duidelijkst waren, de waarde hebben aangetoond en van daaruit verder zijn uitgebreid.

Identiteits- en toegangsbeheer

Voor de meeste organisaties is identiteit het meest impactvolle startpunt. Het implementeren van meervoudige authenticatie, het afdwingen van ‘least privilege’-toegang en het invoeren van voorwaardelijke toegangsbeleidsregels – waarbij toegang wordt verleend op basis van het risicoprofiel van een verzoek in plaats van alleen op basis van geldige inloggegevens – levert een aanzienlijke verbetering van de beveiliging op zonder dat een complete infrastructuurvernieuwing nodig is.

Netwerksegmentatie en SASE

Netwerkarchitectuur is het andere belangrijke domein. Zero Trust Network Access (ZTNA) vervangt brede VPN-toegang – waarbij een verbonden gebruiker vaak grote delen van het interne netwerk kan bereiken – door applicatiespecifieke toegang die per sessie wordt verleend. In combinatie met het bredere SASE-raamwerk, dat netwerkbeveiliging en connectiviteit integreert in een cloudgebaseerde architectuur, sluit deze aanpak goed aan bij de hybride en multi-cloudomgevingen die de meeste organisaties tegenwoordig gebruiken.

Nomios heeft met organisaties in heel Europa samengewerkt aan SASE en zero trust-netwerkarchitectuur — en hen geholpen hun weg te vinden in een leverancierslandschap dat echt complex is, en implementaties te ontwerpen die aansluiten bij hun specifieke omgeving in plaats van een generieke referentiearchitectuur.

Apparaatvertrouwen en endpointbeveiliging

Zero trust strekt zich uit tot de apparaten van waaruit toegang wordt aangevraagd. Een geldige inlogcode van een onbeheerd, gecompromitteerd of niet-conform apparaat is niet hetzelfde als een geldige inlogcode van een gezond, beheerd endpoint. Beoordeling van de apparaatstatus – evalueren of een apparaat voldoet aan gedefinieerde beveiligingseisen voordat toegang wordt verleend – is een steeds vaker voorkomend onderdeel van volwassen zero trust-implementaties.

Aan de slag zonder te verdwalen

De omvang van zero trust kan het in het begin overweldigend maken. Het leverancierslandschap helpt daar niet bij – elke grote beveiligingsleverancier heeft aanzienlijke delen van zijn portfolio onder het zero trust-label geherpositionerd, waardoor het moeilijk is om echt architectonisch denken te onderscheiden van productpositionering.

Het meest bruikbare startpunt is meestal een gestructureerde beoordeling van hoe je huidige omgeving zich verhoudt tot de zero trust-principes — niet om een gap-rapport te maken dat op de plank blijft liggen, maar om de twee of drie gebieden te identificeren waar investeringen de grootste vermindering van het daadwerkelijke risico opleveren. Vanuit die basis kan een gefaseerde roadmap worden opgesteld die realistisch en meetbaar is, en gekoppeld is aan bedrijfsresultaten in plaats van aan technologie omwille van de technologie zelf.

Nomios consulting ondersteunt organisaties in deze fase – en biedt een leveranciersonafhankelijk perspectief in een omgeving waar leveranciersonafhankelijk advies echt moeilijk te vinden is. Het doel is niet om een bepaalde architectuur of een bepaald product te verkopen, maar om organisaties te helpen vooruitgang te boeken op het gebied van zero trust op een manier die aansluit bij hun daadwerkelijke omgeving, hun risicoprioriteiten en hun operationele beperkingen.