Het concept Zero Trust bestaat al vele jaren, maar er is de laatste tijd zichtbaar meer aandacht voor binnen de wereld van cybersecurity en informatiebeveiliging. De term komt steeds vaker voorbij, maar wordt op verschillende manieren uitgelegd. In deze blog wordt daarom dieper ingegaan op de beginselen van het concept Zero Trust.
Traditionele securitymodellen
Als we kijken naar traditionele securitymodellen, dan zien we dat deze voornamelijk gebaseerd zijn op de gedateerde assumptie dat alles binnen het netwerk van een organisatie impliciet vertrouwd werd en dat gebruikers binnen een netwerk konden bewegen. Het gevaar is echter dat dit dan ook het geval is voor hackers en cybercriminelen zodra zij weten door te dringen tot het netwerk. Hierdoor kunnen zij potentieel makkelijker bij gevoelige data komen dan wanneer het netwerk was ontworpen met Zero Trust als basis.
De traditionele securitymodellen worden bovendien steeds minder relevant vanwege technische ontwikkelingen en hybride werken. Denk hierbij aan de opkomst van en migratie naar cloud-oplossingen, thuiswerken en werken op afwisselende locaties en met eigen apparatuur.
“Never trust, always verify”
Het basisprincipe van Zero Trust is “never trust, always verify”. Het uitgangspunt binnen het raamwerk is dat apparatuur, identiteiten en systemen als niet-vertrouwd worden gezien. Er wordt dus niet vertrouwd op een “veilig intern netwerk”, waarbij beveiligingsmaatregelen gericht zijn op de buitenste laag. Zero Trust richt zich juist op het volledige oppervlak en de beweging hierover. Apparatuur, identiteiten en systemen zullen bij Zero Trust eerst geauthentiseerd, geautoriseerd en continue gevalideerd worden voordat toegang wordt verschaft tot applicaties en data. Daarnaast speelt segmentering vaak een grote rol.
In vijf stappen naar Zero Trust
Waar moet nu aan gedacht worden bij het implementeren van Zero Trust en welke stappen zijn van belang om tot een Zero Trust omgeving te komen? In de praktijk kunnen de volgende vijf punten als leidraad dienen:
1. Definieer het oppervlak dat beschermd dient te worden
Hierbij kan gedacht worden aan data, applicaties, assets (waaronder IT, OT en IoT) en services, zoals DNS, API’s en directory services. Dit lijkt simpel, maar vaak is het nog een hele klus om bijvoorbeeld te achterhalen waar de data staat, welke applicaties er allemaal gebruikt worden, enzovoorts.
2. Breng datastromen in kaart
Door datastromen in kaart te brengen wordt duidelijk hoe data, applicaties, assets en services met elkaar interacteren. Onderlinge afhankelijkheden en gevoeligheden worden inzichtelijk door bijvoorbeeld stroomdiagrammen te maken. Hierdoor kan bepaald worden welke beheersmaatregelen genomen dienen te worden en waar deze het beste toegepast kunnen worden.
3. Ontwerp een Zero Trust architectuur
Het uitgangspunt is om de architectuur in te richten op basis van hoe verkeer zich over het netwerk beweegt en hoe gebruikers en applicaties toegang verkrijgen tot data, zodat bijvoorbeeld bepaald kan worden waar segmentatie doorgevoerd dient te worden.
4. Creëer Zero Trust beleid
Wie, welke, wanneer, waar, waarom en hoe? Dit zijn de terugkerende vragen die gesteld kunnen worden bij het opstellen van het Zero Trust beleid. Concepten zoals need-to-know en least privilege zullen hierin herkend worden. In de praktijk kunnen vragen gesteld worden zoals:
- Wie zou toegang moeten verkrijgen?
- Welke applicatie zou gebruikt mogen worden om toegang te verkrijgen?
- Wanneer zou toegang verschaft moeten worden?
- Waar is het middel gelokaliseerd?
- Waarom zou de gebruiker hierbij mogen?
- Hoe zou het netwerkverkeer moeten verlopen?
5. Monitor en onderhoud het netwerk
In de praktijk komt dit onder andere neer op het loggen en inspecteren van de datastromen over het netwerk om normaal en afwijkend gedrag te identificeren. In vergelijking tot het traditionele model stopt bij Zero Trust het loggen en inspecteren niet zodra het gaat om het interne netwerkverkeer. Ook dat interne verkeer moet goed gemonitord en geanalyseerd worden volgens het Zero Trust concept.
Uitdagingen van Zero Trust
Hoewel het concept Zero Trust al vele jaren bestaat is het nog geen gemeengoed. Er is steeds meer aandacht voor, maar in de praktijk lopen organisaties vaak nog aan tegen praktische zaken. Voorbeelden hiervan zijn legacy IT-systemen en applicaties die niet volgens het concept zijn ontworpen en die lastig zijn aan te passen en de kosten om het concept te integreren. Daarnaast lopen organisaties er ook tegenaan dat de wil om te veranderen ontbreekt en er weestand bestaat bij medewerkers. Een mogelijke oplossing hiervoor is om het concept niet integraal door te voeren, maar stapsgewijs per applicatie, stukje data enzovoorts. Op deze wijze is het mogelijk om de focus te bewaren en wordt het geen monsteropgave om Zero Trust te integreren.
