Skip to main content
Nee, tenzij. Dat is uw uitgangspunt bij Zero Trust. Als IT-manager richt u uw beveiliging dan zo in, dat ongewenste handelingen bij voorbaat onmogelijk worden gemaakt.
Hoeveel risico neemt u? Een IT-manager is tenslotte ook maar een mens. U wilt uw collega’s het leven niet onnodig moeilijk maken. Dus staat u dingen toe, zo lang er geen misbruik van gemaakt wordt.
Maar in de IT is dat een recept voor ellende. Want er kan zó ontzettend veel misgaan. En u merkt het pas als het te laat is. Want hackers worden steeds professioneler. Zwakke plekken in uw security weten ze steeds beter te vinden en te misbruiken. Dus wat doet u? Wachten tot het misgaat? Doordat een collega iets doet waar hij vreselijk veel spijt van gaat krijgen?
Of kiest u voor veiligheid? Dan moet u zorgen dat op uw netwerk alleen díe dingen mogelijk zijn die inderdaad mógen gebeuren, en alleen in de juiste context. Dat noemen we Zero Trust.
Breed beveiligen
In feite is dat normaal in de IT. Elke goed geschreven app maakt alleen dingen mogelijk die de programmeur erin wilde hebben. Een app als Sharepoint staat voortdurend in contact met databases die bepalen wat een bepaalde gebruiker mag zien en doen, en die alles blokkeren wat niet mag. Het systeem houdt bij wat de gebruiker doet en wanneer. Als er toch iets ontoelaatbaars gebeurt, gaan meteen de alarmbellen af.
Als IT-manager kunt u Zero Trust echter op veel meer lagen toepassen. Een voorbeeld is de versleutelde harddisk in uw laptop: daarmee beschermt u de gegevens rechtstreeks. Een andere laag is de toegang tot databases: ook die kunt u afgrendelen en monitoren.
En dan is er het verkeer op uw netwerk. Door segmentatie voorkomt u dat bezoekers doordringen op plaatsen waar ze niet mogen komen. Daartoe moet u schotten plaatsen. Maar ook nadenken over verkeerspaden: in welke gevallen wilt u bepaalde schotten tijdelijk openzetten?
Centrale controle
Een ander onderdeel zijn applicaties. Die hebben vaak hun eigen toegangscontrole. Maar het is geen doen om overal aparte wachtwoorden voor te beheren: niet voor u als IT-manager en ook niet voor uw gebruikers. Dat leidt alleen maar tot slordigheid en risico’s.
Een goede oplossing is één centrale toegangscontrole. Iedereen heeft daar een profiel waarin is vastgelegd wat zijn of haar toegangsrechten zijn. Wanneer iemand ergens bij wil, wordt dat gerouteerd langs die centrale server: is dit inderdaad die persoon? En mag hij bij deze app of database? Uiteraard noteert de server ook waar en wanneer aan deze persoon toegang wordt verleend.
Hiervoor is het nodig om te weten wie de gebruiker is. Dat is handig te bepalen met Single Sign-On (SSO): dan hoeft de gebruiker maar één maal in te loggen. De rest van de werksessie gaat de controle bij de centrale server achter zijn rug om. Dan kun je die ene inlog dus gemakkelijk extra veilig maken. Bijvoorbeeld met een extra verificatiestap via een authenticatie-app op de mobiele telefoon.
Werk in uitvoering
Dit zijn een hoop maatregelen. En de lijst is niet eens volledig. Moet u dat nou werkelijk allemaal doen? Dat hangt van het soort organisatie af. Bij grote banken is echt alles dichtgetimmerd. Maar een klein bedrijf met minder kostbare of gevoelige data zal minder ver hoeven te gaan. Het principe van Zero Trust is echter helder: streng bewaken, volgens strakke regels en concrete meetpunten.
Op veel plaatsen is dat werk in uitvoering. Kijk naar de overheid: gemeenten wisselen allerlei data uit met het rijk. Sommige datastromen zijn héél goed afgeschermd, maar andere nog nauwelijks.
En soms is het gewoon ingewikkeld. Neem de logistiek. Een expeditiebedrijf kan zijn data heel secuur bewaren in een datawarehouse, met allerlei maatregelen om ongeoorloofde toegang te voorkomen. Maar ondertussen moet het data uitwisselen met allerlei ketenpartners: van verladers tot douanes en belastingdiensten in allerlei landen. Ook hier geldt dat een keten zo sterk is als zijn zwakste schakel.
Hulp van buiten
Het is geen wonder dat Zero Trust nog geen gemeengoed is. Kunt u het zonder hulp van buiten implementeren? In één woord: nee. Er zijn voorlopig nog weinig panklare oplossingen voor op de markt. En die er zijn, lossen slechts een deel van de uitdaging op. Om het geheel te realiseren heeft u allerlei specialismen nodig: cryptografie, netwerksegmentatie, software-development, monitoring, authenticatie, noem maar op. Bedrijven met eigen IT huren hiervoor consultancy in. Werkt u met IT in de cloud, dan kunt u de oplossingen van uw cloudprovider toepassen. Als dit complex wordt kunt u ook hiervoor experts in de arm nemen.
Wat u ook doet, bewaking is nodig. Die krijgt u middels Managed Security Monitoring door een Security Operations Center. Zo’n SOC houdt van buitenaf 24/7/365 in de gaten of activiteiten in uw IT-landschap volgens de afgesproken regels lopen. Daartoe installeert u sensors in uw netwerk en maakt u logfiles beschikbaar van belangrijke databases of webservers.
Als er iets afwijkt, onderzoekt een SOC-analist de activiteit. Wanneer die kwaadaardig lijkt, trekt het SOC aan de bel. Desgewenst kan het meteen ingrijpen, bijvoorbeeld door een netwerksegment of een endpoint af te sluiten.
Noodknop
Kunt u ook te ver gaan in je toepassing van Zero Trust? Jazeker. Dat bewees Facebook recentelijk. Meer dan drieënhalf miljard mensen wereldwijd zaten vijf uur lang zonder hun sociale media door een fout tijdens onderhoud. Of liever: een fout in de opzet van de beveiliging. Want door de storing gingen de datacentra letterlijk op slot voor de eigen IT’ers van het bedrijf.
Wat Facebook miste, was een noodknop voor de beveiliging. Of, op z’n Engels, een Break Glass-optie. Dit was een falen van de business continuity. Uiteindelijk is het doel van IT immers om de business beter te laten lopen. Een Break Glass-optie is ook normaal in sectoren als de essentiële infrastructuur en de zorg. Werkzaamheden worden door de IT tot in detail gecontroleerd. Maar in een noodgeval kunnen medewerkers zelf die beveiliging uitschakelen om rechtstreeks in te grijpen.
Dat lijkt riskant, maar het is zelden nodig. En uiteraard legt het systeem precies vast wie er op de knop gedrukt heeft, wanneer dat was en wat de medewerker vervolgens gedaan heeft.
Achterdeur
Uit het bovenstaande zal duidelijk zijn dat Zero Trust veel dimensies heeft. Ze zijn soms lastig te beheersen. Maar uiteindelijk heeft u geen keus: wilt u IT op een grootschalige manier inzetten, dan moet u onvoorwaardelijk kiezen voor veiligheid. U laat uw achterdeur toch ook niet open staan?
