Wat is zero-trust?

Zero-trust is een beveiligingsmodel dat is gebaseerd op het principe dat geen enkele gebruiker of apparaat standaard vertrouwd mag worden. In plaats van aan te nemen dat alles binnen het netwerk veilig is, vereist zero-trust een voortdurende en expliciete verificatie van alle gebruikers en apparaten, ongeacht hun locatie. In plaats van te focussen op waar iemand inlogt, richt zero-trust zich op wie iemand is en of deze persoon toegang zou moeten hebben. De toegang tot systemen en data wordt strikt gecontroleerd en alleen verleend aan degenen die deze nodig hebben en alleen voor de noodzakelijke duur.

De kernprincipes van zero-trust

Zero trust is gebaseerd op drie kernprincipes:

Ga uit van een lek. Gaat ervan uit dat elke gebruiker op uw netwerk (menselijk of niet) op elk moment gecompromitteerd kan worden.
Verifieer expliciet. Alle mensen en machines moeten bewijzen dat ze zijn wie ze beweren te zijn voordat ze toegang krijgen tot het netwerk van uw organisatie, inclusief alle systemen, apps en gegevens.
Zorg voor minimale privileges. Eenmaal aangemeld bij het netwerk, moeten gebruikers de minimale hoeveelheid netwerktoegang hebben die nodig is om hun werk te doen, en niet meer.

Hoe zero-trust werkt

Zero-trust gaat ervan uit dat elke verbinding, elke gebruiker en elk apparaat een potentiële bedreiging kan vormen. Daarom moet de toegang op elk punt continu worden geverifieerd. Zo werkt het:

1. Geen impliciet vertrouwen, waar dan ook.

In een zero-trust-omgeving wordt geen enkele gebruiker of apparaat standaard vertrouwd, ongeacht of zij zich binnen of buiten het bedrijfsnetwerk bevinden. Elke toegangsaanvraag wordt behandeld alsof deze afkomstig is van een open, niet-vertrouwd netwerk. Dit betekent dat authenticatie en autorisatie voor en tijdens de toegang tot een bron worden gehandhaafd.

2. Doorlopende verificatie

Als een gebruiker is geauthenticeerd, betekent dit niet dat hij of zij onbeperkte toegang heeft. Zero-trust maakt gebruik van continue verificatie, wat betekent dat gebruikers herhaaldelijk hun identiteit en de beveiligingsstatus van hun apparaat moeten aantonen terwijl zij door het systeem navigeren. Dit wordt vaak gedaan door middel van:

Multi-factor-authenticatie (MFA)
Controle van de apparaatstatus
Contextuele toegang (bijv. locatie, tijdstip van de dag, rol)

3. Toegang met minimale privileges

Gebruikers en applicaties krijgen het minimale toegangsniveau dat nodig is om hun taken uit te voeren. Dit principe wordt ook wel toegang met minimale privileges genoemd. Het vermindert het aanvalsoppervlak en beperkt de schade in geval van een inbreuk. Op rollen gebaseerde toegangscontroles (RBAC) en op attributen gebaseerde beleidsregels handhaven deze regels dynamisch.

4. Microsegmentatie

In plaats van één plat, open netwerk, segmenteert zero-trust het netwerk in kleinere zones, elk met zijn eigen toegangscontroles. Dit proces wordt microsegmentatie genoemd en zorgt ervoor dat zelfs als er in één segment wordt ingebroken, de cybercrimineel zich niet lateraal naar andere segmenten kan verplaatsen.

5. Zichtbaarheid en analyses

Zero-trust is ook afhankelijk van uitgebreide monitoring en logging. Elke toegangsaanvraag en actie wordt geregistreerd en geanalyseerd om afwijkingen op te sporen, bedreigingen te ontdekken en naleving af te dwingen.

Voordelen van zero trust

Zero-trust biedt een breed scala aan voordelen, wat de reden is dat dit het standaardbeveiligingsmodel voor moderne organisaties aan het worden is.

Meer zichtbaarheid voor IT- en beveiligingsteams: Zero trust biedt beheerders volledig inzicht in gebruikers, systemen en apparaten binnen de gehele dataomgeving. Ze kunnen zien wie er verbinding maakt met het netwerk, vanaf welke locatie en tot welke gegevens ze toegang hebben.
Veilige en flexibele toegang voor gebruikers: Aangezien zero-trust mensen, apps en services de mogelijkheid geeft om veiliger te communiceren, zelfs op verschillende netwerken, krijgen gebruikers meer vrijheid en flexibiliteit. Ze kunnen veilig verbinding maken vanuit hun huizen of andere externe locaties, zelfs als ze hun eigen apparaten gebruiken.
Sterkere bescherming tegen aanvallen: Zero-trust vermindert het risico op datalekken door continue authenticatie en apparaatverificatie te vereisen. RBAC en Privileged Access Management (PAM) minimaliseren het risico op escalatie van privileges als er toch een inbreuk plaatsvindt.
Eenvoudigere naleving en minder auditproblemen: Zero-trust ondersteunt naleving van de regelgeving door strikte toegangscontroles af te dwingen en gevoelige gegevens te segmenteren. RBAC en netwerksegmentatie/microsegmentatie ondersteunen nalevingsinitiatieven en resulteren in minder bevindingen tijdens nalevingsaudits.

Zo implementeert u zero-trust

Een van de grootste uitdagingen bij het implementeren van een zero-trust-beveiligingsstrategie is dat er geen universele implementatiestandaarden zijn. Veel organisaties wenden zich tot het zevenstappenproces dat is uiteengezet in de speciale publicatie 800-207 van NIST:

1. Identificeer gebruikers

Dit omvat zowel menselijke gebruikers als niet-menselijke identiteiten, zoals serviceaccounts. NIST merkt op dat bevoorrechte gebruikers, waaronder IT-beheerders en ontwikkelaars, speciale aandacht vereisen, aangezien deze gebruikers mogelijk onbeperkte toegang hebben tot digitale bronnen. In een zero-trust framework moeten zelfs geprivilegieerde accounts minimale privileges hebben, en moet de accountactiviteit worden gemonitord en vastgelegd.

2. Identificeer en beheer alle activa die met het netwerk zijn verbonden

Het identificeren en beheren van alle middelen die verbinding maken met het organisatorische netwerk is essentieel voor een succesvolle zero-trust implementatie. Dit omvat:

Laptops, mobiele apparaten, IoT-apparaten en andere hardwarematige componenten.
Digitale artefacten, zoals apps en digitale certificaten.
Apparaten die niet eigendom zijn van de organisatie, maar die verbinding kunnen maken met de netwerkinfrastructuur of toegang kunnen krijgen tot netwerkbronnen.

NIST geeft toe dat een volledige inventarisatie van alle hulpmiddelen misschien niet mogelijk is, en daarom moeten organisaties er ook voor zorgen dat ze 'nieuw ontdekte hulpmiddelen in de infrastructuur van de organisatie snel kunnen identificeren, categoriseren en beoordelen'.

Naast het catalogiseren van hulpmiddelen, bevat deze stap configuratiebeheer en monitoring, aangezien de mogelijkheid om de huidige status van hulpmiddelen onderdeel uitmaakt van het zero-trust authenticatieproces.

3. Identificeer belangrijke processen, beoordeel hun risico's en identificeer zero-trust 'kandidaten'

Identificeer, rangschik en evalueer de risico's van de bedrijfsprocessen en gegevensstromen van uw organisatie, inclusief hun belang voor de missie van uw organisatie. Hiermee kunt u achterhalen welke processen goede eerste kandidaten zijn voor een zero-trust implementatie. NIST adviseert om te beginnen met processen die afhankelijk zijn van cloudgebaseerde bronnen en/of worden gebruikt door werknemers die op afstand werken, aangezien zij de meest directe beveiligingsverbeteringen genereren.

4. Formuleer zero-trust beleidsregels voor 'kandidaten'

Dit is een vervolg van stap 3. Na het identificeren van een hulpmiddel of werkstroom om naar zero-trust te migreren, moet u alle upstream- en downstream-bronnen identificeren die het hulpmiddel of de werkstroom gebruiken of beïnvloeden. Hiermee helpt u de eerste zero-trust migratie-'kandidaten' definitief te maken en zorgt u ervoor dat beleidsregels met minimale privileges en andere worden toegepast om maximale beveiliging te krijgen zonder de werkstroom te verstoren.

5. Identificeer en selecteer toolsets/oplossingen

Er zijn veel zero-trust-compatibele oplossingen op de markt, maar ze zijn niet allemaal geschikt voor uw specifieke data-omgeving en zakelijke behoeften. NIST raadt aan het volgende in overweging te nemen bij het kiezen van zero-trust-tools:

Moeten er onderdelen worden geïnstalleerd op de client-hulpmiddelen voor de oplossing? Dit zou bedrijfsprocessen kunnen beperken.
Werkt de oplossing in gevallen waarbij bedrijfsbronnen op locatie zijn? Sommige oplossingen gaan ervan uit dat de gevraagde bronnen zich in de cloud bevinden (zogenaamd noord-zuid-verkeer) en niet binnen een ondernemingsperimeter (oost-west-verkeer). Dit vormt een probleem in hybride cloudomgevingen, waarbij oude bedrijfsapps die kritieke functies uitoefenen mogelijk op locatie worden uitgevoerd omdat migratie ervan naar de cloud niet haalbaar is.
Biedt de oplossing een manier om interacties voor analyse vast te leggen? Zero-trust toegangsbesluiten leunen zwaar op de verzameling en het gebruik van gegevens gerelateerd aan de processtroom.
Biedt de oplossing brede ondersteuning voor verschillende apps, services en protocollen? Sommige oplossingen ondersteunen mogelijk een breed scala aan protocollen (SSH, web, enz.) en transporten (IPv4 en IPv6), maar andere werken mogelijk alleen met web of e-mail.
Zijn er wijzigingen aan de bestaande werkstromen nodig voor de oplossing? Sommige oplossingen vereisen mogelijk extra stappen voor een bestaande werkstroom, waardoor de organisatie wijzigingen in de werkstroom zou moeten doorvoeren.

6. Start eerste installatie en monitoring

NIST adviseert ondernemingen om in eerste instantie zero-trust te implementeren in 'monitoring-modus', zodat IT- en beveiligingsteams ervoor kunnen zorgen dat beleidsregels en processen effectief en haalbaar zijn. Bovendien zijn, zodra de standaard gebruikers- en netwerkactiviteiten zijn opgezet, beveiligingsteams beter in staat om afwijkend gedrag te identificeren.

7. Breid uw zero-trust architectuur uit

Na de eerste implementatie van zero-trust is het tijd om de volgende groep kandidaten te migreren. Deze stap is continu: wanneer er wijzigingen optreden in de dataomgeving of werkstromen van de organisatie, moet de zero-trust-architectuur opnieuw worden geëvalueerd en dienovereenkomstig worden aangepast.