Bescherm uw organisatie met zero-trust beveiliging

Het nieuwe zero-trust beveiligingskader

Historisch gezien gebruiken de meeste organisaties een 'kasteel en gracht'-model om voor netwerkbeveiliging te zorgen. Gebruikers en apparaten binnen de netwerkperimeter worden standaard vertrouwd, alles daarbuiten niet. Dit was begrijpelijk wanneer de meeste of alle apparatuur en werknemers zich op locatie bevonden, want zo was er een duidelijk afgebakende netwerkperimeter.

In het afgelopen decennium hebben cloud-computing en mobiliteit gezorgd voor een fundamentele verandering in organisatorische gegevensomgevingen, waarbij het 'kasteel ' werd afgebrokkeld en de netwerkperimeter werd vervaagd. De laatste doodssteek voor 'kasteel en gracht' was de coronapandemie, die organisaties dwong om snel hun netwerk- en beveiligingsmogelijkheden te schalen om wijdverspreid thuiswerken te ondersteunen.

De 'netwerkperimeter' vervaagde niet alleen, hij bestond niet meer. Het kasteel lag in puin, de gracht was gedempt en organisaties begonnen zich te bewegen richting moderne zero-trust netwerktoegang.

Zero-trust begrijpen

Het zero-trust beveiligingskader is gecentreerd rond drie kernbegrippen: uitgaan van een lek, uitdrukkelijk verifiëren en zorgen voor toegang met minimale privileges.

In plaats van impliciet alle gebruikers en apparaten binnen de netwerkperimeter te vertrouwen, vertrouwt zero-trust helemaal niets en niemand. Zero-trust gaat ervan uit dat alle gebruikers en apparaten in potentie kunnen worden gecompromitteerd, en iedereen, mens of machine, moet worden geverifieerd voordat toegang kan worden verkregen tot het netwerk. Eenmaal aangemeld bij het netwerk, moeten gebruikers de minimale netwerktoegang hebben die ze nodig hebben om hun werk te doen, en niet meer.

Bij een goede installatie geeft het zero-trust model IT-beheerders volledig inzicht in alle gebruikers, systemen en apparaten, helpt naleving van branche- en regelgevende mandaten te waarborgen en helpt cyberaanvallen die worden veroorzaakt door gecompromitteerde gebruikersgegevens te voorkomen.

Waarom VPN's en zero-trust niet samengaan

Toen de coronapandemie begon, werden organisaties gedwongen om hun netwerk- en beveiligingsmogelijkheden snel op te schalen om wijdverbreid thuiswerken te ondersteunen. Aangezien deze verandering plotseling was en zonder kennisgeving vooraf, gingen veel organisaties over tot de inzet van meer van wat ze al hadden. Dat betekende vaak het gebruik van VPN's om externe verbindingen te beveiligen.

Toen externe toegang beperkt was tot alleen zeer specifieke gevallen, werkten VPN's goed genoeg, maar toen organisaties ze probeerden op te schalen om te voorzien in de behoeften van hun voltallige personeelsbestand, kwamen hun tekortkomingen al snel aan het licht.

Maar het opschalen van VPN's is niet makkelijk. Ze zijn bovendien duur en hebben te kampen met problemen met vertragingen, betrouwbaarheid en beschikbaarheid. Er is veel administratieve overhead voor nodig en ze zijn uitzonderlijk lastig in het gebruik voor eindgebruikers. Het ergste van alles is misschien wel dat de meeste geen zero-trust netwerktoegang ondersteunen.

Zo implementeert u zero-trust

Er zijn geen universele 'zero-trust implementatienormen', en het kan een uitdaging zijn om te ontdekken waar u moet beginnen. Maar de volgende praktijkvoorbeelden zijn universeel en helpen u om de zero-trust reis van uw organisatie uit te stippelen.

• Leg u toe op zero-trust voor de lange termijn - Technologie, werkstromen en omgevingen veranderen doorlopend en worden steeds complexer. Hetzelfde geldt voor zero-trust architectuur.
• Zorg ervoor dat het bestuur van de organisatie achter de implementatie staat. Alle lagen van bestuur moeten zich conformeren aan de implementatie van zero-trust. Uit een onderzoek van CRA bleek dat organisaties die zeer succesvol waren in het implementeren van zero-trust werden gesteund door de respectieve besturen, terwijl organisaties waarin die steun ontbrak worstelden.
• Begin klein - Begin de implementatie van zero-trust door eerst de bedrijfsbronnen met een laag risico te migreren, om dan over te schakelen naar meer kritieke bronnen zodra uw team meer ervaring heeft opgedaan met het proces.
• Richt u eerst op IAM – CRA ontdekte dat identiteits- en toegangsbeheer (IAM, Identity and Access Management) het vaakst geïmplementeerde zero-trust onderdeel was door organisaties die zeer succesvol waren, waarbij 86% zero-trust strategieën had toegepast op hun IAM-processen en controles.