Zero Trust

Wat is Zero Trust?

Zero Trust is een beveiligingsprincipe waarin gebruikers en systemen elkaar nooit ‘zomaar’ vertrouwen. In traditionele bedrijfsnetwerken hebben alleen eigen gebruikers toegang en volstaat een eenmalige controle bij het inloggen. In open cloud omgevingen communiceert echter alles met iedereen via publieke netwerken en in dat geval moet je elkaars identiteit voortdurend controleren. Dat is het idee achter Zero Trust.

Waarom is Zero Trust Security het best?

Om te begrijpen waarom Zero Trust security tegenwoordig de beste beveiligingsaanpak is, kunnen we best eerst kijken hoe de IT-beveiliging van oudsher is georganiseerd. Die traditionele beveiliging kun je het best vergelijken met een kasteel. Bij de verdediging daarvan was alle aandacht gericht op de muren, de ophaalbrug en de poort. Zodra er echter een bres in de muur was geslagen of de poort open geramd was de vijand definitief binnen.

Traditionele IT netwerken zijn op een vergelijkbare manier beveiligd. Met firewalls en VPN’s beveilig je de primaire toegang tot een bedrijfsnetwerk. Maar ben je eenmaal binnen dan kun je onbeperkt rondneuzen in de aangesloten systemen en gegevens. Je wordt dan niet of beperkt gecontroleerd en dat maakt zo’n beveiliging in moderne IT-omgevingen feitelijk achterhaald. Je wilt – zoals bij Zero Trust – je gebruikers eigenlijk voortdurend kunnen verifiëren.

Zero Trust Principes

Het moderne IT-landschap van organisaties is immers letterlijk grenzeloos. Een deel of alle applicaties en gegevens draaien in de cloud. Systemen zijn op ieder moment, vanuit elke locatie en met ieder device te bereiken; en ook niet alleen voor de eigen medewerkers maar ook voor inhuurkrachten, klanten en partners. Ook wisselen applicaties zelf rechtstreeks onderling gegevens uit. Feitelijk kunnen we je digitale omgeving alleen nog maar beveiligen door iedere individuele sessie tussen gebruikers, applicaties en gegevens steeds weer te controleren. Niets of niemand wordt zomaar vertrouwd, Zero Trust dus. Of zoals de bedenker van het concept, John Kindervag, het ooit verwoordde: ‘never trust, always verify’.

Zero Trust Framework

De Zero Trust approach bestaat al meer dan 10 jaar. Voor veel bedrijven en overheden is het tegenwoordig een sleutelconcept in hun informatiebeveiliging. Onze eigen Nederlandse Cyber Security Centrum (NSCS) hamert dan ook op het belang van zo’n Zero Trust Framework. En bijvoorbeeld in de Verenigde Staten is er een White House memo gepubliceerd (Executive Order 14028) waarin men overheidsorganisaties oproept tot “Improving the Nation’s Cybersecurity” door een Zero Trust Architecture (ZTA) te implementeren. Ook heeft het National Instititute for Standards en Technology (NIST) in de standaard NIST 800-207 richtlijnen opgesteld voor zo’n Zero Trust Framework.

Zero Trust Architecture

In een blog vertaalt de NSCS de Zero Trust principes naar drie overkoepelende hoofdconcepten voor zo’n Zero Trust architectuur:

1. Authenticatie en autorisatie: ‘Never trust, always verify’ begint met een sterke controle van de identiteit. Voordat een gebruiker of applicatie toegang krijgt tot gegevens en functionaliteit, moet eerst verificatie plaatsvinden van de geclaimde identiteit. Als die authenticatie is geslaagd, volgt de autorisatie waarna de gebruiker toegang krijgt tot de benodigde gegevens en applicaties. Door die rechten te beperken tot een need-to-know basis zorg je dat je nooit nodeloos te veel informatie vrijgeeft.
2. Netwerk segmentatie: Bij het organiseren van zo’n veilige toegang helpt netwerk segmentatie. We delen netwerken op in zones, ook wel implied trust zones genoemd. Er is een beheerder verantwoordelijk voor iedere zone die kan bepalen wie er toegang krijgt en welke beveiligingseisen van toepassing zijn. De crux daarbij is met relatief kleine zones te werken, zodat de impact van een eventueel beveiligingslek beperkt blijft.
3. Monitoring: Tenslotte gaat het Zero Trust model ervan uit dat we voortdurend alle apparaten, gebruikers, services én hun onderlinge communicatie monitoren. Alleen zo kun je tijdig misbruik en het overschrijden van rollen en policies detecteren; en maatregelen nemen zoals het automatisch blokkeren van bepaalde zones.

Naast deze drie hoofdpijlers in de architectuur moeten uiteraard alle data encrypted zijn. Niet alleen moeten we gegevens encrypted opslaan, ook de communicatie moet altijd versleuteld zijn.

Zero Trust Security Implementeren

We zagen al dat Identity en Access Management (IAM) functionaliteit een belangrijke rol speelt bij de implementatie van Zero Trust beveiliging. IAM helpt op meerdere manieren bij je Zero Trust plannen:

• Erg belangrijk is de uitgifte van toegangsrechten. Door dit te automatiseren aan de hand van iemands rol of functie weet je zeker dat iemand alleen toegang krijgt tot applicaties en gegevens die strikt noodzakelijk zijn. Zo werk je direct aan je Zero Trust security.
• Ook andere toegangsverzoeken kun je stroomlijnen met een moderne IAM oplossing, inclusief veilige goedkeuringsprocessen. Bovendien kun je toegangsrechten tijdelijk verstrekken zodat ze niet onbeperkt geldig blijven.
• Daarnaast versterken we de digitale toegangsbeveiliging met Multi Factor Authenticatie (MFA). Wachtwoorden zijn altijd een zwakke schakel maar dankzij MFA minimaliseer je de kans op een beveiligingslek.
• In een professionele IAM oplossing is de toegang tot je applicaties en data volledig auditeerbaar. Alle toegangspogingen en alle wijzigingen in business rules en toegangsrechten worden gelogd ten behoeve van audit trails.

Meer over Zero Trust beveiliging met IAM?

Op onze site vind je een use case over de rol van moderne IAM oplossingen bij de implementatie van een Zero Trust netwerk. Met onze cloud gebaseerde IAM oplossing HelloID beschik je niet alleen over een Identity-as-a-Service, maar zet je ook een grote stap naar een ‘Zero Trust as a service’ oplossing.