Wat is Zero Trust en waarom heb je het nodig?

Als je van de term Zero Trust hebt gehoord in de context van cybersecurity, maar niet zeker weet wat het is, zal deze blog je op weg helpen. In de rest van deze blogserie leggen we het volgende uit

Lees de volledige serie hier:

• Wat is Zero Trust en waarom heb je het nodig?
• Hoe je een Zero Trust model implementeert
• Zero Trust in actie - een typische dag uit het leven van een medewerker
• Hoe Microsoft security past in jouw Zero Trust-model

Voordat we het concept van Zero Trust uitleggen, is het belangrijk om te begrijpen hoe en waarom het ontstaan. Laten we er eens in duiken.

Een veranderende werkplek

Traditionele beveiligingsmodellen met een afkadering van het netwerk - zoals stadsmuren en een slotgracht rond een middeleeuwse stad - zijn niet langer geschikt voor moderne werkomgevingen.. Vandaag de dag werken werknemers vanaf verschillende locaties en vaak op meerdere apparaten. En omdat cloud computing is omarmd, zijn er meerdere cloud perimeters ontstaan.

Maar het gaat verder dan erosie van de perimeter. Cyberbedreigingen worden geavanceerder, kwaadwillenden bevinden zich niet langer alleen buiten je stadsmuren. In feite is elke kwetsbaarheid een potentiële achterdeur in het systeem die door een aanvaller kan worden gebruikt. Datalekken kunnen van binnenuit gebeuren, opzettelijk of per ongeluk. Opvallende datalekken hebben de beperkingen van conventionele beveiligingsmaatregelen blootgelegd.

Toen cloud computing zijn intrede deed, was een nieuwe manier van beveiliging nodig. John Kindervag, een voormalig Forrester-analist, introduceerde in 2010 voor het eerst het Zero Trust-model voor met als doel datalekken en cyberaanvallen te voorkomen door het aanvalsoppervlak te minimaliseren en de mogelijkheden voor manouvreren binnen een netwerk te beperken. Vandaag de dag is het Zero Trust-model een best practice op het gebied van beveiliging. Toch begrijpen veel bedrijfsleiders nog steeds niet helemaal wat het is.

Wat is Zero Trust?

Het is belangrijk om te begrijpen dat Zero Trust geen nieuwe technologie is. Het is een beveiligingsmodel of -raamwerk, een andere manier van denken over waar bedreigingen vandaan kunnen komen en geminimaliseerd kunnen worden.

In tegenstelling tot traditionele modellen die gebruikers en apparaten binnen de netwerkperimeter vertrouwen, gaat Zero Trust ervan uit dat alles en iedereen voortdurend moet worden geverifieerd voordat ze toegang verkrijgen tot bronnen. Het doet alsof er al een inbreuk is gepleegd, dat het netwerk gecompromitteerd is en dat elke entiteit of elk verzoek kwaadaardig kan zijn.

Met het kernprincipe 'vertrouw nooit, verifieer altijd' dwingt een Zero Trust-model strikte beleidsregels af voor elk toegangsverzoek of elke transactie, terwijl medewerkers toch hun werk kunnen doen.

Zero Trust kernprincipes

Hoewel 'Never Trust, Always Verify' het kernprincipe is, zijn er nog andere principes die het model ondersteunen:

Toegang met laagste privileges

Zero Trust verleent het minimaal benodigde toegangsniveau voor elke gebruiker, apparaat en applicatie, met behulp van de concepten just-enough-access (JEA) en just-in-time (JIT). Elke persoon of niet-menselijke entiteit krijgt alleen toegang tot de applicaties of informatie die voor hen zijn goedgekeurd, en alleen voor een bepaalde periode. Als iemand bijvoorbeeld wordt toegevoegd aan een team voor een specifiek project, kan hij toegang krijgen tot bepaalde bestanden voor de duur van dat project, maar daarna wordt zijn toegang ingetrokken.

Microsegmentatie

Een Zero Trust benadering verdeelt beveiligingsperimeters in kleine zones om gescheiden toegang te behouden. Stel je voor dat verschillende afdelingen binnen een organisatie - en mogelijk zelfs teams binnen deze afdelingen - elk hun eigen beveiligingsperimeter hebben, zodat iemand van marketing bijvoorbeeld geen toegang heeft tot HR-gegevens. Deze aanpak dwingt granulaire permissies en segmentatie af, waardoor de blootstelling van gevoelige gegevens en bronnen wordt beperkt en onbevoegde toegang wordt voorkomen.

Multi-factor Authenticatie (MFA)

Zelfs met microsegmentatie staat Zero Trust op meerdere vormen van verificatie voordat toegang wordt verleend. Dit kan een sms zijn die naar je telefoon wordt gestuurd, een wachtwoordaanvraag of een klik op een authenticatie-app. De uitdaging voor bedrijven is om de juiste balans te vinden tussen veilig blijven zonder de productiviteit te beïnvloeden. Goed presterende werkplekken die een effectieve Zero Trust-strategie hebben opgezet, raken de sweet spot tussen deze twee doelstellingen.

Continue bewaking

Een Zero Trust model implementeert te allen tijde real-time monitoring en validatie van de beveiligingsstatus. Als een medewerker bijvoorbeeld om 9 uur 's ochtends inlogt vanuit Londen, maar twee uur later blijkt in te loggen vanuit India, wordt een beheerder gewaarschuwd dat dit een potentieel risico is, omdat het voor die persoon menselijkerwijs niet mogelijk is om binnen dat tijdsbestek tussen de twee plaatsen te reizen. Deze geautomatiseerde, constante monitoring zorgt ervoor dat potentiële problemen onmiddellijk worden gesignaleerd.

Voorwaardelijke toegang

Zero Trust heeft deze verbeterde beveiliging zonder impact op de gebruikerservaring. Daarvoor wordt Conditional Access gebruikt, waarbij contextbewuste toegangscontroles en adaptieve authenticatiemechanismen worden geïmplementeerd om een balans te vinden tussen beveiliging en bruikbaarheid.