Zero Trust: geen product, een volgorde

Wat Zero Trust is, en wat het niet is

Het oude model was eenvoudig: binnen het netwerk was vertrouwd, buiten niet. Er zat een firewall tussen, en wie erdoorheen was mocht bij alles. Dat werkte zolang iedereen op kantoor zat en alle systemen in dezelfde serverruimte stonden.

Geen van beide is nog waar. De mensen zitten overal, de systemen staan bij drie aanbieders, en de firewall staat om een netwerk waar het werk niet meer in zit. Zero Trust is het antwoord op die verschuiving, en het bestaat uit één regel: vertrouw geen enkele verbinding op grond van waar hij vandaan komt. Elke aanvraag wordt beoordeeld op wie hem doet, vanaf welk apparaat, en of dat op dat moment klopt.

Wat het niet is: een product. Je kunt geen Zero Trust kopen, net zomin als je veiligheid kunt kopen. Elke leverancier heeft er een doos voor — de een op identiteit, de ander op netwerk, de derde op de werkplek — en elk van die dozen dekt een deel. Wie er één koopt en denkt klaar te zijn, heeft één laag geregeld en drie niet.

En het is geen alles-of-niets. De meeste organisaties waar wij komen hebben al twee of drie onderdelen staan zonder het zo te noemen. De vraag is niet of je begint, maar welke laag als eerste.

Begin bij identiteit, altijd

Als er één plek is waar je moet beginnen, is het deze, en dat heeft twee redenen die los van elkaar gelden.

De eerste is dat het de laag is waar het misgaat. In de incidenten die wij zien is de ingang bijna nooit een technisch gat in een firewall. Het is een account: een wachtwoord dat elders is uitgelekt, een medewerker die op een goed nagemaakte inlogpagina klikte, een beheerdersaccount uit 2019 dat nooit is opgeruimd.

De tweede is dat het de goedkoopste laag is. Tweede factor aanzetten kost geen investering, alleen doorzettingsvermogen. Voorwaardelijke toegang inrichten — wie mag vanaf welk apparaat en in welke situatie iets — zit meestal al in de licentie die je hebt.

Wat er concreet moet staan:

• Tweede factor op alles, en op de beheerdersaccounts als eerste. Die zijn de moeite waard voor een aanvaller en niet dat van die ene collega uit de administratie.
• Voorwaardelijke toegang. Een inlog vanaf een beheerd apparaat hoort meer te mogen dan een inlog vanaf een onbekende laptop in een land waar je niemand hebt.
• Uitdiensttreding als proces. Een account dat blijft leven is een openstaande deur, en die deur is van buitenaf bereikbaar. Dit is geen techniek maar een afspraak met HR.
• Beheerdersrechten die tijdelijk zijn. Iemand is beheerder als hij iets beheert, niet permanent omdat hij dat drie jaar geleden een keer moest.

Hoe wij die laag inrichten staat onder cybersecurity.

Dan het apparaat, en pas daarna het netwerk

De tweede laag is het apparaat. Een geldige inlog vanaf een apparaat waar je niets van weet is nog steeds een risico, want de inloggegevens kunnen van dat apparaat gestolen zijn. Wat je hier wilt is simpel te benoemen en lastiger vol te houden: alleen apparaten die je kent en die bijgewerkt zijn komen bij het werk.

Dat botst met de praktijk, en dat hoort erbij. Er is altijd een externe die morgen moet meekijken en een directeur met een privételefoon. Het antwoord daarop is niet de regel afzwakken maar een tweede weg maken: minder rechten, geen bestanden lokaal, alleen in de browser.

De derde laag is het netwerk, en die komt bewust als laatste. Segmentatie — het netwerk opdelen zodat een besmet apparaat niet bij alles kan — is waardevol en het is ook het meeste werk. Bij organisaties met productie of medische apparatuur schuift het naar voren, omdat daar dingen op het netwerk hangen die je niet kunt bijwerken en dus moet afschermen. Bij een kantoororganisatie levert dezelfde inspanning op de identiteitslaag meer op.

De volgorde identiteit, apparaat, netwerk is geen wet. Het is wat in de meeste omgevingen het meeste risico wegneemt per bestede euro, en daar wijken we van af als jouw omgeving daar aanleiding toe geeft. Maar dan zeggen we erbij waarom.

Wat er met de vpn gebeurt

Dit is de vraag die in elk gesprek langskomt, dus hier het eerlijke antwoord.

Een vpn past niet in het Zero Trust-uitgangspunt, want hij doet precies wat je niet meer wilt: hij verplaatst iemand naar binnen, en binnen is vertrouwd. Wie via de vpn is, zit op het netwerk en kan bij alles wat op dat netwerk staat.

Toch adviseren wij hem zelden meteen weg te halen, en dat is geen slapheid. In vrijwel elke omgeving hangt er iets aan de vpn dat niet op een andere manier bereikbaar is: een oude toepassing, een machine, een leverancier die zo is aangesloten. Die weghalen is een project op zich, en tot dat project af is doet de vpn iets wat je nodig hebt.

Wat je wel meteen kunt doen is hem kleiner maken. Wie mag erop, met welke tweede factor, en waar komt hij uit — niet op het hele netwerk maar op de handvol systemen waar het om gaat. Dat is een middag werk en het haalt het grootste deel van het risico weg zonder dat er iets stukgaat.

Wat het kost aan gedoe

Bedragen staan niet op deze site. Wat er wel bij hoort is de andere prijs, want die wordt zelden genoemd en hij is de reden dat invoeringen stranden.

Zero Trust betekent dat mensen vaker iets moeten bevestigen, dat een apparaat dat niet bijgewerkt is niet meer werkt, en dat iemand die vroeger overal bij kon dat niet meer kan. Dat levert weerstand op, en die weerstand is terecht: het werk wordt er op korte termijn omslachtiger van.

Wat daar tegen helpt is niet uitleggen dat het moet van de norm. Wat helpt is de regel zo instellen dat hij mensen die normaal werken niet raakt. Een tweede factor die één keer per week vraagt in plaats van bij elke aanmelding, voorwaardelijke toegang die op een beheerd apparaat niets extra's vraagt — dat is het verschil tussen een maatregel die blijft staan en een maatregel die na drie weken wordt uitgezet omdat de directie erover viel.

En reken op een lijst uitzonderingen. Die is er altijd, en hij hoort opgeschreven te worden met een reden en een datum in plaats van stilletjes te bestaan.