Organisaties beseffen vandaag dat cybersecurity cruciaal is om op een veilige en performante manier te werken en tegelijkertijd bedrijfsgegevens maar ook medewerkers, partners en klanten te beschermen. En dan valt al snel de term ‘Zero Trust’. Dat is geen technologie die je kan kopen. En daar gaan velen de mist in.
Een Zero Trust-oplossing: iedereen heeft er de mond van vol. Veel security-oplossingen worden vandaag ook met die belofte verkocht. Laat me meteen met de deur in huis vallen: Zero Trust is in dat geval slechts een marketingsticker. Zero Trust als technologie bestaat namelijk niet. Het is een filosofie, een mindset die je in je organisatie implementeert. Zero Trust is een filosofie waarbij je niemand vertrouwt totdat je hen geverifieerd hebt. Op deze manier kan je toegang tot databronnen en IT-systemen minutieus verifiëren, activeren en controleren. Eens je een Zero Trust-architectuur hebt opgezet, zorg je ervoor dat iedereen zich altijd dient te authenticeren.
Zero Trust is een filosofie
Laat je niets wijsmaken door marketingslogans van beveiligingsspecialisten: een Zero Trust-technologie bestaat niet. Het is een concept, een filosofie die je jaren kost om ze te implementeren. Het principe is eenvoudig: je gaat ervan uit dat iedereen binnen en rond je organisatie een potentiële aanvaller is. De vraag is alleen: in hoeverre vertrouw je iemand en geeft je hem of haar toegang tot specifieke data? En dat brengt me naadloos bij het volgende.
De Trust in Zero Trust
Zero Trust betekent in principe dat je niemand vertrouwt. Nooit. Maar hoe kan je business dan groeien? Je wil je data zo goed mogelijk afschermen, maar op een bepaald moment zal je toch iemand moeten vertrouwen en toegang geven. In dat geval kan je de ‘Zero’ schrappen. Je zal mensen moeten vertrouwen. Alleen bepaal je zelf aan wie en in welke context je toegang geeft. In een sterke Zero Trust-strategie verleen je gebruikers, zolang zij zich kunnen identificeren en authenticeren, toegang tot data. Maar zodra je een verdachte handeling merkt, grijp je in.
Technologie helpt de filosofie
De stelling dat Zero Trust een technologische oplossing is, is pure marketing. Veel bedrijven denken dat ze een Zero Trust-oplossing kopen. Alleen bestaat die niet. Je koopt een technologische oplossing die je helpt je Zero Trust-beleid te versterken.
Vandaag werken banken al volgens het Zero Trust-principe. Zij identificeren en verifiëren bij elke transactie of de persoon die de actie aanvraagt wel de juiste is. Tevens maken zij gebruik van context waarin de transactie-aanvraag plaatsvindt. Indien je bank van jou een transactie-aanvraag vanuit China krijgt, zal zij, indien je normaliter enkel vanuit België transacties uitvoert, bij jou persoonlijk checken of je die transactie wel uitvoerde. Hoe ze dat doen? Zij combineren Machine Learning technologie met de GPS-coördinaten van jouw smartphone, die zij gebruiken om je te beschermen.
De banken hebben dus een Zero Trust-manier van werken geïmplementeerd, en gebruiken technologie om die filosofie in de praktijk te brengen.
Verificatie en visibiliteit blijven uiterst belangrijk
Indien je jouw netwerk optimaal wilt beveiligen, moet je netwerkinfrastructuur inzichtelijk zijn, zodat je weet wie zich waar bevindt en welke gegevens consulteert. Je kan een medewerker toegang geven tot bepaalde data en de toegang tot andere data weigeren in de normale context. Komt het bedrijf in een crisissituatie terecht, dan verandert de context en kan er aan diezelfde persoon wel toegang gegeven worden. Zo voorkom je datamisbruik.
Zero Trust vraagt tijd
Een filosofie implementeren vraagt tijd. Het duurt maanden of zelfs jaren om een Zero Trust-strategie te implementeren en iedereen aan boord te krijgen. Het is zoals het uitstippelen van een route. Je bepaalt op voorhand waar je wil eindigen. Weet dus waar je wil eindigen. Dan zie je binnen een aantal weken al resultaat. Weet wel dat je een nooit eindigend proces start.
Zero Trust is een marathon, geen sprint. Je zal moeten blijven werken aan uw cybersecurity-strategie. Een Zero Trust-filosofie en -architectuur is daar een belangrijk onderdeel van en zal zich verder blijven ontwikkelen. Aanvallers passen zich namelijk sneller aan dan dat er verdedigingen kunnen worden opgeworpen.
Dit is een ingezonden bijdrage van Edwin Weijdema, Global Technologist bij Veeam Software.