Wat zero trust betekent voor een kmo: nooit vertrouwen op het netwerk

Of: waarom de badge aan de voordeur niet meer volstaat

Lange tijd werkte beveiliging als een kantoorgebouw met een receptie: wie eenmaal binnen was, mocht overal komen. De VPN was de dienstingang voor wie van thuis werkte. Zero trust zegt dat die receptie niet meer volstaat, en het principe weegt mee in elke keuze rond netwerktoegang voor een kmo. Het Amerikaanse NIST legde het vast in SP 800-207: een gebruiker of een toestel krijgt geen vertrouwen alleen omdat het zich op een bepaalde plek in het netwerk bevindt.

Kort: zero trust betekent dat elke toegang tot een toepassing opnieuw wordt gecontroleerd, op basis van de gebruiker, het toestel en de context. Voor een kleine zaak is het geen aankoop, maar een richting.

Het zero-trustprincipe in gewone taal

Het hotel en de sleutelkaart

Vergelijk een oud kantoorgebouw met een hotel. In het kantoorgebouw krijg je een sleutelbos, en die opent elke deur, ook die van het archief waar je nooit komt. In het hotel krijg je een kaart die één kamer opent, alleen tijdens je verblijf. Elke deur leest de kaart opnieuw. Dat je in de lobby staat, zegt niets over de kamer die je mag openen. Bij het uitchecken werkt de kaart niet meer.

Zero trust is het hotel. De kamer is de toepassing: de boekhouding, de gedeelde map met offertes, het beheer van de website. De receptie die je identiteitskaart bekijkt, is de aanmelding met tweestapsverificatie. De duur van je verblijf is de sessie. En het uitchecken is het account dat wordt afgesloten wanneer een medewerker vertrekt.

Wat NIST eronder verstaat

De publicatie van NIST verschuift de bescherming van de netwerkgrens naar gebruikers, toestellen en toepassingen. In gewone woorden komt het neer op een handvol regels:

• Alles wat iets bewaart of doet, verdient bescherming: een server, een clouddienst, maar ook de printer en de NAS.
• Alle verkeer wordt beveiligd, ook op het kantoornetwerk. Binnen is niet automatisch veilig.
• Toegang geldt per sessie en per toepassing. Wie in de boekhouding mag, krijgt daarmee niet de rest.
• Een beleid beslist, op basis van wie je bent, met welk toestel je werkt en of dat toestel bijgewerkt is, en eventueel vanuit welk land of op welk uur.
• De organisatie volgt de staat van haar toestellen en past haar beslissingen daarop aan.

In de taal van NIST neemt een policy engine de beslissing en zet een policy enforcement point ze uit, zeg maar de bewaker aan de deur. Bij een kmo zijn dat zelden aparte kasten: het is de aanmeldpagina van Microsoft 365 of Google Workspace, een dienst voor toegang op afstand of de firewall.

Wat zero trust niet is

• Geen product. Het label staat ondertussen op heel wat dozen. Het principe zit niet in een doos, maar in hoe je accounts, toestellen en rechten regelt.
• Geen wantrouwen tegenover je mensen. Het gaat over systemen: een gestolen wachtwoord of een besmette laptop gedraagt zich net als de echte gebruiker.
• Geen alles of niets. Wie vandaag tweestapsverificatie aanzet, zet een eerste stap.

Kmo-Kristof: Zero trust. Moet ik nu mijn eigen mensen wantrouwen?

Security-Sofie: Niet je mensen. Hun wachtwoord, hun laptop en het netwerk waarop ze zitten.

Kmo-Kristof: Dat is zowat alles.

Security-Sofie: Ja. Behalve de mensen.

Vijf stappen voor een kleine zaak

1. Tweestapsverificatie op elk account, te beginnen met mail, cloudopslag en de VPN. De CyberFundamentals van het Centrum voor Cybersecurity België vragen dat al op het basisniveau voor toegang op afstand.
2. Weet welke toestellen er zijn, en laat alleen bijgewerkte toestellen die de zaak beheert bij de bedrijfsgegevens.
3. Rechten per functie. De stagiair heeft de map met loonfiches niet nodig, en de boekhouder niet het beheer van de website.
4. Toegang per toepassing waar het kan, in plaats van een tunnel naar het hele netwerk.
5. Een apart netwerk voor gasten, camera’s en andere toestellen die je niet zelf bijwerkt, en een logboek van wie waar binnenkomt.

Twee voorbeelden. Een zelfstandige vertaler met één laptop past zero trust toe zonder het woord te kennen: tweestapsverificatie, een wachtwoordbeheerder, automatische updates en geen gedeelde accounts. Een boekhoudkantoor met acht mensen gaat verder: aanmelden kan alleen vanaf laptops die het kantoor beheert, de klantendossiers zijn per team afgeschermd, en de oude bestandsserver is alleen nog bereikbaar via een toegang per toepassing.

Het idee is niet nieuw. De term dook al in 1994 op in een doctoraat en kreeg in 2010 bekendheid via een analist van Forrester, zoals de Engelstalige Wikipedia samenvat. Wat nieuw is, is dat de middelen ervoor nu ook binnen het budget van een kmo vallen.

Van principe naar toegang per app

De meest zichtbare toepassing van zero trust in een netwerk is ZTNA: een gebruiker krijgt toegang tot één toepassing, niet tot het hele netwerk. Hoe dat zich verhoudt tot een klassieke tunnel, lees je bij ZTNA in plaats van VPN.

De firewall die er al staat

Een firewall kan het netwerk opdelen in zones, met regels tussen de zones. Dat is een eerste stap naar zero trust, met een toestel dat je misschien al hebt. Zie wat je firewall al kan.

Diensten die het voor je regelen

Verschillende diensten bieden toegangsregels per team of per toepassing vanuit de cloud. Wat ze wel en niet doen, staat bij een VPN als clouddienst.