Wat is Zero Trust beveiliging?

Zero trust is een cyberbeveiligingsbenadering gebaseerd op het concept van altijd verifiëren en nooit vertrouwen van gebruikers, apparaten, applicaties of inhoudscommunicatie. In deze benadering is validatie vereist voordat netwerktoegang wordt verleend aan apparaten, applicaties en gebruikers en voordat documenten worden verzonden, gedeeld, ontvangen of opgeslagen. Zero trust kan een cruciaal onderdeel zijn van de strategie voor risicobeheer van de beveiliging van elke organisatie vandaag de dag.

Bedrijfsmiddelen die worden gedekt door een zero trust architecturale benadering omvatten:

• Gebruikers
• Netwerken
• Applicaties
• Apparaten
• Infrastructuur
• Gegevens

Zero trust verving de oudere benadering van perimeterbeveiliging, die aanzienlijke uitdagingen had, waaronder weerloosheid tegen bedreigingen van interne actoren. Tekortkomingen van legacy-beveiligingsmodellen stelden kwaadwillende actoren in staat om de netwerkperimeter te doorbreken en toegang te krijgen tot applicaties of gevoelige inhoud. Legacy-beveiligingsbenaderingen zijn ook weerloos tegen bedreigingen van interne actoren.

Als reactie op deze uitdagingen ontwikkelde John Kindervag, die destijds bij Forrester Research werkte, het Zero Trust Beveiligingsmodel. Al snel werd het geadopteerd in verschillende sectoren en voor alle aspecten van risicobeheer op het gebied van cyberbeveiliging. Deze impact strekte zich uit tot elementen zoals risicobeheer door derden.

Het volgende biedt organisaties een overzicht van zero trust, inclusief kernprincipes, voordelen en hoe u zero trust in uw organisatie kunt implementeren.

Wat is het Zero Trust Beveiligingsmodel?

Zoals de naam al suggereert, is zero trust beveiliging gebaseerd op het idee dat organisaties niemand of niets moeten vertrouwen, of ze nu buiten of binnen hun systemen/netwerken zijn.

De standaard beveiligingspositie is om toegang tot het netwerk en alle middelen te weigeren. Iedereen en alles dat toegang probeert te krijgen, moet worden geauthenticeerd, geautoriseerd en voortdurend geverifieerd.

Dit concept veronderstelt maximale en eeuwige waakzaamheid en vereist strikte identificatie en verificatie zonder uitzondering. Het legacy-netwerkbeveiligingsmodel vertrouwde mensen en apparaten zodra ze binnen het netwerk waren. Hetzelfde gold voor applicaties en gevoelige inhoudscommunicatie.

Digitale transformatie, de verspreiding van hybride netwerken, werken op afstand en de adoptie van cloudoplossingen, gecombineerd met de voortdurend evoluerende risico’s van malafide staten en kwaadwillende bedreigingsactoren, zijn enkele van de belangrijkste redenen waarom zero trust beveiliging een vereiste cyberbeveiligingsstrategie is.

Kernprincipes van Zero Trust Beveiliging

Om een zero-trust beveiligingsarchitectuur adequaat in te zetten, moet men eerst de onderliggende principes achter de beveiligingspositie begrijpen en ervoor zorgen dat deze zijn geïntegreerd in uw strategie voor risicobeheer van de beveiliging.

Continue Monitoring en Validatie

Continue monitoring en validatie van gebruikers, apparaten, applicaties en gevoelige inhoudscommunicatie is een van de meest robuuste principes van zero trust. Verlooptijden van verbindingen en verificatie van gebruikersidentiteit staan centraal in elk zero trust beleid. Het vereist ook inbound en outbound privacy- en nalevingsbeheer van gevoelige inhoudscommunicatie.

Minst Bevoorrechte Toegang

Dit betekent eenvoudigweg dat gebruikers alleen toegang krijgen tot wat ze nodig hebben om hun taken uit te voeren. Alle gebruikers, apparaten en applicaties worden standaard niet vertrouwd en minst bevoorrechte toegang wordt afgedwongen. Bijvoorbeeld, een gebruiker die geen beheerdersaccount nodig heeft om haar werk te doen, mag daar nooit toegang toe hebben. Gebruikersrechten moeten duidelijk worden gedefinieerd en afgedwongen; dit omvat gedefinieerde inhoudsbeleid van degenen die beheerders van inhoud zijn tot degenen die het alleen kunnen bekijken.

Bovendien gaat zero trust ervan uit dat een inbreuk onvermijdelijk is of waarschijnlijk al heeft plaatsgevonden. Het principe van minst bevoorrechte controle zorgt ervoor dat gecompromitteerde accounts geen toegang hebben tot waardevolle doelen, of het nu het netwerk, apparaten, applicaties of inhoud betreft.

Apparaattoegangscontrole

Dit is een belangrijk principe dat helpt aanvallen te detecteren en te voorkomen. Het vereist continue monitoring van apparaten die proberen toegang te krijgen tot het netwerk en die al in het netwerk zijn. Met zero trust vormt elk apparaat een bedreiging en moet daarom worden geautoriseerd, geverifieerd en opnieuw geverifieerd als er verdachte verkeersstromen worden gedetecteerd.

Microsegmentatie

Dit is een van de significante veranderingen die een zero trust beleid introduceert in een bestaande IT-infrastructuur. Legacy-beveiliging bestaat in de meeste gevallen uit talrijke elementen die grotendeels niet geïntegreerd zijn en aanzienlijke middelen en tijd vergen om te beheren.

Zero trust moedigt de microsegmentatie van een uitgebreid netwerk aan in kleinere netwerken die onafhankelijk van elkaar werken. Dit betekent dat als een netwerkzone wordt gecompromitteerd, de dreiging beperkt blijft tot dat netwerk. De meeste van de grootste beveiligingsinbreuken maakten gebruik van laterale stroombeweging, waarbij cybercriminelen toegang kregen en zich geleidelijk dieper in een netwerk, applicatie of opslagrepository bewogen, op zoek naar waardevolle en gevoelige gegevens en waardevolle activa. Microsegmentatie is bedoeld om de schaal van dergelijke aanvallen te beperken.

Multi-factor Authenticatie (MFA)

Dit kernprincipe moet altijd worden nageleefd in een zero-trust beveiligingsbenadering. MFA vereist dat een gebruiker meer dan één referentie verstrekt om toegang te krijgen tot middelen in het netwerk, applicaties en inhoud.

Populaire MFA-methoden omvatten het gebruik van een wachtwoord en een code die naar een mobiele telefoon wordt gestuurd. Dit zorgt ervoor dat als een wachtwoord wordt gecompromitteerd, toegang niet mogelijk is zonder de code die naar een mobiele telefoon wordt gestuurd. Een robuuste zero-trust beveiligingsinfrastructuur integreert deze kernprincipes van geïntegreerd risicobeheer in het ontwerp.

Inhouds-gedefinieerde Zero Trust

Hetzelfde geldt voor applicaties en gevoelige inhoud die wordt verzonden, gedeeld, ontvangen en opgeslagen. Een zero trust model voor gevoelige inhoudscommunicatie monitort en controleert continu wie toegang heeft tot inhoud, wie kan verzenden risicobeheer door derden (TPRM). Bovendien wordt beveiligingsbeheer toegepast voor zowel inkomende als uitgaande communicatie met geïntegreerde en ingebouwde uitgebreide beveiligingsmonitoring met behulp van anti-malware, antivirus, antispam, advanced threat protection, preventie van gegevensverlies en security information and event management (SIEM).

Hoe Zero Trust te Implementeren

In tegenstelling tot veel andere strategieën voor risicobeheer van de beveiliging, is zero trust niet iets dat u zult doen. Het is eerder een gedachteproces of een mindset die binnen uw organisatie zou moeten bestaan. Bovendien is implementatie een reis, niet iets dat een organisatie van de ene op de andere dag kan inzetten.

Het voordeel is dat de implementatie van zero trust geen complete revisie van uw huidige cyberbeveiligingsarchitectuur vereist. Veel organisaties gebruiken een of twee van de eerder genoemde kernprincipes, zelfs als ze geen zero trust beveiligingsstrategie hebben. Zodra een organisatie een zero trust beveiligingsstrategie heeft, is het vinden, beoordelen en implementeren van de juiste ondersteunende technologieën die worden gebruikt voor governance, beveiliging en naleving van cruciaal belang.

Zero Trust Omgevingsontwerp

Voor organisaties die de implementatie van een zero-trust benadering willen aanpakken, zijn de volgende aandachtsgebieden binnen het netwerk en de infrastructuur die moeten worden aangepakt.

Identiteitsbeveiliging

Dit omvat een systeem waarbij elke gebruiker die toegang heeft tot het netwerk wordt geïdentificeerd door een unieke set attributen. Om identiteitsbeveiliging nog robuuster te maken, moet toegang tot waardevolle activa een extra laag biometrische kenmerken hebben die uniek zijn voor specifieke gebruikers.

Endpointbeveiliging

Net zoals alle gebruikers worden geïdentificeerd, geauthenticeerd en geverifieerd, moeten ook alle apparaten binnen het netwerk dat worden. Eindpuntapparaten zijn een van de meest voorkomende routes waardoor cybercriminelen toegang krijgen tot een netwerk. Ze maken gebruik van vaak zwakke beveiliging rond perifere eindpunten om binnen te komen en hun weg door het netwerk te beginnen. In een zero trust omgeving worden echter alle apparaten en gebruikers gelogd en gemonitord. Er wordt een registratie bijgehouden van alle eindpunten, activiteiten en gezondheid.

Endpointbeveiliging moet ook worden uitgebreid om Internet of Things (IoT) apparaten te omvatten.

Antivirus- en antispamcapaciteiten moeten worden ingebouwd in gevoelige inhoudscommunicatie, waarbij wordt gecontroleerd of inkomende inhoud, of deze nu wordt verzonden of gedeeld, geen kwaadwillende code en verzoeken bevat. In het geval van een zero trust benadering van een privaat inhoudsnetwerk moet endpointbeveiliging worden geïntegreerd in de communicatietools die worden gebruikt. Dit aspect van zero trust moet deel uitmaken van de benadering van risicobeheer door derden van elke organisatie.

Applicatiebeveiliging

Applicaties in een zero trust infrastructuur moeten continu worden gemonitord om ongeautoriseerde applicaties of activiteiten van applicaties binnen het netwerk te detecteren. Zelfs applicaties in een zero-trust omgeving moeten continu worden geverifieerd om te monitoren op mogelijke inbreuken.

Gegevensbeveiliging

Vertrouwelijke gegevens staan centraal in alle cyberbeveiligingsstrategieën. Het is een waardevol bezit dat bedreigingsactoren altijd zoeken bij het betreden van uw netwerk. Datalekken waarbij vertrouwelijke gegevens verloren gingen, namen in 2021 met 33% toe, met de gemiddelde kosten van een lek oplopend tot $424 miljoen. Malafide staten en cybercriminelen richten zich erop in beweging en in rust, binnen en buiten het netwerk.

Naast cyberdreigingen moeten organisaties voldoen aan de toepasselijke wetten inzake gegevensprivacy en naleving van regelgeving in de rechtsbevoegdheden waar ze actief zijn. Specifiek, gegevensbeschermingswetten zoals de Federal Information Security Management Act (FISMA), Health Insurance Portability and Accountability Act (HIPAA), General Data Protection Regulation (GDPR), California Consumer Privacy Act (CCPA) en Data Protection Act (DPA) 2018 specificeren allemaal hoe u vertrouwelijke gegevens moet behandelen.

Executive Order 14028 en Zero Trust

De Amerikaanse federale overheid erkent het belang van zero trust. Executive Order 14028 dient als de drijvende kracht achter de adoptie en creëert een mandaat voor federale agentschappen en hun aannemers om over te stappen van legacy-beveiligingsperimeterbenaderingen naar een zero-trust model. Een van de factoren achter EO 14028 is het risico van de toeleveringsketen en de noodzaak om continu het risico van derden voor federale agentschappen te monitoren en te beheren. Elke gebruiker, applicatie en apparaat moet worden geverifieerd om te voldoen aan zero trust principes. Het uitvoeringsbesluit vereist ook de bescherming van gevoelige gegevens door middel van encryptie, categorisatie en segregatie van gegevens, inclusief de mogelijkheid om automatisch ongeautoriseerde toegang te detecteren en te blokkeren.

Federale agentschappen zijn verplicht om zero trust beveiligingsdoelen vast te stellen tegen het einde van het fiscale jaar 2024. Er zijn vijf pijlers:

1. Ontwikkel een Gegevensbeveiligingsstrategie
2. Automatiseer Beveiligingsreacties
3. Controleer Toegang tot Gevoelige Gegevens
4. Beheer Toegang tot Logging en Informatiebeveiliging
5. Gegevensbeveiliging.

Zero Trust en Gevoelige Inhoudscommunicatie

Historisch gezien is er veel meer aandacht besteed aan netwerk- en werklastoegang dan aan inhoud. Wanneer inhoud buiten het netwerk en applicaties gaat, nemen privacy- en nalevingsrisico’s dramatisch toe. Het niet toepassen van een inhouds-gedefinieerd zero trust model kan een organisatie in gevaar brengen voor niet-naleving van regelgeving, diefstal van intellectueel eigendom en merkschade. Aangezien veel organisaties een uitgebreide zero-trust benadering missen over hun inhoudscommunicatiekanalen, lopen ze een serieus risico. Het 2022 Rapport Gevoelige Inhoudscommunicatie Privacy en Naleving van Kiteworks vond dat minder dan de helft van de organisaties zero-trust principes toepast over al hun inhoudscommunicatiekanalen, zoals e-mail, bestandsoverdracht, beveiligde bestandsoverdracht, webformulieren en application programming interfaces (API’s).

Kiteworks stelt organisaties in staat om private inhoudsnetwerken in te zetten die gevoelige inhoudscommunicatie verenigen, volgen, controleren en beveiligen. Door gebruik te maken van het Kiteworks-platform kunnen organisaties consistente zero trust beveiligingsbeleid definiëren, toepassen en beheren over elk communicatiekanaal. De gecentraliseerde metadata stelt organisaties ook in staat om in virtuele real-time te reageren op privacy- en nalevingsdreigingen.

 

Gerelateerde Inhoud:
Wat is Risico Beveiligingsbeheer?
Meest Veilige Bestandsoverdrachtopties voor Bedrijven & Naleving
Een Gids voor Informatiebeveiligingsbeheer
Waarom Risicobeheer Cyberbeveiliging Belangrijk is
Wat is E-mail Encryptie?

Terug naar Risico & Naleving Glossary