Zero Trust begrijpen: Principes, implementatie en voordelen voor verbeterde cyberbeveiliging (Test)

Wat is een zero trust-benadering? Een zero trust-benadering is een beveiligingsmodel dat netwerken beschermt tegen aanvallen door vertrouwen uit het systeem te elimineren. Zonder vertrouwen moet elke gebruiker worden geverifieerd voor alle bronnen en gegevens die ze willen benaderen.

Zero Trust-principes

Zero trust-principes zijn een beveiligingsconcept dat de noodzaak benadrukt van veilige toegangscontroles en monitoring door alle gebruikers, van medewerkers tot leveranciers en klanten, ongeacht hun locatie en netwerk. Zero trust is gebaseerd op het principe “nooit vertrouwen, altijd verifiëren.” Het vereist dat organisaties de identiteit van elke gebruiker verifiëren en het gebruikersgedrag continu monitoren op kwaadaardige activiteiten.

Organisaties die niet bekend zijn met zero trust-principes lopen risico op financiële, juridische en reputatieschade. Financiële gevolgen kunnen bestaan uit geldverlies door datalekken, boetes van toezichthouders en kosten voor het herstellen van reputatieschade en het herwinnen van klantvertrouwen. Juridische gevolgen kunnen rechtszaken zijn van klanten of leveranciers en andere autoriteiten, zoals GDPR-boetes of schendingen van de wet bescherming persoonsgegevens. Tot slot kunnen reputatiegevolgen schade aan het merk van de organisatie zijn, minder klantloyaliteit en een gebrek aan vertrouwen van stakeholders.

Hoe werkt Zero Trust?

Zero trust-beveiliging

is een benadering van beveiliging waarbij geen enkel apparaat, gebruiker of agent impliciet wordt vertrouwd met toegang tot systeembronnen. Toegang tot systeembronnen mag alleen plaatsvinden via authenticatie en autorisatie met acceptabele inloggegevens.

Zero trust richt zich op het beschermen van kritieke data, assets, applicaties en services (DAAS) met behulp van micro-perimeters en segmentatiegateways. Deze beveiligingstools plaatsen beveiligingsmaatregelen dicht bij DAAS—waardoor het beschermingsoppervlak zo veel mogelijk wordt geconcentreerd.

Zodra je het potentiële beschermingsoppervlak hebt bepaald, kun je de datastromen door en achter dat oppervlak in kaart brengen. Zo krijg je beter inzicht in hoe data zich door je beveiligingsservices en binnen je eigen infrastructuur beweegt.

Het belangrijkste is de implementatie van zero trust-beveiliging. Organisaties kunnen kijken naar een belangrijk beveiligingsdocument van het National Institute of Standards and Technology (NIST), NIST Special Publication 800-207: Zero Trust Architecture. Dit document schetst een raamwerk voor het begrijpen en implementeren van zero trust-principes.

Enkele van de principes van zero trust-architectuur die in NIST SP 800-207 worden beschreven, zijn onder andere:

• Beschouw alle services en databronnen als bronnen: Neem nooit zomaar een aspect van je systeem en de plaats ervan in het beveiligingsecosysteem aan. Dit omvat software, cloudservices, mobiele apparaten, werkstations en dataplatforms.
• Beveilig alle communicatie, ongeacht de netwerklocatie: Ga er nooit van uit dat een deel van je interne netwerk veilig is zoals het is, en implementeer beveiliging op elk punt waar een bron verbinding kan maken of data kan verzenden.
• Beperk toegang per sessie: Om gebruikers en apparaten te dwingen hun betrouwbaarheid aan te tonen, moet je multi-sessie toegang tot alle bronnen uitsluiten voor zowel authenticatie- als autorisatiedoeleinden.
• Maak gebruik van dynamische beleidsattributen voor toegang: Rolgebaseerde toegangscontrole (RBAC) is een populaire manier om te bepalen wie toegang heeft tot bronnen. Zero trust-beleid moet ook op attributen gebaseerde toegangscontrole (ABAC) gebruiken om beperkingen op te leggen op basis van apparaateigenschappen, tijd en datum of zelfs gedragskenmerken.
• Monitor alle assets continu: NIST adviseert dat elke asset, of het nu data, software of hardware is, regelmatig moet worden gemonitord om te voorkomen dat een asset ongemerkt wordt ondermijnd.
• Strikte identity & access management op elk moment: Je systeem moet strikte authenticatie- en autorisatiecontroles afdwingen voordat toegang wordt verleend.
• Beoordeling en optimalisatie: Continue monitoring kan en moet bijdragen aan het optimaliseren van toegangsbeheer, beveiliging en netwerkprivacy.

Wat is een Zero Trust Network?

Een zero trust network (ZTN) is een geavanceerd beveiligingsmodel dat ervan uitgaat dat alle gebruikers, systemen en netwerken binnen een organisatie mogelijk onbetrouwbaar zijn. Het is gebaseerd op het principe “nooit vertrouwen, altijd verifiëren”, waarbij elke gebruiker en elk apparaat een unieke identiteit en inloggegevens krijgt en alle communicatie wordt beveiligd via authenticatie.

Organisaties profiteren van zero trust-netwerken doordat ze bedreigingen sneller kunnen detecteren, waardoor de kans op een succesvolle aanval kleiner wordt. Doordat het concept van “vertrouwde” toegang wordt geëlimineerd, wordt het aanvalsoppervlak verkleind en ontstaat er een extra beschermingslaag van binnenuit.

Een zero trust network verschilt van een zero trust-architectuur (ZTA) doordat ZTN zich richt op databeveiliging en communicatie over het netwerk. ZTA is daarentegen meer gericht op identity & access management. Hoewel beide modellen zich richten op microsegmentatie om het aanvalsoppervlak te verkleinen, legt een zero trust network de nadruk op veilige communicatie tussen microsegmenten, terwijl een zero trust-architectuur de nadruk legt op toegangscontrole.

Wat is een Zero Trust Security Model?

Een zero trust security model is een beveiligingsmodel dat geen vertrouwen aanneemt voor welke gebruiker, apparaat of applicatie dan ook. In plaats daarvan wordt al het verkeer standaard als onbetrouwbaar beschouwd en krijgt het alleen toegang tot een netwerk als het zijn identiteit en inloggegevens kan bewijzen. Het is een benadering van cyberbeveiliging die vereist dat organisaties niet alleen de identiteit van hun gebruikers verifiëren, maar ook de beveiligingsstatus van hun apparaten en applicaties.

Organisaties profiteren van het gebruik van een zero trust security model omdat het een extra beschermingslaag aan het netwerk toevoegt, waarbij al het inkomende verkeer moet worden geverifieerd voordat toegang wordt verleend. Dit model helpt kwaadwillenden buiten de deur te houden en vermindert het risico op datalekken en andere cyberaanvallen door gebruikersidentiteit te valideren en alleen vertrouwde entiteiten toegang te geven. Daarnaast helpt een zero trust security model te voldoen aan wetgeving rondom gegevensbescherming, zoals de GDPR, en is het kostenefficiënter dan traditionele perimeterbeveiligingsmodellen.

Technologieën die Zero Trust mogelijk maken

Diverse nieuwe of opkomende technologieën effenen het pad voor een effectieve inzet van zero trust-architecturen. Deze omvatten:

Kunstmatige intelligentie (AI) en machine learning (ML)
spelen een cruciale rol in deze door technologie gedreven revolutie. Ze bewijzen continu hun waarde door gebruikersgedragspatronen grondig te analyseren en afwijkingen van de norm te identificeren, waardoor potentiële beveiligingsinbreuken of bedreigingen worden opgespoord voordat ze ernstige schade kunnen aanrichten. AI en ML kunnen leren van elke interactie, waardoor ze snel en effectief bedreigingen kunnen herkennen en erop kunnen reageren. Zo vormen ze een krachtige eerste verdedigingslinie binnen het zero trust-model.

Micro-segmentatieoplossingen
, een andere essentiële zero trust-technologie, belemmeren ongeautoriseerde laterale bewegingen binnen een netwerk. Door het netwerk op te delen in kleinere segmenten, zorgen deze oplossingen ervoor dat zelfs als één segment wordt gecompromitteerd, de dreiging zich niet door het hele netwerk kan verspreiden. Dit verkleint de potentiële schade aanzienlijk en biedt een extra beschermingslaag door hackers te verhinderen vrij door het systeem te navigeren.

In specifieke, gebruikersgerichte gebieden,
multi-factor authentication (MFA)
wordt ingezet als strenge maatregel binnen het zero trust-model. MFA valideert niet alleen geverifieerde gebruikers, maar beperkt ook potentiële bedreigingen door meerdere vormen van bewijs te eisen om de identiteit van een gebruiker te verifiëren voordat toegang tot kritieke bronnen wordt verleend. Deze functie verkleint de kans op ongeautoriseerde toegang aanzienlijk en speelt een cruciale rol bij het waarborgen van de integriteit van gevoelige data.

Bovendien zijn
cloud-gebaseerde beveiligingsoplossingen
uitgegroeid tot gamechangers in het huidige tijdperk waarin thuiswerken steeds meer de norm wordt. Deze oplossingen maken een soepele overgang mogelijk van traditionele kantooromgevingen naar remote setups, zonder concessies te doen aan de beveiliging van data en het organisatienetwerk. Cloud-gebaseerde beveiligingstools zijn schaalbaar, kostenefficiënt en overal toegankelijk, waardoor ze een populaire keuze zijn bij de implementatie van zero trust-strategieën.

Zero Trust-toepassingen

Het is essentieel in de digitale wereld van vandaag, omdat kwaadwillenden steeds complexer worden.

Zero trust kent drie prominente toepassingen.

1. Veilige toegang tot de cloud: Zero trust kan worden gebruikt om toegang tot cloudapplicaties en -diensten te beveiligen. Door identity & access management (IAM) en multi-factor authentication (MFA) in te zetten, kunnen organisaties gebruikers die toegang proberen te krijgen tot cloudservices en applicaties veilig authenticeren, zodat alleen geautoriseerde gebruikers toegang hebben.
2. Netwerkverdediging: Zero trust kan netwerkomgevingen beschermen door ervoor te zorgen dat alleen geauthenticeerde en geautoriseerde gebruikers en apparaten toegang hebben tot het netwerk en de bijbehorende diensten. Het biedt ook verbeterd inzicht in al het verkeer dat een netwerk binnenkomt en verlaat, waardoor organisaties snel kunnen handelen bij een mogelijk datalek.
3. Gegevensbescherming: Zero trust helpt gevoelige en vertrouwelijke gegevens te beschermen tegen ongeautoriseerde toegang. Door encryptietechnologieën in te zetten, kunnen organisaties gegevens in rust en onderweg beveiligen, zodat deze alleen toegankelijk zijn voor geautoriseerde gebruikers. Organisaties kunnen deze veilige toegang afdwingen via rolgebaseerde toegangscontrole en oplossingen voor preventie van gegevensverlies.

Wat zijn beste practices en voordelen van Zero Trust-architectuur?

Hoewel je wellicht een basisbegrip hebt van de principes achter een zero trust-model, is het iets heel anders om deze architectuur daadwerkelijk te implementeren. Je moet overwegen hoe deze principes uitwerken binnen jouw specifieke IT-systemen, infrastructuur en bedrijfsdoelstellingen.

Er zijn verschillende stappen nodig om een zero trust-architectuur te implementeren:

• Definieer beschermingsoppervlakken dicht bij DAAS om overbelasting van beveiligingsmiddelen te voorkomen. Het kan verwarrend zijn wat “dichtbij” in deze context betekent. Toegangscontroles en beveiligingsmaatregelen moeten geen breed, onnodig scala aan technologieën en bronnen omvatten. Implementeer in plaats daarvan duidelijke, beperkte en gerichte beschermingsoppervlakken waar nodig. Deze aanpak maakt het mogelijk om verkeer en systeemtoegang beter te controleren en de perimeterbeveiliging aan te passen waar nodig.
• Traceer datatransacties en -stromen, inclusief alle bewegingen van informatie door verschillende delen van je infrastructuur. Volgens NIST mag je nooit aannemen dat informatie in je netwerk veilig is. Je zero trust-architectuur moet controles bevatten om te volgen hoe data zich door je netwerken beweegt, vooral in relatie tot je beschermingsoppervlak.
• Ontwikkel beveiligings- en zero trust-beleid op basis van de “Kipling-methode.” De Kipling-methode, vaak toegeschreven aan een gedicht van Rudyard Kipling, definieert een set universele vragen die je kunt stellen over je beveiligingsinfrastructuur: Wie? Wat? Wanneer? Waar? Waarom? en Hoe? Door deze aanpak kun je zero trust-beleid opstellen rond een uitgebreide lijst van rollen, attributen en andere gedetailleerde controles.
• Maak plannen voor continue monitoring en onderhoud en voer deze uit. NIST SP 800-207 stelt dat monitoring en optimalisatie onderdeel moeten worden van je zero trust-architectuur. Met datagedreven audit logs en monitoringtools kun je zero trust-principes implementeren, zelfs met bestaande middelen. Ga er nooit van uit dat een bestaande bron niet is gecompromitteerd, en ga er nooit van uit dat je bronnen veilig blijven tegen nieuwe bedreigingen.

Voor een volledig beeld van het implementeren van zero trust kun je kijken naar NIST SP 800-207, waarin conforme, high-level architectuurrichtlijnen zijn opgenomen.

Natuurlijk heeft zero trust-architectuur een aantal voordelen, met name op het gebied van beveiliging en compliance:

1. Beveiliging: Zero trust-principes dichten beveiligingsgaten, vooral op het gebied van autorisatie en authenticatie. Omdat geen enkele gebruiker, apparaat of bron impliciet wordt vertrouwd, zijn er minder aanvalsoppervlakken voor hackers om te misbruiken. De manieren waarop aanvallen zoals advanced persistent threats (APT’s) zich binnen een systeem kunnen verspreiden, worden ook beperkt.
2. Compliance: Diverse federale en defensie-compliancestandaarden bevelen zero trust-architectuur aan of stellen deze verplicht. Bovendien roept het Executive Order over cyberbeveiliging alle federale instanties en aannemers op om over te stappen op zero trust-beveiliging. Door deze principes tijdig te implementeren, verbeter je je compliance-status aanzienlijk.

Wat is Zero Trust Email Architecture?

Zero trust email architecture (ZTEA) is een e-mailbeveiligingsraamwerk dat de principes van zero trust toepast op de infrastructuur van het e-mailsysteem van een organisatie. Het is ontworpen om gebruikers, bedrijfsmiddelen en gevoelige data te beschermen tegen kwaadwillenden en veilige communicatie tussen de organisatie en externe partners te waarborgen. Zero trust-architectuur daarentegen is een cyberbeveiligingsstrategie die zich richt op het voorkomen van ongeautoriseerde toegang van zowel interne als externe bronnen.

Zero trust email architecture gaat nog een stap verder door extra beveiligingslagen toe te voegen aan e-mails die buiten de organisatie worden verzonden. Dit omvat het versleutelen van alle e-mails, het controleren wie e-mails kan verzenden en ontvangen, en het afdwingen van authenticatie voor zowel interne als externe e-mailaccounts.

Zero trust email architecture helpt organisaties hun gevoelige informatie zoals PII, PHI en intellectueel eigendom te beschermen wanneer ze deze extern delen. Door alle e-mails te versleutelen, kunnen organisaties ervoor zorgen dat alleen de bedoelde ontvanger toegang heeft tot de gevoelige informatie. Bovendien kunnen organisaties door te bepalen welke gebruikers e-mails mogen verzenden en ontvangen en door sterke authenticatie af te dwingen, voorkomen dat kwaadwillenden toegang krijgen tot het e-mailsysteem.

Zero trust email architecture helpt organisaties ook te voldoen aan regelgeving rondom gegevensbescherming, zoals de General Data Protection Regulation (GDPR) van de Europese Unie. Zo vereist de GDPR dat organisaties ervoor zorgen dat persoonsgegevens veilig worden bewaard en alleen toegankelijk zijn voor geautoriseerd personeel. Door zero trust email architecture te implementeren, kunnen organisaties aan deze vereiste voldoen door te controleren wie e-mails mag verzenden en ontvangen, alle e-mails te versleutelen en authenticatie af te dwingen.

Stappen voor het implementeren van Zero Trust

Het implementeren van een zero trust-architectuur is een grote onderneming. Voordat je besluit een zero trust-architectuur en een bredere zero trust-filosofie te bouwen, zijn hier enkele aanbevelingen om te overwegen:

1. Identificeer gebruikers, apparaten en endpoints en maak hiervan een inventaris;
2. Stel beleid en procedures op voor data-toegang en risicobeheersing;
3. Implementeer authenticatie- en encryptietechnieken;
4. Segmenteer het netwerk in microperimeters en beheer de toegang tot elk segment; en
5. Monitor het systeem continu en detecteer bedreigingen in realtime.

Een bedrijf kan bijvoorbeeld multi-factor authentication gebruiken bij het inloggen op het netwerk, zodat gebruikers een gebruikersnaam, wachtwoord en mogelijk een verificatiecode moeten opgeven om toegang te krijgen.

Hoe implementeren organisaties Zero Trust-architectuur?

Door de hier besproken beste practices te volgen en de richtlijnen uit NIST SP 800-207, is het relatief eenvoudig om een zero trust-implementatie te conceptualiseren. Toch kan het, als je zero trust vanuit een systeem-breed perspectief bekijkt, een ontmoedigende taak lijken.

Een goede manier om zero trust in de praktijk te brengen binnen je systeem, is te beginnen met een enkel kritisch DAAS:

• Identificeer een DAAS binnen je infrastructuur die onder zero trust-beveiliging moet vallen.
• Pas de Kipling-methode toe om zero trust-beleid te ontwikkelen:
  • Wie mag deze bron benaderen?
  • Wat wordt er benaderd (software, data, enz.)?
  • Waar wordt het normaal en veilig benaderd?
  • Wanneer wordt het benaderd (alleen tijdens werkuren, binnen beperkte tijdvensters, enz.)?
  • Waarom is toegang nodig voor legitiem zakelijk gebruik?
  • Hoe moet het worden benaderd (lokale werkstations, mobiele apparaten, enz.)?
• Bouw zero trust-beleid op basis van deze vragen en ontwikkel een security- en identity & access management (IAM)-configuratie vanuit dat beleid. Deze configuratie moet je beveiligingsbeleid ondersteunen zonder de gebruikerservaring of bruikbaarheid van het systeem te schaden.
• Voer beleid uit via beperkte beschermingsoppervlakken rondom assets, volgens de gekozen beveiligings- en IAM-configuraties.

Kiteworks helpt organisaties hun gevoelige content te beschermen met Zero Trust-beveiliging

Zero trust-architectuur wordt steeds meer gemeengoed in veel beveiligingskringen, en dit wordt alleen maar gebruikelijker. Nu de Executive Order over nationale cyberbeveiliging van kracht wordt, zal het gebruik van verplichte zero trust-principes alleen maar toenemen.

Maak kennis met Kiteworks. Het Kiteworks Private Content Network biedt organisaties uitgebreide gegevensbescherming van de gevoelige content die zij opslaan en delen, in lijn met het CISA Zero Trust-model.

Kiteworks ondersteunt Zero Trust-beveiliging via robuuste encryptie- en beschermingsmaatregelen voor alle manieren van verzenden en ontvangen van gevoelige content. Dit omvat e-mail, bestandsoverdracht, webformulieren, SFTP en beheerde bestandsoverdracht en meer.

Kiteworks-klanten stellen least-privilege toegangscontrole in per individuele rol op geneste mapniveaus. Dit omvat het beheren van content, structuur en rechten; samenwerking met lezen en schrijven en gelijktijdig bewerken; alleen-lezen consumptie met watermerk; downloaden; of blind uploaden.

Organisaties stellen ook organisatie- en rolniveau beleid in voor domeinblokkering, geofencing en functierechten. Dit versterkt de Zero Trust-beveiliging verder door ervoor te zorgen dat toegang strikt wordt gecontroleerd en gemonitord.

Kiteworks stelt organisaties ook in staat om hun beveiligingsbeleid centraal te definiëren en af te dwingen, zodat elke gegevensuitwisseling grondig wordt gecontroleerd op beveiliging, inclusief SSO, MFA, AV, ATP en DLP, met één integratiepunt.

Tot slot zorgt de hardened virtual appliance-architectuur van Kiteworks ervoor dat niemand—ook Kiteworks zelf of lokale of federale opsporingsinstanties—toegang heeft tot jouw sleutels of content.

Extra Kiteworks-functies die een Zero Trust-beveiligingsmodel ondersteunen zijn onder andere:

• Uitgebreide tracking van gegevensinventaris
• Hoge beschikbaarheid en contentreplicatie
• Verbeterd inzicht en audit logs
• Gestroomlijnde beveiligingsautomatisering en orkestratie
• Sterk bestuur met rolgebaseerde controles

Organisaties die Kiteworks gebruiken, krijgen in totaal meer inzicht, controle en beveiliging over hun data, beperken het risico op cyberbedreigingen en waarborgen de bedrijfscontinuïteit.

Wil je meer weten over Kiteworks? Plan vandaag nog een aangepaste demo.

Aanvullende bronnen

• Webinar Het grootste gat in je Zero-trust-strategie aanpakken
• Rapport Benchmark je privacy en compliance van gevoelige contentcommunicatie
• Blog Post Wat is een Private Content Network?