Wat is Zero Trust eigenlijk?

Ongeveer drie minuten nadat ik begon met het plannen van deze post, kreeg ik zo’n “jeetje, ik ben oud”-moment. Hier is waarom. Ik werk al sinds 1994 in de cyberbeveiliging. Mijn eerste baan was bij een van de Big 3, waar ik voor de Amerikaanse overheid werkte via een van de grootste advocatenkantoren ter wereld. Ja, het was ingewikkeld.

In die tijd (stel je een oude man voor die dit zegt) was cyberbeveiliging niet eens cyberbeveiliging. Het was gewoon beveiliging. Informatieveiligheid werd pas begin 2000 een begrip. Netwerken van computers stond nog in de kinderschoenen. Snap je wat ik bedoel? Ik ben al heel lang bezig.

Het punt is dat zelfs toen computers net werden verbonden en cyberbeveiliging nog geen begrip was, en de functie van CISO als tovenarij werd gezien, er in de IT-architectuur een principe bestond genaamd “Know Your Computer” (KYC) of later “Know Your Network” (KYN). Dit principe vindt zijn oorsprong in de financiële sector van de jaren negentig.

Kort gezegd: om meer producten te verkopen aan hun bestaande klanten, probeerden ze alles te weten te komen wat mogelijk was. Bedenk dat dit het PRILLE begin van het internet was. De enorme databases over gebruikers en hun voorkeuren, afkeuren en koopgedrag na middernacht lagen nog decennia in de toekomst.

KYC of KYN, zoals hierboven geïllustreerd, zijn oude principes die al heel lang bestaan. Door de jaren heen zijn ze in veel vormen geëvolueerd en tegenwoordig noemen we het Zero Trust. Het zou niet eerlijk zijn om de complexiteit en technische details van de huidige IT te vergelijken met die van vroeger. Aan de andere kant zijn er lessen uit een eenvoudigere IT-tijd die vandaag de dag nog steeds waardevol zijn.

KYC of KYN

Het zijn oude concepten, maar de principes zijn nog steeds relevant in de huidige IT-omgeving. Eerlijk gezegd is Zero Trust de nieuwste versie van het KYN-concept. Zie hieronder:

Ik zou nog wel even door kunnen gaan, maar het punt is duidelijk. KYN sluit niet perfect aan bij het Zero-trust model. De dreigingen en complexiteit van computernetwerken bestonden simpelweg niet in de jaren negentig.

Wat is Zero Trust eigenlijk?

We zitten allemaal al jaren in de branche. Zelfs als je pas net bent begonnen, heb je erover gelezen, e-mails ontvangen, ben je gebeld door leveranciers, uitgenodigd voor webinars, seminars of zelfs drumcirkels die Zero Trust aanprijzen.

Elke leverancier, ongeacht de technologie, verkoopt zijn product als het nieuwste Zero-trust wondermiddel. Er zijn veel van dit soort hypes in de branche geweest, maar daar gaat deze post niet over. Deze post legt uit wat Zero Trust is en welke strategieën je kunt gebruiken om het effectief en economisch te implementeren.

Zero Trust is een filosofie. Simpel gezegd: sta niets toe op het netwerk waarvoor jij verantwoordelijk bent, wat je niet al kent. Zoals bij alle filosofieën is het makkelijk gezegd, eenvoudig te begrijpen, maar lastig om uit te voeren.

Misschien vraag je je af: “Ik heb 5.000 endpoints, 40 cloudproviders, 800 servers en 600 applicaties. Verwacht hij dat ik dat allemaal in kaart breng? Hij is gek.” Ook ik heb dat tegen mezelf gezegd toen ik mijn eerste stappen in Zero Trust zette. Ook ik heb iemand voor gek verklaard.

Toen begon ik na te denken over hoe ik de vragen zou beantwoorden die ik zou krijgen van een business development executive die het woord Zero Trust op de achterkant van een tijdschrift had gelezen tijdens een binnenlandse vlucht. “Korte vraag XXX, wat is onze Zero-trust strategie? Ik moet het begrijpen, dus maak even snel drie slides waarin je uitlegt waarom wij er zo goed in zijn.” Ik begon met onze kroonjuwelen. Anderen noemen het de High Value Asset (HVA) lijst. Hoe je het ook noemt, daar begin je.

Stap één is het documenteren van het Wie, Wat, Wanneer, Waar en Hoe van het gebruik van de HVA’s. Dit gebeurt meestal door interviews met de zakelijke gebruikers. NIET met de business leaders. Je hebt hun goedkeuring nodig, maar de mensen die de HVA daadwerkelijk gebruiken zijn degenen met wie je moet werken. Resultaten van deze interviews zijn onder meer namen van computerwerkplekken, gebruikersnamen, applicaties, documentatie van bedrijfsprocessen en datastromen.

Nu je deze vragen hebt beantwoord, kun je een Zero-trust strategie bouwen rond die HVA. Als het niet op afstand wordt benaderd, verwijder dan die toegang. Als slechts een beperkt aantal gebruikers toegang nodig heeft, verwijder dan alle overige. Als een beperkt aantal computers toegang nodig heeft, verwijder dan de rest. Als het proces geen data via e-mail verstuurt, stel dan een DLP-blokkade in om die overdrachtsmethode uit te sluiten. Je bouwt simpelweg muren rond de bedrijfsprocessen.

Je verandert het proces niet, en dat is een punt dat je moet benadrukken richting de business. Je gaat hun dagelijkse werkervaring niet verslechteren. Elke keer dat je een controle toevoegt, zorg ervoor dat je meldingen instelt bij wijzigingen. Als je groepen gebruikt voor gebruikersrechten, zorg er dan voor dat je een meldingsstrategie hebt om zowel de business als de cyberbeveiligingsoperatie te informeren als het groepslidmaatschap verandert. Misschien was het niet verwacht of goedgekeurd, en ontdek je zo iets voordat er schade ontstaat.

Het kan zijn dat je programma nog niet de juiste controles heeft om die benodigde controle op de HVA te implementeren. Je hebt nu je zakelijke rechtvaardiging voor de nieuwe controle vastgelegd. Ik vermoed dat je programma waarschijnlijk al de technische mogelijkheden heeft om de benodigde controles te implementeren.

Een Zero-trust strategie stelt je in staat om twee dingen te doen. Ten eerste kun je de nieuwste terminologie gebruiken om je inspanningen en behoeften te beschrijven. Ten tweede kun je de focus van je teams richten op de HVA-lijst. Proberen om Zero-trust strategieën in één keer over de hele organisatie uit te rollen is zinloos. Begin bij de belangrijkste bedrijfsmiddelen.