Zero Trust Architectuur: Nooit vertrouwen, altijd verifiëren

Wat is een zero trust-benadering? Een zero trust-benadering is een beveiligingsmodel dat netwerken beschermt tegen aanvallen door vertrouwen uit het systeem te elimineren. Zonder vertrouwen moet elke gebruiker worden geverifieerd voor alle bronnen en gegevens die ze willen benaderen.

Zero Trust-principes

Zero trust-principes zijn een beveiligingsconcept dat de noodzaak benadrukt van veilige toegangscontroles en monitoring voor alle gebruikers, van medewerkers tot leveranciers en klanten, ongeacht hun locatie en netwerk. Zero trust is gebaseerd op het principe “nooit vertrouwen, altijd verifiëren.” Het vereist dat organisaties de identiteit van elke gebruiker verifiëren en het gebruikersgedrag continu monitoren op kwaadaardige activiteiten.

Organisaties die niet op de hoogte zijn van zero trust-principes lopen risico op financiële, juridische en reputatieschade. Financiële gevolgen kunnen bestaan uit geldverlies door datalekken, boetes van toezichthouders en kosten voor het herstellen van reputatieschade en het herwinnen van klantvertrouwen. Juridische gevolgen kunnen rechtszaken van klanten of leveranciers en andere autoriteiten omvatten, zoals GDPR-boetes of schendingen van gegevensprivacy. Tot slot kunnen reputatiegevolgen schade aan het merk van de organisatie, lagere klantloyaliteit en een gebrek aan vertrouwen van belanghebbenden omvatten.

Hoe werkt Zero Trust?

Zero trust beveiliging is een benadering waarbij geen enkel apparaat, gebruiker of agent impliciet wordt vertrouwd met toegang tot systeembronnen. Toegang tot systeembronnen mag alleen plaatsvinden via authenticatie en autorisatie met acceptabele inloggegevens.

Zero trust richt zich op het beschermen van kritieke data, assets, applicaties en diensten (DAAS) met behulp van micro-perimeters en segmentatiegateways. Deze beveiligingstools plaatsen beveiligingsmaatregelen dicht bij DAAS—waarbij het beschermingsoppervlak zo veel mogelijk wordt geconcentreerd.

Zodra je het potentiële beschermingsoppervlak hebt bepaald, kun je de datastromen door en achter dat oppervlak vaststellen. Je krijgt zo beter inzicht in hoe data zich door je beveiligingsdiensten en binnen je eigen infrastructuur beweegt.

Het belangrijkste is de implementatie van zero trust-beveiliging. Ondernemingen kunnen kijken naar een belangrijk beveiligingsdocument van het National Institute of Standards and Technology (NIST), NIST Special Publication 800-207: Zero Trust Architecture. Dit document schetst een raamwerk voor het begrijpen en implementeren van zero trust-principes.

Enkele van de principes van zero trust-architectuur die in NIST SP 800-207 worden beschreven, zijn onder andere:

• Beschouw alle diensten en databronnen als bronnen: Neem geen enkel aspect van je systeem en de plaats ervan in het beveiligingsecosysteem als vanzelfsprekend aan. Dit omvat software, clouddiensten, mobiele apparaten, werkstations en dataplatforms.
• Beveilig alle communicatie, ongeacht de netwerklocatie: Ga er nooit vanuit dat een deel van je interne netwerk veilig is zoals het is, en implementeer beveiliging op elk punt waar een bron verbinding kan maken of gegevens kan verzenden.
• Beperk toegang per sessie: Om gebruikers en apparaten te dwingen hun betrouwbaarheid aan te tonen, moet je multi-sessie toegang tot alle bronnen elimineren voor zowel authenticatie- als autorisatiedoeleinden.
• Maak gebruik van dynamische beleidsattributen voor toegang: Rolgebaseerde toegangscontrole (RBAC) is een populaire manier om te bepalen wie toegang heeft tot bronnen. Zero trust-beleid moet ook gebruikmaken van op attributen gebaseerde toegangscontrole (ABAC) om beperkingen op te nemen op basis van apparaatkenmerken, tijd en datum, of zelfs gedragskenmerken.
• Monitor alle assets continu: NIST adviseert dat elk asset, of het nu data, software of hardware is, regelmatig moet worden gemonitord om te voorkomen dat het ongemerkt wordt gecompromitteerd.
• Strikte identity & access management op elk moment: Je systeem moet strikte authenticatie- en autorisatiecontroles afdwingen voordat toegang wordt verleend.
• Beoordeling en optimalisatie: Continue monitoring kan en moet bijdragen aan het optimaliseren van toegangscontrole, beveiliging en netwerkprivacy.

Wat is een Zero Trust-netwerk?

Een zero trust-netwerk (ZTN) is een geavanceerd beveiligingsmodel dat ervan uitgaat dat alle gebruikers, systemen en netwerken binnen een organisatie mogelijk onbetrouwbaar zijn. Het is gebaseerd op het principe “nooit vertrouwen, altijd verifiëren”, waarbij elke gebruiker en elk apparaat een unieke identiteit en inloggegevens krijgt, en alle communicatie wordt beveiligd via authenticatie.

Bedrijven profiteren van zero trust-netwerken doordat ze bedreigingen sneller kunnen detecteren en de kans op een succesvolle aanval verkleinen. Omdat het concept van “vertrouwde” toegang wordt geëlimineerd, wordt het aanvalsoppervlak verkleind en biedt het een extra beschermingslaag van binnenuit.

Een zero trust-netwerk verschilt van een zero trust-architectuur (ZTA) doordat ZTN zich richt op databeveiliging en communicatie over het netwerk. ZTA richt zich daarentegen meer op identity & access management. Hoewel beide modellen zich richten op microsegmentatie om het aanvalsoppervlak te verkleinen, legt een zero trust-netwerk de nadruk op veilige communicatie tussen microsegmenten, terwijl een zero trust-architectuur de nadruk legt op toegangscontrole.

Wat is een Zero Trust-beveiligingsmodel?

Een zero trust-beveiligingsmodel is een beveiligingsmodel dat geen vertrouwen aanneemt voor welke gebruiker, apparaat of applicatie dan ook. In plaats daarvan wordt al het verkeer standaard als onbetrouwbaar beschouwd en krijgt alleen toegang tot een netwerk als het zijn identiteit en inloggegevens kan bewijzen. Het is een benadering van cyberbeveiliging die vereist dat organisaties niet alleen de identiteit van hun gebruikers verifiëren, maar ook de beveiligingsstatus van hun apparaten en applicaties.

Bedrijven profiteren van het gebruik van een zero trust-beveiligingsmodel omdat het een extra beschermingslaag aan het netwerk toevoegt, waarbij al het inkomende verkeer moet worden geverifieerd voordat toegang wordt verleend. Dit model helpt kwaadaardige actoren af te schrikken en verkleint het risico op datalekken en andere cyberaanvallen door gebruikersidentiteit te valideren en alleen geautoriseerde entiteiten toegang te geven. Daarnaast helpt een zero trust-beveiligingsmodel om te voldoen aan regelgeving rondom gegevensprivacy zoals de GDPR en is het kostenefficiënter dan traditionele perimetergebaseerde beveiligingsmodellen.

Technologieën die Zero Trust aandrijven

Diverse nieuwe of opkomende technologieën effenen het pad voor de effectieve inzet van zero trust-architecturen. Deze omvatten:

Kunstmatige intelligentie (AI) en machine learning (ML) spelen een cruciale rol in deze door technologie gedreven revolutie. Ze bewijzen continu hun waarde door gebruikersgedragspatronen grondig te analyseren en afwijkingen van de norm te identificeren, waardoor potentiële beveiligingsinbreuken of bedreigingen worden opgespoord voordat ze aanzienlijke schade kunnen aanrichten. AI en ML leren van elke interactie, waardoor ze snel en doeltreffend bedreigingen kunnen herkennen en erop reageren. Zo vormen ze een robuuste eerste verdedigingslinie binnen het zero trust-model.

Microsegmentatie-oplossingen, een andere essentiële zero trust-technologie, belemmeren ongeautoriseerde laterale bewegingen binnen een netwerk. Door het netwerk op te delen in kleinere segmenten, zorgen deze oplossingen ervoor dat zelfs als één segment wordt gecompromitteerd, de dreiging zich niet door het hele netwerk kan verspreiden. Dit verkleint de potentiële schade drastisch en biedt een extra beschermingslaag door hackers te belemmeren vrij door het systeem te bewegen.

In specifieke, op gebruikers gerichte gebieden wordt multi-factor authentication (MFA) ingezet als een strenge maatregel binnen het zero trust-model. MFA valideert niet alleen geverifieerde gebruikers, maar beperkt ook potentiële bedreigingen door meerdere vormen van bewijs te eisen om de identiteit van een gebruiker te verifiëren voordat toegang tot kritieke bronnen wordt verleend. Deze functie vermindert de kans op ongeautoriseerde toegang aanzienlijk en speelt een cruciale rol in het waarborgen van de integriteit van gevoelige gegevens.

Bovendien zijn cloudgebaseerde beveiligingsoplossingen uitgegroeid tot gamechangers in het huidige tijdperk waarin werken op afstand snel de norm wordt. Deze oplossingen bieden een naadloze overgang van traditionele kantooromgevingen naar remote setups zonder concessies te doen aan de beveiliging van data en het organisatienetwerk. Cloudgebaseerde beveiligingstools zijn schaalbaar, kostenefficiënt en overal toegankelijk, waardoor ze een populaire keuze zijn bij de implementatie van zero trust-strategieën.

Zero Trust-toepassingen

Het is essentieel in de digitale wereld van vandaag, omdat kwaadwillenden steeds complexer worden.

Zero trust kent drie prominente toepassingsgebieden.

1. Veilige cloudtoegang: Zero trust kan worden ingezet om toegang tot cloudapplicaties en -diensten te beveiligen. Door gebruik te maken van identity & access management (IAM) en multi-factor authentication (MFA) technologieën, kunnen organisaties gebruikers die toegang proberen te krijgen tot cloudservices en applicaties veilig authenticeren, zodat alleen geautoriseerde gebruikers toegang krijgen.
2. Netwerkverdediging: Zero trust kan netwerkomgevingen beschermen door ervoor te zorgen dat alleen geauthenticeerde en geautoriseerde gebruikers en apparaten toegang hebben tot het netwerk en de bijbehorende diensten. Het biedt ook verbeterd inzicht in al het verkeer dat een netwerk binnenkomt of verlaat, waardoor organisaties snel kunnen handelen bij een mogelijk datalek.
3. Gegevensbescherming: Zero trust helpt gevoelige en vertrouwelijke gegevens te beschermen tegen ongeautoriseerde toegang. Door gebruik te maken van encryptietechnologieën kunnen organisaties gegevens in rust en onderweg beveiligen, zodat deze alleen toegankelijk zijn voor geautoriseerde gebruikers. Bedrijven kunnen deze veilige toegang afdwingen via rolgebaseerde toegangscontrole en oplossingen voor preventie van gegevensverlies.

Wat zijn beste practices en voordelen van Zero Trust-architectuur?

Hoewel je wellicht een basisbegrip hebt van de principes die een zero trust-model vormen, is het iets heel anders om deze architectuur te implementeren. Je moet overwegen hoe die principes uitwerken in jouw specifieke IT-systemen, binnen jouw infrastructuur en in relatie tot je bedrijfsdoelstellingen.

Er zijn verschillende stappen bij het implementeren van een zero trust-architectuur:

• Definieer beschermingsoppervlakken dicht bij DAAS om overbelasting van beveiligingsmiddelen te voorkomen. Het kan verwarrend zijn wat “dichtbij” in deze context betekent. Toegangscontroles en beveiligingsmaatregelen moeten geen breed, onnodig scala aan technologieën en middelen omvatten. Implementeer in plaats daarvan duidelijke, beperkte en gerichte beschermingsoppervlakken waar nodig. Deze aanpak stelt je in staat om verkeer en systeemtoegang beter te beheersen en de perimeterbeveiliging aan te passen waar nodig.
• Traceer datatransacties en -stromen, inclusief alle bewegingen van informatie door verschillende delen van je infrastructuur. Volgens NIST mag je er nooit van uitgaan dat informatie veilig is binnen je netwerk. Je zero trust-architectuur moet controles bevatten om te volgen hoe data zich door je netwerken beweegt, vooral in relatie tot je beschermingsoppervlak.
• Ontwikkel beveiligings- en zero trust-beleid rond de “Kipling-methode.” De Kipling-methode, vaak toegeschreven aan een gedicht van Rudyard Kipling, definieert een reeks universele vragen die je kunt stellen over je beveiligingsinfrastructuur: Wie? Wat? Wanneer? Waar? Waarom? en Hoe? Door deze aanpak kun je zero trust-beleid opstellen rond een uitgebreide lijst van rollen, attributen en andere gedetailleerde controles.
• Maak plannen voor continue monitoring en onderhoud en voer deze uit. NIST SP 800-207 stelt dat monitoring en optimalisatie onderdeel moeten worden van je zero trust-architectuur. Met datagedreven audit logging en monitoringtools kun je zero trust-principes implementeren, zelfs met bestaande middelen. Ga er nooit van uit dat een bestaand middel niet is gecompromitteerd, en ga er nooit van uit dat je middelen veilig blijven tegen nieuwe bedreigingen.

Om een volledige aanpak voor het implementeren van zero trust te begrijpen, raadpleeg NIST SP 800-207, dat conforme, high-level architectuurrichtlijnen bevat.

Natuurlijk heeft zero trust-architectuur een aantal voordelen, met name op het gebied van beveiliging en compliance:

1. Beveiliging: Zero trust-principes dichten beveiligingsgaten, vooral die met betrekking tot autorisatie en authenticatie. Omdat geen enkele gebruiker, apparaat of bron impliciet wordt vertrouwd, zijn er minder aanvalsoppervlakken voor hackers om te misbruiken. De vectoren waarmee aanvallen zoals advanced persistent threats (APT’s) zich binnen een systeem kunnen verspreiden, zijn ook beperkt.
2. Compliance: Verschillende federale en defensiecompliancestandaarden bevelen zero trust-architectuur aan of vereisen deze zelfs. Bovendien vraagt de Executive Order over cyberbeveiliging dat alle federale instanties en aannemers overstappen op zero trust-beveiliging. Door deze principes proactief te implementeren, verbeter je je compliancepositie aanzienlijk.

Wat is Zero Trust E-mailarchitectuur?

Zero trust e-mailarchitectuur (ZTEA) is een e-mailbeveiligingsraamwerk dat de principes van zero trust toepast op de infrastructuur van het e-mailsysteem van een organisatie. Het is ontworpen om gebruikers, bedrijfsassets en gevoelige gegevens te beschermen tegen kwaadwillenden en veilige communicatie tussen de organisatie en externe partners te waarborgen. Zero trust-architectuur daarentegen is een cyberbeveiligingsstrategie die zich richt op het voorkomen van ongeautoriseerde toegang van zowel interne als externe bronnen.

Zero trust e-mailarchitectuur gaat nog een stap verder door extra beveiligingslagen toe te voegen aan e-mails die buiten de organisatie worden verzonden. Dit omvat het versleutelen van alle e-mails, het beheren wie e-mails kan verzenden en ontvangen, en het afdwingen van authenticatie voor zowel interne als externe e-mailaccounts.

Zero trust e-mailarchitectuur helpt organisaties hun gevoelige informatie zoals PII, PHI en intellectueel eigendom te beschermen wanneer deze extern wordt gedeeld. Door alle e-mails te versleutelen, kunnen organisaties ervoor zorgen dat alleen de beoogde ontvanger toegang heeft tot de gevoelige informatie. Daarnaast kunnen organisaties door te beheren wie e-mails kan verzenden en ontvangen en door sterke authenticatie af te dwingen, voorkomen dat kwaadwillenden toegang krijgen tot het e-mailsysteem.

Zero trust e-mailarchitectuur helpt organisaties ook te voldoen aan regelgeving rondom gegevensprivacy, zoals de Algemene Verordening Gegevensbescherming (GDPR) van de Europese Unie. Zo vereist de GDPR dat organisaties ervoor zorgen dat persoonsgegevens veilig worden bewaard en alleen toegankelijk zijn voor geautoriseerd personeel. Door zero trust e-mailarchitectuur te implementeren, kunnen organisaties aan deze vereiste voldoen door te beheren wie e-mails kan verzenden en ontvangen, alle e-mails te versleutelen en authenticatie af te dwingen.

Stappen voor het implementeren van Zero Trust

Het implementeren van een zero trust-architectuur is een grote onderneming. Voordat je je committeert aan het opbouwen van een zero trust-architectuur en een bredere zero trust-filosofie, zijn hier enkele aanbevelingen om te overwegen:

1. Identificeer gebruikers, apparaten en endpoints en maak hiervan een inventaris;
2. Stel beleid en procedures op voor gegevensbenadering en risicobeheersing;
3. Implementeer authenticatie- en encryptietechnieken;
4. Segmenteer het netwerk in microperimeters en beheer de toegang tot elk segment; en
5. Monitor het systeem continu en detecteer bedreigingen in realtime.

Een bedrijf kan bijvoorbeeld multi-factor authentication gebruiken bij het inloggen op het netwerk, zodat gebruikers een gebruikersnaam, wachtwoord en mogelijk een verificatiecode moeten opgeven om toegang te krijgen.

Hoe implementeren organisaties Zero Trust-architectuur?

Door de hier besproken beste practices te volgen en de richtlijnen uit NIST SP 800-207 toe te passen, is het relatief eenvoudig om een zero trust-implementatie te conceptualiseren. Toch kan het, als je zero trust vanuit een systeem-breed perspectief bekijkt, een ontmoedigende taak lijken.

Een goede manier om zero trust in de praktijk te brengen binnen je systeem, is te beginnen met een enkele kritieke DAAS:

• Identificeer een DAAS binnen je infrastructuur die onder zero trust-beveiliging moet vallen.
• Pas de Kipling-methode toe om zero trust-beleid te ontwikkelen:
  • Wie mag deze bron benaderen?
  • Wat wordt er benaderd (software, data, enz.)?
  • Waar wordt het normaal en veilig benaderd?
  • Wanneer wordt het benaderd (alleen tijdens werkuren, binnen beperkte tijdvensters, enz.)?
  • Waarom is toegang nodig voor legitiem zakelijk gebruik?
  • Hoe moet het worden benaderd (lokale werkstations, mobiele apparaten, enz.)?
• Bouw zero trust-beleid op basis van deze vragen en ontwikkel een beveiligings- en identity & access management (IAM)-configuratie vanuit dat beleid. Deze configuratie moet je beveiligingsbeleid adresseren zonder de gebruikerservaring of bruikbaarheid van het systeem te schaden.
• Implementeer beleid via beperkte beschermingsoppervlakken rondom assets, volgens de vastgestelde beveiligings- en IAM-configuraties.

Kiteworks helpt organisaties hun gevoelige content te beschermen met Zero Trust-beveiliging

Zero trust-architectuur wordt steeds meer gemeengoed in veel beveiligingskringen, en dit wordt alleen maar gebruikelijker. Met de Executive Order over nationale cyberbeveiliging die nu van kracht wordt, zal het gebruik van verplichte zero trust-principes alleen maar toenemen.

Maak kennis met Kiteworks. Het Kiteworks Private Content Network biedt organisaties uitgebreide gegevensbescherming van de gevoelige content die ze opslaan en delen in lijn met het CISA Zero Trust-model.

Kiteworks ondersteunt Zero Trust-beveiliging via robuuste encryptie en beschermingsmaatregelen voor alle manieren van verzenden en ontvangen van gevoelige content. Dit omvat e-mail, bestandsoverdracht, webformulieren, SFTP en beheerde bestandsoverdracht en meer.

Kiteworks-klanten stellen least-privilege toegangscontrole in per individuele rol op geneste mapniveaus. Dit omvat het beheren van content, structuur en permissies; samenwerken met lees- en schrijfrechten en gelijktijdig bewerken; alleen-lezen consumptie met watermerken; downloaden; of blind uploaden.

Organisaties stellen ook organisatie- en rolniveaubeleid in voor domeinblokkering, geofencing en functierechten. Dit versterkt de Zero Trust-beveiliging verder door ervoor te zorgen dat toegang strikt wordt gecontroleerd en gemonitord.

Kiteworks stelt organisaties bovendien in staat hun beveiligingsbeleid centraal te definiëren en af te dwingen, zodat elke gegevensuitwisseling grondig wordt gecontroleerd op beveiliging, inclusief SSO, MFA, AV, ATP en DLP, met één enkel integratiepunt.

Tot slot zorgt de hardened virtual appliance-architectuur van Kiteworks ervoor dat niemand—including Kiteworks zelf of lokale of federale wetshandhavingsinstanties—toegang heeft tot jouw sleutels of content.

Extra Kiteworks-functies die een Zero Trust-beveiligingsmodel ondersteunen zijn onder andere:

• Uitgebreide tracking van gegevensinventaris
• Hoge beschikbaarheid en contentreplicatie
• Verbeterd inzicht en audit logging
• Gestroomlijnde beveiligingsautomatisering en orkestratie
• Sterk bestuur met rolgebaseerde controles

Samengevat bereiken organisaties die Kiteworks gebruiken meer inzicht, controle en beveiliging over hun data, beperken ze het risico op cyberdreigingen en waarborgen ze de bedrijfscontinuïteit.

Wil je meer weten over Kiteworks? Plan vandaag nog een persoonlijke demo.

Aanvullende bronnen

• Webinar Addressing the Biggest Gap in Your Zero-trust Strategy
• Rapport Benchmark Your Sensitive Content Communications Privacy and Compliance
• Blog Post Wat is een Private Content Network?