In dit artikel7
Wat is zero trust?
Zero trust is volgens NIST de term voor een zich ontwikkelende set cybersecurityparadigma's, die de verdediging verschuift van statische, netwerkgebaseerde perimeters naar gebruikers, assets en resources. NIST beschrijft dit in Special Publication 800-207, Zero Trust Architecture. Het document kwam uit in augustus 2020 en is geschreven door Scott Rose, Oliver Borchert, Stu Mitchell en Sean Connelly.
Een zero trust architecture (ZTA) past die principes toe op de infrastructuur en werkstromen van een organisatie. NIST omschrijft een ZTA als het cybersecurityplan van een organisatie, met componentrelaties, werkstroomplanning en toegangsbeleid. Aan assets of gebruikersaccounts wordt geen impliciet vertrouwen gegeven op grond van alleen hun locatie, of dat nu het lokale netwerk of het internet is, en ook niet op grond van eigendom, of dat nu van de organisatie of privé is. Authenticatie en autorisatie, zowel van de gebruiker als van het apparaat, zijn aparte stappen die gebeuren voordat een sessie met een bedrijfsresource tot stand komt.
NIST schrijft dat zero trust geen enkele architectuur is, maar een set richtinggevende principes voor werkstromen, systeemontwerp en beheer. Je installeert het dus niet als pakket.
Zero trust vervangt geen kader. De NIST Cybersecurity Framework bevat uitkomsten over identiteit en toegangsbeheer, terwijl zero trust een architectuuraanpak is. Het verschil tussen die twee staat in het artikel over de CSF.
Waarom bestaat zero trust?
NIST ziet zero trust als reactie op veranderingen in bedrijfsnetwerken. Gebruikers werken op afstand, apparaten worden meegebracht van thuis (bring your own device, BYOD) en assets staan in de cloud, buiten de netwerkgrens van de organisatie. Daarom richt zero trust zich op het beschermen van resources, zoals assets, services, werkstromen en netwerkaccounts, en niet op netwerksegmenten. De netwerklocatie is niet langer de belangrijkste factor voor de beveiliging van een resource. Meer over cloudbeveiliging staat in cloud security uitgelegd.
Het oude beeld is een kasteel met een slotgracht: de rand is zwaar beveiligd en wat binnen de muren zit, wordt vertrouwd. Dat beeld werkt niet meer als medewerkers, apparaten en applicaties overal zitten. Zero trust verplaatst de controle naar het toegangsverzoek zelf. Wie je bent, welk apparaat je gebruikt en wat je wilt doen, wordt per verzoek beoordeeld, ook op kantoor.
Zero trust betekent dus niet dat je niemand vertrouwt. Het gaat om vertrouwen dat je steeds opnieuw verdient en dat niet vanzelf komt met een netwerkaansluiting.
Wat zijn de zeven uitgangspunten van zero trust?
NIST noemt zeven uitgangspunten, de tenets. In de tabel staat elk uitgangspunt in eigen woorden, met wat het in de praktijk betekent.
Nr | Uitgangspunt | Wat dat in de praktijk betekent |
|---|---|---|
1 | Alle gegevensbronnen en rekendiensten zijn resources. | Ook SaaS-applicaties en privéapparaten die toegang vragen vallen onder je beleid. |
2 | Alle communicatie is beveiligd, ongeacht de netwerklocatie. Een netwerklocatie geeft op zichzelf geen vertrouwen. | Verkeer binnen het kantoornetwerk is niet automatisch veilig. |
3 | Toegang tot bedrijfsresources wordt per sessie verleend, met de minste rechten die nodig zijn. Vertrouwen in de aanvrager wordt vooraf beoordeeld. | Een andere applicatie betekent een nieuwe beslissing, ook voor een medewerker die net al ingelogd was. |
4 | Toegang wordt bepaald door dynamisch beleid. Dat beleid kijkt naar de staat van de identiteit, de applicatie en het apparaat, en kan gedrags- en omgevingskenmerken meenemen. | Beleid kijkt naar wie je bent en in welke staat je apparaat verkeert. |
5 | De organisatie bewaakt en meet de integriteit en beveiligingsstatus van de eigen assets. Geen enkele asset wordt inherent vertrouwd. | Een apparaat met bekende kwetsbaarheden kan beperkte of geen toegang krijgen. NIST noemt dit als voorbeeld. |
6 | Authenticatie en autorisatie voor alle resources zijn dynamisch en worden strikt afgedwongen voordat toegang wordt verleend. | Toetsen gebeurt steeds opnieuw en niet alleen bij het inloggen. |
7 | De organisatie verzamelt zoveel mogelijk informatie over de staat van assets, netwerk en communicatie en gebruikt die om de beveiligingshouding te verbeteren. | Je verzamelt gegevens over verkeer en toegang en gebruikt die om beleid bij te stellen. Dat raakt de security monitoring. |
De uitgangspunten zijn technologieneutraal bedoeld en gelden voor werk binnen een organisatie of samen met partnerorganisaties. Ze gelden niet voor anonieme publieke of consumentgerichte dienstverlening, omdat een organisatie geen intern beleid kan opleggen aan klanten of internetgebruikers.
Hoe ziet een zero trust-architectuur eruit?
NIST beschrijft drie kerncomponenten. De policy engine (PE) neemt de uiteindelijke beslissing of een subject toegang tot een resource krijgt. De PE gebruikt het beleid van de organisatie en invoer uit externe bronnen, zoals systemen voor continue diagnostiek en threat intelligence, als input voor een trust algorithm. Het resultaat is toegang verlenen, weigeren of intrekken.
De policy administrator (PA) voert die beslissing uit. Hij legt de verbinding tussen subject en resource aan of beëindigt die, via opdrachten aan de policy enforcement points. Het policy enforcement point (PEP) zet de verbinding open, bewaakt die en beëindigt haar uiteindelijk. Samen vormen de drie een security architecture die de toegang regelt.
Een trust algorithm kan op twee manieren werken. Een criteria-based algorithm vraagt een set kenmerken die aanwezig moeten zijn voordat toegang wordt verleend. Een score-based algorithm berekent een vertrouwensniveau uit de waarden van elke gegevensbron en de gewichten die de organisatie instelt. Ligt de score boven de drempel van de resource, dan krijgt het verzoek toegang. Zo niet, dan wordt het geweigerd of worden de rechten verlaagd, bijvoorbeeld tot leestoegang zonder schrijftoegang.
Het beleid bestaat uit toegangsregels op basis van kenmerken die de organisatie toekent aan een subject, dataobject of applicatie. Kenmerken van het apparaat kunnen volgens NIST onder meer geïnstalleerde softwareversies, netwerklocatie, datum en tijd van het verzoek, eerder waargenomen gedrag en geïnstalleerde credentials zijn.
Een fictief voorbeeld laat zien hoe dat samenhangt. Een medewerker logt thuis in op de HR-applicatie. Het verzoek komt niet rechtstreeks bij de applicatie, maar bij een PEP. De PEP stuurt het verzoek naar de PA, die de PE vraagt om een beslissing. De PE kijkt naar het beleid: is dit account gerechtigd voor deze applicatie, voldoet het apparaat aan de eisen (bijvoorbeeld bijgewerkt), en zijn het tijdstip en de locatie gebruikelijk?
Past alles, dan laat de PA de PEP de sessie openen, met alleen toegang tot deze applicatie. Wijkt er iets af, dan kan de PE extra verificatie vragen, minder rechten geven of het verzoek weigeren. Wil dezelfde medewerker daarna een andere applicatie openen, dan is er een nieuwe beslissing nodig.
Hoe voer je zero trust in?
NIST beschrijft drie manieren om een ZTA te ontwikkelen. De eerste is verbeterd identiteitsbeheer (enhanced identity governance), waarbij de identiteit van actoren het belangrijkste onderdeel van het beleid is. Dat raakt identity and access management, waarover je meer leest in identity and access management uitgelegd. Onder het zesde uitgangspunt noemt NIST multifactorauthenticatie voor sommige of alle resources. Meer daarover staat in MFA en passkeys.
De tweede manier is micro-segmentatie. Resources, of groepen resources, krijgen een eigen netwerksegment dat wordt beschermd door een gateway die als PEP werkt. Dat raakt de netwerkbeveiliging en de uitleg over netwerksegmentatie en firewalls. De derde manier is netwerkinfrastructuur en software defined perimeters (SDP), die met een overlaynetwerk kunnen worden gebouwd. De drie benaderingen sluiten elkaar niet uit, en een organisatie kan ze combineren.
De overgang naar een ZTA is volgens NIST een reis. Je kunt zero trust niet in één keer invoeren door alle technologie te vervangen. Veel organisaties hebben volgens NIST al onderdelen van een ZTA in hun infrastructuur.
Begin met één toepassing met gevoelige gegevens en een duidelijke groep gebruikers. Breng in kaart wie daar bij moet, en breng de toegang daarvoor onder beleid. Breid daarna stapsgewijs uit. Dit is geen standaardplan, want elke organisatie begint ergens anders.
Is zero trust een product dat je kunt kopen?
Nee. NIST schrijft dat zero trust geen enkele architectuur is, maar een set richtinggevende principes. De Britse NCSC beschrijft zero trust als een architectuuraanpak, niet als een product dat je kant-en-klaar koopt. Zie de architectuurprincipes van de Britse NCSC.
Leveranciers noemen producten wel zero trust, maar een product kan een onderdeel leveren, zoals toegangsbeheer. De volledige overgang is een aanpak en een reis. Volgens de Britse NCSC is zero trust geen eenmalige oplossing, kan een volledige migratie jaren herstructurering van systemen vragen en blijft het een bewegend doel.
Welke rollen werken met zero trust?
Zero trust raakt meerdere functies.
- Een security architect ontwerpt hoe PE, PA en PEP samen een architectuur vormen. Lees de rolgids voor de security architect voor de taken.
- Een IAM engineer richt identiteiten, authenticatie en toegangsbeleid in.
- Een netwerkbeveiliger werkt met segmentatie en gateways.
- Een cloud security engineer past dezelfde principes toe op cloudomgevingen.
- Een SOC-analist kan de logs en alerts die zero trust aanvullend oplevert, meenemen in zijn werk.
Op de werkgeverspagina voor security architecten zie je welke werkgevers deze functie hebben. Alle vacatures waarin zero trust wordt genoemd, vind je op de skill-pagina.
Wat is zero trust?
Zero trust is een set uitgangspunten waarin geen enkel systeem of account impliciet vertrouwen krijgt op basis van netwerklocatie of eigendom van het apparaat. Authenticatie en autorisatie gebeuren voordat een sessie met een bedrijfsresource tot stand komt. NIST beschrijft dit in SP 800-207 als een set principes en niet als een product.
Waar komt zero trust uit voort?
NIST ziet zero trust als reactie op gebruikers op afstand, bring your own device en cloudgebaseerde assets die buiten de netwerkgrens van de organisatie staan. Daarom beschermt zero trust resources en niet het netwerk als geheel. De netwerklocatie is niet langer de belangrijkste factor voor de beveiliging.
Wat zijn de onderdelen van een zero trust-architectuur?
Een zero trust-architectuur heeft drie kerncomponenten: de policy engine, die de beslissing neemt, de policy administrator, die die beslissing uitvoert, en het policy enforcement point, dat de verbinding opent, bewaakt en uiteindelijk beëindigt. De policy engine gebruikt beleid en een trust algorithm om toegang te verlenen, te weigeren of in te trekken.
Is zero trust een product?
Nee. NIST beschrijft zero trust als een set principes, en de Britse NCSC noemt het een architectuuraanpak die je niet kant-en-klaar koopt. Een product kan wel een onderdeel leveren, zoals toegangsbeheer, maar de overgang is een reis zonder eenmalige oplossing. Meer over deze aanpak staat bij de Britse NCSC, in demystifying zero trust.
Welke rollen werken met zero trust?
Een security architect ontwerpt de architectuur, een IAM engineer richt identiteit en toegangsbeleid in, een netwerkbeveiliger werkt met segmentatie en gateways, en een cloud security engineer past de principes toe op cloudomgevingen. Op de werkgeverspagina voor security architecten zie je welke werkgevers deze functie hebben. Meer uitleg vind je in de kennisbank.