Wat betekent “Zero Trust” echt?
Zero Trust, in 2010 uitgevonden door Forrester Research, is een cyberbeveiligingsmodel dat ondernemingen kunnen gebruiken om risicovolle, impliciet vertrouwde interacties tussen gebruikers, machines en gegevens te verwijderen. Het Zero Trust-model biedt organisaties een proces om zichzelf te beschermen tegen bedreigingen, ongeacht van welke vector de bedreiging afkomstig is, of het nu van over de hele wereld is of van Sandy verderop in de hal. De drie belangrijkste principes die moeten worden gevolgd om de voordelen van dit model te realiseren, waren:
- Zorg ervoor dat alle bronnen veilig toegankelijk zijn, ongeacht de locatie.
- Hanteer een strategie met de minste privileges en dwing de toegangscontrole strikt af.
- Inspecteer en log al het verkeer.
Na 11 jaar zijn deze ideeën en principes volwassen geworden in het licht van de groeiende digitale transformatie, werken op afstand en de proliferatie van bring-your-own-devices. Er zijn nieuwe principes ontwikkeld in het licht van het mandaat van de Amerikaanse federale overheid voor Zero Trust, gecodificeerd in de NIST 800-207 met verdere details in de Zero Trust Architecture van de NCCoE. Die principes zijn:
- Schakel over van netwerksegmentatie naar het beschermen van bronnen zoals activa, services, workflows en netwerkaccounts.
- Maak authenticatie en autorisatie (zowel onderwerp/gebruiker als apparaat) discrete functies die bij elke sessie worden uitgevoerd, met behulp van sterke authenticatie.
- Zorg voor continue monitoring.
Waarom is dit belangrijk in cyberbeveiliging?
De stap naar Zero Trust is een van de belangrijkste verschuivingen geweest in de manier waarop bedrijven beveiliging benaderen. Voordat ze een Zero Trust-mentaliteit aannamen, probeerden de meeste bedrijven beveiliging als een gated functie te beheren. Zodra een transactie in het beveiligde gebied was gevalideerd, werd deze van nature vertrouwd.
Deze aanpak levert een probleem op omdat dreigingsvectoren niet altijd buiten dat gebied ontstaan. Ook gaat de wereld in het algemeen door met het adopteren van digitale transformatie en hybride arbeidskrachten, waardoor het concept van middelen die alleen achter een poortje bestaan teniet wordt gedaan. Zero Trust-methoden vereisen dat elk element van elke interactie voortdurend wordt gevalideerd, ongeacht waar ze plaatsvinden, inclusief alle gebruikers, machines, applicaties en gegevens. Er is geen gebied van impliciet vertrouwen.
Wat is de spin rond dit modewoord?
Veel leveranciers produceren tegenwoordig Zero Trust en noemen hun producten op zichzelf al “Zero Trust-oplossingen”, in plaats van te erkennen dat Zero Trust een model en strategisch raamwerk is, geen productoplossing. Als je naar de cyberbeveiligingsmarkt kijkt, zul je zien dat leveranciers proberen te beweren dat een vermeende titel “THE Zero Trust-speler” is.
Bij nader inzien behandelen die leveranciers echter meestal slechts één enkel principe van Zero Trust. Bijvoorbeeld het maken van tunnelingservices tussen gebruikers en applicaties. Dit sluit aan bij het tweede oorspronkelijke principe: hanteer een minst-geprivilegieerde strategie en dwing toegangscontrole strikt af. Diezelfde leverancier kan echter falen op het eerste principe: zorg ervoor dat alle bronnen veilig toegankelijk zijn, ongeacht de locatie. Wanneer ze er impliciet op vertrouwen dat de gebruiker geen bedreigingsvector is, scannen ze niet op malware of exploits in de tunnel.
Anderen behandelen misschien slechts enkele van de aspecten van het eerste oorspronkelijke principe, zoals proberen om identiteits- en autorisatiecontroles te claimen die Zero Trust maken. Leveranciers kunnen ook suggereren dat alleen webgebaseerd verkeer hoeft te worden gescand. Wanneer echter slechts een gedeeltelijke dekking van het model wordt geïmplementeerd, lopen bedrijven het risico een impliciet vertrouwen te creëren dat hen blootstelt aan kwetsbaarheden die anders zouden worden gedekt door de overige principes.
Ons advies: waar moeten leidinggevenden rekening mee houden bij het aannemen van Zero Trust?
De eerste stap is om uw denken over hoe ondernemingen beveiligd moeten worden te herformuleren, van een gated benadering naar een benadering die continu alle interacties valideert. Om die verschuiving te helpen maken:
- Definieer de middelen die uw bedrijf moet beschermen, waar ze bestaan en welke interacties er omheen, naar en door hen moeten stromen.
- Onthoud dat gebruikers, applicaties en infrastructuur/apparaten allemaal moeten worden gedekt voor elke interactie die ze creëren.
- Begrijp dat interacties bestaan uit identiteit, toegang, apparaat/werklast en transacties.
Voer vervolgens wijzigingen door met een plan, te beginnen met de meest kritieke gebruikers, bedrijfsmiddelen en interacties van uw onderneming. Dat zullen uw kroonjuwelen zijn en zaken die te maken kunnen hebben met financiën of intellectueel eigendom. Breid vervolgens uw bereik na verloop van tijd uit om alle interacties op te nemen. Het plan moet aangeven hoe de gebruikers, applicaties en infrastructuur elk van de vier onderdelen van een interactie doorlopen bij het aanvragen van een resource.
De laatste stap in deze transformatie is echt een terugkerend gebeuren: onderhouden en monitoren.
- Maak gebruik van continue monitoring om rekening te houden met alles wat er gebeurt in plaats van periodieke controles.
- Zoek naar manieren om het huidige model te verbeteren naarmate de standaarden blijven evolueren en steeds meer interacties bestrijken.
Vragen om uw team te vragen om met succes Zero Trust te adopteren
- Wat zijn onze systeemkritische datasets, applicaties en functionaliteiten?
- Hoe kunnen we elk van de vier onderdelen van elke interactie aan deze bronnen beveiligen, ongeacht wie of wat ze vraagt?
- Wat is ons plan om continu belangrijke gebeurtenissen zoals logboeken te monitoren om baselines te vergemakkelijken en afwijkend gedrag te detecteren?
- Wat is onze strategie voor het selecteren van leveranciers die ons zullen helpen bij onze Zero Trust-doelen, en wat moeten we nog meer doen dat producten niet kunnen dekken?
- Wat is de strategie om van het afdekken van één resource naar het volledig afdekken van alle resources te gaan, en wat voor soort schaalbaarheid van producten en mensen hebben we nodig om dit te doen?
Klik hier voor meer informatie over hoe volledige Zero Trust-beveiliging eruitziet.
