Zero Trust: een middel en geen doel op zich

Wereldwijd is er steeds meer aandacht voor Zero Trust. Techbedrijven als Google en tal van Amerikaanse overheidsinstellingen, waaronder de FBI, hebben hun security-infrastructuur ingericht volgens de principes van Zero Trust. Deze toenemende populariteit maakt ook dat er steeds meer over wordt geschreven. Helaas blijkt uit de vele online publicaties dat er nogal wat misvattingen bestaan – en dat het niet voor iedereen helder is wat het exacte doel is van Zero Trust.

Argumenten waarom Zero Trust niet zou werken

Een stellingname die we meerdere keren zijn tegengekomen, is dat Zero Trust een ‘onrealistisch’ securitymodel zou zijn. De volgende twee factoren zouden een succesvolle implementatie van Zero Trust in de weg staan:

  • Bestaande applicaties zijn niet volledig in staat om strikte beperkingen per gebruiker te implementeren, zoals het Zero Trust model voorschrijft
  • Organisaties zijn niet in staat om hun mentaliteit te veranderen en zich te conformeren aan het Zero Trust-model

Maar is dit wel waar Zero Trust om draait?

De vraag is natuurlijk of dit Zero Trust ook direct tot een onrealistisch securitymodel maakt? Wat is de gedachte achter het Zero Trust-model, en – om de vraag te beantwoorden die impliciet wordt gesteld – hoe onrealistisch is het Zero Trust-model?

Het Zero Trust-securitymodel definieert een transformatiestrategie aan de hand van 5 basisstappen, die door de grondlegger van het Zero Trust-model, John Kindervag, zijn beschreven op DARKReading.

Een middel en geen doel op zich

Blijft Zero Trust echter beperkt tot de definitie van deze 5 stappen, of gaat Zero Trust verder? Persoonlijk ben ik van mening dat het om iets heel anders gaat. De 5 stappen die John Kindervag schetst zijn een middel om een doel te bereiken, en geen doel op zich. Uiteindelijk gaat het bij Zero Trust om het inperken van risico’s. Het inperken van het risico op datalekken en gegevensverlies door welke oorzaak dan ook.

5W1H-methode

Dit betekent dat je gebruik moet maken van een combinatie van sensoren en maatregelen om inzicht te krijgen in wat er met je data gebeurt, en te zorgen dat je controle krijgt over wie of wat op welk moment en op welke manier toegang heeft tot bepaalde data.

Ofwel, door het implementeren van security rond je data op basis van de 5W1H-methode: wie heeft toegang tot wat vanaf waar, wanneer is deze toegang toegestaan en hoe moet deze toegang worden geregeld?

Zero Trust gaat verder

Om terug te komen op de stelling dat veel toepassingen (landschappen) niet eens de details van de eerste w (wie) kunnen geven, kan er op het eerste gezicht een punt zijn. Zero Trust stopt echter niet wanneer je applicatielandschap niet kan volgen.

Wanneer je applicatielandschap niet in staat is om een op de gebruiker-gebaseerde toegangscontrole uit te voeren, kan het zijn dat je al gebruikmaakt van andere controlepunten, zoals firewalls of loadbalancers, die antwoord kunnen geven op de wie-vraag.

De eerste stappen richting het Zero Trust-model

Als je geen antwoord kunt geven op een van de w’s of h’s, betekent dit niet dat je ook niet in staat bent om de eerste stappen te zetten richting het Zero Trust-model. Door eerst de sensoren te implementeren, kun je in ieder geval inzicht krijgen in je huidige situatie.

Hoe slecht het ook is vanuit een securitystandpunt, beschouw het als je baseline, en begin vanaf daar met verbeteren op basis van de 5 stappen van John Kindervag. Soms is de eerste stap zo eenvoudig als het plaatsen van een sensor tussen je gebruikers en hun applicaties/data.

Het draait niet om een 100% Zero Trust-score

Dit betekent ook – terugkomend op het tweede argument – dat er geen vereiste is dat je organisatie volledig ‘Zero Trust ready’ moet zijn. Zero Trust gaat niet over het behalen van een 100% Zero Trust-score in je omgeving.

Het Zero Trust-model gaat over het continu verbeteren van je securitypositie door inzicht te krijgen in het gebruik van en de toegang tot data, het implementeren van securitycontroles, het her-evalueren van waar je staat, het bepalen van de volgende stappen en vervolgens het proces te herhalen om je securitystandpunt te blijven verbeteren – en het risico dat je loopt te blijven verminderen.

Ofwel, door het volgen van de Plan-Do-Check-Act cyclus, een goed geborgd proces in nagenoeg elke organisatie. Een mentaliteitsverandering is dus niet zozeer vereist; deze mentaliteit is meestal al lang aanwezig. De manier waarop je deze cyclus vervolgens kunt invullen, is bijvoorbeeld aan de hand van de 5 stappen die John Kindervag op DARKReading heeft beschreven.

Hoe realistisch is het Zero Trust-securitymodel?

Dus, hoe realistisch is het Zero Trust-securitymodel? Eigenlijk gaat het al mis bij de vraagstelling. Als je de vraag namelijk zo formuleert, stel je dat Zero Trust een einddoel is, terwijl Zero Trust nooit is bedoeld om als einddoel te fungeren. Het is nooit het doel van Zero Trust geweest om tot een punt te komen waar iedereen kan zeggen dat het 100% Zero Trust is.

Zero Trust gaat over het inperken van risico’s, niet over het haalbaar zijn. Het is een manier om met je data om te gaan vanuit een securitystandpunt. Zero Trust is de poolster die we gebruiken om ons door het landschap van IT-security te leiden

Meer informatie

Onderstaande bronnen geven meer informatie over Zero Trust:

Johan Bogema
Product Owner Cloud Security, Security Architect

Johan Bogema