Bereid je voor op Zero Trust

Organisaties die Zero Trust omarmen zijn minder vatbaar voor externe aanvallen en dreigingen van binnenuit. Het NCSC adviseert u om een actieplan op te stellen om te zorgen dat u Zero Trust kunt toepassen bij toekomstige investeringen. Dit moet duidelijk maken welke maatregelen moeten worden getroffen om Zero Trust effectief te implementeren.

Achtergrond

Steeds meer organisaties kiezen ervoor om gebruik te maken van Zero Trust-principes bij het beveiligen van hun IT-infrastructuur. Zij zoeken een beveiligingsmodel dat zich effectief weet aan te passen aan de complexe moderne omgeving. In deze omgeving moeten apparaten en gegevens worden beschermd ongeacht de locatie waar zij zich bevinden of het type apparaat dat binnen organisaties wordt gebruikt. 

Zero Trust biedt organisaties de mogelijkheid hun risico’s te beperken in deze nieuwe situatie. Met behulp van de maatregelen die getroffen worden bij Zero Trust kunt u tekortkomingen in het traditionele beveiligingsmodel verhelpen. Hierdoor wordt bijvoorbeeld horizontale verplaatsing – het tussen systemen verplaatsen op zoek naar data om te exfiltreren – binnen het netwerk bemoeilijkt.

Verschillende organisaties behandelen Zero Trust op dit moment al op leidinggevend niveau. Zo nemen CIO’s, CISO’s en architecten de ontwerpprincipes vaak al mee in de toekomstige IT-ontwikkelingen van de organisatie. 

Naast de organisatorische aandacht die Zero Trust krijgt, neemt ook de noodzaak voor het beveiligingsmodel toe. Dit komt door verschillende technologische veranderingen (plaats-, tijd- en apparaatonafhankelijk werken en adoptie van SaaS en andere cloudtechnologieën) en de grotere en frequentere dreigingen. Het landschap wordt steeds diverser: alles staat niet meer in één datacenter. Het aantal malware-aanvallen neemt toe, waarbij vooral een grote toename van ransomware wordt gesignaleerd. Verdere digitalisering binnen organisaties en nieuwe manieren van werken zorgen ervoor dat het aanvalsoppervlak toeneemt. Dit vereist een nieuwe blik op beveiliging. 

De beveiligingsbehoeften en verwachtingen van gebruikers en klanten van organisaties nemen toe. Zij willen dat hun persoonsgegevens en gevoelige informatie nu en in de toekomst effectief worden beveiligd. Dat kunnen organisaties realiseren met Zero Trust.

De traditionele kijk op security zit cloudadoptie in de weg. Cloudomgevingen staan immers per definitie buiten het on-premise netwerk van een organisatie. U kunt daardoor niet zonder meer hetzelfde netwerkbeheer daarop toepassen. Het toepassen van Zero Trust kan daarentegen innovatie stimuleren. Als het makkelijker is om veilig clouddiensten te gebruiken, verlaagt dit immers de drempel voor de adoptie van nieuwe toepassingen. Het toepassen van Zero Trust maakt de reis naar en toegang tot de cloud makkelijker.

Wat is er aan de hand?

Het traditionele beveiligingsmodel, ook wel het kasteel- of kokosnoot-model, heeft structurele zwakheden en is onhoudbaar geworden door moderne malware- en ransomware-aanvallen. Het model schiet tekort wanneer het aankomt op de veranderde technologie en dreigingen van binnenuit. In tegenstelling tot andere aspecten binnen de informatiebeveiliging, waarbij men uitgaat van een defense-in-depth, vertrouwen organisaties hier vooral op de perimeter – de grens met de buitenwereld. Een netwerk dat zo is ontworpen, biedt geen beveiligings- en controlemechanisme om horizontale bewegingen te stoppen zodra een aanvaller binnen is gedrongen. Dit komt doordat de binnenkant van het netwerk als een veilige en vertrouwde zone wordt beschouwd in dit model. 

Het netwerk blijft kwetsbaar voor dit soort dreigingen totdat organisaties overstappen naar het zogenaamde granaatappel-model. Dit model kenmerkt zich door een grotere toepassing van netwerksegmentatie. Net als bij een granaatappel ontstaan er verschillende kleinere segmenten. De segmenten zijn gecombineerd met een strikt en conditioneel identiteits- en toegangsbeheer. Bij sommige implementaties van Zero Trust brengen organisaties de beveiligingsschil zelfs terug naar het endpoint. Zij beschouwen hun netwerk in zijn geheel als onvertrouwd.

Het traditionele model wordt na verloop van tijd moeilijk te beheren. Dit komt door de grote hoeveelheid clientapparaten die zich buiten de organisatie bevinden en de vele koppelingen met netwerken van ketenpartners. Op deze manier vervaagt het onderscheid tussen binnen en buiten, waardoor het netwerk moelijk te beveiligen is. Het betreft ook vaak het beveiligen van verschillende onderling verbonden netwerken, waarin men niet per se zicht heeft op wat er gebeurt. In zo’n architectuur is er ook altijd meer dan één toegangspoort. Zo is er een in- en uitgang waarlangs de webservers worden bereikt en zijn er vaak meerdere VPN-verbindingen. De uitdaging wordt groter wanneer het over cloud gaat, aangezien er daar meestal meerdere application programming interfaces (API’s) zijn. Het gaat hier niet om het aantal clientapparaten, maar om het grote aantal diensten die ervoor zorgen dat er veel toegangsmogelijkheden zijn. Een onveilige externe API biedt namelijk een opening voor ongeautoriseerde toegang door kwaadwillenden. 

De behoefte om hardware zelf in beheer te hebben is steeds vaker economisch niet meer rendabel. Hierdoor wordt de on-premise-gedachte langzaam uitgefaseerd. Deze maakt plaats voor de transitie naar de cloud. Dit brengt kansen met zich mee: bij nieuwe investeringen in cloudadoptie kunnen organisaties meteen Zero Trust omarmen. Cloud biedt namelijk de kans om de implementatie van Zero Trust gemakkelijker te realiseren. 

Veel organisaties weten niet waar ze moeten beginnen met het implementeren van Zero Trust. Zo gaan ze er vaak vanuit dat de toepassing ervan veel geld en tijd gaat kosten. Ze gaan er daarom niet mee aan de slag. Wanneer de mogelijkheid zich voordoet om op een voordelige manier Zero Trust toe te passen in de IT-infrastructuur van de organisatie, is het handig om een plan klaar te hebben liggen om er ook daadwerkelijk mee aan de slag te gaan. Een transitie naar de cloud is bijvoorbeeld een uitgelezen moment om te beginnen met de implementatie van Zero Trust. Op dit moment rekenen organisaties vooral nog op hun IT-leveranciers om hen te wijzen op goedkope en efficiënte manieren om Zero Trust te implementeren.

Wat kan er gebeuren?

Indien u er voor kiest Zero Trust te implementeren, dan vergroot u de weerbaarheid van uw organisatie tegen aanvallen en dreigingen van binnenuit en is de beveiliging van uw IT-infrastructuur meer toekomstvast. Op het moment dat een aanvaller toegang heeft gekregen tot uw netwerk, dan kan hij zich normaal gesproken makkelijk verplaatsen tussen uw systemen. In de praktijk betekent dit dat hij toegang heeft tot een groot deel van uw netwerk en informatie. Daarnaast heeft u ook mogelijk te maken met het insider-risico. Hierbij veroorzaakt een van uw eigen medewerkers onbewust of kwaadwillend een datalek of aanvallers geeft toegang tot uw netwerk. 

Wanneer aanvallers toegang hebben tot uw netwerk kunnen zij malware installeren. Deze kunnen zij gebruiken als een achterdeur in uw netwerk om gevoelige informatie te exfiltreren. Ook kunnen aanvallers hun privileges gebruiken om toegang te krijgen tot verschillende informatiesystemen binnnen uw netwerk. 

Als uw organisatie een plan heeft om aan de slag te gaan met Zero Trust, kunt u effectief inspringen wanneer kansen zich voordoen. Het hebben van een plan geeft ook meer zekerheid rond een brede implementatie en zorgt ervoor dat u Zero Trust op een professionele manier kunt toepassen. U kunt Zero Trust namelijk efficiënter implementeren door dit te doen tijdens een vervangings- of uitbreidingsinvestering. Wanneer u op een ander moment besluit om Zero Trust alsnog te implementeren, dan leidt dit tot hogere kosten. Daarnaast kan het lang duren voordat zich een volgende kans voordoet. Tot die tijd is de beveiliging van uw netwerk minder effectief en is de potentiële impact van een incident groter. 

Wanneer u een nieuw beveiligingsmodel omarmt, bent u in staat om de IT-infrastructuur van uw organisatie efficiënt te beveiligen terwijl andere organisaties dit voordeel mogelijk nog niet hebben hebben. Hierdoor ontstaat de kans dat zij eerder slachtoffer kunnen worden van een aanval, aangezien zij achterlopen op de trend. 

Wat adviseert het NCSC?

Het NCSC adviseert u om een actieplan op te stellen om te zorgen dat u Zero Trust kunt toepassen bij toekomstige vervangings- of uitbreindingsinvesteringen. Het actieplan maakt duidelijk in welke tijdspanne veranderingen mogelijk zijn en hoeveel werk ervoor nodig is. 

Als u Zero Trust goed implementeert, dan leidt dit tot een minimale blootstelling aan aanvallen, een hogere continuïteit van kritieke processen, een verhoogde en kosteneffectievere compliance en een toekomstvaste architectuur. 

Wanneer u een transitie naar een cloudomgeving op de planning heeft staan, is het verstandig om Zero Trust daar meteen in mee te nemen. Het kost namelijk extra tijd en geld om Zero Trust daar achteraf in te bouwen, omdat uw organisatie de infrastructuur die net is gebouwd dan moet aanpassen.

Neem bij het opstellen van het actieplan de volgende gedachten mee:

• Baseer het actieplan op de strategische doelen van uw organisatie en de uitkomsten van een risicoanalyse.
• Definieer een visie en missie waarin de doelen, resultaten en architectuur duidelijk zijn vormgegeven.
• Gebruik het actieplan om de leiding van uw organisatie mee te krijgen door u te richten op de doelen en resultaten die uw organisatie voor ogen heeft. Op deze manier krijgt u ondersteuning voor uw eigen doelen, budgettoewijzingen en interne afstemming.
• Stel eindgebruikers in staat om mee te denken over de implementatie van Zero Trust. Zo kunt u uw beveiliging inrichten op een manier die niet nadelig is voor hun gebruikerservaring en productiviteit. Als de maatregelen die Zero Trust toevoegt eindgebruikers hinderen, dan zoeken zij er een weg omheen en kunt u de voordelen van Zero Trust niet realiseren.
• Zoek indien nodig de samenwerking op met ICT- en securityleveranciers die bewezen expertise hebben in cloudgebaseerde beveiliging.

Wanneer u Zero Trust wilt implementeren, begin dan klein en richt u op haalbare doelen. Begin niet meteen met uw belangrijkste assets (‘kroonjuwelen’). Hierdoor wordt de impact van de transitie op uw organisatie duidelijk. Zo kunt u nagaan of Zero Trust geschikt is om verder uit te rollen.

Houd in uw ontwerp en investeringen rekening met het concept van people-centred security. Zie ook de 10 stappen van NCSC UK. Hiermee voorkomt u dat gebruikers op zoek gaan naar een manier om de beveiliging te omzeilen en het daarmee nutteloos te maken. Een Zero Trust-omgeving kan onnodige hindernissen en ongemak voor gebruikers met zich meebrengen. Het is belangrijk u een balans vindt tussen continue bescherming tegen dreigingen en het gemak en de productiviteit van de gebruikers. 

Om Zero Trust effectief te implementeren zijn investeringen nodig:

Netwerksegmentatie

Bouw niet alles in één netwerk, maar investeer in een uitgebreide en losstaande omgevingen met ieder een eigen perimeter. Houd uw netwerksegmenten zo klein mogelijk. In grotere segmenten is er minder controle mogelijk. Vind een balans tussen zo klein mogelijke functionele segmenten en een werkbare controle op de toegang van die segmenten.

Authenticatie en autorisatie

Zorg voor een sterke controle van identiteit door multifactorauthenticatie, voorwaardelijke toegang en detectie van sessierisico’s op te nemen als de ruggengraat van uw toegangsstrategie. Autorisatie dient plaatst te vinden op de verschillende applicaties binnen uw netwerk en op basis van het principle of least privilege. Dit betekent dat de gebruiker alleen toegang krijgt tot tools, data en segmenten die daadwerkelijk nodig zijn voor het werk dat diegene doet. Gebruikers koppelen aan vooropgestelde rollen en groepen, helpt om dit inzichtelijk te maken. Met behulp van een centrale identiteitsprovider die open standaarden (bijvoorbeeld SAML) ondersteunt, kunt u het risico op identiteitsfraude beperken. 

Toegangs- en beveiligingsbeleid

Definieer acceptabel toegangsbeleid voor uw segmenten en informatie. Handhaaf dit met een beveiligingsbeleid dat zowel inzicht als handelingsperspectief biedt in afwijkingen.

Monitoring en automatisering

Zorg dat uw SOC/SIEM-medewerkers op de hoogte zijn van de netwerksegmentering die is toegepast vanuit Zero Trust. Op deze manier maken zij gebruik van alle informatie die uw Zero Trust-omgeving oplevert. Het beoordelingsproces van mogelijke incidenten is afhankelijk van verschillende gegevensbronnen die weer betrekking hebben op verschillende segmenten in het netwerk. Bij Zero Trust ligt de nadruk op het monitoren van de segmenten en de individuele apparaten binnen uw netwerk. Automatiseer de monitoring van deze informatiestromen om de belangrijkste hits als eerst naar boven te krijgen. Hierdoor blijven de SOC-medewerkers op de hoogte van wat er speelt en kunt zij misbruik sneller detecteren en duiden om zo dreigingen het hoofd bieden.