Wanneer je iets koopt via de affiliate links in onze content, kunnen we een commissie ontvangen zonder extra kosten voor jou. Ontdek 
Vijftien jaar geleden vertrouwden bedrijven automatisch alles en iedereen op het bedrijfsnetwerk en vertrouwden ze niets van buitenaf.
John Kindervag durfde dit traditionele vertrouwensmodel in twijfel te trekken en ontwikkelde het Zero Trust framework, gebaseerd op het principe “vertrouw nooit, verifieer altijd”.
Het concept drong al snel door tot de mainstream en veranderde het denken over cyberbeveiliging.
Hoewel het vaak verkeerd wordt begrepen, erkennen Chief Information Security Officers (CISO’s) het belang van een andere aanpak om de beveiliging uitdagingen aan te gaan die worden veroorzaakt door werken op afstand, hybride cloud services en BYOD (Bring Your Own Devices).
Techopedia sprak met Kindervag over het ontstaan van Zero Trust-beveiliging en waarom het volgens hem belangrijker is dan ooit voor organisaties nu ze verder migreren naar cloud gebaseerde omgevingen.
Belangrijkste punten
- Zero Trust elimineert inherent vertrouwen – “vertrouw nooit, verifieer altijd” voor elke verbinding.
- John Kindervag begon dit principe toe te passen toen hij bij Forrester werkte en zijn framework wordt nu door 82% van de organisaties gebruikt, waaronder alle Amerikaanse federale agentschappen.
- Zero Trust policies weigeren standaard alles en staan alleen legitieme acties toe voor geautoriseerde gebruikers.
- AI/ML verbetert Zero Trust en creëert adaptieve, anti-fragiele systemen die sterker worden bij aanvallen.
- Dankzij automatisering kan Zero Trust aanvallers voorbijstreven met snellere reacties en realtime neutralisatie van bedreigingen.
Het oorsprongsverhaal van Zero Trust
Volgens Gartner heeft 63% van de organisaties een zero trust-strategie geïmplementeerd en toch is het nog steeds een relatief nieuw concept: 82% van de bedrijven heeft het in de afgelopen drie jaar geïmplementeerd.
Hoe zijn we hier gekomen?
Zero Trust ontstond toen John Kindervag firewalls installeerde en werd geconfronteerd met een kunstmatig vertrouwensmodel waarbij alles binnen de firewall werd vertrouwd, maar ook alles daarbuiten.
“Dit voelde dom,” herinnert hij zich.
Ik begon te zeggen dat firewalls een vertrouwensniveau van nul zouden moeten hebben. Je zou elk pakket hetzelfde moeten behandelen.
Dit eenvoudige maar revolutionaire idee – dat geen enkel systeem, gebruiker of pakket inherent vertrouwd zou moeten zijn – werd de basis van Zero Trust.
Toen Kindervag in 2008 bij onderzoeksgroep Forrester kwam, deed hij twee jaar lang primair onderzoek en begon hij met het bouwen van prototypes van Zero Trust-omgevingen.
Kindervag bleef zijn tijd bij Forrester gebruiken om zijn ideeën te verfijnen, onderzoek te doen en proof-of-concept omgevingen te creëren om de levensvatbaarheid van het Zero Trust-model aan te tonen.
Maar hij stuitte al snel op weerstand tegen verandering van onwillige professionals die niet wilden afstappen van traditionele beveiliging modellen.
Ik kan je niet vertellen hoe vaak ik te horen kreeg: ‘Zo hebben we het niet altijd gedaan’. En dan zei ik: ‘Nou, de manier waarop we het altijd hebben gedaan, werkt niet’.
Ironisch genoeg zou zijn volharding in het uitdagen van de status quo de weg vrijmaken voor het succes van Zero Trust. De eerste vijf jaar was Kindervag een van de weinigen die Zero Trust omgevingen ontwierp en overzag.
Hij mocht veel fouten maken, ervan leren en ze vervolgens documenteren om ervoor te zorgen dat anderen ze niet zouden herhalen.
Ik heb het concept van het aanvals oppervlak omgekeerd naar het beschermde oppervlak. Laten we ons niet richten op alle manieren waarop je kunt worden aangevallen – laten we ons richten op wat je moet beschermen.
Zijn volharding in het uitdagen van de status quo zou de weg vrijmaken voor succes. Elf jaar later vaardigde de president van de Verenigde Staten een uitvoerend bevel uit dat Zero Trust verplicht stelde voor federale agentschappen.
De mythes rond Zero Trust uit de wereld helpen
Sommige professionals namen Kindervag’s creatie en lieten Zero Trust opzettelijk ingewikkeld lijken om slimmer over te komen. Volgens Kindervag schrikt dat organisaties alleen maar af om het framework te adopteren.
Kindervag gelooft dat Zero Trust simpelweg het achterhaalde begrip ‘vertrouwen’ volledig uit digitale systemen verwijdert: Als menselijke emotie heeft het geen plaats in cyberbeveiliging en systemen moeten werken vanuit de aanname dat geen enkele entiteit of verbinding inherent veilig is.
Hij suggereert op humoristische wijze het gebruik van een “vertrouwens-pot” waarin mensen geld storten elke keer dat ze positief verwijzen naar vertrouwen in de context van digitale systemen, waarmee de noodzaak om het concept van vertrouwen in cyberbeveiliging uit te bannen verder wordt benadrukt.
Hij voegt eraan toe dat Zero Trust niet gaat over het vertrouwd maken van systemen en dat het niet als product kan worden “gekocht”. Leveranciers kunnen beweren dat ze Zero Trust-oplossingen verkopen, maar de realiteit is dat Zero Trust wordt geïmplementeerd door middel van strategie, beleid op maat en de juiste technologieën – niet door een enkele aankoop.
Of, bondig gezegd:
“Zero Trust kun je niet kopen – je doet het.”
Kindervag wijst er ook op dat Zero Trust niet gaat over het voorkomen dat aanvallers het proberen. Het gaat erom ervoor te zorgen dat hun pogingen geen effect hebben door de toegang streng te controleren en kwetsbaarheden te verminderen.
“Zero Trust stopt aanvallen niet – het maakt ze onsuccesvol.”
In tegenstelling tot wat vaak wordt gedacht, benadrukt Kindervag dat het implementeren van Zero Trust niet ingewikkeld is en kan worden onderverdeeld in een eenvoudig 5-stappenplan.
Zero Trust 5-stappenplan, door John Kindervag
Stap 1: Definieer het te beschermen oppervlak
De eerste stap voor elk bedrijf dat begint met Zero Trust is het verkleinen van het aanvals oppervlak tot iets kleins en beheersbare. Identificeer bijvoorbeeld de kritieke elementen die u moet beschermen, zoals gegevens, toepassingen, activa of services.
In tegenstelling tot traditionele benaderingen die zich richten op het enorme aanval oppervlak, concentreert Zero Trust zich op specifieke items van hoge waarde.
Door de focus te vernauwen, kunnen organisaties hun middelen en inspanningen prioriteren op wat echt belangrijk is, waardoor het proces beheersbaar en effectief wordt.
Stap 2: Breng de transactiestromen in kaart
Je kunt niet beschermen wat je niet begrijpt. Het in kaart brengen van de transactiestromen laat zien hoe het systeem werkt. Deze stap laat zien hoe gegevens over uw netwerk bewegen en hoe gebruikers en systemen interageren met het beschermde oppervlak. Het identificeert afhankelijkheden en operationele workflows.
Inzicht in deze stromen zorgt ervoor dat het beveiligingsbeleid is ontworpen om legitieme transacties te ondersteunen en schadelijke transacties te blokkeren. Het legt ook de basis voor microsegmentatie.
Stap 3: Ontwerp een Zero Trust-omgeving
Deze stap bouwt de architectuur rond het beschermde oppervlak en de transactiestromen. Het omvat tools zoals microsegmentatie en technologieën die zijn afgestemd op de behoeften van de organisatie.
In plaats van systemen achteraf in een generieke architectuur te passen, zorgt deze stap ervoor dat de omgeving wordt aangepast, waardoor risico’s worden geminimaliseerd en de effectiviteit wordt gemaximaliseerd.
Stap 4: Zero Trust beleid creëren
Zero Trust is gebaseerd op granulaire toestemmingsregels – standaard alles weigeren en alleen specifieke toegang toestaan. Beleidsregels moeten worden geschreven om de toegang strak te controleren, zodat alleen de juiste gebruikers op het juiste moment toegang hebben tot de juiste bronnen.
Uiteindelijk vervangt u traditionele “alles toestaan” beleidsregels die vatbaar zijn voor misbruik door precieze, voorschrijvende regels die kwetsbaarheden verminderen.
Stap 5: Bewaken en onderhouden
Zero Trust is geen eenmalig project – “het is een continu proces van bewaking en verbetering”. Deze stap verandert Zero Trust in een anti-fragiel systeem dat sterker wordt naarmate het gebruikt wordt en zich aanpast aan veranderende bedreigingen en organisatorische veranderingen.
Beveiligings winst met microsegmentatie
Zero Trust omgevingen kunnen aanvals oppervlakken verkleinen. Zelfs als er een aanval plaatsvindt, minimaliseert Zero Trust de schade en verkleint het de kans op significante inbreuken.
Organisaties die zich richten op het definiëren van aanval oppervlakken en het creëren van microsegmentatie hebben tastbare resultaten gezien: minder aanval oppervlakken, minder schade door inbreuken en betere beveiliging resultaten.
Tijdens een ransomware-aanval kan Zero Trust bijvoorbeeld de communicatie met commando- en controleservers blokkeren, waardoor de dreiging effectief wordt geneutraliseerd.
“Zelfs als malware in een Zero Trust omgeving terechtkomt, is deze onder controle. Microsegmentatie beperkt de ontploffing radius, waardoor aanvallers zich niet lateraal binnen het netwerk kunnen bewegen.”
Kijkend naar de toekomst gelooft Kindervag dat kunstmatige intelligentie (AI) en machine learning (ML) de manier zullen veranderen waarop organisaties Zero Trust-omgevingen bewaken en onderhouden, waardoor realtime inzichten en snellere, nauwkeurigere reacties op bedreigingen mogelijk worden.
AI en ML kunnen alle telemetriegegevens van een Zero Trust-omgeving opnemen en opnieuw in het systeem injecteren om elke stap in de loop van de tijd organisch te verbeteren. Dit creëert een feedbackloop waarbij Zero Trust-omgevingen voortdurend evolueren en zich aanpassen op basis van echte activiteiten en bedreigingen.
“Zero Trust, gecombineerd met AI en ML, wordt een anti-fragiel systeem – het wordt sterker onder aanvallen.”
Kindervag leent het concept van anti-fragiliteit van Nassim Nicholas Taleb en legt uit dat Zero Trust-omgevingen zullen verbeteren naarmate ze worden blootgesteld aan stress (zoals cyberaanvallen), waarbij ze leren van elke poging en veerkrachtiger worden.
“Denk aan het menselijk lichaam: als je traint, belast je je spieren, maar in plaats van ze af te breken, passen ze zich aan en worden ze sterker. “AI en ML zullen Zero Trust-systemen helpen hetzelfde antifragile effect te bereiken in cyberbeveiliging.”
Deze analogie benadrukt hoe AI/ML Zero Trust-omgevingen dynamischer en zelfverbeterend kunnen maken in plaats van statisch en reactief.
Automatisering zal aanvallers voorbijstreven
Wat als alleen een machine een andere machine kan verslaan? Dat idee van Alan Turing inspireert Kindervag omdat we automatisering en AI kunnen gebruiken om aanvallers voor te zijn.
Terwijl aanvallers steeds geavanceerder worden, hebben verdedigers een kans om AI/ML in hun voordeel te gebruiken, door reacties op bedreigingen te automatiseren op manieren die aanvallers niet zo effectief kunnen pareren.
Mensen maken zich zorgen dat aanvallers AI zullen gebruiken om geavanceerdere aanvallen te creëren. Maar Kindervag ziet AI/ML als een “krachtvermeerderaar” voor Zero Trust, waarmee verdedigers enorme hoeveelheden gegevens kunnen verwerken, patronen kunnen detecteren en bedreigingen sneller kunnen identificeren dan menselijke analisten ooit zouden kunnen.
“Hackers hebben geen wijzigingsbeheer. Ze hoeven geen toestemming te krijgen om het opnieuw te proberen. “AI en ML stellen ons in staat om met dezelfde snelheid en wendbaarheid te opereren als onze tegenstanders.”
“We kunnen gegevens en bedreigingen ontleden op een schaal en met een snelheid die aanvallers zich niet kunnen voorstellen.” “Zo veranderen we het spel.”
Conclusie
Zero Trust is geen product. Het is een strategie. Het is niet zo ingewikkeld als je zou denken, en door klein te beginnen, iteratief te zijn en gebruik te maken van technologieën zoals AI/ML, kunnen beveiligingsteams een omgeving creëren die ervoor zorgt dat datalekken en andere aanvallen zonder succes blijven.
Techopedia lijkt het met Kindervag eens te zijn: Zero Trust blijft zijn belofte waarmaken om cyberbeveiliging te transformeren in een proactief, veerkrachtig en anti-fragiel verdedigingssysteem dat sterker wordt onder aanvallen.
Referenties
- Gartner Survey Reveals 63% of Organizations Worldwide Have Implemented a Zero-Trust Strategy – (Gartner)
- Zero Trust Adoption Report – (Microsoft Security)
