Nu iedereen thuis werkt door de coronacrisis, zouden alle bedrijven het principe van ‘zero trust’ moeten toepassen

Bedrijven moeten hun werk­ne­mers door de uitbraak van het coro­na­virus plots massaal van thuis laten werken. Hierdoor lopen ook de infra­struc­tuur en data van een orga­ni­satie een verhoogd risico op online virussen. Intussen is wel duidelijk dat onze tradi­ti­o­nele bevei­li­gings­me­cha­nismen, hoe goed ze ook geïm­ple­men­teerd zijn, niet volstaan om een onder­ne­ming optimaal te beschermen. Ooit geraakt iemand er via een achter­poortje toch doorheen. Daarom zouden bedrijven best het principe van zero trust toepassen: niemand vertrouwen en mensen enkel toegang geven tot zaken waar ze de rechten voor hebben.

Zero trust is al enkele jaren een bekende term in cyber­se­cu­rity, maar veel bedrijven passen het concept nog niet toe. Toch lijkt dit in de toekomst de enige manier om echt zeker te zijn dat je bedrijfs­in­for­matie voldoende beschermd is. Er bestaat jammer genoeg geen oplossing die je 100% zekerheid biedt, maar met zero trust heb je alles gedaan wat mogelijk is.

Wat is zero trust dan precies? Eerst en vooral is het belang­rijk te beseffen dat zero trust geen product is dat je kant-en-klaar kunt kopen. Het is een
principe dat in alle lagen van je orga­ni­satie aanwezig moet zijn. Enkel gebrui­kers die je vertrouwt, krijgen toegang tot infor­matie. Het vertrouwen in die gebrui­kers moet ook telkens weer bevestigd worden wanneer ze om toegang vragen. Zonder iden­ti­fi­catie van wie je bent en wat je komt doen, geraak je dus nooit binnen.

Zero trust geldt bovendien voor iedereen: zowel externe als interne gebrui­kers. De mens is immers altijd de zwakste schakel in de keten. Zo ontstaan de meeste data breaches in orga­ni­sa­ties via een enkele persoon. De meer­der­heid van de besmet­tingen komt domweg via een e‑mail binnen en infec­teert na een tijdje het volledige systeem. Zeker nu werk­ne­mers door de impact van het coro­na­virus plots massaal thuis werken, moeten bedrijven hun infra­struc­tuur en data nog beter bevei­ligen. Helaas zal de komende weken ook het aantal online virussen sterk toenemen, omdat niet elke orga­ni­satie hier klaar voor is.

Niemand vertrouwen

Wanneer we hier even over nadenken, lijkt het eigenlijk niet meer dan logisch dat bedrijven zo’n streng principe zouden hanteren. Thuis doen we onze deur toch ook enkel open voor mensen die we kennen en vertrouwen? Pas wanneer die bezoeker concreet uitlegt wat hij of zij komt doen, geef je toegang tot je huis. Als je iedere onbekende persoon zomaar in je woonkamer zou loslaten, hoeft het niet te verbazen dat er uitein­de­lijk dingen zouden verdwijnen. Toch hebben we in IT altijd het omge­keerde gedaan: eerst iedereen binnen laten en eventuele problemen nadien oplossen.

Natuur­lijk klinkt het idee van zero trust niet echt nieuw, maar de meeste bedrijven werken nog steeds op de klassieke manier. Ze hebben voor ieder domein een apart beleid: eentje voor intern werk, eentje voor de externe website, voor commu­ni­catie met partners, etc. Bij het toepassen van zero trust zouden de regels overal hetzelfde zijn. Niemand wordt zomaar vertrouwd, waardoor bedrijven verplicht zijn om te reflec­teren over wie ze toegang tot bepaalde gegevens verschaffen. Hoe ze dat precies moeten doen, is in ieder bedrijf verschil­lend. Zo zit een indu­strieel bedrijf uiteraard anders in elkaar dan een bank.

Imple­men­tatie van zero trust is bijgevolg niet altijd even eenvoudig. De meeste bedrijven zijn organisch gegroeid en zitten in situaties die veel werk vragen om alle systemen te harmo­ni­seren. Eerst moeten ze hun policy herschrijven en vervol­gens moet dat nieuwe beleid overal in het bedrijf worden uitgerold. Tijd- en geld­ge­brek zijn de redenen waarom een groot deel van die uitrolprogramma’s nooit wordt gerealiseerd.

Zero trust-certificaat

Hoewel het dus begrij­pe­lijk is dat veel bedrijven zero trust nog niet toepassen, moeten we wel beseffen dat het in de toekomst eerder de norm dan de uitzon­de­ring zal worden. Wie zero trust correct imple­men­teert, is bovendien goed op weg om in over­een­stem­ming te zijn met de GDPR-regels. Natuur­lijk gaat GDPR nog verder dan zero trust, maar voor bedrijven zou het alvast een grote stap betekenen.

In het kader hiervan, en gewoon omdat security steeds belang­rijker wordt, kunnen we ervoor pleiten om een soort ‘zero trust’-label in te voeren. Een certi­fi­caat dat alleen wordt toegekend aan bedrijven die al het mogelijke hebben gedaan om hun bevei­li­ging te opti­ma­li­seren. Om die beoor­de­ling mogelijk te maken, moeten we een checklist opstellen met alles wat bedrijven moeten doen om zero trust te implementeren.

Zo’n certi­fi­caat kan een bedrijf ook een extra duwtje in de rug geven om zero trust in te voeren. Veel orga­ni­sa­ties denken immers nog altijd onterecht dat hen toch niets kan overkomen. Security vraagt vaak veel inspan­ningen en finan­ciële inves­te­ringen, maar dat stelt allemaal heel weinig voor als je kijkt naar de kosten die slacht­of­fers van malware moeten ophoesten. Zero trust zal op lange termijn echt elke eurocent waard blijken. En wie het vandaag al toepast, zal de komende weken en maanden tijdens de corona­crisis toch iets beter slapen.