Zero Trust is een strategie die ervan uitgaat dat je niets en niemand automatisch vertrouwt, en dat elke toegang continu opnieuw wordt geverifieerd. In de maakindustrie klinkt dit logisch als je kijkt naar cyberweerbaarheid. Tegelijkertijd is de praktijk vaak anders: productieomgevingen (OT) en IT-systemen zijn traditioneel ingericht op vertrouwen. Machines, productielijnen en interne netwerken communiceren meestal zonder extra controle met elkaar.
Tegelijkertijd raken IT en OT steeds sterker met elkaar verbonden. De koppeling tussen kantoorautomatisering, ERP-systemen en productieomgevingen vergroot de efficiëntie en flexibiliteit van organisaties, maar vergroot ook het aanvalsoppervlak. Een kwetsbaarheid in een IT-systeem kan daardoor direct impact hebben op de productieomgeving.
Deze combinatie van impliciet vertrouwen en toenemende verbondenheid maakt productiebedrijven extra kwetsbaar. Aanvallers zijn zich hiervan bewust en richten zich steeds vaker op het misbruiken van toegang tot bijvoorbeeld industriële besturingssystemen, leveranciersverbindingen of onderhoudstoegang op afstand. Denk aan situaties waarin één systeem met een beveiligingslek toegang geeft tot een hele productielijn. Daarom wordt Zero Trust in de maakindustrie steeds breder toegepast. Door elke gebruiker, machine en applicatie continu te verifiëren en toegang strikt te beperken tot wat echt nodig is, verklein je de kans dat een cyberincident een complete productielijn stillegt.
Binnen Zero Trust bepaal je nauwkeurig wie, wanneer en op welke manier toegang krijgt. Je kunt bijvoorbeeld instellen dat toegang tot (gevoelige) informatie alleen mogelijk is als aan bepaalde voorwaarden wordt voldaan, zoals een up-to-date besturingssysteem, inloggen met tweefactorauthenticatie of toegang uitsluitend vanaf specifieke locaties en apparaten. Ook kan het type toegang variëren; zo kun je op kantoor andere rechten hebben dan wanneer je thuis werkt. Belangrijk om te weten is dat Zero Trust een strategie is en geen product of dienst. Leveranciers die hun oplossingen als Zero Trust bestempelen, kunnen wel ondersteunen bij het inrichten van toegangsbeheer dat aansluit op deze strategie.
Wat maakt Zero Trust noodzakelijk?
Bedrijven digitaliseren steeds meer processen, waardoor ze ook afhankelijker worden van IT-systemen. De traditionele manier van het inrichten van deze systemen brengt daardoor steeds meer risico’s met zich mee. Dat komt doordat we IT anders zijn gaan gebruiken en doordat cyberdreigingen toenemen en aanvallen steeds geavanceerder worden.
In productieomgevingen speelt bovendien meer dan alleen databeveiliging. In OT draait het niet alleen om informatie, maar ook om fysieke veiligheid en continuïteit. Een cyberincident kan hier niet alleen leiden tot dataverlies, maar ook tot veiligheidsrisico’s voor medewerkers, kwaliteitsproblemen in producten of stilstand van machines en productielijnen. Juist deze combinatie maakt een andere benadering van beveiliging noodzakelijk.
De veranderde werkomgeving
De computers, servers met bedrijfsdata en andere randapparatuur van een bedrijf bevonden zich jarenlang op één locatie, meestal op kantoor. Ook het gebruik van deze systemen vond voornamelijk op diezelfde plek plaats. Traditioneel werd een bedrijfsnetwerk zo ingericht dat het vertrouwde kantoornetwerk werd beschermd tegen de risico’s van het niet-vertrouwde internet. Die bescherming blijft belangrijk, maar zodra een aanvaller eenmaal toegang krijgt tot het interne netwerk, heeft hij daar vaak veel bewegingsvrijheid. Tegenwoordig is het zogenoemde hybride werken voor veel organisaties de norm geworden. Steeds meer software en daarmee ook bedrijfsdata verplaatsen zich naar de Cloud. Daardoor verschuift wat we traditioneel als ‘vertrouwd’ beschouwden steeds meer naar een omgeving die van buitenaf benaderd wordt en dus minder vanzelfsprekend veilig is.
Een toename van geavanceerde cyberaanvallen.
Cyberincidenten komen steeds vaker in het nieuws, waarbij ransomware-aanvallen bij grote en bekende organisaties veel voorkomen. Tegelijkertijd ontwikkelen phishingtechnieken zich snel en worden ook kwetsbaarheden in software steeds vaker en sneller misbruikt. Hierdoor slagen aanvallers erin om toegang te krijgen tot een systeem binnen een organisatie en zich daarna onopgemerkt verder door het netwerk te verplaatsen, waardoor een aanvaller zich van een kantoorwerkplek naar productie- of besturingssystemen kan verplaatsen. In traditionele, vertrouwde netwerken is dit vaak relatief eenvoudig uit te voeren.
Hoe kun je Zero Trust toepassen?
Zero Trust bestaat uit een aantal principes die je meeneemt bij het (her)inrichten van elke IT-omgeving.
- Denk vanuit een mogelijke inbraak (Assume Breach)
Dit principe gaat ervan uit dat een incident altijd kan plaatsvinden. Je denkt dus al vooruit in het slechtste scenario: dat bedrijfsdata worden ingezien, gestolen, aangepast of vernietigd door een onbevoegde partij. Hierdoor ligt de nadruk sterk op monitoring en automatisering. Op die manier kun je afwijkend gedrag snel detecteren en automatisch ingrijpen om schade te beperken. Denk bijvoorbeeld aan het direct blokkeren van een gebruikersaccount wanneer er wordt ingelogd vanaf een onbekende of verdachte locatie. - Verifieer bij elke toegang (Verify Explicitly)
Bij elke toegang wordt opnieuw gecontroleerd wie iemand is en of diegene daadwerkelijk recht heeft op toegang. Dit geldt zowel voor gebruikers als voor applicaties. Elke keer dat toegang wordt gevraagd, vinden er controles plaats op identiteit, authenticatie en autorisatie. Zo voorkom je dat toegang wordt verleend op basis van eerdere verificaties, zoals het ooit hebben ingelogd op het kantoornetwerk. Om dit goed toe te passen is het belangrijk dat elke gebruiker één unieke identiteit heeft binnen de organisatie. In plaats van verschillende accounts per applicatie werk je met één centrale identiteit voor alle systemen. Daarbij wordt sterke authenticatie afgedwongen, bijvoorbeeld met tweefactorauthenticatie. - Beperk rechten tot het noodzakelijke (Implement Least Privilege)
Gebruikers en applicaties hebben vaak standaard meer rechten dan strikt noodzakelijk is. Binnen dit principe worden toegangsrechten daarom beperkt tot wat nodig is om de werkzaamheden uit te voeren. Dit wordt ook wel ‘least privilege’ genoemd. Daarbij kijk je niet alleen naar welke toegang nodig is, maar ook naar wanneer die toegang nodig is, zodat rechten zo beperkt en tijdelijk mogelijk blijven.
Hoe bereid je je voor op Zero Trust?
Zero Trust is een strategie waar je stap voor stap naartoe werkt. Een belangrijke voorwaarde daarbij is dat deze visie organisatiebreed wordt gedragen, met name door het bestuur of het managementteam. Uiteindelijk draait Zero Trust om het beschermen van de meest kritieke bedrijfsinformatie, ook wel de ‘kroonjuwelen’ genoemd. Om die goed te kunnen beschermen, is het essentieel om de informatiestromen binnen de organisatie in kaart te brengen. Tijdens de implementatie kun je namelijk nog onbekende datastromen tegenkomen, waardoor het belangrijk is om flexibel te kunnen inspelen op veranderingen en verstoringen van bedrijfsprocessen te voorkomen.
Het is verstandig om klein te beginnen en stapsgewijs op te bouwen. Zero Trust vraagt om een andere manier van denken, en in bestaande omgevingen kun je tegen uitdagingen aanlopen, zoals verouderde (legacy-)systemen. Een goed startpunt is het beperken van toegang tussen bestaande netwerksegmenten, waar vaak nog te veel permissies zijn ingesteld.
Wanneer je bijvoorbeeld bezig bent met een migratie naar de cloud of de implementatie van nieuwe (cloud)oplossingen, is dat een ideaal moment om Zero Trust direct mee te nemen in het ontwerp. Tot slot is het belangrijk om samen te werken met IT-partners die deze strategie begrijpen en actief ondersteunen.
bron: ncsc.nl
fotocredits: istock/nikom1234