Zero trust-beveiliging: waar begint het mkb?

Zero trust is geen product dat u installeert, maar een andere basisaanname voor uw beveiliging. Traditionele IT-beveiliging trok een grens om het kantoornetwerk: wie binnen die grens kwam, kreeg min of meer vertrouwen; wie daarbuiten was, niet. Zero trust laat die aanname helemaal los. Elk toegangsverzoek, of het nu vanuit het pand komt of vanaf een laptop bij een klant, wordt op zijn eigen merites gecontroleerd, elke keer opnieuw, op basis van wie er vraagt, vanaf welk apparaat en onder welke omstandigheden.

Voor een Nederlands mkb-bedrijf is dat belangrijker dan vroeger. Medewerkers werken thuis, bij klanten op locatie en lezen tussen twee afspraken door e-mail op hun eigen telefoon. Het model "binnen het kantoor is vertrouwd" sloot al jaren niet meer aan op hoe er werkelijk wordt gewerkt, maar veel zero trust-beveiliging ontbreekt nog in hoe mkb-bedrijven hun beveiliging in de praktijk inrichten.

Deze gids legt uit wat zero trust-beveiliging in de praktijk betekent, op welke drie principes het is gebouwd, wat een klein bedrijf daar realistisch mee kan zonder de hele infrastructuur te vervangen, en waar u het beste kunt beginnen.

Van perimeterbeveiliging naar zero trust

Het traditionele model beperkt toegang tot een zakelijke netwerkverbinding: eenmaal binnen, via kabel, kantoor-wifi of VPN, wordt u vanaf dat moment grotendeels vertrouwd. Die aanpak gaat uit van een duidelijke grens tussen "binnen" en "buiten", en van het idee dat alles binnen die grens veilig is. Cloud-diensten, thuiswerken en privételefoons die zakelijke e-mail lezen hebben die grens betekenisloos gemaakt: het grootste deel van wat een mkb-bedrijf werkelijk gebruikt, zoals Microsoft 365, cloudboekhoudsoftware of een CRM-systeem, staat buiten elke netwerkgrens die u rond een kantoor zou kunnen trekken.

Zero trust vervangt die ene grens door doorlopende verificatie: elk toegangsverzoek wordt afzonderlijk geauthenticeerd en geautoriseerd, als kwam het van een onbeveiligd netwerk, ongeacht of de verbinding van binnen of buiten het pand komt.

De drie principes waarop zero trust is gebouwd

Zero trust is geen boodschappenlijst met producten, maar is opgebouwd rond drie principes die evenveel gelden voor identiteit, apparaten en data:

• Expliciet verifiëren. Elk toegangsverzoek wordt geauthenticeerd en geautoriseerd op basis van alles wat u daadwerkelijk kunt controleren: wie de gebruiker is, op welk apparaat die werkt, van waar de verbinding komt en of er iets afwijkends is aan het verzoek. Niet alleen een correct wachtwoord, eenmalig bij het inloggen.
• Toegang met de minste rechten. Mensen en systemen krijgen alleen de toegang die ze nodig hebben voor de taak die voorligt, niet vaste toegang tot alles "voor het geval dat". Het account van een marketingmedewerker hoort niet bij de database van het financiële systeem te kunnen, ook al heeft nog niemand die toegang ooit misbruikt.
• Uitgaan van een inbraak. Ontwerp uw omgeving alsof een aanvaller al ergens binnen is, en beperk hoe ver die kan komen als dat zo is. Dat betekent toegang segmenteren, zodat het overnemen van één account of apparaat niet meteen alles blootlegt, data versleutelen zodat een gestolen laptop geen gestolen klantenlijst wordt, en back-ups bewaren op een plek die onafhankelijk genoeg is dat een aanvaller die binnenkomt die back-ups niet gewoon ook kan wissen.

Geen van deze drie is één instelling die u aanzet. Het zijn richtingen waarin u uw bestaande systemen stap voor stap beweegt.

Hoe dit eruitziet met de tools die u waarschijnlijk al hebt

De meeste Nederlandse mkb-bedrijven draaien al op Microsoft 365, waardoor het meeste voorbereidende werk voor zero trust al in een licentie zit waarvoor u al betaalt, en niet in een nieuw platform dat u moet aanschaffen.

Conditional Access in Microsoft Entra is het onderdeel dat de handhaving daadwerkelijk doet. Het werkt met als-dan-regels: als iemand wil inloggen op een bedrijfsbron, dan moet aan specifieke voorwaarden worden voldaan voordat toegang wordt verleend, zoals een beheerd en compliant apparaat, een geslaagde multifactorauthenticatie of een aanmelding vanaf een verwachte locatie in plaats van een locatie die als risicovol is gemarkeerd. Het brengt signalen samen over de gebruiker, het apparaat, de applicatie en de aanmelding zelf, en besluit in realtime of toegang wordt verleend, een extra verificatiestap wordt gevraagd of toegang wordt geblokkeerd. Dat is een directe, praktische invulling van "expliciet verifiëren": niemand komt binnen op alleen een wachtwoord, en de lat voor toegang past zich automatisch aan op basis van hoe risicovol een bepaald verzoek aanvoelt, niet op basis van de vraag of de verbinding toevallig van binnen het kantoor komt.

Conditional Access-beleid is beschikbaar vanaf Microsoft Entra ID P1, dat ook is opgenomen in Microsoft 365 Business Premium, een licentie die veel Nederlandse mkb-bedrijven al om andere redenen hebben. Is dat bij u het geval, dan ligt de beleidsengine voor het grootste deel van "expliciet verifiëren" mogelijk al ongebruikt in uw tenant.

Toegang met de minste rechten is minder een kwestie van een specifiek product en meer van discipline: nagaan wie werkelijk beheerrechten heeft (meestal veel meer mensen dan nodig is), een dagelijks account scheiden van een bevoorrecht beheeraccount, en verhoogde toegang alleen verlenen voor de duur van een specifieke taak in plaats van permanent. Onze gids over MFA instellen in Microsoft 365 behandelt de identiteitskant hiervan in meer operationeel detail.

Uitgaan van een inbraak vertaalt zich naar segmentatie van het netwerk, zodat één gecompromitteerde laptop niet de hele bestandsserver kan zien, versleutelde data in rust en tijdens verzending, en back-ups die echt los staan van de systemen die ze beschermen, zodat een aanvaller die in uw hoofdomgeving komt niet ook bij het middel kan dat herstel mogelijk maakt en dat kan wissen. Hebt u recent niet gecontroleerd of uw back-ups dat scenario werkelijk zouden doorstaan, dan is dat een urgenter gat dan de meeste zero trust-theorie.

Apparaatcompliance, of een laptop of telefoon aan uw beveiligingsbasis voldoet voordat die bij bedrijfsgegevens mag, is het signaal dat zero trust verbindt met apparaatbeheer. Onze gids over mobile device management laat zien hoe die inschrijving en dat beleid in de praktijk werken voor een gemengd park van zakelijke en privéapparaten.

Waar een klein bedrijf het beste kan beginnen

Alle drie de principes overal tegelijk uitrollen is precies hoe een zero trust-project vastloopt. Een realistischere volgorde:

• 1. Begin bij identiteit, niet bij het netwerk. Zet MFA aan waar dat nog niet is gebeurd, en beweeg richting Conditional Access-beleid in plaats van alleen op MFA te vertrouwen. Identiteit is de besturingslaag waarop de meeste andere zero trust-stappen voortbouwen.
• 2. Ruim vaste toegang op voordat u nieuwe controles toevoegt. Zoek accounts met beheerrechten die dagelijks niet worden gebruikt, en scheid bevoorrechte acties van regulier werk. Deze ene stap sluit meer echt risico af dan het meeste dat erna komt.
• 3. Betrek apparaten erbij. Eis dat apparaten zijn ingeschreven en aan een basisniveau voldoen (versleuteld, gepatcht, met endpoint-beveiliging) voordat ze bij zakelijke e-mail of bestanden mogen: het Conditional Access-signaal dat apparaatcompliance controleert.
• 4. Segmenteer waar het echt telt. U hoeft op dag één niet uw hele netwerk opnieuw te ontwerpen. Begin bij de systemen die de meeste schade zouden aanrichten als een gecompromitteerd account er ongecontroleerd bij kon, zoals financiën, klantgegevens en beheerconsoles, en isoleer die eerst.
• 5. Herzie uw back-ups met de aannames van een aanvaller in gedachten. Back-ups die op hetzelfde netwerk staan als al het andere, bereikbaar met dezelfde gecompromitteerde inloggegevens, beschermen u in de praktijk niet tegen het scenario waar zero trust vanuit gaat.

Elke stap is afzonderlijk al nuttig, ook als u na stap één stopt. Zero trust is een richting, geen eindpunt dat u wel of niet bereikt.

Wat zero trust niet is

Het is geen product met die naam op de doos. Elke leverancier die u "een zero trust-oplossing" als losse aankoop verkoopt, verkoopt een deel van het plaatje, meestal toevallig het deel dat zij zelf maken. Het is ook geen vervanging voor een firewall of VPN: beide kunnen nog steeds een rol spelen, alleen niet meer als de ene poort die bepaalt wie vertrouwd wordt. En het is nooit af: beleid moet worden herzien zodra medewerkers, apparaten en applicaties veranderen, net als bij elke vorm van toegangsbeheer.

Veelgestelde vragen

Wat is zero trust-beveiliging in gewone taal? Een beveiligingsaanpak die elk toegangsverzoek op zijn eigen merites controleert, namelijk wie er vraagt, vanaf welk apparaat en onder welke omstandigheden, in plaats van iemand of iets standaard te vertrouwen alleen omdat die zich binnen het kantoornetwerk bevindt of al eerder is ingelogd.

Is zero trust een product dat we moeten aanschaffen? Geen enkel product levert het op zichzelf. Het is een set principes, namelijk expliciet verifiëren, toegang met de minste rechten en uitgaan van een inbraak, die u toepast op tools die u vaak al hebt, meestal via Conditional Access in Microsoft Entra als uw bedrijf op Microsoft 365 draait.

Hebben we Conditional Access nodig als we al MFA gebruiken? MFA controleert identiteit op één moment, bij het inloggen. Conditional Access kan MFA verplichten en daarnaast doorlopend reageren op apparaatcompliance, locatie en aanmeldingsrisico, wat het volledigere principe van "expliciet verifiëren" is waarvan MFA alleen een deel afdekt.

Waar begint een klein bedrijf het beste met zero trust? Bij identiteit: MFA overal afdwingen en daarna naar Conditional Access bewegen. Ruim daarna onnodige vaste beheertoegang op, want dat is meestal het risico met de hoogste urgentie en vraagt geen nieuwe tools om op te lossen.

Vervangt zero trust onze firewall of VPN? Nee. Beide spelen nog steeds een rol binnen een zero trust-opzet. Wat verandert, is dat geen van beide meer wordt behandeld als de enige grens die bepaalt wie vertrouwd wordt zodra hij daarbinnen is.

Hulp bij de stap naar zero trust

Draait u al op Microsoft 365 maar gebruikt u Conditional Access nog niet, of weet u niet zeker hoeveel vaste beheertoegang zich stilletjes heeft opgestapeld in uw tenant? Ons team voor cybersecurity & identiteit brengt in kaart wat u hebt en bouwt een beleid dat past bij hoe uw bedrijf werkelijk werkt, geen generiek sjabloon. Combineer dit met IT-beheer & support zodra apparaatcompliance en doorlopend beheer van het beleid een eigenaar nodig hebben, en lees in onze gids over NIS2 voor het mkb hoe dit past in een bredere beveiligingsbasis.