Zero Trust zonder buzzwoorden: een pragmatische kijk op digitale veiligheid

Digitale veiligheid gaat allang niet meer alleen over een sterke firewall of een goed wachtwoordenbeleid. Je werkt met je organisatie steeds vaker hybride, data staan op meerdere plekken en medewerkers hebben overal en op het juiste moment toegang nodig tot systemen, applicaties en informatie. Juist daardoor is de vraag niet meer óf je digitale risico’s kunt uitsluiten, maar hoe je er verstandig mee omgaat. Daar komt het principe van assume breach om de hoek kijken: niet vanuit wantrouwen naar medewerkers, maar vanuit het realistische besef dat een incident altijd mogelijk is. De kunst is dan om beveiliging zo in te richten dat je risico’s beperkt, afwijkend gedrag snel herkent en schade zoveel mogelijk voorkomt. Dat vraagt om een pragmatische aanpak: kijken waar de grootste risico’s zitten, welke toegangen echt kritisch zijn en hoe je beveiliging versterkt zonder de wendbaarheid van de organisatie te verliezen.

In deze blog kijken we met onze specialist Jeroen Voogd, Business Advisor Cybersecurity, daarom niet naar Zero Trust als modewoord maar naar de praktische invulling ervan. Wat betekent het nou écht voor organisaties? Waar begin je? En hoe zorg je dat veiligheid én werkbaarheid hand in hand blijven gaan?

Als letterlijke vertaling betekent Zero Trust ‘nul vertrouwen’. Dat lijkt op het eerste gezicht tegenstrijdig, omdat vertrouwen in medewerkers juist een groot goed is. Maar de gedachte achter Zero Trust is dat moderne ICT-omgevingen zo complex zijn geworden en een dusdanig groot aanvalsoppervlak kennen, dat traditionele beveiligingsmaatregelen niet langer afdoende zijn.

Veel organisaties herinneren zich nog de tijd waarin op kantoor geen multifactor-authenticatie nodig was en men kon volstaan met antivirussoftware op endpoints en een firewall om dreigingen van buitenaf tegen te houden. Het kantoor was in die tijd te vergelijken met een fort: dikke muren en een brede gracht als bescherming, een goed bewaakte poort voor authenticatie, maar eenmaal binnen kon een gebruiker relatief vrij zijn gang gaan.

Tegenwoordig is het IT-landschap fundamenteel veranderd. Organisaties maken gebruik van een combinatie van on-premises omgevingen, cloudoplossingen en SaaS-diensten. Daarnaast is er een diversiteit aan endpoints in gebruik, waarbij zakelijk- en privégebruik steeds vaker door elkaar heen lopen (denk alleen maar eens aan zakelijke e-mail op privételefoons). Hierdoor is het aanvalsoppervlak aanzienlijk veranderd én groter geworden.

Een ontwikkeling die vraagt om een andere benadering van security. Toegang moet telkens opnieuw worden gecontroleerd op basis van (in ieder geval): identiteit, locatie, tijdstip, endpoint en de beveiligingsstatus van dat endpoint. Daarnaast is het belangrijker dan ooit inzicht te hebben in alle applicaties die gebruikt worden en beleid te hebben rondom het gebruik van privé-apparatuur.

Het principe van Assume Breach sluit daarop aan. Dit houdt in dat organisaties continu monitoren op afwijkingen, zodat mogelijke incidenten en cyberdreigingen snel kunnen worden gedetecteerd en ernstige incidenten kunnen worden voorkomen.

Het is geen vorm van doemdenken, maar juist een realistische benadering van cybersecurity. Gezien het huidige dreigingslandschap en het steeds grotere aanvalsoppervlak is het verstandig om ervan uit te gaan dat er binnen een IT-omgeving altijd activiteiten kunnen plaatsvinden die ongewenst of afwijkend zijn. Dat betekent niet dat je als organisatie uitgaat van het ergste, maar dat je voorbereid wilt zijn en grip wilt houden op mogelijke risico’s.

Door continu te monitoren kunnen afwijkingen sneller worden gedetecteerd en kan op tijd de juiste actie worden ondernomen. Assume Breach helpt organisaties om voortdurend zicht te houden op de volledige keten: netwerk, identiteiten, e-mail, applicaties, cloudomgevingen en endpoints, zoals servers en werkplekken. Daarbij ontstaat ook beter zicht op minder zichtbare risico’s, zoals shadow IT en shadow AI. Juist daardoor is Assume Breach geen pessimistische gedachte, maar een praktische manier om weerbaar, alert en controleerbaar te blijven.

Het grootste digitale risico verschilt per organisatie. Juist daarom begint effectieve cybersecurity met inzicht: welke risico’s zijn er, welke maatregelen zijn passend en welke risico’s accepteer je bewust? Pas als dat helder is, kun je gericht sturen op weerbaarheid. Medewerkers vormen een cruciale schakel in de securityketen. Ze worden vaak de zwakste schakel genoemd, en niet zonder reden: veel incidenten hebben een menselijk component. Tegelijkertijd ligt daar juist een grote kans. Door het securitybewustzijn van medewerkers te vergroten, verander je een kwetsbaarheid in een extra verdedigingslaag.

Zero Trust stopt namelijk niet bij technologie. Ook medewerkers moeten leren om niet automatisch te vertrouwen op wat veilig lijkt. Komt een e-mail door alle beveiligingslagen heen en lijkt de afzender betrouwbaar, maar voelt de boodschap vreemd? Dan wil je dat iemand bewust een extra controle uitvoert. Precies daar wordt Zero Trust concreet: niet blind vertrouwen, maar alert blijven en verifiëren wanneer iets niet klopt.

Identiteiten vormen de nieuwe perimeter. In een modern IT-landschap zijn zij een van de belangrijkste schakels in de beveiligingsketen en moeten ze continu worden beschermd en bewaakt. Dat geldt niet alleen voor identiteit zelf, maar ook voor de bredere keten van e-mail, cloudomgevingen, applicaties, endpoints en netwerkcomponenten. En natuurlijk is het belangrijker dan ooit dat je zorgt dat medewerkers alleen toegang hebben tot data en applicaties die zij strikt nodig hebben. Dat kan niet genoeg benadrukt worden.

Als jouw organisatie wil starten met werken vanuit het Zero Trust-principe: waar begin je dan als eerste? Wat zijn logische eerste stappen voor organisaties die wel veiliger willen worden, maar niet alles in één keer kunnen aanpakken? Hoe ziet zo’n groeipad er realistisch uit?

Het startpunt zou, ongeacht je organisatie, een risicoanalyse of nulmeting moeten zijn. Pas wanneer duidelijk is hoe je huidige situatie eruitziet, kun je een gedegen plan maken om toe te werken naar de gewenste situatie. Bovendien ontstaat daarmee de basis om bewuste keuzes te maken: welke maatregelen worden direct opgepakt, welke kunnen worden uitgesteld en welke risico’s worden eventueel bewust geaccepteerd. De grootste valkuil van een pragmatische aanpak is dat organisaties te snel in de uitvoering schieten, zonder eerst een duidelijk plan te maken. Dat is dus écht stap één!

De digitale basishygiëne: is deze op orde en zijn er aanpassingen nodig? Dat is het eerste waar onze specialisten naar kijken. Vervolgens kan een nulmeting of risicoanalyse worden uitgevoerd om scherper inzicht te krijgen in de huidige situatie. Omdat wij het belangrijk vinden om de cyberweerbaarheid van klanten te vergroten, is vulnerability management een vast onderdeel van onze dienstverlening. Daarmee maken we kwetsbaarheden inzichtelijk en geven we praktische handvatten om deze te verhelpen of te mitigeren. Daarnaast sturen we op een zo hoog mogelijke Secure Score, met adviezen om Attack Surface Reduction te borgen, en op een zo laag mogelijke Exposure Score. Continu inzicht in de actuele status is hierbij cruciaal.

Door goed naar de risico’s te kijken en vanuit dat inzicht te werken, zorgen we ervoor dat securitymaatregelen aansluiten op de manier waarop een organisatie daadwerkelijk functioneert. De basis is vaak generiek, maar het klantspecifieke deel zit juist in de specifieke risico’s, processen en werkwijze van jouw organisatie. Daarom zijn het inzicht in de IT-omgeving, de processen én de manier van werken van cruciaal belang. Daarnaast moet ook nadrukkelijk worden gekeken naar het aanwezige beleid. Is er bijvoorbeeld een actueel informatiebeveiligingsbeleid? Zijn er duidelijke afspraken over het gebruik van privéapparatuur? En minstens zo belangrijk: sluiten deze beleidsdocumenten nog aan op de huidige praktijk en risico’s?

Het uitgangspunt; altijd een goede balans tussen veiligheid en werkbaarheid. Beveiligingsmaatregelen wil je zo inrichten dat ze effectief zijn, maar de organisatie niet onnodig belemmeren.