Bewijs, geen beloftes.
Drie trajecten die laten zien hoe identity-first security er in de praktijk uitziet. Namen noemen we niet. Onze klanten hebben liever dat hun beveiliging niet in de krant staat.
Phishing-resistant MFA voor een internationale chemie-enterprise
Situatie
Vestigingen in meerdere landen en productielocaties die niet stil mogen staan. MFA was ingericht, maar op methoden die met een goede phishingpagina te omzeilen zijn. Een onderschepte sessie was genoeg om binnen te komen.
Wat we deden
Een authenticatiearchitectuur op basis van FIDO2: passkeys en hardware keys, met Conditional Access dat de methode afdwingt per groep en per risico. Eerst een proof of concept met een beperkte groep, daarna een gefaseerde uitrol per land, met instructies voor lokale IT en een fallback voor wie een key kwijtraakt.
Resultaat
Een gestolen wachtwoord of onderschepte code opent niets meer. De uitrol raakte de productie niet, en de organisatie heeft nu één authenticatiebeleid over alle landen heen.
Passwordless voor organisaties in diverse sectoren
Situatie
Organisaties uit uiteenlopende sectoren met hetzelfde probleem: wachtwoorden die worden hergebruikt, vergeten en gephisht, en een helpdesk die daar veel tijd aan kwijt is. Waar met gedeelde werkplekken wordt gewerkt, komt daarbij dat personeel snel moet kunnen inloggen.
Wat we deden
Per organisatie een passwordless-ontwerp op Entra ID: passkeys en Windows Hello for Business voor persoonlijke apparaten, een passende methode voor gedeelde werkplekken, en Conditional Access dat bepaalt wie waar mag. Uitrol in golven, met communicatie naar medewerkers in gewone taal.
Resultaat
Er is geen wachtwoord meer om te phishen of te vergeten. Inloggen gaat sneller, en het beveiligingsniveau is aantoonbaar hoger voor auditor en bestuur.
Volledige Zero Trust-transformatie bij meerdere organisaties
Situatie
Organisaties in onder meer de zorg, de industrie en de publieke sector die nog werkten vanuit een vertrouwd intern netwerk, elk met een eigen normenkader zoals NEN 7510, ISO 27001 of BIO, en medewerkers die steeds vaker buiten de muren werken. Toegang was gebaseerd op waar je bent, niet op wie je bent.
Wat we deden
Per organisatie identiteit, apparaat, data en toegang opnieuw ingericht op het Microsoft-platform. Entra ID als centrale identiteit, Intune voor apparaatbeheer, Conditional Access dat elke toegang expliciet beoordeelt, en gegevensbescherming afgestemd op de gevoeligheid van de informatie, van patiëntdossiers tot productiegegevens. Het ontwerp is telkens vastgelegd in een document dat de keuzes uitlegt, zodat beheer en auditor het kunnen volgen.
Resultaat
Medewerkers werken overal veilig, ongeacht het netwerk. Toegang is gebaseerd op identiteit en apparaatstatus, en elke organisatie kan bij een audit tegen het eigen kader aantonen hoe dat werkt.
Voorbeeldtrajecten, ter illustratie
Onderstaande trajecten zijn samengesteld uit ons werk bij vergelijkbare organisaties en dienen ter illustratie. Ze laten zien hoe een traject verloopt, van de situatie aan het begin tot wat het oplevert.
Identity governance bij een hogeschool
Situatie
Duizenden accounts van studenten, docenten, onderzoekers en tijdelijke krachten, verspreid over faculteiten die hun toegang zelf regelden. Rechten stapelden zich op, oud-medewerkers stonden nog in systemen en bij elke audit begon het uitzoekwerk opnieuw.
Wat we deden
Het joiner-mover-leaver-proces opnieuw ingericht in Entra ID, gekoppeld aan de bronsystemen voor personeel en studenten. Rollen per functie in plaats van per persoon, toegangsreviews per faculteit, en rechten die aflopen tenzij iemand ze bewust verlengt. Beheerdersrechten alleen nog just-in-time.
Resultaat
Accounts vertrekken nu automatisch mee met de medewerker. Permanente beheerdersaccounts zijn grotendeels verdwenen en de vraag "wie heeft waar toegang toe" is met een rapport te beantwoorden in plaats van met een zoektocht.
Gedeelde werkplekken op de productievloer
Situatie
Een maakbedrijf waar ploegen werken met gedeelde accounts: één inlog per werkplek, het wachtwoord op een briefje bij de machine. Handelingen waren niet te herleiden tot een persoon, en de gangbare MFA-methodes werkten niet met handschoenen aan.
Wat we deden
Passwordless op de vloer met badge en FIDO2-sleutels, zodat inloggen sneller gaat dan het oude wachtwoord. Conditional Access die de productieomgeving apart behandelt: beheerde apparaten, vaste locaties, korte sessies. Beheerderstoegang tot de systemen erachter alleen nog tijdelijk en op aanvraag.
Resultaat
Elke handeling is herleidbaar tot een persoon, zonder dat de operatie trager werd. Het wachtwoordbriefje is verdwenen en de OT-omgeving is losgekoppeld van de kantooridentiteiten.
BIO en de Cyberbeveiligingswet bij een publieke organisatie
Situatie
De maatregelen waren er grotendeels, het bewijs niet. Bij elke toetsing kostte het weken om aan te tonen wat er al draaide, en niemand kon met zekerheid zeggen of nieuwe verplichtingen waren belegd.
Wat we deden
Risicoanalyse en maatregelen gekoppeld aan de norm, zodat elke maatregel een eigenaar en een bewijsstuk heeft. Detectie en respons ingericht op identiteits- en cloudsignalen, en een kwartaalcyclus waarin het bewijs vanzelf ontstaat in plaats van achteraf verzameld wordt.
Resultaat
Bij de eerste toetsing lagen de stukken klaar. De organisatie weet nu per maatregel wie verantwoordelijk is, en het bestuur krijgt elk kwartaal een beeld dat op feiten berust in plaats van op aannames.
Zo'n traject voor jouw organisatie?
Elk van deze trajecten begon met een Digital Defense Review. Daarna wisten we allebei wat er moest gebeuren en in welke volgorde.
Of bel +31 (0)85 303 46 43