Lange tijd was beveiliging een kwestie van binnen en buiten. Wie op het bedrijfsnetwerk zat, werd vertrouwd. Wie erbuiten zat, moest door de firewall. Dat model is verdwenen zonder dat iemand het formeel heeft afgeschaft. Mensen werken thuis, de applicaties staan in de cloud, leveranciers hebben toegang en de telefoon is een werkplek. Er is geen binnen meer. Zero Trust is het antwoord daarop, en het begint bij een simpele vraag: wie ben je en mag je dit?
Wat Zero Trust betekent
Zero Trust is geen product en geen project met een einddatum. Het is een uitgangspunt: vertrouw niets op basis van locatie, controleer alles bij elke toegang. Microsoft en het Amerikaanse NIST vatten dat samen in drie principes.
Verifieer expliciet. Elke toegang wordt beoordeeld op wat er bekend is: de identiteit, het apparaat, de locatie, het gedrag en het risico van dat moment. Niet één keer bij het inloggen, maar bij elke actie die ertoe doet.
Geef zo min mogelijk rechten. Iedereen krijgt wat nodig is voor de taak, niet meer, en liefst alleen zolang de taak duurt. Beheerdersrechten die permanent aanstaan zijn het grootste cadeau dat je een aanvaller kunt geven.
Ga ervan uit dat het misgaat. Ontwerp alsof een aanvaller al binnen is: beperk hoe ver hij kan komen, log wat er gebeurt en zorg dat je het ziet.
Waarom identiteit de kern is
Elke toegangsbeslissing begint met de vraag wie er iets wil. Zonder betrouwbare identiteit is de rest van de keten waardeloos: het maakt niet uit hoe goed je data is beveiligd als de verkeerde persoon zich als de juiste kan voordoen. Daarom is identiteit in een Zero Trust-architectuur het besturingsvlak. Het is de plek waar beleid wordt afgedwongen.
Identiteit is daarbij meer dan een gebruikersnaam en wachtwoord. Het is de optelsom van wie iemand is, welke rollen en rechten hij heeft, met welke apparaten hij werkt en welke sessies er op zijn naam openstaan. Het geldt net zo goed voor service-accounts, applicaties en apparaten als voor mensen. Vaak zijn juist die niet-menselijke identiteiten het minst in beeld, terwijl ze de meeste rechten hebben.
Hoe het er in de praktijk uitziet
Op het Microsoft-platform vallen de bouwstenen op hun plek. Entra ID is de centrale identiteit voor alles: Microsoft 365, eigen applicaties en toegang tot software van derden via single sign-on. Conditional Access is het beleid dat bij elke aanmelding wordt geëvalueerd: welke gebruiker, vanaf welk apparaat, naar welke applicatie, onder welke voorwaarden.
Intune levert de apparaatstatus: is het apparaat bekend, versleuteld, bijgewerkt en compliant? Zo niet, dan is toegang beperkt of geblokkeerd, ongeacht wie er inlogt. Privileged Identity Management maakt beheerdersrechten tijdelijk: je vraagt ze aan wanneer je ze nodig hebt, met goedkeuring en logging. Identity governance zorgt dat rechten verlopen in plaats van ophopen, met periodieke toegangsreviews door de eigenaar van de data.
En omdat je ervan uitgaat dat het een keer misgaat, sluit je de signalen uit al deze onderdelen aan op detectie. Een inlog vanaf een onbekend apparaat, een plotselinge toekenning van rechten, een sessie die zich anders gedraagt dan normaal: dat zijn de signalen die ertoe doen.
Wat het niet is
Zero Trust is geen big bang. Organisaties die alles tegelijk willen omzetten, lopen vast in uitzonderingen. Het is ook geen synoniem voor MFA aanzetten, al is dat wel een goede eerste stap.
Wat in de praktijk werkt, is beginnen bij de drie maatregelen met de meeste impact: phishing-resistant authenticatie voor iedereen, apparaatcompliance als voorwaarde voor toegang, en tijdelijke in plaats van permanente beheerdersrechten. Daarna volgt de rest, in de volgorde die je risicoanalyse aangeeft.
Kort samengevat
Zero Trust betekent dat locatie geen vertrouwen meer oplevert en dat elke toegang expliciet wordt beoordeeld. Die beoordeling begint bij identiteit, en daar zit dus ook de meeste winst. Wie identiteit, apparaat en rechten op orde heeft, heeft het grootste deel van Zero Trust staan zonder dat het ooit zo is genoemd.